Archivo de la categoría: Firma Electrónica

Securizando la Internet de las cosas (IoT)


La denominada Internet de las cosas (Internet of Things – IoT) formará una red de alta capilaridad en la que millones de dispositivos, sensores y actuadores remitirán información a sistemas de control que la consolidarán y generarán instrucciones que implicarán la actuación remota de todo tipo: válvulas, apertura y cierre de puertas, actuadores de cremallera , calefactores, motores, reguladores,..

Un contexto en el que es imprescindible que el control remoto solo pueda ser ejercido por sistemas seguros y autorizados para la función. Y que la información solo llegue al destino correcto sin que pueda ser suplantado.

Es preciso que todos los sistemas incluyan mecanismos de generación y comprobación de firmas electrónicas compactas y eficientes. Es preciso que todos los dispositivos incluyan soporte para la tecnología de firma electrónica mediante criptografía ECC.

El algoritmo asimétrico de criptografía de curva elíptica (ECC) es el preferible (frente a RSA) por tamaño de claves y eficiencia del algoritmos, que puede ser implementado en sistemas embebidos y microcontoladores.

El marco de restricciones en IoT incluye limitaciones en recursos computacionales tales como la velocidad del procesador y la memoria disponible, considerando que los dispositivos requieren un muy bajo consumo de energía.

Los desafíos del despliegue de soluciones de IoT incluyen la necesidad de reingeniería de aspectos tales como gestión de identidades, registro de dispositivos y usuarios y criptografía para satisfacer las necesidades de IoT.

ECC es el criptosistema adecuado para cumplir con las limitaciones y desafíos antes mencionados, ya que ECC utiliza claves más pequeñas, menor consumo de potencia de cálculo y menor consumo de memoria para el mismo nivel de protección.

ECC proporciona un nivel de seguridad que satisface las necesidades del ámbito del IoT. El riesgo potencial es alto, y los daños no se limitan al robo o pérdida de datos. Un  dispositivo de IoT comprometido, es decir, controlado por un intruso, puede conducir a problemas de seguridad importantes cuando se relacionan con vehículos, dispositivos de atención médica y sistemas de control. Estas situaciones pueden tener como consecuencias  la pérdida de control del vehículo, un mal funcionamiento del dispositivo médico u otro evento adverso, que causen lesiones, errores de diagnóstico o eventos catastróficos.

Incluso, en el ámbito de la privacidad, la posibilidad de que aparezcan amenazas como el seguimiento no autorizado de las ubicaciones de los individuos, la manipulación de las transacciones financieras y el compromiso de la integridad de los datos altamente sensibles (por ejemplo, los datos de salud necesarios para un diagnóstico adecuado) son retos tan significativos como para que merezcan un período de reflexión y un análisis profundo de los riesgos de cada proyecto o implementación.

EADTrust es su partner de valor añadido en proyectos de IoT por su conocimiento de los criptosistemas de curva elíptica y por la capacidad de generar y distribuir certificados ECC que se pueden incluir en los dispositivos y en los controladores para reforzar su seguridad.

Contacte con EADTRUST llamando al +34 91 7160555

iot

Blockchain de bitcoin y otras cadenas de bloques


ethereumLas ciberdivisas ganan cada día en popularidad, y, especialmente, las tecnologías que garantizan la preservación de la historia de sus transacciones o endosos.

Es importante distinguir entre tres cosas que comúnmente se confunden:

  • la cibermoneda, por ejemplo, bitcoin,
  • la cadena de bloque específica que la sostiene y
  • la idea de blockchains en general.

La cadena de bloques o “blockchain” es una tecnología que se suele denominar DLT (distributed ledger technology, o libro mayor distribuido) aunque en mi opinión, la denominación es errónea, porque se trata más bien de un libro diario replicado, es decir RJT, replicated journal technology.

En esencia el blockchain de bitcoin es un libro de contabilidad público, compartido, confiable, que todo el mundo puede inspeccionar (si cuenta con el software adecuado y una conexión a internet), y que lo controla un colectivo de usuarios concretos denominado “de mineros”.

Ese control está automatizado por el algoritmo utilizado en el software de “minería”  que decide qué transacciones se admiten en los bloques. La decisión se basa en la probabilidad de encontrar un valor hash para el bloque que resume un conjunto de transacciones con ciertas restricciones.

Las solicitudes de transacciones se generan desde las carteras de los usuarios en general (tanto minero como no mineros), y se firman con una firma electrónica basada en criptografía de clave pública en el campo matemático de las curvas elípticas.

