DNI DIGITAL

Erica Villegas Quintana

Indice

1. Componentes del DNI electrónico ..................2 2.Que es el DNI DIGITAL ....................................4 3.Como cambiar el PIN ........................................6 4.Como utilizar el DNI DIGITAL .......................7 5. Chip ...................................................................9

6. Seguridad ..........................................................107. Bibliografía .......................................................13

1. Componentes del DNI electrónico

En la tarjeta del nuevo DNI electrónico se incorpora un chip que contendrá la siguiente información : – Certificado de autenticación.– Certificado de firma electrónica.– Claves.– La huella digital.– Fotografía digitalizada.– La imagen digitalizada de la firma manuscrita.– Los datos impresos en la tarjeta.

Los certificados los proporciona la Autoridad de Certificación (AC) según la norma X509v3, que se utilizará para garantizar que una clave pública corresponde a una determinada persona.

Los certificados disponen de dos claves, una publica y una privada. * Claves públicas: Es la clave que conoce al interlocutor en la transacciónpara poder cambiar información de forma fiable.* Claves privadas: Es la clave que se mantiene en secreto, que se crea dentro

del chip y nunca sale del chip.

El certificado electrónico se materializa en un fichero que contiene distintos campos, como muestra la figura siguiente.

El certificado de autenticación servirá para que el usuario pueda cerificar su identidad frente a terceros, demostrando la posesión y el acceso a la clave privada asociada a dicho certificado, y además acredita su identidad.

El certificado de firma electrónica permite realizar y firmar acciones yasumir compromisos de forma electrónica, de ese modo se puede comprobar la integridad de los documentos firmados por el ciudadano haciendo uso de los intrumentos de firma incluidos en él.

2. Que es el DNI DIGITAL El DNI electrónico es el documento que acredita, desde hace 50 años la identidad, los datos personales y la nacionalidad española de su titular.

Con el paso de los años el DNI ha ido evolucionando e incorporando las innovacines tecnológicas disponible en cada momento, con el objetivo de aumentar la seguridad del documento.

Con el uso de internet se hace necesario incorporar los mecanismos adecuados para identificar a las personas, y es importante poder utilizar en el mundo virual las mismas herramientas que utilizamos día a día en el mundo físico.Como son las acreditaciones electrónicas , la fima digital para documentos electrónicos de ese modo le damos una validez jurídica equivalente a la que les proporciona la firma manuscrita.

La única novedad del DNI es la incorporación de un pequeño circuito intregrado (chip) capaz de guardar de forma segura información y de procesarla internamente. Para poder introducir el chip cambiamos la cartulina plastificada por una tarjeta de material plástico, que proporcina más seguridad.

chip de DNI electrónico

La utilidad del nuevo DNI electrónico :– Para hacer compras firmadas a través de internet– Para hacer trámites completos en la Administración publica– Para hacer tramites bancarios– Como tarjeta identificativa en el trabajo– Para trabajar con nuestro ordenador de forma segura– Para identificar a las personas con las que nos comunicamos por internet.

2. Como cambiar el PIN

El PIN es una contraseña personal que nos permitirá acceder a las distintas funciones del DNI electrónico y además protege la información contenida en él, los certificados de autentificación y de firma electrónica , al igual que sus respectivas claves privada y públicas, y el PIN nos permitirá autorizar la función de firma con DNI electrónico.

El codigo se asigna aleatoriamente en el momento de la expedición, y se entrega al ciudadano en un “sobre ciego”. La contraseña se puede cambiar por cualquier otra que le resulte más fácil recordar en los Puntos de Actualización del DNI electrónico existentes en las Oficinas de Expedición.

Para cambiar el PIN hay que tener en cuenta : – Debe elegir un PIN entre 8 y 16 caracteres alfanuméricos.– Debe ser fácil de recordar.– No es recomendable elegir el nombre o apellido ya que son facil de

averiguar, y lo que se intenta es que no pueda averiguarlo ninguno ya que los datos del DNI electrónico contienes datos privados.

– No es recomendable utilizar ni fechas de nacimiento ni de aniversario, ni numero de telefono, matrícula, ect..

– Tambien hay que evitar utilizar cifras numericas consecutivas o repetidas ( o letras).

– La mejor combinación seria con letras MAYUSCILAS y MINUSCULAS combinadas con numeros.

Es muy importante tener encuenta que el PIN es la contraseña que protege sus claves privadas y permite activar las aplicaciones que generan firmas electrónicas y es confidencial, personal e intransferible.

Ala hora de cambiar el PIN se pueden dar dos situaciones :

– Que se nos haya olvidado el PIN entonces tendremos que ir para cambiar la contraseña aPuntos de Actualización del DNI elctrónico que existe en las Oficinas de Expedición.

Aquí disponen de un lector de impresión dactilar, lo que hace es comparar la

huella dactilar con la almacenada en el chip en el momento de la expedición. Si el resultado es positivo se podrá camibar el PIN del DNI electrónico.

