GOBIERNO DE LA CIUDAD AUTÓNOMA DE BUENOS AIRES
SECRETARÍA LEGAL Y TÉCNICA
Resolución 283
Buenos Aires, 04 de junio de 2014
VISTO:
La Ley Nacional N° 25.506, las Leyes Nros. 70, 3.304 y 4.736, el Decreto N° 518/13, y el Expediente Electrónico N° 6611219-MGEYA-DGTAD-14, y
CONSIDERANDO:
Que por Ley Nacional N° 25.506 de Firma Digital se reconoce el empleo de la firmaelectrónica y digital y su eficacia jurídica en las condiciones que establece la misma;
Que la Ley N° 3.304 estableció el Plan de Modernización de la Administración Pública del Gobierno de la Ciudad de Buenos Aires a fin de encarar un proceso demodernización administrativa, con el objetivo general de alcanzar una gestión pública de calidad que posibilite la provisión de bienes y servicios públicos a los ciudadanosde la Ciudad Autónoma de Buenos Aires de manera equitativa, transparente y efectiva
Que en el Capítulo III, Título II del Anexo I de la Ley antes mencionada, denominado "Del Gobierno Electrónico y nuevas Tecnologías de la Información y Comunicación", en el punto 6.2 "Firma electrónica y digital", se dispuso entre las actividades a ser llevadas a cabo, la creación de la infraestructura de firma digital y electrónica en elámbito de la Ciudad de Buenos Aires
Que asimismo, se fijó como uno de los objetivos el de "Agilizar la gestión de la administración pública y aumentar el acceso de los ciudadanos a los servicios y trámites públicos, garantizando la autoría e integridad de los documentos electrónicos, emanados tanto de la administración como de los administrados, mediante el uso de la firma electrónica y la firma digital"
Que entre las actividades a implementar y detalladas en el punto en estudio se expresa la de "....crear la infraestructura de firma electrónica y digital...."
Que se entiende por "Infraestructura de Firma Digital" al conjunto integrado por las leyes, decretos y normativa legal complementaria que regulen la firma digital y electrónica, las obligaciones y deberes de todas aquellas instituciones, organismos y personas que formen parte del circuito de la firma digital y electrónica tales como laAutoridad de Aplicación, el Ente Licenciante, los Certificadores Licenciados, los Suscriptores de Certificado, las Autoridades de Registro, Auditoría, así como también,a los estándares tecnológicos, los procedimientos de seguridad, el hardware, el software, las redes, los bancos de datos y la infraestructura física de alojamiento, quepermitan la utilización de la firma digital y electrónica en condiciones de seguridad e integridad
Que es claro que la efectiva identificación de los ciudadanos, Administraciones Públicas, funcionarios y agentes de éstas, que empleen medios electrónicos, es indispensable para poder tener por auténticos los documentos electrónicos que reflejen la voluntad o manifestaciones de todos ellos, permitiéndose así identificar al comunicante y asegurar la autenticidad del contenido de la comunicación;
Que por Ley N° 4.736 se estableció que la utilización de expedientes electrónicos, documentos electrónicos, firma electrónica, firma digital, comunicaciones electrónicas,notificaciones electrónicas y domicilios electrónicos constituidos, en procedimientos administrativos y procesos judiciales, tienen para el sector público de la Ciudad Autónoma de Buenos Aires, idéntica eficacia y valor probatorio que sus equivalentes en soporte papel o cualquier otro soporte que se utilice
Que asimismo, la mencionada Ley aclaró que la misma es de aplicación a todas las dependencias del sector público de la Ciudad de Buenos Aires incluidas en lasprevisiones del artículo 4° de la Ley 70, correspondiendo al Poder Ejecutivo, en su carácter de licenciante, implementar la Infraestructura de Firma Digital del Gobierno de la Ciudad Autónoma de Buenos Aires
Que, la Ciudad de Buenos Aires contando con la infraestructura tecnológica de criptografía asimétrica que permite autenticar el origen y verificar la integridad del contenido de un documento electrónico, cumpliendo entonces con los requisitos establecidos por las normas vigentes, dicto el Decreto N° 518/14 mediante el cual seestableció que la Secretaría Legal y Técnica será el Licenciante del Gobierno de la Ciudad Autónoma de Buenos Aires
Que entre la responsabilidades que tiene a cargo el Ente Licenciante se encuentran la de otorgar las licencias habilitantes a los Certificadores Licenciados y dictar lanormativa que regule el procedimiento y los requisitos necesarios para obtener una licencia habilitante
Que, por lo expuesto corresponde aprobar la Política de Certificación del Gobierno de la Ciudad Autónoma de Buenos Aires a fin de regular el procedimiento para obtener una licencia habilitante.
Por ello y en uso de las facultades que le son propias, EL SECRETARIO LEGAL Y TÉCNICO RESUELVE:
Artículo 1°.- Apruébase la Política de Certificación del Gobierno de la Ciudad Autónoma de Buenos Aires Versión N° 1, la que como Anexo IF N° 2014-06618428-DGCL forma parte integrante de la presente.
Artículo 2°.- Publíquese en el Boletín Oficial de la Ciudad de Buenos Aires, comuníquese a todos los Ministerios y Secretarías del Poder Ejecutivo, a todas las reparticiones con rango o nivel equivalente, Entes Descentralizados y a los Organismos Fuera de Nivel, a la Sindicatura General de la Ciudad de Buenos Aires, a la Procuración General de la Ciudad de Buenos Aires, y para su conocimiento y demás efectos remítase a las Direcciones Generales Mesa General de Entradas, Salidas y Archivo, y Gestión Documental. Cumplido, archívese.
Clusellas
ANEXO
RESOLUCIÓN N° 283
AGENCIA DE SISTEMAS DE INFORMACIÓN DEL GOBIERNO DE LA CIUDAD AUTÓNOMA DE BUENOS AIRES
AUTORIDAD CERTIFICANTE
POLITICA DE CERTIFICACIÓN
Versión 1
1.- INTRODUCCION
Descripción General
El presente documento establece las políticas aplicables a las relaciones entre el Sector Público de la Ciudad Autónoma de Buenos Aires, los solicitantes y los suscriptores de los certificados digitales emitidos por la Autoridad Certificante del Gobierno de la Ciudad Autónoma de Buenos Aires, en adelante GCABA, y los terceros usuarios de dichos certificados.
Identificación
Título del Documento: Política de Certificación de la Agencia de Sistemas de Información, en adelante la ASI, Autoridad Certificante de la Ciudad Autónoma de Buenos Aires en adelante la (AC).
Versión: 1
Fecha:
URL: http//ac.buenosaires.gov.ar
Lugar: Ciudad Autónoma de Buenos Aires, Argentina.
Participantes y aplicabilidad
Autoridad Certificante
La Autoridad Certificante (AC) que puede emitir certificados acordes con esta política es la Agencia de Sistemas de Información, creada por Ley Nº 2689 perteneciente al Gobierno de la Ciudad Autónoma de Buenos Aires.
Autoridad de Registro
Son Autoridad de Registro (en adelante AR), de la presente política:
La Dirección General de Escribanía General, dependiente de la Secretaría Legal y Técnica del Gobierno de la Ciudad Autónoma de Buenos Aires.
La Dirección General Mesa General de Entradas Salidas Y Archivo dependiente de la Secretaría Legal y Técnica del Gobierno de la Ciudad Autónoma de Buenos Aires.
Suscriptor de Certificado
Se entiende por suscriptor de un certificado digital a la persona física, que solicita y obtiene un certificado digital emitido por la AC prevista en la presente política.
El grupo de Suscriptores estará compuesto por:
1.- personas físicas que requieran un certificado digital del GCABA para su desempeño como funcionarios o agentes del Sector Público de la Ciudad de Buenos Aires
2.- personas físicas que requieran un certificado digital del GCABA para el ejercicio de los derechos y obligaciones que resulten de los procesos de compras, ventas y contrataciones de bienes y servicios y de obra pública iniciados en el Sector Público de la Ciudad de Buenos Aires
3.-personas físicas que requieran un certificado digital del GCABA para utilizar los servicios del Sector Público de la Ciudad de Buenos Aires.
Aplicabilidad
Los certificados emitidos en el marco de la presente Política de Certificación verifican la autoría e integridad de:
a) documentos electrónicos presentados por personas físicas externas al Sector Público de la Ciudad de Buenos Aires.
b) documentos electrónicos emitidos por el Sector Públ ico de la Ciudad de Buenos Aires.
Contactos
Esta Política de Certificación pertenece a la Agencia de Sistemas de Información, en su carácter de AC del Gobierno de la Ciudad Autónoma de Buenos Aires.
Nombre: Agencia de Sistemas de Información (ASI)
Dirección: Avda. Independencia 635, Ciudad Autónoma de Buenos Aires, República Argentina
Teléfono: (54) (11) 4323-9300
E-mail: ac@buenosaires.gov.ar
ASPECTOS GENERALES DE LA POLITICA DE CERTIFICACION
Obligaciones
De la Autoridad Certificante
Informar a quien solicita un certificado digital con carácter previo a su emisión, las condiciones precisas de utilización del certificado digital, sus características y efectos de la revocación de su propio certificado digital. Esta información deberá estar libremente accesible, en redacción fácilmente comprensible en idioma nacional.
Mantener el control exclusivo de los datos utilizados para generar su propia firma digital e impedir su divulgación y/o acceso a terceros no autorizados
Mantener la confidencialidad de toda información que no figure en el certificado digital y a la que tenga acceso en ejercicio de las funciones definidas en la presente política.
Publicar en Internet o en la red de acceso público de transmisión o difusión de datos que la sustituya en el futuro, en forma permanente e ininterrumpida, la lista de certificados revocados (CRL), la política de certificación, la información pertinente de la última auditoría de que hubiera sido objeto, y demás documentación asociada a la presente política.
Revocar certificados digitales emitidos en caso de ser necesario.
Comunicar a la Autoridad que corresponda cualquier irregularidad que contravenga la normativa aplicable a la presente.
Mantener actualizados los repositorios de certificados revocados
Comprobar por medio de una Autoridad de Registro la identidad y cualquier otro dato de los solicitantes considerado relevante
Efectuar los controles funcionales de la AR a fin de verificar el cumplimiento de las responsabilidades y procedimientos de acuerdo a la presente política de certificación y demás documentos asociados a la misma
Publicar en el Boletín Oficial durante UN (1) día, el certificado de clave pública correspondiente a la política para la cual obtuvo licenciamiento
De la Autoridad de Registro
Designar los agentes que bajo su responsabilidad y dependencia se desempeñarán como autoridades de registro.
Recibir, autenticar, validar y autorizar las solicitudes de emisión y/o revocación de certificados digitales y remitirlas a la AC.
Comprobar la identidad y autenticar los datos de las personas físicas que soliciten un certificado digital del GCABA y se presenten ante ella a tales efectos.
