Servicios de firma electrónica

Firma electrónica basada en dispositivo seguro de creación de firma

Introducción

El servicio de Firma Remota EDICOM “EDICOM CRYPTO SERVER (ECS)” permite realizar firma electrónica reconocida con certificados almacenados en dispositivos seguros de firma (SSCD) a través de un interfaz WebService sobre HTTPS.

El servicio ECS utiliza a su vez los siguientes servicios de EDICOM relacionados con la seguridad y firma electrónica:

• Entidad certificadora ACEDICOM para la generación de certificados reconocidos.
• Servicio de TimeStamp (TSA) para realizar sellado de tiempo.
• Servicio OCSP para información de revocación de certificados
  

Descripción del servicio

El servicio ECS (Edicom Crypto Server) permite operaciones criptográficas de firma en una arquitectura cliente servidor, bien desde dentro del entorno ASP de EDICOM (intranet privada) o desde Internet (acceso público).

Mediante ECS la tecnología de firma electrónica reconocida mediante dispositivos seguros tipo smartcards o HSM queda totalmente solucionada y sin ninguna complicación añadida para el software cliente, pasándole por tanto la responsabilidad de la gestión o el acceso a estos dispositivos al propio ECS con todas las ventajas de administración que ello conlleva para el cliente de ECS ya que no debe preocuparse por la seguridad física de dispositivo de firma así como también le abstrae de la complejidad técnica del acceso concurrente a dicho dispositivo de firma desde múltiples sitios.

En el caso de que el cliente que solicita la firma no esté en el entorno ASP de EDICOM (intranet) , llamaremos a esta firma “Firma Electrónica Remota”.

En el modo actual de funcionamiento de ECS, todos los pares de claves se encuentran almacenados en el dispositivo seguro centralizado SSCD. La generación de estas claves es un proceso totalmente ajeno a ECS y sigue los Procedimientos operativos correspondientes de la Autoridad de Certificación ACEDICOM.

El cliente ECS, normalmente el módulo crypto del software Ediwin, conectará por WebServices con ECS para solicitar una firma.

Existen dos niveles de autentificación:

• Autentificación a nivel de servicio ECS. Permite acceso al servicio ECS.
• Autentificación con el dispositivo seguro de firma (SSCD). Además de la autentificación de ECS, en la solicitud de firma el cliente mandará las credenciales para que ECS se autentifique con el SSCD. En esta autentificación también va incluido el PIN asociado a la clave privada.
  

El servicio ECS registra cada petición de firma, con una serie de información adicional.

Acceso al servicio. Balanceo de carga

Para dotar al servicio de firma de máxima disponibilidad se ha replicado por completo la infraestructura en cada uno de los CPDs de EDICOM, como es habitual en todos los servicios de ASP o SEDEB2B en Edicom.

La naturaleza intrínseca de los dispositivos seguros de firma SSCD impide una arquitectura de máxima disponibilidad usando los mismos pares de claves. De modo que se ha optado por una solución en la que a cada cliente de ECS se le generan dos certificados (con sus correspondientes pares de claves), cada uno de ellos en un entorno distinto.

En el SSCD centralizado que hay en el entorno de ACEDICOM01 tenemos usuarios, claves y certificados firmados por la Autoridad de Certificación ACEDICOM01 y en el entorno de ACEDICOM02 tenemos los mismos usuarios (se crean 2 veces), claves nuevas y certificados firmados por la Autoridad de Certificación ACEDICOM02.

En todo este servicio existe el concepto de firma delegada, que básicamente consiste en firmar documentos de un cliente con un certificado a nombre de Edicom (una persona de Edicom) todo acordado en el correspondiente contrato previo. A nivel de ECS la firma delegada simplemente supone que varios cliente compartirán las credenciales de ECS y de SSCD centralizado.

Por tanto un usuario de ECS podría firmar indistintamente con el certificado firmado por ACEDICOM01 o por el firmado por ACEDICOM02. Para evitar que en una situación normal se vayan alternando las claves con el que un usuario firma sus documentos, situación que puede provocar incidencias en algunos de los destinatarios de los documentos firmados, existe el concepto de Dispositivo o entorno “preferido”, que indica cuál es el certificado con el que ECS debe firmar preferiblemente.

Para evitar tener una arquitectura activo/pasivo, a unos usuarios se les configurará como entorno preferido el 01 y a otros el 02. Cuando hablamos de entorno 01 nos referimos a:

• Claves almacenadas en dispositivo seguro centralizado (SSCD)
• Certificado firmado por ACEDICOM01

Cada servidor ECS tiene conectividad únicamente con el dispositivo centralizado (SSCD) que se encuentra en su mismo entorno: