Archivo de la categoría: Smart Cards

Comité técnico PKCS #11 de OASIS

Deja un comentario

El Comité técnico PKCS #11 de OASIS  desarrolla mejoras del consolidado estándar PKCS #11 diseñado originalmente por los Laboratorios RSA, y con información aportada por Cryptsoft , para su uso en bibliotecas de programación, aplicaciones de código abierto, mecanismos de invocación entre programas y productos informáticos. Trabaja en aspectos tales como  directrices de implementación, material formativo (tutoriales) de uso, escenarios de prueba y conjuntos de aplicaciones de prueba, pruebas de interoperabilidad, coordinación de pruebas funcionales, desarrollo de perfiles de conformidad e, incluso,  desarrollo de implementaciones de referencia.

La interfaz PKCS #11 (Interfaz de dispositivo criptográfico -«Cryptographic Token Interface» o cryptoki) define un API genérico de acceso a dispositivos criptográficos. Se utiliza en todo tipo de sistemas para que las aplicaciones informáticas accedan a las claves de custodiadas en los dispositivos conectados, tales como HSM (Hardware Security Module) y tarjetas criptográficas, como la del DNI electrónico.

La API define los tipos de objetos criptográficos más comúnmente utilizados (claves RSA, certificados X.509, claves DES / Triple DES, etc.) y todas las funciones necesarias para usar, generar, modificar y eliminar esos objetos.

Gran parte de los sistemas informáticos utilizados para implementar «autoridades  de certificación»  usa PKCS # 11 para acceder a la clave secreta de firma de la CA o para generar certificados de usuario. El software de diferentes entornos que necesita usar tarjetas inteligentes usa PKCS # 11 (o, alternativamente funciones CSP-Cryptographic Service provider. a través de la denominada «Crypto API»),  para gestionar sus funciones criptográficas.

Entre otros tipos de software, los conocidos  Mozilla Firefox y OpenSSL (con una extensión). Tanto Oracle Solaris como Red Hat Linux  contienen implementaciones de la interfaz PKCS # 11 para el uso de las aplicaciones que se ejecutan en esos entornos.

Como se ha indicado, una forma alternativa de acceder a las funciones criptográficas de los dispositivos en entornos  Microsoft Windows es el uso de la API MS-CAPI específica de la plataforma.

El estándar PKCS # 11 lo creó originlamnete RSA Security junto con sus otros estándares PKCS en 1994.

En 2013, RSA contribuyó con el último borrador 2.30  de revisión del estándar al organismo de estandarización OASIS para que este  continuara el trabajo de mantenimiento del estándar a través del recién creado Comité técnico de PKCS11.

La siguiente lista recoge las principales versiones:

  • 01/1994: Primera versión borrador
  • 04/1995: v1.0
  • 12/1997: v2.01
  • 12/1999: v2.10
  • 01/2001: v2.11
  • 06/2004: v2.20
  • 12/2005: enmiendas 1 y 2 (tokens de contraseña de un solo uso, CT-KIP)
  • 01/2007: enmienda 3 (mecanismos adicionales)
  • 09/2009: borrador de la versión v2.30 de la que no llegó a publicarse la versión final con tratamiento de alegaciones)
  • 12/2012: RSA anuncia que la administración de PKCS # 11 transfiere a OASIS
  • 03/2013: Reuniones inaugurales de Comité Técnico de OASIS PKCS # 11 , partiendo de la versión aportada por RSA v2.30
  • 04/2015: las especificaciones OASIS PKCS # 11 v2.40, (básicamente las v2.30, complementadas con ficheros «header» aportados por RSA/EMC) se convierten en las primeras normas PKCS # 11 aprobadas por OASIS
  • 05/2016: OASIS aprueba la corrección de erratas  «Errata 01» de PKCS # 11 v2.40
  • Actualidad. En curso una profunda revisión del standard que recibirá el número 3 (v3.0)

El estándar actualizado proporciona soporte adicional para casos de uso de computación móvil y en la nube: para aplicaciones distribuidas y federadas que involucran funciones de administración de claves (generación de claves, distribución, traducción, depósito en custodia, cambio de claves); modelos basados ​​en sesiones; dispositivos virtuales y almacenes de claves virtuales; aplicaciones inalámbricas / de sensores en evolución usando comunicación de campo cercano (NFC), RFID, Bluetooth y Wi-Fi.

Los miembros del Comité Técnico PKCS#11 también están diseñando nuevos mecanismos para la instrumentación de la API, adecuados para su uso en prototipos, perfiles y pruebas en entornos de aplicaciones con recursos limitados. Estas actualizaciones permiten la compatibilidad para facilitar la integración de PKCS # 11 con otros estándares de administración de claves criptográficas (cryptographic key management system – CKMS), que incluyen una gama más amplia de algoritmos criptográficos y modelos de servicio.

