certificados electrónicos en dispositivos móviles (fnmt-rcm) - ii encuentro nacional sobre firma y...
TRANSCRIPT
Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda
Certificados electrónicos
en dispositivos móviles
Diego Hernández
Director de Ceres
Certificados electrónicos y dispositivos móviles
Cambio de tendencia en el uso de Internet y sus
servicios: de uso exclusivo de ordenadores
personales a uso mixto ordenadores personales –
dispositivos móviles.
Google Android, Apple iOS, Microsoft Windows
Phone, etc. introducen dificultades e
incompatibilidades respecto a los entornos de
escritorio en cuanto al uso, instalación y gestión
de certificados electrónicos.
Objetivos
Utilizar los 3 millones de certificados activos
FNMT ya existentes en dispositivos móviles.
Generación de claves de forma segura en el
dispositivo móvil.
Nuevo proyecto FNMT – RCM
El S.O. elegido es Android 4.
Gestión de la solicitud de certificados
(generación de claves) desde el dispositivo
móvil.
Uso de un almacén central de certificados
gestionado por el S.O.
Nuevo proyecto FNMT – RCM: firma
electrónica desde dispositivos móviles.
¿Por qué el S.O. móvil Android 4?
Android es un sistema operativo abierto y
dinámico, y se sitúa ya en cabeza en muchos
de los usos comunes de Internet.
Android 4 predomina sobre el resto de
sistemas operativos.
Android 4 cuenta con un almacén central de
certificados.
Fuente: statcounter.com
¿Por qué el S.O. móvil Android 4?
Android 4
Android 1, 2, 3
BlackBerry
iOS
Accesos desde entornos móviles a la Web de la AEAT en Junio de 2012
¿Por qué el S.O. móvil Android 4?
Funcionalidades
La aplicación nativa de la FNMT – RCM permite:
Una mayor facilidad del manejo de los
certificados por parte de los usuarios.
La clave privada generada en el dispositivo
nunca sale del mismo.
Alertas propias del S.O. sobre caducidad de
los certificados.
La aplicación nativa de la FNMT – RCM permite:
Gestión automática de la cadena de confianza:
Certificados raíz FNMT en el almacén de
certificados del S.O.
Instalable y actualizable desde el Android
Market de Google.
Funcionalidades
• Aplicación residente en el teléfono móvil, no web.
• Asíncrona. Off-line.
• Realización de la firma completa en el teléfono vs firma en fases.
• Enviar la firma a la AAPP a través de un canal http/mail/sms…¿Cómo?
• Ventajas: – Las APIs del dispositivo son más potentes y flexibles que las abstracciones Web.
– Se evita la complejidad del navegador.
– Uso de cualquier tipo de certificado. Acceso al certificado software almacenado en la memoria del teléfono
• Inconvenientes – Una aplicación distinta para cada tipo de SO. Usando solo las funcionalidades
básicas, evitando las personalizaciones del SO de los fabricantes.
– Off-line, necesario modificar el flujo de negocio de algunas aplicaciones para adaptarse a las características asíncronas.
– Poco soporte XML (XAdES). Requiere desarrollo adicional para soportar XAdES.
– Seguridad. Si se pierde el teléfono, los .p12 y .pfx son fácilmente rompibles. El usuario debería recordar revocar el certificado si pierde el teléfono.
– Despliegue de la aplicación ¿A través de los ‘market’? Cada fabricante de SO móvil tiene uno.
¿Dudas?
