T03 03 certificados_digitales

Identificación digital y certificados
digitales

Identificación digital
●¿Cómo nos identificamos en un
entorno digital?
− Nombre de usuario/contraseña
− Sistemas biométricos
− Certificados digitales

● ¿Como garantizar la identidad de las partes?
− Cualquiera puede generar un par de claves y pretender
que su clave pública es la de otra persona
● Un certificado digital es un documento emitido y firmado por la
Autoridad de Certificación que confirman la identidad de una
persona física o jurídica, vinculada con una clave pública
asociada a la clave privada.
● Tienen dos objetivos:
− 1- Que la clave pública del suscriptor pueda ser accesible
por los verificadores o participes interesados en validar y
verificar la firma digital del suscriptor.
− 2- Que los participes puedan confiar en que la clave
pública que recibe el verificador sea realmente la del
suscriptor.
● Cada certificado está identificado por un número de serie único
y tiene un periodo de validez que está incluido en el certificado.
¿Qué es un certificado
digital?

Tipos de certificados
● No existe un criterio estándar que nos permita
clasificar de manera única de clasificación de
todos los certificados disponibles en el mercado
● Podemos clasificarlos por distintos criterios
− Según el tipo de identidad que incorporan
− Según el ámbito de aplicación
− Según el soporte...

Tipos de certificados
● Certificado Electrónico:
– Vincula una clave pública a un firmante.
● Certificado Reconocido:
– Son los expedidos como tales y cumplen los
requisitos establecidos en esta ley en cuanto a
la comprobación de la identidad y demás
circunstancias de los solicitantes y a la calidad
de los servicios que se prestan.

Según a quién se le emitan
● Certificados de Persona Física (ciudadano)
− Está orientado a ciudadanos (terceros físicos) y
están fundamentalmente pensados para
trámites personales aunque, en determinadas
circunstancias, pueden ser usados en el ámbito
profesional.
− Ej: Certificado de eDNI o el de la FNMT.

Certificados de Persona jurídica
● Puede actuar como solicitante:
− Un representante legal de la empresa (administrador
único, solidario o mancomunado, o un consejero
delegado)
− Un representante voluntario (apoderado), en cuyo caso
es necesario que se extienda un poder notarial
específico que le faculte a solicitar dicho certificado en
representación de la empresa.
● Su uso está pensado para todo tipo de organizaciones, ya
sean empresas, administraciones u otro tipo de
organizaciones, todas ellas con una identidad de tipo jurídico.
− Ej:certificado de pertenencia a organización.
− Certificados de pertenencia a empresas
− Certificado de representante (acredita los poderes de
representación)

Certificados Electrónicos para Empresas● El certificado de persona jurídica
− Identifica una empresa o sociedad.
* Puede actuar como solicitante:
· Un representante legal de la empresa (administrador único, solidario o mancomunado, o un consejero delegado) o
· Un representante voluntario (apoderado), en cuyo caso es necesario que se extienda un poder notarial específico que le
faculte a solicitar dicho certificado en representación de la empresa.
● El certificado de pertenencia a empresa
− Es un certificado de persona jurídica que, además de la identidad del titular, acredita su
vinculación con la entidad para la que trabaja, en virtud del cargo que ocupa en la misma.
− Los certificados personales aportan la ventaja de contener información añadida sobre la
empresa a la que pertenece la persona.
− Usos:
* Firmar todo tipo de documentos, garantizando la identidad del emisor, el no repudio de origen, la integridad
y confidencialidad del contenido.
* Asegurar la autenticación de su titular en un control de acceso.
− Lo puede solicitar la propia persona física titular del certificado siempre que esté autorizado por
un representante de la entidad o bien, la propia empresa a favor de sus empleados.
●El certificado de representante,
− Además de la pertenencia a empresa, acredita también los poderes de representación que
el titular tiene sobre la misma.
* El titular del certificado se identifica no sólo como persona física perteneciente a una empresa, sino como
administrador de la misma.
* Con este certificado se pueden realizar trámites para bonificaciones por acciones de formación, Agencia
Estatal Tributaria, etc.
●El certificado de Factura Electrónica
− Es un certificado reconocido de persona física con poderes de representación de una
organización únicamente para firmar Facturas Electrónicas.
●Existen otros certificados de empresa que emiten diferentes prestadores como los
certificados de apoderamiento especial, los certificados de colegiado, etc

Según el ámbito de aplicación
● Certificado de Servidor seguro
− Permiten conocer la identidad de un sitio web ( quién o qué organización
es la responsable jurídica de la página en cuestión)
* Podemos saber si realmente estamos accediendo a un sitio legítimo,
y que no estamos siendo víctimas de un engaño.
− Permiten cifrar las comunicaciones (protocolo https) de forma que se crea
un canal seguro de comunicación entre nuestro navegador y el sitio web al
cual nos estamos conectado.
● Certificado de firma de código (Software)
● Certificado de atributos (cualidad, cargo, estado situación)
− La diferencia fundamental, o elemento que los diferencia de un
certificado electrónico de propósito general, son los atributos que
incorporan, como es el caso de los siguientes:
* Certificado de pertenencia a empresa
* Certificado de representante
* Certificado de funcionario o certificado de empleado público
* Certificado de apoderado
● Certificado de sede electrónica administrativa
● Certificado de factura electrónica
● Certificado de cifrado de contenidos
● Certificado de sello de empresa o certificado de sello electrónico para la actuación
automatizada

●Certificado en un fichero, instalable en
cualquier equipo (.p12)
●Token USB
●DNI electrónico (DNIe)
●Certificado en tarjeta criptográfica
(tarjeta inteligente)
●Tarjeta TIBC (Tarjeta Inteligente para
Bancos y Cajas de Ahorro)
Tipos de certificados según el
soporte

Para ver los certificados en el
navegador

Certificados de “servidores”

Certificados de
“autoridades”

¿Qué es un certificado raíz?
● Un certificado raíz es un certificado emitido por la Autoridad de
Certificación para sí misma.
● En este certificado consta la clave pública de la Autoridad de
Certificación y por tanto será necesario para comprobar la
autenticidad de cualquier certificado emitido por ella.
● Es el certificado origen de la cadena de confianza.
● Entidades raices
●
FNMT
●
Verisign
●
http://www.verisign.es/
●
Global Sign:
●
https://www.globalsign.com/
●
Entrust; www.entrust.net/

¿Qué información contiene un
certificado ?
● Nombre habitual del propietario de la clave de firma
● Identificador único del propietario
● Clave pública correspondiente a la clave privada de firma
● Identificación de los algoritmos de clave pública
● Número del certificado
● Nombre de la Entidad Certificadora
● Limitaciones de aplicación de las claves
● Capacidad de representación por terceras partes
● Fecha y hora de emisión y aceptación del certificado
● Fecha y hora de expiración del certificado
● Firma de la Autoridad Pública de Certificación como emisora del
certificado
● Versión de la DPC bajo la cual se haya emitido el certificado

El Almacén de Certificados
● Es donde se guardan los certificados
● Siempre que vayamos a realizar un proceso de firma
electrónica o identificación digital basadas en certificados,
será necesario que esos certificados estén disponibles en el
ordenador para la aplicación que va a realizar la firma.
● Los certificados se guardan en el “Almacén de Certificados”.
● Para los certificados contenidos en una tarjeta digital,
como el DNI electrónico, la propia tarjeta es el almacén.
● Los certificados software se guardan en un almacén del
sistema operativo o en el propio de la aplicación.
●Para poder usarlo primero es necesario importar o cargar el
certificado en el almacén correspondiente
− En Windows, Google Chrome utiliza el almacén de certificados del
sistema operativo.
− Firefox y Opera utiliza su propio almacén de certificados

Copia de seguridad del
certificado
●La realización de una copia es fundamental para no
quedarse sin certificado en caso de incidencias con el
equipo o una reinstalación del mismo
●El usuario deberá realizar la copia de seguridad del
certificado con su clave privada desde el almacén del
navegador y dejarlo bien configurado.
●Pero además deberá darlo de alta (importarlo) en el
almacén del sistema operativo que esté usando
●Para impedir que se pueda exportar el certificado más
clave privada por otra persona y configurar un acceso
seguro a la clave privada mediante un PIN de protección

