ii. aspectos legales sobre pki managua, 1ro diciembre 2010
Post on 09-Mar-2015
49 Views
Preview:
TRANSCRIPT
II. Aspectos Legales sobre PKI
Managua, 1ro Diciembre 2010
2
¿Cual es el marco legal ideal del PKI?
Código Civil
Ley deFirma digital
Leyadministrativa
LeyesGenerales Código
Criminal
Ley deProtección de
privacidad
Ley de gobierno electrónico
LeyesEspeciales Ley de
Comercioelectrónico
Regulación para los Proveedores De servicio
De certificación
(Cubriendo los certificadosEncriptados y la firma
Digital
Aparición de los problemas de privacidad en un ambiente electrónico
• Los problemas registrados en la plataforma de InternetEntre 2007 y 2009 comenzaron a surgir graves problemas de fuga de datos personales en librerías en línea, e-tiendas
• Los problemas se produjeron en los canales de envío y suministroFeb.2008 Una librería líder de ventas online filtró alrededor de 6.000 datos de carácter personal de sus clientes. La investigación policial demostró que la filtración de la protección de la privacidad estaba en su proveedor de servicio de envío y los canales de suministro.
• Ataque profesionalLos hackers atacaron e-tiendas ( tiendas electrónicas) o sistema de banca en línea con la finalidad de remover o copiar datos de carácter personal.
Políticas para enfrentar los problemas de privacidad
Plan de Gestión Interna de Seguridad
Servicio de protección de la privacidad o una solución de
seguridad
Establecer un Sistema de Gestión de Protección de la
Privacidad
Fomentar y promover el uso dee-autenticación. Adaptar una plataforma adecuada a mecanismo de seguridad. El gobierno apoyará con soluciones para empresas privadas (tecnología, información, plataforma de consulta, y así sucesivamente)
Marco Legal - PKI
Ley de Firma Electrónica (ESA)Estalecieron los Principios Fundamentales de los documentos y firmas electrónicas.
Regulación de la Autoridad de Certificación (CA)
Ley de Firma Electrónica (ESA)Estalecieron los Principios Fundamentales de los documentos y firmas electrónicas.
Regulación de la Autoridad de Certificación (CA)
Reglamento de la Ley de Firma ElectrónicaDefiniciones y procedimientos para la implementación de la ESA
Reglamento de la Ley de Firma ElectrónicaDefiniciones y procedimientos para la implementación de la ESA
Reglamento de Administración de permisos de proveedores extranjeros de servicios de certificación
Requisitos y procedimientos para obtener el permiso para ofrecer servicio de certificación en Taiwán
Reglamento de Administración de permisos de proveedores extranjeros de servicios de certificación
Requisitos y procedimientos para obtener el permiso para ofrecer servicio de certificación en Taiwán
Reglamento de la información requerida para la Declaración de Prácticas de Certificación (CPS)
Reglamento de la información requerida para la Declaración de Prácticas de Certificación (CPS)
Mapa de ruta de las legislación
1996 1997 2001 2002 2003 2004 2005 2006 2009
1997 Discusión de la necesidad de una legislación.
Nov.14, 2001Promulgación de la Ley firma electrónica
01 de abril 2002Aplicación de la ESA
Discusión de la necesidad de modificar el marco jurídico vigente
Promulgación de reglamentos relacionados con:Reglamentación de la Ley de Firma electrónica2002)Reglamento - Permiso de FC SP (2002)Reglamentos-Para las prácticas de certificación CPS (2004)
Firmas Electrónicas
Nuevo Proyecto de Enmienda(2009)
Estructura de Ley de Firma Electrónica de Taiwán
Gestión del CA (autoridad certificadora )
Gestión del CA (autoridad certificadora )
e-Documento & e-Firmae-Documento & e-Firma
Requerimientos legales para la validez de los e-documentos
Requerimientos legales para la validez de los e-documentos
Requerimientos legales para la validez de e-firma
Requerimientos legales para la validez de e-firma
Requerimientos legales para reservar e-documentos
Requerimientos legales para reservar e-documentos
Envio y recepción de e-documentos
Envio y recepción de e-documentos
Excepción para aplicar ESAExcepción para aplicar ESA
Deberes legales del CADeberes legales del CA
Regla de gobierno CA Regla de gobierno CA
Declaración de prácticas de Certificación (CPS)
Declaración de prácticas de Certificación (CPS)
Aprobación CA extranjeras Aprobación CA extranjeras
Ley de Firma Electrónica (ESA)Ley de Firma Electrónica (ESA)
Principios de la ESA de Taiwán
Ley de firma digital
Ley de firma digital
Neutralidad Tecnológica
Equivalencia funcional
Autonomía de las Partes
Exclusión y excepción
Neutralidad Tecnológica
• Interpretación:La ley no favorece ni aprueba ninguna tecnología específica para la firma electrónica o documentos electrónicos.
