Indice
- 1 ¿Para qué firmar las páginas HTML ?
- 1.0.1 Criptografía de clave publica.
- 1.0.2 ¿Qué es PGP ?
- 1.0.3 ¿Por qué no emplear SSL/TLS ?
- 2 Información de la clave publica PGP
- 3 ¿Como Verificar que una página es correcta ?
- 3.0.1 Algunos ejemplos de comprobación.
- 3.0.1.1 Comprobación en versiones Unix de PGP
- 3.0.1.2 Comprobación en MacOS con PGP 6.5
- 3.0.2 ¿Por qué me dice que la firma es invalida ?
- 4 ¿Como se han firmado las páginas ?
Este servicio permite el registro de documentos vía correo electrónico. En principio esta diseñado para que cualquier usuario pueda registrar un documento simplemente empleando el correo electrónico.
Por "registro" de un documento se entiende la posibilidad de comprobar a posteriori si un documento dado existía en una fecha determinada.
Actualmente el registro funciona vía correo electrónico,
solamente hay que enviar un correo a la dirección del
registro:
conteniendo como anexos o attach los documentos que se quieren registrar.
El usuario recibirá en su cuenta de correo un mensaje del registrador cuando los documentos son procesados, con información sobre como verificar la información.
Verificación de la información.
Para verificar la información que envía el mensaje puede:
- Emplear el formulario de consulta vía HTTP para comprobar si la información recibida se encuentra en la base de datos.
- Comprobar si el fichero que tiene usted equivale al introducido en el registro verificando así que no ha sido modificado.
Documentación Adicional.
En la página de preguntas más frecuentes encontrará respuesta a algunas de las preguntas que los usuarios suelen plantear.
Presentaciones
- Presentación Jornadas Técnicas RedIRIS 2002
- Presentación Jornadas de Usuarios Científicos en RedIRIS 2002
- Emplear el formulario de consulta vía HTTP para comprobar si la información recibida se encuentra en la base de datos.
- Comprobar si el fichero que tiene usted equivale al introducido en el registro verificando así que no ha sido modificado.
- Presentación Jornadas Técnicas RedIRIS 2002
- Presentación Jornadas de Usuarios Científicos en RedIRIS 2002
- Cualquier modificación por pequeña que sea genera un valor MD5 completamente distinto.
- No es calcular a partir del resumen MD5 la información original que tenía el fichero
- No es posible calcular a priori que valor MD5 va a tener un fichero sin hacer el calculo
- El código de la entrada
- El valor de la huella "MD5
- La fecha en la que se realizó la entrada
- Un código de comprobación adicional
- Para Clientes de correo que empleen S/MIME, como Netscape o Outlook, instalar el certificado de la Autoridad de Certificación de RedIRIS.
- Para Clientes de Correo que soporten PGP/MIME, como EXMH, Gnome Evolution, Eudora, Outlook tener la clave PGP del servicio de Sellado en su anillo de llaves públicas.
- Mediante la firma de los mensajes de correo electrónico, usted puede verificar que el mensaje que recibe con la información de sellado ha sido enviado por el servicio de sellado de RedIRIS .
- Podría darse el caso de que un usuario enviara un mensaje con
información enviada al servicio de Sellado y después le reenviara
el mensaje como prueba de esta existencia, aunque se trate del
registro de otros documentos, por eso se debe realizar la verificación
MD5 de los ficheros recibidos, ya sea empleando las herramientas de calculo de huellas MD5 o
empleando el
formulario que se encuentra en el servidor Web de RedIRIS.
La verificación de la huella MD5 en su equipo es más "segura", ya que es usted el que comprueba la huella, mientras que si envía el fichero al servidor de RedIRIS esta confiando en nuestro servidor para hacer este calculo.
- La comprobación de la huella MD5 y el código de registro en el servidor de RedIRIS permite que si no se puede verificar por algún motivo el mensaje de correo recibido, un usuario pueda comprobar en la página de verificación si la información es correcta o no.
