Productos y servicios
| Autor | José Luis Ferrer Gomila |
| Cargo | Doctor en Informática. Ingeniero de Telecomunicaciones Profesor de Ingeniería Telemática de la Universitat de les Illes |
| Páginas | 70-95 |
AUTORIDADES DE CERTIFICACIÓN
El Real Decreto-ley 14/1999, de 17 de septiembre, sobre firma electrónica, ha provocado un revuelo notable tanto en el ámbito jurídico como en el ámbito técnico. Entre los aspectos que aborda encontramos el de los prestadores de servicios de certificación. Pero, por fortuna o por desgracia, previamente a la publicación de este Real Decreto-ley, ya podían encontrarse distintas organizaciones, aquí en España, que realizaban tareas de prestador de servicios de certificación (o de autoridades de certificación, según la terminología que se ha venido utilizando hasta la fecha en el mundo técnico) . Recogeremos en esta sección algunas de estas organizaciones que ejercen (de momento sin carácter de prestador de servicios de certificación acreditado) estas funciones. No estarán todas las que son, pero hasta el momento de cerrar esta sección sí que eran todas las que están.
-
Autoridad Pública de Certificación de la Fábrica Nacional de Moneda y Timbre1
El proyecto CERES (CERtificación ESpañola) , liderado por la Fábrica Nacional de Moneda y Timbre, nació con el objetivo de establecer una Entidad Pública de Certificación, para permitir la autenticación y la confidencialidad de las comunicaciones entre ciudadanos, empresas u otras instituciones y administraciones públicas a través de redes abiertas de comunicación (como es el caso de Internet) . Por tanto, el objetivo principal de CERES es permitir que se establezcan comunicaciones seguras con la Administración, realizando esta tarea de forma transparente al usuario. Entendemos por comunicaciones seguras entre los ciudadanos y la Administración, las que permiten garantizar la identidad de ambos partícipes en una comunicación, así como la confidencialidad e integridad de los mensajes intercambiados.
En estos momentos se encuentran en marcha diferentes colaboraciones con un número importante de organismos para el desarrollo y prueba de sus aplicaciones de servicio público a prestar a través de Internet, pudiendo citar: Agencia Tributaria, Xunta de Galicia, Comunidad de Madrid, Ayuntamiento de Madrid, Gobierno Balear, Ayuntamiento de Sabadell, Junta de Castilla y León, Ministerio de Presidencia, MAP- CIABSI (Proyecto SILICE) , MAP- Proyecto Ventanilla Única (PISTA) , Intervención General del Estado y Asociación Navarra de Informática Municipal (ANIMSA) , entre otros. Sin ningún género de dudas la colaboración más importante ha sido con la Agencia Tributaria, para la que en la campaña de la declaración del IRPF de 1998, durante la primavera de 1999, expidió del orden de 20. 000 certificados, a través de oficinas de la Agencia Tributaria y de Correos.
-
Destinatarios
Cualquier institución o empresa pública o privada, así como los ciudadanos que previamente se hayan registrado como usuarios del sistema en cualquiera de las oficinas de Correos u otras entidades establecidas al efecto, en los siguientes tipos de comunicación: - Los órganos de la Administración General del Estado en sus relaciones recíprocas o con los organismos públicos vinculados o dependientes de aquella, así como las de estos organismos entre sí. - Las personas físicas y jurídicas en sus relaciones con la Administración General del Estado y los organismos públicos vinculados o dependientes de la misma. - Las Comunidades Autónomas, Entidades Locales, y las entidades y organismos de las mismas dependientes o vinculadas cuando se hubiera formalizado convenio o acuerdo con la FNMT, sin perjuicio de las especialidades derivadas de su propia organización. - Las entidades gestoras y servicios comunes de la Seguridad Social, así como aquellas entidades de derecho público que ejerzan potestades administrativas, de acuerdo con la Ley 30/1992, de 26 de noviembre.
-
Servicios ofrecidos. Tipos de certificados
CERES agrupa los servicios a prestar por la Entidad de Certificación en dos tipos: servicios básicos y servicios avanzados. Los servicios básicos, sobre los que se apoyan otros servicios, incluyen servicios de certificación de claves, registro de usuarios y publicación. Los servicios avanzados son los que se refieren a la certificación de documentos y recuperación de claves.