• Fundamento:Cualquier tecnología desarrollada para el uso de una firma electrónica válida de los documentos electrónicos, debe cumplir con las funciones fundamentales y definiciones que figuran en la ley de firma electrónica .
? ?
Autonomía de las partes
• Interpretación:Las partes que participan en el comercio electrónico se les permite decidir entre utilizar o no utilizar métodos electrónicos para llegar a sus acuerdos y elegir el método tecnológico para redactar y firmar sus documentos.
• Los propósitos:El respeto de la libre voluntad de cada una de las partes.Proteger a las partes de la brecha digital.
Equivalencia funcional
• Interpretación:El reconocimiento de documentos electrónicos y firmas electrónicas con la misma eficacia jurídica de los documentos y firmas tradicionales en papel.
• Características:El reconocimiento a todos los documentos electrónicos y firmas electrónicas.Requisitos específicos para “instrumentos legales / Firmas”.
Exclusión y excepción
• Interpretación:Reglamento de la ESA se aplican a todos los estatutos y reglamentos de Taiwán.Sin embargo, cada autoridad competente puede excluir conductas específicas de la aplicación de la ESA.
• Propósitos:Conservación de las pruebasBalance para el desarrollo de tecnologías
Principios para regular CA ( autoridad de certificación)
• Interpretación:La ley adopta una política de bajo perfil permitiendo que el mercado lidere el desarrollo de servicios de certificación.
• Propósitos:Para fomentar el desarrollo de las industrias de Certificación.A través de la competencia mejorar la calidad del servicio.
Respeto del mecanismo de mercado
Principios Fundamentales
CA Gestión
CA Gestión
Divulgación de
la Información
Divulgación de
la Información
Esquema de SeguridadEsquema de Seguridad
Protección de Privacidad
Protección de Privacidad
Protección del derecho
Del titular
Protección del derecho
Del titular
Divulgación de la Información
• Obligación de divulgar información a los demás participantes.
• Propósitos:Que todos los participantes tomen conciencia de los riesgos y responsabilidades asociados al servicio de certificación.
• Puntos claveDisponibilidad de la InformaciónCambio de estado
Divulgación de la Información• Objetos
Política de Certificación (CP)Declaración de Prácticas de Certificación (CPS)– Incluidas todas las materias requeridas en un CPS– ejemplos:
información de auditoría.Obligación legal de todos los participantesGestión de la seguridadSituación financieraCondiciones para revocar el certificadoProtección de información de los datos personales.
Modificación de los estados de la CPSCertificadoModificación de los estados del Certificado
Protección de la Privacidad
• Protección de los datos personales de la recolección, divulgación y su uso ilegal o inadecuado.
• Requisitos legales:1. CPS requiere información:
– Categorización de la información confidencial.– Asuntos relacionadas con la protección de datos
personales.
2. Procesamiento computarizado de la Ley de Protección de Datos Personales.
– Recoger en el ámbito de la necesidad.– Consentimiento y el alcance de uso.
Esquema de Seguridad
Mitigar los riesgos inherentes al servicio de autenticación
Control no técnico de Seguridad
Control de Seguridad Técnico
: Personas, documentos, ambiente
: Claves, medidas de seguridad etc.
Esquema de Seguridad
Control de Seguridad No-Técnica
Personas
Registro de Servicio Período de
Presentación Protección Copias Tiempos Frecuencia de
Gestión
Documentos
Compromiso y recuperación ante desastres
Procedimientos de terminación de servicios
Sustitución de claves
Ambiente
• Calificación del Staff• Control de Acceso• Deber de
Confidencialidad• Entrenamiento• Trabajos de ajuste• Disciplina
Esquema de Seguridad
• Software• Seguridad de la Red
Control de Seguridad Técnico
Claves
Medidas de Seguridad
Generación e instalación del par de claves Quién las generó? Son las claves proporcionadas seguras? Longitud, parametros, proposito de uso de las claves
Protección de Clave Privada Modulo de estandares y criptografía Control de claves privadas entre varias personas Archivo de soporte Activación-desactivación y destrucción de claves
Protección del derecho del Titular
• Derechos de los titulares:• Suscriptores de Certificados• Partes de Confianza
• Recupera Daños– Objetos:
– Cualquier daño causado por sus operaciones o cualquier otro proceso de certificación relacionado.
