Agencia Estatal Boletín Oficial del Estado

Ministerio de la Presidencia Agencia Estatal Boletín Oficial del Estado

Está Vd. en

Documento BOE-A-2011-13171

Resolucin de 19 de julio de 2011, de la Secretara de Estado para la Funcin Pblica, por la que se aprueba la Norma Tcnica de Interoperabilidad de Poltica de Firma Electrnica y de certificados de la Administracin.

TEXTO

El Esquema Nacional de Interoperabilidad se establece en el apartado 1 del artculo 42 de la Ley 11/2007, de 22 de junio, de acceso electrnico de los ciudadanos a los Servicios Pblicos. Su finalidad es la creacin de las condiciones necesarias para garantizar el adecuado nivel de interoperabilidad tcnica, semntica y organizativa de los sistemas y aplicaciones empleados por las Administraciones pblicas, que permitan el ejercicio de derechos y el cumplimiento de deberes a travs del acceso electrnico a los servicios pblicos, a la vez que redunda en beneficio de la eficacia y la eficiencia.

El Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el mbito de la Administracin Electrnica establece, en su disposicin adicional primera, el desarrollo de la serie de Normas Tcnicas de Interoperabilidad que son de obligado cumplimiento por parte de las Administraciones pblicas.

Las Normas Tcnicas de Interoperabilidad desarrollan aspectos concretos de diversas cuestiones, tales como: documento electrnico, digitalizacin, expediente electrnico, copiado autntico y conversin, poltica de firma, estndares, intermediacin de datos, modelos de datos, gestin de documentos electrnicos, conexin a la red de comunicaciones de las Administraciones pblicas espaolas, modelo de datos para el intercambio de asientos registrales y declaracin de conformidad; todos ellos necesarios para asegurar los aspectos ms prcticos y operativos de la interoperabilidad entre las Administraciones pblicas y con el ciudadano. Estas Normas Tcnicas de Interoperabilidad se desarrollarn y perfeccionarn a lo largo del tiempo, en paralelo al progreso de los servicios de Administracin Electrnica, de las infraestructuras que los apoyan y de la evolucin tecnolgica, para dar cumplimiento al mandato del artculo 42.3 de la Ley 11/2007, de 22 de junio.

Dentro de este conjunto de Normas Tcnicas de Interoperabilidad, la norma relativa a las polticas de firma responde a lo previsto en el artculo 18 del citado Real Decreto 4/2010, de 8 de enero, sobre la interoperabilidad en la poltica de firma electrnica y de certificados.

En particular, la Norma Tcnica de Interoperabilidad de Poltica de firma electrnica y de certificados de la Administracin establece el conjunto de criterios para el desarrollo o adopcin de polticas de firma electrnica basada en certificados por parte de las Administraciones pblicas. Para ello, define el contenido de una poltica de firma electrnica basada en certificados, especificando las caractersticas de las reglas comunes, como formatos, uso de algoritmos, creacin y validacin de firma para documentos electrnicos, as como de las reglas de confianza en certificados electrnicos, sellos de tiempo y firmas longevas.

Las condiciones establecidas en esta norma pretenden establecer un marco para la definicin de polticas de firma electrnica basada en certificados alineada con las ltimas tendencias a nivel europeo como es la Decisin de la Comisin 2011/130/EU, de 25 de febrero de 2011, por la que se establecen los requisitos mnimos para el tratamiento transfronterizo de los documentos firmados electrnicamente por las autoridades competentes en virtud de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo relativa a los servicios en el mercado interior, compatible a su vez con sistemas de firma electrnica ya implantados.

La presente norma tcnica se ha elaborado con la participacin de todas las Administraciones pblicas a las que les es de aplicacin, ha sido informada favorablemente por la Comisin Permanente del Consejo Superior de Administracin Electrnica y propuesta por el Comit Sectorial de Administracin Electrnica.

En aplicacin de lo dispuesto en el apartado 2 de la disposicin adicional primera del Real Decreto 4/2010, de 8 de enero,

Esta Secretara de Estado, resuelve:

Primero.

Se aprueba la Norma Tcnica de Interoperabilidad de Poltica de firma electrnica y de certificados de la Administracin, cuyo texto se incluye a continuacin.

Segundo.

La Norma Tcnica de Interoperabilidad de Poltica de firma electrnica y de certificados de la Administracin que se aprueba mediante la presente Resolucin se aplicar desde el da siguiente al de su publicacin en el Boletn Oficial del Estado, sin perjuicio de lo dispuesto en la disposicin transitoria primera del Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el mbito de la Administracin Electrnica.

Madrid, 19 de julio de 2011.—La Secretaria de Estado para la Funcin Pblica, Mara Consuelo Rum Ibez.

