Archivo de la categoría: PKI

Documentos Electrónicos que Conviven con los de Papel (UPM TASSI 2008 Conferencia 5)


Jorge Ramió me ha comentado que ya está disponible en Youtube la conferencia que impartí en abril de 2008 sobre los documentos electrónicos, parte de una serie que ya comenté (TASSI: Temas Avanzados en Seguridad y Sociedad de la Información). Está disponible la presentación utilizada: Documentos electrónicos que conviven con los de papel

Hay que considerar que en aquellos momentos la Ley 11/2007 estaba recién publicada. Puede considerarse que algunas de mis ideas han tenido algo de influencia en desarrollos conceptuales posteriores, e, incluso, quiero creer, en algunos desarrollos normativos. Lo cierto es que algunas de las ideas de esta conferencia las había empezado a «evangelizar» en otros contextos, entre ellos en los seminarios del INAP que coordinaba Emilio Suñé.

Por cierto, añado algunas referencias sobre temas mencionados en el video:

Artículos interesantes del Código de Comercio de 1885

Artículo 51.

Serán válidos y producirán obligación y acción en Juicio los contratos mercantiles, cualesquiera que sean la forma y el idioma en que se celebren, la clase a que correspondan y la cantidad que tengan por objeto, con tal que conste su existencia por alguno de los medios que el Derecho civil tenga establecidos. Sin embargo, la declaración de testigos no será por sí sola bastante para probar la existencia de un contrato cuya cuantía exceda de 1.500 pesetas, a no concurrir con alguna otra prueba.

La correspondencia telegráfica sólo producirá obligación entre los contratantes que hayan admitido este medio previamente y en contrato escrito, y siempre que los telegramas reúnan las condiciones o signos convencionales que previamente hayan establecido los contratantes, si así lo hubiesen pactado.

Artículo 52.

Se exceptuarán de lo dispuesto en el artículo que precede:

Los contratos que, con arreglo a este Código o a las Leyes especiales, deban reducirse a escritura o requieran formas o solemnidades necesarias para su eficacia.

Los contratos celebrados en país extranjero en que la Ley exija escrituras, formas o solemnidades determinadas para su validez, aunque no las exija la Ley española.

En uno y otro caso, los contratos que no llenen las circunstancias respectivamente requeridas no producirán obligación ni acción en Juicio.

Artículo 54.

Hallándose en lugares distintos el que hizo la oferta y el que la aceptó, hay consentimiento desde que el oferente conoce la aceptación o desde que, habiéndosela remitido el aceptante, no pueda ignorarla sin faltar a la buena fe. El contrato, en tal caso, se presume celebrado en el lugar en que se hizo la oferta.

En los contratos celebrados mediante dispositivos automáticos hay consentimiento desde que se manifiesta la aceptación.

Lista de confianza de prestadores de servicios de certificación (TSL)


Desde hace algún tiempo vengo promoviendo la generalización del uso de las TSL, por ejemplo, en estos artículos:

Una TSL, o lista de servicios de confianza, es una lista definida en las especificaciones técnicas ETSI TS 102 231, Provision of harmonized Trust Service Provider status information, que identifica prestadores de certificación de confianza y permite la definición de esquemas constituidos por diversos TSPs (Trust Service Providers) así como los servicios que ofrecen, permitiendo la inclusión de información histórica con el fin de poder determinar vínculos de confianza en el transcurso del tiempo.

La inclusión en una lista de servicios de confianza significa la admisión del certificado del prestador dentro del ámbito de uso de la lista en cuestión.

La existencia de este modelo de gestión de la confianza simplifica la gestión de las políticas de firma electrónica de las diferentes aplicaciones, en particular en el sentido de que no precisan gestionar las entidades de certificación que, en general, se consideran aceptables para determinados usos, sino centrarse sólo en requisitos particulares, referidos a la firma.

El desarrollo de este recurso técnico tiene su origen en la la Ley 17/2009, de 23 de noviembre, sobre el libre acceso a las actividades de servicios y su ejercicio  que es la  transposición de la Directiva 2006/123/CE, DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 12 de diciembre de 2006 relativa a los servicios en el mercado interior. La ley prevé que las Administraciones Públicas pongan en marcha un sistema de ventanilla única, a través del cual los prestadores de servicios podrán llevar a cabo en un único punto, por vía electrónica y a distancia, todos los procedimientos y trámites necesarios para el acceso a las actividades de servicios y su ejercicio.

