Atenea tech ha desarrollado un módulo de Drupal para la autenticación de usuarios con certificados electrónicos utilizando el sistema verificación de identidad de Tractis. El plugin da la posibilidad de añadir login con certificados (DNI electrónico, catcert y otros) en cualquier sitio web desarrollado con Drupal.
|
etiquetas: autenticación , drupal , certificado digital , dni electrónico 
Saludos
Vamos, no tengo nada en contra de Tractis, pero quién garantiza que la información que devuelve Tractis procede del certificado que se está verificando en sus servidores. Parece buena idea para ahorrarse el plug-in Java que hay que desarrollar para poder hacer la validación desde un servidor web, pero creo que si se requiere la seguridad que proporcionan los certificados entonces merece la pena hacerlo.
Para muestra los bancos que permiten log-in vía DNIe... todos utilizan sus propias aplicaciones (por la cuenta que les trae). Hace tiempo estuve pensando en esta forma de log-in para un CMS PHP cualquiera, pero el hecho de tener que depender de Java me quita bastante porque implica un requisito más de cara al usuario... a ver cuándo es el día que el propio navegador proporciona los elementos necesarios y así se pueda hacer sin aplicaciones extra.
Las cuestiones que planteas son muy relevantes y me gustaría aportar nuestra visión del tema desde Tractis.
FILOSOFÍA DE DESARROLLO
=======================
Detrás de estos desarrollos hay un, podríamos llamarlo, "trasfondo filosófico" basado en el pensamiento de Lawrence Lessig. Para las personas interesadas en el tema pero que no hayan leído sus libros, el propio Lessig resume muy bien su pensamiento en este artículo cortito "Code is Law. On Liberty on Cyberspace (Harvard Magazine Jan-Feb 2000)" [1]. Se trata de un texto que hemos comentado mucho internamente y utilizado de base para los desarrollos de verificación de identidad. En resumen, Lessig dice que:
1. El código es la ley. El código informático puede regular la conducta en Internet tanto o más que el código legal.
2. Sin embargo este "Código" puede cambiar y, de hecho, está cambiando por la presión de empresas y gobiernos. No hay nada más peligroso que creer que el código es inmutable.
3. Ya que el código está cambiando, lo correcto es involucrarse y participar en el desarrollo del nuevo código para tener voz sobre como se van a producir estos cambios y no cerrar los ojos y clamar que el cambio es imposible.
Curiosamente, mucha gente cita a Lessig pero se queda en el punto 1. Afirman que el código es la ley e inmutable y que, por tanto, cualquier intento de identificación en internet está abocado al fracaso. Digo "curiosamente" porque es justo lo contrario de lo que dice Lessig.
Ya que el cambio se está produciendo [2], queremos adelantarnos y hacerlo bien y, con vuestra ayuda, explicar al mercado por qué esta es la manera correcta de hacerlo y porqué el nuevo código debe respetar estos valores:
* Opcionalidad: Nada de DNIe obligatorio o, si no, no inicias sesión, no comentas en un blog, etc...
* Transparencia: En todo momento, el usuario sabe quien (sitio web) te pide que verifiques tu identidad y qué datos va a consultar.
* Independencia: La verificación de identidad es realizada por un tercero independiente, no por el dueño del sitio web ni por el que se autentica.
* Universalidad: Acceso universal: cualquier persona debe ser capaz de utilizar el sistema. Para ello es necesario proporcionar alta usabilidad (nada de sistemas solo para techies) y soportar múltiples sistemas operativos (Windows, Linux/Unix, Mac OSX), navegadores (Firefox, IE, Safari, Opera) y certificados.
* Granularidad: Nada de "one-… » ver todo el comentario
Las cuestiones que planteas son muy relevantes y me gustaría aportar nuestra visión del tema desde Tractis.
FILOSOFÍA DE DESARROLLO
=======================
Detrás de estos desarrollos hay un, podríamos llamarlo, "trasfondo filosófico" basado en el pensamiento de Lawrence Lessig. Para las personas interesadas en el tema pero que no hayan leído sus libros, el propio Lessig resume muy bien su pensamiento en este artículo cortito "Code is Law. On Liberty on Cyberspace (Harvard Magazine Jan-Feb 2000)" [1]. Se trata de un texto que hemos comentado mucho internamente y utilizado de base para los desarrollos de verificación de identidad. En resumen, Lessig dice que:
1. El código es la ley. El código informático puede regular la conducta en Internet tanto o más que el código legal.
2. Sin embargo este "Código" puede cambiar y, de hecho, está cambiando por la presión de empresas y gobiernos. No hay nada más peligroso que creer que el código es inmutable.
3. Ya que el código está cambiando, lo correcto es involucrarse y participar en el desarrollo del nuevo código para tener voz sobre como se van a producir estos cambios y no cerrar los ojos y clamar que el cambio es imposible.
Curiosamente, mucha gente cita a Lessig pero se queda en el punto 1. Afirman que el código es una especie de ley inmutable y que, por tanto, cualquier intento de identificación en internet está abocado al fracaso. Digo "curiosamente" porque es justo lo contrario de lo que dice Lessig.
Ya que el cambio se está produciendo [2], queremos adelantarnos y hacerlo bien y, con vuestra ayuda, explicar al mercado por qué esta es la manera correcta de hacerlo y porqué el nuevo código debe respetar estos valores:
* Opcionalidad: Nada de DNIe obligatorio o, si no, no inicias sesión, no comentas en un blog, etc...
* Transparencia: En todo momento, el usuario sabe quien (sitio web) te pide que verifiques tu identidad y qué datos va a consultar.
* Independencia: La verificación de identidad es realizada por un tercero independiente, no por el dueño del sitio web ni por el que se autentica.
* Universalidad: Acceso universal: cualquier persona debe ser capaz de utilizar el sistema. Para ello es necesario proporcionar un elevado nivel de usabilidad (nada de sistemas solo para techies) y soportar múltiples sistemas operativos (Windows, Linux/Unix, Mac OSX), navegadores (Firefox, IE, Safari, Opera) y certificados.
* Granularidad: Nada de… » ver todo el comentario