Sistema Nacionalde Certificación Digital

Modelo y Estrategia

Agenda Problemática y alternativa de solución

Modelo conceptual

El proceso de firma y verificación

El SINPE dentro de la estrategia de implementación

Problemática y alternativa de solución

Problemática

Banca ElectrónicaGobierno DigitalComercio Electrónico

UsuarioPassword

Internet

Ciudadano

Keyloggers

Phishing

Pharming

Spoofing

Internet = Ventajas, pero también Riesgos

Inseguridad en Internet• Suplantación de Identidad• Robo de información• Fraude

Usuario y Password es un mecanismo poco robusto

? ?

Internet

Alternativa de Solución

Banca ElectrónicaGobierno DigitalComercio Electrónico

Ciudadano

Entregar a los usuarios mecanismos robustos de autenticación y firma

Certificados Digitales y Firma Digital Protección de la identidad Autenticación confiable Comunicación Segura

UsuarioPassword

Fortalezas de la SoluciónLa seguridad esta basada en secretos (passwords, pins, llaves)

Problemas:• Los secretos se exponen, la información sensible viaja• Secretos poco complejos pueden “adivinarse” (fuerza bruta, diccionarios)• Factor humano (ingeniería social, uso incorrecto de Passwords)

Certificados Digitales y Firma Digital El secreto nunca se expone, se protege en el dispositivo El secreto posee gran complejidad (computacionalmente inquebrable) Combinación de “algo que sé y algo que tengo” Posibilidad de revocación en línea

Modelo conceptual

Llave Pública y Privada

Llave Pública(Abrir)

Llave Privada(Cerrar)

La Llave Privada debe mantenerse secreta, mientras que la Llave Pública puede ser distribuida.

Suponga la existencia de candados especiales que utilizan dos llaves.

Si una llave de ellas se utiliza para cerrarlos, solamente la llave correspondiente podrá ser usada para abrirlos.

Internet

Llave Pública y Privada

Si una de estas llaves se utiliza para cerrar un candado, solamente la llave correspondiente puede ser usada para abrirlo.

El Certificado Digital es un documento electrónico que relaciona una identidad con una Llave Pública.Sus componentes principales son:

Titular Una Llave Pública Emisor Un identificador único Periodo de validez La Firma Digital del emisor

Solamente contendrá información inherente a la personasubject = Oscar Solís Solísserial number = 1-0967-0538

Certificado Digital

Dispositivo Criptográfico

También se utilizan Tokens USB para proteger la Llave Privada y el Certificado de un titular

Mecanismos de autenticación Las Llaves Privadas nunca son expuestas Protección física y lógica

La Llave Privada y el Certificado pueden ser almacenados en tarjetas inteligentes seguras

Documento de Identidad Electrónico

xxxxxxxx

Anverso

Reverso

Estrategia de Corto Plazo(TFS: Tarjeta de Firma Digital)

El proceso de firma y verificación

Capacidad de Firma Capacidad de Verificación

Soporte en Papel Presencia Física Compromiso Jurídico

Firma Manuscrita(Mundo Físico)

Capacidad de Firma(Tarjeta Personalizada)

Capacidad de Verificación(Certificado Digital)

Empresa Certificadora

Ley 8454 Valor Equivalente Vinculación Jurídica No Repudio

Firma Digital(Mundo Electrónico)

Firma Digital(Conceptos y Proceso )

Capacidad de Verificación(Certificado Digital)

Empresa Certificadora

Certificado DigitalLlave Maestra

PIN?