– Responsabilidad por negligenciaCarga de la prueba: Proveedor de Servicios de Certificación
• Limitación de responsabilidad• De resolución de litigios y política de devolución
Procedimiento legal para proveer un servicio de certificación (CA)
CPSCPSApproved
• Cualquier entidad pública o privada puede aplicar para prestar el servicio de certificación.
• Incluyendo cambio de estado del servicio existente.
Procedimiento legal para proveer un servicio de certificación
• Cumplir con el requisito del Reglamento• Pasar revisión por el Comité de Revisión de
CPS• Obligación de publicar el CPS Aprobado en
sitio web oficial del:1. CA2. Ministerio de Economía
• Después de la divulgación del servicios CPS - Aprobado … iniciar la operación del servicio
CPSCPS
Procedimiento para terminación del servicio de certificación
• Encontrar otra agencia para llevar a cabo el servicio– A elección de CA– Nombrada por el gobierno
• Informar a los clientes• Transferencia de archivos y
registros
30 días preaviso
Preparación para terminar el servicio
Plan de terminación (TP)
apro
bad
o
Comité revisión
Despues de completada la
implementación de TP
Esquema de la Práctica actualAutoridad Competente de la regulación de CA:Ministerio de Asuntos Económicos (MOEA)
• examen preliminar del CPS• Examen del Plan de terminación CA• Sugerencia de Comité de Revisión• Sugerencia de Reformas Legales• Redacción de la Ley y el Reglamento• Q & A de la aplicación de la ley para
CA
MOEAMOEA
Departamento de comercioDepartamento de comercio
Privado CAPrivado CA Público CAPúblico CA
STLCSTLC
Componen CPS
Componen CPS
Envíe el CPS para el examenEnviar un Aviso de Plan de Terminación
Revisióncomité
Revisióncomité
Ejemplo 2: e-Gobierno
CA PÚBLICA
Gobierno PKI Estructura No Gob. PKI Estructura
GRCA- Gobierno Root CA
GCA- Gobierno CA
MOEACA-Ministerio de Economía CA
MOICA-Ministerio del Interior CA
XCA-Mix de varias organizaciones CA
HCA- Cuidado de la salud CA
LYCA- Legislativo Yuan CA
Taichung Harbor Bureau CA
Futuro seguimiento• Legislación - Siguiente Nivel
Después de la certificación, las industrias están creciendo y madurando, la Ley de Firma Electrónica está pasando a otra etapa.
• Legislación Siguiente Nivel:
– Fortalecer la regulación de la gestión de CA – Fomentar y ampliar el campo de aplicación del certificado
• 2009 Proyecto de la Enmienda• CA requerida para obtener permiso del gobierno antes de ofrecer servicio
al público.• Fortalecer el poder de la Autoridad Competente.• En sentido estricto de la obligación de CA para poner fin a su servicio• Nueva política para admitir proveedor de servicios extranjeros CA
GRACIAS
• CPS es un documento en el que se detallan los procedimientos operativos sobre cómo ejecutar la política de seguridad y cómo aplicarla en la práctica. Por lo general, incluye definiciones sobre cómo se construyen y operan las Autoridades de Certificación, cómo se emiten, aceptan y revocan certificados, y cómo se generan, registran y certifican las claves, dónde se almacenan y cómo se ponen a disposición de los usuarios.
• una política de certificado (CP) y una declaración de práctica de certificación (CPS) son clave en la determinación del nivel de confianza que puede depositarse en un certificado digital.La política de certificado es el conjunto de requerimientos y aspectos que gobiernan y controlan la creación y el uso de certificados digitales basados en clave pública. Mientras que la declaración de práctica de certificación hace referencia al conjunto de actividades llevadas a cabo por la Autoridad de Certificación en la actividad de emisión de certificados digitales.
• Una autoridad de certificación es esa tercera parte fiable que acredita la ligazón entre una determinada clave y su propietario real
• Autoridades de certificación (CA o certification authorities): que vinculan la clave pública a la entidad registrada proporcionando un servicio de identificación. Una CA es a su vez identificada por otra CA creándose una jerarquía o árbol de confianza: dos entes pueden confiar mutuamente entre sí si existe una autoridad común que directa o transitivamente les avala.
Autoridades de registro (RA o registration authorities): que ligan entes registrados a figuras jurídicas, extendiendo la accesibilidad de las CA.
