Archivo de la categoría: Criptografía

SSL: Error de concepto en Gmail. Lo correcto: mejor cifrar (con certificados sub-standard) que no cifrar


Algunos usuarios de Gmail aprovechan la posibilidad de recoger su correo en otras cuentas y consolidarlas en una única interfaz de usuario.

Si el prestador del servicio de correo electrónico cuenta con una conexión SSL, Google se posiciona en plan tikismikis, e implide el acceso al correo si se utiliza un certificado autofirmado o un certificado de un Prestador de Servicios de Certificación que no está en el repositorio de Mozilla.

Este es el texto explicativo del mensaje de error: Utilizar siempre una conexión SSL (conexión segura) para recuperar mensajes de correo electrónico:

Si la cuenta de correo electrónico con la que obtienes mensajes admite la encriptación SSL1 (capa de conexión segura o Secure Sockets Layer), puedes seleccionar esta opción para que toda la información se envíe a través de una conexión segura.

Si seleccionas esta opción y tu proveedor de correo electrónico admite SSL, Gmail te avisará de que hay un error en la configuración. En este caso, al hacer clic en Mostrar detalles del error se mostrará, probablemente, un Error de protocolo. Antes de continuar, tendrás que desmarcar esa selección.

¿Cuáles son las ventajas de SSL?

Gmail utiliza la seguridad SSL “estricta”. Por eso, siempre preferimos que el servidor remoto de tu otro proveedor de servicios tenga un certificado SSL válido, pues ofrece un nivel más alto de seguridad y una protección mayor de tus datos.

¿Qué hago si veo un mensaje de error?

Te aconsejamos que te dirijas al servicio de atención al cliente de tu otro proveedor de correo electrónico y que les describas el error para que te ayuden a configurar su SSL. Si no se soluciona el error, inhabilitaremos la obtención de tus mensajes y dejaremos de recuperarlos de tu otra cuenta. Como solución alternativa, puedes inhabilitar el uso de SSL en Gmail: ve a la pestaña Cuentas e importación de la configuración de tu correo y desmarca la opción Utilizar siempre una conexión SSL (conexión segura) para recuperar mensajes de correo electrónico. Pero eso implica que tu contraseña y dirección de correo ya no se enviarán protegidas por Internet, así que no te recomendamos que inhabilites esa opción.

¿Qué autoridades certificadoras admite SSL?

No aceptamos certificados autofirmados. Solo consideramos válidos los certificados emitidos por una autoridad de certificación (CA) válida, como son las incluidas en la lista de CA de Mozilla.

  1. SSL: Una SSL (del inglés «Secure Socket Layer» o capa de conexión segura) es una manera de cambiar datos mediante códigos mientras viajan por Internet, como tu nombre de usuario y tu contraseña, de manera que los datos permanecen seguros y son privados.

El SSL es un protocolo que utiliza una clave de sesión para cifrar la información que viaja y evitar que transite «en claro» por los sistemas informáticos intermedios. La clave de sesión se cifra con la pública del ordenador de destino, extraída del certificado, de modo que solo este es capaz de descifrar la información (usa la clave de sesión descifrada con su privada).

El Certificado no aporta mucho: aporta un incremento extra de seguridad en casos de ataques man-in-the-middle (en los que el atacante puede usar un certificado autofirmado tan imposible de verificar como el autofirmado «legítimo» que usa el servidor de correo) y un chequeo de coincidencia de los datos de dominio que figuran en el certificado con los reales (que no es muy util salvo que intervenga un PSC «de los de verdad»).

La verdadera utilidad del SSL es el cifrado, y por eso, muchos sistemas advierten del riesgo de los certificados autofirmados, o caducados, o referidos a URLs que no coinciden con la real, dejando que el usuario tome la decisión final de aceptarlos. O no.

Gmail toma la decisión por el usuario al adoptar la política de seguridad que impone la modalidad «estricta» de SSL y como opción para el usuario ofrece la posibilidad de usar conexiones sin cifrar.

En mi opinión, lo correcto es explicar los riesgos, y dejar que sea el usuario que tome la decisión, porque es mejor usar conexiones cifradas aunque los certificados sean «sub-standard» que conexiones sin cifrar.

Por cierto, aunque el correo se obtenga por una conexión cifrada, esa no es la verdadera aportación del SSL en relación con IMAP o POP3, ya que el correo transita sin cifrar entre servidores SMTP. La verdadera aportación es que la clave de usuario se cifre al inicio de la comunicación.

Uso de medios electrónicos en relación con la convocatoria de Juntas de Accionistas


Logo EAD Trust El Real Decreto Legislativo 1/2010, de 2 de julio, por el que se aprueba el texto refundido de la Ley de Sociedades de Capital, ha sufrido diversas modificaciones, la más importante de las cuales ha tenido lugar con la publicación de la  Ley 25/2011, de 1 de agosto, de reforma parcial de la Ley de Sociedades de Capital y de incorporación de la Directiva 2007/36/CE, del Parlamento Europeo y del Consejo, de 11 de julio, sobre el ejercicio de determinados derechos de los accionistas de sociedades cotizadas.