- Comprobar manualmente la huella MD5 de los ficheros y ver que corresponde con la del mensaje
- Enviar los ficheros y/o correo al servidor HTTP de RedIRIS para comprobar la información.
- Para el emisor (ponente) como prueba de que antes de determinada fecha tenía el documento escrito y enviado.
- Para el congreso, si por algún motivo se pierde el mensaje por algún problema en el servidor de correos, red, etc. o el documento es enviado con posterioridad vía correo postal, entregado en mano, etc. Para poder verificar que se han cumplido los plazos.
- Firma el mensaje con PGP/MIME
- Firmado del resto del mensaje con S/MIME
- Un tipo multipart/signed; protocol="application/x-pkcs7-signature", con dos objetos MIME, para la firma S/MIME.
- Un tipo multipart/signed; protocol="application/pgp-signature"
para la firma PGP, con otros dos objetos MIME:
- Un tipo MIME text/plain con el mensaje
- Un tipo MIME application/pgp-signature con la firma PGP del mensaje
- Un tipo MIME application/x-pkcs7-signature con la firma X509 del mensaje
Indice
Este servicio permite el registro de documentos vía correo electrónico. En principio esta diseñado para que cualquier usuario pueda registrar un documento simplemente empleando el correo electrónico.
Por "registro" de un documento se entiende la posibilidad de comprobar a posteriori si un documento dado existía en una fecha determinada.
Actualmente el registro funciona vía correo electrónico,
solamente hay que enviar un correo a la dirección del
registro:
conteniendo como anexos o attach los documentos que se quieren registrar.
El usuario recibirá en su cuenta de correo un mensaje del registrador cuando los documentos son procesados, con información sobre como verificar la información.
Verificación de la información.
Para verificar la información que envía el mensaje puede:
Documentación Adicional.
En la página de preguntas más frecuentes encontrará respuesta a algunas de las preguntas que los usuarios suelen plantear.
Presentaciones
Información General
¿Qué es un Servicio de Sellado de Tiempos?
Es un sistema que permite conocer si una determinada información existía en un instante determinado, sin tener que presentarsela directamente al destinatario final de esta, de forma que ambas partes el emisor y el receptor puedan comprobar que efectivamente esta información es la correcta.
Por poner un ejemplo práctico del mundo docente, El que unas prácticas tengan que estar acabadas un día no exige muchas veces el que el alumno tenga que entregarselas al docente anets de esta fecha. El alumno puede "registrar" las prácticas en el sellado de tiempo y entregarlas al profesor cuando sea la revisión. Este podrá con la información de sellado de tiempos comprobar si la información presentada por el alumno es la misma o diferente.
¿Cómo funciona el servicio ?.
El sistema funciona como un registro "electrónico", vía correo electronico se envían documentos que son "presentados" al registro, este calcula el resumen "MD5" de cada uno de los documentos y almacena este resumen en una base de datos, junto con un código y la fecha en la que se presento, devolviendo un mensaje con los códigos introducidos.
El "registro electrónico" envía despues a las direcciones que había en el mensaje esta información.
Este resumen "MD5" es una función matématica con unas caracteristicas muy interantes:
De esta forma volviendo al ejemplo del profesor y el alumno, el profesor puede comprobar cuando tiene la documentación si esta a sido modificada por el alumno.
¿Qué hago para registrar documentos ?
Aunque el registro puede registrar mensajes de correo-e directamente, parte de la información de este, lo que sería el equivalente al sobre de un paquete postal, se modifica cuando pasa por un equipo de intercambio de mensajes (de igual forma que una carta llega a tener varios "sellos" y "matasellos" desde que se envía hasta que se recibe). Por esto lo mejor es enviar al registro la información que se desea como Anexos o "Attachment" a los mensajes de correo-e.