Copia de seguridad del certificado
 La realización de una copia es fundamental para no
quedarse sin certificado en caso de incidencias con el
equipo o una reinstalación del mismo
 El usuario deberá realizar la copia de seguridad del
certificado con su clave privada desde el almacén
del navegador y dejarlo bien configurado.
 Pero además deberá darlo de alta (importarlo) en el
almacén del sistema operativo que esté usando
• Para impedir que se pueda exportar el
certificado más clave privada por otra persona y
configurar un acceso seguro a la clave privada
mediante un PIN de protección

Copia de seguridad del certificado personal
 Para realizar la copia el usuario ha de
exportar el certificado junto con la clave
privada
 Es muy importante elegir la opción “Exportar la
clave privada” en este paso ya que la opción
sin clave privada realmente no sirve

Dar de alta un certificado en
el almacen de certificados
 Doble clic sobre la copia de seguridad de
nuestro certificado (.p12)

Como obtener el certificado
en fichero
http://www.cert.fnmt.es/index.ph
p?cha=cit&sec=3&lang=es
• Quien no quiera usar su certificado
electrónico en esta dirección si te
registra te emiten un certificado
electrónico:
• http://www.trustcenter.de/en/produc
ts/tc_internet_id.htm

TIPOS DE FICHEROS DE
CERTIFICADOS (I)
*.p12
 Corresponde al estándar PKCS7#12 que
define un formato de fichero habitual para
almacenar claves privadas juntas con su
correspondiente certificado, protegido por un
PIN similar al usado para proteger el acceso a
un teléfono móvil
 PKCS (Public Key Certificate Standards) se
refiere al grupo de estándares elaborados
por la empresa RSA Security que son los
estándares de facto en las PKIs actuales
*.crt
 Formato para almacenar certificados X.509v3

TIPOS DE FICHEROS DE CERTIFICADOS (II)
*.cer
 Formato muy frecuente para la distribución de certificados
X.509.
 Es típico que una autoridad de certificación distribuya su
certificado raíz con este formato.
– Certificado codificado en CER (Canonical encoding
rules).
*.p7b
 Formato de estructura de firma electrónica PKCS#7, pero
que no embebe el documento electrónico firmado,
solamente el certificado y/o lista de certificados
revocados.
Privacy Enhanced Mail security certificate.
 Formato que desarrollo específicamente en su
momento para el uso de certificados con correo
electrónico.
 Actualmente también se usa para distribución de
claves privadas.
 Certificado codificado en Base64, encerrado entre
"-----BEGIN CERTIFICATE-----" y "-----END
CERTIFICATE-----"

Tipos de ficheros de
certificados (III)
.*.key
Formato para la distribución de claves
privadas.
*.pem
• DER - Certificado codificado en DER
(Distinguished Encoding Rules)
• .P7C - Estructura PKCS#7 SignedData sin
datos, solo certificado(s) o CRL(s)
• .PFX - Ver .p12

Clases de certificados
Certificados de Clase 1:
 Corresponde a los certificados más fáciles de obtener
e involucran pocas verificaciones de los datos que
figuran en él:
• Sólo el nombre y la dirección de correo electrónico
del titular
 Son emitidos únicamente a individuos
 No se verifica la identidad de éstos y por tanto no
permite autentificarla.
 Confirman que el nombre o seudónimo y el sujeto del
certificado forman un nombre de sujeto inequívoco.

Clases certificados (II)
Certificados de Clase 2:
 Son emitidos únicamente a individuos
 Confirman que la información proporcionada por el Suscriptor no entra en
conflicto con la información de las bases de datos fiables propiedad de una
AC (Autoridad de Certificacion) o una AR (Autoridad de Registro Local),
incluida la identidad del sujeto y otros datos del Suscriptor
 La Autoridad Certificadora comprueba además el Documento de identidad o
permiso de conducir que incluya fotografía, el número de la Seguridad Social
y la fecha de nacimiento.
 a) Certificados de Clase 2 no reconocidos (Clase 2 tipo 1),
 Usados para transaciones de bajo riesgo como servicios de suscripción
de la Sociedad de la Información.
 b) Certificados de Clase 2 reconocidos (Clase 2 tipo 2),
 Pueden ser usados como soporte de firmas electrónicas legalmente
reconocidas
 Obtienen una razonable seguridad de la identidad del Suscriptor,
comparando automáticamente el nombre del solicitante, dirección y otra
información personal contenida en la solicitud de certificado, con la
información contenida en las bases de datos propiedad de la EE o ERL.