Las solicitudes de transferencia se encolan y los mineros las seleccionan por el monto de comisión que ofrece el solicitante o por la prisa del minero en completar un bloque.

Una vez definido el bloque (y las transacciones incluidas en el, que pueden ser diferentes para diferentes mineros), se calcula el hash del bloque concatenando un valor “nonce” de ajuste. El minero varía el valor del ajuste hasta que el resultado es un hash que cumple con las restricciones (por ejemplo empezar por una cierta cantidad de ceros). Hay que ir probando valores de ajuste a toda velocidad y calcular los hashes del resultante, para lo que se usan equipos especializados que se miden en MHS (Mega hashes por segundo), lo que consume mucha energía. El esfuerzo inversor en potencia de cálculo de hashes (y energía) marca el denominado PoW (Proof of Work) demostración de esfuerzo, que favorece estadísticamente a los mineros que se agrupan (forman “pools”) y distribuyen entre ellos los rangos de valor de ajuste para combinar potencia de cómputo y mejorar las probabilidades de acertar con el hash que cierra un bloque.

Si da con el valor hash adecuado, lo transmite a otros mineros que comprueban muy rápidamente que el bloque, el ajuste y el hash cumplen las restricciones del protocolo. Entonces todos los mineros descartan el bloque en el que estaban trabajando, incorporan el que reciben y lo difunden a otros mineros.

El minero que construyó el bloque válido obtiene como recompensa (la mena de minería) nuevos bitcoins, además de las comisiones de las transacciones del bloque.

Si dos mineros dan con un bloque y un ajuste válidos más o menos al mismo tiempo, el bloque mayoritariamente adoptado por los demás para seguir construyendo la cadena de bloques es que se lleva el premio. A ese mecanismo se le denomina “consenso”.

Dado que todas las transferencias figuran en la cadena de bloques, queda claramente trazado de quien a quien se transmite el valor, y de esa información la cartera de cada interviniente refleja las transacciones en las que se asocia su identidad como ordenante o beneficiario. Existen varios tipos de carteras, unas que podemos denominar “completas” porque se descargan localmente la cadena de bloques (que en estos momentos ocupa unos 145 Gigabytes) y otras basadas en servidor que confían este almacenamiento a un prestador del servicio de carteras.

Bitcoin es una cibermoneda que ha ido aumentando su valor respecto a las monedas convencionales como el euro, con muchas fluctuaciones de valoración y con fundadas sospechas de inflación por los intereses especulativos de quienes la usan, inversores y mineros.

Pero la tecnología blockchain permite gestionar los endosos de títulos valores o de títulos cambiarios que representen diferentes conceptos de valor. Esta tecnología la usan otras ciberdivissas, como Ether, que incorporan versiones más sofisticadas de la cadena de bloques (Ethereum) que permiten implementar contratos inteligentes (Smart Contracts)

Decenas de empresas de nueva creación (startups) ahora esperan aprovechar la tecnología blockchain, para proyectos de organizaciones descentralizadas (DAO, Decentralized autonomous organization) financiándose en modalidades específicas de “crowfunding” con criptomonedas denominadas ICO – Initial Coin Offering.

La tecnología de Blockchain, que en el caso de las ciberdivisas necesariamente debe utilizarse de forma abierta, se adapta a usos diferentes dando lugar a blockchains privadas, semipúblicas y restringidas (permisionadas es un barbarismo que no me gusta), donde solo los miembros del colectivo pueden leer y escribir el histórico de transacciones.

Entre los usos que afloran figuran algunos muy interesantes:

  • los asociados a la gestión y transmisión de titularidad de bienes raíces, en contextos, funcionales asimilables a los Registros de la Propiedad y el Catastro,
  • los asociados a la gestión y transmisión de titularidad de documentos electrónicos auténticos, firmados electrónicamente o no, identificados con un códigos seguro de verificación. Un ejemplo de esto es el Cartulario de EADTrust.
  • los asociados a la gestión y transmisión de titularidad de objetos valiosos y singulares como diamantes, precias preciosas y obras de arte
  • los asociados a la gestión y transmisión de dinero entre entidades financieras, formando una cámara de compensación restringida a las entidades participantes, lo que permite ahorrar costes de comisiones de SWIFT con el mismo efecto. Una de las iniciativas en este sentido es R3 y su plataforma Corda
  • los asociados a la gestión y transmisión de títulos valores representativos de acciones en sociedades cotizadas (alternativa a la bolsa) o no cotizadas. Para lo que existe ya el concepto y la legislación de los sistemas de “anotaciones en cuenta”. En Estados Unidos, el NASDAQ y otras Bolsas experimentan con esta tecnología.
  • los asociados a la gestión y transmisión de títulos cambiarios, como plataforma de endosos. Un uso pionero de una tecnología de endosos similar a blockchain fue el proyecto Pista – Títulos Cambiarios que ayudé a definir en FESTE en 1999 y se desarrolló en 2002.

