Archivo de la categoría: Smart Cards

ISO 7816-8 Identification cards — Integrated circuit. Part 8: Commands for security operations


Una de las normas que hay que conocer para gestionar tarjetas inteligentes a bajo nivel es la ISO 7816-8.

Para que valoreis si merece la pena comprarla (cuesta 96 Francos Suizos, unos 60 euros), os adjunto su índice:

Foreword
Introduction
1 Scope
2 Normative references
3 Terms and definitions
4 Abbreviations and notation
5 Interindustry commands for cryptographic operations
5.1 GENERATE ASYMMETRIC KEY PAIR command
5.2 PERFORM SECURITY OPERATION command
5.3 COMPUTE CRYPTOGRAPHIC CHECKSUM operation
5.4 COMPUTE DIGITAL SIGNATURE operation
5.5 HASH operation
5.6 VERIFY CRYPTOGRAPHIC CHECKSUM operation
5.7 VERIFY DIGITAL SIGNATURE operation
5.8 VERIFY CERTIFICATE operation
5.9 ENCIPHER operation
5.10 DECIPHER operation
Annex A (informative) Examples of operations related to digital signature
Annex B (informative) Examples of certificates interpreted by the card
Annex C (informative) Examples of asymmetric key import/export
Bibliography

Del monedero electrónico al ciberdinero


Este artículo lo publicó Miriam Prieto el 31 ENE 1997 en Computerworld

Lo he encontrado buscando Virtu@lCash, un proyecto que impulsé hace unos años en Banesto.

Permite constatar lo que se ha avanzado estos años en materia de pago electrónico.

Primero fue el monedero electrónico, que nos ha abierto las puertas de los nuevos medios de pago; y ahora llega el dinero virtual. De momento, la falta de seguridad en las transacciones ha frenado la generalización del comercio electrónico. Mientras la industria avanza en la puesta en práctica de las especificaciones SET (Secure Electronic Transactions), en España Banesto y Asimelec han lanzado Virtu@lCash, una tarjeta privada para la compra a través de InfoVía e Internet. Son sólo los primeros pasos hacia un futuro en el que se impondrá la tarjeta inteligente multifuncional.

Las nuevas Tecnologías de la Información han diversificado aún más los ya numerosos medios de pago. Al dinero en metálico, los cheques y las tarjetas de banda magnética se suman ahora los monederos electrónicos y el dinero virtual, o ciberdinero.

La tarjeta inteligente utilizada como monedero electrónico ya está en la calles, pero no se espera una difusión masiva hasta dentro de unos diez años. Estos monederos son tarjetas de plástico que funcionan como dinero en metálico. El microchip embebido en cada tarjeta almacena una cantidad de dinero no muy elevada (el máximo suele estar alrededor de las 25.000 pesetas) para realizar pagos en quioscos, cines, bares, transporte público, llamadas telefónicas…

Los usuarios cargan el dinero de forma online en los cajeros automáticos, mientras que las operaciones de pago pueden ser off line en los terminales de los comercios. La cantidad de dinero contenida en el chip disminuirá a medida que se vayan realizando las compras. La memoria que utiliza, conocida como EEPROM, es regrabable, con lo que el usuario puede recargar su tarjeta cuando lo necesite.

Telesincro, empresa del Grupo Bull especializada en terminales de pago, asegura que estos monederos cubrirán el mercado de los pequeños pagos, estimado en 10 billones de pesetas. Para ello será necesario en los próximos años contar con unos 30 millones de tarjetas y 700.000 terminales.

En España fue La Caixa, con el soporte tecnológico de la Sociedad Española de Medios de Pago (SEMP), quien abrió el fuego de los monederos electrónicos con una serie de proyectos piloto en la Universidad Autónoma de Barcelona durante 1992. Ahora, los usuarios españoles cuentan con la oferta de VISA Cash, 4B y, en breve, EURO 6000 de la CECA (Confederación Española de Cajas de Ahorro).

De momento, BBV, Argentaria, Caja Madrid, La Caixa y Caja Cataluña han emitido 1.450.000 monederos electrónicos VISA Cash en trece ciudades españolas. Las cifras aumentan vertiginosamente: ahora se cuenta con 45.000 terminales, 32.00 cabinas telefónicas preparadas para su uso y 4.200 cajeros automáticos para cargar el monedero. Para el próximo año se prevé alcanzar 4,5 millones de tarjetas.

La CECA, que inició el proyecto del monedero electrónico en 1995, espera que las Cajas de Ahorro Confederadas lancen durante este año alrededor del millón de tarjetas. «Nosotros consideramos la posibilidad de utilizar la tecnología de VISA Cash y de 4B, pero ellos cuentan con una máscara o sistema operativo propietario denominado Tarjeta Inteligente de Bancos y Cajas (TIBC) que es un sistema muy rígido y tiene una importante problemática de evolución al no cumplir los estándares internacionales. Por eso hemos optado por la máscara de Gemplus adaptada a las especificaciones de la Unión Europea sobre monedero electrónico», explica Antonio José Cerezo, Jefe de Productos del Departamento de Tecnologías y Nuevos Productos de Medios de Pago de la CECA.