Archivar y conservar toda la documentación respaldatoria que surja del procedimiento de validación de identidad.
Mantener la confidencialidad de los datos personales de los suscriptores.
De los suscriptores del certificado
Proveer de modo completo y preciso toda la información necesaria para la emisión del certificado
Mantener el control exclusivo de los datos de creación de firma digital, no compartirlos e impedir su divulgación
Informar a la Autoridad de Registro el cambio de alguno de los datos contenidos en el certificado digital
Solicitar la revocación de su certificado digital ante cualquier sospecha de compromiso de la clave o circunstancia que pueda haber comprometido la llave privada del certificado
Tomar debido conocimiento, a través del procedimiento previsto en cada caso, del contenido de la Política de Certificación y de cualquier otro documento asociado a la misma.
De los terceros usuarios
Son terceros usuarios aquellas personas físicas o jurídicas que al recibir un documento firmado digitalmente generan una consulta a fin de verificar la validez del mismo.
Como tales están sujetos a las siguientes obligaciones:
Tomar conocimiento del a presente política de certificación y sus documentos asociados
Limitar la fiabilidad de los certificados a los usos permitidos de los mismos, en conformidad con lo expresado en las extensiones del certificado y la Política de Certificación pertinente.
Verificar la validez de los certificados en el momento de realizar cualquier operación basada en los mismos.
Del Servicio de Repositorio La AC debe mantener cierta información disponible en forma permanente y gratuita permitiendo el acceso público a la misma:
A la lista de certificados revocados
A la política de certificación y otros documentos relacionados con la misma
A la información pertinente de los informes de auditoría de que fuera objeto la AC
A su dirección y números telefónicos
Cualquier otra información que determine el Ente Licenciante.
Responsabilidades
La AC será responsable, en caso de corresponder, ante terceros por el incumplimiento de sus obligaciones en relación con la emisión de los certificados, y por la falta de revocación de los mismos en la forma y plazos previstos.
Particularmente la AC no será responsable de los siguientes supuestos:
Utilización incorrecta de los certificados digitales ni de cualquier daño indirecto que pueda resultar de la utilización de un certificado digital o de la información suministrada por la AC
Daños derivados de o relacionados con la no ejecución o ejecución defectuosa de las obligaciones a cargo del suscriptor, acordes a esta Política de Certificación
No ejecución o retraso en la ejecución de cualquiera de las obligaciones en virtud de la presente Política de Certificación, si tal falta de ejecución o retraso fuera consecuencia de un supuesto de fuerza mayor o caso fortuito.
Interpretación y aplicación de las normas
Legislación Aplicable
La normativa aplicable en relación a la validez y ejecución de esta Política de Certificación es la Ley N° 4736 y el Decreto N° 518/ 13, la Ley Nacional Nº 25.506, en los aspectos pertinentes, y demás normativa complementaria que resulte aplicable.
Procedimientos de resolución de conflictos La resolución de los reclamos individuales que se susciten en torno a la presente política y sus documentos asociados será resuelta en sede administrativa por el Ente Licenciante de la Ciudad Autónoma de Buenos Aires, de conformidad con el Decreto 518/13 y la Ley de Procedimiento Administrativo de la Ciudad Autónoma de Buenos Aires.
Publicación y repositorio de certificados y listas de certificados revocados
Publicación de información del certificador
La publicación de la información de la AC se realizará en la página http//ac.buenosaires.gov.ar.
En este sitio se puede consultar la siguiente información:
- El certificado digital de la AC.
- Los datos de contacto de la ASI.
- La Pol ítica de certificación, y toda otra documentación asociada a la misma de carácter público, en sus versiones actuales y anteriores.
- La lista de certificados revocados (CRL).
- Información pertinente de los datos de la última auditoría de que hubiera sido objeto la ASI.
- Marco Normativo de Seguridad de la ASI (Resolución Nº 177/2013/ASI)
Frecuencia de publicación
Toda información contenida en la página será actualizada y la misma se publicará inmediatamente después de hacerse disponible.
La lista de certificados revocados (CRL) será actualizada y publicada según lo estipulado en la presente política.
Controles de acceso a la información
El acceso a la información mencionada es libre y estará disponible durante las veinticuatro horas los siete días de la semana.
Repositorio de certificados y listas de revocación Provee información de la lista de certificados revocados (CRL) correspondientes a la presente Política de Certificación.
Auditorías
La AC estará sujeta a auditorías por parte del Ente Licenciante, conforme lo establece el Decreto 518/13.
La información que surja del último informe de auditoría será publicada en el sitio de publicación de la AC, la que será reemplazada por la información pertinente de un informe posterior.
Confidencialidad
Información Confidencial
Se considerará información confidencial y, por lo tanto no será divulgada a terceros excepto que sea exigida judicialmente:
La clave privada de la AC.
Toda la información relativa a las transacciones que lleve a cabo la AC.
Toda la información relativa a seguridad, control y procedimientos de auditoría.
Los datos de carácter personal proporcionados por los suscriptores durante el proceso de registro, con la salvedad de la información que se incluye en el certificado.
Cualquier otra información que pudiera llegar a comprometer el desarrollo de la infraestructura de firma digital.
Información no confidencial
Se considerará información de carácter público:
La información contenida en las Políticas de Certificación y otros documentos relacionados a la misma.
La información del estado de validez de los certificados emitidos
Las lista de certificados revocados (CRL)
Publicación de Información sobre la revocación de un certificado Las listas de certificados revocados (CRL) no se consideran confidenciales y las mismas se encuentran publicadas en el sitio http//ac.buenosaires.gov.ar.
Divulgación de información como parte de un proceso administrativo La información de carácter confidencial podrá ser revelada ante requerimiento de autoridad competente como parte de un proceso administrativo.
Divulgación de información por solicitud del suscriptor
Toda divulgación de información en relación a los datos de identificación del suscriptor de un certificado, salvo en los casos expuestos anteriormente, solo podrá efectuarse previa autorización de dicho suscriptor excepto cuando dicha información se hubiere obtenido de fuentes de acceso público no restringidas.
El suscriptor de un certificado digital puede acceder a sus datos de identificación u otra información relacionada con su certificado digital presentando la correspondiente solicitud de información ante la AR.
3.- IDENTIFICACION Y AUTENTICACION
Registro Inicial
La solicitud de un certificado digital debe iniciarla el interesado.
El certificado digital es generado y luego almacenado utilizando Hardware Criptográfico diseñado para tal fin que brinda un alto nivel de seguridad.
El interesado debe cumplir con todos los pasos detallados en "El procedimiento de solicitud" que es publicado en el sitio http//ac.buenosaires.gov.ar.
Tipos de nombres
Será admitido solamente el nombre y apellido que figure en el documento de identidad del solicitante.
Los nombres contenidos en los certificados están restringidos a distinguished names x.500 únicos y no ambiguos.
Necesidad de nombres distintivos Los siguientes atributos son incluidos en los certificados e identifican
unívocamente al suscriptor:
- "common Name: nombre común": se corresponde exactamente con el nombre que figura en el documento de identidad del suscriptor.
- "serial number: número de serie": Aleatorio consecutivo
- "OU del Suscriptor" contiene su número de CUIT/CUIL.
- "e-mail address": correo electrónico" está presente en todos los certificados y contiene la dirección de correo electrónico del suscriptor declarada por este durante el proceso de solicitud del certificado.
- "country name: código de país": debe representar la nacionalidad del la AC.
Unicidad de nombres
El nombre distintivo de cada certificado es único para cada suscriptor.
Si dos o más suscriptores tuvieran el mismo nombre y apellido, la unicidad queda resuelta por medio del atributo del CUIT/CUIL.
Existe la posibilidad de suscribir más de un certificado con el mismo CUIT/CUIL ya que el número de serie de uno u otro certificado será diferente.
Métodos para comprobar la posesión de la clave
Deben cumplirse los siguientes pasos:
- Durante el proceso de solicitud de certificado el solicitante es requerido para la generación de un par de claves criptográficas asimétricas.
- El par de claves es generado y almacenado en el dispositivo criptográfico del solicitante.
- Los datos de la solicitud y el requerimiento con la clave pública del solicitante, en formato PKCS#10 son enviados a la aplicación de la AC, de esta forma se garantiza que la posesión de la clave privada la tiene exclusivamente el solicitante del certificado digital.
- La aplicación de la AC valida el requerimiento PKCS#10 - La aplicación de la AC, una vez que emite el certificado, eliminará automáticamente el requerimiento PKCS#10 asociado a ese certificado con el fin de evitar que se genere un nuevo certificado con dicho requerimiento.
- El personal de la AR involucrado en el proceso de solicitud de un certificado digital deberá abstenerse de generar, exigir, tomar conocimiento o acceder bajo ninguna circunstancia a la clave privada del suscriptor.
Autenticación de la Identidad de Personas físicas
El solicitante de un certificado digital debe presentarse ante la AR en forma personal para que ésta proceda a acreditar su identidad según el"Procedimiento de Solicitud de Certificados".
El personal de la AR que corresponda verificará que la documentación presentada por el solicitante corresponda a la persona que lo exhibe.
La AR deberá conservar toda la documentación de respaldo del procedimiento de solicitud.
Requerimiento de revocación
El requerimiento de revocación de un certificado digital puede ser hecho por el suscriptor del mismo, por el GCABA y por las autoridades judiciales, de acuerdo al "Procedimiento de
revocación de certificados".
4.- CICLO DEL CERTIFICADO: REQUERIMIENTOS OPERATIVOS
Solicitud del Certificado
Un certificado digital es generado y luego almacenado utilizando un dispositivo criptográfico diseñado para tal fin que brinda un alto nivel de seguridad.
La solicitud debe realizarse según el Procedimiento de Solicitud de Certificados.
Emisión del Certificado
La emisión del certificado tendrá lugar una vez que la AC lo firme.
La emisión del certificado al suscriptor implica su autorización para utilizarlo según los alcances definidos en la presente Política de Certificación.
Aceptación del Certificado
El suscriptor acepta el certificado al momento de generar la solicitud.
La aceptación del certificado implica el conocimiento y aceptación de la Política de Certificación y los documentos asociados a la misma por parte del suscriptor.
Revocación del certificado
La forma de realizar la solicitud de revocación dependerá del caso y deberá hacerse según las especificaciones que se encuentran en el "Procedimiento de Revocación de Certificados" publicado en http//ac.buenosaires.gov.ar.
La AC es la única autorizada para revocar certificados digitales.
Dicha revocación podrá realizarse a partir de una solicitud del:
- Suscriptor
- GCABA por medio de la AC, la AR, el Ente Licenciante y otras autoridades para casos específicos.
