ES2292737T3 - Metodo y sistema para asegurar una red informatica y dispositivo de identificacion personal usado en ella para controlar el acceso a los componentes de la red. - Google Patents

Abstract

Un dispositivo identificador personal digital (10) para controlar el acceso a una red informática (200), de tal modo que dicha red comprende una pluralidad de estaciones de trabajo (100), cada una de las cuales tiene una unidad de base (50) asociada con ella, estando dicha unidad de base configurada para comunicaciones inalámbricas con dicho dispositivo identificador personal digital, y dicha red comprende adicionalmente un servidor central (300) que utiliza un componente gestor de seguridad (340) y un almacenamiento de red, de tal modo que dicho componente gestor de seguridad está asociado con una clave privada y una clave pública correspondiente, y dicho almacenamiento de red contiene una clave pública correspondiente a una clave privada albergada por dicho dispositivo identificador personal digital, de manera que dicho dispositivo identificador personal digital es ligero de peso, está configurado para ser llevado y/o portado por un usuario registrado en el mismo, y comprende: (a) un componente de comunicaciones inalámbrico (15), que comprende un transceptor, o traductor-receptor, destinado a comunicarse con dicha unidad de base; (b) un componente (35) de captación biométrico, destinado a obtener una biométrica de entrada del usuario y a producir una representación digital de la misma; (c) un procesador (20), configurado para comunicarse con dicho transmisor-receptor y con dicho componente biométrico.

Description

Método y sistema para asegurar una red informática y dispositivo de identificación personal usado en ella para controlar el acceso a los componentes de la red.

Campo de la invención

Esta invención se refiere a medios para asegurar redes informáticas y, en particular, a un dispositivo identificador digital personal, incorporado en una red informática y que se utiliza para autentificar de forma segura un individuo poseedor del mismo y para controlar el ámbito del acceso por parte de ese individuo a componentes de la red informática.

Antecedentes de la invención

La protección de la información electrónica es una preocupación creciente en todo el mundo. En el caso en que la información consiste en propiedad intelectual, datos vitales de funcionamiento o información personal, los costes de una exposición no intencionada se vienen incrementando debido a la competencia global, a la concienciación pública de los asuntos de privacidad de los datos y a la nueva legislación. Estos problemas se complican con las tecnologías de red penetrantes, que permiten el acceso a datos desde prácticamente cualquier lugar y una multitud de dispositivos de acceso. Por ejemplo, los requisitos regulativos que afectan a algunas industrias, tales como la industria del cuidado de la salud en los Estados Unidos (donde se están adoptando normas para garantizar que las instalaciones del cuidado de la salud adoptan todas las medidas razonables para garantizar la seguridad y la privacidad de la información sobre la salud identificable individualmente), crean una necesidad creciente de tener la posibilidad de autentificar cada futuro usuario de una red informática antes de que se permita a dicha persona acceder a la red o a los datos contenidos en ella que puedan ser considerados delicados o confidenciales.

Cada componente de una red, y cada recorrido o camino entre tales componentes, puede convertirse en el objeto de un ataque (esto es, permitir el acceso a los datos por parte de un ente no autorizado). Además, la capacidad de acceder a datos confidenciales a través de una red no requiere necesariamente que una persona se conecte de forma identificada en la red, ya que un observador no autorizado situado dentro del alcance de visión de la pantalla de una computadora de red, puede ser capaz de acceder a datos confidenciales con sólo observar la pantalla cuando ésta está presentando visualmente dichos datos. De esta forma, las soluciones habituales para conseguir la protección ante el acceso a los datos, que persiguen la autentificación del usuario para proporcionar dicha protección, son capaces únicamente de acometer el problema de los usuarios no autorizados de la red, y no el de los observadores no autorizados que nunca tratan de acceder a la red a través de su uso.

La criptografía se emplea frecuentemente como medida de seguridad dentro de sistemas conectados a una red, y se sirve de claves privadas y públicas. Las expresiones "clave privada" y "clave pública" son bien conocidas en la técnica y se utilizan para criptografía asimétrica en la que una de las claves se emplea para el cifrado y la otra para el desciframiento, y una de estas claves, a saber, la clave privada, se guarda por el usuario y no se revela o transfiere nunca. Se considera la criptografía asimétrica para proporcionar un nivel más alto de seguridad que la criptografía simétrica, para la que se utiliza una clave compartida tanto para el cifrado como para el desciframiento (de manera que el aspecto de compartimiento introduce un elemento de inseguridad). Al usar la criptografía asimétrica para enviar un mensaje a otra parte interesada, la clave pública de esa parte interesada se ubica utilizando una infraestructura de clave pública (PKI -"public key infrastructure") y se emplea para cifrar el mensaje, de manera que, tras ello, únicamente la persona con la clave privada correspondiente (es decir, que es la otra parte interesada para la que se ha creado el mensaje) es capaz de descifrar el mensaje.

La expresión "firma digital" es también bien conocida en la técnica y se refiere a un compendio de mensaje, cifrado utilizando una clave privada, siendo un compendio de mensaje una forma condensada de un documento o transacción que se ha de firmar, la cual no puede ser utilizada para recrear o reproducir el documento o una transacción del mismo, y es extremadamente sensible a pequeños cambios en el documento. La firma digital se verifica descifrándola con la correspondiente clave pública para recuperar el condensado o compendio de mensaje y, a continuación, comparando este compendio de mensaje con uno computado por un verificador desde el documento que se propuso para ser firmado. Esta técnica puede ser utilizada como parte de un procedimiento de autentificación en el que una parte interesada demuestra que tienen una clave privada específica por su capacidad para cifrar y devolver un compendio de mensaje. En este caso, el contenido específico no es esencial y el compendio de mensaje puede ser desechado una vez completada la autentificación. Más comúnmente, el compendio de mensaje cifrado puede ser utilizado para demostrar que el tenedor de una clave específica estuvo implicado en una transacción que implicaba el mensaje, habitualmente con el fin de indicar que dieron su consentimiento al mensaje, tal y como se utiliza una firma física para indicar la participación de su propietario en un documento. En este caso, la forma cifrada del compendio ha de ser retenida en un lugar seguro. Ambas formas de firma digital se utilizan como parte de la presente invención.

Los sistemas de identificación de usuario utilizan frecuentemente palabras de paso, tarjetas inteligentes, biométrica o parámetros biológicos, y/o medidas de seguridad de PKI (Infraestructura de Clave Pública), y, si bien pueden concentrarse en asegurar ciertas porciones del procedimiento de autentificación, los sistemas conocidos dejan al descubierto otros frentes del ataque. Por ejemplo, los sistemas consistentes sólo en software o programación se basan en algo que conoce el usuario, tal como un nombre de usuario y una palabra de paso que pueden ser robados, vistos o adquiridos de otra manera con gran facilidad, y utilizados entonces por personas no autorizadas. Los medios de seguridad basados en piezas en prenda o fichas (es decir, algo que el usuario posee), tales como tarjetas inteligentes, son similarmente vulnerables puesto que la pieza en prenda puede ser perdida o robada y, en consecuencia, no garantiza que el usuario autorizado se encuentre realmente presente.

