Electronic signatures in EU Digital COVID Certificates, based on qualified certificates issued by #EIDAS Certification Authorities

To configure DGCG (Digital Green Certificate Gateway) in Digital COVID Certificate project, participating countries provide information regarding Public Key of the certificate of CSCA (Certificate Signing Certificate Authority). Spain uses a ECC #eIDAS Sub-CA as CSCA.

CSCA, as defined in the DGC project, requires the CSCA cert to include the country field for which the CSCA is valid. However, #EIDAS certificates are intended for cross-border interoperability, so the country field in the CA cert is irrelevant to countries in which it is valid.

DGC technical documents should be changed so CSCA of one country could be serviced from a CA in other country. So #EIDAS certification authorities could provide DSC certificates to health bodies in any country. The same principle should be extended to WHO technical documents.

Extended key Usage Identifiers could be present with some information in #EIDAS certificates, so the explanation that the DSC may contain an extended key usage extension with zero or more key usage policy identifiers that constrain the types of HCERTs such DSC certificate may sign, should consider other OIDs as «not present» if the eHealth application doesn´t understand them.

If one or more of the special DGC OIDs are present, the verifiers SHALL verify the extended key usage against the stored HCERT.

In absence of any key usage extension of the special DGC OIDs (i.e. no such special DGC OIDs extensions), the related DSC certificate can be used to sign any type of HCERT.

So, in #EIDAS DSC certificates to be used to electronically sign HCERT, the following OIDs can be used in Extended Key Usage extension fields:

• OID 1.3.6.1.4.1.1847.2021.1.1 — valid for test
• OID 1.3.6.1.4.1.1847.2021.1.2 — valid for vaccinations
• OID 1.3.6.1.4.1.1847.2021.1.3 — valid for recovery

This OIDs can be present if the related EU Digital COVID Certificate is restricted to one of two kind of certificates. If all 3 are included (or none of them) the related EU Digital COVID Certificate is NOT restricted and can reflect any of the three options.

Public Key of Spain CSCA for European digital COVID certificate

In order to configure DGCG (Digital Green Certificate Gateway) participating countries need to deliver information regarding CSCA (Certificate Signing Certificate Authority), and specifically Public Key of the certificate of the CA used to sign the DSC (Document Signing Certificate) of every Body in charge of issuing DGC (Digital Green Certificates) . Remember that Health CSCA is different from CSCA used in Passports although both environments use similar terminology.

Trust List managed by Gateway

The ECC p-256 Public Key of Spain CSCA to be used for European Digital Green Certificates is

—–BEGIN PUBLIC KEY—–MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE1rjpdfCTyXE8RdrbW8rbLagURmGQerDBqh0WEaRCaJpqDuqKy0Zs1fXBhSPJQ4334X0TdMAWBIoLnLBC2up9Lg==
—–END PUBLIC KEY—–

Principles regarding validity

• Rule 0: A certificate needs to be valid when it is used to sign/seal.
• Rule 1: The DSC needs to be valid longer than anything it signs. So, the DSC expiry date must be >= than expiration date of the document it signs.
• Rule 2: The CSCA needs to be valid longer than any DSC it signs.
• Rule 3: If any certificate has a shorter ‘key usage period’ – then the signature has to be created in that period.

More info:

• Technical documents of Digital Green Certificates – COVID-19 in eHealth Section of European Commission web site.

Para más información: +34 91716055

Uso de certificados electrónicos para la firma electrónica de certificados verdes digitales

Se recogen seguidamente varias recomendaciones, basadas en documentos publicados por la Comisión Europea (actualización 2022, el enlace no funciona: este el nuevo contenido sobre EU Digital COVID Certificate) en relación con la arquitectura de seguridad de los «pasaportes COVID», o «Certificados Verdes Digitales» (CVD) que es su actual denominación.

La información de este artículo puede entenderse mejor en relación con el que publiqué hace unos días: El “Certificado Verde Digital” para circular en tiempos de pandemia COVID-19 dentro de la UE.

La información recogida en este artículo está especialmente enfocada a las entidades españolas que participan en el proyecto y pretende aclarar algunas dudas sobre el uso de certificados.

Tipos de certificados a utilizar.

Las entidades deben disponer de un certificado basado en criptografía de curva elíptica con tamaño de clave de 256 bits, y es deseable que tengan también otro certificado basado en criptografía RSA, con tamaño de clave de 2048 bits para situaciones de contingencia. Esta recomendación se indica en las páginas 5 y 6 del documento «Guidelines on Technical Specifications for Digital Green Certificates – Volume 1«

En España, es recomendable que, en el caso de las administraciones públicas, se utilicen certificados cualificados de sello de órgano del tipo indicado (ECC o RSA). Las entidades privadas deberían optar por un certificado de sello electrónico para persona jurídica. Estos certificados se denominan «Document Signing Certificates (DSCs)» en los documentos técnicos del proyecto. La codificación de caracteres debe basarse en el formato UTF-8. Con esta codificación no debería haber problema con los acentos de los nombres de los organismos en el campo «Common Name», «Organization», «Organization Unit» aunque teniendo en cuenta que es un proyecto internacional puede ser más sencillo para usuarios de otros países si no se usan acentos.

España ya tiene definida la CSCA (Certificate Signing Certificate Authority) para la emisión de certificados. Las entidades que emitan certificados digitales de vacunación, de pruebas diagnósticas de estar o haber estado infectado por COVID-19, o de haber superado la dolencia, deberían contactar con el Ministerio de Sanidad para coordinar su participación. La CSCA española está basada en certificados cualificados EIDAS, con una arquitectura diferente a la orientada a los sistemas eMRTD (electronic Machine Readable Travel Documents) de ICAO que inspiraron inicialmente el modelo de PKI adoptado para el «Digital Green certificate».