 Ahora que muchas sociedades cotizadas están preparando las juntas y deben realizar la convocatoria, conviene recordar que es obligatoria la publicación de la convocatoria en la página web de la sociedad, con al menos 30 días de antelación y de forma ininterrumpida hasta la celebración de la Junta y que es conveniente contar con algún medio de prueba del cumplimiento de dicho requisito.

EADTrust proporciona un servicio que acredita fehacientemente la publicación de la convocatoria y de los documentos conexos en la sede electrónica de la sociedad, del que se puede obtener más información en este sitio: Publicación Fehaciente. Se puede obtener más información llamando al 902 365 612.

Los artículos de la norma que conviene tener en cuenta, son los siguientes:

Artículo 11 bis. Sede electrónica.

1. La creación de una página web corporativa deberá acordarse por la junta general de la sociedad. El acuerdo de creación deberá ser inscrito en el Registro Mercantil o bien ser notificado a todos los socios.

La supresión y traslado de la página web de la sociedad podrá ser acordada por el órgano de administración, salvo disposición estatutaria en contrario. Dicho acuerdo deberá inscribirse en el Registro Mercantil o ser notificado a todos los socios y, en todo caso, se hará constar en la propia página web suprimida o trasladada, durante los treinta días posteriores a la adopción de dicho acuerdo de traslado o supresión.

2. Será a cargo de los administradores la prueba de la certeza del hecho de la inserción de contenidos en la web y de la fecha en que se hicieron. Para acreditar el mantenimiento de dicho contenido durante el plazo de vigencia será suficiente la manifestación de los administradores que podrá ser desvirtuada por el perjudicado mediante cualquier prueba admisible en Derecho.

Artículo 173. Forma de la convocatoria.

1. Salvo disposición contraria de los estatutos, la junta general será convocada mediante anuncio publicado en el Boletín Oficial del Registro Mercantil y en la página web de la sociedad. Con carácter voluntario y adicional a esta última o cuando la sociedad no tenga página web, la convocatoria se publicará en uno de los diarios de mayor circulación en la provincia en que esté situado el domicilio social.

2. Los estatutos podrán establecer que la convocatoria se realice mediante anuncio publicado en la página web de la sociedad o por cualquier procedimiento de comunicación, individual y escrita, que asegure la recepción del mismo por todos los socios en el domicilio designado al efecto o en el que conste en la documentación de la sociedad. En el caso de socios que residan en el extranjero, los estatutos podrán prever que sólo serán individualmente convocados si hubieran designado un lugar del territorio nacional para notificaciones.

Con carácter voluntario y adicional, la convocatoria se podrá publicar en uno de los diarios de mayor circulación en la provincia en que esté situado el domicilio social.

3. Por excepción a lo dispuesto en el apartado anterior, en el caso de sociedad anónima con acciones al portador, la convocatoria deberá realizarse, al menos, mediante anuncio en el Boletín Oficial del Registro Mercantil.

Artículo 518. Información general previa a la junta.

Desde la publicación del anuncio de convocatoria y hasta la celebración de la junta general, la sociedad deberá publicar ininterrumpidamente en su página web, al menos, la siguiente información:

  1. El anuncio de la convocatoria.
  2. El número total de acciones y derechos de voto en la fecha de la convocatoria, desglosados por clases de acciones, si existieran.
  3. Los documentos que se presentarán a la junta general y, en particular, los informes de administradores, auditores de cuentas y expertos independientes.
  4. Los textos completos de las propuestas de acuerdo o, en el caso de no existir, un informe de los órganos competentes, comentando cada uno de los puntos del orden del día. A medida que se reciban, se incluirán también las propuestas de acuerdo presentadas por los accionistas.
  5. Los formularios que deberán utilizarse para el voto por representación y a distancia, salvo cuando sean enviados directamente por la sociedad a cada accionista. En el caso de que no puedan publicarse en el sitio de Internet por causas técnicas, la sociedad deberá indicar en el sitio de Internet cómo obtener los formularios en papel, que deberá enviar a todo accionista que lo solicite.

Artículo 519. Derecho a completar el orden del día y a presentar nuevas propuestas de acuerdo.

1. Los accionistas que representen al menos el cinco por ciento del capital social podrán solicitar que se publique un complemento a la convocatoria de la junta general ordinaria, incluyendo uno o más puntos en el orden del día, siempre que los nuevos puntos vayan acompañados de una justificación o, en su caso, de una propuesta de acuerdo justificada. En ningún caso podrá ejercitarse dicho derecho respecto a la convocatoria de juntas generales extraordinarias.

El ejercicio de este derecho deberá efectuarse mediante notificación fehaciente que habrá de recibirse en el domicilio social dentro de los cinco días siguientes a la publicación de la convocatoria. El complemento deberá publicarse con quince días de antelación como mínimo a la fecha establecida para la reunión de la junta. La falta de publicación en plazo del complemento será causa de nulidad de la junta.

2. Los accionistas que representen al menos el cinco por ciento del capital social podrán, en el mismo plazo señalado en el apartado anterior, presentar propuestas fundamentadas de acuerdo sobre asuntos ya incluidos o que deban incluirse en el orden del día de la junta convocada. La sociedad asegurará la difusión de estas propuestas de acuerdo y de la documentación que en su caso se adjunte, entre el resto de los accionistas, de conformidad con lo dispuesto en la letra d) del artículo anterior.

Artículo 520. Ejercicio del derecho de información del accionista.

