Aproximación a las tendencias sobre Identidad Digital

1. Identidad Digital Diciembre de 2010 Santi Casas blog.santicasas.net santi.casas@albalia.com @santicasas info@albalia.com | www.albalia.com | +34 902 365 612 | Madrid: Méntrida 6 – 28043 | Barcelona: Carrer del Pardal 6 – Terrassa – 08224

2. 1 La identidad digital en Internet 2 Los sistemas de federación de identidades 3 Los sistemas “fuertes” de autenticación 4 Los certificados digitales y el DNIe 5 La gestión de las capacidades y la representación Identidad Digital 2

3. 1 La identidad digital en Internet 2 Los sistemas de federación de identidades 3 Los sistemas “fuertes” de autenticación 4 Los certificados digitales y el DNIe 5 La gestión de las capacidades y la representación Identidad Digital 3

4. Evolución de la Identidad Digital 4 Usuario Interno Entidad username password username password ERP eMail CRM WWW VPN LDAP username password Usuario Externo username password username password username password username password Internet username password eBank FTP Usuario Interno

5. Derecho ciudadano Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos Artículo 6. Derechos de los ciudadanos. 1. Se reconoce a los ciudadanos el derecho a relacionarse con las Administraciones Públicas utilizando medios electrónicos para el ejercicio de los derechos previstos en el artículo 35 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, así como para obtener informaciones, realizar consultas y alegaciones, formular solicitudes, manifestar consentimiento, entablar pretensiones, efectuar pagos, realizar transacciones y oponerse a las resoluciones y actos administrativos. 2. Además, los ciudadanos tienen en relación con la utilización de los medios electrónicos en la actividad administrativa, y en los términos previstos en la presente Ley, los siguientes derechos: … g) A obtener los medios de identificación electrónica necesarios, pudiendo las personas físicas utilizar en todo caso los sistemas de firma electrónica del Documento Nacional de Identidad para cualquier trámite electrónico con cualquier Administración Pública. h) A la utilización de otros sistemas de firma electrónica admitidos en el ámbito de las Administraciones Públicas. 5

6. Derecho ciudadano Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información. Artículo 2. Obligación de disponer de un medio de interlocución telemática para la prestación de servicios al público de especial trascendencia económica. 1. Sin perjuicio de la utilización de otros medios de comunicación a distancia con los clientes, las empresas que presten servicios al público en general de especial trascendencia económica deberán facilitar a sus usuarios un medio de interlocución telemática que, mediante el uso de certificados reconocidos de firma electrónica, les permita la realización de, al menos, los siguientes trámites: Contratación electrónica de servicios, suministros y bienes, la modificación y finalización o rescisión de los correspondientes contratos, así como cualquier acto o negocio jurídico entre las partes, sin perjuicio de lo establecido en la normativa sectorial. Consulta de sus datos de cliente, que incluirán información sobre su historial de facturación de, al menos, los últimos tres años y el contrato suscrito, incluidas las condiciones generales si las hubiere. Presentación de quejas, incidencias, sugerencias y, en su caso, reclamaciones, garantizando la constancia de su presentación para el consumidor y asegurando una atención personal directa. Ejercicio de sus derechos de acceso, rectificación, cancelación y oposición en los términos previstos en la normativa reguladora de protección de datos de carácter personal. 6

7. La identidad digital en Internet 7 http://vivirconmenos.blogspot.com/2008/07/identity-20.html

8. ¿De dónde venimos? Identidad digital 1.0 Identidad centrada en la aplicación Nuestra identidad es ... una entrada en un directorio! Tenemos una identidad para cada directorio ... Se basa en la relación de confianza entre el usuario y el directorio No es escalable No es administrable Genera muchos agujeros de seguridad Es equivalente al modelo histórico de identidad 8

9. Identidad 2.0 9 identityblog.com

10. Identidad 2.0 – Las leyes Control del Usuario y Consentimiento Los sistemas de Identidad Digital solo deben revelar información que le identifique con su consentimiento. 10 1

11. Identidad 2.0 – Las leyes Información limitada para un uso limitado La solución que divulgue la mínima información de identificación y que mejor limite su uso es la solución más estable a largo plazo. 11 2 >18

12. Identidad 2.0 – Las leyes Justificación de las partes Los sistemas de Identidad Digital deben limitar la información de identificación a las partes que tengan un rol necesario y justificable en una relación de identidad dada. 12 3

13. Identidad 2.0 – Las leyes Identidad Dirigida Un sistema de identidad universal debe soportar tanto identificadores “omnidireccionales” para uso de entidades públicas, como identificadores “unidireccionales” para su uso por entidades privadas, facilitando el descubrimiento a la vez que previniendo divulgación innecesaria de correlaciones de identidad. 13 4

14. Identidad 2.0 – Las leyes Pluralismo de tecnologías y operadores Un sistema universal de identidad debe canalizar y habilitar el funcionamiento conjunto de servicios de diversos operadores basados en múltiples tecnologías de identidad. 14 5

15. Identidad 2.0 – Las leyes Integración humana El metasistema universal de identidad debe definir al usuario humano como un componente del sistema distribuido, integrado en el mismo mediante mecanismos de comunicación hombre-máquina con protección frente a ataques de identidad. 15 6