Estos anexos no se modifican y por lo tanto la "huella MD5" no cambia y puede ser verificada con posterioridad
¿A qué dirección se envía el registro ?
El servicio de registro se encuentra en la dirección de
correo ( sellado @ rediris .es ), para cualquier consulta se
puede enviar un mensaje al grupo de soporte en la dirección
( sellado-admin @ rediris .es ).
¿Como es de preciso este registro ?
Para esta primera versión experimental el servicio de sellado de tiempos presenta una precisión de segundos, perfectamente válido para usos comunes, aunque seguramente para otras aplicaciones no será igual de válido. Se esta trabajando ya en una nueva versión que presente una mayor precisión.
El equipo en donde esta funcionando el servicio esta además sincronizado mediante el protocolo NTP de Internet con dos servidores de tiempo distintos, sincronizados a su vez con el servidor del Real Observatorio de San Fernando, que es el centro encargado de dar la hora de forma oficial en España.
Tenga en cuenta de todas maneras que desde que se envía el documento en el cliente de correo-e hasta que llega al sistema se produce un retardo de algunos segundos, que dependen muchas veces de los problemas de congestión de los servidores de correo y equipos intermedios de comunicaciones, por lo que no es conveniente esperar muchas veces al ultimo segundo.
¿Qué queda registrado ?
El registro solamente almacena la siguiente información:
Es decir no almacena ni quién envió el correo ni a quien iba destinado la información.
¿Cuanto tiempo queda registrada la información ?
La respuesta más fácil podría ser, mientras las necesidades del servicio lo permitan, en principio el sistema tiene capacidad para almacenar los registros durante un tiempo ilimitado.
Sin embargo como la afirmación anterior puede parecer presuntuosa, se pude indicar que los datos se almacenarán durante dos años como mínimo.
¿Cómo me fio de la información ?
Igual que en la vida real, se podría pensar en "falsificar" el mensaje del registro, de forma que se presentara un documento reciente o que no ha sido en realidad registrado. Para evitar esto, todos los mensajes del registrador están "Firmados", de forma que no puedan ser falsificados.
El sistema firma los mensajes de correo-e empleando los dos sistemas más empleados en la actualidad, S/MIME y PGP/Mime, para que pueda ser usado con fiabilidad por cualquier usuario.
Dependiendo del sistema de firma digital empleado por su programa de correo electrónico el usuario tendrá que realizar una de las siguientes operaciones:
En caso de no estar empleando ninguno de estos sistemas, es posible de todas formas empleando el programa "GnuPg" verificar mediante linea de comandos estos mensajes.
¿Que es lo que se puede verificar ?
El sistema de registro permite realizar las siguientes comprobaciones:
Verificación de los datos.
Siempre es posible verificar los datos enviados y comprobar que efectivamente son ciertos, para ello puede:
Casos prácticos de funcionamiento del Servicio.
Registro de documentos.
Imaginemos que queremos registrar un determinado documento o fichero,
por ejemplo un articulo, una composición un gráfico, etc. Para ello
solo hay que enviar un mensaje de correo electrónico a la dirección
del registro conteniendo los anexos que queremos registrar.
El registrador responderá con un mensaje indicando el registro
de los documentos y los códigos asignados.
Más adelante cuando se quiera comprobar la existencia de estos
ficheros solo hay que comprobar el valor del registro "MD5" y
si este coincide es que el fichero no ha sido modificado.
Advertencia: Este servicio solamente indicaría la existencia
de este fichero, no la autoría de el (pero si es un documento Word
podriamos poner en la información de autor), y por otro lado cualquier
modificación, aunque sea de un solo caracter en el haría que el
valor "MD5" de este fichero fuera distinto y por eso no coincidiría
con el registro.
Evaluación continua de alumnos.
El registro de documentos se puede emplear para un sistema de
evaluación continua, en el cual se solicita a los alumnos que
vayan realizando una serie de trabajos incrementales que deben
estar realizados antes de determinado día, pero en los que
la evaluación del trabajo se realiza al final.