Según declara el propio comité, en su página web de OASIS, el objetivo del Comité Técnico PKCS11 es la mejora y el mantenimiento continuos del estándar PKCS # 11, ampliamente utilizado en toda la industria como una especificación básica para servicios criptográficos. El estándar PKCS # 11, desarrollado originalmente bajo el liderazgo de RSA Laboratories, especifica una API, llamada Cryptoki, para dispositivos que contienen información criptográfica y funciones criptográficas. La API sigue un enfoque simple basado en objetos, aborda los objetivos de independencia tecnológica (cualquier tipo de dispositivo) y el uso compartido de recursos (múltiples aplicaciones que acceden a múltiples dispositivos), presentando a las aplicaciones una vista común y lógica del dispositivo llamado token criptográfico.

Otras áreas de actividad incluyen la especificación de la nueva funcionalidad PKCS # 11 en apoyo de la integración con otros estándares, en concreto el Protocolo de interoperabilidad de gestión de claves de OASIS (Key Management Interoperability Protocol – KMIP). El comité también participará en actividades que apoyen la implementación efectiva e interoperable de PKCS # 11, incluyendo actividades tales como el desarrollo de orientación sobre el uso de PKCS # 11, el soporte de pruebas de interoperabilidad y la coordinación de implementaciones de referencia.

 

Aplicabilidad del Reglamento Europeo UE 910/2014 (EIdAS)

Deja un comentario

A diferencia de la Directiva 93/1999 /CEE del Consejo, el Reglamento (UE)  nº 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE (denominado reglamento eIDAS por las iniciales de Electronic Identificatiom Authentication and Signature) que entró en vigor el 17 de septiembre de 2014, tendrá un impacto directo y, en algunos casos,  supondrá la derogación de las leyes nacionales vigentes en los Estados miembros.

El Reglamento se aplicará gradualmente en los próximos meses con plazos de entrada en vigor escalonados que concluirán el 01 de julio 2016, con la derogación de la Directiva 93/1999 / CEE.

Desde su entrada en vigor el 17 de septiembre de 2014, ya son de aplicación las disposiciones contenidas en los artículos 9.5, 17.8, 19.4, 20.4, 21.4, 24.5, 27.4, 28.6, 29.2, 30.3, 30.4, 31.3, 32.3, 33.2, 34.2, 37.4, 38.6, 42.2, 44.2, 45.2, 47 y 48. El resto de las disposiciones, a excepción de los artículos 7, 8.1, 8.2, 9, 10, 11 y 12.1, que se aplicará a partir del 18 septiembre de 2015, deben ser implementadas a partir del 1 de julio de 2016. Sólo el  artículo 6 se aplicará a partir del 18 de septiembre 2018.

Desde 01 de julio de 2016 en adelante:

  • Los Dispositivos de Creación de Firma (denominados antes Dispositivos Seguros de Creación de Firma y ahora Dispositivos Cualificados de Creación de Firma) que tuvieran la consideración de tales según  el artículo 3.4  de la Directiva 93/1999 /CEE,  mantendrán su reconocimiento tras la nueva norma (Reglamento eIdAS).
  • Los certificados reconocidos expedidos a personas físicas de acuerdo con la Directiva 93/1999 /CEE se consideran hasta su vencimiento certificados cualificados de acuerdo con la nueva norma (Reglamento eIdAS).
  • Para ser considerados prestadores de servicios de confianza digital cualificados de acuerdo con el Reglamento eIDAS, los Prestadores de Servicios de Certificación que emitían  ​​certificados reconocidos de acuerdo con la Directiva 93/1999 / CEE deben presentar a partir del 01 de julio de 2017 un informe de evaluación sobre el cumplimiento de la normativa técnica y organizativa aplicable al órgano de supervisión (Minetur, en el caso de España).

La aplicación del Reglamento eIdAS, implica la puesta en marcha de 7 actos de ejecución que deben adoptarse en un  año:

  • 3 actos de ejecución relativos a la identificación y autenticación digital (eID)
  • 4 actos de ejecución en materia de servicios de confianza digital
    • Formatos de firma electrónica (artículo 27.4)
    • Formatos de sellos electrónicos (artículo 37.4)
    • Listas de confianza (artículo 22.5)
    • Marca de confianza de la UE (artículo 23.3)

En los más de 16 años de vigencia de la Directiva 93/1999 /CEE del Consejo, cada Estado miembro la ha desarrollado en su legislación nacional adoptando, en algunos casos normas técnicas de organismos como ETSI y CEN. En España, entre otras normas la Ley 59/2003, con disposiciones sobre firmas electrónicas en la Ley 11/2007 y en la Ley 18/2011.

