Conference PaperPDF Available

STORK: Plataforma europea para la interoperabilidad de identidades electrónicas

Authors:

Abstract

El proyecto europeo STORK (Secure idenTity acrOss boRders linKed) pretende establecer una plataforma de interoperabilidad transfronteriza de las identidades electrónicas nacionales, lo que permitirá a los ciudadanos establecer nuevas e-relaciones en Europa basadas en la autenticación a través de su identidad electrónica. La Plataforma, pionera en Europa, se ha diseñado con una arquitectura totalmente distribuida con dos principios fundamentales: el máximo control del usuario sobre sus datos (user centric) y la garantía de privacidad. La solución desarrollada propone el uso del estándar OASIS SAML 2.0 como mecanismo para el intercambio de la información de autenticidad de la identidad. El consorcio del proyecto lo forman 29 entidades de 14 países, entre las cuales el Ministerio de la Presidencia español es el líder de uno de los paquetes de trabajo más relevantes, e INDRA participa como empresa contratada por el Ministerio.
1
STORK: Plataforma europea para la interoperabilidad de identidades
electrónicas
Jorge López Hernández-Ardieta, John Heppe y Jose Fernando Carvajal Vión
INDRA Sistemas, División de Seguridad, Unidad de Seguridad Lógica
Parque Empresarial La Finca, edificio 4. Pº del Club Deportivo, 1. 28223 Pozuelo de Alarcón (Madrid)
{jlhardieta, jheppe, jfcarvajal}@indra.es
Abstract — El proyecto europeo STORK (Secure idenTity acrOss boRders linKed) pretende establecer una plataforma de
interoperabilidad transfronteriza de las identidades electrónicas nacionales, lo que permitirá a los ciudadanos establecer nuevas e-
relaciones en Europa basadas en la autenticación a través de su identidad electrónica. La Plataforma, pionera en Europa, se ha
diseñado con una arquitectura totalmente distribuida con dos principios fundamentales: el máximo control del usuario sobre sus
datos (user centric) y la garantía de privacidad. La solución desarrollada propone el uso del estándar OASIS SAML 2.0 como
mecanismo para el intercambio de la información de autenticidad de la identidad. El consorcio del proyecto lo forman 29 entidades
de 14 países, entre las cuales el Ministerio de la Presidencia español es el líder de uno de los paquetes de trabajo más relevantes, e
INDRA participa como empresa contratada por el Ministerio.
I. I
NTRODUCCIÓN
La iniciativa “i2010 La Sociedad de la Información y los Medios de Comunicación al Servicio del Crecimiento y el
Empleo” [1] fue lanzada por la Comisión Europea en Junio de 2005 como un marco para cubrir los retos y desarrollos de la
sociedad de la información en Europa hasta el año 2010. Esta iniciativa promueve una economía digital competitiva y abierta,
posicionando a las Tecnologías de la Información y las Comunicaciones como el hilo conductor del cambio. Propone el e-
gobierno como una de las áreas específicas cuyo Plan de Acción se centra en la modernización de las Administraciones
europeas para que los ciudadanos accedan a sus servicios de forma telemática.
Un punto estratégico del Plan de Acción de e-Gobierno es el despliegue de soluciones de identidad o identificación
electrónica (eID) en los Estados Miembro. Numerosos países ya disponen de infraestructuras para la emisión de identidades
electrónicas (p. ej. España, Estonia, Italia, etc.), o están en pleno proceso de implantación.
Sin embargo, y con el fin de cumplir los propósitos marcados por la iniciativa i2010, es absolutamente necesario que las
identidades electrónicas nacionales sean reconocidas por los Estados Miembro ajenos al país emisor. De esta forma se
fomentaría la movilidad de ciudadanos (estudiantes, trabajadores) europeos, el acceso a servicios gubernamentales y trámites
administrativos y, en definitiva, el desarrollo de la economía europea al facilitar la implantación y consumo de nuevos
servicios y ampliar los usuarios potenciales.
El objetivo del proyecto STORK (Secure idenTity acrOss boRders linKed) [2] es precisamente crear una plataforma pan-
europea para el reconocimiento mutuo de las identidades electrónicas existentes en Europa. De esta forma, los ciudadanos
europeos podrán realizar sus trámites y gestiones con las Administraciones Públicas de cualquier Estado Miembro empleando
su identidad electrónica nacional.
El proyecto dispone de un presupuesto aproximado de 20 millones de euros, de los cuales la Comisión Europea
subvenciona la mitad. El proyecto se enmarca en el programa CIP (Competitiveness and Innovation Programme), más
concretamente en ICT-PSP (ICT Policy Support Programme). El consorcio del proyecto lo forman actualmente 29 entidades,
incluyendo gobiernos de 14 países diferentes. El Ministerio de la Presidencia español lidera el paquete de trabajo donde se
define e implementa la plataforma de interoperabilidad. INDRA participa en el consorcio como empresa contratada por el
Ministerio. La unión de los esfuerzos e intereses de todos los socios participantes, que abarcan las Administración Públicas
europeas, la industria y el mundo académico, asegura el máximo alcance e impacto de los resultados que se obtengan.
