Tecnología y seguridad

Arquitectura objetivo de la jerarquía de confianza

La infraestructura prevista se apoya en una jerarquía de dos niveles y en servicios separados, cada uno con su propia clave y su propio registro.

• Una autoridad de certificación raíz mantenida fuera de línea, activada únicamente durante una ceremonia de claves, lo que limita su exposición a esas solas operaciones.

• Autoridades de certificación emisoras distintas por servicio — firma, sello, sellado de tiempo — para que un incidente en un servicio no se propague a los demás.

• Una autoridad de sellado de tiempo alimentada por una fuente de tiempo de confianza, separada de las autoridades de certificación.

• Un servicio de validación que permite comprobar el estado de un certificado y la validez de una firma en el momento en que se utiliza.

• Un servicio de firma a distancia, que producirá la firma por cuenta del firmante y bajo su control exclusivo.

Protección de las claves

Las claves privadas de las autoridades son el punto más sensible del conjunto: quien las posee puede producir una firma en nombre del servicio. La arquitectura objetivo las trata en consecuencia.

• Las claves se generan y se conservan dentro de un módulo criptográfico material y nunca salen de él en claro.

• Ninguna operación sensible la ejecuta una sola persona: la activación de las claves y las operaciones de administración exigen doble control y un quórum de M entre N.

• Los roles están separados — administración, explotación, auditoría — y una misma persona no acumula dos de ellos.

• Las claves de autoridad se generan en ceremonia, siguiendo un guion escrito de antemano, ante testigos, y quedan recogidas en un acta firmada.

• Los registros de auditoría llevan sello de tiempo y están protegidos contra la modificación, de modo que una alteración sea detectable a posteriori.

• Las copias de seguridad de las claves están cifradas y su restauración se somete también al quórum, nunca a una decisión individual.

• El acceso físico a los equipos es restringido, trazado y distinto del acceso lógico a los servicios.

Firma a distancia y sellado de tiempo

En el modelo objetivo el firmante no posee físicamente su clave: esta se conserva en el módulo criptográfico material y solo se activa mediante una solicitud que únicamente el firmante puede producir.

La autenticación fuerte del firmante no es, por tanto, un simple acceso al sitio: es un componente del propio servicio de firma, y es lo que materializa el control exclusivo exigido a un dispositivo de creación de firma sometido a la autorización.

El sellado de tiempo previsto se apoya en una fuente de tiempo de confianza y en una autoridad distinta, para que la fecha unida a un documento no dependa ni del reloj del puesto del usuario ni del del servicio que produjo la firma.

El desarrollo del acto de firmar — nada que comprar, claves guardadas en el módulo, identificación basada en el documento nacional de identidad electrónico, autorización desde el teléfono — se describe en una página propia.

Cómo se firmará

Continuidad y recuperación

• Se prevé un sitio secundario, de modo que la pérdida del sitio principal no suponga la pérdida del servicio ni la de las pruebas ya producidas.

• Las copias de seguridad están cifradas y su restauración se somete al mismo quórum que las operaciones sobre las claves.

• La restauración se ejercita de verdad y a intervalos regulares: un procedimiento de recuperación que nunca se ha ejecutado no es una garantía, es una intención.

Normas y referenciales objetivo

Los textos siguientes son objetivos. Describen el nivel que la arquitectura prepara, no un nivel ya alcanzado: a día de hoy no se constata ninguna conformidad y no se reivindica ninguna atestación de un tercero.

Lo que no se publica, y por qué

Esta página describe principios de arquitectura, nunca equipos. La identidad del material — su marca, su modelo, su número de serie —, su configuración y el lugar donde está instalado no se publican ni se publicarán.

Ese silencio es una medida de seguridad y no una reticencia: quien conoce la referencia exacta de un equipo conoce también la lista pública de sus fallos. La seguridad desde el diseño se juzga por los principios anunciados y por la auditoría que los verifica, nunca por la publicación de un inventario.