Junta de Comunidades de Castilla-La Mancha

Firma electrónica sin certificados

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

La Junta de Comunidades de Castilla-La Mancha, como otras administraciones públicas españolas, está realizando un importante esfuerzo para implantar un modelo de E-Administración. Los objetivos son: acercarnos al ciudadano, facilitarle su relación con la administración, ser más eficientes y más eficientes...

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Como fruto de ese esfuerzo se han implantado un conjunto de servicios y trámites que el ciudadano puede realizar de forma telemática.

Pero…

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

El uso de dichos servicios está muy por debajo de lo que sería deseable. Desde nuestro punto de vista hay una barrera que limita la utilización de dichos servicios.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

La utilización de firma electrónica avanzada ha demostrados ser una opción muy compleja para el ciudadano medio. Los problemas son conocidos por todos: • Problemas con los módulos criptográficos para los certificados instalados en tarjetas

• Dificultad para configurar el equipo que se utiliza para firmar •Etc., etc…

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Cuando el ciudadano intenta realizar una firma puede que todo vaya bien, pero en caso contrario “le ayudamos” a configurar su equipo. ¿Cómo le ayudamos? Con información correcta y adecuada

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

1) Revise si la configuración de su equipo es compatible con el cliente de firma

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

2) Si, a pesar de todo, la firma sigue fallando; el ciudadano puede leer la lista de problemas comunes, con instrucciones para solucionarlos

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Etc., etc., etc…

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Si queremos que se desarrolle la E-Administración debemos facilitar la vida al ciudadano, no complicársela.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Nuestros usuarios han leído la Ley 11/2007

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Artículo 16. Utilización de otros sistemas de firma electrónica.

1. Las Administraciones Públicas podrán determinar, teniendo en cuenta los datos e intereses afectados, y siempre de forma justificada, los supuestos y condiciones de utilización por los ciudadanos de otros sistemas de firma electrónica, tales como claves concertadas en un registro previo, aportación de información conocida por ambas partes u otros sistemas no criptográficos.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Artículo 18. Sistemas de firma electrónica para la actuación administrativa automatizada. 1. (…) cada Administración Pública podrá determinar los supuestos de utilización de los siguientes sistemas de firma electrónica: b) Código seguro de verificación vinculado a la Administración Pública, órgano o entidad y, en su caso, a la persona firmante del documento, permitiéndose en todo caso la comprobación de la integridad del documento mediante el acceso a la sede electrónica correspondiente.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Hemos sido requeridos para desarrollar mecanismos de firma alternativos a los certificados electrónicos. 1) Para que la actuación de la administración sea más ágil 2) Para que el ciudadano no tenga que enfrentarse a la complejidad de los certificados El objetivo es incrementar la implantación de la EAdministración

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

La firma de documentos por parte de la Administración se ha solucionado mediante la implantación de firma con códigos seguros de verificación (CSV). El sistema está en producción desde febrero de 2013 con una alta satisfacción por parte de los usuarios.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

La Inspección General de los Servicios nos ha solicitado la creación de un sistema de firma para el ciudadano mediante claves concertadas, tal y como contempla la Ley 11/2007.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Experiencias en otras Administraciones Públicas: • Agencia Estatal de Administración Tributaria (Resolución de 17 de noviembre de 2011). • Ministerio de Cultura (Orden CUL/1132/2011, de 28 de abril). • Dirección General del Catastro (Orden EHA/2219/2010, de 29 de julio).

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Nuestra referencia Agencia Estatal de Administración Tributaria (Resolución de 17 de noviembre de 2011, de la Presidencia de la Agencia Estatal de Administración Tributaria, por la que se aprueban sistemas para la identificación y autenticación distintos de la firma electrónica avanzada para relacionarse electrónicamente con la Agencia Estatal de Administración Tributaria). Contempla tres tipos de firma:

1) Con clave o número de referencia 2) Con información conocida por ambas partes 3) Con clave de acceso en un registro previo como usuario

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

El sistema se ha diseñado teniendo como base:

CCN-STIC 804: Esquema Nacional de Seguridad, guía de implantación

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Diferencia los conceptos “contraseña” y “clave concertada” Clave concertada: Se entienden por claves concertadas códigos generados previa identificación y autenticación del ciudadano por otros medios. Jurídicamente, el ciudadano expresa su voluntad de utilizar este mecanismo en el proceso de solicitud. Las claves concertadas deberán garantizar que el usuario no puede ser suplantado, ni por otro usuario, ni por la propia Administración.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Algunos requisitos de las claves concertadas: • Ser razonablemente robustas frente a ataques de adivinación • Ser razonablemente robustas frente a ataques de diccionario • Ser razonablemente robustas frente a ataques de fuerza bruta • Seguir un procedimiento de generación que garantice la autenticidad del ciudadano • Seguir un procedimiento de comunicación al interesado que garantice que llega a la persona correcta • Disponer de un procedimiento de comunicación de pérdida o robo que suspenda inmediatamente la operatividad de la clave • Disponer de procedimientos de custodia de los datos de firma y verificación de la firma durante el periodo de validez de la información firmada

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Características de las claves concertadas: • Deben estar formadas por, al menos, 8 caracteres alfanuméricos para claves con una validez máxima de un año

• Por otra parte, en la guía CCN-STIC-807 (Criptografía de empleo en el Esquema Nacional de Seguridad), se define clave concertada como una ristra de bits que no hay forma de memorizar (…) se permitirán aquellas que estén formadas por, al menos, 8 caracteres alfanuméricos • A fin de garantizar la robustez, la Administración deberá recurrir a generadores aleatorios que proporcionen suficiente entropía (que hayan tantas claves posibles que sea imposible probarlas todas una por una)

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Procedimiento de cara al ciudadano • Se debe verificar la identidad del ciudadano y éste debe expresar de un modo jurídicamente válido su intención de utilizar el sistema • El procedimiento de distribución debe garantizar que sólo se le facilita al titular legítimo, por ejemplo, por doble canal • Debe existir un procedimiento que suspenda de forma inmediata la validez de la clave

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Proceso de firma • No podrá considerarse como firma electrónica avanzada, sólo como firma electrónica. • Se almacenará como evidencia el HMAC(documento + clave) • El ciudadano deberá introducir la clave de forma expresa para la firma de cada documento

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Nuestra solución: El ciudadano • Rellenará un formulario web de pre-solicitud • Acudirá a una Oficina de Información y Registro, un funcionario verificará su identidad y el ciudadano tendrá que firmar un documento de aceptación de condiciones

• Se generará de forma automática una clave aleatoria de 8 caracteres, el ciudadano no podrá decidir su propia clave • Se le enviará la clave dividida en dos partes, una parte se envía por SMS y la otra por correo electrónico, de esta forma se evita que el funcionario pueda ver la clave y se dificulta su interceptación • El ciudadano podrá repudiar su clave de forma inmediata, si la ha olvidado deberá responder a una pregunta de control establecida de forma previa por el mismo

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Nuestra solución: La firma • Se mostrará al ciudadano el documento a firmar • Se le solicitará cuatro posiciones aleatorias de la clave, de esta forma se evita que un sistema tramitador pueda interceptar la clave en su totalidad • Se generará un código seguro de verificación (CSV) • Con el CSV más el documento se generará un nuevo documento (acuse de recibo) que estará formado por los datos firmados por el ciudadano más el CSV; éste es el documento que se considerará probatorio de la transacción y estará accesible en la sede electrónica, como cualquier otro documento firmado con un CSV. • Se generará una huella digital mediante una función criptográfica HMAC-SHA-256, que se almacenará como metadato del documento

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Nuestra solución: Límites • Sólo se admitirá la firma mediante claves concertadas para los sistemas de información y procedimientos administrativos que puedan catalogarse como nivel de seguridad bajo. • Sólo se admitirá para personas físicas

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Nuestra solución: La normativa La Inspección General de los Servicios redactará un publicará la norma que de cobertura legal al procedimiento de firma y que detalle: • Los procedimientos de obtención de claves • Características de las claves • Condiciones de uso • Mecanismos de repudio • Etc.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

¿La firma mediante claves concertadas es la solución para la implantación y extensión de la E-Administración?

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

No

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

• Esta solución no es comparable a los mecanismos de firma avanzada / reconocida • Se puede garantizar la integridad del documento y la identidad del ciudadano, pero no el no-repudio • La seguridad en las transacciones debe tender a formatos de firma longevos (AdES-T, AdES-C, AdES-X, AdES-XL y AdES-A)

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Nuestra opinión es que debemos considerar estos sistemas como una transición que facilite al ciudadano su relación con la Administración Pública hasta que la tecnología de firma con certificados nos permita superar los problemas conocidos.

Dirección General de Telecomunicaciones y Nuevas Tecnologías Consejería de Fomento

Avda. Rio Estenilla, s/n – 45071 Toledo

Muchas gracias por su atención