El impacto revolucionario del Reglamento, sin embargo, cambia todos los paradigmas existentes anteriormente, que pueden considerarse los causantes de la falta de interoperabilidad transnacional en el mercado único europeo. El nuevo modelo, destinado a facilitarla, todavía tiene que demostrar su utilidad en un contexto internacional en el que los mayores avances se han producido a partir de la adopción de incoativas de la industria a través del CAB Forum, solo para el ámbito de los certificados para servidores web, en un modelo como en norteamericano de escasa regulación.

Servicios OCSP de FNMT abiertos y gratuitos

3 respuestas

Casi dos años después de que se propusiera como medida de la Comisión para la Reforma de las Administraciones Públicas (CORA), el Consejo de Ministros ha autorizado el pasado 27 de octubre de 2014  la financiación necesaria para una encomienda global entre la Administración General del Estado (AGE) y la Fábrica Nacional de Moneda y Timbre- Real Casa de la Moneda (FNMT-RCM), para la prestación de los servicios de certificación electrónica.

La nota de prensa completa se puede leer aquí. Esta es su transcripción:

Encomienda entre la Administración General del Estado y la FNMT para servicios de certificación electrónica

El Consejo de Ministros ha autorizado la financiación necesaria para una encomienda global entre la Administración General del Estado (AGE) y la Fábrica Nacional de Moneda y Timbre- Real Casa de la Moneda (FNMT-RCM), para la prestación de los servicios de certificación electrónica.

Esta encomienda se enmarca dentro del Informe de la Comisión para la Reforma de las Administraciones Públicas (CORA), y será de aplicación en los órganos, organismos y entidades pertenecientes a la Administración General del Estado.

Además, aquellos organismos que no formen parte de la AGE, así como otras instituciones y poderes del Estado y/o sociedades estatales que ejerzan funciones públicas, podrán sumarse a la encomienda, previa vinculación del presupuesto correspondiente.

Con esta encomienda global se persigue reducir el esfuerzo, tiempo y recursos de los departamentos, organismos encomendantes y de la propia FNMT – RCM. Además, supondrá un ahorro de costes para la Administración General del Estado y la posibilidad de extender los servicios de firma electrónica a otros organismos.

La contraprestación a percibir por la FNMT-RCM para el ejercicio 2015 será de 2,79 millones de euros, inferior al gasto actual realizado por los organismos que quedan incluidos en el ámbito de la encomienda. Debe tenerse en cuenta además que el ámbito de aplicación es mayor que el de las encomiendas actuales.

La entrada en vigor será el 1 de noviembre de 2014 con la prestación de servicios a los servicios centrales del Ministerio de Hacienda y Administraciones Públicas, y el 1 de enero de 2015 para el resto de los departamentos y organismos incluidos en su ámbito de aplicación, con una vigencia hasta el 31 de diciembre de 2015, pudiendo prorrogarse por años naturales.

Con esta encomienda y este presupuesto, no tiene sentido mantener la anomalía que supone que los servicios de certificación digital de la FNMT no ofrecen servicios OCSP abiertos y gratuitos para cualquier servicio público o privado que quiera admitir el uso de los certificados de la FNMT.

Yo creo que los aspectos claves de la encomienda de gestión y los que justifican su elevado coste son los que tienen que ver con el mantenimiento de múltiples sistemas de emisión de certificados y gestión de RA (Registration Authority» para funcionarios, empleados que trabajan al servicio de las administraciones públicas y de la administración de justicia y ciudadanos que pueden solicitar sus certificados en múltiples organismos públicos cuyos funcionarios se han de formar, auditar y administrar.

Seguro que también supone un esfuerzo la tarea (no lograda a día de hoy) de que los certificados de la FNMT se incluyan en los repositorios de confianza de los sistemas operativos, de los navegadores y de los lectores de ficheros PDF, y dejen de aparecer los avisos de «este certificado no es de confianza»

También supone un esfuerzo redactar y mantener las políticas y prácticas de certificación y sus declaraciones.

Supone un esfuerzo asesorar a las diferentes administraciones públicas respecto a la forma de integrar sistemas que hacen uso de los certificados de la FNMT, en su emisión o aceptación.

Hay muchos costes que merecen compensación. Pero no es uno de ellos el mantenimiento de los servidores OCSP que con el último Reglamento Europeo EU 910/2014 han de ser abiertos y gratuitos para todos los prestadores de servicios de confianza digital que expiden certificados cualificados.