La tecnología ya está en la calle, pero ahora es necesario asegurar su uso masivo, que probablemente no se produzca hasta dentro de una década. Para los impulsores de este monedero, tendrán que pasar alrededor de 8 años antes de recuperar las fuertes inversiones realizadas, según asegura Cerezo. Dentro del interés por generalizar su utilización, Visa, IBM y Origin han desarrollado conjuntamente un cargador personal para las tarjetas monedero de Visa CASH. El producto, denominado P100, es un teléfono que actúa como cargador al permitir enviar y recibir información al banco o la caja desde el domicilio, además de ofrecer la posibilidad de hacer consultas online a Internet, InfoVía o mediante videotexto.

Hacia el dinero virtual

Las tarjetas chip también se podrán utilizar para realizar transacciones electrónicas. De momento, comprar en una red abierta es tentar a la suerte. Los fraudes están a la orden del día porque aún no hay una completa seguridad. Nadie asegura que el comprador y el vendedor son quienes dicen ser, que el número de tarjeta que se da existe verdaderamente, que hay fondos que cubran la compra, que aquello que se adquiere vaya a acabar en poder del comprador. Hoy en día, comprar por Internet exige un procedimiento similar al de las ventas por correo y teléfono, no exento de fraude. «Aunque hay ciertos métodos de encriptación aún no hay una seguridad completa. Ahora se realizan muy pocas transacciones electrónicas pero la implantación de los estándares SET ayudará al despegue del comercio electrónico», asegura José María Ayuso, Subdirector General de SEMP y de Visa España.

SET (Secure Electronic Transactions) supone para algunos analistas un hito similar al de las tarjetas de banda magnética durante los años 60. Este conjunto de especificaciones para las transacciones electrónicas acordado por Visa, MasterCard, American Express, IBM, Microsoft, Netscape y otras empresas, permitirá a los españoles realizar compras seguras en Internet durante la segunda mitad de este año. «La seguridad se basa en tres conceptos: la autentificación del titular y del comercio, la integridad de la información mediante procedimientos de encriptación y la privacidad», explica José María Ayuso.

España ha dado el primer paso con la creación de una Entidad Certificadora para todas las transacciones realizadas a través de medios electrónicos. La nueva empresa está participada en un 40% por Telefónica mientras que el 60% restante queda dividido en partes iguales entre la CECA, el Sistema 4B y SERMEPA. «El objetivo es poner en marcha una Entidad Certificadora que de la suficiente confianza a los compradores, vendedores y entidades financieras como para que se pueda fomentar la realización de transacciones electrónicas a través de InfoVía e Internet», explica Alberto Albal, Presidente de Telefónica Sistemas, quien asegura que de esta forma se ha dado el primer paso para poner en marcha un proyecto SET en nuestro país.

Los planes pasan por empezar a operar en un plazo de tres meses; de momento se ha creado un grupo de trabajo que está estudiando las alternativas tecnológicas SET existentes en el mercado, pero aún no se ha concretado nada. Visa España y 4B también trabajan en un proyecto piloto europeo en donde participan bancos de 17 países en Europa con el fin de lograr después del verano una implantación de las especificaciones SET.

Pero la generalización de este tipo de transacciones en redes abiertas no parece posible a medio plazo. «El comercio electrónico en Internet requiere una normalización mundial aceptada además de los actuales estándares SET y EMV. A nivel del usuario particular el uso de Internet es todavía muy pequeño, y en el ámbito empresarial se prefieren redes no públicas para realizar las transacciones. Sociológicamente el monedero electrónico tendrá un impacto mucho mayor que el que pueda suponer las transacciones electrónicas», asegura Cerezo.

Para José María Ayuso, la aceptación de estas nuevas forma de pago en España va a ser la normal cuando se habla de nuevas tecnologías, «el usuario ha recibido relativamente bien el monedero electrónico, y en el caso del comercio electrónico va a depender más que del medio de pago en sí, de la introducción del ordenador personal en el hogar y de la explosión de Internet».

Próximo congreso sobre DNI electrónico de ASIMELEC


El próximo 24 de abril tendrá lugar el I Congreso sobre DNI electrónico y firma digital de ASIMELEC. Ya está abierta la posibilidad de participar como patrocinador del evento.

Exposec 2007 en Reus


Anteayer tuvo lugar en Reus la primera jornada del año 2007 del Programa Exposec 2007 organizado por ASIMELEC.