16. Identidad 2.0 – Las leyes Experiencia consistente en todos los contextos El sistema debe garantizar a los usuarios una experiencia simple y consistente, aun permitiendo la separación de contextos de múltiples operadores y tecnologías. 16 7

17. Identidad Digital en Internet 17

18. Identidad Digital en Internet 18

19. Identidad Digital en Internet 19 Account

20. 1 La identidad digital en Internet 2 Los sistemas de federación de identidades 3 Los sistemas “fuertes” de autenticación 4 Los certificados digitales y el DNIe 5 La gestión de las capacidades y la representación Identidad Digital y Firma Electrónica 20

21. Federación de Identidades SP El usuario solicita autenticarse al SP. El SP solicita la autenticación al IDP El IDP solicita la usuario las credenciales para autenticarse. El IDP informa al SP del resultado de la autenticación y de la información del usuario. En función del resultado SP permite el acceso al usuario. 1 5 4 http://www.entidad.es 2 3 IDP SP – Prestador del Servicio IDP – Proveedor de Identidad 21

22. SAML Security Assertion Markup Language Framework XML para intercambiar información de autenticación y autorización Assertion -> Aserción, afirmación ¿Qué es la identidad? Un conjunto de afirmaciones 22

23. Estándar de identificación digital descentralizado Creado en 2005 Mantenido por la OpenID Foundation Identificación a través de URL No especifica el mecanismo de autenticación SENCILLO Y FÁCIL DE IMPLEMENTAR IP – Identity Provider RP – Relaying Party Site: openid.net 23

24. OpenID Foundation 24

25. OpenID Providers 25

26. OpenID Relaying Parties 26 Traction Sanction IP OSI OpenID SAML

27. OpenID Extensions 27 PAPE Provider AuthenticationPolicy SREG Simple Registration AX Attribute Exchange

28. OAuth 28 Open Authorization es un protocolo que permite a los usuarios compartir sus recursos privados almacenados en un servicio con otro servicio sin tener que facilitar su nombre de usuario y contraseña.

29. The Venn of Identity 29

30. Identidad Digital en la Administración Obama Barack Obama ha comprometido firmemente a suadministración en el Open Government El CIO de la Casablanca, Vivek Kundra, dio instrucciones al CIO del ICAM (Identity, Credential, and Access Management Commitee) para aprovechar las tecnologías de Open Identity. “Es objetivo prioritario del gobierno impulsar los recursos de la industria siempre que sea posible. Para apoyar la administración electrónica, la ICAM tiene como objetivo potenciar la industria basada en las credenciales que los ciudadanos ya tienen para otros fines.” En Abril de 2009, la ICAM y la U.S. General Services Admin (GSA) contactaron con las Fundaciones de OpenID e Information Card 30

31. OIX – Open Identity Exchange Creado a raíz de la colaboración de la OIDF y el ICF con el ICAM. Es el primer TFP (Trust Framework Provider) Provee de servicios de certificación para garantizar los LoAs (Leves of Assurance) 31 openidentityexchange.org

33. Por España, particpan:

34. Ministerio de la Presidencia (antiguo MAP)

35. Universitat Jaume I de Castelló

36. CATCert – Agencia Catalana de Certificació

37. Aunque no de forma exclusiva, está fundamentalmente basado en eIDs basados en certificados electrónicos y PKI.

38. SAML as coreprotocol.

40. eID + OpenID en Estonia 34

41. OpenID en el gobierno japonés 35

42. To follow: 36 Kim Cameron Microsoft identityblog.com @kim_cameron David Recordon Facebook davidrecordon.com @daveman692 Chris Messina Google factoryjoe.com @chrismessina Joseph Smarr Google josephsmarr.com @jsmarr DickHardt Sxipper dickhardt.org @DickHardt NatSakimura OpenID sakimura.org @_nat

43. 1 La identidad digital en Internet 2 Los sistemas de federación de identidades 3 Los sistemas “fuertes” de autenticación 4 Los certificados digitales y el DNIe 5 La gestión de las capacidades y la representación Identidad Digital 37

44. Riesgos 38

45. Tipos de ataques 39 Guessing Intento de obtener credenciales válidas tratando de adivinar contraseñas de un sistema remoto mediante fuerza bruta. Eavesdropping Proceso mediante el cual un agente capta información - en claro o cifrada - que no le iba dirigida. Aunque es en principio un ataque completamente pasivo, lo más peligroso del eavesdropping es que es muy difícil de detectar mientras que se produce. Hijacking Hace referencia a toda técnica ilegal que lleve consigo el adueñarse o robar algo (generalmente información) por parte de un atacante (p.e.phising). Replay Es una forma de ataque de red, en el cual una transmisión de datos válida es maliciosa o fraudulentamente repetida o retardada. El ataque de replay pretende capturar información y posteriormente reenviarla con el objetivo de falsificar la identidad de uno de los lados. Man-in-the-middle Es una forma de eavesdropping activo donde el atacante realiza conexiones independientes con las victimas y reenvia mensajes entre ellos, haciendoles creer que están hablando directamiente en una comunicación privada, cuando en realidad toda la conversación está controlada por el atacante.