En este sentido, y a efectos de facilitar el uso transfronterizo de las ventanillas únicas, se prevé que cada Estado miembro de la UE publique una «Lista de confianza» que contenga una información mínima referente a los prestadores de servicios de certificación que expidan certificados reconocidos al público supervisados en ese Estado. Esta Lista debe cumplir las especificaciones técnicas recogidas en el Anexo de la Decisión de la Comisión 2009/767/CE, de 16 de octubre de 2009, por la que se adoptan medidas que facilitan el uso de procedimientos por vía electrónica a través de las ventanillas únicas, con arreglo a la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior, básicamente el uso dela norma ETSI TS 102 231.

Por ello, el Ministerio de Industria, Turismo y Comercio ha elaborado la Lista de confianza de prestadores de servicios de certificación (TSL) correspondiente a los prestadores que expiden certificados reconocidos y que están establecidos y supervisados en España, que se presenta a continuación en sus formas HR (PDF legible, destinado a humanos) y MP (XML, procesable por máquinas).

En el momento de redactar este artículo, la versión de la lista está recién generada (el 28 de julio de 2011) y es válida hasta el 24 de enero de 2012.

Información sobre TSL en el MITyC

Camerfirma, adjudicataria del servicio de certificación de la Comunidad de Madrid


Camerfirma ha resultado la  adjudicataria del servicio de certificación licitado por la Comunidad de Madrid.

El pasado mes de marzo de 2011, la Comunidad de Madrid publicó un concurso público para la adquisición de servicios de certificación electrónica. Dicho concurso abarca soluciones y servicios de firma electrónica para adaptar convenientemente a la Comunidad de Madrid a la Ley 11/2007.

Cinco han sido las entidades de certificación que se presentaron, siendo Camerfirma la ganadora y elegida por el órgano de contratación.

El pliego «Servicios de Certificación Electrónica» numero de expediente EXP:ECON/000889/2010, contempla la emisión de certificados de empleado publico no solo de la propia Comunidad de Madrid, sino también a Ayuntamientos de menos de 50.000 habitantes, así como certificados de sello electrónico para actuación automatizada, certificados de sede electrónica, servicio de sellado de tiempo, y certificados para ciudadano, entre otros.

AC Camerfirma según requerimiento del pliego proveerá los servicios de registro de usuarios, emisión, renovación, revocación, suspensión y archivo de certificados reconocidos de clave pública, publicación de certificados y del registro de certificados, y registro de eventos significativos.

En el proyecto se van a crear 85 Autoridades de Registro delegadas de Camerfirma, que harán uso de la plataforma de gestión de certificados PKI que cubre la gestión del ciclo de vida de los certificados así como todos los aspectos adicionales relacionados con la distribución, tales como la gestión de incidencias, generación de evidencias, monitorización, gestión de usuarios, roles, etc

Camerfirma viene ofreciendo a distintas Administraciones, Instituciones y Organismos Públicos, soluciones de certificación digital y sellado de tiempo que permiten dar solución a los distintos requerimientos definidos por el Real Decreto 1671/2009, de 6 de noviembre que desarrolla la Ley 11/2007 de acceso electrónico de los ciudadanos a los Servicios Públicos, y que implican autenticación, firma electrónica, cifrado y evidencias temporales. Los certificados de Camerfirma cumplen con el perfil del Consejo Superior de Administración electrónica para la Ley 11/2007 y es posible comprobar su validez a través de la plataforma gestionada por el Ministerio de Política Territorial y Administraciones Públicas @firma.

Camerfirma ha emitido certificados de empleado público, sello electrónico para actuación automatizada, sede electrónica, sellado de tiempo, certificado de firma de código, soluciones de publicación certificada, etc. para multitud de Administraciones Públicas tales como Ministerios, Gobiernos regionales, Ayuntamientos, Diputaciones y Cabildos; Organismos públicos tales como Aena, Adif, Boletín Oficial del Estado, Consejo superior de Deportes, Instituto Nacional de Administraciones Públicas, Autoridades Portuarias, Empresas Municipales de Aguas, Guardia Civil Dirección general de la Policía, etc.