- La autoridad judicial
Casos de revocación:
• Por el suscriptor con su firma digital
El suscriptor deberá solicitar la revocación de su certificado utilizando su firma digital cuando:
- Lo considere necesario
- La información contenida en el certificado haya dejado de ser válida o se haya desactualizado.
- La clave privada hubiere sido comprometida o se encontrare bajo serio riesgo de serlo.
- Cuando, en el caso de los funcionarios públicos o agentes públicos dejaren de ejercer funciones en el Sector Público de la Ciudad de Buenos Aires, por renuncia al cargo o cumplimiento del mandato.
• Por el suscriptor sin su firma digital:
El suscriptor que no se encuentre en posesión de su clave privada (ya sea por pérdida física o lógica) deberá solicitar la revocación del mismo.
• Por el GCABA
A través de su AC, AR o Ente Licenciante, se deberá solicitar la revocación del certificado del suscriptor de manera obligatoria:
- Cuando éste incumpla con las obligaciones establecidas en la presente política y demás documentos asociados a ella y en la normativa vigente que sea aplicable al certificado.
- Cuando se tuviere conocimiento o serios motivos para sospechar que su clave privada ha sido comprometida.
- A solicitud del mismo.
- Si el certificado digital fue emitido sobre la base de información falsa.
- Si se determina que los procedimiento de emisión y/o verificación han dejado de ser seguros.
- Por Resolución del Ente Licenciante, debidamente fundada.
- Por fallecimiento del titular debidamente comunicado al GCABA.
- Por declaración judicial de ausencia con presunción de fallecimiento del titular debidamente comunicada al GCABA.
- Por declaración judicial de incapacidad del titular debidamente comunicada al GCABA.
- Por solicitud fundada de la autoridad máxima de la jurisdicción en la que se desempeñe el titular del certificado digital.
A través de otras autoridades del Sector Público de la Ciudad de Buenos Aires en casos específicos previstos en el "Procedimiento de revocación de certificados" publicado en http//ac.buenosaires.gov.ar.
• Por Resolución de una Autoridad Judicial.
Solicitud de revocación
Plazo para la publicación de revocación
El plazo máximo que debe transcurrir entre la recepción de la solicitud de revocación y la efectiva publicación de la revocación es de veinticuatro (24) horas.
Frecuencia de emisión de listas de certificados revocados
La revocación se realizará de forma inmediata al procesamiento de cada solicitud verificada como válida, actualizándose el repositorio en forma inmediata y emitiendo una nueva CRL dentro de las veinticuatro (24) horas siguientes.
Requisitos para la verificación de la lista de certificados revocados
Los usuarios están obligados a verificar el estado de validez de los certificados mediante el control de la lista de certificados revocados (CRL) o mediante el servicio de consultas en línea sobre el estado de los certificados (OCSP).
Disponibilidad del servicio de consulta sobre revocación y de estado del certificado
Los servicios de CRL y OCSP se encuentran disponibles las veinticuatro (24) horas los siete (7) días de la semana sujetos a un razonable calendario de mantenimiento
Requisitos para la verificación en línea del estado de revocación
El uso del protocolo OCSP permite, mediante su consulta, determinar el estado de validez de un certificado digital y representa una alternativa a la consulta a la CRL, la que también estará disponible. El servicio OCSP se provee por medio del sitio web http://ocsp.buenosaires.gob.ar/ocsp
Procedimientos de auditoría de seguridad La ASI registra todos los eventos relacionados con la seguridad, en archivos de transacciones de auditoría, conservándolos por un período mínimo de diez años.
Tanto las normas para los controles de seguridad física e informática, como para la realización de las auditorías están regulados en el Marco Normativo de Seguridad de la ASI, aprobado por Resolución Nº 177/ASINF/2013, y publ icado en el sitio http//ac.buenosaires.gov.ar.
Archivos de registro de eventos registrados
Toda la información recopilada en el proceso de certificación, será almacenada en un lugar seguro y de acceso restringido sólo a personal autorizado, según se establece en el Marco Normativo de Seguridad de la ASI.
Cambio de claves criptográficas de la AC
El par de claves criptográficas de la AC para ésta política tendrá una duración de 10 Años.
Plan de contingencia y recuperación ante desastres
En presencia de alguna contingencia que obligue a la suspensión del servicio, se seguirán las pautas establecidas en los procedimientos definidos en las Políticas de Certificación y en el Marco Normativo de Seguridad de la ASI.
Estos procedimientos aseguran:
- la restauración inmediata de la operatoria mínima, esto incluye registración de solicitudes de revocación y publicación y consulta de listas de certificados revocados (CRLs).
- el restablecimiento del servicio completo dentro de las 24 horas.
- Compromiso de la clave privada de la AC
En el caso de compromiso de la clave privada de la AC se revocarán todos los certificados emitidos vigentes, debiendo informar a los suscriptores.
Estos procedimientos contemplarán:
- Informar a los sucriptores acerca de la revocación de sus certificados y la restricción al uso de las claves privadas asociadas a esos certificados.
- Revocar los certificados de los suscriptores
- Publicar en el sitio de publicación que se ha revocado el certificado de la AC, notificando por ese medio a los terceros usuarios que no deben considerarlo como un certificado confiable.
Plan de Cese de Actividades
En el caso que la AC vaya a discontinuar sus operaciones, procederá a notificar fehacientemente y con una antelación mayor a 60 días a todos los suscriptores.
El procedimiento a seguir para el término de actividades, así como las medidas a tomar para el archivo de los registros y documentación necesaria, estará en el "Plan de Cese de Actividades" publicado en el sitio http//ac.buenosaires.gov.ar, de conformidad con la Normativa vigente y el Marco Normativo de Seguridad de la ASI.
5.- CONTROLES DE SEGURIDAD FISICA, FUNCIONALES Y PERSONALES
Controles de seguridad física
A fin de resguardar en todo momento la seguridad de operación así como de las instalaciones y el personal que opera y administra la AC existen diversos procedimientos, políticas y controles de seguridad. Estas prácticas y procedimientos de seguridad deberán ser regularmente revisados.
Todas las instalaciones que forman parte de la AC se encuentran debidamente protegidas mediante dispositivos y personal de vigilancia durante las 24 horas los 7 días de la semana, que restringen el acceso a los equipos, programas y datos sólo a aquellas personas autorizadas.
Esto implica la implementación de controles de:
- Construcción y ubicación de las instalaciones
- Acceso físico
- Energía eléctrica y aire acondicionado
- Exposición al agua e inundaciones
- Prevención y protección contra incendio
- Medios de almacenamiento de información
- Descarte de medios de almacenamiento de información
Controles funcionales
Mediante normas de seguridad establecidas en el Marco Normativo de Seguridad, se limita el acceso a los recintos, obligando a hacerlo en compañía del personal habilitado para cada caso.
Sobre las actividades realizadas por cada empleado que ingresa a la AC se realizan auditorias periódicas.
El personal que interviene, es capacitado en forma permanente en la implementación de políticas y procedimientos de seguridad.
- Definición de roles afectados al proceso de certificación:
• Responsable de la AC: encargado de garantizar el correcto funcionamiento de la AC, seleccionar y designar a los agentes para cada uno de los roles.
• Responsable de Seguridad Informática: encargado de definir las herramientas de seguridad informática de acuerdo a Manual Normativo de Seguridad, verificar y controlar su cumplimiento en cuanto a los accesos a la información se refiere, revisar log s de transacciones y del sistema e informar al
Responsable de la AC y al Auditor Interno, y de autorizar las solicitudes de altas, bajas o modificaciones de accesos a la aplicación.
• Responsable de las Aplicaciones: tiene a su cargo diseñar, desarrollar, implementar y mantener los sistemas aplicativos requeridos para el funcionamiento de AC, de acuerdo a las disposiciones establecidas en el Manual de Prácticas de Certificación.
• Auditor Interno: debe verificar y controlar el cumplimiento de todas las disposiciones de la AC (Seguridad, Procedimientos, Certificación), verificar y controlar la preparación de los procesos de emergencia (Plan de Contingencia) verificar y controlar la preparación de los procesos de finalización (Plan Cese de Actividades) e informar al Responsable de la AC respecto de las desviaciones, incumplimientos o situaciones de riesgo que se detecten.
- Número de personas requerido por función:
Cada rol tiene un titular y un sustituto designado
- Identificación y autentificación para cada rol:
Todos los usuarios autorizados de la AC se identifican mediante certificados digitales emitidos por la propia PKI y se autentifican por medio de dispositivos criptográficos portátiles en el caso de ser requeridos.
- En el caso de las AR, la AC efectuará los controles funcionales pertinentes, verificando el cumplimiento de las responsabilidades y procedimientos según lo dispuesto en la presente Política de Certificación y demás documentación asociada.
6.- CONTROLES DE SEGURIDAD TECNICA
Generación e instalación del par de claves criptográficas
- Generación del par de claves criptográficas
La AC generará un par de claves criptográficas en un ambiente seguro y en un hardware criptográfico FIPS 140-2 Nivel 3. Utilizando algorítmo RSA de 4096 bits.
Este acto se realizará con presencia y participación de personal autorizado.
El par de claves criptográficas del suscriptor de un certificado emitido en los términos de esta política debe ser generado de manera tal que su clave privada se encuentre bajo su exclusivo y permanente conocimiento y control.
El suscriptor es considerado titular del par de claves; como tal, no debe revelar su clave privada a terceros bajo ninguna circunstancia.
La clave pública del suscriptor del certificado debe ser transferida a la AC de manera tal que se asegure que no pueda ser cambiada durante la transferencia.
- Entrega de la clave privada al suscriptor
La clave privada del suscriptor es generada por este durante el proceso de solicitud del certificado. La AC no debe generar, exigir, tomar conocimiento o acceder a los datos de creación de la firma.
La clave privada se almacena en un dispositivo criptográfico de hardware y queda
protegida a través de dos factores:
- la posesión personal e intransferible del dispositivo por el suscriptor
- la creación de un pin o contraseña creado por el suscriptor y que solo él conoce para acceder a la clave privada alojada en el dispositivo.
- Entrega de la clave pública a la AC
La clave pública del suscriptor es entregada a la AC durante el proceso de solicitud del certificado. El proceso de solicitud utiliza el formato PKCS#10 para implementar la "prueba de posesión" remitiendo los datos del solicitante y su clave pública dentro de una estructura firmada con su clave privada.
- Disponibilidad de la clave pública
La clave pública de la AC se puede descargar de https://ac.buenosaires.gov.ar
- Propósitos de utilización de claves (campo "key usage" en certificados x.509 v.3)
Las claves contenidas en los certificados emitidos por la AC tienen como propósito su utilización para firmar digitalmente, por lo que los valores a utilizar en la extensión "KeyUsage" de los certificados son Firma Digital ("digitalSignature") y No Repudio ("nonRepudiation").