1. El ejercicio del derecho de información de los accionistas se rige por lo previsto en el artículo 197. Además, los accionistas podrán solicitar a los administradores, por escrito hasta el séptimo día anterior al previsto para la celebración de la junta, o verbalmente durante su celebración, las aclaraciones que estimen precisas acerca de la información accesible al público que la sociedad hubiera facilitado a la Comisión Nacional del Mercado de Valores desde la celebración de la última junta general y acerca del informe del auditor.

2. Los administradores no estarán obligados a responder a preguntas concretas de los accionistas cuando, con anterioridad a su formulación, la información solicitada esté clara y directamente disponible para todos los accionistas en la página web de la sociedad bajo el formato pregunta-respuesta.

Artículo 521. Participación a distancia.

1. La participación en la junta general y el voto de las propuestas sobre puntos comprendidos en el orden del día de cualquier clase de junta general podrán delegarse o ejercitarse directamente por el accionista mediante correspondencia postal, electrónica o cualquier otro medio de comunicación a distancia, en los términos que establezcan los estatutos de la sociedad, siempre que se garantice debidamente la identidad del sujeto que participa o vota y la seguridad de las comunicaciones electrónicas.

2. De conformidad con lo que se disponga en los estatutos, el reglamento de la junta general podrá regular el ejercicio a distancia de tales derechos incluyendo, en especial, alguna o todas las formas siguientes:

  1. La transmisión en tiempo real de la junta general.
  2. La comunicación bidireccional en tiempo real para que los accionistas puedan dirigirse a la junta general desde un lugar distinto al de su celebración.
  3. Un mecanismo para ejercer el voto antes o durante la junta general sin necesidad de nombrar a un representante que esté físicamente presente en la junta.

Artículo 522. La representación del accionista en la junta general.

1. Las cláusulas estatutarias que limiten el derecho del accionista a hacerse representar por cualquier persona en las juntas generales serán nulas. No obstante, los estatutos podrán prohibir la sustitución del representante por un tercero, sin perjuicio de la designación de una persona física cuando el representante sea una persona jurídica.

2. En caso de que se hayan emitido instrucciones por parte del accionista representado, el representante emitirá el voto con arreglo a las mismas y tendrá la obligación de conservar dichas instrucciones durante un año desde la celebración de la junta correspondiente.

3. El nombramiento del representante por el accionista y la notificación del nombramiento a la sociedad podrán realizarse por escrito o por medios electrónicos. La sociedad establecerá el sistema para la notificación electrónica del nombramiento, con los requisitos formales, necesarios y proporcionados para garantizar la identificación del accionista y del representante o representantes que designe. Lo dispuesto en este apartado será de aplicación a la revocación del nombramiento del representante.

4. El representante podrá tener la representación de más de un accionista sin limitación en cuanto al número de accionistas representados. Cuando un representante tenga representaciones de varios accionistas, podrá emitir votos de signo distinto en función de las instrucciones dadas por cada accionista.

5. En todo caso, el número de acciones representadas se computará para la válida constitución de la junta.

Artículo 525. Resultado de las votaciones.

1. Para cada acuerdo sometido a votación de la junta general deberá determinarse, como mínimo, el número de acciones respecto de las que se hayan emitido votos válidos, la proporción de capital social representado por dichos votos, el número total de votos válidos, el número de votos a favor y en contra de cada acuerdo y, en su caso, el número de abstenciones.

2. Los acuerdos aprobados y el resultado de las votaciones se publicarán íntegros en la página web de la sociedad dentro de los cinco días siguientes a la finalización de la junta general.

Artículo 539. Instrumentos especiales de información.

1. Las sociedades anónimas cotizadas deberán cumplir los deberes de información por cualquier medio técnico, informático o telemático, sin perjuicio del derecho de los accionistas a solicitar la información en forma impresa.

2. Las sociedades anónimas cotizadas deberán disponer de una página web para atender el ejercicio, por parte de los accionistas, del derecho de información, y para difundir la información relevante exigida por la legislación sobre el mercado de valores.

En la página web de la sociedad se habilitará un Foro Electrónico de Accionistas, al que podrán acceder con las debidas garantías tanto los accionistas individuales como las asociaciones voluntarias que puedan constituir, con el fin de facilitar su comunicación con carácter previo a la celebración de las Juntas generales. En el Foro podrán publicarse propuestas que pretendan presentarse como complemento del orden del día anunciado en la convocatoria, solicitudes de adhesión a tales propuestas, iniciativas para alcanzar el porcentaje suficiente para ejercer un derecho de minoría previsto en la ley, así como ofertas o peticiones de representación voluntaria.

3. Al consejo de administración corresponde establecer el contenido de la información a facilitar en la página web, de conformidad con lo que establezca el Ministerio de Economía y Hacienda o, con su habilitación expresa, la Comisión Nacional del Mercado de Valores.

4. Los accionistas de cada sociedad cotizada podrán constituir Asociaciones específicas y voluntarias para el ejercicio de sus derechos y la mejor defensa de sus intereses comunes. Las Asociaciones de accionistas deberán inscribirse en un Registro especial habilitado al efecto en la Comisión Nacional del Mercado de Valores. Reglamentariamente se desarrollará el régimen jurídico de las Asociaciones de Accionistas que comprenderá, al menos, los requisitos y límites para su constitución, las bases de su estructura orgánica, las reglas de su funcionamiento, los derechos y obligaciones que les correspondan, especialmente en su relación con la sociedad cotizada.