Camerfirma viene trabajando con la Comunidad de Madrid desde el año 2006. La Comunidad de Madrid entonces, contrató a Camerfirma la emisión de certificados de atributos para sus empleados. Así mismo, la Comunidad de Madrid adquirió en Diciembre de 2009 el servicio de sellado de tiempo con el cual además de permitir el sellado de tiempo de culquier archivo electrónico, se firma el BOCAM – Boletín Oficial de la Comunidad de Madrid

EDITRAN y la Firma Electrónica


EDItran® es un conjunto de productos para la implantación de soluciones de comunicaciones avanzadas, que posibilitan la conectividad directa entre las aplicaciones informáticas de diferentes empresas, organismos y entidades públicas o privadas, etc.

Se trata de una plataforma de comunicaciones estructurada en diferentes capas funcionales, siguiendo las recomendaciones generalmente aceptadas para el desarrollo de sistemas de comunicaciones abiertos, que se materializa mediante la implantación de diferentes módulos.

Lo comercializa INDRA y permite la interconexión de plataformas heterogéneas, como las basadas en z/OS, las basadas en Unix (en sus diferentes variantes), las basadas en OS/400 y las basadas en Windows, y permite utilizar diferentes protocolos de transporte como X.25, LU6.2 (VTAM)  y TCP/IP.

Permite el intercambio de ficheros AEB (o CSB 19, 34, 43, 57, 58), los de XBRL, los de la AEAT (declaraciones 038, 156, 181, 183, 187, 188, 190, 191, 192, 193, 194, 195, 196, 198, 199, 291, 296, 345, 346, 347, 349, 611, 616) o los de la Tesorería de la Seguridad Social (TGSS), Catastro, IGAE, INEM, IMSERSO.

Uno de los módulos de EDITRAN, denominado Criptolib/DES permite el cifrado simétrico de datos con los algoritmos DES y TDES (Triple DES) y un uso básico del cifrado RSA utilizado en el intercambio de claves.

Para el uso de la firma electrónica, EDITRAN incluye un soporte básico de firmas en formato PKCS#7 (el formato primitivo del que surgió CAdES) en el módulo EDITRAN/FF pero solo implementa la generación y comprobación de firmas en sistemas Unix y Windows,  dando soporte a certificados PKI en estas plataformas. Se puede utilizar desde MVS, OS/390 o  z/OS, siempre que se utilicen sistemas satélites (en Unix o Windows), a través de un interfaz de ficheros EDITRAN/G que permita también acceder a dichos ficheros por NFS. De esta forma el Mainframe deja accesibles los ficheros y las firmas (en modalidad «detached») tanto al entorno EDITRAN por un lado, como al entorno NFS por otro. Así un sistema windows o linux pueden acceder como clientes NFS a los mismos ficheros y generar o comprobar firmas electrónicas PKCS#7.

Albalia da soporte a las firmas XAdES y PDF (en las modalidades extendidas, según se describen en las normas TS 101 733 y TS 102 778) en entornos maiframe a través de la suite zBackTrust, siendo la única solución disponible para entornos como z/OS y otros derivados de OS/390. También da soporte a las firmas CAdES (firmas basadas en CMS: Cryptographic Message Syntax, formato evolucionado del veterano PKCS#7) según la especificación TS 101 733. Las firmas generadas y validadas por las soluciones de Albalia exhiben el mayor nivel de compatibilidad (según las pruebas CAdES/XAdES Plugtest) por lo que interoperan con las de otros fabricantes sobre cualquier plataforma.

Para usos avanzados de firma electrónica en entornos Mainframe, la solución zBackTrust es la única disponibles y está certificadas por IBM. Gracias a ellas es posible utilizar EDITRAN en Mainframe sin renunciar a la compatibilidad, y sin necesidad de definir complejos sistemas de conexión con equipos externos. De esta forma aumenta la eficiencia y es posible usar para firmar los equipos CryptoExpress 2 (4764) y Crypto Express3  (4765) habitualmente entregados en las configuraciones estándar de equipos como z10 o zEnterprise.