Protección de la clave privada
- Estándares para dispositivos criptográficos
Se requiere que el módulo utilizado para la creación de claves utilizadas por la AC cumpla con la certificación FIPS140-2 de nivel 3.
Se requiere que para la generación y almacenamiento de las claves criptográficas de los agentes de la AR sean dispositivos criptográficos certificados FIPS 140-2 Nivel 2.
Para los suscriptores con certificados de nivel de seguridad Alto, se requiere que para la generación y almacenamiento de las claves criptográficas sean dispositivos criptográficos certificados FIPS 140-2 Nivel 2.
- Control M de N de la clave privada
La clave privada de la AC está sujeta a un control multi-personal.
Cuando se genera la clave privada por primera vez, se divide en múltiples fragmentos que son distribuidos cifrados con una clave de activación.
Los módulos criptográficos que manejan las claves privadas, tanto para su generación como eventual recuperación posterior, son activados usando claves de activación, las cuales son administradas sólo por personal autorizado.
- Recuperación de la clave privada
La AC posee procedimientos para la recuperación de su clave privada a partir de copias de respaldo.
Esta recuperación solo puede ser realizada por personal autorizado y de conformidad a los lineamientos detallados en el Marco Normativo de Seguridad de
la ASI. No existen mecanismos de recuperación de la clave privada de la autoridad de registro o de los suscriptores. En estos casos se deberá revocar el certificado de conformidad a los procedimientos descriptos en la presente política.
- Copia de seguridad de la clave privada
Las copias de back-up de las claves privadas de la AC se almacenan en dispositivos de hardware criptográfico con certificación FIPS 140-2 de nivel 3.
- Método de activación de claves privadas
La activación de la clave privada de la AC utiliza un esquema de control compartido (M de N), por lo que se necesita la intervención simultánea de varios actores autorizados para ello.
- Método de desactivación de claves privadas
La desactivación de la clave privada de la AC debe seguir el procedimiento establecido a tal fin y se realiza exclusivamente por:
- tareas de mantenimiento
- utilización de equipamiento de respaldo
El procedimiento deberá realizarse exclusivamente por personal capacitado a tal efecto que garantice el éxito de la operación.
- Método de destrucción de claves privadas
Si por cualquier motivo deja de utilizarse la clave privada de la AC para crear firmas digitales, la misma será destruida bajo las mismas medidas de seguridad que se emplearon para su creación.
Otros aspectos de administración de claves
- Archivo permanente de la clave pública
La AC mantiene un archivo de todos los certificados emitidos por un período de diez años.
El archivo se denomina repositorio de certificados digitales y el mismo puede consultarse en el sitio http//ac.buenosaires.gov.ar.
- Período de uso de clave pública y privada
Los certificados emitidos por la AC a los suscriptores tienen una validez de máximo
dos (2) años desde que se emiten. El certificado de la AC tiene una validez de diez (10) años, transcurrido dicho plazo todos los certificados emitidos por la AC expirarán automáticamente perdiendo su validez.
Datos de activación
- Generación e instalación de datos de activación
Los datos de activación del dispositivo criptográfico donde se genera y almacena la clave privada de la AC tiene un control "M de N" siendo "M"el número mínimo de presenciasles poseedores de las claves de activación de un total de "N" poseedores.
El procedimiento y metodología así como los parámetros utilizados y el personal involucrado queda asentado al inicio de actividades en el Acta respectiva y en el libro rubricado para tal fin.
- Protección de los datos de activación
Los datos de activación de la AC son confidenciales y por ello las personas responsables de su guarda están obligadas a no divulgarlos.
Controles de seguridad informática
La AC efectúa los controles de Seguridad Informática de acuerdo a las normas especificadas en el Marco Normativo de Seguridad de la ASI que cumple los requerimientos establecidos en la legislación y estándares vigentes.
- Requisitos técnicos específicos
El acceso a las instalaciones y sistemas que intervienen en el proceso de certificación solo es autorizado a personal previamente validado y autenticado para cumplir funciones en el proceso de certificación de conformidad con esta política y el Marco Normativo de Seguridad de la ASI.
Controles de seguridad de red
La AC efectúa por medio de Seguridad Informática los controles de acuerdo a las normas especificadas en el Marco Normativo de Seguridad de la ASI que cumple los requerimientos establecidos en la legislación y estándares vigentes.
Asimismo la publicación de datos y servicios que realiza la AC utiliza sistemas tecnológios debidamente protegidos para garantizar su seguridad.
Controles de ingeniería de dispositivos criptográficos
El dispositivo criptográfico utilizado por el certificador está certificado por el NIST
(National Institute of Standards and Technology) sobre la base del Estándar FIPS 140-2 Nivel 3.
Los dispositivos criptográficos utilizados por las AR están certificados por NIST (National Institute of Standards and Technology) sobre la base del Estándar FIPS 140-2 Nivel 2.
Los dispositivos criptográficos utilizados por suscriptores de certificados están certificados por NIST (National Institute of Standards and Technology) sobre la base del Estándar FIPS 140-2 Nivel 2.
7.- PERFILES DE CERTIFICADOS Y LISTAS DE CERTIFICADOS REVOCADOS
Perfil del Certificado
Los certificados emitidos por la AC cumplen con los requerimientos de la DA 6/2007 y lo establecido en la especificación ITU X.509 versión 3 (ISO/IEC 9594-8).
-
Se usarán los siguientes campos del formato x.509 v3 en el Certificado de la AC:
Certificados X.509 Contenido
Versión 3
Número de serie Asignado por la AC del GCABA
Algoritmo de firma SHA-1 con RSA
Nombre distinguido del emisor CN=GCBA ROOT CA
UO=ASI
O=GCBA
C=AR
Validez No válido antes de (hora estándar de AR)
No válido después de (hora estándar de AR)
10 años
Nombre distinguido del suscriptor CN=GCBA ROOT CA UO=ASI
O=GCBA
C=AR
Clave pública del suscriptor Encripción RSA 4096
EXTENSION
Uso de clave Uso= Firma digital, Firma de Certificados, Firma CRL sin conexión, Firla de lista de revocación de certificados (CRL)
Restricciones básicas Entidad de Certificación (CA)
Nombre alternativo del titular ac@buenosaires.gob.ar
Certificados X.509 Contenido
Versión 3
Número de serie Asignado por la AC del GCABA
Algoritmo de firma SHA-1 con RSA
Nombre distinguido del emisor CN=GCBA ROOT CA
UO=ASI
O=GCBA
C=AR
Validez No válido antes de (Hora estándar de AR)
No válido después de (Hora estándar de AR
Nombre distinguido del suscriptor CN=Nombre y Apellido del suscriptor
OU=CUIL/CUIT
OU=Número de CUIL/CUIT
DC=buenosaires
DC=gob
DC=ar
Clave pública del suscriptor Encripción RSA 1024/2048
Uso= Encriptar, Verificar, Ajustar
EMai l Correo electrónico del suscriptor
EXTENSION
Uso de clave (2.5.29.15)
Crítico = SI
Firma digital, Sin rechazo, Encriptación de la clave, Codificación de datos, Sólo codificar, Sólo descodificar
Restricciones básicas ( 2.5.29.19 )
Uso de clave ampliada ( 2.5.29.37 )
Crítico = NO
0IPSec, SSHClient, PDFSigning
Identificador de clave del sujeto (2.5.29.14)
Crítico = NO
Identificador de clave de entidad emisora (2.5.29.35)
Crítico = NO
Puntos de distribución de CRL (2.5.29.31)
Crítico = NO
https ://crl.buenosaires.gob.ar/crl?cmd=crl&issuer=CN=GCBA ROOT CA,OU=ASI ,O=GCBA,C=AR
Acceso a la información de la entidad de certificación (1.3.6.1.5.5.7.1.1)
Crítico = NO
Protocolo de estado del certificado en línea (1.3.6.1.5.5.7.48.1)
URL= https://ocsp.buenosaires.gob.ar/ocsp
Perfil de la lista de certificados revocados
El formato de las CRLs utilizadas en la presente política es el especificado en la versión 2 (v2), X.509 v2.
Se usarán los siguientes campos del formato especificado para la lista de Certificados Revocados de la AC de la Agencia de Sistemas de Información:
Certificados X.509 Contenido
Versión 2
Número de CRL Consecutivo al anterior
Algoritmo de firma SHA-1 con RSA
Nombre distinguido del emisor CN=GCBA ROOT CA
UO=ASI
O=GCBA
C=AR
Fecha efectiva Nombre día, Fecha día de Mes de Año hh:mm:ss
Próxima actualización 24 horas
Nombre distinguido del suscriptor CN=GCBA ROOT CA
UO=ASI
O=GCBA
C=AR
Lista de revocaciones Número de serie de certificados revocados Fecha de revocación.
8.- ADMINISTRACION DE ESPECIFICACIONES
Procedimientos de cambio de especificaciones
Toda nueva versión de la presente política de certificación o de cualquiera de los documentos asociados a la misma deberá ser sometida a la aprobación del Ente Licenciante del GCABA de conformidad con el "Proceso de Licenciamiento" establecido por este último.
Procedimientos de publicación y notificación
Las sucesivas versiones de la presente política de certificación o de cualquiera de los documentos asociados a la misma una vez aprobadas deberán ser publicadas en el sitio de publicación de la AC, http//ac.buenosaires.gob.ar.
Procedimientos de aprobación
La presente política de certificación así como los documentos asociados a la misma deberán ser aprobadas por el Ente Licenciante del GCABA de conformidad con el "Proceso de Licenciamiento" establecido por este último.
GLOSARIO
Browser: Navegador. Programa utilizado para visualizar las páginas web. Los más utilizados son Internet Explorer y Mozilla Firefox.
AC: Autoridad certificante – AC o CA por sus siglas en idioma inglés Certification Authority, es una entidad de confianza, responsable de emitir y revocar los certificados digitales, utilizados en la firma electrónica y digital.
Ente Licenciante: la autoridad del GCABA encargada de otorgar las licencias a los organismos que así lo soliciten a fin de que, una vez aprobada la misma, estos se conviertan en Autoridad
Certificante del GCABA.
AR: Autoridad de Registro es la que controla la generación de certificados para los miembros de una entidad. Previa identificación del solicitante de un certificado, la Autoridad de Registro se encarga de realizar la petición del certificado y de guardar los datos pertinentes del suscriptor del certificado.
Solicitante: todo potencial suscriptor de un certificado digital provisto por la AC del GCABA.
Suscriptor: toda persona física a cuyo nombre se emite un certificado y posee una clave privada que se corresponde con la clave pública contenida en el mismo.
Terceros usuarios: persona física o jurídica que recibe un documento firmado digitalmente y que genera una consulta para verificar la validez del certificado digital correspondiente.
Certificado Digital: es un documento digital mediante el cual un tercero confiable una autoridad de certificación-garantiza la vinculación entre la identidad de un sujeto y su clave pública.