Esperamos que quienes negocien la encomienda de gestión tengan en cuenta estos aspectos que parecen obvios pero no se han resuelto en los más de 15 años desde que se inició el proyecto CERES (Certificación Española) en la FNMT.

Por cierto, la disponibilidad abierta y gratuita de los servicios OCSP debe ir acompañada de una correcta codificación de los certificados de la FNMT que en la actualidad siguen siendo una anomalía en la aplicación de la normativa técnica. Entre los aspectos que deben incluir destaca el que ha de servir para saber si un certificado es válido: la inserción en elcampo AIA (Authority Information Access) de la información relativa a la dirección URL en la que está diponible el servicio OCSP abierto y gratuito.

Veremos si finalmente priman los principios de la Comisión para la Reforma de las Administraciones Públicas o si se preservan intereses espúreos, ajenos a los interese de la sociedad española.

Medios de pago móviles en México

Deja un comentario

En México existen diferentes sistemas de pago por móvil y por email que nos hacen recordar los que estuvieron en marcha en España hasta 2009, como Mobipay.

El omnipresente Paypal es lider en los ámbitos de comercio electrónico no solo en México, y cuenta con interfaces de autenticación basados en usuario/password por web y confirmaciones por email. Está bien posicionado para tener un papel relevante en el contexto de los teléfonos móviles, y está empezando a tomar posiciones en el mercado de aceptación de transacciones de tarjetas de crédito y débito en móviles dotados de una «mochila» semejante a la de Foursqure, SumUp o iZettle.

Algunos esquemas de pago por móvil disponibles en México son los siguientes:

  • DineroMail
  • Pademobile
  • MercadoPago
  • Dinero Movil Bancomer
  • Transfer de Banamex

Quisiera destacar especialmente Pademobile.

Lo he conocido de forma muy directa en mi último viaje a México. He visto como se añade saldo al celular en una tienda de conveniencia (Seven Eleven), y se paga con el celular en una de estas tiendas. También he visto como se usa en los pagos de compras en tiendas virtuales (por ejemplo en Gandi, una de las principales librerías por internet). He visto las aplicaciones móviles que han preparado, para pagar facturas desde el celular o aceptar pagos EMV, de forma muy similar a la que oferta iZettle.

Pero me ha parecido extremadamente interesante su posicionamiento en entornos de baja bancarización. Una entidad productora de alimentos de Baja california (Agrícola y Ganadera San Ignacio de Loyola, S.A. de C.V. – AGILSA) paga la nómina a sus trabajadores del campo a través de pademobile. Y estos pueden retirar el efectivo en un cajero instalado en el Valle de Trinidad, a 100 km de Ensenada, que carece de oficinas bancarias, gracias a su celular.

En México no es una sorpresa que muchos trabajadores del campo, desconfiados respecto a las entidades bancarias, aceptan de buen grado el uso del celular para gestiones de cobros y pagos. Y la empresa reduce el riesgo de robos y asaltos que ya se produjeron hace unos años cuando trasladaba los fondos previstos para el pago de nóminas al cierre de cada semana.

Por ese motivo las autoridades apoyan sistemas de este tipo, que alientan la inclusión financiera en entornos vulnerables, e impulsan la adopción de tecnologías en todos los estratos sociales.

Pagos NFC con AvancePay

Deja un comentario

Logo-Avance-PayAvance Pay es una empresa tecnológica suiza fundada en 2011 especializada en soluciones de pago y transacciones basadas en NFC para teléfonos móviles con sede en varios países incluyendo España.

El equipo directivo tiene una larga experiencia en el campo de las transacciones electrónicas y de ticketing, NFC, RFID y  cómo emprendedor tecnológico. Avance Pay está continuamente haciendo crecer su cartera de Propiedad Intelectual.

La tecnología de Avance Pay convierte los smartphones con NFC en Terminales Punto de Venta sin contacto a un bajo coste de inversión, cumpliendo con el standard EMV. Estos Terminales de Pago Móviles permitirán a nuestros partners del sector de servicios de pago, aumentar significativamente su negocio.

El  Terminal de Pago Móvil está diseñado para aceptar cualquier forma de pago sin-contacto, no sólo tarjetas de crédito y débito sin-contacto, sino también aplicaciones de tarjeta virtual móvil basadas en NFC (eWallets). No se requiere ningún lector adicional, sino que el Smartphone o Tablet del vendedor tenga la funcionalidad  NFC integrada, el resultado es una solución todo-en-uno.

Debido a la total protección de todo el sistema, el Terminal de Pago Móvil realiza transacciones altamente seguras tanto en modo online como offline. Esto significa que los pagos pueden ser aceptados de manera segura incluso, cuando el Terminal de Pago Móvil está funcionando en modo offline, es decir, sin conexión con el servidor. Esto permite un uso muy flexible en diferentes áreas de aplicación donde otros equipos fallarían.

Además, el Terminal de Pago Móvil proporciona capacidad de administración e información, incluyendo informes detallados sobre la actividad de las transacciones.

Movil-AvancePay

3 seminarios de interés, Medios de pago y cobro, Notificaciones fehacientes y Firma SOA en Administraciones Públicas

Deja un comentario

Estos dias estoy ayudando a difundir 3 seminarios de interés convocados por Atenea Interactiva:

Haced click en los enlaces anteriores para ver los folletos de los seminarios.

Por favor haced Retweet y ayudadme con la difusión

Iguala

1 respuesta

La iguala es el pago de una cantidad ajustada que se hace con arreglo a unos servicios contratados.

Este es uno de los primeros servicios que puso en marcha Albalia Interactiva, y que seguimos ofreciendo en la actualidad.

Se trata del soporte especializado de consultoría y asesoría en temas de firma electrónica, factura electrónica, banca electrónica, administración electrónica, documentos electrónicos, evidencias electrónicas, comercio electrónico y medios de pago (entre otros aspectos) a entidades de todo tipo que lidien con esos temas, que cuenten con recursos para gestionarlos, pero que no necesitarán contar con especialistas caros, si solo tienen necesidad de ellos en momentos puntuales.

Con una couta mensual muy ajustada se cuenta con especialistas que pueden resolver cualquier duda por compleja que parezca, tanto en temas técnicos como jurídicos.

Fujitsu y «La Caixa» inauguran la era «contactless» en cajeros

Deja un comentario

Fujitsu y “la Caixa” han implantado los primeros cajeros automáticos del mundo dotados con tecnología “contactless” (sin contactos). El equipo, diseñado por la multinacional japonesa, ofrece al cliente la posibilidad de realizar las operaciones financieras habituales de una forma ágil y sencilla. La tarjeta “contactless” identifica al titular sin necesidad que sea introducida en la unidad de lectura del cajero automático. Basta con acercarla al cajero y teclear el número secreto (PIN) para que el cliente pueda efectuar la transacción. De esta forma se agiliza el proceso de retirada de efectivo de un cajero automático.

Los primeros cajeros “contactless” están ubicados en el barrio tecnológico de Barcelona «distrito 22@«, en Sitges y en el centro de Palma. Durante los primeros días de funcionamiento, tienen activa la función de reintegros en efectivo. Posteriormente se iniciará su instalación en otras localidades de las Islas Baleares y Cataluña, y también la ampliación de la oferta de operativas y servicios.

La innovación, diseñada para que el cliente gane en rapidez y comodidad al utilizar un cajero, convierte a “la Caixa” en la primera entidad financiera que crea un servicio comercial con tecnología “contactless” y refuerza su compromiso en la adopción de sistemas tecnológicos que mejoren el servicio que se le proporciona al cliente.

Los cajeros automáticos con tecnología “contactless” también están adaptados a todos los posibles soportes de pago sin contacto como, por ejemplo, los teléfonos móviles con tecnología NFC (Near Field Communication) que se han utilizado en la primera experiencia de pago con el móvil, que se ha llevado a cabo en la localidad de Sitges.

Recientemente, “la Caixa” y Visa Europe han presentado en las Islas Baleares el mayor lanzamiento regional en Europa del sistema de pagos sin contacto. El “Contactless Shopping” supone el estreno comercial en España, a gran escala, de la nueva tecnología internacional de pagos.

Las tarjetas “contactless” también permiten a los clientes realizar pagos rápidos en comercios solamente con acercar la tarjeta al terminal de pagos. Hasta el momento, ninguna otra entidad financiera europea ha apostado por la implantación de sistemas “contactless” en regiones de amplia extensión, dado que sus despliegues no han superado la fase de «piloto».

La seguridad del sistema “contactless” está garantizada y a ella se suma el seguro CaixaProtect, una cobertura que protege a todos los clientes de tarjetas de la entidad ante posibles usos fraudulentos de los medios electrónicos de pago.

Actualmente, “la Caixa”, con cerca de 8.000 terminales de autoservicio, que contabiliza cajeros y kioskos mutifuncionales, es la entidad financiera con la mayor red de todo el sistema financiero español y la segunda mayor de Europa.