NORMA TCNICA DE INTEROPERABILIDAD DE POLTICA DE FIRMA ELECTRNICA Y DE CERTIFICADOS DE LA ADMINISTRACIN

NDICE

1. Consideraciones generales.

1.1 Objeto.

1.2 mbito de aplicacin.

II. La poltica de firma electrnica.

II.1 Definicin y contenido.

II.2 Datos identificativos de la poltica.

II.3 Actores involucrados en la firma electrnica.

II.4 Usos de la firma electrnica.

II.5 Interaccin con otras polticas.

II.6 Gestin de la poltica de firma.

II.7 Archivado y custodia.

III. Reglas comunes.

III.1 Reglas comunes.

III.2 Formatos admitidos de firma electrnica.

III.3 Firma electrnica de transmisiones de datos.

III.4 Firma electrnica de contenido.

III.5 Reglas de uso de algoritmos.

III.6 Reglas de creacin de firma electrnica.

III.7 Reglas de validacin de firma electrnica.

IV. Reglas de confianza.

IV.1 Reglas de confianza para los certificados electrnicos.

IV.2 Reglas de confianza para sellos electrnicos.

IV.3 Reglas de confianza para firmas longevas.

Anexo. Etiquetas de creacin y validacin de firmas electrnicas para los formatos admitidos.

I. Consideraciones generales

I.1 Objeto.

1. La Norma Tcnica de Interoperabilidad (en adelante, NTI) de Poltica de firma electrnica y de certificados de la Administracin tiene por objeto establecer el conjunto de criterios comunes asumidos por la Administracin pblica en relacin con la autenticacin y el reconocimiento mutuo de firmas electrnicas basadas en certificados y que, como tales, sern desarrollados y consolidados a travs de las polticas de firma electrnica basada en certificados.

2. El objetivo final de esta NTI es facilitar el uso de firmas electrnicas seguras e interoperables entre las distintas organizaciones de la Administracin pblica.

I.2 mbito de aplicacin.

El contenido de esta NTI ser de aplicacin para el desarrollo o adopcin de polticas de firma electrnica basada en certificados por parte de cualquier rgano de la Administracin pblica o Entidad de Derecho Pblico vinculada o dependiente de aqulla (en adelante, organizaciones) segn el mbito establecido en el artculo 3 del Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el mbito de la Administracin Electrnica.

II. La poltica de firma electrnica

II.1 Definicin y contenido.

1. Segn la definicin del Real Decreto 4/2010, de 8 de enero, una poltica de firma electrnica es el conjunto de normas de seguridad, de organizacin, tcnicas y legales para determinar cmo se generan, verifican y gestionan firmas electrnicas, incluyendo las caractersticas exigibles a los certificados de firma.

2. Una poltica de firma electrnica y de certificados definir:

a) Los procesos de creacin, validacin y conservacin de firmas electrnicas.

b) Caractersticas y requisitos de los sistemas de firma electrnica, certificados y sellos de tiempo.

3. Toda poltica de firma electrnica basada en certificados incluir:

a) Definicin del alcance y mbito de aplicacin, que concretar su relacin con otras polticas existentes, marco o particulares, as como la identificacin de los actores involucrados y los usos de la firma electrnica.

b) Datos para la identificacin del documento y del responsable de su gestin.

c) Reglas comunes para el firmante y verificador de la firma electrnica que incluirn:

i. Formatos admitidos de firma electrnica y reglas de uso de algoritmos.

ii. Reglas de creacin de firma.

iii. Reglas de validacin de firma.

d) Reglas de confianza, que incluirn los requisitos establecidos para certificados, sellos de tiempo y firmas longevas.

e) Otras reglas opcionales a fijar por cada organizacin, como podrn ser:

i. Reglas especficas de compromisos que cada organizacin podr establecer para cada uno de los servicios que presta, estableciendo requisitos especficos necesarios para que la firma sea vlida en cada caso.

ii. Reglas de certificados de atributos mediante las que cada organizacin podr establecer informacin adicional a aadir a los certificados digitales en funcin de sus necesidades y del contexto.

f) Definicin de condiciones para el archivado y custodia de firmas electrnicas.

g) Descripcin de consideraciones de gestin de la poltica que se aplicarn a dicho documento.

II.2 Datos identificativos de la poltica.

1. El documento de poltica de firma incluir la siguiente informacin para su identificacin:

a) Nombre del documento.

b) Versin.

c) Identificador (OID-Object IDentifier) de la poltica.

d) URI (Uniform Resource Identifier) de referencia de la poltica.

e) Fecha de expedicin.

f) mbito de aplicacin.

2. La poltica de firma incluir la definicin de su periodo de validez y las consideraciones respecto a los periodos de transicin que procedan.