Cada país tiene flexibilidad para definir el modelo de confianza que adoptará, pudiendo incluso tener más de una CSCA.

Se recomienda que las entidades firmantes de certificados HCERT (Electronic Health Certificate Container, denominación que aplica a los certificados verdes digitales, junto con DGC, Digital Green Certificate) utilicen dispositivos HSM para la custodia de claves privadas.

En las firmas realizadas con el DSC sobre el HCERT se debe incluir el dato «Expiration time» que indica la fecha límite en la que se acepta el certificado verde digital por quienes comprueban sus datos (en trámites fronterizos o de otro tipo). Esta fecha debe ser menor que la fecha de expiración del DSC. Ver página 6 del documento indicado anteriormente.

También se incluye el campo «Issued At«. Esta fecha es la de emisión de certificado y no puede ser anterior a la fecha de emisión del DSC. Ver página 6 del documento indicado anteriormente.

Existe una recomendación que sugiere adquirir certificados DSC de 2 años y utilizarlos por 6 meses para firmar los HCERT. No obstante, si se limita la validez de los HCERT a 6 meses, los DSC de 2 años se podrían utilizar durante 18 meses.

Contacte con el +34 91 716 0555 si necesita información adicional.

Bundle: Todo lo necesario para gestionar la firma electrónica corporativa

La Ley 11/2007 marca una serie de obligaciones a los organismos del sector público, de forma parecida al artículo 2 de la Ley 56/2007, que impone a las entidades privadas de especial relevancia económica la obligación de contar con un sistema de interlocución telemática.

Entre los aspectos que las entidades deben manejar para ello están los relativos a la firma electrónica. Deben saber como realizar y comprobar firmas electrónicas, y como integrarlas en sus sistemas informáticos.

Para más información llamar...

Para facilitarlo, un conjunto de empresas especialistas de primer orden nos hemos puesto de acuerdo para configurar un «bundle», un paquete de elementos tecnológicos, que facilitan el despliegue de la firma electrónica de una manera sencilla y económica, y sin rebajar las exigencias de normas de referencia como el Esquema Nacional de Seguridad y el Esquema Nacional de Interoperabilidad.

El «bundle» (con un precio imbatible) está compuesto de los siguientes elementos:

• Un HSM de red de Safenet
• Una auditoría especializada (de DSCF) de Albalia Interactiva
• Un certificado de AC Camerfirma
• Un conjunto de horas de asesoramiento de Albalia Interactiva
• Un curso de formación sobre firma electrónica de Atenea Interactiva.

Este «bundle» permite incorporar un Dispositivo Seguro de Creación de Firma (DSCF) en aquellas instituciones que ya cuentan con sistemas de firma electrónica pero todavía no han incorporado este elemento imprescindible en su infraestructura.

Si la entidad no cuenta con un sistema de firma electrónica, hay servicios y productos adicionales disponibles:

• Software de firma electrónica de Albalia Interactiva
• Software de comprobación de firmas electrónicas de Albalia Interactiva
• Software de centralización de claves para múltiples puestos de trabajo de Vanios

Y, por supuesto, también está disponible todo el catálogo de productos y servicios de todos los partners participantes en esta promoción.

Kioskos de autoservicio para eAdministración

Desde hace más de un año somos distribuidores de los kiosos UniqPC de ELCOM. Ya escribí un pequeño artículo sobre ello refiriéndome a los equipos como kioskos ciudadanos.

Creo que merece la pena recordar que el despliegue de la administración electrónica (marcado por la Ley 11/2007) debe tener en cuenta no sólo a los ciudadanos «motorizados» que cuentan con infraestructura tecnológica en sus casas o en sus trabajos, sino a cualquier ciudadano que pueda acercarse por las oficinas físicas de cualquier organismo y, particularmente, de los más próximos a el, como los ayuntamientos y oficinas de la comunidad autónoma.

En estos días de campaña electoral, es curioso comprobar como no existe ningún compromiso, de ningún partido político, alineado con la idea de facilitar el despliegue de la eAdministración, en particular para quienes mas sufren la brecha digital.

Aunque no me cabe duda de que la puesta en marcha de los kioskos ciudadanos si está en el «roadmap» de modernización administrativa de aplicados funcionarios que hacen una gran labor en alguno de los ayuntamientos más avanzados, el concepto de eInclusión no parece tenerlos e cuenta aun cuando es una interesante palabra metida de refilón en algún «to do list» electoral.

El servicio al ciudadano debería considerar la posibilidad de tutelarle cuando acceda a unas oficinas en las que pueda emplear kioskos interactivos, con funcionarios formados que puedan guiarle en el uso de estos equipos usando el DNI electrónico del ciudadano o una identidad electrónica de tutela gestionada por el funcionario,  que inicie en su nombre consultas, procesos, trámites y transacciones.

Es curioso que en estos tiempos las aplicaciones web de muchos organismos se orienten a dispositivos especiales, como iPads, iPhones, smartphones (Blackberry, Android, Windows Phone 7), en manos de una élite que además tiene acceso a dispositivos más convencionales y dejen de lado los principios de ergonomía de las aplicaciones orientadas a autoservicio como este tipo de kioskos que, reconozcámoslo, todvaía se ven poco.