La combinación de tecnologías que es adecuada para ciberdivisas puede no ser suficiente para ciertos usos. Por ese motivo, elementos como los mecanismos de cadena de bloques se manejan por su valor tecnológico en otros contextos, modificando el formato de los bloques, el protocolo de intercambio, el mecanismo de validación de bloques (por ejemplo para requerir menos energía o para acelerar la capacidad de gestión de transacciones), o limitando los potenciales usuarios.

En España se ha presentado una iniciativa denominada inicialmente Red Lyra y ahora Alastria que aglutina expertos de múltiples procedencias y que impulsará una blockchain multisectorial con énfasis en la gestión de identidades. Ya se han producido avances y en septiembre de 2017 realizará nuevos anuncios.

También en España, AENOR ha constituido un grupo de trabajo de normalización sobre Blockchain que colaborará con los grupos homónimos de otros países en el marco de ISO (International Standards Organization).

Un concepto normalmente equivocado es asumir que la cadena de bloques sirve para dejar constancia de la existencia de un determinado activo digital en un momento dado. Lo que técnicos influenciados por el marco jurídico anglosajón denominan “notarizar“. Para ese objetivo, la tecnología adecuada es el “time stamping“, el “sello de tiempo”, que además cuenta con un marco regulatorio muy evolucundado gracias al Reglamento Europeo UE 910/2014 (EIDAS).

Es cierto que blockchain también asigna momentos temporales a las transacciones pero es como clavar un clavo con el mango de un destornillador: se puede, pero los clavos se clavan mejor con martillos y el destornillador (o atornillador) es mejor para hacer entrar o salir tornillos girando.

Si necesita apoyo para aplicar la tecnología blockchain a su proyecto (o la más adecuada, si fuera otra), contacte con EADTrust. Le asesoremos y le proporcionaremos la caja de herramientas para llevarlo a cabo. 902 365 612

 

 

 

 

Decae el requisito de legitimación de firmas para el depósito de cuentas anuales


En este blog he sido bastante crítico con el requisito de legitimación de firmas  que imponían algunas normas legales, en especial cuando la firma era electrónica.

Por ejemplo en estos artículos:

Ahora un cambio legal devuelve la lógica a las actuaciones en relación con el requisito de la legitimación notarial de las firmas para el depósito de las cuentas anuales.

La Ley 25/2011, de 1 de agosto (BOE 02/08/2011), de reforma parcial de la Ley de Sociedades de Capital y de incorporación de la Directiva 2007/36/CE, del Parlamento Europeo y del Consejo, de 11 de julio, sobre el ejercicio de determinados derechos de los accionistas de sociedades cotizadas, da nueva redacción al artículo 279 del Texto Refundido de la Ley de Sociedades de Capital, elimina el requisito de la legitimación notarial de las firmas para el depósito de las cuentas anuales.

Otra modificación es respecto a la forma de convocatoria de la junta general de socios ya que se suprime el carácter obligatorio de la publicación de la convocatoria en el “Boletín Oficial del Registro Mercantil” (BORME) y en un diario de los de mayor circulación en la provincia en que esté situado el domicilio social.

Al eliminarse la necesidad de legitimar ante notario las firmas se puede realizar la presentación digital de cuentas por Internet de forma completa sin necesidad de remitir al Registro, en papel, el Certificado de aprobación de cuentas. Este certificado se puede escanear en formato PDF una vez realizada su firma y remitir también por Internet con la firma digital del presentante acompañando al archivo ZIP que contiene las cuentas anuales, memoria, etc.

Las opciones de depósito de cuentas en papel y por Internet existentes hasta ahora siguen siendo válidas, simplemente se incorpora esta nueva modalidad de “presentación completa” en la que el Certificado de aprobación de cuentas se remite escaneado en formato PDF.

Trust Services Forum 2017


ENISA and the European Commission are organising a consultation workshop with industry and experts from Member States on ICT security certification.

