DECLARACIN DE PRCTICAS DE CERTIFICACIN DE LA ENTIDAD CERTIFICADORA

PBLICA ADSIB

Agencia para el Desarrollo de la Sociedad de la Informacin en Bolivia ADSIB

La Paz - Bolivia

1

ndice de contenido1. Introduccin. ........................................................................................................................................ 5

1.1 Presentacin .................................................................................................................................... 51.2 Identificacin y nombre del documento ......................................................................................... 61.3 Infraestructura Nacional de Certificacin Digital del Estado Plurinacional de Bolivia ................. 61.4 Uso de los certificados. ................................................................................................................... 7

Usos tpicos ...................................................................................................................................... 7Usos prohibidos ............................................................................................................................... 8Fiabilidad de la firma digital a lo largo del tiempo. ......................................................................... 9

1.5 Administracin de la Declaracin de Prcticas, procedimiento de aprobacin. ............................. 9Administracin de la declaracin de prcticas ................................................................................ 9Procedimiento de aprobacin .......................................................................................................... 9

1.6 Definiciones y abreviaturas. ......................................................................................................... 10Abreviaturas .................................................................................................................................. 10Definiciones ................................................................................................................................... 10

2. Publicacin de informacin y repositorio de certificados. .................................................................. 11Repositorios. .................................................................................................................................. 11Publicacin. .................................................................................................................................... 11Frecuencia de actualizacin. .......................................................................................................... 12Controles de acceso al repositorio de certificados. ........................................................................ 12

3. Identificacin y Autenticacin de los titulares de los certificados. ..................................................... 123.1 Registro de nombres. .................................................................................................................... 12

Tipos de nombres ........................................................................................................................... 12Significado de los nombres ............................................................................................................ 13Interpretacin de formatos de nombres ......................................................................................... 13Unicidad de nombres .................................................................................................................... 13Resolucin de conflictos relativos a nombres ............................................................................... 13

3.2 Validacin de la identidad inicial. ................................................................................................ 14Mtodos de prueba de posesin de la clave privada ...................................................................... 14Autenticacin de la identidad de una persona natural, jurdica o cargo pblico ........................... 14Autenticacin de la identidad de un individuo .............................................................................. 15

3.3 Identificacin y autenticacin de las solicitudes de renovacin de clave. ................................... 15Identificacin y autenticacin de las solicitudes de renovacin rutinarias .................................... 15Solicitudes de renovacin con cambio de clave privada. .............................................................. 16

4. Ciclo de Vida de los Certificados. ....................................................................................................... 16La generacin de las claves para la firma ..................................................................................... 17

2

Suspensin y revocacin del Certificado ....................................................................................... 195. Controles de seguridad fsica, gestin y de operaciones. .................................................................... 20

5.1 Controles de seguridad fsica. ....................................................................................................... 20Ubicacin y construccin .............................................................................................................. 20Acceso fsico .................................................................................................................................. 21Alimentacin elctrica y aire acondicionado ................................................................................. 21Proteccin y prevencin de incendios ........................................................................................... 21Exposicin al agua ......................................................................................................................... 21Sistema de almacenamiento ........................................................................................................... 22Eliminacin de residuos ................................................................................................................. 22La ADSIB cuenta con los procedimientos y servicios para la eliminacin de residuos en todas sus instalaciones. ............................................................................................................................ 22Copia de seguridad ........................................................................................................................ 22

5.2 Controles de procedimientos. ....................................................................................................... 22Roles de confianza ......................................................................................................................... 22Nmero de personas requerida por tarea ....................................................................................... 22Identificacin y autenticacin para cada rol. ................................................................................. 23

5.3 Controles de Seguridad de personal. ............................................................................................ 23Requerimientos de calificacin, experiencia y acreditacin .......................................................... 23Formacin y frecuencia de actualizacin de la formacin. .......................................................... 23Frecuencia y secuencia de rotacin de tareas ................................................................................ 23Sanciones por acciones no autorizadas .......................................................................................... 23Requerimientos de contratacin de personal, controles peridicos de cumplimiento, finalizacin de los contratos. ............................................................................................................................. 24

5.4 Procedimientos de control de seguridad. ...................................................................................... 24Tipos de eventos registrados .......................................................................................................... 24Frecuencia de procesado de registros ............................................................................................ 24Periodo de retencin para los registros de auditoria ...................................................................... 24Proteccin de los registros de auditoria, procedimientos de copia de seguridad de los registros de auditoria, sistema de recogida de informacin de auditoria, notificacin al sujeto causa del evento, anlisis de vulnerabilidades. ............................................................................................. 24

5.5 Archivo de informaciones y registros. .......................................................................................... 25Tipo de informaciones y eventos registrados ................................................................................. 25La ADSIB archivar la informacin referente a: ........................................................................... 25a) solicitud de certificados ............................................................................................................. 25b) firma de certificados .................................................................................................................. 25c) suspensin, renovacin y revocatoria de certificados ............................................................... 25d) registro de usuarios .................................................................................................................... 25

3

e) acciones que afecten los equipos criptogrficos ........................................................................ 25f) operaciones sobre los sistemas de firma de certificados. .......................................................... 25Periodo de retencin para el archivo ............................................................................................. 25Sistema de recogida de informacin para auditoria, procedimientos para obtener y verificar informacin archivada ................................................................................................................... 25

5.6 Cambio de clave de la Entidad Certificadora Pblica. ................................................................. 265.7 Recuperacin de la clave de la Entidad Certificadora Pblica . ................................................... 265.8 Cese de actividades de la Entidad Certificadora Pblica. ............................................................ 26

6. Controles de Seguridad Tcnica. ......................................................................................................... 276.1 Generacin e instalacin del par de claves. .................................................................................. 27

Generacin del par de claves ......................................................................................................... 27Tamao de las claves ..................................................................................................................... 27Parmetros del certificado y comprobacin de la calidad de los parmetros ................................ 27Hardware y software de generacin de claves ............................................................................... 28Fines del uso de la clave. ............................................................................................................... 28

6.2 Proteccin de la clave privada. ..................................................................................................... 28Estndares para los mdulos criptogrficos .................................................................................. 28Control multi-persona de la clave privada ..................................................................................... 29Custodia de la clave privada .......................................................................................................... 29Instalacin fsica ........................................................................................................................... 29Copia de seguridad de la clave privada ......................................................................................... 29Archivo de la clave privada ........................................................................................................... 29Introduccin de la clave privada al mdulo criptogrfico ............................................................. 29Mtodo de activacin de la clave privada ...................................................................................... 30Mtodo de destruccin de la clave privada .................................................................................... 30Clasificacin de los mdulos criptogrficos. ................................................................................. 30

6.3 Otros aspectos de la gestin del par de claves. ............................................................................. 31Archivo de la clave pblica ........................................................................................................... 31Perodos operativos de los certificados y perodo de uso para el par de claves ........................... 31

6.4 Datos de activacin. ...................................................................................................................... 31Generacin e instalacin de los datos de activacin ..................................................................... 31Proteccin de los datos de activacin ............................................................................................ 31Otros aspectos de los datos de activacin ..................................................................................... 31

6.5 Controles de seguridad informtica. ............................................................................................. 32 Requerimientos tcnicos de seguridad especficos ....................................................................... 32Evaluacin de la seguridad informtica ......................................................................................... 32

6.6 Controles de seguridad del ciclo de vida. ..................................................................................... 32Controles de desarrollo de sistemas ............................................................................................... 32

4

Controles de gestin de seguridad ................................................................................................. 33Controles de seguridad del ciclo de vida de los sistemas .............................................................. 33

6.7 Controles de seguridad de la red. ................................................................................................. 336.8 Controles de los mdulos criptogrficos. ..................................................................................... 33

Registro de tiempo ......................................................................................................................... 337. Perfil de certificados y de Listas de certificados revocados. .............................................................. 34