Los medios de seguridad basados en identificadores mecánicos (es decir, algo que el usuario es) pueden ser igualmente vulnerables a la intervención no autorizada. Por ejemplo, cualquier uso de un servidor central para validar una biométrica presentada introduce una debilidad en la seguridad debido a la necesidad de transportar los datos biométricos cruciales a lo largo de uno de los canales de comunicaciones (o ambos) con los que se ha de efectuar una conexión para dicha validación a distancia (es decir, entre el transductor biométrico que capta la biométrica presentada y la computadora local, y entre la computadora local y el servidor central de validación que contiene los datos de verificación con los que se compara la biométrica presentada). En consecuencia, la manera como se maneja y procesa o trata un identificador biométrico es fundamental si éste ha de funcionar efectivamente como medida de seguridad.

La descripción del documento GB-A-2348309 describe un método de autentificación que utiliza identificación biométrica, en el que el usuario es identificado por medio de biométrica introducida desde un terminal de autentificación portátil 1. Cuando el usuario ha sido previamente registrado, se establece una comunicación entre el terminal de autentificación y un dispositivo de ejecución de la autentificación, y se calcula una clave secreta común y un mensaje de autentificación, que incluye información inherente al usuario (por ejemplo, una palabra de paso) se cifra dentro del terminal de autentificación y se transmite al dispositivo de ejecución de la autentificación, que es capaz de descifrar el mensaje de autentificación allí basándose en la clave secreta calculada, con lo que se lleva a cabo una operación dependiendo de la información inherente al usuario incluida en el mensaje.

Existe la necesidad no sólo de identificar los puntos potenciales de fallo por los que una red informática podría quedar sometida a infiltración no autorizada, sino también de desarrollar medios para tratar y reducir dichas áreas de vulnerabilidad contra todo riesgo. Las brechas en la seguridad pueden darse de diversas formas, incluyendo las que siguen: repetición (en referencia a una situación en la que un elemento de respuesta antecedente es captado y utilizado para interponer una falsa respuesta), el acecho o espionaje (en referencia a la observación no autorizada), la suplantación (en referencia a la situación en la que un impostor se introduce él mismo y se encarga tanto de la recepción como de la transmisión de tal manera que aparenta ser un elemento genuino de la red) y/o la introducción "por la puerta trasera" (en referencia a una situación de acceso no autorizado adquirida uniéndose a una secuencia de acceso autorizada cuando ésta es abandonada por el usuario autorizado).

Es importante evitar la vulnerabilidad causada por intervalos o lapsos de tiempos vacíos y/o comprobaciones de verificación en un solo sentido durante los procedimientos de identificación/validación. Los solicitantes constatan aquí la necesidad de que los procedimientos de comprobación para verificación tengan lugar de forma instantánea o en tiempo real, y para comprobaciones de verificación recíprocas entre la autoridad de verificación central y la entidad local que está siendo verificada, a fin de procurar protección contra algunos tipos de brechas en la seguridad.

Existe también la necesidad de medios para supervisar y controlar, de forma automática y eficaz, y para generar un seguimiento interventor para, las personas que tienen autoridad para los diferentes niveles de acceso a la red (por ejemplo, acceso total o acceso limitado).

Sumario de la invención

De acuerdo con la invención, se proporcionan un sistema y un método de seguridad de red mejorados, así como un dispositivo identificador personal, que se utiliza para controlar el acceso a la red, a fin de proporcionar la autentificación en tiempo real tanto de la identidad de una persona como de su presencia en un punto de acceso a la red particular. La aplicación contemporánea de la verificación biométrica y la criptografía se proporciona incorporada en el dispositivo identificador personal, digital y portátil, a fin de proporcionar firmas digitales autentificadas que se utilizan para establecer el acceso seguro a datos almacenados en una red, y para llevara a cabo transacciones seguras a través de una red.

Un aspecto de la invención es un dispositivo identificador personal digital según se define en la reivindicación independiente 1. También se define, en la reivindicación independiente 17, un método para controlar el acceso a una red informática. Realizaciones adicionales de la invención se especifican en las reivindicaciones dependientes.

Un sistema de seguridad de acuerdo con la invención controla el acceso a una red informática en un punto de acceso a la red que comprende una estación de trabajo, por ejemplo, una computadora personal (PC -"Personal Computer"). Un dispositivo identificador personal digital comprende: (a) un componente de comunicaciones inalámbrico que comprende un transceptor, o transmisor-receptor; (b) un componente de captación biométrica, que contiene un transductor y un componente de software o programación para obtener una biométrica de entrada de usuario y producir una representación digital de la misma; (c) un procesador, configurado para la comunicación con el transmisor-receptor y con el componente biométrico, y susceptible de hacerse funcionar para: (i) evaluar si una plantilla obtenida de la representación digital, corresponde a una plantilla modelo o patrón obtenida de una representación digital biométrica del usuario, producida con anterioridad por el componente biométrico, y generar una señal de coincidencia cuando se determina dicha correspondencia; (ii) generar una clave privada, destinada a mantenerse por parte del dispositivo identificador digital personal, y una clave pública correspondiente a la misma, y suministrar como salida la clave pública generada para su transmisión por parte del transmisor-receptor; (iii) producir una firma digital utilizando la clave privada; y (iv) verificar que un mensaje cifrado que se ha recibido procede de un componente gestor de la seguridad, utilizando una clave pública para una clave privada asociada con el componente gestor de la seguridad; y (d) un almacenamiento seguro, que contiene la plantilla modelo de una biométrica de un usuario, la clave privada generada y la clave pública para la clave privada asociada con el componente gestor de la seguridad. El dispositivo identificador personal digital está configurado para producir un mensaje de respuesta a interrogación firmado digitalmente, utilizando la clave privada generada, siguiendo a la generación de la señal de coincidencia en respuesta a una interrogación recibida desde el componente gestor de la seguridad, y para la transmisión del mensaje de respuesta. El dispositivo identificador personal digital está configurado adicionalmente para impedir la transmisión de cualquiera de las plantillas modelo de una biométrica de un usuario, y de la clave privada.

Una unidad de base está asociada con la estación de trabajo y está configurada para iniciar y mantener comunicaciones sin cables o inalámbricas con el dispositivo identificador personal digital. Las comunicaciones se extienden a lo largo de un área definida por una envolvente asociada con la estación de trabajo, de tal manera que la forma y área de la envolvente están configuradas para abarcar o encerrar las posiciones próximas a la estación de trabajo en la que un observador puede leer y/o comprender información presentada visualmente en una pantalla de la estación de trabajo.

Un servidor central seguro tiene acceso a almacenamiento de red y utiliza el componente gestor de la seguridad y el dispositivo identificador digital personal para autentificar al usuario. El almacenamiento de red contiene una clave pública correspondiente a la clave privada generada por el dispositivo identificador personal digital.

Preferiblemente, la unidad de base transmite regularmente una primera señal al dispositivo identificador personal digital y el dispositivo identificador personal digital transmite automáticamente una respuesta en respuesta a la misma, cuando el dispositivo identificador personal digital se encuentra dentro de la envolvente. El sistema comprende, preferiblemente, una pluralidad de los dispositivos identificadores digitales personales, una pluralidad de estaciones de trabajo y una pluralidad de unidades de base, de tal forma que hay una unidad de base asociada con cada una de las estaciones de trabajo y cada unidad de base transmite una señal de averiguación o sondeo a cada dispositivo identificador personal digital situado dentro de la envolvente asociada de la unidad de base, siguiendo a la recepción, por parte de la unidad de base, de la señal de respuesta procedente de cada dispositivo identificador personal digital.