En concreto, uno de los resultados del proyecto STORK será el despliegue de una serie de pilotos que permitirán probar en
un entorno real las capacidades de la plataforma de interoperabilidad desarrollada, entre los que cabe mencionar:
Cross-border authentication, en el cual se pretende demostrar que una serie de servicios seleccionados pueden ser
accedidos desde diferentes Estados Miembro.
SaferChat, el cual desarrolla un entorno de mensajería instantánea seguro accesible a los usuarios mediante la
autenticación con su identidad electrónica.
eID Student mobility, cuyo principal objetivo es permitir la movilidad de estudiantes en toda Europa al facilitar la
autenticación, con su identidad electrónica nacional, a la hora de realizar los trámites con la Universidad destino.
2
eID Electronic delivery, piloto que permitirá implantar un servicio de entrega electrónica basada en las
infraestructuras nacionales.
Change of address, el cual se centrará en un servicio de cambio de domicilio accesible mediante la identidad
electrónica del país origen.
El proyecto se encuentra en su fase de diseño, y a finales de año se procederá a la implementación de la plataforma. Para
principios del próximo año se prevé comenzar la integración de los diferentes pilotos anteriormente mencionados.
El resto del artículo describe en la sección II la arquitectura global de la solución, prestando especial atención al diseño
centrado en el usuario y aseguramiento de la privacidad. Mencionar que la Plataforma STORK también ofrecerá un servicio
de validación de certificados mediante el protocolo OCSP [3], que, por cuestión de espacio, no se describe en el artículo. Por
último, se concluye el artículo en la sección III.
II. S
ERVICIO DE
A
UTENTICACIÓN
P
AN
-E
UROPEO
Esta sección detalla la arquitectura global del servicio de autenticación de la Plataforma. Cabe mencionar que uno de los
mayores retos del proyecto ha sido diseñar una solución que integrara todas las particularidades y condicionantes legales
nacionales en una única plataforma de carácter distribuido. En el proyecto se ha realizado un análisis profundo de la
legislación europea aplicable y las transposiciones nacionales, destacando:
- Iniciativa i2010 [1], a la cual ya se ha hecho mención en la introducción.
- Directiva Europea de Firma Electrónica (1999/93/EC) [4].
- Directiva Europea de Protección de Datos [5], y la Directiva Europea sobre Privacidad y Comunicaciones Electrónicas
(2002/58/EC) [6].
- Directiva Europea [7] de servicios en el mercado interno.
- Ley Española de acceso electrónico de los ciudadanos a los Servicios Públicos (LAECSP) [8].
II.A. Marco para la interoperabilidad de las soluciones eID
Dado que existen soluciones de identidad electrónica (eID) más robustas que otras, el nivel de confianza o garantía respecto
a la identidad del sujeto varía dependiendo de los aspectos técnicos y organizativos de la solución empleada. Por ejemplo, el
soporte que almacena un par de claves criptográficas aporta mayores garantías si es un soporte hardware. Igualmente, el
procedimiento seguido por la Autoridad de Certificación que emite el certificado correspondiente para identificar y registrar
al usuario también puede fortalecer o disminuir este nivel. Un registro con verificación de identidad presencial aporta mayor
confianza en el vínculo entre la identidad y la clave pública que una solicitud online.
Actualmente existe gran diversidad de soluciones eID desplegadas o en proceso de implantación en cada uno de los países
participantes. Con el objetivo de evitar la modificación de las infraestructuras nacionales implicadas, se ha desarrollado un
modelo de interoperabilidad, denominado STORK QAA (Quality Authentication Assurance), entre las diferentes soluciones
existentes. Este modelo define cuatro niveles QAA para las soluciones eID. A mayor nivel, mayor garantía en la identidad
debe proporcionar la solución eID, y por tanto mayores requisitos debe cumplir. Para la definición de los niveles se ha tenido
en cuenta tanto la componente organizativa como técnica de cada solución. Los niveles QAA definidos son similares a los
descritos por IDABC [9], y compatibles con los definidos en el marco de trabajo de garantía de identidad de Liberty [10].
Por otra parte, cada país define, de acuerdo a su marco legislativo y criterio nacional, los niveles de garantía de las
soluciones eID que operan en sus fronteras. Por ello el modelo STORK QAA realiza un mapeo de los niveles nacionales de
cada país a los niveles STORK QAA, de forma que se puede realizar una traducción de un nivel nacional a otro dentro de un
marco de interoperabilidad común.