3. Para la identificacin de su gestor, la poltica de firma electrnica basada en certificados incluir:

a) Nombre del gestor de la poltica.

b) Direccin de contacto.

c) OID del gestor de la poltica de firma.

II.3 Actores involucrados en la firma electrnica.

Los actores involucrados en el proceso de creacin y validacin de una firma electrnica sern:

a) Firmante: persona que posee un dispositivo de creacin de firma y que acta en nombre propio o en nombre de una persona fsica o jurdica a la que representa.

b) Verificador: entidad, ya sea persona fsica o jurdica, que valida o verifica una firma electrnica apoyndose en las condiciones exigidas por la poltica de firma concreta por la que se rige la plataforma de relacin electrnica o el servicio concreto al que se est invocando. Podr ser una entidad de validacin de confianza o una tercera parte que est interesada en la validez de una firma electrnica.

c) Prestador de servicios de certificacin (PSC): Persona fsica o jurdica que expide certificados electrnicos o presta otros servicios en relacin con la firma electrnica.

d) Emisor y gestor de la poltica de firma: entidad que se encarga de generar y gestionar el documento de poltica de firma, por el cual se deben regir el firmante, el verificador y los prestadores de servicios en los procesos de generacin y validacin de firma electrnica.

II.4 Usos de la firma electrnica.

Las polticas de firma electrnica podrn definir condiciones para la aplicacin de una firma electrnica basada en certificados con los siguientes propsitos:

a) Firma de transmisiones de datos, como herramienta para proporcionar seguridad al intercambio, garantizando la autenticacin de los actores involucrados en el proceso, la integridad del contenido del mensaje de datos enviado y el no repudio de los mensajes en una comunicacin telemtica.

b) Firma de contenido como herramienta para garantizar la autenticidad, integridad y no repudio de aquel, con independencia de que forme parte de una transmisin de datos.

II.5 Interaccin con otras polticas.

1. Cada organizacin valorar la necesidad y conveniencia de desarrollar una poltica propia frente a la posibilidad de utilizar una poltica marco existente.

2. La definicin del alcance y mbito de aplicacin de una poltica de firma electrnica se realizar considerando su interaccin con otras polticas de firma electrnica, y asegurando que:

a) Su desarrollo es interoperable con la poltica marco, en caso de polticas de firma particulares.

b) Define las condiciones de utilizacin y convivencia con otras polticas particulares, si se trata de una poltica marco.

3. En toda poltica de firma electrnica se asegurar que:

a) Las extensiones o restricciones establecidas para las reglas de creacin o validacin de firma atienden a la validacin de los formatos de firma establecidos en esta NTI y poltica marco si procede, de forma que se garantice la interoperabilidad entre las diferentes organizaciones.

b) Incluye, si procede, la referencia a la URL de la poltica marco de firma electrnica en la que se inscribe, con indicacin expresa de la versin.

c) Las firmas que se generen siguiendo polticas marco o particulares, incluyen un campo donde se indique de forma explcita la poltica a la que pertenecen.

d) Para que otras aplicaciones puedan interpretar las reglas de una poltica particular correctamente, dicha poltica est disponible en formato XML (eXtensible Markup Language) y ASN.1 (Abstract Syntax Notation One).

II.6 Gestin de la poltica de firma.

1. La poltica de firma electrnica incluir la descripcin bsica de su proceso de gestin, estableciendo las directrices para su mantenimiento, actualizacin y publicacin, e identificando al responsable de llevar a cabo estas tareas.

2. El gestor de la poltica de firma mantendr actualizada la versin de la poltica de firma atendiendo a:

a) Modificaciones motivadas por necesidades propias de la organizacin.

b) Cambios en polticas relacionadas.

c) Cambios en los certificados electrnicos emitidos por los prestadores de servicios de certificacin referenciados en la poltica de firma.

3. Para facilitar la validacin de firmas electrnicas creadas atendiendo a versiones anteriores de una poltica, se podr mantener un repositorio con el historial de versiones anteriores que provea la ubicacin de cada versin.

II.7 Archivado y custodia.

1. Atendiendo a las necesidades y normativa especficas de su mbito, las polticas de firma podrn contemplar la definicin de condiciones y responsabilidades para el archivado y custodia de las firmas electrnicas en sus diferentes aplicaciones.

2. Para garantizar la fiabilidad de una firma electrnica a lo largo del tiempo, se podrn utilizar:

a) Firmas longevas mediante las que se aadir informacin del estado del certificado asociado, incorporando un sello de tiempo, as como los certificados que conforman la cadena de confianza, aplicando las reglas de confianza para firmas longevas descritas en el subapartado IV.3.

b) Otros mtodos tcnicos que impedirn la modificacin de la firma para la que se ha verificado su validez, de acuerdo a los requisitos establecidos en la poltica de firma correspondiente, y que habr sido almacenada en un sistema en un momento del tiempo determinado. Todos los cambios que se realicen sobre el sistema en el que se encuentra almacenada la firma podrn auditarse para asegurar que dicha firma no ha sido modificada. Los requisitos de seguridad de dichos sistemas cumplirn con las condiciones de los niveles de seguridad establecidos por el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el mbito de la Administracin Electrnica.