7.1 Perfil del Certificado de la Entidad Certificadora Raz (ECR) .................................................... 347.2 Perfil del Certificado de las ECP .................................................................................................. 347.3 Perfil de la CRL de la Entidad Certificadora Raz. ...................................................................... 357.4 Perfil del OCSP ............................................................................................................................ 36 7.5. Formato para el Certificado Digital de un Persona Natural o Fsica. ......................................... 36 7.6. Formato para el Certificado Digital de una Persona Jurdica ..................................................... 37 7.7. Formato para el Certificado Digital de Cargo Pblico ............................................................... 38

8. Auditoria de conformidad. .................................................................................................................. 398.1 Frecuencia de los controles de conformidad para cada entidad. .................................................. 39

9. Requisitos comerciales y legales. ........................................................................................................ 399.1 Tarifas. .......................................................................................................................................... 399.2 Poltica de confidencialidad. ........................................................................................................ 399.3 Proteccin de datos personales. .................................................................................................... 409.4 Obligaciones de los participantes de la PKI. ................................................................................ 41

Responsabilidad de las autorizadas ante aceptantes ...................................................................... 429.5 Modificaciones al presente documento. ....................................................................................... 429.6 Resolucin de conflictos. .............................................................................................................. 429.7 Legislacin aplicable. ................................................................................................................... 439.8 Conformidad con la Ley aplicable. .............................................................................................. 43

5

1. Introduccin.

1.1 Presentacin

La ADSIB presenta este documento en cumplimiento a las Resoluciones Administrativas RegulatoriasATT-DJ-RA TL LP 31/2015, ATT-DJ-RA TL LP 32/2015 y ATT-DJ-RA TL LP 1538/2015emitidas por la Autoridad de Regulacin y Fiscalizacin de Telecomunicaciones y Transportes (ATT),y la Ley N 164 General de Telecomunicaciones y Tecnologas de Informacin y Comunicaciones y elDecreto Supremo reglamentario N 1793.

El documento brinda evidencia integral a todos los clientes, proveedores y empleados sobre losprocedimientos especficos a ser implementados para asegurar la calidad de la Firma Digital. Estedocumento tambin rige la creacin de contenidos relacionados con la calidad.

1.2 Identificacin y nombre del documento

El documento se concentra en el Anexo 5: contenido mnimo del documento de declaracin depracticas de certificacin para una ECA, en conformidad con lo establecido en las ResolucionesAdministrativas Regulatorias ATT-DJ-RA TL LP 31/2015, ATT-DJ-RA TL LP 32/2015, y ATT-DJ-RA TL 1538/2015 emitidas por la Autoridad de Regulacin y Fiscalizacin de Telecomunicaciones yTransportes (ATT).

El objetivo de este documento es plantear los contenidos de Declaracin de Prcticas de Certificacinpara cumplimiento de la ADSIB en el marco de su consolidacin como Entidad Certificadora Pblica.

El presente documento lleva como titulo Declaracin de Prcticas de Certificacin de la EntidadCertificadora Pblica -ADSIB

1.3 Infraestructura Nacional de Certificacin Digital del Estado Plurinacional de Bolivia

La Jerarqua Nacional de Certificacin Digital, segn el artculo 36 del Decreto SupremoReglamentario 1793, establece los niveles de Infraestructura Nacional de Certificacin Digital (INCD).

Descripcin breve de la jerarqua nacional de Certificacin Digital del Estado Plurinacional deBolivia y de cada uno de sus componentes.

Se describe a continuacin la jerarqua nacional de certificacin digital y cada uno de sus

6

componentes:

Primer nivel: Autoridad de Regulacin y Fiscalizacin de Telecomunicaciones y Transportes:Entidad Certificadora Raz.

De acuerdo a la Ley N 164 y el Decreto Supremo N 1793 la Autoridad de Regulacin y Fiscalizacinde Telecomunicaciones y Transportes (ATT), es la Entidad Certificadora de Raz. La ATT es la entidad de certificacin de nivel superior dentro de la Jerarqua Nacional de CertificacinDigital que auto firmar su certificado y emitir certificados digitales a las entidades certificadoraspblica y privadas subordinadas.

Segundo Nivel: Entidad de Certificacin

Son las entidades certificadoras pblicas o privadas subordinadas de la Entidad Certificadora Raz. Laentidad certificadora pblica es la ADSIB y las entidades certificadoras privadas, son todas aquellasautorizadas por ATT a prestar Servicios de Certificacin, cumpliendo los requisitos exigidos para laautorizacin de prestacin del servicio.

Tercer nivel: Agencia de Registro

Es la agencia dependiente de una entidad certificadora, encargada de realizar el registro y laidentificacin de la persona natural o jurdica en forma fehaciente y completa debe efectuar lostrmites con fidelidad a la realidad. Adems, es quin se encarga de solicitar la aprobacin orevocacin de un certificado digital

La agencia de registro es la ADSIB, tiene como objetivo asegurarse de la veracidad de los datos quefueron utilizados para solicitar el certificado digital.

a) Cuarto nivel: Signatarios

Son todos los usuarios y usuarias finales a quienes se les ha emitido un certificado por una entidadcertificadora, dentro de la Jerarqua Nacional de Certificacin Digital.

Otros: Terceros aceptantes.

Son cualquier persona fsica u organizacin que confa en los certificados de la ADSIB, al autenticar a

7

una persona fsica o al aceptar una Firma Digital, estn obligados a comprobar la validez delcertificado.

1.4 Uso de los certificados.

Usos tpicos

La ADSIB estar limitado a la firma de certificados digitales para autoridades subordinadas, firma delas listas de certificados revocados y la firma de todos los certificados establecidos en el presentedocumento.

El uso de los certificados emitidos por la ADSIB estar limitado segn el tipo de certificado, y acontinuacin se menciona los usos de cada uno de ellos:

TIPOS DE CERTIFICADO USO

Persona naturalFirma de documentos, proteccin de correo electrnico, autenticacin en sitio web, firma decdigo informtico

Persona jurdicaEn representacin de una persona jurdica: firma de documentos, proteccin de correo electrnico, autenticacin en sitio web, firma decdigo informtico

Cargo pblico Como servidor pblico: firma de documentos, proteccin de correo electrnico, autenticacin en sitio web, firma de cdigo informtico.

Lista de Revocacin de Certificado Firma de Lista de Revocacin de Certificado

OCSP Firma de OCSP

Usos prohibidos

El usuario contratante de certificados digitales generados por la ADSIB est obligado a utilizarlosconforme a los usos permitidos y sealados en la seccin anterior o cualquier texto normativo que lossustituya y regule la actividad de certificacin digital dentro del Estado Plurinacional de Bolivia y para

8

el uso para el cual fue adquirido, quedando expresamente indicado que cualquier violacin a lasnormas, usos y/o leyes del Estado Plurinacional de Bolivia queda bajo la responsabilidad del usuariocontratante, as como los daos y perjuicios que ocasionare le ser aplicable un proceso penalestablecido en el Cdigo Penal, artculo 363 (alteracin, acceso y uso indebido de datos informticos).

Adicionalmente le ser revocado el certificado digital y el usuario contratante asume laresponsabilidad de indemnizar a la ADSIB por daos y perjuicios ocasionados a terceros derivados dereclamos, acciones, efectos de accin, prdidas o daos (incluyendo multas legales) que se generarenpor el uso indebido, por parte del usuario contratante del servicio contratado con la ADSIB.

Finalmente, los certificados digitales de personal natural no pueden ser utilizados en remplazo de loscertificados de persona jurdica o de cargo pblico, en particular no se pueden firmar documentos enrepresentacin de una persona jurdica o como servidor pblico con un certificado de persona natural.

Fiabilidad de la firma digital a lo largo del tiempo.

Para garantizar la fiabilidad de una firma y certificado digital a lo largo del tiempo, sta deber sercomplementada con la informacin del estado del certificado asociado en el momento en que la mismase produjo y/o informacin no repudiable incorporando un sello de tiempo.

Esto implica que si queremos tener una firma y certificado que pueda ser validada a lo largo deltiempo, la firma digital que se genera ha de incluir evidencias de su validez para que no pueda serrepudiada.

Para este tipo de firmas existir un servicio que mantenga dichas evidencias, y ser necesario solicitarla actualizacin de las firmas antes de que las claves y el material criptogrfico asociado seanvulnerables.