46. LoAs – Levels of Assurance 40

47. Temas a controlar 41 Fiabilidad del registro Verificación de identidad y atributos Seguridad de la Autenticación Multifactor, biometria, OTP

48. Fiabilidad del registroReputación 42

49. Fiabilidad del registroVerificación de cuentas 43

50. Fiabilidad del registroAcreditación con DNIe 44

51. Autenticación por multifactor Los factores de la autenticación para los seres humanos se clasifican generalmente en cuatro casos: Algo que el usuario es (biometría) la huella dactilar, el patrón retiniano, la forma de la cara, la secuencia de ADN… Algo que el usuario tiene Una tarjeta criptográfica, un token OTP (One-Time Password), un teléfono móvil … Algo que el usuario sabe una contraseña, una frase, un número de identificación personal … Algo el usuario hace el patrón de la voz, el reconocimiento de la firma… 45

52. Algo que soy, algo que hagoBiometría 46

53. Algo que tengo 47 Tarjeta criptográfica Móvil Token criptográfico

54. Autenticación por multifactor Dos ejemplos habituales multifactor: Autenticación mediante dos factores: "algo que tengo" la tarjeta de crédito "algo que se" un número de PIN Autenticación triple factor: "algo que tengo" el dispositivo criptográfico "algo que se" una clave de autenticación tipo PIN “algo que soy" la huella dactilar Por ejemplo, los DSCF (dispositivos seguros de creación de firma) requieren como mínimo un sistema de doble factor. 48

55. Sistemas de autenticaciónDependen del dispositivo 49 ¿?

56. 1 La identidad digital en Internet 2 Los sistemas de federación de identidades 3 Los sistemas “fuertes” de autenticación 4 Los certificados digitales y el DNIe 5 La gestión de las capacidades y la representación Identidad Digital 50

57. } Nombre Nombre asociado a la Clave Pública Clave Pública Periodo de validez Número de serie (otros atributos) } Entidad de Certificación Firma generada usandola Clave Privada de la AC Firma de la Ent. Certificación Formato X.509 Versión 3 Certificado digital 51

58. Certificado digital 52

59. DNIe con OpenID 53

60. DNIe con OpenID 54

61. 1 La identidad digital en Internet 2 Los sistemas de federación de identidades 3 Los sistemas “fuertes” de autenticación 4 Los certificados digitales y el DNIe 5 La gestión de las capacidades y la representación Identidad Digital 55

62. Identidad y capacidades Atributo: Puede conducir coches Atributo: Tiene crédito en el Corte Inglés. Atributo: Es estudiante de la UOC Identidad Atributo: Puede entrar en el gimnasio 56

64. Farmacéuticos

65. Ingenieros …

66. Abogados

67. Registradores

68. Notarios

70. Certificados de Representante Artículo 6.2 de la Ley 59/2003 de firma electrónica: “El firmante es la persona que posee un dispositivo de creación de firma y que actúa en nombre propio o en nombre de una persona física o jurídica a la que representa” Artículo 13.3 de la Ley 59/2003 de firma electrónica: Si los certificados reconocidos reflejan una relación de representación voluntaria, los prestadores de servicios de certificación comprobarán los datos relativos a la personalidad jurídica del representado y a la extensión y vigencia de las facultades del representante mediante los documentos públicos que sirvan para acreditar los extremos citados de manera fehaciente y su inscripción en el correspondiente registro público si así resulta exigible. La citada comprobación podrá realizarse, asimismo, mediante consulta en el registro público en el que estén inscritos los mencionados datos, pudiendo emplear los medios telemáticos facilitados por los citados registros públicos. Si los certificados reconocidos admiten otros supuestos de representación, los prestadores de servicios de certificación deberán exigir la acreditación de las circunstancias en las que se fundamenten, en la misma forma prevista anteriormente. Cuando el certificado reconocido contenga otras circunstancias personales o atributos del solicitante, como su condición de titular de un cargo público, su pertenencia a un colegio profesional o su titulación, éstas deberán comprobarse mediante los documentos oficiales que las acrediten, de conformidad con su normativa específica. 59

71. Certificados de Atributos Los certificados de atributos Definido en el RFC 3281 Permite identificar una cualidad, estado o situación (p.ej. Médico, Director, Casado, Apoderado de..., etc.). Este tipo de certificado va asociado al certificado personal. Es ideal cuando la vigencia del atributo puede ser corta. No se ha extendido su uso. 60 Visado Certificado de Atributos Pasaporte Certificado Personal

72. SAML Assertion Se puede conseguir la misma funcionalidad que con los certificados de atributos. No requiere de una Autoridad de Atributos, solo requiere que se “firme” el token. Basado en XML, es más fácil de implementar en los modelos actuales. Facilita las “autorizaciones” dinámicas. 61 Visado SAML Token Pasaporte Certificado Personal

73. SAML Assertion 62 Base de Datos Del Padrón ¿Está en el padrón? Si Ciudadano ¡Adelante! SAML Token Ayuntamiento

74. Sistemas Integrados 63