Please enable JavaScript.

Coggle requires JavaScript to display documents.

TEMA 40 : INFRAESTRUCTURA DE CLAVE PÚBLICA (PKI) : DEFINICIÓN Y ELEMENTOS…

- - - - Firma de documentos y correos electrónicos
      - Autenticación de usuarios y servidores
  - - - El certificado digital sigue la recomendación ITU X.509 y es firmado digitalmente por una CA, quien establece el vínculo entre la clave pública y el titular
      - Se establecen jerarquías de Autoridades de Certificación que actúan como tercera parte de confianza, garantizando la autenticidad de la clave pública y su asociación a una persona identificada
      - La CA firma electrónicamente un documento público digital llamado certificado digital, de acuerdo al estándar X.509 v3, que contiene los datos identificativos de la persona y su clave pública
      - Se usa para aplicaciones personales y corporativas en relación con la firma electrónica de documentos, asó como en SSL para conexiones seguras y S/MIME para cifrado de correo electrónico
    - - Son certificados especiales que son firmados por otros usuarios a través de conexiones regidas por la confianza entre ellos.
      - La confianza se otorga de forma descentralizada, a través de una red de usuarios que son los que establecen relaciones y cadenas de confianza para asegurar la asociación de claves públicas e identidades.
      - Cada usuario toma sus propias decisiones sobre las claves públicas en las que confía, en función de su conocimiento y grado de fiabilidad que les merezcan aquellos que a su vez firman otras claves públicas
      - Ejemplo : PGP que utiliza un sistema híbrido de cifrado simétrico y asimétrico
      - Garantiza la integridad del contenido puesto que cualquier manipulación del mensaje será detectada en el proceso de descifrado, la autenticidad de origen y el no repudio, gracias a que realiza la firma digital del mensaje y una vez firmado, se cifra la comunicación con una clave simétrica que es cifrada con la clave pública del receptor, garantizando con ello la confidencialidad
      - Los certificados digitales de identidad son también certificados de clave pública construidos criptográficamente para detectar cualquier manipulación
      - Cualquier usuario puede firmar estos certificados para atestar que cierta clave pública corresponde en un determinado usuario en quien confía. Es decir, el mismo certificado puede estar firmado por varios usuarios, no una única ves por una CA como ocurre en X.509
      - Existen 4 grados de confianza : untrusted (ignorados), marginal (se necesitan dos claves marginales para firmar con validez a una tercera clave), complete (una sola clave puede firmar otras con validez), ultimate (se posee la clave privada y todas las que se firman son válidas)
      - Uso para cifrar correo electrónico o para distribución de software como Linux. No se usa en las relaciones con las AAPP
    - - Diferencias en los certificados digitales : todos los certificados PGP son autofirmados y además contienen un número variable de firmas del resto de usuarios. Los certificados X509 están firmados una única vez por la CA
      - Diferencias en la red de confianza :cualquier usuario puede crear su certificado PGP, que será firmado por otros usuarios para otorgarle confianza formándose nuevos nodos de la red, de forma que cualquier usuario puede actuar de autoridad de certificación. Por otro lado, solo una CA puede expedir un certificado X.509, previa autorización por una RA
      - Diferencias en la revocación de certificados :en el caso de X.509, la firma de la CA es lo que da validez al certificado, con lo que únicamente la CA puede revocarlo. En PGP el usuario puede revocar su certificado
    - - Criptografía basada en identidad : en la que un tercero de confianza opera un generador de claves, que crea las claves públicas y privadas de los usuarios a partir de claves maestras y de la identificación del usuario con cierta información única del mismo
      - Criptografía sin certificados :hace uso de un KGC (Key Generator Center) para crear una clave parcial, generándose la clave privada completa a partir de la citada clave privada parcial y un valor generado aleatoriamente por el usuario.
- - - - Según el Reglamento (UE) 910/2014, el prestador , a través de la RA, realizará esta comprobación :
        
        Por comparecencia presencial de la persona física, o representante de la persona jurídica
        
        Remotamente, a través de medios de identificación electrónica obtenidos presencialmente y que posean un nivel de seguridad sustancial o alto
        