1.5 Administracin de la Declaracin de Prcticas, procedimiento de aprobacin.

Administracin de la declaracin de prcticas

La administracin de la presente Declaracin de Prcticas de Certificacin es responsabilidad de laADSIB.

Para consultas o sugerencias, la ADSIB designa el siguiente contacto:

Direccin de correo: contacto@firmadigital.bo

9

mailto:contacto@adsib.gob.bo

Telfono: (591-2) 2200720 - 2200730Fax: (591-2) 2200740Casilla 6500

Se publicaran en el sitio web de la ADSIB, las nuevas versiones de este documento, inmediatamentedespus de su aprobacin.

Procedimiento de aprobacin

La aprobacin de esta Declaracin de Prcticas de Certificacin, as como toda modificacinintroducida en ella, es responsabilidad exclusiva de la ADSIB.

La ADSIB aplicar sus procedimientos internos de aprobacin para garantizar la calidad y trazabilidadde sus servicios.

1.6 Definiciones y abreviaturas.

Abreviaturas

EC: Entidad Certificadora. ECR: Entidad Certificadora Raz. AR: Agencia de Registro. URI: Identificador Uniforme de Recursos OCSP: Protocolo de Estado de Certificados en Lnea, segn RFC 2560. PKI: (Public Key Infrastructure) Infraestructura de Clave Pblica. RSA: (Rivest Shamir Adleman) Sistema criptogrfico de clave pblica. SHA: (Secure Hash Algorithm) Algoritmo de Hash Seguro. RFC: (1Request For Comments) Requerimiento de Comentarios. IETF: (Internet Engineering Task Force) Grupo de Trabajo de Ingeniera de Internet. HSM: (Hardware Security Module) Modulo de Hardware de Seguridad2. CRL: (Certificate Revocation List) Lista de Certificados Revocados. ADSIB: Agencia para el Desarrollo de la Sociedad de la Informacin en Bolivia.

1 Es un conjunto de documentos que sirven de referencia para la comunidad de Internet, que describen, especifican y asisten en la implementacin,estandarizacin y discusin de la mayora de las normas, los estndares, las tecnologas y los protocolos relacionados con Internet y las redes engeneral.

2 Un HSM es un dispositivo criptogrfico basado en hardware que genera, almacena y protege claves criptograicas y suele aportar aceleracin hardware para operaciones criptogrficas

10

ATT: Autoridad de Regulacin y Fiscalizacin de Transportes y Telecomunicaciones. CP: (Certificate Policy) Poltica de Certificacin. CPS: (Certification Practice Statement) Declaracin de Prcticas de Certificacin. TIC: Tecnologas de Informacin y Comunicacin. ISO: (International Organization for Standardization) Organizacin Internacional de

Normalizacin.

Definiciones

a) Certificado digital: Es un archivo digital firmado digitalmente por una entidad certificadoraautorizada que vincula una clave pblica a un signatario y confirma su identidad. El certificadodigital es vlido nicamente dentro del perodo de vigencia, indicado en el certificado digital.

b) Clave privada: Archivo digital que contiene un conjunto de caracteres alfanumricosnicos generados mediante un sistema criptogrfico, que el signatario emplea en la firmadigital de un documento. La clave privada es estrictamente confidencial e individual, y superdida posibilita la usurpacin de identidad del signatario.

c) Clave pblica: Archivo digital que contiene un conjunto de caracteres alfanumricos nicos,generados al mismo momento que la clave privada por el mismo sistema criptogrfico. Laclave pblica esta contenida en el certificado digital, junto a los datos de identidad delsignatario. Tiene vocacin a ser de conocimiento pblico, y permite verificar la firma digital deun documento.

d) Firma digital: Es un conjunto de datos electrnicos integrados, ligados o asociados de maneralgica a un documento digital, o un correo electrnico, que certifica la identidad del signatarioy la integridad del documento digital firmado. La firma digital esta compuesta por el hash deldocumento digital cifrado por la clave privada del signatario, y por el certificado digital delsignatario.

2. Publicacin de informacin y repositorio de certificados.

Repositorios.

Los repositorios pblicos de informacin de la ADSIB estn disponibles durante las 24 horas los 7 dasde la semana y en caso de error del sistema fuera del control de la ADSIB, sta dedicar sus mejoresesfuerzos para que el servicio se encuentre disponible de nuevo en un periodo establecido en 72 horas.

A fin de garantizar la completa disponibilidad de este documento en la Declaracin de Prcticas deCertificacin y dems documentos esenciales, la ADSIB mantiene un repositorio en la pgina web del

11

servicio de firma digital.

El repositorio pblico de la ADSIB, no contiene informacin confidencial o privada.

Publicacin.

Es obligacin para la ADSIB publicar la informacin relativa a sus prcticas, sus certificados y elestado actualizado de los mismos. Las publicaciones que realice la ADSIB, de toda la informacinclasificada como pblica, se anunciara en la pgina web de la Entidad Certificadora Pblica.

Este servicio de publicacin de informacin del certificador est disponible durante las 24 horas los 7das de la semana y en caso de error del sistema fuera del control de la ADSIB, sta dedicar susmejores esfuerzos para que el servicio se encuentre disponible de nuevo en un periodo establecido en72 horas.

Frecuencia de actualizacin.

La ADSIB se encuentra en la obligacin de ejecutar de forma peridica la publicacin de lainformacin y datos que permitan a los signatarios, y terceros aceptantes contar con los registros, datosy vnculos necesarios para la utilizacin de los certificados y firmas digitales conforme a lo establecidoen la normativa nacional que regula la materia.

Controles de acceso al repositorio de certificados.

La ADSIB brinda acceso irrestricto a toda la informacin contenida en el repositorio pblico, yestablece controles adecuados para restringir la posibilidad de escritura y modificacin de lainformacin publicada, garantizando su integridad.

El acceso a la informacin publicada por la ADSIB ser de consulta y no podr ser modificada porpersonas no autorizadas. La informacin pblica solo ser actualizada por el personal encargado de esafuncin, adems, se garantiza la consulta a la CRL y el presente documento.

Todos los documentos publicados por la ADSIB en el repositorio sern firmados digitalmente por laentidad. Toda informacin cuya firma no pueda ser verificada deber ser considerada nula.

3. Identificacin y Autenticacin de los titulares de los certificados.

12

3.1 Registro de nombres.

Tipos de nombres La norma vigente define los tipos de nombres para cada uno de los tres tipos de certificado. Para laspersonas naturales, el nombre se compone de: CN = Nombres y Apellidos de la persona natural; C =estndar de acuerdo a ISO 3166 {BO}; dnQualifier = Tipo de documento {CI/CE}; uidNumber = Nro.de documento {numeral}; uid = nmero de complemento {alfanumrico} (opcional); serialNumber =Nmero de NIT {numeral} (opcional).

Para las personas jurdicas, el nombre se compone de: CN = Nombres y Apellidos del representantelegal autorizado para representar a la persona jurdica en determinadas atribuciones; O = Razn socialde la empresa o institucin a la que representa la persona jurdica; OU = Unidad Organizacional de laque depende (opcional); T = Cargo del representante legal; C = estndar de acuerdo a ISO 3166 {BO};dnQualifier = Tipo de documento {CI/CE}; uidNumber = Nro. de documento {numeral}; uid =nmero de complemento {alfanumrico} (opcional); serialNumber = Nmero de NIT {numeral}(opcional).

Para las cargos pblicos, el nombre se compone de: CN = Nombres y Apellidos del servidor pblico; O= Nombre de la institucin pblica a la que pertenece; OU = Unidad Organizacional de la que dependeel funcionario pblico (opcional); T = Cargo del servidor pblico; C = estndar de acuerdo a ISO 3166{BO}; dnQualifier = Tipo de documento {CI/CE}; uidNumber = Nro. de documento {numeral}; uid =nmero de complemento {alfanumrico} (opcional); serialNumber = Nmero de NIT {numeral}(opcional).

Significado de los nombres

La ADSIB requerir de los clientes contratantes de certificados digitales sus nombres y apellidoscompletos y conforme figuran representados en la cdula de identidad que posea el solicitante de lafirma digital.

