© 2004 interactiva 1 como implantar la facturación y firma electrónica en su empresa....

http://www.interactiva.com.es © 2004 Interactiva1

Como implantar la Facturación y Como implantar la Facturación y Firma Electrónica en su empresa.Firma Electrónica en su empresa.

Criptografía y Firma Electrónica.

Julián InzaPresidente

Albalia Interactiva

julian.inza@interactiva.com.es

http://www.interactiva.com.es © 2004 Interactiva2

• Algoritmos de cifrado• Protocolos criptográficos• Entidades de Certificación• Jerarquías de Certificación• Usos de los certificados• Directiva de Firma Electrónica• Entidades de Inscripción• Prestadores de Servicios de Certificación• Referencias legales de la Contratación

electrónica

Criptografía y Firma Electrónica

http://www.interactiva.com.es © 2004 Interactiva

Propiedades de la Firma

• Sólo puede ser realizada por una persona• La puede comprobar cualquier persona, con la

referencia de una muestra

http://www.interactiva.com.es © 2004 Interactiva

La muestra

• Ficha de firmas en entidades financieras• Firma del DNI• Firma de la tarjeta de crédito

http://www.interactiva.com.es © 2004 Interactiva

Criptografía simétrica

• Si usamos una caja con cerradura para intercambiar mensajes, necesitamos una caja distinta por cada interlocutor con el que compartimos llave

http://www.interactiva.com.es © 2004 Interactiva

• Al crecer el número de usuarios...Combinaciones de 6 usuariostomados de 2 en 2

C = = 15 cajas6 !

2! 4!

2

6 .

Para 1000 usuarios,499.500 cajas

Criptografía simétrica

http://www.interactiva.com.es © 2004 Interactiva7

Es una caja de mago con dos llaves: si se introduce algo por una tapa, sólo puede recuperarse por la otra

Criptografía asimétrica

http://www.interactiva.com.es © 2004 Interactiva8

Es una caja de mago con dos llaves: si se introduce algo por una tapa, sólo puede recuperarse por la otra

Criptografía asimétrica

http://www.interactiva.com.es © 2004 Interactiva

• Al crecer el número de usuarios...

Cada usuario tiene su caja, Tiene su llave privada yla pública de todos los demás

Para 1000 usuarios,1.000 cajas

Criptografía asimétrica

http://www.interactiva.com.es © 2004 Interactiva

Criptografía asimétrica

• ¿Dónde está la muestra?• ¿Qué sucede si cuando los usuarios se comunican sus claves

públicas no se identifican?

Soy Roberto. Toma mi clave pública

Soy Alicia. Toma mi clave pública Soy Alicia. Toma mi clave pública

Soy Roberto. Toma mi clave pública

http://www.interactiva.com.es © 2004 Interactiva

Entidad de Certificación

Es necesario un elemento que Es necesario un elemento que evite que un participante suplante evite que un participante suplante a otroa otro

Debe ser un elemento en el que Debe ser un elemento en el que todos los participantes confientodos los participantes confien

El elemento certifica con su firma El elemento certifica con su firma que un participante es quien dice que un participante es quien dice serser

La llave pública del elemento debe La llave pública del elemento debe ser conocida por todos y es la ser conocida por todos y es la única que necesita ser conocida única que necesita ser conocida previamentepreviamente

Este elemento se llama Entidad de Este elemento se llama Entidad de Certificación (Certification Certificación (Certification Authority)Authority)

http://www.interactiva.com.es © 2004 Interactiva

Entidad de Certificación

• Reglamento (Certification Policy)– Verificación de identidad– Uso y validez de los certificados

• Gestión de certificados revocados• Lista de certificados expedidos• Entidad de Confianza

– Trusted Third Party– Conocida

http://www.interactiva.com.es © 2004 Interactiva13

Certificado digital

Formato X.509 Versión 3

Nombre

Periodo de validez

Número de serie

Entidad de Certificación

Firma de la Ent. Certificación

Clave Pública

(otros atributos)