5. Asimismo, se faculta al Gobierno y, en su caso, al Ministerio de Economía y Hacienda y, con su habilitación expresa, a la Comisión Nacional del Mercado de Valores, para desarrollar las especificaciones técnicas y jurídicas necesarias respecto a lo establecido en este artículo.

Normas técnicas relativas a la firma electrónica


En el marco de ETSI (European Telecommunications Standards Institute) se han desarrollado diferentes normas técnicas relacionadas con la firma electrónica que conviene conocer.

Las incluyo en la siguiente tabla:

Standard Título del Standard
TS 101 733 CMS Advanced Electronic Signatures (CAdES)
TS 102 734 Profiles of CMS Advanced Electronic Signatures based on TS 101 733 (CAdES)
TS 101 903 XML Advanced Electronic Signatures (XAdES)
TS 102 904 Profiles of XML Advanced Electronic Signatures based on TS 101 903 (XAdES)
TS 102 778-1 PDF Advanced Electronic Signature Profiles;
Part 1: PAdES Overview – a framework document for PAdES
TS 102 778-2 PDF Advanced Electronic Signature Profiles;
Part 2: PAdES Basic – Profile based on ISO 32000-1
TS 102 778-3 PDF Advanced Electronic Signature Profiles;
Part 3: PAdES Enhanced – PAdES-BES and PAdES-EPES Profiles
TS 102 778-4 PDF Advanced Electronic Signature Profiles;
Part 4: PAdES Long Term – PAdES LTV Profile
TS 102 778-5 PDF Advanced Electronic Signature Profiles;
Part 5: PAdES for XML Content – Profiles for XAdES signatures
TR 102 047 International Harmonization of Electronic Signature Formats
TR 102 438 Application of Electronic Signature Standards in Europe
TR 102 605 Registered E-Mail
TS 102 640-1 Registered Electronic Mail (REM); Architecture, Formats and Policies;
Part 1: Architecture
TS 102 640-2 Registered Electronic Mail (REM); Architecture, Formats and Policies;
Part 2: Data Requirements and Formats for Signed Evidences for REM
TS 102 640-3 Registered Electronic Mail (REM); Architecture, Formats and Policies;
Part 3: Information Security Policy Requirements for REM Management Domains
TS 102 231 Provision of harmonized Trust-service status information
TS 101 861 Time stamping profile
TS 101 862 Qualified Certificate profile
TR 102 272 ASN.1 format for signature policies
TS 102 280 X.509 V.3 Certificate Profile for Certificates Issued to Natural Persons
TS 101 456 Policy requirements for certification authorities issuing qualified certificates
TR 102 437 Guidance on TS 101 456 (Policy Requirements for certification authorities issuing qualified certificates)
TR 102 458 Mapping Comparison Matrix between the US Federal Bridge CA Certificate Policy and the European Qualified Certificate Policy (TS 101 456)
TS 102 023 Policy requirements for time-stamping authorities
TR 102 040 International Harmonization of Policy Requirements for CAs issuing Certificates
TS 102 042 Policy requirements for certification authorities issuing public key certificates
TS 102 158 Policy requirements for Certification Service Providers issuing attribute certificates usable with Qualified certificates
TR 102 572 Best Practices for handling electronic signatures and signed data for digital accounting
TS 102 573 Policy requirements for trust service providers signing and/or storing data for digital accounting
TS 102 176-1 Algorithms and Parameters for Secure Electronic Signatures;
Part 1: Hash functions and asymmetric algorithms
TS 102 176-2 Algorithms and Parameters for Secure Electronic Signatures;
Part 2: Secure channel protocols and algorithms for signature creation devices
 
 

SOA – Service Oriented Architecture y la firma electrónica


Las instituciones, organismos públicos y grandes empresas, usan cada vez más la firma electrónica, por los grandes ahorros que promueve, la eficiencia que añade a los procesos, y por prescripcion legal.

Con 25 millones de DNI electrónicos y casi 5 millones de otros certificados cualificados, se utiliza para identificar y establecer la prestación del consentimiento en miles de documentos electrónicos. Las firmas automatizadas requieren infraestructuras comunes y la mera gestión de políticas de firma hace recomendable en ocasiones utilizar sistemas de firma centralizados aunque los usuarios trabajen en puestos distribuidos en le organzación.

Servicios de gestión centralizada de firmas electrónicas y servicios conexos que forman parte de la arquitectura tecnológica de las organizaciones  se emplean cada vez más, también para garantizar una funcionalidad fluida que no dependa de las múltiples configuraciones de los equipos de los usuarios. La diversidad de equipamientos es con frecuencia causa de fallos de funcionamiento.