No sern admitidos o procesados por la ADSIB los datos correspondientes a diminutivos de nombres,alias o seudnimos con los cuales se pretenda identificar el usuario. En todos los casos sernconsiderados los nombres que figuran en su cdula de identidad o pasaporte.

En todo caso la ADSIB garantiza que los nombres distintivos contenidos en los campos de loscertificados son lo suficientemente distintivos y significativos para poder vincular la identidad de un

13

usuario a su firma digital.

Interpretacin de formatos de nombres

Las reglas utilizadas para la interpretacin de los nombres distinguidos en los certificados emitidosestn descritos en la ISO/IEC 9595 (X.500) Distinguished Name (DN). Adicionalmente todos loscertificados emitidos por la ADSIB utilizan codificacin UTF-8 para todos los atributos, segn la RFC3280 (Internet X.509 Public Key Infraestructure and Certificate Revocation List (CRL) Profile).

Unicidad de nombres

La ADSIB define como campo del nombre distintivo del certificado de autoridad como nico y sinambigedad. Para ello se incluir como parte del nombre distintivo, especficamente en el campocorrespondiente, el nombre o razn social de la ADSIB, por lo tanto la unicidad se garantiza mediantela confianza sobre la unicidad de los nombres mercantiles en el registro nacional.

Resolucin de conflictos relativos a nombres

En el caso de una ocurrencia de conflicto de nombre entre clientes y que corresponda a nombre yapellidos iguales, se proceder a realizar las distincin de identidad y autenticacin de la misma atravs del uso del nmero de cdula de identidad de cada usuario de la ADSIB con las cuales se hayagenerado el conflicto de nombre.

3.2 Validacin de la identidad inicial.

Mtodos de prueba de posesin de la clave privada

El esquema de operacin de la ADSIB y su sistema de certificacin se encuentran configurados parafuncionar en base a una estructura de claves: pblica y privada.

En virtud de lo anterior, una vez emitido cada certificado, es el usuario quien tiene la custodia yresguardo de su clave privada, presumiendo que el mismo la posee y resguarda, salvo denuncia de lmismo usuario de la perdida de su clave privada, caso en el cual se proceder a la suspensin y/orevocacin de la firma digital que corresponda.

La ADSIB, en ningn momento poseer u obtendr la clave privada del usuario, la creacin,resguardo, uso y administracin de la misma es responsabilidad exclusiva del usuario.

14

Autenticacin de la identidad de una persona natural, jurdica o cargo pblico

La ADSIB proceder a autenticar y validar la identidad de los usuarios dependiendo del tipo decertificado que soliciten.

Personal Natural

La ADSIB verificar los requisitos presentados con la presentacin de los originales. Una vezcomprobada y validada la documentacin presentada por el usuario y que se haya cumplido con elprocedimiento de solicitud y registro, la ADSIB proceder a la generacin del certificado digitalcontratado por el usuario.

Persona Jurdica

La ADSIB proceder a comprobar la validez de la informacin del usuario con la presentacin de losoriginales. Una vez comprobada y validada la documentacin presentada por el usuario y que se hayacumplido con el procedimiento de solicitud y registro, la ADSIB proceder a la generacin delcertificado digital contratado por el usuario.

Cargo Pblico

La ADSIB proceder a comprobar la documentacin requerida, a travs de llamadas telefnicas y conla presentacin de los originales. Una vez comprobada y validada la documentacin presentada por elusuario y que se haya cumplido con el procedimiento de solicitud y registro, la ADSIB proceder a lageneracin del certificado digital contratado por el usuario.

Autenticacin de la identidad de un individuo

La persona fsica designada para tramitar la emisin de un certificado, adems de presentar laresolucin de acreditacin vigente ante la ADSIB, deber demostrar su identidad de la siguiente forma:

a) cdula de identidad.b) fotografa.

Se verifica que dichos datos adems coincidan con los establecidos en la resolucin de acreditacin ycon el sistema del SEGIP.

15

3.3 Identificacin y autenticacin de las solicitudes de renovacin de clave.

Identificacin y autenticacin de las solicitudes de renovacin rutinarias

La identificacin y autenticacin para la renovacin del certificado se realizar de la siguiente manera:

a) El usuario solicitar la renovacin a travs de su cuenta de usuario.b) La ADSIB realizar la verificacin de la solicitud y pago en un plazo no mayor a 72 horas mediantelos procedimientos establecidos.c) De no ser posible la verificacin se emitir un informe que detallen los esfuerzos realizados y seesperar que el usuario se ponga nuevamente en contacto a travs de los telfonos, correo electrnico,fax, etc. de la ADSIB.d) La ADSIB podr o no requerir al usuario presentarse personalmente en oficinas de la entidad,dependiendo del proceso de verificacin.e) En un plazo no mayor a 72 horas desde concluida la verificacin, la ADSIB pondr a disposicin delusuario su nuevo certificado a travs de su cuenta de usuario.

El proceso de renovacin rutinario podr realizarse nicamente por tres veces consecutivas, Al cabo dela misma el usuario deber generar un nuevo par de claves e iniciar el proceso como la solicitud de unnuevo certificado.

Solicitudes de renovacin con cambio de clave privada.

El procedimiento es el mismo al de la solicitud de un nuevo certificado y el usuario deber completar todos los pasos necesarios.

4. Ciclo de Vida de los Certificados.

Procesamiento de solicitud del certificado

Las personas que deseen obtener un certificado digital debern:

a) Crear una cuenta de usuario en el sistema de la pgina web: www.firmadigital.bob) Solicitar mediante su cuenta de usuario el tipo de certificado digital y completar el formulario desolicitud.c) Aproximarse a las oficinas de la ADSIB, junto con los requisitos que se le especificarn una vezrealizada su solicitud.

16

d) Realizar el pago correspondiente.e) Ingresar el nmero de depsito o subir una imagen del comprobante bancario en su cuenta deusuario.f) Es responsabilidad del cliente proteger la contrasea de su cuenta de usuario.g) Entregar al momento de presentar la solicitud el token segn los estndares tcnicos requeridos. Enla pgina www.firmadigital.bo se publicar una lista de proveedores de token que cumplan con losestndares solicitados.h) Aceptar la polticas y contrato correspondiente a la prestacin del servicio.

*La apertura de la cuenta es gratuita y est disponible en lnea.

Emisin del certificado

La ADSIB, una vez validada la identidad del signatario y verificado el pago correspondiente, aprobarla firma del certificado correspondiente.

La ADSIB cuenta con procedimientos internos para la ceremonia de la Firma Digital.

Una vez verificados la identidad y el pago correspondiente la ADSIB tendr un plazo mximo de 72horas para poner a disposicin del usuario su certificado firmado en su cuenta de usuario, salvo casofortuito, fuerza mayor o decisin tcnicamente justificada, casos en que la entidad deber informar lasrazones del retraso al usuario.

Aceptacin del certificado

La ADSIB, una vez comprobado y validado la informacin y los requisitos presentados por el usuario,dispondr el certificado y firma digital en la cuenta del usuario disponible a travs del sistema.

La firma del contrato entre el usuario y la ADSIB implica que el usuario acepta los trminos ycondiciones del uso del certificado y firma digital.

Generacin del par de claves y uso del certificado

La generacin de las claves para la firma

El usuario deber generar el par de claves pblica y privada en su dispositivo de firma digital. Alcontar el usuario con su clave pblica y privada, el usuario pondr su clave pblica a disposicin de la

17

ADSIB a travs de su cuenta de usuario. El proceso de la generacin de claves es privado, la ADSIBno intervendr en ningn momento del mismo, as el usuario garantizar que un tercer no ha tenidoconocimiento de su clave privada.

El titular slo puede utilizar la clave privada y el certificado para usos autorizados en este documento.

El usuario es el nico responsable de la custodia y cuidado de su clave privada.

En caso de verse comprometida su clave privada, el usuario deber suspender o revocar su firma atravs de su cuenta de usuario o contactarse con la ADSIB, sin menoscabo de responder personalmentepor las acciones y consecuencias derivadas del uso indebido de sus firmas o certificados por parte deterceras personas.

