際際滷

際際滷Share a Scribd company logo

Marta Cruellas

JSe
JSe
1 of 11
Download to read offline
s de certificats en dispositius criptogrfics centralitzats: noves possibilitats i limitacions Marta C ll M t Cruellas 28 doctubre de 2010
ndex Nous perfils de certificats: situaci坦 Requisits tecnol嘆gics per a una implantaci坦 adequada.
NOUS PERFILS DE CERTIFICATS. Situaci坦 Especificaci坦 t竪cnica dels perfils: feta per CertiCA Seu-e (nivell mig i nivell alt) Segell-e (nivell mig i nivell alt) Empleat p炭blic (nivell mig i nivell alt) Casos d炭s de cada tipus de certificat: emmarcats per La normativa jur鱈dica: LAECSP Llei 26/2010 Llei 29/2010 etc LAECSP, 26/2010, 29/2010, Determinaci坦 del nivell de seguretat aplicable: segons lanlisi de risc preceptiu ( q p p (Esquema Nacional de Seguridad) g ) Requisits tecnol嘆gics per a una implantaci坦 adequada Hi ha certes indefinicions, al voltant de les quals no hi ha consens.
Nivell de seguretat adequat segons risc Risc alt: sc a t Cert. nivell alt en dispositiu certificat Risc i Ri mig: Cert. nivell mig en mitj equivalent Risc baix: Cert. nivell mig a l炭s
Requisits tecnol嘆gics Risc baix Seu-e En servidor web a l炭s Segell-e En servidor a l炭s Empleat p炭blic Instal揃lat a: PC, en m嘆bil (SIM, microSD no certificada), etc
Requisits tecnol嘆gics Risc alt Seu-e En HSM accelerador SSL certificat FIPS 140-2 Nivell 2 Segell-e En HSM certificat FIPS 140-2 Nivell 3 Empleat p炭blic En dispositiu criptogrfic certificat Common Criteria EAL4+ amb perfil de protecci坦 CEN CWA 14169 + Aplicaci坦 dacc辿s al dispositiu certificada Common p p Criteria EAL3. Ex/ smartcards, smartcards custodiades en targeters centralitzats, microSD certificades.
Requisits tecnol嘆gics Risc mig Seu-e En sistema securitzat (hardened): arquitectura, web server, SO,? server SO ? Segell-e En sistema securitzat (hardened) Ex/ repositoris de claus amb logs segurs, HSM no certificat, ? Empleat p炭blic Repositori de certificats securitzat, HSM no certificat?, HSM certificat FIPS 140-2 Nivell 3?, ?
Requisits tecnol嘆gics Per嘆 P 嘆 Mitj equivalent E presta a interpretacions diverses. Es t i t t i di Indefinici坦 del que 辿s acceptable. >> Risc Ri Certs de Nivell mig quan Risc baix / Risc mig: Confian巽a: el ciutad que accedeix a la seu-e no percep la millora en la seguretat de la implementaci坦 pel Risc mig respecte a la del Risc baix El perfil de certificat emprat 辿s el mateix en els dos casos; La millora en la seguretat ve donada per mesures t竪cniques del sistema que no s坦n perceptibles pels usuaris.
Requisits tecnol嘆gics Certs de Nivell alt: Provisi坦 dels certificats: Requeriments no definits Complexa. Lens sol揃licitant ha dacreditar: La certificaci坦 del dispositiu, Que la configuraci坦 del dispositiu 辿s adequada adequada, Que loperaci坦 del dispositiu 辿s adequada, Que les claus shan generat al dispositiu de manera segura Etc.
Conclusions El nous perfils d certificats obren noves possibilitats Els fil de tifi t b ibilit t Automatitzaci坦 Mobilitat Signatura (personal) remota / centralitzada legitimades per les normatives jur鱈diques Poden resoldre algunes de les tensions entre seguretat vs usabilitat Cal anlisi de riscos!! Per嘆 encara queden zones dombra sobre les qu竪 no hi ha consens: Requisits tecnol嘆gics per a una implantaci坦 adequada: mitj equivalent, equivalent certs d empleat p炭blic en dispositius dempleat centralitzats,...
Moltes grcies. Marta Cruellas mcruellas@catcert.cat Aquesta obra est subjecta a una llic竪ncia Reconeixement-No comercial-Sense obres derivades 2.5 Espanya de Creative Commons. Reconeixement No comercial Sense 25 Commons Per veure'n una c嘆pia, visiteu http://creativecommons.org/licenses/by-nc-nd/2.5/es/deed.ca o envieu una carta a Creative Commons, 171 Second Street, Suite 300, San Francisco, California 94105, USA."