Entre los servicios que despliegan las organizaciones, cabe citar los siguientes:

  • Servicios de Firma (DSS).  El servicio de firma automatizada permite firmar documentos XML y PDF, respectivamente con firmas XAdES y PAdES. Los documentos de otro tipo pueden encapsularse en firmas CAdES o firmas XAdES, si bien requerirán de servicios de comprobación compatibles con la técnica de encapsulado.  Este servicio permite también  verificar las firmas de documentos ya firmados. El servicio permite utilizar diferentes claves y certificados, asociados a diferentes políticas, que se gestionan de forma centralizada en un HSM (Hardware Security Module). Se usa, por ejemplo, para automizar el uso de los sellos de órgano.
  • Servicio de Sellado de Tiempo. Este servicio emite y verifica sellos de tiempo sobre protocolo RFC 3161 y (o)  webservice (DSS). Si se usa con un certificado de TSU de una CA apropiada, en el marco de un acuerdo de gestión, estos sellos de tiempo pueden tener valor legal.  El sistema permite sincronización mediante NTP (accediendo a ROA), GPS y DCF77.
  • Servicio de Validación de Certificados. Este servicio permite comprobar la validez de un certificado y extraer la información contenida en él, relativa al titular del mismo (nombre y apellidos, NIF/CIF, ….). Para ello hace uso de consultas OCSP o consultas de certificados revocados según el protocolo definido por la AEAT (ycaestec).
  • Servicio de Copia. Este servicio añade información gráfica (Código QR o PDF 417) relativa a una firma electrónica sobre una copia constatable de un documento electrónico (albalá), facilitando así posteriores procesos de comprobación de documentos electrónicos impresos.
  • Servicio de Potestades. Este servicio permite gestionar y comprobar atribuciones en un marco de gestión de políticas de firma, o en relación con flujos de proceso (worlflows) de diferentes roles del organismo (cargos administrativos, firmantes finales por nombramiento oficial, responsables, apoderados, …).
  • Servicio de Custodia. Este servicio permite almacenar y recuperar documentos almacenados en el Sistema de Constancias (Cartulario). Existen varios tipos de custodia con diferentes restricciones de acceso (o sin restricciones). Se utiliza el concepto de Código Seguro de Verificación.
  • Servicio de Interconexión con otras Redes. Este servicio permite obtener información de validación de certificados y otras informaciones de redes asociadas. En particular existen integraciones con la Red SARA.
  • Servicios de validación de esquemas. Relacionados con documentos intercambiados, frecuentemente en formato XML se trata de validar la correcta formación de los documentos y la cumplimentación de su contenido. Por ejemplo el formato factuare en el caso de las facturas electrónicas.
  • Servicio de Publicación Fehaciente. Este servicio permite obtener certificados que acrediten fehacientemente el momento en el que los documentos son publicados en una Sede Electrónica. Utiliza el sistema de sello de tiempo y permite cumplir el artículo 42 de la Ley de Contratos del Sector Público (en el caso de las administraciones públicas) o la normativa de publicación de convocatorias de juntas de la Ley de Sociedades de Capital (en el caso del sector privado).

Además hay servicios adicionales que proporcionan funcionalidades localizadas en sistemas cliente o servidor, accesibles por otros programas:

  • Ejecutable de firma en cliente: permite la firma de documentos por parte de un usuario, haciendo uso de su clave y sucertificado digital. Existen variantes como por ejemplo el de  firmador java (websigner) y el de firmador de escritorio.
  • Módulos que desarrollan las funcionalidades en forma de API (SDK) para ser invocadas por otras aplicaciones en entorno cliente o en entorno servidor.

Estos conceptos pueden extenderse y se tratan enel Seminario Firma Electrónica en Arquitectura SOA. Os invito a inscribiros.

Firma Electrónica y Diplomática Digital – Seminario para los Archiveros de Navarra


El próximo Viernes, 11 de noviembre de 2011,  de 9:30 a 14:30 horas, impartiré un seminario en el Civivox de Iturrama en la calle  Esquíroz 24, de  Pamplona sobre  Firma Electrónica y Diplomática Digital, auspiciado por la Asociación de Archiveros de Navarra

Estos son los temas que trataré:

1. Conceptos de Diplomática

  • Archivística, Paleografía, Sigilografía
  • Cartularios, Códices Diplomáticos, Tumbos, Becerros
  • Autenticidad de los documentos en papel
  • Partes de un documento
  • Tipos de documentos

2. Marco Legal

  • Normativa en relación con los archivos
  • Normativa en relación con la Firma Electrónica
  • Normativa de Administración Electrónica
  • Normativa sobre Contratación Electrónica
  • Estándares aplicables en la Gestión de Documentos Electrónicos

3. Diplomática Digital

  • Autenticidad de los Documentos Electrónicos. Obliterabilidad, Endosabilidad, Completitud
  • Custodia Digital. Cartulario Digital. Archivo de Constancias Electrónicas. código de Verificación
  • Convivencia de Documentos Electrónicos y de papel. Albalá, copia constatable, Digitalización Certificada. Localizador

4. Firma electrónica

  • Descripción técnica de la Firma Electrónica.
  • Descripción legal de la Firma Electrónica.  Firma Avanzada. Firma Reconocida
  • Prestadores de servicios de certificación en España y en Europa
  • Firma Básica, Fechada, Completa. Conservación de firmas a largo plazo
  • Timestamping. Comprobación de validez de certificados (CRL, OCSP)
  • Dispositivos seguros de creación de firma.