El nuevo modelo de cajero de “la Caixa” cuenta con los últimos avances en usabilidad y accesibilidad.

Por ejemplo, tiene dos pantallas, una propiamente transaccional y otra de soporte operativo y comercial, con las que se logra una interacción con el terminal mucho más amigable. La tecnología de reconocimiento de billetes liquida los ingresos en cuenta al momento y también permite el ingreso directo de cheques.

En cuanto a la accesibilidad de los servicios, los cajeros de la entidad están adaptados al sistema Braille y disponen de un software de voz para invidentes. También cuentan con un sistema que permite aumentar la medida de la letra para personas con problemas visuales. Los clientes que sufren problemas auditivos disponen de videos de ayuda en lenguaje de signos. Recientemente, la entidad ha obtenido el Premio Discapnet, otorgado por la Fundación ONCE, a la entidad que más ha destacado por su labor en la mejora de la accesibilidad de las TIC.

“La Caixa” es líder en servicios globales de movilidad en el sector financiero español. La entidad cuenta con casi 7 millones de clientes en banca online, más de 1,8 millones de clientes en banca móvil y 10,34 millones de tarjetas.

Fujitsu proporciona, desde hace más de 30 años, soluciones innovadoras para las entidades financieras lo que le ha permitido convertirse en un referente de este sector, tanto por su base de clientes y volumen de negocio, como por su catálogo global de soluciones y servicios. La multinacional japonesa se ha convertido en el socio idóneo para buscar sinergias operativas en el campo de la tecnología y poder abordar los proyectos TIC necesarios para acometer los procesos de integración en el tiempo requerido, asegurando el éxito de las diferentes iniciativas.

Referencia: Canal Net

Descuento en chipeteras de C3PO para la campaña de la Renta

Deja un comentario

Este año 2011 se adelanta el plazo para la gestión del borrador de la Declaración de la Renta 2010 a través de Internet, lo que permitirá anticipar más las devoluciones de este impuesto. Es hora de actualizarse y evitar largas colas y visitas reiteradas a las instituciones. La forma más rápida y sencilla de obtener y confirmar el borrador de la Renta es utilizando el DNI electrónico u otro certificado digital basado en tarjeta inteligente y un lector de tarjetas chip como el  LTC31 USB de C3PO.

Como en años anteriores C3PO, S.A., con el deseo de colaborar en la promoción del uso de DNI electrónico, durante el periodo de campaña de renta ofrece un descuento del 10% en la compra por internet de su lector LTC31 USB a través de su página web indicando el  Código de promoción: DECTO11 .

Desde el Lunes 4 de Abril de 2011, está abierto el plazo para gestionar el borrador de la declaración del Impuesto de la Renta de Personas Físicas 2010 (IRPF 2010), según la Agencia Tributaria. Dos días después, el 6 de Abril de 2011, comenzarán a practicarse las primeras devoluciones. La atención en oficinas, administraciones y plataformas de renta comenzará un mes más tarde, desde el 3 de Mayo de 2011  hasta el 30 de Junio.

Los contribuyentes que no hubieran solicitado el borrador en la campaña de renta del año pasado podrán solicitarlo a partir del día 4 de abril. Para quienes sí lo indicaron a través de la casilla de petición en la declaración de IRPF 2009 o confirmaron el borrador, su solicitud quedó registrada y se pondrá a su disposición el borrador o los datos fiscales sin necesidad de que reiteren su petición.

Public Consultation on Electronic identification, authentication and signatures

Deja un comentario

As always, the last day comes quickly without enough time to prepare a sound document.

But tomorrow is the last day for this consultation and I though that my opinion could help to others.

Public Consultation on Electronic identification, authentication and signatures

1. Respondent information
Are you replying: On behalf of an organisation
Please provide the name of your Organisation
EAD Trust, European Agency of Digital Trust
Please provide if applicable, your interest Representative Register ID number
Please indicate which type of stakeholder you are Small or medium-size enterprise
Please provide your Name and Surname
Julian Inza
Please provide your email address
julian@eadtrust.com
Your country of residence Spain

2. General expectations regarding EU legislation on e-signatures, e-identification and e-authentication

Question 1: Do you / Does your organisation use e-signatures, e-identification and e-authentication?

 yes
If yes, what are your specific needs? Secure transactions
Unambiguous identification of contract partners
Integrity of electronic documents
Legal effect
Legal effect, contract signatures in particular
User convenience
Others
Please comment why
Electronic invoice, electronic documents of all kinds, electronic evidence

If yes, how frequently do you carry out secure transactions?