El evento, que tuvo lugar en las magníficas instalaciones del recinto ferial de Reus, contó con la inauguración oficial por parte de D. Félix Oliva, vicepresidente de la Cámara de Comercio de Reus, y la clausura de D. Jordi Masias, Director General de CatCert-AGENCIA CATALANA DE CERTIFICACION.

En las Jornadas, D. Santi Casas, Asesor de ASIMELEC llevó a cabo la introducción «Análisis de la seguridad como concepto global«, yo hablé sobre «Factura electrónica«, D. Enric Hernández Responsable del área de Seguridad y PKI de ANCERT-Agencia Notarial de Certificación, aclaró aspectos sobre formatos de firma electrónica a largo plazo, José Helguero Director General de HELAS CONSULTORES introdujo las exigencias que impone la LOPD y la LSSI a las empresas y los cambios que se esperan en relación con dichas normas y D. Emilio Castellote Director de Marketing de Producto de PANDA SOFTWARE disertó sobre la evolución del MALWARE y las técnicas de defensa más actuales.

Los aspectos más relacionados con la identidad digital se trataron en la parte final de la jornada, D. Ignacio Alamillo Responsable de la Asesoria Jurídica de CATCERT-Agencia Catalana de Certificación los trató especialmente desde el punto de vista de la Administración Pública, haciendo referencia, entre otros elementos al DNI electrónico. En el mismo contexto, Jorge Gómez Director General deC3PO hizo una introducción a los elementos constitutivos de la firma electrónica y a su uso con trajetas chip y la clausura de Jordi Masias hizo un repaso histórico a los 13 años de firma electrónica en España en los que él mismo ha tenido un papel relevante, junto con otros pioneros.

El nivel de asistencia fue muy considerable tanto en número como en interés de los asistentes, lo que quedó de manifiesto por las preguntas formuladas en el evento.

Al finalizar, en torno a las 15:00 horas, se produjo todavía cierto debate en los pasillos, lo que siempre es un ánimo para los ponentes que vamos a estos eventos y que así obtenemos cierta realimentación sobre el interés de los temas abordados.

Las próximas fechas son:

  • 15-Marzo-2007 Málaga
  • 19-abril-2007 Vigo
  • 17-Mayo-2007 Fuerteventura – Puerto del Rosario
  • 18-Mayo-2007 La Gomera – San Sebastián
  • 14-Junio-2007 Ciudad Real

Os animo a los que seais de la zona a avisar a vuestros conocidos, ya que es una mañana dedicada a tratar temas de gran actualidad que nos pueden ahorrar muchos quebraderos de cabeza sabiendo como enfocar determinados problemas. Y gratis.

Chaquetas Grabba para dispositivos móviles


Cada vez hay más aplicaciones móviles, cada vez hay más aplicaciones que aprovechan la firma electrónica y cada vez hay más aplicaciones en torno al DNI electrónico.

Lo lógico es que vayan aumentando las aplicaciones móviles que aprovechan la firma electrónica en torno al DNI electrónico.

Ya hace 2 años que Albalia Interactiva colaboró con Movistar para desarrollar un proyecto piloto que mostrara la viabilidad de la idea, que ya se ha incorporado a la oferta de seguridad de Movistar. En un post anterior ya describí la pequeña epopeya que supuso la posibilidad de usar los prototipos del DNI electrónico en la firma electrónica por el teléfono móvil celular.

En aquel proyecto contactamos con la empresa australiana Grabba  que disponía del único lector de tarjetas chip existente en forma de «camisa» (a veces se la llama también «chaqueta» por «jacket» utilizado en inglés) adaptada al teléfono-PDA TSM-500. La «camisa» no se utilizó en todo el proyecto porque en ese momento no estaba aún disponible el driver PC/SC para Windows CE.

Pero ahora, la gama de soluciones ha evolucionado mucho.

Con el tiempo, en Albalia Interactiva nos hemos convertido en los distribuidores para España de Grabba, en un momento en el que sus «camisas» se adaptan a prácticamente cualquier PDA o teléfono móvil inteligente. Se da soporte a los sistemas operativos derivados de Windows CE,  PalmOS y Linux, se pueden leer tarjetas de banda magnética, de código de barras, de chip y de RFID. El lector de código de barras se utiliza en todo tipo de aplicaciones de movilidad y el modelo utilizado en las «camisas» es de una gran calidad, lo que permite leer los códigos en las condiciones más difíciles.

En esta lista de productos puede apreciarse que hay versiones para Palm®, Tungsten T5, E2 y TX, Treo 650, 700p, 700w y 750v, para HP iPAQ serie h2210, para smartphones hw6510 and hw6515 y PDAs  rx3415, rx3417 and rx3715, para HP iPAQ serie hx2000 modelos hx2100, hx2400 and hx2700, para la serie de PDA y Smartphones hw 6500 y rx3000, para las series de iPAQ hx2100, hx2400 y hx2700, para los Pocket PC de iMate/O2 Xda /Qtek/ Audiovox/ T-mobile, para la PDA Sharp Zaurus (con Linux), para las PDA Dell Axim x50 and Axim x51.