FESA, the Forum of European Supervisory Authorities for Electronic Signatures


Aunque parece que el Foro FESA (Forum of European Supervisory Authorities for Electronic Signatures) está un poco inactivo últimamente, puede ser interesante rescatar alguno de los documentos que han publicado, orientados a resolver dudas sobre la aplicación de la Directiva 1999/93/CE.

FESA, the Forum of European Supervisory Authorities for Electronic Signatures, is a forum open to those bodies who are responsible for the operation of systems of supervision as they are defined in the European Signature Directive 1999/93/EC. The scope of FESA is to support cooperation among such bodies and to develop common points of view for the dialog with political or technical institutions.

FESA members meet regularly at least three times a year (not sure of this), exchange information and discuss matters of cooperation between supervisory authorities.

Statute

1. Scope

The scope of the Forum is to support cooperation among bodies responsible for the operation of systems of supervision as defined in Art. 3.3 of Directive 1999/93/EC*, harmonisation of such bodies’ activities, and to develop common points of view for the dialog with political or technical institutions, in particular the European Commission, the Electronic-Signature Committee referred to in Art. 9 of Directive 1999/93/EC, and standardisation institutions. It is not intended to duplicate the work of the Article 9 Committee.

The Forum is no legal entity. Performing their supervisory activities the members cannot be bound by decisions of the Forum.

2. Members

The following institutions are invited to become members of the Forum:

a) national bodies responsible for supervision according to Art. 3.3 of the Directive 1999/93/EC and/or for voluntary accreditation or approval schemes from all European Union and European Economic Area member states that have an interest in discussing the scope of the Forum (Art. 1),

b) comparable bodies from European Union candidate states, and

c) upon unanimous vote, comparable bodies from other countries that have transposed or intend to transpose the Directive 1999/93/EC.

Each member decides on its representatives in the Forum.

The Board keeps a directory of the members of the group. The simple majority of the members present at the assembly of the Forum decides in cases of doubt about membership.

3. Associate Members

National bodies responsible for supervision and/or voluntary accreditation or approval schemes with regard to products or services comparable to those within the scope of the Directive 1999/93/EC from countries that are not members of the EU or the EEA and are not EU-membership candidates, may apply for associate membership if they have an interest in discussing the matters within the scope of the Forum (Art. 1).

The applications may be granted by a unanimous vote of the members present at the assembly of the Forum.

The European Commission has the rights of an associate member.

Associate members may attend the assembly of the Forum and have similar rights to the members, except that they do not have the right to vote and can not be elected to the Board. Upon request of a member, the Board can decide that specific issues must be discussed only among members.

4. Guests

The Board can invite guests according to the agenda of a meeting.

5. Assembly of the Forum

The Forum meets regularly. The Board invites for the meeting of the assembly at least two times a year or if five members request it. Invitations must be sent at least one month in advance.

6. Decisions of the Forum

The Forum can decide using presence voting, if all members have been invited and the topics for decision have been included in the invitation. For decisions which require a unanimous vote, at least half of the members must be represented at the assembly. Only members that are represented at the assembly have the right to vote.

The Forum can also decide using the written voting procedure. The decision about the use of the written voting procedure is made by the Board and announced using electronic means. In this case, the proposal to be decided upon is distributed to the members by the Board along with the announcement. The Board also sets a deadline not shorter than 14 calendar days from the day of the announcement for voting. For decisions which require a unanimous vote, at least half of the members must cast their votes. Members may cast their votes using electronic means. Within five days after the deadline, the Board officially announces the result of the voting procedure and publishes the final text of the decision adopted, if any. During the deadline, any Forum member has the right to request the use of the presence voting procedure. In this case the written voting procedure is terminated without result and the issue is examined at the next meeting of the assembly.

Approval or modifications of this statute must be decided unanimously.

7. Board

The Board consists of a chairman and two secretaries. Each Board member must be a representative of a Forum member.

The Board is elected by the Forum. The three members of the Board are elected separately. The Forum decides whether the votes are given open or by ballot.

If a candidate does not get the simple majority of valid votes in the first vote, a second election decides among the two candidates with the most votes. If only one candidate is nominated, this candidate needs the simple majority of attending members.