More Related Content

Marta Cruellas

  • 1. s de certificats en dispositius criptogrfics centralitzats: noves possibilitats i limitacions Marta C ll M t Cruellas 28 doctubre de 2010
  • 2. ndex Nous perfils de certificats: situaci坦 Requisits tecnol嘆gics per a una implantaci坦 adequada.
  • 3. NOUS PERFILS DE CERTIFICATS. Situaci坦 Especificaci坦 t竪cnica dels perfils: feta per CertiCA Seu-e (nivell mig i nivell alt) Segell-e (nivell mig i nivell alt) Empleat p炭blic (nivell mig i nivell alt) Casos d炭s de cada tipus de certificat: emmarcats per La normativa jur鱈dica: LAECSP Llei 26/2010 Llei 29/2010 etc LAECSP, 26/2010, 29/2010, Determinaci坦 del nivell de seguretat aplicable: segons lanlisi de risc preceptiu ( q p p (Esquema Nacional de Seguridad) g ) Requisits tecnol嘆gics per a una implantaci坦 adequada Hi ha certes indefinicions, al voltant de les quals no hi ha consens.
  • 4. Nivell de seguretat adequat segons risc Risc alt: sc a t Cert. nivell alt en dispositiu certificat Risc i Ri mig: Cert. nivell mig en mitj equivalent Risc baix: Cert. nivell mig a l炭s
  • 5. Requisits tecnol嘆gics Risc baix Seu-e En servidor web a l炭s Segell-e En servidor a l炭s Empleat p炭blic Instal揃lat a: PC, en m嘆bil (SIM, microSD no certificada), etc
  • 6. Requisits tecnol嘆gics Risc alt Seu-e En HSM accelerador SSL certificat FIPS 140-2 Nivell 2 Segell-e En HSM certificat FIPS 140-2 Nivell 3 Empleat p炭blic En dispositiu criptogrfic certificat Common Criteria EAL4+ amb perfil de protecci坦 CEN CWA 14169 + Aplicaci坦 dacc辿s al dispositiu certificada Common p p Criteria EAL3. Ex/ smartcards, smartcards custodiades en targeters centralitzats, microSD certificades.
  • 7. Requisits tecnol嘆gics Risc mig Seu-e En sistema securitzat (hardened): arquitectura, web server, SO,? server SO ? Segell-e En sistema securitzat (hardened) Ex/ repositoris de claus amb logs segurs, HSM no certificat, ? Empleat p炭blic Repositori de certificats securitzat, HSM no certificat?, HSM certificat FIPS 140-2 Nivell 3?, ?
  • 8. Requisits tecnol嘆gics Per嘆 P 嘆 Mitj equivalent E presta a interpretacions diverses. Es t i t t i di Indefinici坦 del que 辿s acceptable. >> Risc Ri Certs de Nivell mig quan Risc baix / Risc mig: Confian巽a: el ciutad que accedeix a la seu-e no percep la millora en la seguretat de la implementaci坦 pel Risc mig respecte a la del Risc baix El perfil de certificat emprat 辿s el mateix en els dos casos; La millora en la seguretat ve donada per mesures t竪cniques del sistema que no s坦n perceptibles pels usuaris.
  • 9. Requisits tecnol嘆gics Certs de Nivell alt: Provisi坦 dels certificats: Requeriments no definits Complexa. Lens sol揃licitant ha dacreditar: La certificaci坦 del dispositiu, Que la configuraci坦 del dispositiu 辿s adequada adequada, Que loperaci坦 del dispositiu 辿s adequada, Que les claus shan generat al dispositiu de manera segura Etc.
  • 10. Conclusions El nous perfils d certificats obren noves possibilitats Els fil de tifi t b ibilit t Automatitzaci坦 Mobilitat Signatura (personal) remota / centralitzada legitimades per les normatives jur鱈diques Poden resoldre algunes de les tensions entre seguretat vs usabilitat Cal anlisi de riscos!! Per嘆 encara queden zones dombra sobre les qu竪 no hi ha consens: Requisits tecnol嘆gics per a una implantaci坦 adequada: mitj equivalent, equivalent certs d empleat p炭blic en dispositius dempleat centralitzats,...
  • 11. Moltes grcies. Marta Cruellas mcruellas@catcert.cat Aquesta obra est subjecta a una llic竪ncia Reconeixement-No comercial-Sense obres derivades 2.5 Espanya de Creative Commons. Reconeixement No comercial Sense 25 Commons Per veure'n una c嘆pia, visiteu http://creativecommons.org/licenses/by-nc-nd/2.5/es/deed.ca o envieu una carta a Creative Commons, 171 Second Street, Suite 300, San Francisco, California 94105, USA."