El alumno puede ir enviando los ficheros con el trabajo al registrador, y guardandolos. Para la evaluación el alumno entrega el resultado final y los ficheros registrados con los trabajos parciales. El docente puede comprobar que los trabajos parciales no han sido modicados desde que se enviaron al registro y por lo tanto se han cumplido los plazo.
Este servicio también se puede emplear para comprobar en el momento de la evaluación si la practica realizada por el alumno ha sido modifica tras esta fecha, con solo comprobar el valor "MD5" y compararlo con el de la practica evaluada.
Registro de Recepción de Documentos.
Por ejemplo, para un congreso se solicita que determinados
documentos se presenten antes de determinada fecha, se puede
enviar el mensaje a la dirección del congreso y a la del sistema
de registro, de forma que el registrador avisará a ambas partes
del registro.
Para que sirve esto:
En caso de que sea necesario para los congresos y reuniones
organizados por las Comunidades de Usuarios se puede modificar
el mensaje de respuesta , para adaptarlo a cada reunión en
concreto. Consultar con el personal de RedIRIS para más información.
Información Técnica.
Firmado de los mensajes
Los mensajes se firman con S/MIME y PGP/MIME, para asegurar el máximo de compatibilidad, para ello se emplea un sistema de doble firma que hemos desarrollado para la ocasión:
Esto hace que el correo recibido tenga la siguiente estructura MIME:
De esta forma se consigue que ambas firmas coexistan en el mismo fichero
¿Para qué firmar las páginas HTML ?
Muchas veces es conveniente estar seguros de que la inforMación reflejada en un documento esta tal y como fue publicada y que por lo tanto tenemos acceso a la información original.
Este es el fin de la firma mediante PGP de algunas de las páginas HTML del servidor de RedIRIS, que cualquier usuario pueda comprobar que la información no ha sido modificada. Para realizar esto se emplea se pueden emplear diversas técnicas matemáticas, entre ellas la criptografía de clave publica y el programa PGP.
Criptografía de clave publica.
La criptografía de clave publica se basa en la existencia de dos "claves" o funciones matematicas con caracteristica fundamental de que lo que solamente es posible decodificar un mensaje empleando la clave complementaria. Se llama de clave publica porque una de ellas se mantiene en secreto, mientras que la otra se hace publica y cualquier persona puede acceder a ella.
A la hora de firmar un documento este se firma con la clave privada y cualquiera puede, empleando la clave publica, comprobar que el documento no ha sido modificado, ya que cualquier modificación en el texto haría que la comprobación del mensaje no fuera correcta.
¿Qué es PGP ?
Existen diversos programas que nos permiten firmar digitalmente los documentos. Para la firma de las páginas HTML del servidor se ha optado por emplear el programa PGP . Este programa fue uno de los primeros aparecidos que permitian a los usuarios firmar y codificar documentos. Tiene una larga e interesante historia y existen versiones de dominio publico para casi todas las plataformas y sistemas operativos lo que permite comprobar que las páginas no han sido modificadas en cualquier sistema operativo.
¿Por qué no emplear SSL/TLS ?
Existe otro mecanismo denominado SSL/TLS que permite mantener conexiones seguras y autenticadas desde navegadores WWW como Netscape o Internet Explorer, de una forma hasta más transparente y directa que el mecanismo empleado por RedIRIS. El problema que tienee este sistema es que requiere que todas las operaciones criptograficas se realizen para cada conexión que se establezca, lo que enlentece la conexión. El sistema empleado en el servidor de RedIRIS, aunque no tan transparente al navegador solamente firma las páginas una vez (cuando se modifican desde RedIRIS), y las páginas firmadas se cargan a la misma velocidad que las páginas que no están firmadas.