} Nombre asociado a la Clave Pública

}Firma generada usandola Clave Privada de la AC

http://www.interactiva.com.es © 2004 Interactiva14

Certificado digital

http://www.interactiva.com.es © 2004 Interactiva15

Certificado digital

1

2

http://www.interactiva.com.es © 2004 Interactiva16

Certificado digital

http://www.interactiva.com.es © 2004 Interactiva

Entidad de Certificación

• Garantiza la identidad de los interlocutores

Soy Alicia. Toma mi clave pública, que va dentro del certificado emitido por mi CA

Soy Roberto. Toma mi clave pública, que va dentro del certificado emitido por mi CA

CA

http://www.interactiva.com.es © 2004 Interactiva

Funciones de Seguridad

– Autenticación de origen– Irrefutabilidad de origen– Integridad de contenido– Integridad de secuencia– Irrefutabilidad de recepción– Confidencialidad– Unicidad de fin– Temporalidad– Acreditabilidad

http://www.interactiva.com.es © 2004 Interactiva

Doble clave

• Clave de firma– Nunca se deposita

Clave de ensobrado– Puede depositarse– Desvelar la clave de ensobrado

no compromete la firma

Se envia el documento cifrado

con la clave guardada en el sobre seguro

+

Se envia el documentocon la firma y el certificado

++

http://www.interactiva.com.es © 2004 Interactiva

La Firma Electrónica

• Realización

* MAC: MessageAuthentication Code

Documento original Obtención de MAC*

=

El MAC* es la huelladel documento

Se cifra el MAC*con la clave privada

Esto es la firma

Se envia el documentocon la firma y el certificado

++

Prefiero el ejemplo del

zumo

http://www.interactiva.com.es © 2004 Interactiva

La Firma Electrónica

• Comprobación

Del Documento seobtiene el MAC*

Se recibe el documentocon la firma y el certificado

De la Firma se obtiene el MAC*

Del Certificado seobtiene la clave

pública

Deben ser igualesel MAC* de la firmay el del documento

=?

* MAC: MessageAuthentication Code

Si no coincide el MAC* obtenidodel documento y el obtenido de lafirma, ello puede deberse a que:

•Se ha manipulado el Certificado•Se ha manipulado el documento•Se ha manipulado la firma

++

http://www.interactiva.com.es © 2004 Interactiva22

Sobre seguro

• Ensobrado

Extracción de clave pública del interlocutor

Se envia el documento cifrado

con la clave guardada en el sobre seguro

+

Generación clave simétrica

Se cifra el documento con la

clave simétrica

Se cifra laclave simétrica

con la clave pública del interlocutor

Documento original

http://www.interactiva.com.es © 2004 Interactiva23

Sobre seguro

• Apertura del sobre

Se obtiene el Documento original

Con la clave privadase obtiene la clave

simétrica

Se recibe el documento cifrado

con la clave guardada en el sobre seguro

+

Con la clave simétrica se descifra el mensaje

http://www.interactiva.com.es © 2004 Interactiva

Algoritmo RSA

• Se toman dos números primos, "p" y "q" grandes (de unos 100 dígitos cada uno)

• Se hace n=p·q (uno de los componentes de las claves)

• Se calcula Ø=Ø(n)=(p–1)·(q–1) (función de Euler).

• Se seleccionan dos números "e" y "d", uno de ellos primo (al menos respecto a "Ø") tomado del intervalo (max(p, q)+1, n–1), de forma que se cumpla e·d= 1 mod Ø, es decir, tal que exista un número racional "t" que haga e·d=Ø·t+1. Dicho de otra forma, "e" y "d" cumplen la propiedad de ser inversos mod Ø .

Conociendo "Ø" es fácil calcular "e" a partir de "d" y viceversa.Sin embargo, para conocer "Ø" es necesario conocer "p" y "q", lo que exige factorizar "n".