II.B. Arquitectura
Cuando el acceso a un servicio ofrecido por un Proveedor de Servicios (SP, Service Provider) requiere que el usuario se
autentique, es necesaria una infraestructura de identidad digital para la emisión y gestión de las credenciales necesarias. Un
Proveedores de Identidad (IdP, Identity Provider) es la entidad que proporciona, con unas determinadas garantías, una
identidad electrónica al usuario final, y que le permiten autenticarse en los SPs. Esta entidad también se encarga de validar la
identidad cuando un SP o tercera parte (relying party) así lo requiere.
El servicio de autenticación de STORK permite a un Estado Miembro delegar la autenticación de un usuario en el país que
emitió su identidad electrónica. De esta forma, STORK permite a cualquier SP obtener, de forma transparente, una evidencia
digital de la identidad del usuario que desea acceder al servicio, independientemente del país al que pertenezca. Esta
evidencia es proporcionada por el IdP del país origen que emitió la identidad al usuario.
Para permitir el diálogo entre los diferentes Estados Miembro (MS), se desplegará en cada país una entidad llamada PEPS
(Pan-European Proxy Service) que integra las funcionalidades específicas de STORK. La siguiente figura muestra la
arquitectura distribuida diseñada.
3
Fig. 1. Arquitectura en malla
Como puede observarse en la figura anterior, las comunicaciones se producen entre todos los PEPS, generando una
arquitectura distribuida en malla. Cada PEPS dispone de una parte común para todos los países participantes, y de una parte
específica que implementará cada país y aglutinará sus singularidades particulares y concretas, como por ejemplo las
interacciones con sus SPs e IdPs. La siguiente figura muestra de forma más detallada la comunicación que se produce entre
todos los actores implicados.
Fig. 2. Arquitectura detallada para el Servicio de Autenticación
Un usuario desea acceder a un servicio ofrecido por cierto SP, en el país A (1), y dispone de una solución eID emitida por
un IdP del país B (0). El servicio obliga al usuario a autenticarse, siendo el proveedor quien decide qué nivel de acceso se
requiere. Dicho nivel estará en consonancia con los niveles nacionales, y será el PEPS del país A el encargado de mapearlo al
nivel QAA, tal y como se ha indicado en la sección II.A.
El SP redirigirá al usuario al PEPS del país A con el fin de gestionar su autenticación (2 y 3). El PEPS detectará el país de
origen del usuario, remitiéndolo al PEPS correspondiente (4). El PEPS del país origen redirigirá a su vez al usuario para que
se autentique contra el IdP que emitió su identidad electrónica (5). En el ejemplo asumimos que dicha identidad cumple con el
nivel de garantía exigido por el SP. Será el PEPS del país B quien haya realizado la traducción del nivel QAA solicitado al
4
nivel de garantía nacional. El PEPS podrá igualmente extraer información adicional que haya sido requerida por el SP (6)
accediendo al Proveedor de Atributos (AP) necesario, si fuera posible.
Como puede observarse, y con el fin de reforzar un diseño centrado en el usuario, cualquier operación debe pasar por el
usuario (redirecciones a través del navegador). Es más, en cada paso el PEPS implicado debe solicitar al usuario su
consentimiento para realizar la acción estipulada. A pesar de ello, se ha intentando facilitar al máximo la interacción con el
sistema, simplificando y homogeneizando la interfaz de usuario en todos los países.
Aunque la comunicación entre el usuario y el SP, y el usuario y el PEPS, se espera que sea vía HTTP, no deja de ser una
decisión a nivel nacional, y queda fuera del ámbito del STORK. Sin embargo, STORK define SAML 2.0 [11] como formato
para el intercambio de la información de identidad del usuario, empleando el binding HTTP POST redirect para cumplir con
el requisito de redirecciones a través del navegador del usuario. En este sentido, el PEPS del país A generará una solicitud de
autenticación SAML (SAMLAuthnRequest) que será enviada al PEPS del país origen través del navegador del usuario. Tras el
proceso de autenticación, el PEPS del país origen generará la respuesta que contenga la aserción sobre la verificación de la
identidad del usuario (SAMLResponse). Esta respuesta se enviará al PEPS solicitante a través del navegador del usuario. En el
último paso, el PEPS del país A enviará el resultado de la validación al SP, y, de nuevo, a través del navegador del usuario.
Los PEPS simplemente actúan como meros intermediarios en el proceso de autenticación. Por otra parte, las
comunicaciones entre todos los actores se realizan mediante SSL/TLS. Por todo ello, la privacidad de los datos del usuario se
protege durante todo el proceso de autenticación y acceso al servicio.