Capacidad de Firma(Tarjeta Personalizada)

Llave Maestra30 81 89 02 81 81 00 9a 44 13 55 b1 ab fb 16 e8 6b f5 5c f8 88 7c b2 c2 67 d8 8d ba c8 27 6d 26 1b c8 fd 0d e7 56 48 a0 1a 2a cc 7a 71 a0 59 6d 72 5b 58 84 7a 4b c3 87 48 50 57 bc 06 de 31 54 b9 b1 fa cc 0a 53 d2 cd 37 b7 3a cb 0b c0 1a 25 6b 87 b0 f9 6d f5 99 e6 65 3e 97 83 11 5f 7e 54 b3 d5 a0 d9 7b 14 d3 88 ff eb 9a d8 2e a2 8b f6 1b 33 dc 56 c7 be 03 98 bd 72 81 aa 1a ab 04 6b 65 2e 74 12 e5 2c cd 02

Ley: Alcance de la Firma Digital Valor Equivalente (art. 9): “Los documentos y las comunicaciones suscritos mediante firma digital, tendrán el mismo valor y la eficacia probatoria de su equivalente firmado en manuscrito.”

Presunción de autoría (art. 10)“Todo documento […] asociado a una firma digital certificada se presumirá, salvo prueba en contrario, de la autoría y responsabilidad del titular del correspondiente certificado digital […]”

EntidadFinanciera

Empresa Privada

GobiernoDigital

InstituciónPúblicaNivel 4

Nivel 1

Nivel 2

CAP DCFD

MICITTribunal Supremo de Elecciones

Banco CentralRegistro Nacional

Poder JudicialCONARECAMTIC

Migración

Comité Asesor de Políticas(Policy Approval Authority)

Asesora a la DCFD

(Dirección de Certificadoresde Firma Digital)

EC RaízConvenio BCCRConvenio BCCR

Nivel 3

… …

Sistema Nacional de Certificación Digital

El SINPE dentro de la estrategia de implementación

EntidadFinanciera X

EntidadFinanciera Y

Estrategia: Certificados emitidos con la más alta calidad a un costo que permita su masificación Sistema Nacional de Certificacion Digital

Empresas Certificadoras(Públicas y Privadas)

…

Adhesión voluntaria Regulaciones

Oficina de Registro

Raíz Nacional(Políticas)

Convenio BCCR

SUGEFTributación /AduanasMigración

CCSSRegistro Nacional

ICEOtros

Ciudadano

I N T E R N E T

Gobierno Digital

Web EntidadesPúblicas

Banco Centr

al

S I N P E

Bancos

Mutuales

Cooperativas

E-banking

Web EntidadesFinancieras

Estrategia Nacional de Certificación

Beneficios de la firma digital para el ciudadano

Mayor confianza en las transacciones en línea:

• Provee alta seguridad jurídica y tecnológica• Eliminación del riesgo de Phishing y cualquier otra técnica de robo electrónico de identidad

Comodidad o facilidad de uso:

•Una única clave para accesar cualquier Sitio Web Nacional

Disponibilidad de nuevos servicios ofrecidos por internet:

• Nuevas funcionalidades en Banca en línea, Gobierno digital y Comercio Electrónico• Permite digitalizar cualquier trámite que requiera la firma manuscrita y ofrecerlo a través de Internet

¿Qué impulsa el uso de la firma?

BancaElectrónica

GobiernoDigital

ComercioElectrónico

Servicios que soportan certificados y firma digital

SucursalBancaria

Capacidad de Entrega

Oficinas de Registro en Sucursales Bancarias

Nuevas Funcionalidades Seguridad Jurídica

Oferta Demanda

SucursalBancaria

Tipos de Certificados DigitalesCertificado de Persona Física

Firma Digital y Autenticación de Personas Físicas Implementa Equivalencia Funcional con Firma Autógrafa

Certificado de Agente Electrónico Firma Digital y Autenticación de Entidades Implementa Servicios Electrónicos Automatizados

Certificado de Sellado de Tiempo (TimeStamping) Garantizar la existencia de una firma o un documento en el tiempo

InstituciónSitioWeb

RegistroNacional

Dirección de Notariado

Internet

Ciudadano

FuncionamientoAtributos de las personas (roles)

Servicios de Validación de las CAs

Servicios Sellado de Tiempo

……

www.firmadigital.go.cr

Muchas Gracias!