5. Gestión de Documentos en el Sector Público

  • Sede Electrónica. Código seguro de verificación
  • Registro de entrada, registro de salida, registro telemático, interconexión de registros. SICRES
  • Expediente Electrónico
  • Digitalización de Documentos
  • Interoperabilidad de Gestión de Documentos entre Administraciones
  • Clasificación de documentos. Metadatos
  • Notificaciones Fehacientes. Notificaciones Obligatorias

6. Gestión de Documentos en el Sector Privado

  • Contratos. Novación Electrónica. Prestación del consentimiento
  • Digitalización Certificada de facturas. Digitalización Certificada de otros tipos de documentos
  • Uso de la Firma Electrónica. Requisitos de la digitalización de firmas manuscritas para que sea considerada Firma Electrónica avanzada. Tabletas digitalizadoras, bolígrafos electrónicos
  • Notificaciones Fehacientes. Correo Electrónico Certificado.

Es una satisfacción que los Archiveros de Navarra hayan pensado en mi para ello. Eso de ser «profeta en su tierra» no es habitual.

EDITRAN y la Firma Electrónica


EDItran® es un conjunto de productos para la implantación de soluciones de comunicaciones avanzadas, que posibilitan la conectividad directa entre las aplicaciones informáticas de diferentes empresas, organismos y entidades públicas o privadas, etc.

Se trata de una plataforma de comunicaciones estructurada en diferentes capas funcionales, siguiendo las recomendaciones generalmente aceptadas para el desarrollo de sistemas de comunicaciones abiertos, que se materializa mediante la implantación de diferentes módulos.

Lo comercializa INDRA y permite la interconexión de plataformas heterogéneas, como las basadas en z/OS, las basadas en Unix (en sus diferentes variantes), las basadas en OS/400 y las basadas en Windows, y permite utilizar diferentes protocolos de transporte como X.25, LU6.2 (VTAM)  y TCP/IP.

Permite el intercambio de ficheros AEB (o CSB 19, 34, 43, 57, 58), los de XBRL, los de la AEAT (declaraciones 038, 156, 181, 183, 187, 188, 190, 191, 192, 193, 194, 195, 196, 198, 199, 291, 296, 345, 346, 347, 349, 611, 616) o los de la Tesorería de la Seguridad Social (TGSS), Catastro, IGAE, INEM, IMSERSO.

Uno de los módulos de EDITRAN, denominado Criptolib/DES permite el cifrado simétrico de datos con los algoritmos DES y TDES (Triple DES) y un uso básico del cifrado RSA utilizado en el intercambio de claves.

Para el uso de la firma electrónica, EDITRAN incluye un soporte básico de firmas en formato PKCS#7 (el formato primitivo del que surgió CAdES) en el módulo EDITRAN/FF pero solo implementa la generación y comprobación de firmas en sistemas Unix y Windows,  dando soporte a certificados PKI en estas plataformas. Se puede utilizar desde MVS, OS/390 o  z/OS, siempre que se utilicen sistemas satélites (en Unix o Windows), a través de un interfaz de ficheros EDITRAN/G que permita también acceder a dichos ficheros por NFS. De esta forma el Mainframe deja accesibles los ficheros y las firmas (en modalidad «detached») tanto al entorno EDITRAN por un lado, como al entorno NFS por otro. Así un sistema windows o linux pueden acceder como clientes NFS a los mismos ficheros y generar o comprobar firmas electrónicas PKCS#7.

Albalia da soporte a las firmas XAdES y PDF (en las modalidades extendidas, según se describen en las normas TS 101 733 y TS 102 778) en entornos maiframe a través de la suite zBackTrust, siendo la única solución disponible para entornos como z/OS y otros derivados de OS/390. También da soporte a las firmas CAdES (firmas basadas en CMS: Cryptographic Message Syntax, formato evolucionado del veterano PKCS#7) según la especificación TS 101 733. Las firmas generadas y validadas por las soluciones de Albalia exhiben el mayor nivel de compatibilidad (según las pruebas CAdES/XAdES Plugtest) por lo que interoperan con las de otros fabricantes sobre cualquier plataforma.

Para usos avanzados de firma electrónica en entornos Mainframe, la solución zBackTrust es la única disponibles y está certificadas por IBM. Gracias a ellas es posible utilizar EDITRAN en Mainframe sin renunciar a la compatibilidad, y sin necesidad de definir complejos sistemas de conexión con equipos externos. De esta forma aumenta la eficiencia y es posible usar para firmar los equipos CryptoExpress 2 (4764) y Crypto Express3  (4765) habitualmente entregados en las configuraciones estándar de equipos como z10 o zEnterprise.

Bundle: Todo lo necesario para gestionar la firma electrónica corporativa


La Ley 11/2007 marca una serie de obligaciones a los organismos del sector público, de forma parecida al artículo 2 de la Ley 56/2007, que impone a las entidades privadas de especial relevancia económica la obligación de contar con un sistema de interlocución telemática.

Entre los aspectos que las entidades deben manejar para ello están los relativos a la firma electrónica. Deben saber como realizar y comprobar firmas electrónicas, y como integrarlas en sus sistemas informáticos.

Para más información llamar...

Para facilitarlo, un conjunto de empresas especialistas de primer orden nos hemos puesto de acuerdo para configurar un «bundle», un paquete de elementos tecnológicos, que facilitan el despliegue de la firma electrónica de una manera sencilla y económica, y sin rebajar las exigencias de normas de referencia como el Esquema Nacional de Seguridad y el Esquema Nacional de Interoperabilidad.