CRL: lista de certificados que han sido dejados sin efecto en forma permanente por el certificador
licenciado (AC), la cual ha sido firmada digitalmente y publicada por dicha autoridad.
Drivers: pequeño programa cuya función es controlar el funcionamiento de un dispositivo de la PC.
Firma Digital o firma electrónica: es un tipo de tecnología que permite identificar al firmante y poder detectar cualquier alteración del documento digital con posterioridad a su firma. La diferencia entre ambas radica en que, en el caso del documento firmado digitalmente, si es verificado correctamente, se presume salvo prueba en contrario, que proviene del suscriptor del certificado digital y que el mismo no fue modificado, situación ésta que no ocurre en caso de que el documento se encuentre firmado electrónicamente, ya que se invierte la carga probatoria, y de ser desconocida esta firma, corresponde a quien invoca su autenticidad acreditar su validez.
FIPS 140: la Federal Information Processing Standard 140 son una serie de publicaciones que especifican los requerimientos para los módulos criptográficos.
HSM: módulo de seguridad por hardware
LOG's: es un registro oficial de eventos durante un período de tiempo en particular
PIN: número de identificación personal, es generalmente un valor numérico usado para identificarse y poder tener acceso a ciertos sistemas o artefactos, como un teléfono móvil o un cajero automático.
PKI: Infraestructura de clave pública, es una combinación de hardware y software, políticas y procedimientos de seguridad que permiten la ejecución con garantías, de operaciones como el cifrado, la firma digital o el no repudio de transacciones electrónicas.
Una PKI debe permitir:
- Autenticidad: la firma digital tendrá la misma validez que la manuscrita
- Confidencialidad: de la información transmitida entre las partes
- Integridad: debe asegurarse la capacidad de detectar si un documento firmado ha sido manipulado
- No repudio: de un documento firmado digitalmente
Protocolo PKCS#10: es un formato electrónico estandarizado para realizar requerimientos de certificados digitales.
Servicio OCSP: servicio de verificación en línea del estado de los certificados
RSA: algoritmo asimétrico cifrador de bloques, que utiliza una clave pública, la cual se distribuye y otra privada la cual es guardada en secreto por su titular.
SHA: es un sistema de funciones hash criptográficas relacionadas de la Agencia de Seguridad
Nacional de los Estados Unidos y publicadas por el National Institute of Standards and Technology (NIST).
Control M de N: sistema de confianza y garantía para la ejecución de tareas o comandos críticos dentro de un sistema informático, que exige la concurrencia mínima de M entidades distintas (personas) de un total designado de N, para poder ejecutar dicha tarea o comando. N se elige mayor que M para garantizar el quórum adecuado para este sistema de confianza.
TOKEN: Dispositivo criptográfico que permite el almacenamiento seguro de la clave privada del suscriptor.
ANEXO- RESOLUCIÓN N° 283
AGENCIA DE SISTEMAS DE INFORMACIÓN DEL GOBIERNO DE LA CIUDAD AUTÓNOMA DE BUENOS AIRES
AUTORIDAD CERTIFICANTE
POLITICA DE CERTIFICACIÓN
Versión 1
1.- INTRODUCCION
Descripción General
El presente documento establece las políticas aplicables a las relaciones entre el Sector Público de la Ciudad Autónoma de Buenos Aires, los solicitantes y los suscriptores de los certificados digitales emitidos por la Autoridad Certificante del Gobierno de la Ciudad Autónoma de Buenos Aires, en adelante GCABA, y los terceros usuarios de dichos certificados.
Identificación
Título del Documento: Política de Certificación de la Agencia de Sistemas de Información, en adelante la ASI, Autoridad Certificante de la Ciudad Autónoma de Buenos Aires en adelante la (AC).
Versión: 1
Fecha:
URL: http//ac.buenosaires.gov.ar
Lugar: Ciudad Autónoma de Buenos Aires, Argentina.
Participantes y aplicabilidad
Autoridad Certificante
La Autoridad Certificante (AC) que puede emitir certificados acordes con esta política es la Agencia de Sistemas de Información, creada por Ley Nº 2689 perteneciente al Gobierno de la Ciudad Autónoma de Buenos Aires.
Autoridad de Registro
Son Autoridad de Registro (en adelante AR), de la presente política:
La Dirección General de Escribanía General, dependiente de la Secretaría Legal y Técnica del Gobierno de la Ciudad Autónoma de Buenos Aires.
La Dirección General Mesa General de Entradas Salidas Y Archivo dependiente de la Secretaría Legal y Técnica del Gobierno de la Ciudad Autónoma de Buenos Aires.
Suscriptor de Certificado
Se entiende por suscriptor de un certificado digital a la persona física, que solicita y obtiene un certificado digital emitido por la AC prevista en la presente política.
El grupo de Suscriptores estará compuesto por:
1.- personas físicas que requieran un certificado digital del GCABA para su desempeño como funcionarios o agentes del Sector Público de la Ciudad de Buenos Aires
2.- personas físicas que requieran un certificado digital del GCABA para el ejercicio de los derechos y obligaciones que resulten de los procesos de compras, ventas y contrataciones de bienes y servicios y de obra pública iniciados en el Sector Público de la Ciudad de Buenos Aires
3.-personas físicas que requieran un certificado digital del GCABA para utilizar los servicios del Sector Público de la Ciudad de Buenos Aires.
Aplicabilidad
Los certificados emitidos en el marco de la presente Política de Certificación verifican la autoría e integridad de:
a) documentos electrónicos presentados por personas físicas externas al Sector Público de la Ciudad de Buenos Aires.
b) documentos electrónicos emitidos por el Sector Públ ico de la Ciudad de Buenos Aires.
Contactos
Esta Política de Certificación pertenece a la Agencia de Sistemas de Información, en su carácter de AC del Gobierno de la Ciudad Autónoma de Buenos Aires.
Nombre: Agencia de Sistemas de Información (ASI)
Dirección: Avda. Independencia 635, Ciudad Autónoma de Buenos Aires, República Argentina
Teléfono: (54) (11) 4323-9300
E-mail: ac@buenosaires.gov.ar
ASPECTOS GENERALES DE LA POLITICA DE CERTIFICACION
Obligaciones
De la Autoridad Certificante
Informar a quien solicita un certificado digital con carácter previo a su emisión, las condiciones precisas de utilización del certificado digital, sus características y efectos de la revocación de su propio certificado digital. Esta información deberá estar libremente accesible, en redacción fácilmente comprensible en idioma nacional.
Mantener el control exclusivo de los datos utilizados para generar su propia firma digital e impedir su divulgación y/o acceso a terceros no autorizados
Mantener la confidencialidad de toda información que no figure en el certificado digital y a la que tenga acceso en ejercicio de las funciones definidas en la presente política.
Publicar en Internet o en la red de acceso público de transmisión o difusión de datos que la sustituya en el futuro, en forma permanente e ininterrumpida, la lista de certificados revocados (CRL), la política de certificación, la información pertinente de la última auditoría de que hubiera sido objeto, y demás documentación asociada a la presente política.
Revocar certificados digitales emitidos en caso de ser necesario.
Comunicar a la Autoridad que corresponda cualquier irregularidad que contravenga la normativa aplicable a la presente.
Mantener actualizados los repositorios de certificados revocados
Comprobar por medio de una Autoridad de Registro la identidad y cualquier otro dato de los solicitantes considerado relevante
Efectuar los controles funcionales de la AR a fin de verificar el cumplimiento de las responsabilidades y procedimientos de acuerdo a la presente política de certificación y demás documentos asociados a la misma
Publicar en el Boletín Oficial durante UN (1) día, el certificado de clave pública correspondiente a la política para la cual obtuvo licenciamiento
De la Autoridad de Registro
Designar los agentes que bajo su responsabilidad y dependencia se desempeñarán como autoridades de registro.
Recibir, autenticar, validar y autorizar las solicitudes de emisión y/o revocación de certificados digitales y remitirlas a la AC.
Comprobar la identidad y autenticar los datos de las personas físicas que soliciten un certificado digital del GCABA y se presenten ante ella a tales efectos.
Archivar y conservar toda la documentación respaldatoria que surja del procedimiento de validación de identidad.
Mantener la confidencialidad de los datos personales de los suscriptores.
De los suscriptores del certificado
Proveer de modo completo y preciso toda la información necesaria para la emisión del certificado
Mantener el control exclusivo de los datos de creación de firma digital, no compartirlos e impedir su divulgación
Informar a la Autoridad de Registro el cambio de alguno de los datos contenidos en el certificado digital
Solicitar la revocación de su certificado digital ante cualquier sospecha de compromiso de la clave o circunstancia que pueda haber comprometido la llave privada del certificado
Tomar debido conocimiento, a través del procedimiento previsto en cada caso, del contenido de la Política de Certificación y de cualquier otro documento asociado a la misma.
De los terceros usuarios
Son terceros usuarios aquellas personas físicas o jurídicas que al recibir un documento firmado digitalmente generan una consulta a fin de verificar la validez del mismo.
Como tales están sujetos a las siguientes obligaciones:
Tomar conocimiento del a presente política de certificación y sus documentos asociados
Limitar la fiabilidad de los certificados a los usos permitidos de los mismos, en conformidad con lo expresado en las extensiones del certificado y la Política de Certificación pertinente.
Verificar la validez de los certificados en el momento de realizar cualquier operación basada en los mismos.
Del Servicio de Repositorio La AC debe mantener cierta información disponible en forma permanente y gratuita permitiendo el acceso público a la misma:
A la lista de certificados revocados
A la política de certificación y otros documentos relacionados con la misma
A la información pertinente de los informes de auditoría de que fuera objeto la AC
A su dirección y números telefónicos
Cualquier otra información que determine el Ente Licenciante.
Responsabilidades
La AC será responsable, en caso de corresponder, ante terceros por el incumplimiento de sus obligaciones en relación con la emisión de los certificados, y por la falta de revocación de los mismos en la forma y plazos previstos.
Particularmente la AC no será responsable de los siguientes supuestos:
Utilización incorrecta de los certificados digitales ni de cualquier daño indirecto que pueda resultar de la utilización de un certificado digital o de la información suministrada por la AC
Daños derivados de o relacionados con la no ejecución o ejecución defectuosa de las obligaciones a cargo del suscriptor, acordes a esta Política de Certificación
No ejecución o retraso en la ejecución de cualquiera de las obligaciones en virtud de la presente Política de Certificación, si tal falta de ejecución o retraso fuera consecuencia de un supuesto de fuerza mayor o caso fortuito.
Interpretación y aplicación de las normas
Legislación Aplicable
La normativa aplicable en relación a la validez y ejecución de esta Política de Certificación es la Ley N° 4736 y el Decreto N° 518/ 13, la Ley Nacional Nº 25.506, en los aspectos pertinentes, y demás normativa complementaria que resulte aplicable.
