Aplicaciones Web Y Certificados Digitales

El inicio de la Administración Electrónica

José Joaquín de Haro Navarro

Agencia Tributaria
Declaración IRPF (ciudadanos) Certificado estar al corriente obligaciones tributarias (empresarios)

Seguridad Social
Informe vida laboral (ciudadanos) Comunicación altas y bajas - sistema RED (empresarios)

Mejora de las comunicaciones Alfabetización digital Comodidad para el ciudadanoPosibilidad de realizar procedimientos administrativos a través de Internet

La Web es la herramienta más usada en Internet Evolución tecnológica que nos lleva al Web 2.0 Uso de certificados digitales en la Web
FNMT DNIe Otros (profesionales, autonómicos, etc)

Basados en métodos criptográficos de clave asimétrica Asocian información de una persona o entidad con su clave pública La veracidad deesta asociación la garantiza la Autoridad de Certificación
FNMT Dirección General de Policía ( DNIe) Camerfirma, CaCert , etc Registradores, Notarios, etc

Permite migrar procesos basados en papel (que requerían firmas) a formato electrónico Garantiza la autenticidad, integridad y no repudio del mensaje firmado Firma Electrónica Avanzada (ley 59/ 2003)
firma electrónica que permite identificaral firmante y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede mantener bajo su exclusivo control

Formatos de firma electrónica
PKCS# 7 (RSA Laboratories Inc.) XMLDSIG ( Propuesta conjunta de est ándar IETF/ W3C) RFC 3075 XAdES ( XML Advanced ElectronicSignatures) Adobe pdf

Criptograf ía de clave Asimétrica. Firma digital. Proceso.
Ana y Bernardo tienen sus pares de claves respectivas Ana escribe un mensaje a Bernardo. Es necesario que Bernardo pueda verificar que realmente es Ana quien ha enviado el mensaje. Por lo tanto Ana debe enviarlo firmado: 1. Resume el mensaje mediante una función hash. 2. Cifra el resultado de la función hash consu clave privada. De esta forma obtiene su firma digital. 3. Envía a Bernardo el mensaje original junto con la firma. Bernardo recibe el mensaje junto a la firma digital. Deberá comprobar la validez de ésta para dar por bueno el mensaje y reconocer al autor del mismo (integridad y autenticación). 4. Descifra el resumen del mensaje mediante la clave pública de Ana. 5. Aplica al mensaje la funciónhash para obtener el resumen. 6. Compara el resumen recibido con el obtenido a partir de la función hash. Si son iguales, Bernardo puede estar seguro de que quien ha enviado el mensaje es Ana y que éste no ha sido modificado. Con este sistema conseguimos: Autenticidad (la firma digital es equivalente a la firma física de un documento), Integridad (el mensaje no podrá ser modificado), No repudio enorigen (el emisor no puede negar haber enviado el mensaje)

Aplicaciones:
Factura electrónica Voto electrónico Contratación Electrónica (licitación electrónica y e- subasta) Notificación Electrónica Procedimientos Administrativos electrónicos

Requisitos para desarrollar Aplicaciones Web con certificados digitales Establecimiento de comunicación segura SSL (certificado de servidor)Validación de certificados Revocación de certificados
CRL ( Certificate Revocation List ) OCSP (Online Certificate Status protocol)

Implementación de Autenticación y Firma

Instalar certificado raíz en servidor (almacén certificados máquina y habilitar todos los propósitos) Configurar aplicación Web para requerir certificado digital Leer el certificado (protocolo https) Chequear la validez delcertificado (revocación CRL - OCSP)

Elección del formato(s) de firma
PKCS# 7 XMLDSIG XADES

Creación de componente para firmar ( activex, applet ) o implementación basada en CAPICOM y Crypto Implementación
CAPICOM (Internet Explorer) Crypto ( Mozilla) Open Source ( OpenSign) JSR 105 (Java Specification Request # 105 - WSDP de
Java)

PKCS #7
Version Digest Algorithm Content

Signer...