Preferiblemente, todos los datos mantenidos en el almacenamiento seguro del dispositivo identificador personal digital son, por sí mismos, no identificadores del usuario y el almacenamiento de red incluye datos identificadores del usuario que se presentan visualmente en una pantalla de la estación de trabajo cuando el dispositivo de identificación personal del usuario está situado dentro de la envolvente.

De preferencia, una vez que el usuario ha sido autentificado para su acceso a la red en la estación de trabajo, el acceso por parte del usuario a aplicaciones a través de la red viene determinado por un componente gestor de estrategia o criterio de acción, que dirige el componente gestor de la seguridad.

Breve descripción de los dibujos

Se hará referencia a continuación a los dibujos que se acompañan, que ilustran, a modo de ejemplo, una realización preferida de la presente invención (y en los que los mismos números de referencia se refieren, en todos ellos, a elementos similares):

la Figura 1 es un diagrama de bloques general del sistema de la presente invención para asegurar una red de comunicaciones por medio del control del acceso a la misma;

la Figura 2 es un diagrama de bloques esquemático que muestra componentes de un dispositivo identificador personal digital (PDI -"personal digital identifier") de acuerdo con la presente invención, en el que el PDI está situado en un soporte de recarga del dispositivo (cuna) para el acceso a la red desde una ubicación de un único usuario y segura:

la Figura 3 es un diagrama de bloques que muestra componentes de una unidad de base (BU -"base unit") del sistema de seguridad de la presente invención;

las Figuras 4(a), 4(b) y 4(c) son diagramas de esquema de flujo que ilustran una captación de usuario y un procedimiento de conexión identificada de acuerdo con la presente invención; y

las Figuras 5(a) y 5(b) son diagramas de esquema de flujo que ilustran el procedimiento utilizado por el sistema de seguridad de la realización preferida de la invención para producir firmas digitales.

Descripción detallada de la realización preferida que se ilustra

Un sistema de seguridad preferido de acuerdo con la invención se ilustra en la Figura 1 de los dibujos. Una pluralidad de estaciones de trabajo 100, que consisten en computadoras personales (PCs -"personal computers") en la realización preferida, se comunican, a través de una red 200 que es una cualquiera de entre una red de comunicaciones global, una red de área extensa (WAN -"wide area network"), una red de área metropolitana (MAN -"metro area network") o una red de área local (LAN -"local area network"). En cada uno de tales PCs 100, que proporcionan un punto de acceso a la red 200, existe un dispositivo 50 de unidad de base (BU -"base unit"), conectado al acceso o puerta de comunicaciones del PC (que es la puerta de USB en la realización ilustrada), y un componente de software o programación de gestor de dispositivo (DM -"device manager") 150, que remite mensajes tales como los que se dan entre la BU 50 y un servidor central de seguridad 300. Uno o más dispositivos identificadores personales digitales (PDIs -"personal digital identifiers") 10 se comunican con la BU 50 cuando el PDI se encuentra dentro de una envolvente de detección asociada con el PC 100 y con la BU 50 conectada al mismo. El PDI 10 se comunica con la BU 50 utilizando comunicaciones sin cables o inalámbricas (se utilizan IR (infrarrojos) para esta realización, pero se dispone de otros medios ópticos o de RF (radiofrecuencia) para uso en otras realizaciones alternativas posibles) y se entrega a los individuos a los que se permite el acceso a la red a través del PC 100, por los que es portado o llevado.

La BU 50 se comunica con el PDI 10 utilizando los mismos medios de comunicaciones inalámbricas, e inicia automáticamente las comunicaciones con cualquiera de tales PDI 10 que esté situado dentro de la envolvente de detección. Esta envolvente de detección se establece de tal modo que se extienda sobre el área situada enfrente de, y al lado de, la pantalla de presentación visual del PC 100, de manera que incluya cualquier par persona / PDI que esté lo suficientemente cerca como para ver la pantalla y sea capaz de leer o comprender los contenidos presentados visualmente en la pantalla. Al configurar de este modo la envolvente de comunicaciones entre el par BU 50 / PC 100 y el PDI 10, el sistema de seguridad detecta todos los PDI's conforme, y cuando, las personas que los llevan entran dentro del alcance efectivo de visión de un PC 100.

El PC 100 se comunica a través de la red 200 con un servidor (servidores) 300 en los que marchan las aplicaciones de gestor de seguridad (SM -"security manager") 340, gestor de estrategia o criterio de acción (PM -"policy manager") 320 y gestor de transacción (TM -"transaction manager") 380. El gestor de transacción 380 gestiona todas las comunicaciones entre el servidor(es) central(es) seguro(s) 300 y otros dispositivos de la red, incluyendo el gestor 150 de dispositivo y cualesquiera aplicaciones relevantes que marchen o funcionen en el PC 100 ó en otros servidores de red. El gestor de seguridad 340 dirige todas las acciones que implican criptografía y firmas digitales. El gestor de criterio de acción 320 determina si ha de limitarse el acceso por parte de un usuario a aplicaciones o a datos de la red, y, en caso de ser así, dirige el gestor de seguridad 340 para que limite al acceso por parte del usuario en consecuencia. Se accede a un componente 360 de autoridad de registro (RA -"registration authority"), que comprende un componente de software (a saber, un conjunto o grupo de aplicaciones de registro) y una base de datos segura, a través del servidor central 300.

Haciendo referencia a la Figura 2, el dispositivo PDI 10 contiene tan sólo una pequeña cantidad de circuitos y es simple, de peso ligero y manejable. El PDI 10 incluye un componente 35 de captación biométrica que, en la realización que se ilustra, incluye un transductor de microchip de huella dactilar que toma una imagen del dedo del usuario utilizando un sensor no óptico, de estado sólido, a fin de confirmar la identidad del usuario. Transductores para detectar otros tipos de biométrica, tales como características de la voz, configuración del iris y rasgos faciales, y convertirlos en señales representativas, constituyen otras opciones de las que se dispone para uso en una realización diferente, cuando sea apropiado. El (los) microprocesador(es) 20 se proporciona(n) para procesar o tratar la inscripción y la verificación de la biométrica del usuario, a fin de crear y verificar firmas digitales y para implementar criptografía asimétrica y/o simétrica. El almacenamiento seguro 25, como es bien conocido en la técnica, se proporciona para almacenar de forma segura únicamente claves criptográficas y la plantilla biométrica del usuario. No se almacena en el PDI 10 ningún dato identificable individualmente (es decir, datos que por sí mismos identifiquen directa o indirectamente al usuario), debido a que ello podría entonces dar lugar a la posibilidad de que una tercera parte no autorizada y con gran destreza captara tanto la identidad del usuario como la plantilla biométrica de ese usuario, en el caso de que dicha parte fuese capaz, de algún modo, de penetrar en el almacenamiento seguro y conseguir acceder a los datos almacenados en él. Un transceptor, o transmisor-receptor, de comunicaciones inalámbrico 15 permite comunicaciones inalámbricas de corto alcance (utilizando infrarrojo cercano a 890 nm). Una batería recargable 40 alimenta un sistema de gestión de potencia con el fin de permitir que el PDI 10 marche de forma continua durante un periodo de tiempo adecuado (por ejemplo, 2 semanas o más). Cada PDI 10 tiene, asignado a él, un número de identificación (ID) globalmente único, y, por tanto, cada dispositivo es reconocible por su número ID. Se ha proporcionado también un cargador 5 de baterías para recargar la batería 40 del PDI 10, y puede utilizarse un soporte (cuna) 250 de dispositivo de recarga para conectar el PDI 10 directamente al PC 100 por medio de un dispositivo conectador 42 de puerta de comunicaciones (por ejemplo, un dispositivo conectador de USB), que se conecta a la puerta de comunicaciones del PC, siendo esta conexión directa (es decir, este modo "atado" en el que no es necesaria una BU 50 ni se utiliza para ese PC 100) de utilidad para conseguir una introducción segura de identificación en la red desde una ubicación segura en la que tan sólo se espera que esté presente un único usuario, por ejemplo, una oficina doméstica. El soporte de dispositivo está configurado para cooperar con el alojamiento del PDI de tal manera que el PDI sea soportado de forma segura por el soporte de dispositivo cuando el PDI se coloca apropiadamente en relación con el soporte de dispositivo.

Haciendo referencia a la Figura 3, el dispositivo 50 de unidad de base (BU) incluye también un transmisor-receptor de comunicaciones inalámbrico 55 que permite comunicaciones inalámbricas de corto alcance (utilizando el infrarrojo cercano a 890 nm). El transmisor-receptor 55 y la colocación de la BU 50 están configurados, tal como se ha establecido, de manera que permiten la recepción de cualquier PDI 10 dentro de una envolvente de detección predeterminada que rodea el PC 100. Un(os) microprocesador(es) 60 gestiona(n) las comunicaciones entre el PDI 10 (o los PDIs si hay más de un PDI dentro del alcance de comunicación inalámbrica de la BU) y la BU 50, y entre la BU 50 y el PC 100. Se ha proporcionado un dispositivo conectador 65 de puerta de comunicaciones (por ejemplo, un dispositivo conectador de USB) con el fin de conectar la BU 50 al PC principal 100.

Cada PDI 10 y BU 50 incluye una combinación de dispositivos físicos o hardware y programación o software que controla el funcionamiento de los transmisores-receptores 10, 55, respectivamente, de tal forma que éstos funcionan con unas características de alcance y angulares que se aproximan estrechamente a la capacidad del ojo humano para leer la pantalla de presentación visual de un PC 100 asociado, de tal manera que se detecta por la BU 50 la presencia de cualquier par persona / PDI que esté lo suficientemente cerca de a ese PC principal como para leer o comprender los datos que hay en su pantalla de presentación visual. La forma y el tamaño de la envolvente de detección son controlables y pueden variarse a través de una combinación de cambios de hardware y de software aplicados a la BU y al PDI con el fin de adaptarse a configuraciones locales de PC / estación de trabajo o a requisitos de organización. Un experto de la técnica es fácilmente capaz de conseguir tales variaciones según se desee para cualquier configuración dada. El software de comunicaciones permite a cualquiera de entre todos los PDIs 10, dentro de dicha envolvente de detección predeterminada, ser captado por la unidad de base 50, y la unidad de base mantiene las comunicaciones cada uno de dichos PDIs, en forma de una conversación, por tanto tiempo como el que se encuentren dentro de la envolvente de detección. Las conversaciones comprenden cadenas cifradas de datos y están configuradas para permitir la detección de cualquier otro dispositivo que trate de unirse a la conversación. Con el fin de simplificar la continuación de esta conversación cuando el usuario se aparta de la línea visual o de otro modo oscurece el camino óptico entre el PDI 10 y la BU 50, es posible incluir un segundo transmisor-receptor tanto en el PDI como en la BU, que utiliza un modo de comunicaciones no direccional, tal como ondas de radiofrecuencia (RF) de corto alcance. Este modo no será utilizado para iniciar una conversación, pero puede mantenerla en marcha durante cortos periodos de
tiempo.

Cada PDI 10 incluye también un componente criptográfico de software que gestiona la creación de uno o más pares de clave pública/privada dentro del PDI 10 y todo el tratamiento subsiguiente en el PDI 10 que involucra al cifrado y al desciframiento de mensajes. La autenticidad del PDI 10 se confirma por medio de un protocolo de comunicaciones, por lo que se utiliza una clave privada incorporada (es decir, contenida dentro del PDI) para firmar digitalmente una interrogación enviada al PDI por el componente gestor de seguridad (SM -"security manager") 340, que funciona en el servidor central 300 de la red. De forma importante, el PDI 10 autentifica primeramente el gestor de seguridad como la fuente de los mensajes recibidos desde éste utilizando una clave pública incorporada del gestor de seguridad. El módulo criptográfico de software del PDI está configurado para firmar un compendio de mensaje generado y remitirlo al PDI por el gestor de seguridad, basándose en un mensaje procedente de una aplicación externa. Antes de que el PDI firme dicho compendio de mensaje, éste autentifica que el compendio de mensaje llega realmente del gestor de seguridad, mediante la verificación de la clave del gestor de seguridad utilizada para crear el compendio. Esto salvaguarda el PDI contra el hecho de ser suplantado en la firma de cualquier documento diferente del que debería firmar.

Para el sistema cerrado de la presente invención, la infraestructura criptográfica es relativamente simple y comprende un registro de base de datos de las claves públicas, soportado por una jerarquía de una sola capa, y un servidor seguro, destinado a proporcionar validación en conexión a la línea, o en línea, de firmas digitales.

Se ha incluido un componente de software biométrico en el componente de captación biométrico 35 de cada PDI 10. Este componente de software convierte una representación digital de una imagen biométrica recibida desde el microchip 35 de huella dactilar, en una plantilla, y trata de hacer coincidir esa plantilla con una plantilla modelo o patrón de la biométrica del usuario, que ha sido captada y almacenada en el instante en que el usuario es registrado con el sistema de seguridad. Un algoritmo de coincidencia del componente biométrico compara una plantilla generada a partir de una representación de entrada instantánea o en tiempo real (es decir, en vivo) de la biométrica del usuario (esto es, suministrada como entrada desde el microchip de huella dactilar) con la plantilla modelo almacenada en el PDI, en la memoria segura 25, y suministra como salida, para su transmisión al gestor de seguridad, un mensaje firmado digitalmente y que contiene el resultado de la comparación. En cualquier instante dado, en cumplimiento de una petición por parte del componente gestor de criterio de acción 320 ó a intervalos de tiempo predeterminados, el PDI 10 es capaz de verificar un usuario mediante la comparación de una nueva plantilla obtenida de la biométrica de entrada del usuario, de forma instantánea o en tiempo real, con la plantilla almacenada, y dicha verificación se lleva a cabo completamente dentro del PDI 10 (es decir, utilizando sus propias instalaciones), sin que haya ninguna diseminación de los datos almacenados utilizados para hacerlo.

El PC 100 incluye un componente de software 150 gestor de dispositivo (DM -"device manager"), el cual recibe información desde la BU 50 y se comunica, a su vez, con el componente 380 gestor de transacción (TM -"transaction manager") que funciona en el (los) servidor(es) central(es) 300. Cuando la BU 50 pierde las comunicaciones con la PDI 10 durante un periodo de tiempo predeterminado asignado, se pone fin a la conversación entre la BU 50 y el PDI 10, y el TM 380 notifica a un componente gestor de criterio de acción (PM -"policy manager") 320 que el PDI 10 no se encuentra ya dentro de la envolvente de detección predeterminada. Cuando el TM 380 recibe noticia de que se ha detectado un nuevo PDI 10 por parte de la BU 50, da instrucciones al PC 100 para presentar visualmente al usuario detectado información de estado acerca del procedimiento de introducción de identificación, o conexión identificada, y, en caso apropiado, invita a un usuario autorizado a introducir su identificación en el sistema. Dependiendo de los ajustes del gestor de criterio de acción, cualquier información delicada que se esté presentando visualmente en ese momento en la pantalla como parte de una sesión existente para la que se ha hecho una introducción de identificación, se oscurece u oculta automáticamente. La pantalla no se restablece hasta que el usuario del nuevo dispositivo PDI detectado se haya autentificado él mismo biométricamente con el gestor de seguridad, y el gestor de criterio de acción haya determinado que tiene el derecho a ver estos datos en calidad de observador.

Además, al notificársele un PDI detectado, el componente gestor de transacción 380 dirige el PC 100 a la presentación visual (en su pantalla de presentación visual) de un identificador visual del usuario detectado, por ejemplo, el nombre del usuario o, preferiblemente, la imagen facial del usuario, recuperada de la base de datos de registro. Esto proporciona dos comprobaciones de seguridad. En primer lugar, se proporciona con ello una potente notificación visible a un usuario autorizado que trabaja con dicha pantalla de presentación visual, de la identidad de todas las personas situadas dentro del alcance visual de la pantalla, y esto ayuda al usuario a protegerse contra el acceso no autorizado a los datos (por cuanto que el usuario conoce entonces de inmediato el momento en que otra persona entra dentro del alcance que permite leer la información presentada visualmente en la pantalla, y puede ver exactamente de qué persona se trata). En segundo lugar, un usuario que trabaja en una pantalla esperará ver en la pantalla imágenes de todas las personas que se encuentran en el área de la pantalla y, si no se detecta la imagen de una de esas personas, el usuario será entonces alertado de que el PDI de esa persona, que no ha sido así detectado, es defectuoso y necesita ser cargado, reparado o reemplazado. Opcionalmente, esta característica puede ser utilizada para controlar un punto o lugar de entrada dentro de un edificio, a fin de proporcionar un encargado de estación de trabajo (por ejemplo, un guardia de seguridad) provisto de una presentación visual, instantánea y automática, de una imagen de la persona, que se registra en forma de PDI, conforme un par persona / PDI pasa por esa estación de trabajo (la imagen así presentada visualmente y la persona que lleva ese PDI han de ser la misma en una situación segura). De forma similar, si una persona malintencionada intenta ver información para la que no tiene legitimidad de acceso mientras otro usuario está conectado identificadamente, o bien si trata de entrar en una ubicación segura llevando un disfraz, el hecho de que su imagen no sea presentada visualmente alertará de inmediato a los usuarios legítimos presentes de que algo va mal.

El componente gestor de seguridad 340 gestiona los procedimientos seguros que tienen lugar entre el PDI 10 y otros componentes del sistema de seguridad de red, tales como la base de datos 360 de autoridad de registro, y también los mensajes enviados por aplicaciones externas a un usuario, y viceversa, que requieren la verificación y/o firmas digitales. El gestor de seguridad autentifica un PDI 10 utilizando un mecanismo de interrogación / respuesta que integra firmas digitales, por lo que todas las acciones adicionales pueden ser adoptadas únicamente por un usuario autentificado. El gestor de seguridad crea también un compendio de mensaje de cualquier (cualesquiera) documento(s)
o transacción (transacciones) que se ha(n) de transmitir al usuario, y una identificación de entrada atestiguada o atestada de todos los sucesos del sistema (siendo el procedimiento de atestiguación digital bien conocido en la técnica y utilizado para fijar, en un documento firmado, tanto un instante / fecha como la firma de una tercera parte de confianza). Además de ello, el gestor de seguridad puede, dependiendo de la aplicación, comunicarse y consultar con un componente gestor de criterio de acción 320 que aplica reglas de negocios y planificación de la producción con el fin de proporcionar un control granular de los datos extraídos de las bases de datos. Esto ocurre en la situación en la que una aplicación requiere diferentes niveles de seguridad para distintos usuarios, es decir, en la que diferentes usuarios van a tener diferentes niveles de autorización para el acceso a los datos sobre la base de una clasificación jerárquica, tal como cuando se han de permitir datos altamente confidenciales tan sólo a un número limitado de usuarios.

El sistema de seguridad utiliza un procedimiento estructurado y riguroso para registrar un nuevo usuario. Un usuario ya existente a quien el sistema ha asignado el privilegio de registro de nuevos usuarios (el privilegio de registrador), ha de estar conectado identificadamente a la red y haciendo uso de una aplicación de registro de forma el terminal delantero o frontal del componente de autoridad de registro (RA -"registration authority") 360. Puede estar presente también en la misma BU 50 un usuario (al que se hace referencia aquí como un garante) para quien el nuevo usuario que se ha de registrar es conocido. La base de datos de autoridad de registro contiene información acerca de los usuarios, sus cometidos (por ejemplo, garante) y sus privilegios de registro de nuevos usuarios. En algunas circunstancias, por ejemplo, el usuario con privilegios de registro puede actuar también en el papel de garante. Se introducen entonces algunos datos biográficos básicos acerca de un nuevo usuario, que incluyen posiblemente el (los) nombre(s) del nuevo usuario, su dirección, su fecha de nacimiento, los números de los documentos de soporte que se utilizan para establecer su identidad, y cualesquiera otros datos específicos para los que el sistema pueda haberse configurado con el fin de captar dicha imagen facial de la persona. Los datos así introducidos se almacenan únicamente en la base de datos de RA, y no en el PDI 10. Se entrega entonces al usuario un dispositivo PDI y se comprueba la operatividad del PDI haciéndolo pasar por las etapas de captación del PDI por parte de una BU 50 del PC 100, y de comprobación del PDI utilizando el gestor de seguridad para garantizar que éste se encuentra en el estado correcto para su asignación a un nuevo usuario; si es así, entonces se inicia un procedimiento de suscripción o alta como sigue. Utilizando su(s) microprocesador(es) 20, el propio dispositivo PDI genera y almacena internamente la plantilla biométrica del usuario y una o más claves públicas y privadas. El PDI toma muestras de la huella dactilar del nuevo usuario hasta que se consigue una plantilla de huella dactilar consistente y satisfactoria. La plantilla de huella dactilar resultante que se consigue no es transferida a ningún componente externo del sistema, sino que se almacena dentro del dispositivo PDI en su almacenamiento seguro. Ninguna información biométrica acerca de la huella dactilar abandona nunca el dispositivo PDI. Se dan entonces instrucciones al PDI 10 por parte de la aplicación de registro para generar uno o más pares de claves, y la totalidad de la(s) clave(s) privada(s) así generada(s) permanece(n) siempre en el interior del PDI 10 y no se transfiere(n) nunca fuera del PDI. Las claves públicas así generadas son remitidas al servidor central 300 y almacenadas en la base de datos de RA 360. El gestor de seguridad también alberga sus propias claves privadas en almacenamiento seguro, y la clava pública para al menos una de éstas se proporciona al PDI y se mantiene el almacenamiento seguro del PDI. Estas claves privadas y públicas se utilizan tras ello por parte del PDI y del SM para verificar o crear firmas digitales, transacciones e interrogaciones dirigidas al PDI del nuevo usuario o desde el mismo. Durante el procedimiento de registro del nuevo usuario, el garante puede ser requerido para confirmar su identidad a través del chip de huella dactilar dispuesto en el dispositivo de PDI del garante, de tal manera que se crea una firma digital siempre y cuando el garante haya avalado al nuevo usuario.

Los PDIs 10 del presente sistema de seguridad están protegidos contra manipulación indebida entre la fabrica (el emplazamiento de su fabricación) y el lugar de uso (contra sucesos que ocurran, bien durante el suministro inicial o bien durante el mantenimiento del dispositivo) por procedimientos criptográficos. Los dispositivos PDI de nueva fabricación se programan con una clave pública para el gestor de seguridad en la entidad o establecimiento de recepción y con una clave privada de expedición o emisión inicial. Cuando estos dispositivos PDI son enviados al establecimiento, se comunica al establecimiento, de forma independiente y segura, una lista de sus números de ID únicos. Durante el procedimiento de registro de un nuevo usuario, el PDI se autentifica a sí mismo al gestor de seguridad utilizando la clave privada de expedición inicial (de la que el gestor público tiene la clave pública), y el gestor de seguridad se autentifica a sí mismo al PDI utilizando su clave privada. Adicionalmente, el número de ID único del dispositivo PDI se comunica al gestor de seguridad y éste se empareja con la lista de números de ID de dispositivo PDI recibida desde la fábrica. Este protocolo protege contra la construcción de dispositivos fraudulentos, y el mismo protocolo se emplea para los dispositivos PDI devueltos al establecimiento a continuación de su mantenimiento en la fábrica.

La conexión con entrada de identificación y otros privilegios se encuentran disponibles en un dominio de red dado únicamente para los PDIs que se han registrado con la autoridad de registro asociada con ese dominio de red, pero, debido a que cada PDI 10 tiene también un número de ID único, éste es reconocido por el gestor de seguridad con independencia de la autoridad de registro particular que se utilizó originalmente para su registro. En consecuencia, la naturaleza global del número de ID del PDI permite una integración de diferentes sistemas de seguridad (es decir, sistemas que funcionan bajo diferentes autoridades de registro), al compartir las bases de datos de las diferentes autoridades de registro.

Las etapas llevadas a cabo por el sistema de seguridad durante la captación (es decir, la detección por parte de una BU 50 de que un PDI 10 está dentro de alcance) y la subsiguiente verificación de un PDI para el acceso por conexión identificada, se describen por medio del diagrama de flujo de las Figuras 4(a) a 4(c). La BU transmite una señal de IR constante a todos los puntos que rodean el PC 100 / BU 50 y que se encuentran dentro de la envolvente de detección. Tan pronto como un PDI entra en esa envolvente, recibe su señal de IR de la BU e inmediatamente responde a la BU iniciando su captación por parte de la BU. La BU añade entonces el PDI al bucle de averiguación o sondeo. Un PDI es captado por cualquier BU para la que se encuentre al alcance, con independencia de si el PDI es registrado en el sistema o no. La etapa de captación se lleva a cabo en un nivel de procedimiento bajo, por lo que la BU añade el nuevo dispositivo PDI a un bucle de sondeo con el fin de supervisar el PDI, y envía un mensaje al gestor de seguridad central identificando y solicitando el número de ID único del PDI. Si el PDI es un dispositivo registrado en el sistema, el usuario tiene un privilegio de conexión identificada y no hay nadie conectado identificadamente en el PC 100 (estación de trabajo), entonces se invitará al usuario a conectarse identificadamente en el PC 100. Si el PDI es un dispositivo registrado en el sistema pero alguien se ha conectado ya identificadamente en el PC 100, cualquier información delicada (según se determine por el gestor de estrategia o criterio de acción) puede ser ocultada de inmediato, y presentarse visualmente en el PC 100 un identificador visual del usuario asociado con el PDI detectado. Dependiendo de los privilegios de este nuevo usuario para ver los datos asociados con la sesión de conexión identificada en curso en ese momento, puede permitirse entonces al nuevo/a usuario/a autentificarse biométricamente a sí mismo/misma y permanecer como observador/a. Esto tiene lugar mediante el mismo procedimiento que en el resto de la conexión identificada normal, a excepción de que en la última etapa el TM grabará la presencia del observador y solicitará a la aplicación de red o al PC 100 el restablecimiento de la pantalla, en lugar de conectar identificadamente al usuario. Para un usuario que intenta, bien conectarse identificadamente o bien convertirse en un observador, la siguiente etapa consiste en que el SM prepara un mensaje de interrogación que tiene en él alguna información escogida aleatoriamente, y que el SM firma digitalmente con su clave privada. Este mensaje se transfiere entonces al dispositivo PDI. El usuario es invitado por una presentación visual en la pantalla a conectarse identificadamente (que incluye, opcionalmente, su nombre), mediante la colocación de su dedo en el chip de huella dactilar y la confirmación de su identidad. El dispositivo PDI confirma en primer lugar que ha recibido un mensaje procedente del procedimiento de SM legítimo, al verificar la firma digital contenida en el mensaje utilizando la clave pública del SM que está almacenada en el dispositivo PDI. Se capta entonces la huella dactilar del usuario y se extrae la plantilla, que se compara con la plantilla almacenada en el dispositivo. Si existe coincidencia, entonces se envía un mensaje de vuelta al SM, que contiene la interrogación y confirma que el usuario ha sido identificado biométricamente. Este mensaje se firma digitalmente por el dispositivo PDI utilizando su clave privada, almacenada dentro de él. El mensaje de confirmación es autentificado por el SM utilizando la clave pública del dispositivo PDI, que se almacena en la autoridad de registro y se comprueba para garantizar que la interrogación ha sido devuelta correctamente. Esto protege contra cualquier ataque de reproducción. Si el dispositivo PDI se está utilizando como medios de autentificación para un procedimiento individual de anuncio del comienzo de la conexión (SSO -"single sign-on"), en el que se concede el acceso de conexión identificada a un PC 100 de una red, el TM 380 envía entonces un mensaje al componente de conexión identificada del PC 100, solicitando que se conecte identificadamente el usuario.

Si el usuario del PC 100 ya se ha conectado identificadamente en el PC 100 y desea acceder a una aplicación o aplicaciones basadas en una red concreta, entonces el TM 380 se autentificará mutuamente por sí mismo, a través del SM, con un servidor segundo que hace funcionar la(s) aplicación (aplicaciones), e informará a este servidor de que el usuario se ha conectado identificadamente. En el campo del cuidado de la salud, por ejemplo, existe una normativa emergente para la gestión de contexto de los PCs denominados de CCOW (Grupo de Trabajo de Objetivos en el Contexto Clínico -"Clinical Context Object Workgroup"), que permite el compartimiento de identificaciones de conexión. El TM 380 interaccionará entonces con las aplicaciones habilitadas según el CCOW, a fin de permitir al usuario acceder únicamente a ese subconjunto de aplicaciones y datos para los que se ha determinado que son apropiados por parte del gestor de criterio de acción 320, utilizando la información acerca de los cometidos y privilegios del usuario, obtenida de la base de datos de la autoridad de registro 360. En general, el gestor de seguridad 340 y el gestor de criterio de acción 320 actúan conjuntamente como filtro de seguridad en todas las aplicaciones de red y datos, a lo largo de toda la sesión de conexión identificada del usuario.

Puede grabarse un PDI en el sistema de seguridad como perdido o robado. En esta situación, una vez que el PDI ha sido captado, el SM verifica el PDI y, como resultado de ello, determina que el PDI se liste como perdido. La BU que captó el PDI es ahora conocida por el gestor de seguridad, y, además, el gestor de seguridad conoce tanto la ubicación de esa BU como la proximidad del PDI a esa BU. Esta información que identifica la ubicación del PDI se comunica entonces a un usuario designado (tal como un administrador o coordinador de seguridad) con el fin de que el PDI perdido pueda ser recuperado y, si ha sido robado, pueda ser aprehendida la parte responsable.

Durante la sesión de conexión identificada del usuario, siguiendo a la introducción de identificación para conexión, el dispositivo PDI y la unidad de base se comunican periódicamente para garantizar que el PDI aún se encuentra dentro de la envolvente de detección, y esta conversación incluye comunicaciones criptográficas que garantizan que la unidad de base es capaz de detectar cualquier intento por parte de otro dispositivo (no autorizado) para insertar mensajes en la cadena de comunicación. Si el PDI del usuario detiene la comunicación con la BU durante un primer periodo de tiempo predeterminado, por ejemplo, si el usuario se aleja de la estación de trabajo con el fin de obtener algo, el DM dirige la estación de trabajo de manera que lleve a cabo un procedimiento de desconexión predeterminado para garantizar que ninguna persona no autorizada pueda continuar utilizando la aplicación en lugar del usuario autorizado. Puede ser ésta una desconexión automática temporal en virtud de la cual el DM dirigirá una reasunción del funcionamiento de la aplicación en el punto en que se encontraba el usuario cuando la BU perdió su capacidad para comunicarse con el PDI del usuario, en el caso de que se detecte de nuevo el PDI del usuario dentro de un segundo periodo de tiempo, predeterminado y corto. Opcionalmente, el sistema puede ser configurado para requerir que el usuario vuelva a verificar biométricamente su presencia con el PDI en el curso de la sesión de conexión identificada, y esto puede desencadenarse de forma aleatoria, por tiempo transcurrido o por decisiones del gestor de criterio de acción 320, basándose en el acceso por parte del usuario a datos o aplicaciones específicas. Esto garantiza que el usuario permanece físicamente presente con el PDI durante toda la sesión de conexión identificada.

En el procedimiento de captación/verificación, tal y como se ha ilustrado con el diagrama de flujo de las Figuras 4(a) a 4(c), el sistema establece un enlace fuerte, tanto en el espacio como en el tiempo, entre la autentificación biométrica del usuario y la verificación criptográfica del PDI, del usuario y del gestor de seguridad, de tal manera que se establece de forma segura que el usuario autorizado está presente con el PDI asignado a ese usuario y se comunica correctamente con el gestor de seguridad. La identidad del usuario se identifica en tiempo real, en el interior del PID, tal y como se ha descrito aquí, al comparar la plantilla biométrica almacenada con la plantilla biométrica generada a partir del transmisor-receptor biométrico en vivo (por ejemplo, el microchip de huella dactilar), siendo ambas retenidas dentro del PDI a lo largo de este procedimiento. El PDI y el gestor de seguridad se verifican mutuamente el uno al otro con el uso de firmas digitales comunicadas de acuerdo con un protocolo de interrogación/respuesta, y se le notifica al gestor de seguridad, por parte del PDI, en tiempo real, para cualquier firma de documento / transacción dada, la identidad de un usuario por medio de un mensaje firmado digitalmente.

En el curso de la utilización de una aplicación, puede darse el requisito de que el usuario firme digitalmente un documento u otra forma de transacción (por ejemplo, la prescripción de un medicamento). Las etapas adoptadas por el sistema para crear una firma digital para un documento / transacción se describen por el diagrama de flujo de las Figuras 5(a) y 5(b). El procedimiento de firma es solicitado por la aplicación, que remite el documento / transacción que se ha de firmar al SM. El SM crea un mensaje que contiene las direcciones de fuente y de destino, un compendio de mensaje del documento / transacción, un sello temporal y datos aleatorios. Este mensaje se firma entonces digitalmente y se remite al dispositivo PDI.

El dispositivo PDI verifica primeramente la firma del SM, y ello impide la posibilidad de que otro procedimiento pueda efectuar una petición de firma del dispositivo PDI o que el compendio de mensaje pueda ser manipulado indebidamente o sustituido. En el caso de que la petición de firma incluya un requerimiento para confirmar la identidad del usuario, entonces es la responsabilidad de la aplicación solicitar que el usuario firme digitalmente, de forma activa, el documento o transacción que está en ese momento bajo revisión. El usuario ha de colocar entonces su dedo en el chip de huella dactilar. El dispositivo PDI aguarda entonces a que el usuario coloque su dedo en el dispositivo. Una vez que se detecta la colocación de un dedo, la imagen se capta, procesa y compara con la plantilla almacenada. Si la plantilla coincide con el dedo presentado, se crea un mensaje que contiene las direcciones de fuente y de destino, el compendio de mensaje del documento/transacción original y datos aleatorios. Este mensaje se firma entonces digitalmente y se envía a la BU, desde donde es remitido al SM. Si el dedo no coincide con la plantilla, se permite al usuario un cierto número de reintentos, tras lo cual se envía al SM un mensaje firmado digitalmente que indica la falta de coincidencia. El SM consulta la clave pública del dispositivo PDI utilizando la ID única del dispositivo PDI, y el mensaje se verifica utilizando esta información. Llegados a este punto, el resultado de la autentificación de identidad se hace pasar a la aplicación que solicita la autentificación y, en caso necesario, se envía una copia del mensaje firmado digitalmente a un servicio de atestiguación seguro.

La firma digital puede ser utilizada para garantizar que los datos del documento / transacción básica no se han cambiado tras este hecho. Dada la naturaleza del procedimiento anterior, que incluye la verificación biométrica de la identidad, éste puede también funcionar de modo que rebata cualquier tentativa por parte del usuario para repudiar la firma.

El presente sistema de seguridad proporciona una autentificación positiva, en tiempo real, de la presencia de un usuario en un punto de acceso concreto a la red, y establece y supervisa un camino o recorrido cifrado seguro entre el punto de acceso a la red y un servidor de red escogido. Proporciona también, adicionalmente, unos medios fiables para recoger firmas digitales.

Claims (22)

1. Un dispositivo identificador personal digital (10) para controlar el acceso a una red informática (200), de tal modo que dicha red comprende una pluralidad de estaciones de trabajo (100), cada una de las cuales tiene una unidad de base (50) asociada con ella, estando dicha unidad de base configurada para comunicaciones inalámbricas con dicho dispositivo identificador personal digital, y dicha red comprende adicionalmente un servidor central (300) que utiliza un componente gestor de seguridad (340) y un almacenamiento de red, de tal modo que dicho componente gestor de seguridad está asociado con una clave privada y una clave pública correspondiente, y dicho almacenamiento de red contiene una clave pública correspondiente a una clave privada albergada por dicho dispositivo identificador personal digital, de manera que dicho dispositivo identificador personal digital es ligero de peso, está configurado para ser llevado y/o portado por un usuario registrado en el mismo, y comprende:

(a) un componente de comunicaciones inalámbrico (15), que comprende un transceptor, o traductor-receptor, destinado a comunicarse con dicha unidad de base;

(b) un componente (35) de captación biométrico, destinado a obtener una biométrica de entrada del usuario y a producir una representación digital de la misma;

(c) un procesador (20), configurado para comunicarse con dicho transmisor-receptor y con dicho componente biométrico, y susceptible de hacerse funcionar para:

(i)

evaluar si una plantilla obtenida a partir de dicha representación digital se corresponde con una plantilla modelo o patrón obtenida de una representación digital biométrica del usuario, previamente producida por di- cha componente biométrica, y generar una señal de coincidencia cuando se determina tal correspondencia;