Procedimientos de resolución de conflictos La resolución de los reclamos individuales que se susciten en torno a la presente política y sus documentos asociados será resuelta en sede administrativa por el Ente Licenciante de la Ciudad Autónoma de Buenos Aires, de conformidad con el Decreto 518/13 y la Ley de Procedimiento Administrativo de la Ciudad Autónoma de Buenos Aires.
Publicación y repositorio de certificados y listas de certificados revocados
Publicación de información del certificador
La publicación de la información de la AC se realizará en la página http//ac.buenosaires.gov.ar.
En este sitio se puede consultar la siguiente información:
- El certificado digital de la AC.
- Los datos de contacto de la ASI.
- La Pol ítica de certificación, y toda otra documentación asociada a la misma de carácter público, en sus versiones actuales y anteriores.
- La lista de certificados revocados (CRL).
- Información pertinente de los datos de la última auditoría de que hubiera sido objeto la ASI.
- Marco Normativo de Seguridad de la ASI (Resolución Nº 177/2013/ASI)
Frecuencia de publicación
Toda información contenida en la página será actualizada y la misma se publicará inmediatamente después de hacerse disponible.
La lista de certificados revocados (CRL) será actualizada y publicada según lo estipulado en la presente política.
Controles de acceso a la información
El acceso a la información mencionada es libre y estará disponible durante las veinticuatro horas los siete días de la semana.
Repositorio de certificados y listas de revocación Provee información de la lista de certificados revocados (CRL) correspondientes a la presente Política de Certificación.
Auditorías
La AC estará sujeta a auditorías por parte del Ente Licenciante, conforme lo establece el Decreto 518/13.
La información que surja del último informe de auditoría será publicada en el sitio de publicación de la AC, la que será reemplazada por la información pertinente de un informe posterior.
Confidencialidad
Información Confidencial
Se considerará información confidencial y, por lo tanto no será divulgada a terceros excepto que sea exigida judicialmente:
La clave privada de la AC.
Toda la información relativa a las transacciones que lleve a cabo la AC.
Toda la información relativa a seguridad, control y procedimientos de auditoría.
Los datos de carácter personal proporcionados por los suscriptores durante el proceso de registro, con la salvedad de la información que se incluye en el certificado.
Cualquier otra información que pudiera llegar a comprometer el desarrollo de la infraestructura de firma digital.
Información no confidencial
Se considerará información de carácter público:
La información contenida en las Políticas de Certificación y otros documentos relacionados a la misma.
La información del estado de validez de los certificados emitidos
Las lista de certificados revocados (CRL)
Publicación de Información sobre la revocación de un certificado Las listas de certificados revocados (CRL) no se consideran confidenciales y las mismas se encuentran publicadas en el sitio http//ac.buenosaires.gov.ar.
Divulgación de información como parte de un proceso administrativo La información de carácter confidencial podrá ser revelada ante requerimiento de autoridad competente como parte de un proceso administrativo.
Divulgación de información por solicitud del suscriptor
Toda divulgación de información en relación a los datos de identificación del suscriptor de un certificado, salvo en los casos expuestos anteriormente, solo podrá efectuarse previa autorización de dicho suscriptor excepto cuando dicha información se hubiere obtenido de fuentes de acceso público no restringidas.
El suscriptor de un certificado digital puede acceder a sus datos de identificación u otra información relacionada con su certificado digital presentando la correspondiente solicitud de información ante la AR.
3.- IDENTIFICACION Y AUTENTICACION
Registro Inicial
La solicitud de un certificado digital debe iniciarla el interesado.
El certificado digital es generado y luego almacenado utilizando Hardware Criptográfico diseñado para tal fin que brinda un alto nivel de seguridad.
El interesado debe cumplir con todos los pasos detallados en "El procedimiento de solicitud" que es publicado en el sitio http//ac.buenosaires.gov.ar.
Tipos de nombres
Será admitido solamente el nombre y apellido que figure en el documento de identidad del solicitante.
Los nombres contenidos en los certificados están restringidos a distinguished names x.500 únicos y no ambiguos.
Necesidad de nombres distintivos Los siguientes atributos son incluidos en los certificados e identifican
unívocamente al suscriptor:
- "common Name: nombre común": se corresponde exactamente con el nombre que figura en el documento de identidad del suscriptor.
- "serial number: número de serie": Aleatorio consecutivo
- "OU del Suscriptor" contiene su número de CUIT/CUIL.
- "e-mail address": correo electrónico" está presente en todos los certificados y contiene la dirección de correo electrónico del suscriptor declarada por este durante el proceso de solicitud del certificado.
- "country name: código de país": debe representar la nacionalidad del la AC.
Unicidad de nombres
El nombre distintivo de cada certificado es único para cada suscriptor.
Si dos o más suscriptores tuvieran el mismo nombre y apellido, la unicidad queda resuelta por medio del atributo del CUIT/CUIL.
Existe la posibilidad de suscribir más de un certificado con el mismo CUIT/CUIL ya que el número de serie de uno u otro certificado será diferente.
Métodos para comprobar la posesión de la clave
Deben cumplirse los siguientes pasos:
- Durante el proceso de solicitud de certificado el solicitante es requerido para la generación de un par de claves criptográficas asimétricas.
- El par de claves es generado y almacenado en el dispositivo criptográfico del solicitante.
- Los datos de la solicitud y el requerimiento con la clave pública del solicitante, en formato PKCS#10 son enviados a la aplicación de la AC, de esta forma se garantiza que la posesión de la clave privada la tiene exclusivamente el solicitante del certificado digital.
- La aplicación de la AC valida el requerimiento PKCS#10 - La aplicación de la AC, una vez que emite el certificado, eliminará automáticamente el requerimiento PKCS#10 asociado a ese certificado con el fin de evitar que se genere un nuevo certificado con dicho requerimiento.
- El personal de la AR involucrado en el proceso de solicitud de un certificado digital deberá abstenerse de generar, exigir, tomar conocimiento o acceder bajo ninguna circunstancia a la clave privada del suscriptor.
Autenticación de la Identidad de Personas físicas
El solicitante de un certificado digital debe presentarse ante la AR en forma personal para que ésta proceda a acreditar su identidad según el"Procedimiento de Solicitud de Certificados".
El personal de la AR que corresponda verificará que la documentación presentada por el solicitante corresponda a la persona que lo exhibe.
La AR deberá conservar toda la documentación de respaldo del procedimiento de solicitud.
Requerimiento de revocación
El requerimiento de revocación de un certificado digital puede ser hecho por el suscriptor del mismo, por el GCABA y por las autoridades judiciales, de acuerdo al "Procedimiento de
revocación de certificados".
4.- CICLO DEL CERTIFICADO: REQUERIMIENTOS OPERATIVOS
Solicitud del Certificado
Un certificado digital es generado y luego almacenado utilizando un dispositivo criptográfico diseñado para tal fin que brinda un alto nivel de seguridad.
La solicitud debe realizarse según el Procedimiento de Solicitud de Certificados.
Emisión del Certificado
La emisión del certificado tendrá lugar una vez que la AC lo firme.
La emisión del certificado al suscriptor implica su autorización para utilizarlo según los alcances definidos en la presente Política de Certificación.
Aceptación del Certificado
El suscriptor acepta el certificado al momento de generar la solicitud.
La aceptación del certificado implica el conocimiento y aceptación de la Política de Certificación y los documentos asociados a la misma por parte del suscriptor.
Revocación del certificado
La forma de realizar la solicitud de revocación dependerá del caso y deberá hacerse según las especificaciones que se encuentran en el "Procedimiento de Revocación de Certificados" publicado en http//ac.buenosaires.gov.ar.
La AC es la única autorizada para revocar certificados digitales.
Dicha revocación podrá realizarse a partir de una solicitud del:
- Suscriptor
- GCABA por medio de la AC, la AR, el Ente Licenciante y otras autoridades para casos específicos.
- La autoridad judicial
Casos de revocación:
• Por el suscriptor con su firma digital
El suscriptor deberá solicitar la revocación de su certificado utilizando su firma digital cuando:
- Lo considere necesario
- La información contenida en el certificado haya dejado de ser válida o se haya desactualizado.
- La clave privada hubiere sido comprometida o se encontrare bajo serio riesgo de serlo.
- Cuando, en el caso de los funcionarios públicos o agentes públicos dejaren de ejercer funciones en el Sector Público de la Ciudad de Buenos Aires, por renuncia al cargo o cumplimiento del mandato.
• Por el suscriptor sin su firma digital:
El suscriptor que no se encuentre en posesión de su clave privada (ya sea por pérdida física o lógica) deberá solicitar la revocación del mismo.
• Por el GCABA
A través de su AC, AR o Ente Licenciante, se deberá solicitar la revocación del certificado del suscriptor de manera obligatoria:
- Cuando éste incumpla con las obligaciones establecidas en la presente política y demás documentos asociados a ella y en la normativa vigente que sea aplicable al certificado.
- Cuando se tuviere conocimiento o serios motivos para sospechar que su clave privada ha sido comprometida.
- A solicitud del mismo.
- Si el certificado digital fue emitido sobre la base de información
falsa.
- Si se determina que los procedimiento de emisión y/o verificación han dejado de ser seguros.
- Por Resolución del Ente Licenciante, debidamente fundada.
- Por fallecimiento del titular debidamente comunicado al GCABA.
- Por declaración judicial de ausencia con presunción de fallecimiento del titular debidamente comunicada al GCABA.
- Por declaración judicial de incapacidad del titular debidamente comunicada al GCABA.
- Por solicitud fundada de la autoridad máxima de la jurisdicción en la que se desempeñe el titular del certificado digital.
A través de otras autoridades del Sector Público de la Ciudad de Buenos Aires en casos específicos previstos en el "Procedimiento de revocación de certificados" publicado en http//ac.buenosaires.gov.ar.
• Por Resolución de una Autoridad Judicial.
Solicitud de revocación
Plazo para la publicación de revocación
El plazo máximo que debe transcurrir entre la recepción de la solicitud de revocación y la efectiva publicación de la revocación es de veinticuatro (24) horas.
Frecuencia de emisión de listas de certificados revocados
La revocación se realizará de forma inmediata al procesamiento de cada solicitud verificada como válida, actualizándose el repositorio en forma inmediata y emitiendo una nueva CRL dentro de las veinticuatro (24) horas siguientes.
Requisitos para la verificación de la lista de certificados revocados
Los usuarios están obligados a verificar el estado de validez de los certificados mediante el control de la lista de certificados revocados (CRL) o mediante el servicio de consultas en línea sobre el estado de los certificados (OCSP).