Renovacin del certificado

Se realizar la renovacin del certificado cuando se haya cumplido la validez del certificado, de 365das calendario. Todo certificado generado por la ADSIB podr ser renovado, siempre y cuando seancumplidas las siguientes condiciones:

1. Que la firma o certificado digital no haya sido revocado por la ADSIB por razones de usoilcito de la firma o certificado electrnico, segn corresponda.

2. Que el solicitante cumpla con el proceso de solicitud y validacin.

Suspensin y reactivacin del certificado

No se realizan cambios de clave de certificados. En caso de ser necesario, el usuario podr optar por lasuspensin del certificado y su posterior reactivacin.

La suspensin del certificado generado por ADSIB, precede a la reactivacin o revocacin, y se realizaa solicitud del titular del certificado.

Todo certificado generado por ADSIB podr ser reactivado, siempre y cuando el usuario hayasolicitado la misma. En caso de lo contrario, se procede a la revocacin de la certificacin.

Se proceder a la suspensin del certificado, siempre y cuando se cumplan las siguientes condiciones:

18

1. Que el usuario haya notificado la posibilidad de perdida del token que contiene el certificado digital.2. Que el usuario haya notificado la posibilidad de que su clave privada ha sido comprometida poralgn motivo.

Procedimiento de reactivacin de claves del certificado

Las personas que deseen reactivar su par de claves debern seguir el siguiente procedimiento.

a) Ingresar a su cuenta de usuario en el sistema de la pgina web: www.firmadigital.bob) Solicitar mediante su cuenta de usuario la reactivacin.c) Si el usuario evidencia que su clave ha sido comprometida o notifica la perdida podr solicitar larevocacin de su certificado mediante su cuenta de usuario.

Reemisin de claves del certificado

Se proceder a la reemisin de un nuevo certificado, siempre y cuando se cumplan las siguientescondiciones:

1. Que el usuario haya notificado la perdida del token (hsm) que contiene el certificado digital.2. Que el usuario haya notificado que su clave privada ha sido comprometida por algn motivo

En estos casos, el usuario deber seguir los siguientes pasos:

a) Ingresar a su cuenta de usuario en el sistema de solicitud de certificados disponible en la pgina webwww.firmadigital.bo.b) Solicitar mediante su cuenta de usuario la revocacin del certificado comprometido.c) Solicitar mediante su cuenta de usuario la remisin del certificado; de esta manera no realizar elpago por la emisin del nuevo certificado.d) Realizar el procedimiento inicial de registro y proceder con la generacin de su nuevo par de clavescomo se indica anteriormente.

El usuario podr solicitar la reemisin de certificados por prdida del token (hsm) o encontrarsecomprometida su clave privada por un mximo de tres veces, al cabo de las cuales deber cancelarnuevamente por el servicio de certificacin digital.

Suspensin y revocacin del Certificado

La suspensin del certificado generado por la ADSIB, usualmente precede a la revocacin. Ambos se

19

http://www.firmadigital.bo/http://www.firmadigital.bo/

harn de acuerdo a los procedimientos internos con los que la ADSIB trabaja y a solicitud del usuarioo autoridad competente. La ADSIB podr suspender o revocar un certificado por motivosfundamentados tcnica y legalmente, inters nacional, resguardo de la seguridad del EstadoPlurinacional de Bolivia o inters del pueblo boliviano, mediante Resolucin Administrativa de suMxima Autoridad Ejecutiva.

Procedimiento de revocacin

Se proceder a la revocacin de un certificado en los siguiente casos:

a. En caso que el usuario haya notificado la perdida del dispositivo y/o que su clave privada hayaestado comprometida en algn caso.b. Por vencimiento de la validez del certificado.

En estos casos, el usuario deber seguir los siguientes casos.

a) Ingresar a su cuenta de usuario en el sistema de solicitud de certificados disponible en el sistema desolicitud de certificado de la pgina web www.firmadigital.bo.b) Solicitar media su cuenta de usuario la revocacin del certificado.

Servicios de estado de certificados

La ADSIB posee servicios de comprobacin de estado de los certificados. Dichos servicios son la listade certificados revocados y el acceso OCSP para acceso en lnea a la comprobacin del estado de lasmismas.

Fin de la suscripcin

El usuario podr dar el uso permitido al certificado durante su perodo de vigencia. Llegado a trminodel perodo de vigencia del certificado, el usuario podr optar al proceso de renovacin. Si el usuariono opta por la renovacin, tendr a su disponibilidad en los archivos de la ADSIB por un lapso 5 aoslos registros correspondientes a la generacin de su certificado.

Depsito de las claves y recuperacin.

Si el usuario no opta por la renovacin o reactivacin, tendr a su disponibilidad en los archivos de la

20

http://www.firmadigital.bo/

ADSIB por un lapso de 5 (cinco) aos, los registros correspondientes a la generacin de su certificado.

La clave privada de la ADSIB se custodia en un dispositivo criptogrfico HSM. Para el acceso alrepositorio de claves privadas es necesario el uso de tarjetas inteligentes.

Si el usuario extrava su clave privada, se deber proceder a la emisin de un nuevo certificadodebiendo cumplir los requisitos nombrados en este documento.

5. Controles de seguridad fsica, gestin y de operaciones.

5.1 Controles de seguridad fsica.

Ubicacin y construccin

La ubicacin del Centro de Datos de la ADSIB est en el Edificio de la Vicepresidencia del EstadoPlurinacional de Bolivia, ubicado en el centro de la ciudad de La Paz, entre las calles Ayacucho yMercado No 308.

La construccin del Centro de Datos rene y mantiene los requisitos de operacin que para este tipo defacilidades impone la normativa en materia de seguridad. El Centro de Datos opera las veinticuatro(24) horas del da, los trescientos sesenta y cinco (365) das del ao.

Adicionalmente el Centro de Datos rene condiciones y caractersticas de construccin para hacerfrente a diferentes situaciones de emergencia. Igualmente, mantiene un permetro de seguridad ycuenta con cinco (5) niveles de acceso biomtrico.

El Centro de Datos desde donde opera la ADSIB, mantiene respaldos en caso de ocurrencia de unacontingencia que afecta la integridad fsica y digital de la referida sede administrativa y puede ofrecerde esa manera una garanta de su continuidad operacional.

Acceso fsico

Se mantienen medidas de control de acceso tanto lgicas (aplicativo de certificacin) como fsicas(equipos) garantizando la integridad y seguridad de los servicios prestados. Para el control de accesofsico existen cinco (5) niveles de seguridad, desde el exterior hasta los servidores donde est instaladoel gabinete de la firma digital.

Adems de procedimientos de seguridad que restringen el acceso solo a personal autorizado para el

21

acceso a cada una de las cinco (5) capas de seguridad fsica y conocer la informacin de acceso a losequipos que conforman la cabina de la Firma Digital.

Alimentacin elctrica y aire acondicionado

La construccin donde se encuentran instalados los servidores de la cabina de la Firma Digital de laADSIB cuenta con fuentes de energa ininterrumpida (UPS), las cuales a su vez estn conectadas a una(1) planta generadora de energa.

La construccin cuenta con sistema de aire acondicionado, que recibe el mantenimiento necesario parasu uso regular.

Proteccin y prevencin de incendios

La construccin rene y mantiene los requisitos de operacin que para este tipo de facilidades imponela normativa internacional en materia de seguridad, la construccin asla posibles incendios dadas lasdivisiones y materiales, adems de contar con un sistema anti- incendios.

Exposicin al agua

El centro de datos, como las oficinas de archivo, se encuentran protegidos de la exposicin al aguadesde su estructura de construccin.

Sistema de almacenamiento

La construccin rene y mantiene los requisitos de operacin que para este tipo de facilidades imponela normativa, al contar con planes y procedimientos de mantenimiento.

Eliminacin de residuos

La ADSIB cuenta con los procedimientos y servicios para la eliminacin de residuos en todas susinstalaciones.

Copia de seguridad

El centro de datos rene y mantiene los requisitos de operacin que para este tipo de facilidades

22

impone la normativa, al contar con planes y procedimientos de gestin de incidentes y respaldos de lainformacin necesaria.