3. Cada poltica de firma definir un servicio para mantener las evidencias de validez de las firmas longevas y gestionar la actualizacin de las firmas. Dicho servicio especificar los mecanismos y condiciones bajo los que se archiva y custodia tanto la propia firma como los certificados e informaciones de estado utilizadas en su validacin.

4. El almacenamiento de los certificados y las informaciones de estado podr realizarse dentro del fichero resultante de la firma electrnica o en un depsito especfico:

a) En caso de almacenar los certificados y las informaciones de estado dentro de la firma, se sellarn tambin dichas informaciones, siguiendo las modalidades de firmas AdES -X o -A.

b) Si los certificados y las informaciones de estado se almacenan en un depsito especfico, se sellarn de forma independiente.

5. La proteccin de la firma electrnica frente a la posible obsolescencia de los algoritmos y el aseguramiento de sus caractersticas a lo largo del tiempo de validez, se realizar a travs de uno de los siguientes procesos:

a) Utilizacin de mecanismos de resellado, para aadir, cuando el anterior sellado este prximo a su caducidad, un sello de fecha y hora de archivo con un algoritmo ms robusto.

Las polticas de firma podrn definir la aplicacin de mecanismos de resellado para facilitar la conservacin de la firma electrnica.

b) Almacenamiento de la firma electrnica en un depsito seguro, garantizando la proteccin de la firma contra falsificaciones y asegurando la fecha exacta en que se guard la firma electrnica.

Las operaciones de fechado se realizarn con marcas de fecha y hora, no siendo necesario su sellado de tiempo.

6. La definicin de medidas y procedimientos para archivado y custodia de firmas electrnicas se realizar atendiendo con proporcionalidad a los diferentes usos de la firma electrnica contemplados en el alcance y mbito de aplicacin de la poltica.

7. Para archivado y gestin de documentos electrnicos firmados, se atender a lo establecido en la NTI de Poltica de gestin de documentos electrnicos.

III. Reglas comunes

III.1 Reglas comunes.

1. Las reglas comunes permitirn establecer responsabilidades respecto a la firma electrnica sobre la persona o entidad que crea la firma y la persona o entidad que la verifica, definiendo los requisitos mnimos que deben presentarse, debiendo estar firmados si son requisitos para el firmante, o no firmados si son requisitos para el verificador.

2. Estas reglas se definirn en base a los formatos de firma electrnica admitidos, teniendo en cuenta los diferentes usos de la firma electrnica basada en certificados, al uso de algoritmos y a los procesos de creacin y validacin de firma.

III.2 Formatos admitidos de firma electrnica.

1. Los formatos admitidos por las organizaciones para las firmas electrnicas basadas en certificados electrnicos, se ajustarn a las especificaciones de los estndares europeos relativos a los formatos de firma electrnica as como a lo establecido en la NTI de Catlogo de estndares.

2. Los formatos de firma electrnica sern:

a) Estndares abiertos basados en estndares de firma europeos y ampliamente utilizados.

b) Seleccionados de entre los definidos por la Comisin Europea para la poltica de interoperabilidad de firmas electrnicas que ser regulada a travs de Decisin Comunitaria.

c) Compatibles con la definicin de polticas de generacin y validacin de firmas para facilitar la interoperabilidad deseada y el automatismo en el tratamiento de firmas electrnicas generadas por distintas organizaciones.

d) Tales que permitan desarrollar funcionalidades avanzadas como la generacin de firmas longevas de cara a garantizar su preservacin.

e) Si procede, interoperables con la poltica marco en la que se basan.

3. Cada organizacin determinar los formatos y estructuras concretas de firma a incluir en su poltica, aplicando los criterios expuestos en esta NTI de forma proporcional al uso y necesidades de la firma electrnica en cada caso.

4. Cada organizacin identificar a la entidad gestora encargada de publicar y actualizar la relacin de las especificaciones relativas a los formatos admitidos en su poltica.

5. La poltica de firma incluir los requisitos o, en su caso, procedimientos de actualizacin, para considerar la inclusin de nuevas versiones de los formatos soportados.

III.3 Formatos de firma electrnica de transmisiones de datos.

1. La firma electrnica de transmisiones de datos estar basada en estndares recogidos en la NTI de Catlogo de estndares, siendo responsabilidad del emisor y gestor de la poltica la definicin de las consideraciones concretas a aplicar por cada organizacin.