        Por medio de certificados cualificados de firma o de sello
        
        Por medio de otros medios equivalentes a presencia física reconocidos a nivel nacional, acreditados por un organismo de evaluación de conformidad
- - - - No guardar ni copiar en ningún caso la clave privada de los usuarios
      - Mantener un directorio actualizado de certificados en el que se indicarán los certificados expedidos y si están vigentes o si su vigencia ha sido suspendida o extinguida
      - Disponer de un servicio accesible de consulta sobre la vigencia de los certificados rápido y seguro, vía CRL o OCSP, o ambas
      - Disponer de una Declaración de Prácticas de Certificación (DPC), que detalle las obligaciones que se compromete a cumplir
    - - Demostrar la fiabilidad necesaria para prestar servicios de certificación
      - Garantizar que pueda determinarse con precisión la fecha y la hora en las que se expidió un certificado o se extinguió o suspendió su vigencia
      - Emplear personal con la cualificación necesaria, y tener los procedimientos de seguridad y de gestión adecuados
      - Utilizar sistemas y productos fiables
      - Tomar medidas contra la falsificación de certificados y garantizar la confidencialidad de su clave privada
      - Conservar registrada con cualquier medio seguro toda la información sobre un certificado reconocido al menos durante 15 años
      - Utilizar sistemas fiables para almacenar certificados reconocidos
      - Constituir un seguro de responsabilidad civil por importe de al menos 3 millones de euros. Puede sustituirse por aval bancario o seguro de caución
    - - La Ley 59/2003 establece un régimen de supervisión y control de los prestadores que se constituyan.
      - El Ministerio de Industria, Energía y Turismo controlará el cumplimiento de los PSC que expidan al público certificados electrónicos de las obligaciones establecidas por la ley
      - Realizará inspecciones periódicas a los PSC establecidos en España. Estos le facilitarán toda la información y colaboración que precisen
      - Los PSC deben comunicar el inicio de actividad al Ministerio y sus datos de identificación, los que permiten su comunicación con el prestador, las características de los servicios a prestar, certificaciones obtenidas y las de los dispositivos que utilicen
      - Esta información se publica por el Ministerio, donde se puede consultar la relación de PSC que operan en España, así como los servicios que ofrecen
      - La ley prevé un régimen de infracciones y sanciones para aquellos PSC que incumplan los preceptos establecidos en ella. Se clasifican en leves, graves y muy graves y las sanciones pueden llegar hasta los 600000 euros
  - - - Cuando un TSP sin cualificación desee iniciar la prestación de un servicio de confianza cualificado, presentará al Ministerio una modificación de su intención junto con un informe de evaluación de la conformidad expedido por un organismo de evaluación de la conformidad.
      - El Ministerio verificará si el prestador cumple los requisitos del Reglamento. Si es así, concederá la cualificación al prestador y a los servicios de confianza que este presta y actualizará la Lista de Confianza (TSL)
    - - Los requisitos de seguridad aplicables a los prestadores de servicios de confianza (TSP) , tanto cualificados como no cualificados, son :
        
        Adoptar las medidas técnicas y organizativas adecuadas para gestionar los riesgos para la seguridad de los servicios de confianza que prestan
        
        En un plazo máximo de 24 horas tras tener conocimiento de ellas, notificarán al Ministerio de Industria, y al organismo nacional competente en materia de seguridad de la información, o la autoridad de protección de datos, cualquier violación de la seguridad o pérdida de la integridad
        
        Cuando la violación de seguridad o pérdida de integridad puedan atentar contra una persona física o jurídica a la que se ha prestado el servicio de confianza, el TSP notificará también a la persona.
        
        Si la divulgación de la violación de seguridad o pérdida de integridad reviste interés público se exigirá al TSP que informe al público en general
        
        Si afecta a dos o más Estados miembros, el organismo de supervisión informará a los organismos de supervisión de los demás Estados miembros y a ENISA (European Union Agency for Network and Information Security)
      - Requisitos de seguridad adicionales para los QTSP
        
        Informarán al organismo supervisor de cualquier cambio en la prestación de de servicios de confianza cualificados, y de su intención de cesar tales actividades
        
        Contarán con personal que posea conocimientos especializados, la fiabilidad , la experiencia y las cualificaciones necesarios
        
        Mantendrán recursos financieros suficientes u obtendrán pólizas de seguros de responsabilidad adecuadas.
        
        Antes de cualquier relación contractual, informarán de manera clara y comprensible acerca de las condiciones relativas a la utilización de dicho servicio
        
        Utilizarán sistemas y productos fiables, protegidos contra toda alteración y que garanticen seguridad y fiabilidad técnicas.
        