El «bundle» (con un precio imbatible) está compuesto de los siguientes elementos:

  • Un HSM de red de Safenet
  • Una auditoría especializada (de DSCF) de Albalia Interactiva
  • Un certificado de AC Camerfirma
  • Un conjunto de horas de asesoramiento de Albalia Interactiva
  • Un curso de formación sobre firma electrónica de Atenea Interactiva.

Este «bundle» permite incorporar un Dispositivo Seguro de Creación de Firma (DSCF) en aquellas instituciones que ya cuentan con sistemas de firma electrónica pero todavía no han incorporado este elemento imprescindible en su infraestructura.

Si la entidad no cuenta con un sistema de firma electrónica, hay servicios y productos adicionales disponibles:

  • Software de firma electrónica de Albalia Interactiva
  • Software de comprobación de firmas electrónicas de Albalia Interactiva
  • Software de centralización de claves para múltiples puestos de trabajo de Vanios

Y, por supuesto, también está disponible todo el catálogo de productos y servicios de todos los partners participantes en esta promoción.

Appliance de firma electrónica


Ya está disponible en formato appliance (y prácticamente con Configuración Cero) el aclamado sistema de firma electrónica BackTrust que permite a los organismos públicos cumplir con la Ley 11/2007 y a las entidades privadas poner en marcha el sistema de interlocución telemática al que les obliga la Ley 56/2007.

Hoy presentamos la variante xBackTrust, construida en torno a un equipo base de IBM x3650 y reforzado criptográficamente con placas IBM 4764 o Safenet Luna PCI.

El xBackTrust Appliance de Firma Electrónica gestiona firmas completas XAdES-XL y firmas PDF. Las genera, comprueba, prepara para el almacenamiento a largo plazo. Maneja TSA facilitando el uso de timestamping a través de protocolo OASIS DSS. Comprueba la validez de los certificados de cualquier prestador español o europeo. Es compatible con @firma y EADTrust.

XML Cryptographic Security and Suite B


Several years ago, on 25 sept 2007, Sue A. Roddy (NSA), presented the article «XML Cryptographic Security and Suite B» in the XML Security Futures Workshop, urging the industry to develop Eliptic Curve Cryptography solutions that could be used commercially and also by government agencies.

This is the Article:

Background:

The Department of Defense (DOD) through the leadership of the Defense Information Security Agency (DISA) is pushing forward to use the Extensible Markup Language (XML) as a key element of the DOD information sharing effort. The National Security Agency (NSA), in support of the DOD, is interested in seeing XML security evolve in a manner that provides extensive interoperability between XML systems and use cryptographic mechanisms that meet the stringent security requirements of the DOD.

The NSA has established a suite of cryptographic algorithms, drawn from published standards established by the National Institute for Standards and Technology (NIST), as a primary basis for DOD cryptographic security in the 21st century. This suite of algorithms has come to be called, “SUITE B.” To promote interoperability among DOD elements and to maximize the DOD’s ability to utilize commercial technology in satisfying their mission, NSA encourages all commercial vendors to incorporate Suite B in their products. In particular NSA would like to see XML standards emerge which support the use of Suite B.

Suite B Defined

The sustained and rapid advance of information technology in the 21st century dictates the adoption of a flexible and adaptable cryptographic strategy for protecting national security information. Several years ago, the Committee for National Security Systems (CNSS) issued a policy stating that the Advanced Encryption Standard (AES) could be used to protect both classified and unclassified National Security information. However, because a single encryption algorithm could not satisfy all of the needs of the national security community, NSA created a larger set of cryptographic algorithms which could be used along with AES in the systems used by the DOD and other national security users. The NSA announced Suite B at the 2005 RSA Conference.

In addition to the AES, Suite B includes cryptographic algorithms for hashing, digital signatures, and key exchange. The entire suite of cryptographic algorithms is intended to protect both classified and unclassified national security systems and information. Because Suite B is also a subset of the cryptographic algorithms approved by NIST, Suite B is also suitable for use throughout the U.S. government. NSA’s goal in presenting Suite B is to provide industry with a common set of cryptographic
algorithms that they can use to create products that meet the needs of the widest range of US Government (USG) needs.

However, Suite B only specifies the cryptographic algorithms to be used. Many other factors need to be addressed in determining whether a particular device implementing a particular set of cryptographic algorithms should be used to satisfy a particular requirement.

Today SUITE B includes:

The original policy on AES use states that AES with either 128 or 256-bit keys are sufficient to protect classified information up to the SECRET level. In addition, other controls on manufacture, handling and keying are anticipated. These same key sizes are suitable for protecting both national security and non-national security related information throughout the USG.

Consistent with this policy, Elliptic Curve Public Key Cryptography using the 256-bit prime modulus elliptic curve as specified in FIPS-186-2 and SHA-256 are appropriate for protecting classified information up to the SECRET level. Use of both the 384-bit prime modulus elliptic curve and SHA-384 is necessary for the protection of TOP SECRET information.

Intellectual Property on Suite B:

Associated with most cryptographic algorithms, even those found in standards, are patents on various ways of implementing the cryptography in particularly efficient or novel ways. Although there are some particular implementations of both the advanced Encryption Systems and Secure Hash Algorithm that are patented, the basic algorithms are available worldwide for royalty free use.