Información de la clave publica PGP
La clave publica empleada para firmar las páginas HTML de RedIRIS tiene la siguiente información:
gpg --list-secret-keys
gpg: signature packet without keyid
/.gnupg/secring.gpg
---------------------------------------------
sec 2048R/2C4C669B 2000-10-19 PGP certificate of RedIRIS Web Server
, see http://www.rediris.es/pgp/firmaweb/
uid CN=www.rediris.es, OU=IRIS-CERT, O=RedIRIS, ST=Madrid, C=ES
gpg --list-keys --fingerprint
/.gnupg/pubring.gpg
---------------------------------------------
pub 2048R/2C4C669B 2000-10-19 PGP certificate of RedIRIS Web Server
see http://www.rediris.es/pgp/firmaweb/
Key fingerprint = 99 A8 78 63 8C 5C E8 0A 8C 54 FE 46 81 25 A6 CA
El par de claves RSA empleado es exactamente el mismo que esta ahora mismo en uso en el
servidor SSL . La clave publica para PGP se puede
obtener aquí
¿Como Verificar que una página es correcta ?
Los navegadores no disponen de un mecanismo para automatizar la firma de las paginas WWW mediante PGP por lo que para comprobar que una página no ha sido modificada debe cguardar la pagina en el disco y realizar la comprobación con el programa PGP. Dado que PGP esta disponible para varios sistemas Operativos, en diferentes versiones los ejemplos que aparecen a continuación pueden variar dependiendo del sistema.
Algunos ejemplos de comprobación.
Comprobación en versiones Unix de PGP
Emplenado el programa GnuPgP la verificacion de una pagina firmada con el servidor de RedIRIS da este resultado:
gpg --verify < index.es.html gpg: Signature made Tue Dec 12 23:32:30 2000 MET using RSA key ID 2C4C669B gpg: Good signature from "PGP certificate of RedIRIS Web Server \\ , see http://www.rediris.es/pgp/firmaweb/"Con PGP 2.6 el resultado es similar:
gp < index.es.html Pretty Good Privacy(tm) 2.6.3ia - Criptografía de clave pública para todos. (c) 1990-96 Philip Zimmermann, Phil's Pretty Good Software. 1996-03-04 Versión internacional - no apta para los EE.UU. No utiliza RSAREF. Hora actual: 2000/12/12 22:34 GMT El fichero tiene firma. Se necesita la clave pública para comprobarla. . Firma correcta de "PGP certificate of RedIRIS Web Server \\ see http://www.rediris.es/pgp/firmaweb/". Firma realizada el 2000/12/12 22:33 GMT con una clave de 2048 bits, identificador 2C4C669B AVISO: Esta clave pública no está certificada con una firmade confianza, por lo que no se sabe con seguridad si realmente pertenece a: "PGP certificate of RedIRIS Web Server , see http://www.rediris.es/pgp/firmaweb/".
Comprobación en MacOS con PGP 6.5
¿Por qué me dice que la firma es invalida ?
La firma de documentos electronicos con claves digitales permite dos cosas:
- Comprobar que el documento no ha sido modificado
- Comprobar que el documento ha sido firmado por quien dice ser
Algunas versiones de PGP indican que la firma es invalida cuando la página bien firmada pero no se le ha indicado al programa que debe considerar como "verdadera" la clave PGP que ha firmado la página.
en el ejemplo de comprobación en Unix aparece al final indicado que la clave no esta dentro de la Red de Confianza PGP.
Consulte la información disponible en la sección de PGP si desea más información sobre el funcionamiento de las redes de confianza de PGP
¿Como se han firmado las páginas ?
La información de las páginas HTML del Servidor de RedIRIS se procesa empleando un sistema de Agentes denominado Webber desarrollado en RedIRIS.
Webber permite la automatización de diversos aspectos del diseño de la información mostrada en el servidor y se ha desarrollado un procesador que realiza la firma de las páginas HTML de una forma automatica a partir de los fuentes webber iniciales.
Consulte las páginas de Webber para más información.