Dentro de los servicios básicos, los servicios de certificación de claves, en los que se opera básicamente como Autoridad Certificadora según X. 509v32, incluyen los siguientes servicios: emisión de certificados, revocación o suspensión de certificados (emitiendo listas de certificados revocados) , archivo de certificados (vigentes y expirados) , generación de claves, archivo seguro de claves y registro de eventos significativos (para garantizar la auditabilidad de la infraestructura) . Los servicios de registro de usuarios, en los que se opera como Autoridad de Registro de usuarios, incluyen: el registro de emisión, que permite garantizar la identificación segura del usuario para la emisión de su certificado, y el registro de revocación, que permite realizar suspensiones o revocaciones de certificados. Los servicios de publicación son los servicios mediante los cuales se da a los usuarios acceso a certificados o a información sobre los mismos, listas de certificados revocados, o cualquier otra información relativa a los servicios de la Entidad de Certificación. Por una parte tenemos la publicación de políticas y normas, poniendo a disposición de los usuarios la declaración de prácticas de certificación (CPS, Certification Practice Statement) . Además CERES proporciona un directorio seguro de certificados. Finalmente, se dispone de un servicio de publicación de certificados o listas de revocación por medios distintos al directorio seguro, por ejemplo dando acceso en línea a información sobre el estado de los certificados (vigente, suspendido o revocado) . Dentro de los servicios avanzados, los servicios de certificación de documentos incluyen: certificación temporal (timestamping) , certificación de contenido y confirmación de envío, entrega y recepción de documentos en sistemas de mensajería. Los servicios de recuperación de claves incluyen: el soporte de confidencialidad, en que se proporcionan (a los usuarios) certificados orientados a funciones de confidencialidad (intercambio de claves de sesión para el cifrado de datos) , y un agente de recuperación de claves, únicamente de las claves orientadas a confidencialidad (las claves para firma digital no pueden recuperarse en ningún caso) . CERES emite los siguientes tipos de certificados:
- Certificados de autenticidad: garantizan la integridad de la asociación entre un par de claves y una persona física identificada a través del registro de usuarios.
- Certificados de confidencialidad: dan soporte, de forma confidencial, a la comunicación o almacenamiento de datos.
En determinadas circunstancias, y para periodos de tiempo concretos, la FNMT puede emitir certificados con características y requerimientos distintos a los definidos anteriormente (por ejemplo certificados SSL3) .
-
Identificación y Autoridad de Registro
Los niveles de seguridad exigidos a la infraestructura en CERES, requieren un procedimiento de registro con presencia física del interesado que, dada la escala nacional a la que se orienta el servicio, requiere una infraestructura de registro de alcance nacional que vendrá proporcionada por la red de oficinas de Correos y Telégrafos. Es decir, llegado el momento, los usuarios podrán acceder a los servicios de registro (sea para solicitar la emisión de sus certificados o para su revocación o suspensión) desde cualquier oficina de Correos o cualquier otra institución que se determine para tal fin.
La persona que vaya a solicitar su inscripción en la Autoridad de Certificación, bien en nombre propio o en representación de una tercera parte, deberá personarse ante la autoridad de registro autorizada, con la documentación requerida, con el fin de acreditar su identidad.
La autoridad de registro es la entidad encargada de gestionar el alta (así como las revocaciones y bajas) de los usuarios en una infraestructura de clave pública: el usuario se debe dirigir a la autoridad de registro para solicitar un certificado de clave pública con la garantía de la autoridad certificadora asociada a la autoridad de registro. La autoridad de registro es la entidad encargada de garantizar la identidad fehaciente de cada una de las personas o usuarios que se dan de alta en el sistema.
Aunque las funciones de una autoridad de registro son variables en función del modelo de operación decidido para la infraestructura de clave pública, en el caso de CERES asumirá las siguientes responsabilidades: - Efectuar la identificación y autenticación inicial de usuarios - Enviar la información del usuario (datos sobre su identidad, acreditaciones, etc. ) a la autoridad de certificación para la generación de sus certificados - Entregar el certificado y/o el dispositivo de soporte de claves (tarjeta inteligente) al usuario solicitante - Recibir peticiones de suspensión y revocación de certificados por parte de usuarios, validarlas y enviarlas a la autoridad de certificación para su procesamiento.
La autoridad de registro constituye, pues, un componente fundamental de la infraestructura de la Autoridad Pública de Certificación, tanto desde el punto de vista de la seguridad del sistema como de relación con sus usuarios.
-
Generación y almacenamiento de claves
Para cada usuario que solicita los servicios de CERES, se le generan dos pares de claves bien diferenciados: un par de claves es para ser utilizado a efectos de firma digital, y otro par de claves se utiliza a efectos de intercambio de claves de confidencialidad. Debe quedar claro que ambos pares de claves son generados por parte de CERES, sin la posibilidad de intervención del usuario. Las claves privadas de cada uno de estos pares quedarán incorporadas en una tarjeta inteligente que le será entregada al usuario, de tal manera que ni el propio usuario puede llegar a conocer el valor de estas claves secretas. De hecho todas...
-
Para continuar leyendo
Solicita tu prueba