  • Time: April 27, 2017 from 09:30 to 17:00
  • Place: Hotel Thon EU, Rue de la Loi 75, B-1040 Brussels, Belgium

The workshop is organised as a follow-up on the European Commission’s commitment to develop a proposal for a European ICT security certification framework.

Trust Services Forum 2017 – Agenda

09:45 – 10:15

Registration & Welcome Coffee

10:15 – 11:30

Welcome Statement

State of play: eIDAS Regulation, CEF, ENISA activities

Gábor Bartha – European Commission

João Rodrigues Frade – European Commission

Sławomir Górniak – ENISA

11:30 – 11:45

Coffee Break

11:45 – 12:45

Panel Discussion 1

One year after eIDAS provisions entered into force

Where do we stand?

Moderator:

Prokopios Drogkaris, ENISA

Panelists:

John Jolliffe, Adobe

Olivier Delos, SEALED

Romain Santini, ANSSI

Michał Tabor, Obserwatorium.biz

12:45 – 13:45

Lunch Break

13:45 – 14:00

Article 19 – State of play

Ilias Bakatsis, ENISA

14:00 – 15:00

Panel Discussion 2

Working on the eIDAS through guidelines and recommendations

Moderator:

Sławomir Górniak, ENISA

Panelists:

Camille Gerbert – LSTI

Björn Hesthamar – PTS SE

Leslie Romeo – 1&1

Jérôme Bordier – ClubPSCo

15:00 – 15:30

Coffee Break

15:30 – 16:30

Panel Discussion 3

Strengthening the adoption of qualified certificates for website authentication

Moderator:

Eugenia Nikolouzou – ENISA

Panelists:

Reinhard Posch – TU Graz

Arno Fiedler – Nimbus

Kim Nguyen – D-Trust

Erik Van Zuuren – TrustCore

16:30 – 17:00

Next Steps – Open Discussion – Closing Remarks

 

Revista electrónica de derecho registral IPRA-CINDER sobre Blockchain


El pasado 23 de marzo de 2017 se presentó en Washington la nueva revista electrónica de derecho registral IPRA-CINDER.

El IPRA-CINDER es una organización internacional, independiente y sin ánimo de lucro cuya finalidad principal consiste en promover y fomentar el estudio de los temas y cuestiones relacionados con el registro de la propiedad.

Las siglas IPRA corresponden a su denominación en inglés “International Property Registries Association” y las siglas CINDER a la denominación en español “Centro Internacional de Derecho Registral”.

El acto tuvo lugar en el salón de plenos del Banco Mundial (Preston Auditorium) durante la celebración de la Land and Poverty Conference de 2017.

IPRA CINDER International Review

Revista electrónica de derecho registral

Hasta los años ochenta, CINDER publicó una revista de derecho registral en papel.

En esta nueva época se edita en formato electrónico y en  inglés, al objeto de facilitar el acceso a sus estudios e investigaciones a académicos de cualquier procedencia.

Forman parte del comité científico un destacado elenco de catedráticos de distintos países y diversas tradiciones jurídicas: Reiner Schulze (Alemania), Yves Picod (Francia), Peter Sparkes (Inglaterra), Sjef Van Erp (Holanda), Pamela O’Connor (Australia), Rod Thomas (Nueva Zelanda), Celso Fernandes (Brasil) y Benito Arruñada (España), así como el lead ecomomist del Banco Mundial Klaus Deinninger (Washington)

El primer número está dedicado al debate sobre la posibilidad de aplicar la tecnología blockchain (cadena de bloques) a los registros de la propiedad. Es un tema candente en el ámbito internacional.

La edición de la revista, según lo acordado en la última asamblea de IPRA-CINDER, ha corrido a cargo de la delegación para América del Sur que se encuentra en Brasil.

La organización destaca el mérito de Sergio Jacominio, presidente del IRIB (Instituto del Registro Inmobiliario de Brasil) por el trabajo realizado. Esta institución da acceso a este número que incluye interesantes reflexiones sobre la influencia del Blockchain en la actividad registral.

CA Compliance Info-Day (CA day 2017) eIDAS and Web-PKI


On monday June, the 19th of 2017 D-TRUST and TÜVIT organize the 8th CA day in Berlin, Bundesdruckerei GmbH, Historic Conference Center.