Tras este proceso, tenemos "n", "e" y "d".Las claves son (n,e) y (n,d)

http://www.interactiva.com.es © 2004 Interactiva

Ejemplo

Tomamos p=5 y q =11 primos, por lo que obtenemos n=5·11=55. De ahí, Ø=Ø(n)=4·10=40 (que factorizándolo da Ø=5·23). Podemos tomar e=23 (entre 12 y 33 sin factores comunes con "Ø”) Para encontrar "d", operamos: d=(Ø·t+1)/e, es decir, d=(40·t+1)/23.

Con t=4 vemos que d=7. Así que una clave es (7,55) y la otra (23,55). Para cifrar se eleva el dato a la potencia de (7 o 23, elegir uno).

El resultado lo dividimos por 55. El resto es el criptograma. Para descifrar, se eleva el criptograma a a la potencia de (23 o 7, elegir

el distinto del de cifrar). Dividimos por 55.El resto es el dato original.

Si ciframos "2", 27 mod 55 = 18; Para descifrar: 1823 mod 55 = 2

http://www.interactiva.com.es © 2004 Interactiva26

SSL en Internet

El cliente potencial obtiene la dirección Internet (URL) de la Tienda Virtual por un anuncio, un servicio de información...

Se conecta a Internet normalmente usando un visualizador e introduce en él el URL de la Tienda Virtual.

En la pantala aparecen las ofertas, las imágenes y los sistemas de búsqueda para seleccionar los productos.

El cliente va marcando los que desea que pasen a la “cesta de la compra”.

Todo el rato ve la llave Cuando desea finalizar, pasa por la

pantalla en la que ve el contenido de la “cesta de la compra”, para aumentar o disminuir las cantidades de los productos que desea llevar.

Si está de acuerdo con el contenido de la “cesta de la compra”, pulsa un botón y se inicia la transmisión cifrada.

El usuario ve que la transmisión es cifrada gracias al símbolo de una llave o un candado la pantalla,

y ya no le importa introducir sus datos de tarjeta de crédito

La tienda solicita autorización al banco y comunica al cliente el resultado de la operación.

Si la operación está autorizada, proporciona un número de pedido que permite el seguimiento o reclamación del pedido.

http://www.interactiva.com.es © 2004 Interactiva

Secure Sockets Layer

El usuario tecleahttps://www.servidor.es

Internet

Apache, Netscape Server, Microsoft IIS,...

Netscape Navigator oMicrosoft Explorer SSL

Solicito conexión segura

OK. Este es mi certificado

Envio información cifrada con la clave simétrica

Envio una clave simétrica cifrada contu pública

Envio información cifrada con la clave simétrica

http://www.interactiva.com.es © 2004 Interactiva

Autoridades de Certificación

Cert de la Agrupación Geopolítica

Cert raiz

Cert del emisor

Cert del Presentador

Cert del Titular

Cert de Intercam-bio de Claves del Comerciante

Cert del Comerciante

Cert de la Asociación/Marca

http://www.interactiva.com.es © 2004 Interactiva29

Valor de la certificación

• Valor legal derivado de la legislación nacional y comunitaria

• Aplicable a Sitios web (uso clásico, familiar para los usuarios de internet) o como elemento de identidad personal (preferentemente tarjeta chip) independiente de Internet

• Posibilidad de firma remota de contratos con validez legal (pueden existir restricciones en mercados financieros)

• El valor se obtiene a través de aplicaciones que aceptan certificados (aplicaciones específicas, o realizadas a través de navegadores)

• Es una credencial que requiere que se verifique su vigencia en el momento de uso

http://www.interactiva.com.es © 2004 Interactiva30

Problemas de la certificación

• Complejidad técnica en la creación de la infraestructura:– Jerarquías de certificación– Sistemas de validación– Aplicaciones que empleen firma electrónica– Hardware y software asociado (lectores de tarjeta chip,

drivers, instalación, actualización)– Despliegue de certificados (en fichero, en disquete, en

tarjeta chip)– Entidades de registro asociadas

• Coste de tarjetas chip, lectores y drivers • Falta de familiaridad de los usuarios (aunque

puede hacerse “asimilable al uso de tarjetas bancarias”)