Clase de certificador (III)
Certificados de Clase 3, se emiten a:
 Individuos:
 Requiere la presentación de evidencias
probatorias de la identidad del sujeto,
personándose ante una Entidad de Registro
Local (ERL) o su delegado, como puede ser un
notario público.
 Organizaciones:
 Se emiten a individuos con capacidad de firma
dentro de una organización, probada esta
capacidad de firma por evidencia notarial, y de
la propia organización a través de
organizaciones empresariales que confirmen su
identidad.

Clases de certificados (IV)
• Certificados de Clase 4:
– Que a todas las comprobaciones
anteriores suma la verificación del cargo
o la posición de una persona dentro de
una organización.

Estados de los Certificados Electrónicos
Emisión (válido)
 Inicio de su vigencia
 Caducado :
– cuando se ha superado la fecha de vigencia del certificado. Normalmente
un certificado suele tener un período de vigencia de 2 a 3 años desde la
fecha de emisión. En el caso de la FNMT, por ejemplo, son 2 años.
 Por Finalización(expiración) del periodo de validez
 Requiere la renovación del certificado
Revocación de certificados:
– Cuando ha sido rechazado, o bien por la Autoridad Certificadora que lo
emite o bien por el propio titular. El motivo de la revocación es variado
(extravío, robo, caducidad, certificado copiado por terceros, etc)
 La clave privada asociada al certificado se ha visto comprometida
(extravío, robo, copia...)
 Cambio de datos asociados al certificado
• Puede ser revocado por la CA o por el propio titular

Estados de un certificado
● Suspensión de certificados:
− Cuando se ve afectado por una investigación o procedimiento
judicial o administrativo, por lo que se procede a cancelar la validez
del certificado durante un cierto período de tiempo, pudiendo
volverse a levantar la suspensión dentro del período de validez del
certificado.
* Revocación temporal
* Mismas actuaciones que revocación, salvo que es reversible.
● CRLs:
− Listas firmadas por la CA incluyendo referencias a certificados
revocados por ella.
● Un certificado caducado, revocado o suspendido no tiene validez, por lo
que las firmas realizadas con este tipo de certificados dejan de tener valor
desde el momentode su revocación.

Validación de certificados
●¿Qué es la validación de un certificado?
− Es la verificación de que el certificado es válido, integro y no
ha sido comprometido.
●¿Por qué se debe validar un certificado?
− Es la forma de garantizar que en el momento de realizar una
firma o una autenticación, el estado del certificado era válido
y por lo tanto también la operación en la que participó.
●¿Cómo se lleva a cabo?
− Validación de integridad del certificado
* Cumplimiento del estándar X.509v3
* Fecha de caducidad.
* Firma del emisor.
●Consulta del estado del certificado
− Válido.
− Revocado.
− Suspendido.
●Validación de la cadena de certificación
●

Validación de certificados (II). Métodos
de consulta
● CRL (Certificate Revocation List)
− Listas firmadas que publican los certificados
comprometidos.
− Son emitidas por el PSC emisor de los certificados.
− Pueden ser completas, segmentadas, indirectas, etc.
− Pueden ser publicadas por HTTP/S, LDAP, FTP, etc.
− Tiempo de latencia alto.
● OCSP (Online Certificate Status Protocol)
− Protocolo en línea para consulta de estado de certificados.
− Es independiente del protocolo de comunicación.
− Es el método más fiable

Pasos para obtener un
certificado digital
 1 Acceso a la Web de la autoridad de certificación y
cumplimentación de un formulario con los datos que pida al
usuario.
 2 Generación de un par de claves en la máquina local,
(privada /pública)
 3 Envío de la clave pública a la autoridad de certificación
para que ésta cree el certificado
 La clave privada ni siquiera se facilita a la CA, es
totalmente personal, no debe salir jamás de las manos
de su titular.
 4 Personarse en la autoridad de registro para acreditar la
identidad (esto se hace normalmente presentando el DNI).
 En caso de personas jurídicas se exigirá la
correspondiente documentación (escrituras, poderes
de quien solicita el certificado, etc.).