Disponibilidad del servicio de consulta sobre revocación y de estado del certificado
Los servicios de CRL y OCSP se encuentran disponibles las veinticuatro (24) horas los siete (7) días de la semana sujetos a un razonable calendario de mantenimiento
Requisitos para la verificación en línea del estado de revocación
El uso del protocolo OCSP permite, mediante su consulta, determinar el estado de validez de un certificado digital y representa una alternativa a la consulta a la CRL, la que también estará disponible. El servicio OCSP se provee por medio del sitio web http://ocsp.buenosaires.gob.ar/ocsp
Procedimientos de auditoría de seguridad La ASI registra todos los eventos relacionados con la seguridad, en archivos de transacciones de auditoría, conservándolos por un período mínimo de diez años.
Tanto las normas para los controles de seguridad física e informática, como para la realización de las auditorías están regulados en el Marco Normativo de Seguridad de la ASI, aprobado por Resolución Nº 177/ASINF/2013, y publ icado en el sitio http//ac.buenosaires.gov.ar.
Archivos de registro de eventos registrados
Toda la información recopilada en el proceso de certificación, será almacenada en un lugar seguro y de acceso restringido sólo a personal autorizado, según se establece en el Marco Normativo de Seguridad de la ASI.
Cambio de claves criptográficas de la AC
El par de claves criptográficas de la AC para ésta política tendrá una duración de 10 Años.
Plan de contingencia y recuperación ante desastres
En presencia de alguna contingencia que obligue a la suspensión del servicio, se seguirán las pautas establecidas en los procedimientos definidos en las Políticas de Certificación y en el Marco Normativo de Seguridad de la ASI.
Estos procedimientos aseguran:
- la restauración inmediata de la operatoria mínima, esto incluye registración de solicitudes de revocación y publicación y consulta de listas de certificados revocados (CRLs).
- el restablecimiento del servicio completo dentro de las 24 horas.
- Compromiso de la clave privada de la AC
En el caso de compromiso de la clave privada de la AC se revocarán todos los certificados emitidos vigentes, debiendo informar a los suscriptores.
Estos procedimientos contemplarán:
- Informar a los sucriptores acerca de la revocación de sus certificados y la restricción al uso de las claves privadas asociadas a esos certificados.
- Revocar los certificados de los suscriptores
- Publicar en el sitio de publicación que se ha revocado el certificado de la AC, notificando por ese medio a los terceros usuarios que no deben considerarlo como un certificado confiable.
Plan de Cese de Actividades
En el caso que la AC vaya a discontinuar sus operaciones, procederá a notificar fehacientemente y con una antelación mayor a 60 días a todos los suscriptores.
El procedimiento a seguir para el término de actividades, así como las medidas a tomar para el archivo de los registros y documentación necesaria, estará en el "Plan de Cese de Actividades" publicado en el sitio http//ac.buenosaires.gov.ar, de conformidad con la Normativa vigente y el Marco Normativo de Seguridad de la ASI.
5.- CONTROLES DE SEGURIDAD FISICA, FUNCIONALES Y PERSONALES
Controles de seguridad física
A fin de resguardar en todo momento la seguridad de operación así como de las instalaciones y el personal que opera y administra la AC existen diversos procedimientos, políticas y controles de seguridad. Estas prácticas y procedimientos de seguridad deberán ser regularmente revisados.
Todas las instalaciones que forman parte de la AC se encuentran debidamente protegidas mediante dispositivos y personal de vigilancia durante las 24 horas los 7 días de la semana, que restringen el acceso a los equipos, programas y datos sólo a aquellas personas autorizadas.
Esto implica la implementación de controles de:
- Construcción y ubicación de las instalaciones
- Acceso físico
- Energía eléctrica y aire acondicionado
- Exposición al agua e inundaciones
- Prevención y protección contra incendio
- Medios de almacenamiento de información
- Descarte de medios de almacenamiento de información
Controles funcionales
Mediante normas de seguridad establecidas en el Marco Normativo de Seguridad, se limita el acceso a los recintos, obligando a hacerlo en compañía del personal habilitado para cada caso.
Sobre las actividades realizadas por cada empleado que ingresa a la AC se realizan auditorias periódicas.
El personal que interviene, es capacitado en forma permanente en la implementación de políticas y procedimientos de seguridad.
- Definición de roles afectados al proceso de certificación:
• Responsable de la AC: encargado de garantizar el correcto funcionamiento de la AC, seleccionar y designar a los agentes para cada uno de los roles.
• Responsable de Seguridad Informática: encargado de definir las herramientas de seguridad informática de acuerdo a Manual Normativo de Seguridad, verificar y controlar su cumplimiento en cuanto a los accesos a la información se refiere, revisar log s de transacciones y del sistema e informar al
Responsable de la AC y al Auditor Interno, y de autorizar las solicitudes de altas, bajas o modificaciones de accesos a la aplicación.
• Responsable de las Aplicaciones: tiene a su cargo diseñar, desarrollar, implementar y mantener los sistemas aplicativos requeridos para el funcionamiento de AC, de acuerdo a las disposiciones establecidas en el Manual de Prácticas de Certificación.
• Auditor Interno: debe verificar y controlar el cumplimiento de todas las disposiciones de la AC (Seguridad, Procedimientos, Certificación), verificar y controlar la preparación de los procesos de emergencia (Plan de Contingencia) verificar y controlar la preparación de los procesos de finalización (Plan Cese de Actividades) e informar al Responsable de la AC respecto de las desviaciones, incumplimientos o situaciones de riesgo que se detecten.
- Número de personas requerido por función:
Cada rol tiene un titular y un sustituto designado
- Identificación y autentificación para cada rol:
Todos los usuarios autorizados de la AC se identifican mediante certificados digitales emitidos por la propia PKI y se autentifican por medio de dispositivos criptográficos portátiles en el caso de ser requeridos.
- En el caso de las AR, la AC efectuará los controles funcionales pertinentes, verificando el cumplimiento de las responsabilidades y procedimientos según lo dispuesto en la presente Política de Certificación y demás documentación asociada.
6.- CONTROLES DE SEGURIDAD TECNICA
Generación e instalación del par de claves criptográficas
- Generación del par de claves criptográficas
La AC generará un par de claves criptográficas en un ambiente seguro y en un hardware criptográfico FIPS 140-2 Nivel 3. Utilizando algorítmo RSA de 4096 bits.
Este acto se realizará con presencia y participación de personal autorizado.
El par de claves criptográficas del suscriptor de un certificado emitido en los términos de esta política debe ser generado de manera tal que su clave privada se encuentre bajo su exclusivo y permanente conocimiento y control.
El suscriptor es considerado titular del par de claves; como tal, no debe revelar su clave privada a terceros bajo ninguna circunstancia.
La clave pública del suscriptor del certificado debe ser transferida a la AC de manera tal que se asegure que no pueda ser cambiada durante la transferencia.
- Entrega de la clave privada al suscriptor
La clave privada del suscriptor es generada por este durante el proceso de solicitud del certificado. La AC no debe generar, exigir, tomar conocimiento o acceder a los datos de creación de la firma.
La clave privada se almacena en un dispositivo criptográfico de hardware y queda
protegida a través de dos factores:
- la posesión personal e intransferible del dispositivo por el suscriptor
- la creación de un pin o contraseña creado por el suscriptor y que solo él conoce para acceder a la clave privada alojada en el dispositivo.
- Entrega de la clave pública a la AC
La clave pública del suscriptor es entregada a la AC durante el proceso de solicitud del certificado. El proceso de solicitud utiliza el formato PKCS#10 para implementar la "prueba de posesión" remitiendo los datos del solicitante y su clave pública dentro de una estructura firmada con su clave privada.
- Disponibilidad de la clave pública
La clave pública de la AC se puede descargar dehttps://ac.buenosaires.gov.ar
- Propósitos de utilización de claves (campo "key usage" en certificados x.509 v.3)
Las claves contenidas en los certificados emitidos por la AC tienen como propósito su utilización para firmar digitalmente, por lo que los valores a utilizar en la extensión "KeyUsage" de los certificados son Firma Digital ("digitalSignature") y No Repudio ("nonRepudiation").
Protección de la clave privada
- Estándares para dispositivos criptográficos
Se requiere que el módulo utilizado para la creación de claves utilizadas por la AC cumpla con la certificación FIPS140-2 de nivel 3.
Se requiere que para la generación y almacenamiento de las claves criptográficas de los agentes de la AR sean dispositivos criptográficos certificados FIPS 140-2 Nivel 2.
Para los suscriptores con certificados de nivel de seguridad Alto, se requiere que para la generación y almacenamiento de las claves criptográficas sean dispositivos criptográficos certificados FIPS 140-2 Nivel 2.
- Control M de N de la clave privada
La clave privada de la AC está sujeta a un control multi-personal.
Cuando se genera la clave privada por primera vez, se divide en múltiples fragmentos que son distribuidos cifrados con una clave de activación.
Los módulos criptográficos que manejan las claves privadas, tanto para su generación como eventual recuperación posterior, son activados usando claves de activación, las cuales son administradas sólo por personal autorizado.
- Recuperación de la clave privada
La AC posee procedimientos para la recuperación de su clave privada a partir de copias de respaldo.
Esta recuperación solo puede ser realizada por personal autorizado y de conformidad a los lineamientos detallados en el Marco Normativo de Seguridad de
la ASI. No existen mecanismos de recuperación de la clave privada de la autoridad de registro o de los suscriptores. En estos casos se deberá revocar el certificado de conformidad a los procedimientos descriptos en la presente política.
- Copia de seguridad de la clave privada
Las copias de back-up de las claves privadas de la AC se almacenan en dispositivos de hardware criptográfico con certificación FIPS 140-2 de nivel 3.
- Método de activación de claves privadas
La activación de la clave privada de la AC utiliza un esquema de control compartido (M de N), por lo que se necesita la intervención simultánea de varios actores autorizados para ello.
- Método de desactivación de claves privadas
La desactivación de la clave privada de la AC debe seguir el procedimiento establecido a tal fin y se realiza exclusivamente por:
- tareas de mantenimiento
- utilización de equipamiento de respaldo
El procedimiento deberá realizarse exclusivamente por personal capacitado a tal efecto que garantice el éxito de la operación.
- Método de destrucción de claves privadas
Si por cualquier motivo deja de utilizarse la clave privada de la AC para crear firmas digitales, la misma será destruida bajo las mismas medidas de seguridad que se emplearon para su creación.
Otros aspectos de administración de claves
- Archivo permanente de la clave pública
La AC mantiene un archivo de todos los certificados emitidos por un período de diez años.
El archivo se denomina repositorio de certificados digitales y el mismo puede consultarse en el sitio http//ac.buenosaires.gov.ar.
- Período de uso de clave pública y privada
Los certificados emitidos por la AC a los suscriptores tienen una validez de máximo
dos (2) años desde que se emiten. El certificado de la AC tiene una validez de diez (10) años, transcurrido dicho plazo todos los certificados emitidos por la AC expirarán automáticamente perdiendo su validez.