– Si nos acordamos del PIN podemos o acudir a un Punto de Actualización de DNI electrónico en la Oficina de Expedición y cambiar su PIN proporcinando el PIN actual.O sino si dispones de un ordenador con lector de tarjetas criptográficas y conexión a internet.

Cabe destacar que cuando realizamos operaciones sobre el DNI electrónico el PIN de seguridad será solicitado , en el caso de que introduzcamos el PIN de forma incorrecta tres veces consecutivas el PIN estará bloqueado . Para desbloquear el PIN tenemos que dirigirnos a los Puntos de Actualización del DNI en las Oficinas de expedición, y allí le permitirán hacer un cambio de PIN de forma segura.

En el caso de que se bloquee el PIN no nos mostrará los certificados en el navegador , ya que no se pueden acceder a ellos por el bloqueo.

3. Como utilizar el DNI DIGITAL Para utilizar el DNI electrónico será necesario elementos hardware y software que nos van a permitir el acceso al chip de la tarjeta y la utilización de los certificados contenidos en él.

Los elementos hardware serán:

– Un ordenador personal.– Un lector de tarjetas inteligentes que cumpla el estándar ISO 7816, puede

estar incluido en el teclado , conectado por vía USB o a través de una interfaz PCMCIA.

A la hora de elegir un lector que sea compatible con el DNI necesitamos que - Cumpla con el éstandar ISO 7816 soporte .- Que soporte tarjetas asíncronas basadas en protocolos T=0 (y T=1).

- Que soporte velocidades de comunicación minimas de 9.600 bps.- Que soporte los estándares API PC/SC , CSP, API PKCS#11

El estándar PKCS#11 es el empleado para que los programas se comuniquen con los dispositivos de almacenamiento de claves (tarjetas inteligente, etc)y para poder realizar de una forma segura las operaciones criptográficas sin que la clave privada tenga que ser leída en el equipo. Este estándar se llama CRYPTOKI.

Los elementos software:

– Sistemas operativos (Windows, Linux, Unix, Mac).– Navegadores (Internet Explorer, Mozilla Firefox, Netscape version 4.78 o

superior).– Controladores / Modulos criptográficos

* Para Windows debe tener instalado “Cryptogrphic Service Provider” (CSP).

* Para Unix / Linux o Mac debe tener instalado un módulo criptográfico “ PKCS#11”.

Estos software se podran obtener en el área de descarga que proporcina la pagina del ministerio del interior ( http://www.dnielectronico.es/descargas).

Tambien será necesario instalar los drivers que proporciona el lector de tarjetas. Cabe destacar que nuestro equipo debe disponer de la versión JAVA 2.5 o superior.

5. Chip

El chip el la nueva tecnologia que diferencia al dni electrónico del dni antiguo, el chip utilizado es, el chip SLE66CX320P de la empresa alemana Infineon Technologies, cuenta con el certificado de “alta seguridad” para el nivel E4 del “Information Technology Security Evaluation Criteria (ITSEC).

El chip pertenece a la familia 66Plus de Infineon. Tiene un procesador de 16 bits fabricado con tecnologia de 0.25 micrones. Esta especializado en tareas criptográficas, por lo que puede procesar los algoritmos RSA que se encarga de generar las claves publicas y privadas aleatoriamente, las claves tienen hasta 2048 bits, en menos de 290 microsegundos, o trabajar con DES, triple DES y con criptografia de curvas elípticas. Esta compuesto de un gran numero de dispositivos, como un generador de números aleatorios por hardware, lógica de seguridad antimonitorización de datos y claves, una unidad de manejo de memoria (MMU), un generador de frecuencias (PLL), cifrado/descifrado DES/triple DES por hardware, dos temporizadores de 16 bits, un circuito de comprobación de redundancia cíclica (CRC) y la lógica de interrupciones del dispositivo.

Para el almacenamiento de datos y programas, cuenta con 32 Kb de memoria EEPROM, 64 Kb de memoria ROM y 3 Kb de RAM. Entre sus medidas de seguridad destacan un número de identificación único para cada chip, un dispositivo de encriptación/desencriptación de memoria para la RAM, ROM y EEPROM, un generador de números aleatorios por hardware verificable internamente, una disposición de elementos optimizada para dificultar el acceso a los componentes, contramedidas para el análisis de fallos diferencial, la alimentación diferencial o de análisis simple de potencia y un blindaje activo con detección de ataques.

6.Seguridad

La tarjeta dispone de distintos métodos de autenticación, para demostrar lasu identidad. La correcta realización de estos metodos nos permitira tener unas condiciones de seguridad, que será necesaria para acceder a los distintos recursos de la tarjeta.

El usuario dispone de un PIN necesario para verificar su acceso a la tarjeta DNI, este código se llama CHV (Card Holder verification).