2. Cada poltica definir las versiones soportadas as como los cambios en aquellas que pueden provocar una actualizacin de dicha poltica.

III.4 Formatos de firma electrnica de contenido.

1. En la poltica de firma se especificarn los formatos admitidos para la firma electrnica de contenido.

2. Los formatos para la firma electrnica de contenido, atendiendo a la NTI de Catlogo de estndares, sern:

a) XAdES (XML Advanced Electronic Signatures), segn la especificacin tcnica ETSI TS 101 903, versin 1.2.2 y versin 1.3.2.

b) CAdES (CMS Advanced Electronic Signatures), segn la especificacin tcnica ETSI TS 101 733, versin 1.6.3 y versin 1.7.4.

c) PAdES (PDF Advanced Electronic Signatures), segn la especificacin tcnica ETSI TS 102 778-3.

3. El perfil mnimo de formato que se utilizar para la generacin de firmas de contenido en el marco de una poltica ser -EPES, esto es, clase bsica (BES) aadiendo informacin sobre la poltica de firma. En cualquier caso, cada organizacin podr definir en su poltica de firma las consideraciones adicionales que considere respecto a la interpretacin y utilizacin de diferentes perfiles y clases de los formatos siempre en consonancia con lo establecido en esta NTI.

4. Las organizaciones aplicarn consideraciones de casos particulares para firma de contenido, al menos, en los siguientes casos:

a) Los documentos electrnicos a los que se aplique firma basada en certificados de cara a su intercambio se ajustarn a las especificaciones de formato y estructura establecidas en la NTI de Documento electrnico.

El formato de firma basada en certificados que acompaa a un documento electrnico se reflejar en el metadato mnimo obligatorio definido en la NTI de Documento electrnico `Tipo de firma’, que, en este caso, podr tomar uno de los siguientes valores:

i. XAdES internally detached signature. XAdES enveloped signature.

iii. CAdES detached/explicit signature.

iv. CAdES attached/implicit signature.

v. PAdES.

b) La firma de facturas electrnicas segn el formato Facturae se realizar conforme a lo regulado por la Orden PRE/2971/2007, de 5 de octubre.

III.5 Reglas de uso de algoritmos.

1. La poltica de firma especificar las reglas de uso de algoritmos en los diferentes formatos as como la longitud de las claves asociadas a aqullos de forma proporcional a las necesidades detectadas en los diferentes usos de la firma electrnica, cumpliendo en cualquier caso lo establecido en la NTI de Catlogo de estndares.

2. Para los entornos de seguridad genrica se tomar la referencia a la URN (Uniform Resource Name) en la que se publican las funciones hash y los algoritmos de firma utilizados por las especificaciones XAdES, CAdES y PAdES, como formatos de firma adoptados, de acuerdo con las especificaciones tcnicas ETS’ TS 102 176-1, Electronic Signatures and Infrastructures (ESI); Algorithms and Parameters for Secure Electronic Signatures; Pan 1: Hash functions and asymmetric algorithms. Todo ello sin perjuicio de los criterios que al respecto se establezcan atendiendo al Real Decreto 3/2010, de 8 de enero.

3. Se admitirn como vlidos los algoritmos de generacin de hash, codificacin en base64, firma, normalizacin y transformacin definidos en los estndares XML-DSig (XML Digital Signature) y CMS (Cryptographic Message Syntax).

4. Para los entornos de alta seguridad, de acuerdo con el criterio del Centro Criptolgico Nacional (CCN) sern de aplicacin las recomendaciones revisadas de la CCN-STIC 405 as como en la norma CCN-STIC 807 del Esquema Nacional de Seguridad relativa al uso de criptografa.

5. La definicin de usos de algoritmos podr contemplar diferentes posibilidades segn las necesidades en cada caso.

III.6 Reglas de creacin de firma electrnica.

1. Las polticas de firma definirn las condiciones particulares bajo las que, en su mbito, se generar la firma electrnica.

2. Las plataformas que presten el servicio de creacin de firma electrnica proporcionarn las funcionalidades necesarias para soportar un proceso de creacin de firmas basado en los siguientes puntos:

a) Seleccin por parte del usuario firmante del fichero, formulario u otro objeto binario para ser firmado. Los formatos de ficheros atendern a lo recogido en la NTI de Catlogo de estndares.

El firmante se asegurar de que el fichero que se quiere firmar no contiene contenido dinmico que afecte a su validez y que pudiese modificar el resultado de la firma a lo largo del tiempo.

b) El servicio de firma electrnica ejecutar las siguientes verificaciones previas a la creacin de la firma:

i. La firma electrnica puede ser validada para el formato del fichero especfico que va a ser firmado.

ii. Los certificados a utilizar han sido expedidos bajo una Declaracin de Polticas de Certificacin especfica y son certificados vlidos segn la legislacin aplicable.

iii. Validez del certificado, comprobando si el certificado ha sido revocado, o suspendido, si entra dentro de su periodo de validez, y la validacin de la cadena de certificacin, incluyendo la validacin de todos los certificados en la cadena.

