Aspectos básicos de PKI a considerar en la constitución de una prestadora de servicios de certificación (PSC) acreditada.

ARQUITECTURA DE PKI

Introducción

Hoy en día los medios digitales son susceptibles de substitución, modificación, y replicación, a menos que estén explícitamente protegidos con el objetivo de que se pueda confiar en estas comunicaciones.

Definimos un sistema seguro como aquel en el que el costo de irrumpir en el sistema es mayor al valor de la información contenida en él, tanto en dinero como en riesgo personal.

Aspectos a Garantizar en los documentos:

1. La Identidad/Autoría, que las partes involucradas son quienes dicen ser, es decir, quien suscribe el documento, quien lo firma.

2. La Confidencialidad, que el documento sea únicamente accesible para las partes implicadas, es decir, para los verificadores.

3. La Integridad, o no manipulación de los documentos: que los documentos recibidos sean tal y como fueron creados por el autor.

4. No Repudio. Prueba de la emisión del documento, que el autor no pueda negar haber firmado el documento.

5. La Fecha y la Hora Cierta de la Firma “Secure Time Stamp” en la que se ha generado, y se ha recibido el documento. 6. Disponibilidad legítima de servicios e información.

Arquitectura PKI, o de la Infraestructura de Llaves Públicas:

La Arquitectura PKI se encuentra reflejada en el “Internet Certificate and CRL Profile RFC 3280”, especificada por el “Internet Engineering Task Force”, y cuyo sitio web se encuentra en la URL www.ietf.org.

La Infraestructura de Llave Pública o PKI:

Es la integración de:

a) La Criptografía de llave pública o asimétrica, usada para la firma digital,

b) La Criptografía de llave simétrica usada para cifrar,

c) El Message Digest o Hash, y

d) La Gestión de los pares de Llaves Público / Privados (El no compromiso de la llave privada,  a través de un procedimiento de distribución segura de llaves.)

La Criptografía de Llave Pública o Asimétrica: Tiene por objeto distribuir la llave simétrica de forma segura. Está basada en el uso de un par de llaves, una pública y otra privada, por cada entidad. La Llave Privada debe permanecer en secreto y bajo el control del usuario. Usarla para cifrar – descifrar es lo que demuestra que la posees y con ello queda garantizada la autenticidad y confidencialidad, La identidad. La Llave Pública puede y debe ser libremente distribuida, lo más extensamente. Dichas llaves se caracterizan por qué:

• son diferentes,
• están matemáticamente asociadas,
• no se puede obtener la llave privada a partir de la pública. Cada llave únicamente puede descifrar lo que la otra ha cifrado, por tanto; a.-con la llave pública del suscriptor, cualquiera puede cifrar un mensaje, que solo puede ser descifrado por la llave privada del suscriptor, se logra la confidencialidad.

Con la llave pública del suscriptor, cualquiera puede descifrar un mensaje, y así verificar la identidad del documento que ha sido cifrado por el suscriptor usando su llave privada.

Sus implicaciones son las siguientes:

a.-El suscriptor puede establecer la integridad y el origen (autoría) de la información (datos) que envía a otro participante, firmando digitalmente dicha información, cifrándola con su llave privada.

b.-Quien recibe la información puede usar la llave pública asociada del suscriptor para validar que proviene del suscriptor (tenedor de la llave privada), y verificar la integridad de la información.

Criptografía de Llave Simétrica o Secreta:

Se basa en el uso de una única llave entre las partes implicadas, suscriptor y verificador.

El proceso de cifrado con llave simétrica usa un algoritmo, la llave, el mensaje y el message digest, siendo muy complicado por métodos informáticos obtener el camino inverso.

Algoritmos: DSA Digital Signing Algorithm, de tipo irreversible, soportado por Java, o RSA Rivest Shamir Adleman, de tipo reversible, que está ya preparada para usar la firma digital, y el cifrado.

El Message Digest Value:

El “Message Digest”, o “Hash”, es una versión corta y de longitud fija de un mensaje, que no se puede recobrar a partir del Message Digest. Es completamente diferente si cambia un solo bit del mensaje original.