Pasos para obtener un certificado
digital (II)
 5 Obtener el certificado (vía descarga del mismo en
Internet, envío por correo electrónico, etc.) Para la
descarga suele ser habitual que al usuario se le
entregue un PIN de descarga en el acto presencial
anterior
 En el caso de la FNMT, se descarga e instala
automáticamente en el navegador desde el cual
se solicitó.
 6 Realizar una copia de seguridad del certificado
electrónico y la clave privada y guardar el fichero a
buen recaudo.
– Ésta se realizará generalmente en un fichero .p12
que incluye certificado y clave privada,

Pasos para obtener un certificado
digital (III)
7 Configurar el almacén de certificados de manera
segura.
Este paso es importante porque tras la primera
descarga de la CA el nivel de seguridad del almacén
no es muy elevado precisamente para permitir
tareas como la copia de seguridad.

Certificados utilizables por los ciudadanos
● El DNIe para personas físicas
● Sistemas de firma electrónica avanzada
− Los basados en certificado reconocido, admitidos por las
Administraciones Públicas para personas físicas, personas jurídicas y
entes sin personalidad jurídica como es el caso de las comunidades de
bienes.
− La firma electrónica reconocida, las Administraciones están también
obligadas a aceptarla siempre y cuando la autoridad de certificación dé
acceso gratuito a su lista de revocados.
− Los certificados deben de tener incorporado el Número de Identificación
Fiscal de su titular, y deberán de incorporar la identidad de la persona
que solicita y se responsabiliza de custodiar el certificado, ya sea
persona física, jurídica o ente sin personalidad jurídica.
● Se posibilita la admisión de otros sistemas de firma electrónica
incluso la de aquellos que no se basen en sistemas de criptografía
asimétrica y por tanto no impliquen la existencia de certificados
electrónicos.

Certificados utilizables por la
Administración en sus actuaciones
● Para actuación no automatizada se exige firma
electrónica del funcionario actuante.
− Podría ser firma electrónica basada en el DNI
electrónico o
− Algún otro sistema de firma avanzada o
reconocida
* Es más aconsejable que se proporcionen
claves y certificados específicos para la
actividad administrativa.
− También se admiten otros sistemas de firma
electrónica.

Para actuaciones
automatizadas
● Cuando hacemos trámites con las sedes electrónicas y no
interviene un funcionario en el trámite, solo los equipos
informáticos
● Para actuación automatizada. Se admiten dos opciones:
− 1) Sello electrónico
* Firma electrónica avanzada de la Administración
Pública u órgano administrativo.
− 2) Código seguro de verificación (CSV) vinculado a la
Administración Pública u órgano firmante del documento.
* El CSV es un código estampado en un documento
impreso que permite verificar la autenticidad e
integridad de ese documento en papel comparándolo
con el documento electrónico original en la sede
electrónica correspondiente.
* El CSV permite la generación en papel de “copias
auténticas” de documentos

Certificados a utilizar por la Administración
como receptora de transacciones
electrónicas de los ciudadanos
● Ha de ser un certificado de dispositivo seguro.
− Su uso permite el establecimiento de una conexión cifrada entre
el navegador y el servidor de la Administración y sirve para
identificar a éste ante el primero.
● La información contenida en el certificado incluye
− El nombre del titular de la sede electrónica (servidor Web),
− Nombre del dominio y/o
− Dirección IP y la persona que lo solicita y que es responsable de
su custodia.
● El soporte de las claves criptográficas puede ser
− Un elemento lógico como sería el caso de un fichero o
− Una pieza específica de hardware (HSM).
● Se distingue del certificado para componente informático ya que
éste identifica sólo al servidor que aloja a determinada aplicación
informática, pero no necesariamente a la Administración titular del
mismo, ni requiere la consignación de persona física solicitante.