 Daily

Question 2: For what online transactions do you consider electronic identification, authentication and signatures useful in coming years?

 eGovernment services
Electronic Public Procurement
eCommerce transactions
eBusiness transactions
Online banking and financial transactions
Issuance of authentic electronic documents
Secure archiving or storage of authentic electronic documents
Others
Please comment why
electronic invoices, secure identification in social networks, electronic banking, web services, automated electronic seals,…

Question 3: What socio-economic benefits or drawbacks do you expect from the use of electronic signatures, identification, and authentication in other sectors of activity than yours?
A huge improvement in efficience and costs reductions. More security, more convenience, tele-operations of all kinds
Question 4: Would a stronger involvement of financial institutions in the provision of trusted e-signature and e-identification services have an impact on the take-up of e-signature and e-identification in other sectors? yes

If yes, what would be the appropriate incentives?
A simpler way to manage revocation information of certificates and to define trusted root certs and chain of trust&nbsp
Question 5: Do you think that there are specific interoperability or security aspects that should be taken into account to foster the use of electronic signatures, identification and authentication through mobile devices (e.g. requirements on the SIM cards, on the handset, on the mobile operator)? yes
If yes, regarding: operational
technical

Question 6: For which of the following trust building services and credentials should legal or regulatory measures be considered at EU-level in order to ensure their cross-border use and why?

 Electronic seals
Time stamping
Long term archiving
Certified delivery of mail
Pseudonyms
Certified electronic documents in general
Others (please list)
Please list
Long term accesible digital custody /electronic chartulary /electronic headoffice /secure verification code / certification validation services

3. e-signatures tailored to face the challenges of the digital single market

Question 7: How do you judge the take-up of electronic signatures in Europe?

 Very high
Please comment why
Citizen ID cards are being adopted in advanced countries, which include 2 or more certificates. Virtuous circle fosters the creation of adapted services
Question 8: Which of the following issues have a negative impact on the uptake of e-signature? You may select up to three answers that have according to you the most important impact. Lack of user-friendly signature solutions
Others
Please comment why
Poor solution for trust discovery of roots CA, bad implementations of OCSP in AIA extension of certificates, insufficient use of timestamping / not enough use of complete (AdES_XL) signatures, legacy management of CRLS to OCSP responses (bound to grace period), excesive use of CRLs for validation

Question 9: Which of the following specific issues have an impact on cross-border interoperability of e-signatures in Europe and should be addressed in a revised legal framework on e-signature (the references point to the articles and annexes of the eSignatures Directive)?

 Unclear terminology in Directive 1999/93/EC and heterogeneous terminology in national legislations
Heterogeneous approach to security requirements (e.g. certification requirements on the signing software in some countries)
Insufficient harmonisation of profiles of qualified certificates
Other
Please comment why
Lack of clear definition of electronic seal for legal persons, lack of clear definition of codes to inform about power of attorney in certificate extensions, unclear effect of qualified certificates without secre signature creation devices, lack of clear definition of automated signature&nbsp

Question 10: Which among the following options could be solutions for signature verification and validation at EU level?

 Other
Please comment why
Common list of OCSP services and timestamping services for all Trusted CAs in Europe. Signature software that creates always AdES-XL signatures including Timestamping and OCSP validation, getting the OCSP address from the AIA field of the certificate. OCSP services with grace period=0, supplied by the CA issuing certificates or a entity in its behalf, forbid the use of CRL for validation purposes. Relying party software that verifies XL signatures, Digital custody for secure storage of signatures,
Question 11: Do you have specific expectations from e-signature standardisation to cover? Mass signature (server signing)
Mobile signature creation devices
Remote signature
Others
Question 12: Do you use «qualified» e-signatures? yes
If yes, how often per month and for which kind and value of transactions?
3/4 per month. Transactions not connected to value. I believe transaction amount limits are relevant only to a few kinds of signatures.

Question 13: What is your view on the need to revise the security provisions of «qualified» e-signatures?

 The current provisions should stay as they are

Question 14: Would a classification of a range of e-signatures be desirable to match different levels of security?