        Utilizarán sistemas fiables para almacenar datos
        
        Tomarán medidas contra la falsificación y el robo de datos
        
        Registrarán y mantendrán accesible durante un periodo de tiempo apropiado, toda la información pertinente referente a los datos expedidos y recibidos
        
        Contarán con un plan de cese actualizado para garantizar la continuidad del servivio
        
        Garantizarán un tratamiento lícito de los datos de carácter personal
    - - Debe garantizar unas condiciones de igualdad en cuanto a la seguridad y la rendición de cuentas en relación a las operaciones y servicios, contribuyendo a la protección de los usuarios y el funcionamiento del mercado interior
      - Los TSP no cualificados estarán sujetos a un tipo de supervisión ligera, reactiva y posterior y justificada en función de la naturaleza de los servicios y operaciones
      - El Ministerio de Industria, Energía y Turismo ostenta la competencia de supervisión de los TSP. Sus funciones son :
        
        Supervisar a los QTSP
        
        Adoptar medidas en relación con los TSP no cualificados mediante actividades de supervisión posteriores, cuando reciba información de que no cumplen el Reglamento
        
        Cooperar con otros organismos de supervisión de otros Estados Miembros
        
        Analizar los informes de evaluación de la conformidad remitidos por los QTSP
        
        Informar a otros organismos de supervisión y al público de violaciones de seguridad
        
        Informar a la Comisión Europea de sus actividades
        
        Realizar auditorías o solicitar a un organismo de evaluación de conformidad que realice una evaluación de QTSP
        
        Conceder y retirar la cualificación a los prestadores de servicios de confianza y a los servicios que prestan
      - Obligaciones de los QTSP en cuanto a su supervisión y control
        
        Los QTSP serán auditados, al menos cada 24 meses. Enviarán el informe de la evaluación de conformidad en el plazo de 3 días hábiles tras su recepción
        
        El organismo de supervisión podrá en cualquier momento auditar o solicitar a un organismo de evaluación de la conformidad que realice una evaluación de los QTSP, quien correrá con los gastos generados
        
        Cuando se requiera a un QTSP corregir un incumplimiento del Reglamento y éste no actúe en consecuencia y en plazo, el organismo de supervisión podrá retirar la cualificación del prestador o al servicio en cuestión
    - - El Reglamento establece el régimen de responsabilidad conforme al cual todos los prestadores de servicios de confianza deben responder de los perjuicios ocasionados a cualquier persona, física o jurídica con motivo del incumplimiento de las obligaciones
      - El Reglamento permite que los prestadores de servicios de confianza establezcan limitaciones, en determinadas circunstancias, relativas a la utilización de los servicios que prestan y que los exima de responsabilidad por los perjuicios derivados de la utilización de los servicios que superen dichas limitaicones
      - Debe informarse debidamente a los clientes de esta limitaciones con antelación. Tales limitaciones deben poder ser reconocidas por terceros, mediante la inclusión de información al respecto en las condiciones generales del servicio prestado o por otros medios reconocibles
  - - - Los certificados reconocidos expedidos para las personas físicas conforme a la Directiva 1999/93/CE se considerarán certificados cualificados de firma electrónica con arreglo al Reglamento hasta que caduquen
      - Los dispositivos seguros de creación de firma cuya conformidad se haya determinado con arreglo a la directiva 1999/93/CE se considerarán dispositivos cualificados de creación de firma electrónica con arreglo al presente Reglamento
      - Los prestadores de servicios de certificación (CSP) que emitan certificados reconocidos conforme a la directiva 1999/93/CE presentarán un informe de evaluación de conformidad al organismo supervisor no más tarde del 1 de Julio de 2017. Hasta que el organismo supervisor ultime su análisis, será considerado como prestador cualificado de servicios de confianza (QTSP)
- - - - Acreditar electrónicamente y de forma indubitada la identidad de la persona
      - Firmar digitalmente documentos electrónicos, otorgándoles una validez jurídica equivalente a la que les proporciona la firma manuscrita
  - - - Dos años, cuando el solicitante no haya cumplido los cinco años de edad.
      - Cinco años, cuando el titular haya cumplido los cinco años de edad y no haya alcanzado los treinta al momento de la expedición o renovación
      - Diez años, cuando el titular haya cumplido los treinta y no haya alcanzado los setenta
      - Permanente cuando el titular haya cumplido los setenta años
    - - 5 años
  - - - Fábrica Nacional de Moneda y Timbre - Real Casa de la Moneda, que prestará servicios de validación con carácter universal: ciudadanos, empresas y AAPP
      - Ministerio de Hacienda y AAPP , que prestará servicios de validación al conjunto de las AAPP
  - - - Un teléfono smartphone o tablet con tecnología NFC
      - App del servicio al que nos queremos conectar