5.2 Controles de procedimientos.

Roles de confianza

La ADSIB mantendr un esquema de gestin y operacin basado en una estructura plana, sustentadasobre la interaccin e interdependencia del personal en sus diversos roles y funciones.

La ADSIB, se encuentra dividida en funciones de operacin y administracin. La Direccin Ejecutivase constituye en el nivel con mayor poder de decisin y mando dentro de la organizacin. Lasactividades de planificacin sern coordinadas por la Encargada de Planificacin y Proyectos enadicin a las Unidades encargadas de la implementacin, mantenimiento y actualizacin del Centro deDatos.

Todas las decisiones que se realizaren a las operaciones tcnicas y administrativa sern evaluadas porel Comit de Gestin de Calidad.

Nmero de personas requerida por tarea

El nmero de personas requeridas por tarea y establecimiento de nuevas obligaciones oresponsabilidades corresponder a la Direccin Ejecutiva.

Identificacin y autenticacin para cada rol.

La identificacin y autenticacin de cada rol, as como el establecimiento de nuevas obligaciones oresponsabilidades corresponder a la Direccin Ejecutiva.

5.3 Controles de Seguridad de personal.

Requerimientos de calificacin, experiencia y acreditacin

El personal involucrado en el control y la operacin de la firma y certificado digital estarsuficientemente calificado y con la experiencia necesaria para cumplir con las funciones asignadas a surol y recibir entrenamiento continuo para garantizar los niveles de calidad sobre las polticas deseguridad y los procedimientos.

23

Formacin y frecuencia de actualizacin de la formacin.

El personal de la ADSIB recibe capacitacin en reas de desarrollo asociada a su labor directa uorientadas al desarrollo de destrezas necesarias. Todo cambio en las polticas o sistemas de la FirmaDigital implica necesariamente el proceso de capacitacin del personal.

Frecuencia y secuencia de rotacin de tareas

La asignaciones de roles y funciones dentro de la ADSIB se encuentran asociadas a la descripcin delcargo que ocupa cada empleado dentro de la organizacin y al esquema de trabajo marcado en elorganigrama interno.

Sanciones por acciones no autorizadas

Todo procedimiento no contemplado en el presente documento de Declaracin de Prcticas de Certificacin, deber contar con la aprobacin expresa y por escrito de la Direccin Ejecutiva de la ADSIB, de lo contrario ser considerado como acto de sabotaje a los fines internos de la ADSIB y sersancionado conforme a la normativa vigente y el Reglamento Interno de Personal, por incumplimiento de las obligaciones que impone la relacin de trabajo.

Requerimientos de contratacin de personal, controles peridicos decumplimiento, finalizacin de los contratos.

La contratacin de personal de la ADSIB se basa en la normativa vigente para los funcionariospblicos. El cumplimiento de tareas se realiza a travs de informes y seguimiento trimestral del Plan Anual deOperaciones.El personal que finaliza un contrato o deja la institucin debe cumplir con los procedimientosadministrativos correspondientes y guardar confidencialidad sobre la informacin a la que tuvo accesoen la entidad.

5.4 Procedimientos de control de seguridad.

Tipos de eventos registrados

24

La ADSIB, almacena registros electrnicos de eventos relativos a su actividad como EntidadCertificadora Pblica. Estos registros son almacenados de forma automtica. Los registros generadosautomticamente por cada equipo sern mantenidos por la ADSIB. Los registros pueden ser archivadosen papel o en forma digitalizada.

Frecuencia de procesado de registros

Se realiza en cualquier momento que se considere necesario, por razones tcnicas o de seguridad. Una vez concluida la revisin se eleva informe respectivo sobre cualquier anomala.

Periodo de retencin para los registros de auditora

Los periodos de retencin de registros se mantienen por un perodo de dos (2) aos.

Proteccin de los registros de auditora, procedimientos de copia de seguridad delos registros de auditora, sistema de recogida de informacin de auditora,notificacin al sujeto causa del evento, anlisis de vulnerabilidades.

El sistema de recoleccin de auditora de la ADSIB es una combinacin de procesos automticos yprocedimientos manuales desempeados por el personal operacional.

Por lo tanto, el sistema es mantenido mediante mecanismos de control de acceso y separacin de rolescon relacin al software y el hardware que manejan la recolecciones automticas y medianteprocedimientos operacionales confidencialmente documentados, conocidos y seguidos por el personalde la ADSIB.

La ADSIB tiene planes y procedimientos para el anlisis de vulnerabilidades en el desempeo de susfunciones.

5.5 Archivo de informaciones y registros.

Tipo de informaciones y eventos registrados

La ADSIB archivar la informacin referente a:

a) solicitud de certificadosb) firma de certificados

25

c) suspensin, renovacin y revocatoria de certificadosd) registro de usuariose) acciones que afecten los equipos criptogrficosf) operaciones sobre los sistemas de firma de certificados.

Periodo de retencin para el archivo

Todos los registros de la ADSIB, referentes a la operacin de sus servicios de certificacin sonarchivados conforme a la normativa de conservacin de documentos del Estado Plurinacional deBolivia.

Sistema de recogida de informacin para auditora, procedimientos para obtener yverificar informacin archivada

Cada uno de los servidores de certificacin posee un mdulo para almacenar los registros de eventos,especficamente eventos de certificacin. Este registro de eventos permite auditar y verificar losintentos de accesos, los accesos y las operaciones dainas, sean estas intencionales o no, como tambinlas operaciones normales realizadas para la firma de los certificados.

5.6 Cambio de clave de la Entidad Certificadora Pblica.

La ADSIB podr cambiar su par de claves por los siguientes motivos:

a) De algn modo se ha visto comprometida la clave privada de la ADSIB.b) Por la caducidad del certificado firmado por la ATT para las operaciones de la ADSIB.c) Por falla o desastre de los equipos necesarios para la firma y que no sea posible habilitar los planesde recuperacin.

5.7 Recuperacin de la clave de la Entidad Certificadora Pblica .

La ADSIB cuenta con un plan de continuidad de negocio y recuperacin de ante desastres, ante elevento de un eventual compromiso parcial o total de la construccin del Centro de Datos. El Plan derecuperacin ante desastre es revisado peridicamente a la luz de los cambios riesgos en el ambiente.

El plan de recuperacin ante desastre est orientado a:

- Fallas/corrupcin de recursos de computacin;

26

- Compromiso de la integridad de la clave; y

- Desastres naturales y terminacin.

La Direccin Ejecutiva debe tomar los correctivos y emprender las actividades necesarias pararestablecer el sistema de certificacin en el momento de presentarse un escenario de desastre. En elplan de continuidad de negocio y recuperacin ante desastre, se especifica el procedimiento a realizaren cada uno de los escenarios considerados como desastre.

5.8 Cese de actividades de la Entidad Certificadora Pblica.

La ADSIB tienen establecido un perodo de vigencia u operacin en virtud de la Ley 164 deTelecomunicaciones. La ADSIB tiene contemplado en la eventualidad que ocurra una cesacin deoperaciones, los siguientes supuestos:

Extincin por vencimiento de acreditacin: Proceder conforme a la Ley a solicitar larenovacin de acreditacin ante la ATT.

Suspender la venta de certificados digitales a partir de la fecha de notificacin del cese deoperacin a la ATT; y colocar a disposicin de la ATT lo correspondiente a los certificados quese encuentren vigentes, hasta tanto se produzca el vencimiento de la totalidad de loscertificados que hayan sido emitidos por la ADSIB.

En el caso de ocurrencia de cualquier de los supuestos antes indicados y luego de operado elcese de operaciones, la ADSIB colocar a disposicin de la ATT, el repositorio de todos loscertificados emitidos durante su gestin, incluyendo el estatus de cada uno de ellos.

6. Controles de Seguridad Tcnica.

6.1 Generacin e instalacin del par de claves.

Generacin del par de claves

La ADSIB genera su par de claves (pblica y privada) bajo el procedimiento establecido losprocedimientos de la entidad y en cumplimiento de la normativa vigente con respecto a la firma digitaly las regulaciones de la ATT.