El código CHV tiene un contador que permite un numero determinado de intentos, por defecto tiene el numero 3, por lo tanto, si nosotros queremos accedemos a la tarjeta, si nos equivocamos una vez el contador decrece por lo tanto pasa a ser 2, tenemos hasta 3 intentos, si el contador llega a cero la tarjeta se bloqueará. Y la manera de desbloquearla será mediante la huella dactilar. Pero la huella dactilar dispone de un contador de intentos, en el caso de agotar los intentos se bloqueará, pero en este caso no habrá forma de desbloquearla, por lo tanto tendremos que cambiar el código de CHV por uno nuevo

La tarjeta permite realizar una identificación biométrica del titular, solo disponible en los puntos de acceso controlados.

Esta técnica se basa en obtener los datos biométricos desde el dispositivo lector de huellas, presenta la información inicial de condiciones de usoy seguridad, la tarjeta procede, mediante su algoritmo Match on Card, a evaluar la correspondencia entre la huella presentada y la referencia.

Si la evaluación supera al umbral,la verificación es correcta. Sino la tarjeta anota un acceso erróneo sobre la huella, devolviendo el número de intentos restantes.

También hay una autenticación de la aplicación donde la aplicación debe aplicar un algoritmo junto con el correspondiente código secreto y nombre de la clave.

La tarjeta realizará la misma operación, comprobará el resultadado delos datos transmitidos por la aplicación, si coinciden se acepta entonces se pueden realizar operaciones sobre ella.

La autenticacion mutua se realizá mediante la presentacion mutua de certificados, y su verificación.

Este metodo incluye el intercambio seguro de unas claves de sesion que deberán ser para cifrar todos los mensajes intercambiados.Se pueden usar varias alternativas, una explicitamente o otra implicitamente en función de su identificador de algoritmo en un comando de gestión de entorno de seguridad anterior (MSE).

Las dos opciones estan basadas en la especificación “CWA 14890-1 Application Interface for samrt cards used as Secured Signature Creation Devices -Part1”también en la autenticación con intercambio de claves y en la autenticación de dispositivos con protección de la privacidad.

A la hora de transmitir un mensaje es muy importante establecer un canal seguro entre el terminal y la tarjeta. Durante la presencia del canal seguro los mensajes se cifran y autentican.Para que el canal sea seguro, en primer lugar, se realiza un intercambio de las claves publicas de la tarjeta y el terminal mediante certificados que serán veridicados por ambas partes. Luego se hace un protocolo de autenticación mutua , con intercambio de semillas para derivacion de una semilla común que dé lugar a las claves de sesión de cifrado y autenticado.

Las funciones criptográficas serán : *Las Claves RSA que es capaz de gestionar y crear las claves RSA. La generación de pareja de claves RSA sigue el estándar PKCS#1 y se usa el algoritmo MILLER-RABIN como test de primalidad.

*Hash que es capaz de incluir de forma real en un mensaje la firma digital.Donde se descifra la rúbrica r con la clave pública del emisor e, al mensaje en claro recibido se le aplica la misma función hash que en emisión, si los valores son iguales, la firma es auténtica y el mensaje integro.

¿Cual sería la probabilidad de que dos mensajes tubierán el mismo hash?Si fuerá baja se podría dar el caso de que alguien modifica nuestro mensaje firmado, y enviará ese mensaje falso con la misma firma del primero.

Mensaje 1: “ No tiene ninguna aceptación” hash : 1011Mensaje 2: “ Acepto sin ningún problema” hash : 1011 De este modo se podrían crear muchos mensajes diferente que digan casi lo mismo, incluso con el mismo numero de caracteres. Por este motivo los hash tienen que cumplir unas propiedades:

1.Unidireccionalidad 2.Compresión 3.Facilidad de cálculo 4.Difución 5.Colisión simple 6.Colisión fuerte

La tarjeta será capaz de realizar hash de datos con el algoritmo SHA 1 (National Institute of Standards and Technology) entregá un resumen de 160 bits, una complijidad algoritmica de 2 elevado a 80, donde el vector inicial tiene una palabra más de 32 bits por lo que el resumen será de 160 bits. A cada bloque de 512 bits del mensaje se le aplicarán 80 vueltas.

El algoritmo para cada bloque de 512 bits será:

Para t = 0 hasta 79 hacer: TEMP = (a <<<5) + ft(b,c,d) + e + Wt + Kt a = e e = d d = c c = b <<<30 b = a a = TEMP

Después de realizar cualquier operación de hash el código resultante es almacenado en la memoria de la tarjeta para se usado posteriormente por un comando. El hash solo permanece en la memoria hasta la siguiente operación.

Las firmas digitales se pueden realizar de dos formas, en modo raw o en modo relleno PKCS#1.

a b c d e

7. Bibliografía - http://www.dnielectronico.es/ - http://www.lectordni.com/dni_electronico.htm - HISPALINUX (asociacion de usuarios españoles de linux) - Guia de referencia básica v1