Kim Nguyen, Andrea Servida, Arno Fiedler, Clemens Wanko, Sylvi Lacroix, Slawomir Gorniak, Andrea Vale and Dean Coclin will present  recent advances in eIDAS deployment:

  • eIDAS Regulation: State of play
  • Implementing eIDAS with CEN and ETSI Norms
  • The European Audit Framework
  • eIDAS Services in Realitas
  • Update on ENISA activities in the field of eIDAS
  • Adobe and the Cloud Signature Alliance
  • News from the CA/Browser Forum
  • Browser/Rootstore Program requirements
  • Panel discussion: eIDAS: Who are the “Trust Service Consumer” ?

Acceso a información biométrica de una firma digitalizada


EADTrust y otros Prestadores de Servicios Electrónicos de Confianza Digital custodian claves privadas de diferentes plataformas de firma digitalizada, biométrica o grafométrica.

El hecho de que exista esta custodia implica que los responsables de las plataformas adoptan medidas para garantizar que la información biométrica se incluye en los documentos electrónicos firmados de forma cifrada (con la clave pública asociada a la clave privada custodiada) y que no está libremente disponible para la entidad que hace uso de la plataforma, y, por tanto, no puede utilizarla para asociarla a otros documentos.

De esta forma, tanto la entidad promotora del sistema de firma digitalizada que hace uso de la plataforma como los propios firmantes están en igualdad de condiciones para ejercer el derecho a la prueba respecto a si una firma en concreto pertenece o no a una persona (esa igualdad de condiciones se denomina, a veces, “simetría probatoria”).

Para realizar el proceso de comprobación de una firma digitalizada se suele recurrir a un proceso de análisis pericial caligráfico (u otro tipo de estudio pericial asistido por software de análisis biométrico de uso forense), para lo que será necesario identificar peritos y expertos que puedan realizar el análisis.

El proceso se inicia a partir del archivo PDF que debe tener a su alcance cualquiera de las partes intervinientes en el contrato y que incluye la firma controvertida, por lo que este debe estar localizable para la entidad y para el firmante.

En caso de que el cliente de una entidad que haya firmado en Tablet no posea el fichero digital con su firma, y lo requiera, será preciso identificar las personas de Compliance o de gestión de LOPD (o RGPD) o seguridad informática en la entidad que tienen identificado el caso y el archivo o archivos cuya firma es controvertida, y solicitar el fichero por los cauces previstos (por ejemplo contactando con la entidad para ejercer el derecho de “Acceso” reconocido por la LOPD).

Una vez que se dispone del documento PDF que incluye la firma biométrica, cualquiera de las partes puede llevar a cabo los siguientes pasos:

  • Preparar un mandato o poder de una persona que desea realizar la comprobación nombrando al perito para que pueda acudir al Prestador de Servicios Electrónicos de Confianza que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) en nombre del solicitante.
  • Hacer copia del poder o mandato y del DNI de apoderado o mandatario
  • Preparar un escrito en formato carta que describa brevemente el problema y solicite la intervención de la entidad que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) incluyendo los datos de identificación de la persona que contactará con ella. Normalmente la firma el apoderado.
  • Quien acude a la entidad que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) lo suele hacer presencialmente o por un procedimiento acordado, de gestión telemática.
  • Conviene cerciorarse de que la entidad que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) tiene la ultima versión del software aportado por los desarrolladores de la plataforma para descifrar la información biométrica a partir del documento PDF.
  • La entidad que custodia las claves privadas (EADTrust o el PSEC que se haya definido en cada caso) nunca hace entrega de las claves. Hace uso de la clave para descifrar el documento y extraer la información biométrica de la firma que entrega al solicitante, pero las claves privadas no salen de su custodia.

Con la información biométrica extraída, son necesarias, para el cotejo las firmas indubitadas, para lo que debe colaborar la persona cuya identidad se vincula al documento.

Si se va a plantear la prueba en un litigio, se describe la solicitud de la prueba pericial en el escrito de demanda o de contestación, para que en su momento, se realicen las firmas indubitadas en presencia del Letrado de la Administración de Justicia que competa.

Si se desea realizar el cotejo de firmas con ayuda del perito, pero sin llegar a juicio, se precisa contactar con el cliente para que realice varias firmas (5 o 10, las que el perito recomiende) en una tableta digitalizadora semejante a la utilizada originalmente para firmar, con el apoyo del software de uso pericial.

Es posible contactar con EADTrust, a través del teléfono +34 91 7160555 (o 902 365 612) desde España) donde pueden orientarle de forma más precisa según la entidad que haya gestionado la custodia para los documentos PDF de su interés.