Certificado de Empleado Público
●La Ley 11/2007, de 22 de junio, de Acceso Electrónico de los Ciudadanos a los
servicios Públicos en el capítulo II Sección III “Identificación electrónica de las
Administraciones Públicas y autenticación del ejercicio de su competencia”, en su
artículo 19 trata la “Firma electrónica del personal al servicio de las
Administraciones Públicas”.
●En el punto 1, establece que la identificación y autenticación del ejercicio de la
competencia de la Administración Pública, cuando utilice medios electrónicos se
hará mediante firma electrónica del personal a su servicio de alguna de las dos
formas siguientes:
− Mediante la firma electrónica basada en el Documento Nacional de Identidad.
− Mediante sistemas de firma electrónica con que la Administración Pública provea a su
personal y que identifique conjuntamente al titular del puesto de trabajo y a la
Administración.
●Este segundo caso, es concretado para el personal de la Administración General
del Estado por el RD 1671/2009 que desarrolla parcialmente la ley 11/2007, con el
Certificado Electrónico de Empleado Público.
●En el artículo 22, el RD establece que:
− Esos sistemas de firma estarán basados en certificados electrónicos que se denominarán
Certificados Electrónicos de Empleado Público
− Sólo podrán usarse en el desempeño de las funciones propias del puesto que ocupen los
empleados o para relacionarse con las Administraciones públicas cuando éstas lo admitan
− Además de los datos identificativos del titular el certificado de Empleado Público deberá
contener el Órgano u organismo público en el que presta servicios el titular del certificado
y el número de identificación fiscal del organismo.

Identificación por Funcionario Público
● Los funcionarios públicos pueden identificar con sus propios sistemas de firma
electrónica a ciudadanos que no dispongan de ellos.
● De acuerdo con el artículo 22 de la Ley 11/2007, de 22 de junio, cuando se requiera
la identificación o autenticación del ciudadano mediante algún mecanismo
electrónico contemplado en la ley y del cual el ciudadano no disponga, tal
identificación o autenticación podrá ser válidamente realizada por funcionarios
públicos mediante el uso del sistema de firma electrónica del que estén dotados.
● Para que esta identificación pueda hacerse legalmente deben darse dos condiciones:
− 1.- El ciudadano debe identificarse y prestar su consentimiento expreso, debiendo quedar
constancia de ello para los casos de discrepancia o litigio
− 2.- La administración deberá mantener un registro actualizado de los funcionarios que están
habilitados para realizar este tipo de identificación y autenticación del ciudadano.
● El RD 1671/2009 de 6 de noviembre establece en el artículo 16.2 que ese registro
podrá extender, mediante el correspondiente Convenio de colaboración, sus efectos
a las relaciones con otras Administraciones públicas.
● El RD también dispone que, además de la obligación de que el funcionario esté
habilitado para poder identificar a un ciudadano ante otro órgano u organismo
destinatario de la actuación para la que se ha de realizar la identificación y
autenticación, es necesario que el sistema de firma electrónica utilizado también sea
admitido por el órgano destinatario.
● Cuando el funcionario deba identificar a un ciudadano ante el Departamento
ministerial u organismo al que él está destinado, bastará con que sea habilitado para
ello por el mismo Departamento ministerial u organismo. No será necesaria, si está
habilitado por éste último, su inclusión en el registro de funcionarios habilitados.

Enlaces
●Enlace con FAQ de la FNMT sobre certificados
− https://www.sede.fnmt.gob.es/certificados
− https://www.cert.fnmt.es/certificados
●Video de certificado electrónico
− http://www.youtube.com/watch?v=EU6vgU077xU
&feature=related
● Portal de EA de la Junta de Andalucía
− https://ws024.juntadeandalucia.es/ae/
● En este vídeo puedes ver como obtener un certificado de la
FNMT
− https://www.youtube.com/watch?v=wRzx5moH0jU
− http://www.youtube.com/watch?v=CiTqUZG0E_s
● Identidad Electronica
− https://www.youtube.com/watch?
feature=player_embedded&v=8XUG4-faBq0

T03 03 certificados_digitales

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (15)

Destacado

Destacado (20)

Similar a T03 03 certificados_digitales

Similar a T03 03 certificados_digitales (20)

Más de Manuel Fernandez Barcell

Más de Manuel Fernandez Barcell (17)

Último

Último (12)

T03 03 certificados_digitales