Esto incluye el desarrollo de una ceremonia de generacin del par de claves en presencia derepresentantes de la Vicepresidencia del Estado (ente tutor de la ADSIB), la ATT y Notario de Fe

27

Pblica.

El resguardo de la clave privada se desarrolla conforme a la regulacin establecida por la ATT.

Tamao de las claves

Los mdulos de la raz de certificacin y las claves tienen una longitud de al menos 4096 bits yutilizan el algoritmo RSA.

Parmetros del certificado y comprobacin de la calidad de los parmetros

Los parmetros utilizados se basan en el estndar ITU X.509 Information Technology Open SystemInterconnection - The Directory: Public Key and attribute certificate frameworks y en el RFC 5280,los cuales cumplen con los requerimientos establecidos en la normativa regulatoria, definidos en elpunto 2 Formato para el Certificado Digital de una ECA del ANEXO 1: Formato de los certificadosdigitales y de la lista de certificados revocados del RAR ATT-DJ-RA TL LP 32/2015 de fecha 09 deenero de 2015.

Hardware y software de generacin de claves

El software utilizado por la ADSIB para la generacin del par de claves y certificados es desarrolladopor la misma entidad. La ADSIB utiliza un mdulo criptogrfico para almacenar de forma segura suclave privada. A los efectos de documentar y proveer informacin del hardware criptogrfico utilizadopor la ADSIB se seala en su direccin web.

Fines del uso de la clave.

La clave privada de la ADSIB puede ser usada para:

- Firma de certificados establecidos en la presente DPC. - Firma de certificados para la firma de Listas de Revocacin de Certificado y/o OCSP. - Firma de certificados para la certificacin cruzada, aprobada por la ATT.

6.2 Proteccin de la clave privada.

Estndares para los mdulos criptogrficos

28

El mdulo criptogrfico usado por la Clave Pblica de la ADSIB est certificado para cumplir con losrequerimientos establecidos por la normativa de la ATT.

Los mdulos criptogrficos utilizados por la ADSIB cumplen con el estndar FIPS-140-2.

Control multi-persona de la clave privada

Se utiliza un control multipersonal para la clave privada, segn los roles asignados a los funcionariosde la ADSIB y que participan de las ceremonias de firma de certificados.El control multi-persona es la implementacin de la autenticacin M de N, que implica una divisin dela contrasea de autenticacin en mltiples partes o divisiones. La contrasea compartida se distribuyeentre varios token PED, donde es necesario contar con M=2 de N=4 para poder acceder al par declaves situado en el HSM.La autenticacin M de N permite hacer cumplir el control de acceso multi-persona ninguna personapueda acceder al HSM sin la cooperacin de otros titulares.

Custodia de la clave privada

La ADSIB posee una copia de seguridad de la clave privada bajo las mismas condiciones de seguridadque la original.

Instalacin fsica

Creacin del Mundo de Seguridad: Se crear el Mundo de Seguridad bajo los comandos establecidos ysiguiendo los siguientes parmetros: Se crearn dos (2) tarjetas de Operador, una para acceder al HSMy la otra para respaldo. Se crearn cuatro (4) tarjetas de administrador (cifrado de la clave privada deADSIB), dos (2) tarjetas de operador (Acceso al mdulo criptogrfico).

Copia de seguridad de la clave privada

La clave privada de la ADSIB estn resguardadas en mdulos HSM protegidos fsica y lgicamente.

Archivo de la clave privada

29

La clave privada de la ADSIB se encuentra almacenada en un componente de hardware denominadoHSM, el cual es el encargado de respaldarla y cifrarla. Tanto el respaldo como el cifrado sonalmacenados en una unidad de cinta, la cual la ADSIB, se asegurar de mantener a resguardo en unlugar seguro y fuera del Data Center.

Introduccin de la clave privada al mdulo criptogrfico

La ADSIB ha establecido los parmetros y lineamientos bajo los cuales se har la generacin declaves, las mismas se detallan a continuacin:

- Se generar el nuevo Mundo de Seguridad. - Se instalar la AC bajo la modalidad de subordinada y se generar la peticin de certificado. - Se generar el respectivo certificado por parte de la ATT. - Se instalar y activar el certificado de la ADSIB.

Mtodo de activacin de la clave privada

Para la activacin de la clave privada es necesario utilizar tarjetas inteligentes, requiere dos de cuatrotarjetas de administrador y una de dos tarjetas de operador, adicionalmente, es necesario el acceso alsistema operativo del servidor de certificacin.

Mtodo de desactivacin de la clave privada

Una vez finalizada la firma de certificados el mdulo criptogrfico y el servidor HSM son desactivados.

Mtodo de destruccin de la clave privada

La destruccin de la clave privada implica, generalmente, la revocatoria del certificado correspondiente.

La clave privada ser destruida de forma segura conforme a los procedimientos y dentro del HSM,junto con todas las copias de seguridad.

Clasificacin de los mdulos criptogrficos.

30

La ADSIB utiliza un mdulo criptogrfico para clasificar de forma segura su clave privada.

Almacenamiento de la clave privada en un mdulo criptogrfico

La clave privada se genera directamente en el mdulo criptogrfico en el momento de la creacin de las mismas y bajo los procedimientos establecidos.

Mtodo de activacin de la clave privada

La clave privada de la ADSIB, se activa mediante el acceso fsico a los servidores HSM mediante un sistema de autenticacin multipersonal y la activacin de la clave privada.

Todos los involucrados en la ceremonia firma de certificados participan del sistema de autenticacin.

6.3 Otros aspectos de la gestin del par de claves.

Archivo de la clave pblica

La ADSIB publica su clave pblica hasta el vencimiento del ltimo certificado emitido por la misma.

Perodos operativos de los certificados y perodo de uso para el par de claves

El par de claves de la ADSIB tendr la misma duracin del certificado correspondiente emitido por laATT. Para proseguir con sus operaciones la ADSIB emitir un nuevo par de claves y solicitar elcertificado correspondiente a la ATT, conforme a procedimiento.

6.4 Datos de activacin.

Generacin e instalacin de los datos de activacin

La ADSIB ha desarrollado los procedimientos para la generacin de claves de activacin de la clave privada del mdulo criptogrfico, basado en un procedimiento multipersonal.

Proteccin de los datos de activacin

Solo el personal autorizado de la ADSIB posee las claves necesarias para la activacin de la clave privada bajo el sistema multipersonal y son responsables de su custodia.

31

Otros aspectos de los datos de activacin

Las claves de acceso son confidenciales, personales e intransferibles

6.5 Controles de seguridad informtica.

La ADSIB ha definido una serie de controles de seguridad aplicables a los equipos informticos, talescomo el uso de los equipos, controles de acceso fsico y lgico, planes de auditoras, autenticacin ypruebas de seguridad.

Requerimientos tcnicos de seguridad especficos

El acceso a los sistemas de la ADSIB est restringido al personal autorizado segn los roles asignados, bajo los procedimientos y controles establecidos.

La ADSIB ha definido una serie de controles de seguridad aplicables a los equipos informticos, incluyendo:a) Definicin de roles y responsabilidades;

b) Controles de acceso fsico y lgico;

c) Seguridad fsica de ambientes y sistemas;

d) Gestin de copias de seguridad;

e) Registros de auditora;

f) Respuesta ante incidentes.

Evaluacin de la seguridad informtica

Todo el software utilizado por la ADSIB pasa por controles y pruebas de seguridad. Anualmente se realizan revisiones de los sistemas utilizados.

32

6.6 Controles de seguridad del ciclo de vida.

Los controles de seguridad se enmarcan en los lineamientos establecidos en la ResolucinAdministrativa RAR -DJ-RA TL LP 31/2015 emitida por la ATT.

Controles de desarrollo de sistemas

Los sistemas utilizados por la ADSIB pasan por revisiones y pruebas de seguridad segn procedimiento. Los sistemas desarrollados por la ADSIB estn documentados.Toda modificacin al cdigo, reemplazo o actualizacin, o cambio de configuracin de los sistemas pasa por un riguroso proceso de prueba y seguridad, acorde a procedimientos establecidos.