Another key aspect of Suite B is its use of elliptic curve technology instead of classical public key technology. NSA has determined that rather than increase key sizes beyond today’s current 1024-bits, a switch to elliptic curve technology is warranted.

Like the AES and SHA there are no fundamental patents on elliptic curve cryptography, however, there are a number of
patents covering various aspects of elliptic curve technology and implementations. Certicom, the largest holder of elliptic curve patents, states on their company website that licensing their patents is not necessary for implementing elliptic curve cryptography. Rather, they state that they have patents on what they believe to be some of the “best ways to implement elliptic curve cryptography (ECC).”

In order to facilitate adoption of Suite B by industry, NSA has licensed the rights to 26 patents held by Certicom Inc. covering a variety of elliptic curve technology. Under the license, NSA has a right to sublicense vendors building equipment or components in support of US national security interests. While NSA offers vendors royalty free licenses for the use of these patents, NSA is not suggesting that licensing any of these patents or any other patents is necessary for implementing Suite B.

Conclusion:

To master the information space, DOD and the IC need to be able to share, analyze and secure vast amounts of information. In order to prevent all of the information in DOD networks from becoming a meaningless tower of babel, standards such as XML are critical. NSA would like to see security for XML evolve in a manner that supports the DOD’s need for secure information sharing. To that end, NSA would like to see the adoption of Suite B cryptography as a security option for XML.

Certificados duales RSA – ECC (enmarcados en el ENS)


EADTrust ha iniciado una campaña de promoción de certificados electrónicos según un nuevo modelo. En vez de entregar un solo certificado, entrega dos. El primer certificado, RSA, con clave de 2048 bits puede ser utilizado de forma convencional, en servidores SSL. El segundo (vinculado con el primero por una regla de generación cruzada) cumple los principos Binum. Es un certificado ECC con clave de 256 bits (robustez equivalente a 3070 bits en claves RSA) y se utiliza también en servidores SSL.

Los certificados se entregan en formato PKCS#12 y la generación de claves (llevada a cabo por EADTrust) verifica las recomendaciones contra los ataques matemáticos identificados en la literatura académica. Los certificados tienen una duración de 3 años, por lo que requieren menos esfuerzo de gestión (que los certificados anuales). El precio de los certificados (de cada pareja) es de 99 euros si identifican un dominio y 199 euros en el caso de pareja de certificados multidominio (*). Hasta el 30 de junio de 2011, el coste de cada pareja de certificados será de 50 y 100 euros respectivamente.

Dado que los certificados ECC no los soportan todos los navegadores, ayudamos a las entidades solicitantes a configurar los servidores de forma que se usen los algoritmos más potentes que soporte cada navegador, combinando ambos certificados.

Compruebe si su navegador soporta ambas tecnologías instalando los certificados raíz de las dos jerarquías de certificación:

El uso de claves largas en RSA (al menos de 2048 bits) y el empleo de algoritmos ECC como ECDSA son algunos de los aspectos recomendados por el CCN (Centro Criptológico Nacional) en la documentación de seguridad relativa a la implantación del Esquema Nacional de Seguridad. En particular, el documento Guía 807 – Criptología de empleo en el Esquema Nacional de Seguridad estudia los diferentes alguritmos y sus ataques conocidos y hace recomendaciones sobre los más adecuados en función del objetivo perseguido (identificación, autenticación, cifrado, firma, confidencialidad en SSL,…)

También hay recomendaciones equivalente en los documentos de la administración nortemaericana NIST (National Institute of Standards and Technology) FIPS (Federal Information Processing Standards) 186 -2 y FIPS 186-3 respectivamente en los apéndices 6 y D en las secciones Recommended Elliptic Curves for Federal Government use (United States).

A nivel europeo, las especificaciones que tratan sobre los algoritmos criptográficos que se usan para firma electrónica (por ejemplo) se describen en el documento ETSI TS 102 176-1 V2.0.0 (2007-11) “Technical Specification. Electronic Signatures and Infrastructures (ESI); Algorithms and Parameters for Secure Electronic Signatures; Part 1: Hash functions and asymmetric algorithms».

Otras normas aplicables:

  • RFC 3278 «Use of Elliptic Curve Cryptography (ECC) Algorithms in Cryptographic Message Syntax (CMS)»
  • RFC 4050 «Using the Elliptic Curve Signature Algorithm (ECDSA) for XML Digital Signatures»
  • RFC 4051 “Additional XML Security Uniform Resource Identifiers (URIs)”
  • RFC 4492 “Elliptic Curve Cryptography (ECC) Cipher Suites for Transport Layer Security (TLS)”
  • ISO/IEC 15946 “Information technology — Security techniques — Cryptographic techniques based on elliptic curves”
  • ANSI X9.62:2005 “Public Key Cryptography for the Financial Services Industry, The Elliptic Curve Digital Signature Algorithm (ECDSA)”

Otras referencias a EADTrust en este Blog:

Actualización: A partir de 2020, solo se entrega el certificado solicitado. Las peticiones de certificado deben incluir el tipo de criptotografía deseado, que puede llegar a 8192 bits de tamaño en RSA y 384 bits en ECC.