Por último, resaltar que en el contexto nacional español, la validación de las identidades electrónicas emitidas por los
Prestador de Servicios de Certificación (PSC) nacionales, y basadas en certificados digitales, se realizapor medio de la
Plataforma del Ministerio de la Presidencia conocida como @firma [12]. De esta forma, España permitirá a cualquier
ciudadano que disponga de un certificado emitido por un PSC reconocido el acceso a servicios europeos de e-Administración
de forma transparente a través de la Plataforma STORK.
III. CONCLUSIONES
La estrategia europea en materia de modernización tecnológica y mejora del acceso ciudadano a servicios públicos apuesta
por nuevas soluciones y servicios que favorezcan el reconocimiento mutuo de las identidades electrónicas desplegadas en
Europa. En esta línea, el proyecto STORK se erige como una apuesta pionera que implica a los principales gobiernos y
representantes de la industria y centros de investigación europeos, y cuyo objetivo principal es el establecimiento de una
Plataforma tecnológica de interoperabilidad de identidades electrónicas que permitirá a los ciudadanos establecer nuevas e-
relaciones en Europa.
Siendo conscientes de la legislación actual en materia de protección de datos, y con el fin de asegurar el éxito del proyecto
en su fase de explotación, la arquitectura de STORK se ha diseñado para proteger la privacidad del usuario y posicionarle
como principal actor en la transferencia de información.
A
GRADECIMIENTOS
Este proyecto está parcialmente subvencionado por la Comisión Europea dentro del programa ICT-PSP/2007/1 (ICT Policy
Support Programme), englobado en el marco CIP (Competitiveness and Innovation Programme). INDRA participa como
empresa contratada por el Ministerio de la Presidencia, miembro del Consorcio STORK.
R
EFERENCIAS
[1] Comunicación de la Comisión, de 1 de junio de 2005, al Consejo, al Parlamento Europeo, al Comité Económico y Social Europeo y al
Comité de las Regiones titulada “i2010 - Una sociedad de la información europea para el crecimiento y el empleo”.
[2] Proyecto STORK. http://www.eid-stork.eu/
[3] M. Myers, R. Ankney, A. Malpani, S. Galperin, and C. Adams, “RFC 2560 X.509 Internet Public Key Infrastructure. Online
Certificate Status Protocol - OCSP”, Internet Engineering Task Force, June 1999.
[4] Directiva 1999/93/EC del Parlamento Europeo y del Consejo de 13 de Diciembre de 1999, por la que se establece un Marco
Comunitario para la firma electrónica.
[5] Directiva 95/46/CE del parlamento europeo y del consejo de 24 de octubre de 1995 relativa a la protección de las personas físicas en
lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
[6] Directiva 2002/58/EC del parlamento europeo y del consejo de 12 de julio de 2002 sobre el procesamiento de datos personales y la
protección de la privacidad en el sector de las comunicaciones electrónicas.
[7] Directiva 2006/123/EC del parlamento europeo y del consejo de 12 de Diciembre de 2006 servicios en el mercado interno.
[8] Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos.
[9] IDABC European e-Government Service, Proposal for a multi-level authentication mechanism and a mapping of existing
authentication mechanisms, Diciembre 2007 (http://ec.europa.eu/idabc/en/document/6484/5938)
[10] Liberty Identity Assurance Framework, Liberty Alliance Project, November 2007
(http://www.projectliberty.org/liberty/files/whitepapers)
[11] Secure Assertion Markup Language (SAML) 2.0. OASIS Standard. 15 de Marzo de 2005.
[12] @firma: Plataforma de Validación y Firma Electrónica.
http://www.csi.map.es/csi/pg5a12.htm
ResearchGate has not been able to resolve any citations for this publication.
Article
Consagra la relación con las Administraciones Públicas por medios electrónicos como un derecho de los ciudadanos y como una obligación correlativa para tales Administraciones.
EC del Parlamento Europeo y del Consejo de 13 de Diciembre de
Directiva 1999/93/EC del Parlamento Europeo y del Consejo de 13 de Diciembre de 1999, por la que se establece un Marco Comunitario para la firma electrónica.
EC del parlamento europeo y del consejo de 12 de julio de 2002 sobre el procesamiento de datos personales y la protección de la privacidad en el sector de las comunicaciones electrónicas
Directiva 2002/58/EC del parlamento europeo y del consejo de 12 de julio de 2002 sobre el procesamiento de datos personales y la protección de la privacidad en el sector de las comunicaciones electrónicas.
/123/EC del parlamento europeo y del consejo de 12 de Diciembre de 2006 servicios en el mercado interno
Directiva 2006/123/EC del parlamento europeo y del consejo de 12 de Diciembre de 2006 servicios en el mercado interno.
Proposal for a multi-level authentication mechanism and a mapping of existing authentication mechanisms
  • Idabc-European E-Government
  • Service
IDABC-European e-Government Service, Proposal for a multi-level authentication mechanism and a mapping of existing authentication mechanisms, Diciembre 2007 (http://ec.europa.eu/idabc/en/document/6484/5938)