Si alguna de estas verificaciones es errnea, el proceso de firma se interrumpir.

Si no fuese posible realizar estas comprobaciones en el momento de la firma, ser necesario, en todo caso, que los sistemas correspondientes asuman dicha validacin, antes de aceptar el fichero, formulario u otro objeto binario firmado.

c) El servicio crear un fichero con la firma segn corresponda en funcin del formato utilizado.

En el momento de la firma, se incluir la referencia del identificador nico de la versin del documento de poltica de firma electrnica en el que se ha basado su creacin.

3. La vinculacin del firmante se establecer a travs de etiquetas que, incluidas bajo la firma, y definidas segn los estndares correspondientes (XAdES, CAdES y/o PAdES), proporcionarn la siguiente informacin complementaria a sta:

a) Fecha y hora de firma, que podr ser meramente indicativa en funcin de cmo se haya generado la firma.

b) Certificado del firmante.

c) Poltica de firma sobre la que se basa el proceso de generacin de firma electrnica.

d) Formato del objeto original.

4. Como datos opcionales, la firma electrnica podr incluir:

a) Lugar geogrfico donde se ha realizado la firma del documento.

b) Rol de la persona firmante en la firma electrnica.

c) Accin del firmante sobre el documento firmado (lo aprueba, lo informa, lo recibe, lo certifica, etc.).

d) Sello de tiempo sobre algunos o todos los objetos de la firma.

5. La informacin indicada en los epgrafes 3 y 4 del presente subapartado se recoger en cada formato de firma segn las etiquetas del anexo.

6. En caso de creacin de firmas electrnicas por distintos firmantes sobre un mismo objeto, donde el segundo firmante ratifica la firma del primero se utilizar la etiqueta correspondiente, CounterSignature, para contabilizarlas.

7. En el caso de que las mltiples firmas se realicen al mismo nivel, cada una de ellas se representar como una firma independiente.

III.7 Reglas de validacin de firma de electrnica.

1. Las polticas de firma definirn las condiciones particulares bajo las que, en su mbito, ser posible validar la firma electrnica de un documento.

2. En el caso de documentos electrnicos, para acceder a la visualizacin de la firma, el usuario podr presentar dicho documento electrnico, que contenga los datos, metadatos y firma o firmas, en una sede electrnica o en otros sistemas generales que proporcionen herramientas de reproduccin de documentos electrnicos, como el servicio Valide, en el 060.

3. Las condiciones mnimas que se producirn para la validacin de la firma sern las siguientes:

a) Garanta de que la firma es vlida para el fichero especfico que est firmado.

b) Validez de los certificados:

i. El instante de tiempo que se tomar como referencia para la validacin ser:

1) El momento en que se produjo la firma si se da alguno de los siguientes supuestos:

a) los servicios de los prestadores facilitan los histricos de estado de los certificados y la firma lleva un sello de tiempo vlido en el momento de la verificacin.

b) se trata de firmas longevas que incluyen las evidencias de la validez de la firma electrnica en el momento de la generacin o primera validacin, y dichas evidencias se encuentran selladas con un sello de tiempo vlido.

2) En otros casos, el momento de la validacin.

ii. Se comprobar que los certificados no fueron revocados ni suspendidos y que no han expirado.

iii. Se comprobar la validez de toda la cadena de certificacin, incluyendo todos los certificados que la componen, con independencia de que stos se encuentren incluidos en la propia firma o no.

iv. Se verificar que el certificado ha sido expedido por un prestador de servicios de certificacin de confianza bajo una Declaracin de Prcticas de Certificacin que cumplir la normativa y estar incluido en la poltica de firma aplicable.

v. Verificacin, si existen y si as lo requiere la poltica de la plataforma de relacin electrnica o un servicio concreto de dicha plataforma, de los sellos de tiempo de los formatos implementados, incluyendo la verificacin de los periodos de validez de los sellos.

4. Para validar la firma electrnica se considerar la siguiente informacin:

a) Fecha y hora de la firma: Si se ha realizado el sellado de tiempo, el sello ms antiguo dentro de la estructura de la firma se utilizar para determinar la fecha de la firma. En caso de que no existan sellos de tiempo, la fecha y hora de la firma tendrn carcter indicativo, pero no se utilizarn para determinar el momento en que se realiz la firma. En caso de que no existan sellos de tiempo en la firma, la validacin del certificado se realizar en el momento de la validacin de la firma.

b) Certificado del firmante. Este campo se utilizar para verificar el estado del certificado, y en su caso la cadena de certificacin, en la fecha de la generacin de la firma.

c) Poltica de firma sobre la que se basa el proceso de generacin de firma electrnica. Se utilizar para identificar, mediante su hash y su identificador (01D), que la poltica de firma que se ha utilizado para la generacin de la firma se corresponde con la que se utilizar para el servicio en cuestin.

