INTECO difunde lo perfiles de protección Common Criteria del DNI electrónico

El Instituto Nacional de Tecnologías de la Comunicación (Inteco) difunde. con el apoyo del Centro Criptológico Nacional del Centro Nacional de Inteligencia, la certificación de seguridad de los perfiles de protección del DNI electrónico, cuatro documentos que recogen los requisitos técnicos esenciales para el desarrollo seguro y uso de aplicaciones del DNIe, en el marco de Common Criteria, ISO 15408.

Dichos perfiles han sido certificados con fecha del 23 de febrero y publicados en el Boletín Oficial del Estado (BOE) del 14 de abril, con lo que están disponibles para su uso por desarrolladores de aplicaciones certificables en el entorno del DNIe.

Actualmente más de diez millones de ciudadanos españoles disponen de esta tarjeta de identificación electrónica que contiene en su «chip» los mecanismos necesarios para permitir acreditar la identidad y llevar a cabo la firma electrónica de los ciudadanos por medios electrónicos.

Los requisitos técnicos, elaborados por Inteco en una encomienda de gestión del Ministerio de Industria, Turismo y Comercio, a través de Red.es, se reconocen internacionalmente como Perfiles de Protección o ‘Protection Profiles’ y en ellos se recogen los requisitos de seguridad estándar según la normativa internacional de referencia Common Criteria, que consiste en  un marco normativo aprobado como estándar internacional por ISO (CCv3.1) en 1999.

Entre las principales ventajas que se obtienen de la certificación de estos perfiles de protección se encuentra la posibilidad por parte de los usuarios de disponer de aplicaciones seguras y certificadas para el uso del DNIe como dispositivo de firma electrónica, lo que fortalece su confianza en este dispositivo en los trámites electrónicos con la administración o con el sector privado. En particular cumplir el requisito que impone el certificado de firma del DNI electrónico respecto al «content commitment», lo que significa que la aplicación informática de firma electrrónica debe cerciorarse de que «lo que se ve es lo que se firma» («what you see is what you sign»).

Del mismo modo, la industria desarrolladora de aplicaciones tendrá a su disposición los medios para diseñar, certificar y comercializar servicios seguros bajo una normativa o estándar reconocido.

Por otra parte, para garantizar la protección del usuario en la utilización del DNIe, en el grupo de expertos para la elaboración de estos perfiles de protección han estado representados la Dirección General de la Policía, la Agencia Española de Protección de Datos, el Centro Criptológico Nacional y la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, así como las principales asociaciones de la industria española, como ASIMELEC.

Inteco, mediante un laboratorio acreditado (Epoche & Espri), ha elaborado cuatro documentos de perfiles de protección para aplicaciones de creación y verificación de firma electrónica con el DNIe: dos para plataformas TDT, PDA y dispositivos móviles y otros dos para ordenadores personales con sistemas operativos de propósito general.

Para cada entorno se han certificado (a través de LGAI-Applus), a su vez, dos perfiles para que el desarrollador pueda optar a dos niveles de garantía de seguridad diferentes en cuanto a su certificación, denominados EAL1 y EAL3. El primero está dirigido a todo tipo de desarrollos, mientras que el segundo está diseñado para aquellos desarrollos que quieran obtener un nivel superior de garantía de seguridad.

Con la intención de facilitar a los desarrolladores y a la industria en general la adopción de estos perfiles de protección, como referente para el diseño y desarrollo de sus aplicaciones de firma con el DNIe, el Instituto Nacional de Tecnologías de la Comunicación ha elaborado unas guías para la aplicación de los perfiles de protección en la elaboración de aplicaciones certificables de creación y verificación de firma con DNI electrónico.

Adicionalmente, el próximo día 20 de abril, Inteco presentará en su sede de León los perfiles de protección, conjuntamente con las guías de aplicación a la industria, las asociaciones sectoriales y a todos los desarrolladores interesados en estos documentos, su contenido y su aplicación.

 Estos perfiles, denominados técnicamente como PPSCVA-T1-EAL1, PPSCVA-T1-EAL3, PPSCVA-T2-EAL1 y PPSCVA-T2-EAL3, además de impulsar el desarrollo de aplicaciones seguras en el entorno del DNIe, son las herramientas básicas para difundir la cultura de la certificación entre desarrolladores y la cultura en el uso de herramientas seguras entre los usuarios de estas aplicaciones. Dichas guías y perfiles de protección estarán disponibles en la página web de la entidad: www.inteco.es y en la del Organismo de Certificación del Centro Criptológico Nacional.