Datos de activación
- Generación e instalación de datos de activación
Los datos de activación del dispositivo criptográfico donde se genera y almacena la clave privada de la AC tiene un control "M de N" siendo "M"el número mínimo de presenciasles poseedores de las claves de activación de un total de "N" poseedores.
El procedimiento y metodología así como los parámetros utilizados y el personal involucrado queda asentado al inicio de actividades en el Acta respectiva y en el libro rubricado para tal fin.
- Protección de los datos de activación
Los datos de activación de la AC son confidenciales y por ello las personas responsables de su guarda están obligadas a no divulgarlos.
Controles de seguridad informática
La AC efectúa los controles de Seguridad Informática de acuerdo a las normas especificadas en el Marco Normativo de Seguridad de la ASI que cumple los requerimientos establecidos en la legislación y estándares vigentes.
- Requisitos técnicos específicos
El acceso a las instalaciones y sistemas que intervienen en el proceso de certificación solo es autorizado a personal previamente validado y autenticado para cumplir funciones en el proceso de certificación de conformidad con esta política y el Marco Normativo de Seguridad de la ASI.
Controles de seguridad de red
La AC efectúa por medio de Seguridad Informática los controles de acuerdo a las normas especificadas en el Marco Normativo de Seguridad de la ASI que cumple los requerimientos establecidos en la legislación y estándares vigentes.
Asimismo la publicación de datos y servicios que realiza la AC utiliza sistemas tecnológios debidamente protegidos para garantizar su seguridad.
Controles de ingeniería de dispositivos criptográficos
El dispositivo criptográfico utilizado por el certificador está certificado por el NIST
(National Institute of Standards and Technology) sobre la base del Estándar FIPS 140-2 Nivel 3.
Los dispositivos criptográficos utilizados por las AR están certificados por NIST (National Institute of Standards and Technology) sobre la base del Estándar FIPS 140-2 Nivel 2.
Los dispositivos criptográficos utilizados por suscriptores de certificados están certificados por NIST (National Institute of Standards and Technology) sobre la base del Estándar FIPS 140-2 Nivel 2.
7.- PERFILES DE CERTIFICADOS Y LISTAS DE CERTIFICADOS REVOCADOS
Perfil del Certificado
Los certificados emitidos por la AC cumplen con los requerimientos de la DA 6/2007 y lo establecido en la especificación ITU X.509 versión 3 (ISO/IEC 9594-8).
-
Se usarán los siguientes campos del formato x.509 v3 en el Certificado de la AC:
Certificados X.509 Contenido
Versión 3
Número de serie Asignado por la AC del GCABA
Algoritmo de firma SHA-1 con RSA
Nombre distinguido del emisor CN=GCBA ROOT CA
UO=ASI
O=GCBA
C=AR
Validez No válido antes de (hora estándar de AR)
No válido después de (hora estándar de AR)
10 años
Nombre distinguido del suscriptor CN=GCBA ROOT CA UO=ASI
O=GCBA
C=AR
Clave pública del suscriptor Encripción RSA 4096
EXTENSION
Uso de clave Uso= Firma digital, Firma de Certificados, Firma CRL sin conexión, Firla de lista de revocación de certificados (CRL)
Restricciones básicas Entidad de Certificación (CA)
Nombre alternativo del titular ac@buenosaires.gob.ar
Certificados X.509 Contenido
Versión 3
Número de serie Asignado por la AC del GCABA
Algoritmo de firma SHA-1 con RSA
Nombre distinguido del emisor CN=GCBA ROOT CA
UO=ASI
O=GCBA
C=AR
Validez No válido antes de (Hora estándar de AR)
No válido después de (Hora estándar de AR
Nombre distinguido del suscriptor CN=Nombre y Apellido del suscriptor
OU=CUIL/CUIT
OU=Número de CUIL/CUIT
DC=buenosaires
DC=gob
DC=ar
Clave pública del suscriptor Encripción RSA 1024/2048
Uso= Encriptar, Verificar, Ajustar
EMai l Correo electrónico del suscriptor
EXTENSION
Uso de clave (2.5.29.15)
Crítico = SI
Firma digital, Sin rechazo, Encriptación de la clave, Codificación de datos, Sólo codificar, Sólo descodificar
Restricciones básicas ( 2.5.29.19 )
Uso de clave ampliada ( 2.5.29.37 )
Crítico = NO
IPSec, SSHClient, PDFSigning
Identificador de clave del sujeto (2.5.29.14)
Crítico = NO
Identificador de clave de entidad emisora (2.5.29.35)
Crítico = NO
Puntos de distribución de CRL (2.5.29.31)
Crítico = NO
https ://crl.buenosaires.gob.ar/crl?cmd=crl&issuer=CN=GCBA ROOT CA,OU=ASI ,O=GCBA,C=AR
Acceso a la información de la entidad de certificación (1.3.6.1.5.5.7.1.1)
Crítico = NO
Protocolo de estado del certificado en línea (1.3.6.1.5.5.7.48.1)
URL= https://ocsp.buenosaires.gob.ar/ocsp
Perfil de la lista de certificados revocados
El formato de las CRLs utilizadas en la presente política es el especificado en la versión 2 (v2), X.509 v2.
Se usarán los siguientes campos del formato especificado para la lista de Certificados Revocados de la AC de la Agencia de Sistemas de Información:
Certificados Contenido
Versión 2
Número de CRL Consecutivo al anterior
Algoritmo de firma SHA-1 con RSA
Nombre distinguido del emisor CN=GCBA ROOT CA
UO=ASI
O=GCBA
C=AR
Fecha efectiva Nombre día, Fecha_día de Mes de Año hh:mm:ss
Próxima actualización 24 horas
Nombre distinguido del suscriptor CN=GCBA ROOT CA
UO=ASI
O=GCBA
C=AR
Lista de revocaciones Número de serie de certificados revocados Fecha de revocación.
8.- ADMINISTRACION DE ESPECIFICACIONES
Procedimientos de cambio de especificaciones
Toda nueva versión de la presente política de certificación o de cualquiera de los documentos asociados a la misma deberá ser sometida a la aprobación del Ente Licenciante del GCABA de conformidad con el "Proceso de Licenciamiento" establecido por este último.
Procedimientos de publicación y notificación
Las sucesivas versiones de la presente política de certificación o de cualquiera de los documentos asociados a la misma una vez aprobadas deberán ser publicadas en el sitio de publicación de la AC, http//ac.buenosaires.gob.ar.
Procedimientos de aprobación
La presente política de certificación así como los documentos asociados a la misma deberán ser aprobadas por el Ente Licenciante del GCABA de conformidad con el "Proceso de Licenciamiento" establecido por este último.
GLOSARIO
Browser: Navegador. Programa utilizado para visualizar las páginas web. Los más utilizados son Internet Explorer y Mozilla Firefox.
AC: Autoridad certificante – AC o CA por sus siglas en idioma inglés Certification Authority, es una entidad de confianza, responsable de emitir y revocar los certificados digitales, utilizados en la firma electrónica y digital.
Ente Licenciante: la autoridad del GCABA encargada de otorgar las licencias a los organismos que así lo soliciten a fin de que, una vez aprobada la misma, estos se conviertan en Autoridad
Certificante del GCABA.
AR: Autoridad de Registro es la que controla la generación de certificados para los miembros de una entidad. Previa identificación del solicitante de un certificado, la Autoridad de Registro se encarga de realizar la petición del certificado y de guardar los datos pertinentes del suscriptor del certificado.
Solicitante: todo potencial suscriptor de un certificado digital provisto por la AC del GCABA.
Suscriptor: toda persona física a cuyo nombre se emite un certificado y posee una clave privada que se corresponde con la clave pública contenida en el mismo.
Terceros usuarios: persona física o jurídica que recibe un documento firmado digitalmente y que genera una consulta para verificar la validez del certificado digital correspondiente.
Certificado Digital: es un documento digital mediante el cual un tercero confiable una autoridad de certificación-garantiza la vinculación entre la identidad de un sujeto y su clave pública.
CRL: lista de certificados que han sido dejados sin efecto en forma permanente por el certificador
licenciado (AC), la cual ha sido firmada digitalmente y publicada por dicha autoridad.
Drivers: pequeño programa cuya función es controlar el funcionamiento de un dispositivo de la PC.
Firma Digital o firma electrónica: es un tipo de tecnología que permite identificar al firmante y poder detectar cualquier alteración del documento digital con posterioridad a su firma. La diferencia entre ambas radica en que, en el caso del documento firmado digitalmente, si es verificado correctamente, se presume salvo prueba en contrario, que proviene del suscriptor del certificado digital y que el mismo no fue modificado, situación ésta que no ocurre en caso de que el documento se encuentre firmado electrónicamente, ya que se invierte la carga probatoria, y de ser desconocida esta firma, corresponde a quien invoca su autenticidad acreditar su validez.
FIPS 140: la Federal Information Processing Standard 140 son una serie de publicaciones que especifican los requerimientos para los módulos criptográficos.
HSM: módulo de seguridad por hardware
LOG's: es un registro oficial de eventos durante un período de tiempo en particular
PIN: número de identificación personal, es generalmente un valor numérico usado para identificarse y poder tener acceso a ciertos sistemas o artefactos, como un teléfono móvil o un cajero automático.
PKI: Infraestructura de clave pública, es una combinación de hardware y software, políticas y procedimientos de seguridad que permiten la ejecución con garantías, de operaciones como el cifrado, la firma digital o el no repudio de transacciones electrónicas.
Una PKI debe permitir:
- Autenticidad: la firma digital tendrá la misma validez que la manuscrita
- Confidencialidad: de la información transmitida entre las partes
- Integridad: debe asegurarse la capacidad de detectar si un documento firmado ha sido manipulado
- No repudio: de un documento firmado digitalmente
Protocolo PKCS#10: es un formato electrónico estandarizado para realizar requerimientos de certificados digitales.
Servicio OCSP: servicio de verificación en línea del estado de los certificados
RSA: algoritmo asimétrico cifrador de bloques, que utiliza una clave pública, la cual se distribuye y otra privada la cual es guardada en secreto por su titular.
SHA: es un sistema de funciones hash criptográficas relacionadas de la Agencia de Seguridad
Nacional de los Estados Unidos y publicadas por el National Institute of Standards and Technology (NIST).
Control M de N: sistema de confianza y garantía para la ejecución de tareas o comandos críticos dentro de un sistema informático, que exige la concurrencia mínima de M entidades distintas (personas) de un total designado de N, para poder ejecutar dicha tarea o comando. N se elige mayor que M para garantizar el quórum adecuado para este sistema de confianza.
TOKEN: Dispositivo criptográfico que permite el almacenamiento seguro de la clave privada del suscriptor.