 Yes, a classification would be convenient, it should be defined by law and a legal effect should be associated to each or some classes.
Please comment and explain for which usage a classification would be desirable.
legal person seal, automated signature, powers of attorney with use limits, SSL certificate with legal effects, sinonimous certificates and their effects, qualified certificates without SSCD. person associated to a company or government body acting in assigned role but not needing a representation letter or power
Question 15: Should «electronic consent» be recognised formally by future European legislation? yes

If yes, should legislation (where necessary supported by operational and technical standards) define specific requirements on:

 Others
Please explain why
It is already recognized in standards and is named «content commitment». When a certificate has that bit activated, should verify a proof of consent, including a turing test demonstrating the user has read the message and asking clearly for consent. This kind of use should generate evidences for all involved parties and, where possible, an accesible digital custody (chartulary+electronic headoffice+secure verification code) receipt for them)
Question 16: Should «electronic consent» be considered as equivalent to electronic signatures? yes

Question 17: Are there specific aspects that should be taken into account to address electronic archiving?

 yes
If yes, please specify the legal provisions which are needed in your opinion to address electronic archiving needs?
All electronic documents (signed or not) with legal effect, should be available under security considerations applied to archive (WORM), through a URL of trusted sites (electronc headoffice), with the help of a secure verification code. With additional measures for preserving privacy in specific cases, or to allow to be accessible to third parties for proof or evidential reasons. Paper documents or receipts withs URL and SVC, that can be verified against the electronis versions are considered trustworthy equivalent to authentic documents

4. Principles to guide e-identification and e-authentication in europe
Question 18: Do you see a need for additional legal or regulatory measures on electronic identification at EU-level? yes

If yes, in your opinion, what are the general principles that should underlie the legal provisions on the mutual recognition and acceptance of e-identification at EU-level?

 Others
Please comment
compatibility&nbsp
Question 19: What effects for the digital single market do you expect from legal provisions on an EU-wide mutual recognition and acceptance of eID issued in the Member States? Legal certainty
Reduction of administrative burden
Other
Please comment why
Simplicity for citizen to exercise their rights in all countries, Convenience for citizens, efficience for government bodies and enterprises

Question 20: How could users provided with electronic identification and authentication means benefit from their mutual recognition and acceptance across Europe and in which sectors?

 Increase of user convenience
Simplification of access to online services
Reduction of numerous UID/passwords
Reduced exposure to ID theft
Others
Please comment why
Use in day by day in non online services, to dematerialice paper

Question 21: What are the specific aspects that should be taken into account to achieve cross-sector interoperability of electronic identities?

 Others
Please comment why
Common list of trusted CAs and their roots, Common profiles, common OIDs definitions, Correct codification of OCSP servers in AIA fields

Question 22: Please indicate experiences and lessons learned in the private sector that could be transferred to the public sector.
Please make everything EASY for the final user. And define a consistent user experience for all ID cards. Users then can detect if someone try to cheat them (identifying unusual use patterns)

5. Legislative measures for the challenges ahead

Question 23: What European Union legislative measures on e-signatures, e-authentication of natural and legal person claims as well as e-identification would be appropriate in your opinion to best meet the challenges of the digital single market?

 Other
Please comment why
Reglament better than Directive. Clear rules. Clear language, Legal framework ligned with standards (standards are now better than law, but can not be used in the best way because law does not cover some technical uses)

6. Research and Innovation

Question 24: On what issues should EU R&D and standardisation focus to have all the necessary technology to improve eID management?
Nothing. A lot of money has been spent in past years without real improvement. We have standards. We should use them and in some cases improve them, with normal budget.

Question 25: On which technologies should Research & Development focus to improve the usability of e-signatures and electronic identification for end users and to facilitate the deployment for service providers?
Timestamping services, OCSP services, custodian services, registered notice services, mobile service, intelligent NFC services, interoperability services

Question 26: What technologies could contribute to overcoming the lack of trust in electronic identification, authentication and signatures in the European Single Market (ex. addressing the so-called «what you see is what you sign» issue)?
TSL, XAdES-XL, PAdES-LTV, writen signature digitalization with security measures binding the signature to the document in a way equivalent to «advance signature» with use of trusted third parties

7. Others

Question 27: Europe is fully part of the global economy. However, the forthcoming legal framework cannot cover non EU countries. Are there nevertheless international issues that should be taken into account?
The development of the legal framework must take into account existing standards or be compatible with future global standards. For instance RFC 3739

Question 28: Would you wish to share some best practices examples outside Europe?
Maybe connection of strong authentication with ID cards to federated identity systems (such as SAML) or simple authentication systems such as Open-ID can facilitate the use of Strong identity in social networks

Question 29: Are there any other issues which you think should be addressed by policy makers?
Yes. The use of ID systems and electronic signatures should be a strategic movement covering all kind of documents and sectors. In the past different lobbies or groups of interest have tried to convince EU policy makers to take out electronic signatures from electronic invoices to cite just one area. Electronic signatures should be used consistently in all areas or, at the end, exceptions will be greater that the rule and electronic signature can become useles or even worst, dangerous.
Meta Informations
Creation date
15-04-2011
Last update date
User name
null
Case Number
089674306510210511
Invitation Ref.
Status
N
Language
en