El suscriptor lo obtiene a partir de; algoritmos de message digest como SHA-1, Ripe_MD, o algoritmos de firma digital que lo incluyen como DSA o RSA, Más el mensaje original, y la llave privada del suscriptor.

Y el verificador lo obtiene descifrando la firma digital recibida del suscriptor, utilizando la llave pública del suscriptor, y el algoritmo de firma digital.

Da por resultado un valor, o Message Digest Value.

El objeto es que el verificador se asegure de la integridad de los datos transmitidos, lo que se logra comparando el valor del message digest descifrado por el verificador utilizando su llave privada, y el que ha recibido, descifrado por la llave pública del suscriptor. Si éstos son iguales, entonces se confirma la integridad del mensaje.

El Modelo PKIX:

El Modelo PKIX es el modelo de las entidades que gestionan la infraestructura de llave pública, designando sus funciones y protocolos.

1º Entidades Finales (a quien se pretende identificar)

• El sujeto de un certificado, su identidad es garantizada por una autoridad de certificación.
• Éstas pueden ser Usuarios finales, la autoridad de registro respecto a la autoridad de certificación en el nombre de quien actúa, o incluso una autoridad de certificación cuando ésta se ve certificada por otra autoridad de certificación.

2º Autoridades de Certificación (CA)

• Representan la fuente de credibilidad de la infraestructura de llave pública.
• Quienes emiten los certificados, firmándolos digitalmente con su llave privada.
• Certifican que la llave pública asignada en un certificado a una entidad final, corresponde realmente a dicha entidad final. Ver: “CA Trust.pdf” en www.pkiforum.org.
• Verisign es el representante más conocido.

3º Autoridad de Registro, o Registration Authority (RA)

• Realiza el proceso de registro de las entidades finales por encargo de la autoridad de certificación.
• Valida los atributos del sujeto que solicita el certificado,
• Verifica que el sujeto posee la llave privada a registrar,
• Genera los secretos compartidos que permiten el proceso de inicialización y certificación.
• Genera el par de llaves público/privada, ver ANSI X.9 standards.
• Valida los parámetros de las llaves públicas presentadas para su registro.

4°  Repositorios o “Repositories”

Método que permite guardar información sobre PKI, como puedan ser certificados, y CRLs para su acceso por parte de las entidades finales o de sus delegados. Tienen por finalidad que la entidad final obtenga la confirmación sobre:

• el estatus de revocación de los certificados de otros usuarios, y
• la validación del “Certification Path”, o cadena de certificados.

5º Emisores de CRLs o “Certificate Revocation List Issuers”

Los emisores de Listas de Revocación de Certificados actúan en nombre de la Autoridad de Certificación, siendo de carácter opcional aunque sumamente convenientes. Son listas de los Certificados que han dejado de ser válidos y por tanto en los que no se puede confiar. Los Certificados son revocados en los casos en los cuales:

a) la llave privada se vea comprometida,

b) hayan cambiado los atributos del certificado.

Procedimiento de la Certificación:

1º Solicitud a la Autoridad de Certificación de un certificado por parte de la Entidad Final, a través de la Autoridad de Registro, con el objeto de que la Autoridad de Certificación garantice la identidad de la entidad final.

2º La Autoridad de Certificación comprueba que cada usuario es quien dice ser y que la clave pública que inscriba en el certificado realmente le pertenece.

3º El Certificado de la entidad final se firma digitalmente, cifrándolo con la llave privada de la Autoridad de Certificación.

4º A su vez la autoridad de certificación es certificada por otra/s Autoridad/es de Certificación.

5º Dicho certificado se distribuye globalmente, es decir, al mayor numero de destinatarios posibles.

Los Certificados Digitales

Son documentos que confirman la identidad de una persona física o jurídica, vinculada con una llave pública asociada a la llave privada. Tienen dos aspectos por objeto:

1- Que la llave pública del suscriptor pueda ser accesible por los verificadores o participes interesados en validar y verificar la firma digital del suscriptor.

2-Que los partícipes puedan confiar en que la llave pública que recibe el verificador sea realmente la del suscriptor.