Autoridades de fechado digital (TSA o time stamping authorities): que vinculan un instante de tiempo a un documento electrónico avalando con su firma la existencia del documento en el instante referenciado (resolverían el problema de la exactitud temporal de los documentos electrónicos
• ¿Qué son los certificados digitales?Son unos documentos, electrónicos, que incorporarían las dos claves citadas antes (la pública y la privada), permitiendo su uso firmar documentos en formato electrónico, pudiéndose de este modo acreditar la identidad del firmante, la integridad del contenido (que no ha sido modificado), así como la fecha de su firma. De cualquier modo, para la facturación electrónica se requería además que quede debida constancia en cuanto al momento de la emisión de la misma, así como del momento de su recepción por el destinatario. Esta última cualidad – acreditación y constancia del aspecto temporal – es lo que se llama sellado de tiempo o time stamping. El sello de tiempo asegura que tanto los datos originales del documento como la información del estado de los certificados, se generaron antes de una determinada fecha.
• AUTORIDAD DE REGISTRO: • Tienen por misión realizar las funciones de asistencia a la Autoridad de Certificación en los
procedimiento y trámites relacionados con los ciudadanos para su identificación, registro y autenticación y de esta forma garantizar la asignación de las claves al solicitante.Función hash: es una operación que se realiza sobre un conjunto de datos de cualquier tamaño, de forma que el resultado obtenido es otro conjunto de datos de tamaño fijo, independientemente del tamaño original, y que tiene la propiedad de estar asociado unívocamente a los datos iniciales, es decir, es imposible encontrar dos mensajes distintos que generen el mismo resultado al aplicar la Función hash.
• Hash o Huella digital: resultado de tamaño fijo que se obtiene tras aplicar una función hash a un mensaje y que cumple la propiedad de estar asociado unívocamente a los datos iniciales.
• LDAP: Lightweight Directory Access Protocol (Protocolo de acceso a servicios de directorio)• Los repositorios: son las estructuras encargadas de almacenar la información
relativa a la PKI. Los dos repositorios más importantes son el repositorio de certificados y el repositorio de listas de revocación de certificados. En una lista de revocación de certificados (CRL, del inglés, Certificate Revocation List) se incluyen todos aquellos certificados que por algún motivo han dejado de ser válidos antes de la fecha establecida dentro del mismo certificado.
• OCSP (del inglés, Online Certificate Status Protocol).• La autoridad de validación (VA): es la encargada de comprobar el estado de
revocación del certificado digital en el momento en el que se quiere utilizar.• Firma electrónica básica: es el conjunto de datos en forma electrónica,
consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación personal.
• Firma electrónica avanzada: es aquella firma electrónica que permite comprobar la identidad personal del firmante respecto de los datos firmados y comprobar la integridad de los mismos, por estar vinculada de manera exclusiva tanto al suscriptor, como a los datos a que se refiere, y por haber sido creada por medios que mantiene bajo su exclusivo control.
• Firma electrónica reconocida: es aquella firma electrónica avanzada basada en un certificado reconocido y generada mediante un dispositivo seguro de creación de firma, lo que le otorga validez legal equiparable a la firma manuscrita.
• POLITICAS Y PRÁCTICAS DE CERTIFICACION CPS Y CP: • Declaración de Practicas de Certificación (CPS): describe las prácticas empleadas
en la emisión y gestión de certificados. Gobierna la gestión de la infraestructura de llaves publicas y podría también incluir las descripciones de los servicios ofrecidos. Provee de un marco legal que describe las obligaciones y márgenes de responsabilidad que asume la Autoridad de certificación, así como sus derechoscon los titulares de los certificados emitidos por esta.
• Política de Certificación (CP): consiste en un conjunto de reglas que indican la aplicabilidad de un certificado a una particular comunidad y lo de aplicaciones con requerimientos de seguridad comunes
• CLR: Certificate Revocation List IssuersLos emisores de listas de revocación de certificado actúan en nombre de la
autoridad de certificación, siendo de carácter opcional aunque sumamenteconvenientes. Son listas de los certificados que han dejado de ser validos y portanto en los que NO se pueden confiar. Estos son revocados en caso como; la llaveprivada se vea comprometida o hayan cambiado los atributos del certificado
• Autoridades de Certificación (CA) : Representan la fuente de credibilidad de la infrastructura de llave pública. Quienes emiten los certificados, firmándolos digitalmente con su llave privada. Certifican que la llave pública asignada en un certificado a una entidad final, corresponde realmente a dicha entidad final. Ver: “CA Trust.pdf” en www.pkiforum.org. Verisign es el representante más conocido.
• 3º Autoridad de Registro, o Registration Authority (RA) :Realiza el proceso de registro de las entidades finales por encargo de la autoridad de certificación. Valida los atributos del sujeto que solicita el certificado, Verifica que el sujeto posee la llave privada a registrar, Genera los secretos compartidos que permiten el proceso de inicialización y certificación. Genera el par de llaves público/privada, ver ANSI X.9 estándares. Valida los parámetros de las llaves públicas presentadas para su registro.
top related