The Board is elected for a period of two years beginning with the day of the election. Board members can resign at any time. A Board member loses its function, if it stops being a representative of a Forum member or if the Forum member leaves the Forum. When a Board member resigns or loses its function, a new Board member is elected for the rest of the period. At any time, the Forum can decide to elect a new Board (Art. 5).

In case it is not possible to elect a chairman until the end of a regular period, a temporary chairman for the period until the end of the next meeting may be elected by the Forum.

8. Duties of the Board

The Board shall

a) call the assembly of the Forum and prepare the meeting in cooperation with the hosting member,

b) decide on the agenda of these meetings and select persons for moderating the discussion,

c) invite guests to the meetings according to the agenda and the Forum’s statute,

d) take and distribute the minutes of the meetings.

The Board comes to its decisions unanimously and is represented by its Chairman.

Public documents

The following documents have been published by FESA:

Bundle: Todo lo necesario para gestionar la firma electrónica corporativa


La Ley 11/2007 marca una serie de obligaciones a los organismos del sector público, de forma parecida al artículo 2 de la Ley 56/2007, que impone a las entidades privadas de especial relevancia económica la obligación de contar con un sistema de interlocución telemática.

Entre los aspectos que las entidades deben manejar para ello están los relativos a la firma electrónica. Deben saber como realizar y comprobar firmas electrónicas, y como integrarlas en sus sistemas informáticos.

Para más información llamar...

Para facilitarlo, un conjunto de empresas especialistas de primer orden nos hemos puesto de acuerdo para configurar un «bundle», un paquete de elementos tecnológicos, que facilitan el despliegue de la firma electrónica de una manera sencilla y económica, y sin rebajar las exigencias de normas de referencia como el Esquema Nacional de Seguridad y el Esquema Nacional de Interoperabilidad.

El «bundle» (con un precio imbatible) está compuesto de los siguientes elementos:

  • Un HSM de red de Safenet
  • Una auditoría especializada (de DSCF) de Albalia Interactiva
  • Un certificado de AC Camerfirma
  • Un conjunto de horas de asesoramiento de Albalia Interactiva
  • Un curso de formación sobre firma electrónica de Atenea Interactiva.

Este «bundle» permite incorporar un Dispositivo Seguro de Creación de Firma (DSCF) en aquellas instituciones que ya cuentan con sistemas de firma electrónica pero todavía no han incorporado este elemento imprescindible en su infraestructura.

Si la entidad no cuenta con un sistema de firma electrónica, hay servicios y productos adicionales disponibles:

  • Software de firma electrónica de Albalia Interactiva
  • Software de comprobación de firmas electrónicas de Albalia Interactiva
  • Software de centralización de claves para múltiples puestos de trabajo de Vanios

Y, por supuesto, también está disponible todo el catálogo de productos y servicios de todos los partners participantes en esta promoción.

Timestamping de EADTrust: certificado de TSA


Jerarquía de Certificación EADTrustUno de los servicios más importantes de los que presta EADTrust es el de sellado de tiempo (time stamping), que se usa en muchos otros servicios relacionados con la fehaciencia electrónica. Por ejemplo en los sistemas de publicación fehaciente.

Aunque la regulación del Timestamping no sigue unos patrones tan rigurosos como los servicios de certificación (especialmente los que emiten certificados cualificados a personas físicas), frecuentemente las entidades y organismos que precisan sellos de tiempo se preguntan a qué entidad se los pueden contratar.

En España, la fuente de referencia es el censo de prestadores de servicios de certificación del Ministerio de Industria, Turismo y Comercio, ya que esta actividad está supervisada.

En el caso de EADTrust, ya he hecho referencia en otros artículos a sus certificados raíz que definen el origen de la confianza.

Ahora quiero referirme a los certificados de los propios servicios que firman los sellos de tiempo.

Para facilitar el trabajo a los desarrolladores de software, posiblemente les venga bien conocer dicho certificado: Certificado de la TSA (Time Stamping Authority)

Iguala


La iguala es el pago de una cantidad ajustada que se hace con arreglo a unos servicios contratados.