Controles de gestin de seguridad

Las pruebas de funcionamiento son peridicas y el monitoreo permanente. Todos los procedimientos en cuanto a seguridad han sido establecidos para el funcionamiento de la entidad.

Controles de seguridad del ciclo de vida de los sistemas

Existen controles de seguridad para el ciclo de vida de los sistemas de la entidad, incluyendo:

a) registro y reporte de acceso fsico.b) registro y reporte de acceso lgico.c) procedimientos de actualizacin e implementacin de sistemas.

6.7 Controles de seguridad de la red.

El hardware y software para la emisin de certificados por parte de la ADSIB son mantenidos off-line bajo estricto control de acceso y seguridad.

La emisin de listas de revocacin se realiza con una clave distinta a la de emisin de certificados. El proceso de firma de listas de revocacin se realiza off line, slo las listas de certificados revocados se encuentran en lnea y a disposicin pblica.

La red para la publicacin de certificados de revocatoria se encuentra protegida por firewall y lossistemas protegidos contra virus y software malicioso. El acceso de los usuarios a sus cuentas de

33

usuario en el sistema de la ADSIB est controlado y cifrado.

6.8 Controles de los mdulos criptogrficos.

La ADSIB nicamente utiliza mdulos criptogrficos con certificacin FIPS 140-2

Registro de tiempo

Los sistemas y servidores de la ADSIB se encuentran sincronizados en fecha y hora y guardan registros de todas las actividades.

7. Perfil de certificados y de Listas de certificados revocados.

7.1 Perfil del Certificado de la Entidad Certificadora Raz (ECR)

1. El formato para el Certificado Digital de la ECR tendr los siguientes atributos y contenidos:

a) Versin (version): el valor del campo es 2.b) Nmero de Serie (serialNumber): Nmero asignado por la ECR, valor hasta de 20 octetos.c) Algoritmo de firmas (signatureAlgorithm): OID: 1.2.840.113549.1.15 (SHA256withRSA)d) Nombre del Emisor (issuer): CN = Entidad Certificadora Raiz de Bolivia; O = ATT; C = BO de

acuerdo a ISO3166.e) Periodo de validez (validity): Fecha de emisin del Certificado; Fecha de caducidad del

Certificado. (YYMMDDHHMMSSZ, formato UTC Time).f) Nombre suscriptor (subject): CN = Entidad Certificadora Raiz de Bolivia; O = ATT; C = BO de

acuerdo a ISO3166.g) Informacin de la clave pblica del suscriptor (subjectPublicKey): Algoritmo: RSA, Longitud:

4096 bits.

2. Las extensiones del Certificado Digital de la ECR sern las siguientes:

a) Identificador de la clave del suscriptor (subjectKeyIdentifier): Funcin Hash (SHA1) del atributo subjectPublicKey.

b) Uso de Claves (keyUsage): digitalSignature = 0, nonRepudiation = 0, keyEncipherment = 0, dataEncipherment = 0, keyAgreement = 0, keyCertSign = 1, cRLSign = 1, encipherOnly = 0, decipherOnly = 0.

34

c) Poltica de Certificacin (certificatePolicies): URI: (archivo en formato de texto).d) Restricciones Bsicas (basicConstraints): CA = TRUE, pathLenConstraint = 1.e) Punto de distribucin de las CRL (cRLDistributionPoints): URI: (.crl).

7.2 Perfil del Certificado de la ECP

1. El formato para el Certificado Digital de la ADSIB tendr los siguientes atributos y contenidos:

a) Versin (version): el valor del campo es 2.b) Nmero de Serie (serialNumber): Nmero asignado por la ECR. c) Algoritmo de firmas (signatureAlgorithm): OID: 1.2.840.113549.1.15 (SHA256withRSA).d) Nombre del Emisor (issuer): CN = Entidad Certificadora Raiz de Bolivia; O =ATT; C = BO

de acuerdo a ISO3166.e) Periodo de validez (validity): Fecha de emisin del Certificado, Fecha de caducidad del

Certificado (YYMMDDHHMMSSZ, formato UTC Time).f) Nombre suscriptor (subject): CN =Entidad Certificadora ADSIB; O = ADSIB; C = BO.g) Clave pblica del suscriptor (subjectPublicKey): Algoritmo: RSA, Longitud: 4096 bits.

2. Las extensiones del Certificado Digital de una ECA sern las siguientes:

a) Identificador de la clave de la Autoridad Certificadora (authorityKeyIdentifier): Identificadorde la clave pblica de la ECR.

b) Identificador de la clave del suscriptor (subjectKeyIdentifier): Funcin HASH (SHA1) delatributo subjectPublicKey.

c) Uso de Claves (keyUsage): digitalSignature = 0, nonRepudiation = 0, keyEncipherment = 0,dataEncipherment = 0, keyAgreement = 0, keyCertSign = 1, cRLSign = 1, encipherOnly = 0,decipherOnly = 0.

d) Poltica de Certificacin (certificatePolicies): URI: (archivo en formato de texto).e) Restricciones Bsicas (basicConstraints): CA = TRUE, pathLenConstraint =0.f) Punto de distribucin de las CRL (cRLDistributionPoints): URI: (.crl).g) Informacin de Acceso de la ECA (authorityInformationAccess): URI: (.crt).

7.3 Perfil de la CRL de la Entidad Certificadora Raz.

El formato de las Listas de Certificados Revocados tendrn los siguientes contenidos y atributosmnimos:

a) Versin (versin): el valor del campo es 1 (corresponde a la versin 2 del estndar)

35

b) Algoritmo de firma (signatureAlgorithm): Identificador de Objeto (OID) del algoritmo utilizado por la Entidad Certificadora Pblica para firmar la Lista de Certificados Revocados

c) Nombre del Emisor (Issuer): CN =Entidad Certificadora ADSIB; O = ADSIB; C = BO.d) Da y Hora de Vigencia (This Update): Fecha de emisin de la CRL (YYMMDDHHMMSSZ,

formato UTC Time)e) Prxima actualizacin (Next Update): Fecha lmite de emisin de la prxima CRL

(YYMMDDHHMMSSZ, formato UTC Time)f) Certificados Revocados (Revoked Certificates): contiene la lista de certificados revocados,

identificados mediante su nmero de serie, la fecha de revocacin y una serie de extensiones especficas

Las extensiones de la Lista de Certificados Revocados sern, como mnimo, las siguientes:a) Identificador de la Clave del suscriptor (subjectKeyIdentifier): Funcin Hash (SHA1) del

atributo subjectPublicKey (clave pblica correspondiente a la clave privada usada para firmar la Lista de Certificados Revocados)

b) Nmero de Lista de Certificados Revocados (CRL Number): nmero entero de secuencia incremental para una CRL y una Entidad Certificadora determinadas.

c) Extensiones de un elemento de la Lista de Certificados Revocados.d) Cdigo de motivo (Reason code): indica la razn de revocacin de un elemento de la CRL

7.4 Perfil del OCSP

La adhesin en cuanto a definiciones, implementacin y formatos, a los RFC 5280 Internet X.509Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile y 6960 X.509Internet Public Key Infrastructure On Line Certificate Status Protocol OCSP.

i. El requerimiento de inclusin de los siguientes datos en las consultas OCSP:a) Versin (version)b) Requerimiento de servicio (service request).c) Identificador del certificado bajo consulta (target certificate identifier).d) Extensiones que puedan incluirse en forma opcional (optionals extensions) para su

procesamiento por quien responde.Cuando se recibe una consulta OCSP, quien responde debe considerar al menos los siguientesaspectos:

a) Que el formato de la consulta sea el apropiadob) Que quien responde sea una entidad autorizada para responder la consulta.c) Que la consulta contenga la informacin que necesita quien responded) Si estas condiciones son verificadas, se devuelve una respuesta. De lo contrario, si alguna de

estas condiciones no se cumpliera, se deber emitir un mensaje de error.

36

ii. Cuando se emite una respuesta OCSP, se sugiere requerir que se consideren los siguientes datos:a) Versin.b) Identificador de la Entidad Certificante Autorizada o de la entidad habilitada que emite la respuesta.c) Fecha y hora correspondi