Contenido del Certificado

Estos son los campos principales incluidos como contenido

• Identificador único o Nº de serie del certificado. Internacional, y desarrollado
• El algoritmo de firma digital empleado. por “Internet Engineering Task
  • Datos de la autoridad de Certificación: ID único del Force”.
  • emisor de certificados.
• Fechas de expedición y expiración de la llave pública y privada.
• Llave pública del titular del certificado.

Usos del Certificado

1. Personales:

a) Nombre y apellidos, o pseudónimo. El certificado Digital

b) Nº de teléfono(s).

c) Dirección física y e-mail.

d) CI (cédula de identificación)

e) Profesión y titulación.

f) Cargo y empresa.

g) Grupo(s) de afiliación.

2. Profesionales:

a) Para personas jurídicas todo lo anterior y además: b) Nombre de la persona jurídica. c) Poder notarial del poseedor del certificado.

Concepto de “Cadena de Certificación”

Una Autoridad de Certificación puede a su vez estar certificada por otra/s, Autoridades de Certificación, con su firma digital, hasta llegar a la Autoridad de Certificación Raíz, lo que conforma la “Cadena de Certificados” o “Certification Path” de cualquier certificado hasta su “Anclaje de Veracidad” o “Trust Anchor”, que termina en el Certificado Raíz de la Autoridad de Certificación Raíz. Dicho certificado Raíz es un certificado firmado a sí mismo, y emitido por la Autoridad de Certificación Raíz.

Las Entidades Finales por tanto deben validar la Cadena de Certificados para comprobar que los Certificados Digitales realmente certifican que la llave pública es de quien dice ser, comenzando para validarlo por los “Trust Anchors”.

Tipos de Certificado Digital

Certificados de Clase 1:

Son emitidos únicamente a individuos. No se verifica la identidad de éstos y por tanto no permite autentificarla. Confirman que el nombre o seudónimo y el sujeto del certificado forman un nombre de sujeto inequívoco.

Certificados de Clase 2:

Son emitidos únicamente a individuos, y confirman que la información proporcionada por el Suscriptor no entra en conflicto con la información de las bases de datos fiables propiedad de una EE (Entidad de Emisión) o una ERL (Entidad de Registro Local), incluida la identidad del sujeto y otros datos del Suscriptor.

a) Certificados de Clase 2 no reconocidos (Clase 2 tipo 1), usados para transacciones de bajo riesgo como servicios de suscripción de la Sociedad de la Información.

b) Certificados de Clase 2 reconocidos (Clase 2 tipo 2), pueden ser usados como soporte de firmas electrónicas legalmente reconocidas, obtienen una razonable seguridad de la identidad del Suscriptor, comparando automáticamente el nombre del solicitante, dirección y otra información personal contenida en la solicitud de certificado, con la información contenida en las bases de datos propiedad de la EE o ERL.

Certificados de Clase 3, se emiten a:

• Individuos: requiere la presentación de evidencias probatorias de la identidad de la identidad del sujeto, personándose ante una Entidad de Registro Local (ERL) o su delegado, como puede ser un notario público.
• Organizaciones: se emiten a individuos con capacidad de firma dentro de una organización, probada esta capacidad de firma por evidencia notarial, y de la propia organización a través de ministros de fe que confirmen su identidad.

Las políticas y prácticas de certificación, CPS y CP:

Declaración de Prácticas de Certificación (CPS)

• Describe las prácticas empleadas en la emisión y gestión de certificados. Gobierna la gestión de la Infraestructura de llaves públicas, y podría también incluir la descripción de los servicios ofrecidos, y el detalle de los procedimientos de la gestión del ciclo de vida del certificado, información operacional, etc.
• La Declaración de Practicas de Certificación provee de un marco legal que describe las obligaciones y márgenes de responsabilidad que asume la Autoridad de Certificación, así como sus derechos con los titulares de los certificados emitidos por ésta.

Política de Certificación (CP)

• Consiste en un conjunto de reglas que indican la aplicabilidad de un certificado a una particular comunidad y/o clase de aplicaciones con requerimientos de seguridad comunes.
• Generalmente se fija en los requerimientos de políticas de alto nivel.

Entidad Acreditadora

Subsecretaria de Economía y E. de M.T.