Esta validacin de la poltica de firma, implicar que el verificador dispondr de los medios para verificar las condiciones impuestas en la poltica de firma concreta. La disponibilidad de la poltica de firma en un formato interpretable por medios automatizados (XML o ASN.1) y siguiendo los estndares europeos de representacin de polticas de firma, indicada en el epgrafe 3.d del subapartado 11.5 de esta NTI, facilitar la labor de las aplicaciones receptoras de firmas electrnicas en aplicar distintas polticas de firma.

5. Si se han realizado varias firmas sobre un mismo documento, se seguir el mismo proceso de verificacin que con la primera firma, comprobando cada firma o la etiqueta CounterSignature en el campo de propiedades no firmadas, donde se informa de los refrendos de firma generados.

6. El encargado de la verificacin de la firma podr definir sus procesos de validacin y de archivado, siempre en consonancia con los requisitos de la poltica de firma a la que se ajuste el servicio y con lo establecido en la NTI de Poltica de gestin de documentos electrnicos.

7. Para la verificacin del estado de los certificados en el caso de formatos de firma longeva, la validez de la firma vendr determinada por la validez del sello de tiempo de las evidencias de la validacin incluidas en la firma. En estos casos la validez de la firma a lo largo del tiempo se mantendr resellando la firma antes de la caducidad del certificado de la TSA (Autoridad de sellado de tiempo) que realiz el sello anterior, de forma que siempre sea posible verificar que en el momento en que se realiz la firma, el certificado era vlido.

IV. Reglas de confianza

IV.1 Reglas de confianza para los certificados electrnicos.

1. Las polticas de firma, marco o particulares, podrn fijar limitaciones y restricciones especficas para los certificados electrnicos que admiten en cada uno de los servicios que corresponda, siempre en consideracin de la normativa aplicable en cada caso.

2. Los certificados vlidos para ejecutar la firma electrnica de contenido sern los siguientes:

a) Cualquier certificado electrnico reconocido segn la Ley 59/2003, de 19 de diciembre, y la Directiva 1999/93/CE, de 13 de diciembre de 1999.

b) Nuevas tipologas de certificados definidos en la Ley 11/2007, de 22 de junio.

3. Los requisitos a cumplir por los prestadores de servicios de certificacin en relacin con la interoperabilidad organizativa, semntica y tcnica sern los establecidos en el artculo 21 de la Ley 11/2007, de 22 de junio, en el artculo 19 del Real Decreto 4/2010, de 8 de enero, y en el resto de normativa aplicable en cada caso.

4. La relacin de prestadores de servicios de certificacin que emiten certificados reconocidos se podr consultar en la TSL (Lista de servicios de confianza) publicada en la sede electrnica del Ministerio de Industria, Turismo y Comercio.

5. La poltica de firma electrnica podr establecer el perodo de precaucin o de gracia que corresponda aplicar para la validacin de los certificados. Este periodo podr ser, desde el momento en que se realiza la firma o el sellado de tiempo, como mnimo, el tiempo mximo permitido para el refresco completo de las CRLs (Certificate Revocation Lists) o el tiempo mximo de actualizacin del estado del certificado en el servicio OCSP (Online Certificate Status Protocol). Esta definicin tendr en cuenta tambin la posibilidad de que estos tiempos varen segn el Prestador de Servicios de Certificacin.

6. El verificador validar los certificados electrnicos en base a los procesos de validacin y archivado definidos en la poltica de firma a la que se ajuste el servicio en cada caso.

IV.2 Reglas de confianza para sellos de tiempo.

1. Los elementos bsicos de un sello digital de tiempo sern:

a) Datos sobre la identidad de la autoridad emisora del sello: identidad jurdica, clave pblica a utilizar en la verificacin del sello, nmero de bits de la clave, algoritmo de firma digital y funcin hash utilizados.

b) Tipo de solicitud cursada. Incluyendo, si es un valor resumen o un documento, cul es su valor y datos de referencia.

c) Valores resumen anterior, actual y siguiente.

d) Fecha y hora UTC (Universal Time Coordinated).

e) Firma electrnica de todo lo anterior.

2. El sellado de tiempo y la informacin de validacin podrn ser aadidos por el emisor, el receptor o un tercero y se incluirn como propiedades no firmadas en los campos correspondientes segn el formato de firma utilizado.