Y más en camino. El interfaz principal se desarrolla a través de la conexión para la cuna (craddle) de que dispone la PDA o el teléfono inteligente, lo que ha obligado a resolver el problema técnico de hacer que un interfaz diseñado para comunicar en un sentido comunique en el sentido contrario.

Creo que con estos dispositivos tienen sentido muchas aplicaciones en movilidad que en ocasiones solo parecen viables sobre el papel.

SDK de Firma Electrónica


Ahora que el DNI electrónico está provocando el que muchas administraciones y empresas privadas se planteen el desarrollo de servicios en los que sea posible la identificación y la firma electrónica con el DNI (o con cualquier otro certificado reconocido), y que por otro lado muchas empresas estén desarrollando proyectos de Factura Electrónica y Digitalización Certificada se plantea frecuentemente la consulta de qué recusros técnicos hay para ello.

En el mundo del software libre y entre las herramientas de desarrollo de Microsoft y de Java existen ya librerías que resuelven muchos de los pasos necesarios.

También en nuestra empresa hemos recopilado y desarrollado un conjunto de herramientas de desarrollo de software (SDK, Software Development Kit) que permiten acometer proyectos de firma y validación electrónicas.

  • Manejo de los estándares RFC 3126 y sus variantes TS 101 733 (CAdES) y TS 101 903 (XAdES) para firma respectivamente en CMS (PKCS#7) y XML (XML DSig – XML DSign), con la armonización propuesta en TR 102 047 (International Harmonization of Electronic Signature Formats)
  • Soporte de estándares
    • RFC 3280 – Certificate and Certificate Revocation List (CRL) Profile,
    • RFC 3275 – (Extensible Markup Language) XML-Signature Syntax and Processing ,
    • RFC 2797 – Certificate Management Messages over CMS,
    • RFC 2585 – Operational Protocols: FTP and HTTP,
    • RFC 3161 – Time-Stamp Protocol (TSP),
    • RFC 3029 – Data Validation and Certification Server Protocols,
    • RFC 3852 – Cryptographic Message Syntax (deja obsoletos los RFC3369, RFC 3211, RFC 2630, RFC 2315-PKCS #7 version 1.5-)
    • RFC 4853 (Actualización Marzo 2008) Cryptographic Message Syntax – Multiple Signer Clarification
  • Hash según FIPS PUB 180-1 (Secure Hash Standard).
  • Consultas OCSP sobre la validez de los certificados utilizados (RFC 2560)
  • Inserción de sello de tiempo (TS 101 861)
  • Generación y Firma de PDF a partir de ficheros gráficos
  • Firmas automatizadas (Portafolio de Firmas) en PDF hasta 100 firmas por segundo (más de 300.000 firmas por hora)

Estas herramientas las completamos con servicios de Validación y Sello de Tiempo altamente competitivos.

La idea es resolver no sólo la problemática de la firma sino también la de la validación, que es bastante más compleja.

Con tantas siglas y referencias a normas es difícil aclararse. Las normas sobre infraestructura de clave púbkica (PKI) del IETF están recogidas en la página del Grupo PKIX.

(Actualización Marzo 2008) El SDK de Firma Electrónica de  Albalia Interactiva, ahora se incluye como parte de la Suite de Productos Backtrust

Catálogo de Soluciones sobre tarjetas chip


Las tarjetas inteligentes (llamadas también tarjetas chip y en inglés Smart Cards) suponen una tecnogía esencial en Telecomunicaciones, entorno en el que los operadores móviles GSM las emplean como Módulo de Identificación del Subscriptor (SIM: Subscriber Identification Module), en Banca, en donde son la base de tarjetas securizadas para pagos en crédito (EMV: Europay, Visa, Mastercard) y monedero para pequeños importes (CEPS: Common Electronic Purse Specification), y en Certificación Digital donde constituyen Dispositivos Seguros de Creación de Firma (SSCD Secure Signature-Creation Device).

Incluyo a continuación una serie de enlaces a páginas relacionadas con diferentes aspectos de stas tecnologías.

Fabricantes de Circuitos Integrados (IC Manufacturers)

Fabricantes de Tarjetas inteligentes (Smart Cards Manufacturers)

Fabricantes de Terminales (Terminals Manufacturers)

Integradores de Tarjetas inteligentes (Smart Cards Integrators)

Software de Tarjeta Inteligente (Smart Card Software)

Organismos de Normalización (Standards Organisations)

Normas (Standards)

Información sobre Tarjetas Inteligentes (Smart Cards Info)