Este es uno de los primeros servicios que puso en marcha Albalia Interactiva, y que seguimos ofreciendo en la actualidad.

Se trata del soporte especializado de consultoría y asesoría en temas de firma electrónica, factura electrónica, banca electrónica, administración electrónica, documentos electrónicos, evidencias electrónicas, comercio electrónico y medios de pago (entre otros aspectos) a entidades de todo tipo que lidien con esos temas, que cuenten con recursos para gestionarlos, pero que no necesitarán contar con especialistas caros, si solo tienen necesidad de ellos en momentos puntuales.

Con una couta mensual muy ajustada se cuenta con especialistas que pueden resolver cualquier duda por compleja que parezca, tanto en temas técnicos como jurídicos.

Firma electrónica centralizada en servidor


El próximo 31 de mayo de 2011 se celebra en Barcelona (Hotel Abba Sants, C/ Numancia, 32 – 08029 Barcelona) el seminario «Firma electrónica centralizada en servidor. SOA, Cloud Computing, Software as a Service» organizado por Atenea Interactiva. El coste de inscripción es de 450 euros, pero resulta bonificado por la Fundación Tripartita (llame al 902 365 612 para conocer los detalles).

Este curso es una mejora del impartido en Madrid el pasado 5 de mayo con el título Firma Electrónica en Arquitecturas SOA. Servicios PKI.

Este es el programa previsto:

1. SOA – Service-oriented architecture

  • Introducción y conceptos SOA
  • El modelo de referencia SOA
  • Implementaciones SOA (SOAP y REST)
  • Software as a Service. Cloud Computing. La(s) nube(s), privadas y públicas.

2. Cumplimiento de obligaciones con SOA

  • Sector Privado: La Interlocución Telemática de la Ley 56/2007 con SOA
  • Sector Público: La Administración Electrónica de la Ley 11/2007 con SOA

3. Conceptos de firma electrónica y PKI

  • Conceptos criptográficos
  • La firma digital
  • Los certificados digitales
  • La legalidad de la firma electrónica

4. PKI – Servicios Avanzados

  • TimeStamping – Sellos de Tiempo
  • Validez de certificados
  • Firmas “básicas” y firmas “completas”
  • Firmas “remotas”

5. La firma digital como elemento de arquitectura

  • Introducción. Cambio de paradigma.
  • Gestión segura de claves. Dispositivos hardware criptográficos.
  • PKIs internas.
  • Los servicios de firma digital
  • El estándar DSS.
  • La firma asíncrona (portafirmas).

6. Formatos y estándares de firma

  • Tipos de firma “legales”
  • Formatos básicos
  • Firmas “longevas”
  • Formatos AdES (XAdES, CAdES y PAdES)
  • Políticas de firma

7. Firma electrónica en las Administraciones Públicas

  • La firma electrónica en la Ley 11/2007, el ENI y el ENS. Norma CCN-STIC-807
  • Procesos de firma automatizados. Sello de órgano y CSV
  • Servicios de firma y validación disponibles para Administraciones Públicas
  • Políticas de firma en las AAPP. Descripción y diseño.
  • Interoperabilidad. TSLs. Proyecto Stork

8. Identidad Digital

  • La identidad digital en Internet. Identidad 2.0
  • Los sistemas de federación de identidades
  • Los sistemas “fuertes” de autenticación

n

Appliance de firma electrónica


Ya está disponible en formato appliance (y prácticamente con Configuración Cero) el aclamado sistema de firma electrónica BackTrust que permite a los organismos públicos cumplir con la Ley 11/2007 y a las entidades privadas poner en marcha el sistema de interlocución telemática al que les obliga la Ley 56/2007.

Hoy presentamos la variante xBackTrust, construida en torno a un equipo base de IBM x3650 y reforzado criptográficamente con placas IBM 4764 o Safenet Luna PCI.

El xBackTrust Appliance de Firma Electrónica gestiona firmas completas XAdES-XL y firmas PDF. Las genera, comprueba, prepara para el almacenamiento a largo plazo. Maneja TSA facilitando el uso de timestamping a través de protocolo OASIS DSS. Comprueba la validez de los certificados de cualquier prestador español o europeo. Es compatible con @firma y EADTrust.