3. En la poltica de firma se establecern las condiciones segn las que determinar los sellos de tiempo admitidos atendiendo a sus necesidades particulares, y en base a la normativa y legislacin vigente. Esto incluye el establecimiento del tiempo mximo aceptable para realizar el sellado de tiempo, anterior, en cualquier caso, a la caducidad del certificado.

4. Los sellos de tiempo seguirn las especificaciones tcnicas establecidas en el estndar ETS’ TS 102 023, Electronic Signatures and Infrastructures (ESI); Policy requirements for time-stamping authorities.

IV.3 Reglas de confianza para firmas longevas.

1. En el caso de firmas longevas, el firmante o el verificador de la firma incluir un sello de tiempo que permita garantizar que el certificado era vlido en el momento en que se realiz la firma. En el caso de que sea incluida por el firmante, se podr realizar una vez haya trascurrido el periodo de precaucin o periodo de gracia.

2. Para la conversin de una firma electrnica a firma electrnica longeva:

a) Se verificar la firma electrnica producida o verificada, validando la integridad de la firma, el cumplimiento de los estndares XAdES, CAdES o PAdES y las referencias.

b) Se realizar un proceso de completado de la firma electrnica que consistir en la obtencin y almacenamiento de las referencias a:

i. Certificados: incluyendo los certificados del firmante y de la cadena de certificacin.

ii. Informaciones de estado de los certificados, CRLs o las respuestas OCSP.

c) Aplicacin del sellado a las referencias a los certificados y a las informaciones de estado.

3. Para la incorporacin a la firma de la informacin completa de validacin, se usar validacin mediante CRLs u OCSP.

4. Las polticas de firma contemplarn la definicin de formatos y consideraciones de uso de firmas longevas conforme a las necesidades especficas de su mbito de aplicacin y a la normativa especfica aplicable.

ANEXO
Etiquetas de creacin y validacin de firmas electrnicas para los formatos admitidos

Informacin

Obligatoriedad

Campo – etiqueta – elemento1

XAdES

CAdES

PAdES

Fecha y hora de la firma

Obligatorio

SigningTime (SignedProperties)

Signing-time

(SignedData)

Se indica en el campo M del diccionario Signature.

Certificado del firmante

Obligatorio

SigningCertificate (SignedProperties)

ESS signing-certificate

ESS signing-certificate-v2

(SignedData)

ESS signing-certificate

ESS signing-certificate-v2

Poltica de firma

Obligatorio

SignaturePolicyldentifier – SigPolicyld

(SignedProperties)

SignaturePolicyldentifier – SigPolicyld

(SignedData)

SignaturePolicyldentifier

SignaturePolicyldentifier– SigPolicyldHash

(SignedProperties)

SignaturePolicyldentifier– SigPolicyldHash

(SignedData)

Formato del objeto original

Obligatorio

DataObjectsFormat

(SignedProperties)

Content-hints

(SignedData)

No permitido

Lugar geogrfico (localizacin)

Opcional

SignatureProductionPlace

(SignedProperties)

Signer-location

(SignedData)

Se indica en el campo Location del diccionario Signature.

Rol de la persona firmante

Opcional

SignerRole - ClaimedRoles

(SignedProperties)

Signer-attributes

(SignedData)

Signer-attributes

Accin del firmante sobre el documento firmado

Opcional

CommitmentTypeIndication

(SignedProperties)

Commitment-type-indication

(SignedData)

Commitment-type-indication

Sello de tiempo

Opcional

AllDataObjectsTimeStamp

(SignedProperties)

Content-time-stamp

(SignedData)

Content-time-stamp

IndividualDataObjectsTimeStamp

Contador de firmas electrnicas

Opcional

CounterSignature

(UnsignedProperties)

CounterSignature

(UnsignedProperties)

No est permitido

1 Ntese que la tabla no constituye un listado completo de las etiquetas definidas por cada estndar sino una referencia a las etiquetas que reflejarn la informacin para la creacin y validacin de la firma.

Análisis

  • Rango: Resolucin
  • Fecha de disposición: 19/07/2011
  • Fecha de publicación: 30/07/2011
  • Aplicable desde el 31 de julio de 2011.
  • Fecha de derogación: 04/11/2016
Referencias posteriores

Criterio de ordenación:

Referencias anteriores
  • DE CONFORMIDAD con:
    • Disposicin adicional 1 del Real Decreto 4/2010, de 8 de enero (Ref. BOE-A-2010-1331).
    • art. 42.1 y 3, de la Ley 11/2007, de 22 de junio (Ref. BOE-A-2007-12352).
Materias
  • Administracin electrnica
  • Administraciones Pblicas
  • Archivos
  • Certificados telemticos
  • Firma electrnica
  • Normas de calidad
  • Redes de telecomunicacin
  • Reglamentaciones tcnicas

subir

Agencia Estatal Boletín Oficial del Estado

Avda. de Manoteras, 54 - 28050 Madrid