(ii)

generar dicha clave privada albergada por dicho dispositivo identificador personal digital, y dicha clave pública correspondiente a la misma, y suministrar como salida dicha clave pública generada para su transmisión por parte de dicho transmisor-receptor;

(iii)

producir una firma digital utilizando dicha clave privada;

(iv)

verificar, utilizando dicha clave pública, para dicha clave privada asociada con dicho componente gestor de seguridad, que la fuente de un mensaje cifrado recibido aparentemente desde dicho gestor de seguridad, es dicho componente gestor de seguridad;

(d) un almacenamiento seguro (25), que contiene una plantilla maestra de una biométrica del usuario, dicha clave privada generada y dicha clave pública para dicha clave privada asociada con dicho componente gestor de seguridad;

(e) una fuente de suministro de potencia (5); y

(f) un alojamiento,

de tal manera que dicho dispositivo identificador personal digital está configurado para producir, utilizando dicha clave privada generada, un mensaje de respuesta a interrogación firmado digitalmente, siguiendo a dicha generación de dicha señal de coincidencia en respuesta a un mensaje de interrogación recibido desde dicho componente gestor de seguridad, y para transmitir dicho mensaje de respuesta, y dicho dispositivo identificador personal digital está configurado para impedir la transmisión de cualquiera de entre dicha plantilla modelo de una biométrica del usuario y dicha clave privada.

2. Un dispositivo identificador personal digital de acuerdo con la reivindicación 1, en el que dicho componente biométrico incluye un transductor.

3. Un dispositivo identificador personal digital de acuerdo con la reivindicación 1, en el que se transmite automáticamente una señal de respuesta desde dicho transmisor-receptor en respuesta a una señal recibida por dicho transmisor-receptor desde una de dichas unidades de base.

4. Un dispositivo identificador personal digital de acuerdo con la reivindicación 1, en el que todos los datos albergados en dicho almacenamiento seguro son, por sí mismos, no identificadores de dicho usuario.

5. Un dispositivo identificador personal digital de acuerdo con la reivindicación 2, en el que dicho transductor comprende un sensor de huella dactilar de estado sólido.

6. Un dispositivo identificador personal digital de acuerdo con la reivindicación 5, en el que dicho transmisor-receptor transmite y recibe señales ópticas.

7. Un dispositivo identificador personal digital de acuerdo con la reivindicación 6, en el que dicho transmisor-receptor transmite y recibe señales de radiofrecuencia.

8. Un dispositivo identificador personal digital de acuerdo con la reivindicación 1, en combinación con un soporte de dispositivo, de tal manera que dicho soporte de dispositivo está configurado para cooperar con dicho alojamiento de dicho dispositivo identificador personal digital de tal modo que dicho dispositivo identificador personal digital es soportado por dicho dispositivo de soporte cuando éste se coloca apropiadamente con respecto a dicho dispositivo de soporte, comprendiendo dicho soporte de dispositivo un dispositivo conectador de comunicaciones destinado a acoplar comunicativamente dicho dispositivo identificador personal digital directamente a una de dichas estaciones de trabajo cuando dicho dispositivo identificador personal digital es soportado por dicho soporte de dispositivo.

9. Un sistema de seguridad para controlar el acceso a una red informática por un punto de acceso a la red que comprende una estación de trabajo, de tal modo que dicho sistema comprende:

A. un dispositivo identificador personal digital de acuerdo con la reivindicación 1,

B. una unidad de base, asociada con dicha estación de trabajo y configurada para iniciar y mantener comunicaciones inalámbricas con dicho dispositivo identificador personal digital, de tal modo que dichas comunicaciones se extienden en un área definida por una envolvente asociada con dicha estación de trabajo; y

C. un servidor central, que tiene acceso al almacenamiento de red y que utiliza dicho componente gestor de seguridad y dicho dispositivo identificador personal digital para autentificar a dicho usuario, de tal manera que dicho almacenamiento de red contiene una clave pública correspondiente a dicha clave privada generada por dicho dispositivo identificador personal digital.

10. Un sistema de seguridad de acuerdo con la reivindicación 9, en el que dicho componente biométrico incluye un transductor.

11. Un sistema de seguridad de acuerdo con la estación 9, en el que dicha estación de trabajo es una computadora personal.

12. Un sistema de seguridad de acuerdo con la reivindicación 9, en el que dicha unidad de base transmite regularmente una primera señal a dicho dispositivo identificador personal digital y dicho dispositivo identificador personal digital transmite automáticamente una señal de respuesta en respuesta a la misma, cuando dicho dispositivo identificador personal digital se encuentra dentro de dicha envolvente.

13. Un sistema de seguridad de acuerdo con la reivindicación 12, que comprende una pluralidad de dichos dispositivos identificadores personales digitales, una pluralidad de estaciones de trabajo y una pluralidad de unidades de base, de tal manera que hay una unidad de base asociada a cada estación de trabajo, transmitiendo cada unidad de base una señal de averiguación o sondeo a cada uno de dichos dispositivos identificadores personales digitales situados dentro de dicha envolvente asociada a la unidad de base, siguiendo a la recepción por dicha unidad de base de dicha señal de respuesta desde cada uno de dichos dispositivos identificadores personales digitales.

14. Un sistema de seguridad de acuerdo con la reivindicación 9, en el cual todos los datos albergados en dicho almacenamiento seguro de dicho dispositivo identificador personal digital son, por si mismos, no identificadores de dicho usuario.

15. Un sistema de seguridad de acuerdo con la reivindicación 9, en el cual dicho almacenamiento de red incluye datos identificadores de dicho usuario, destinados a presentarse visualmente en una pantalla de dicha estación de trabajo cuando dicho dispositivo de identificación personal del usuario se encuentra situado dentro de dicha
envolvente.

16. Un sistema de seguridad de acuerdo con la reivindicación 9, en el cual dicha envolvente tiene una forma y un área que están configuradas para abarcar o encerrar las posiciones próximas a dicha estación de trabajo en las que un observador puede leer y/o comprender información que se presenta visualmente en una pantalla de dicha estación de trabajo.

17. Un método para controlar el acceso a una red informática en la que unas estaciones de trabajo (100) proporcionan puntos de acceso a dicha red, de tal manera que dicha red (200) incluye un servidor central (300), que se comunica con dichas estaciones de trabajo (100) y un almacenamiento de red seguro, y una unidad de base (50), configurada para iniciar y mantener comunicaciones inalámbricas con un dispositivo identificador personal, digital y portátil (10), portado o sujeto por un usuario que está asociado con cada una de dichas estaciones de trabajo, de tal modo que dichas comunicaciones inalámbricas se extienden a lo largo de un área definida por una envolvente asociada con dicha estación de trabajo, de manera que dicho método comprende las etapas de:

(a) al registrar un dispositivo identificador personal, digital y portátil, para un usuario, dentro de dicho dispositivo identificador personal, digital y portátil:

recibir una biométrica de entrada de dicho usuario, producir una representación de la misma, obtener de dicha representación digital una plantilla modelo, mantener de forma segura dicha plantilla modelo en almacenamiento, generar y mantener de forma segura en dicho almacenamiento una clave privada, generar una clave pública correspondiente a dicha clave privada generada y proporcionar dicha clave pública generada para su almacenamiento en dicho almacenamiento de red, y recibir y almacenar en dicho almacenamiento una clave pública para una clave privada asociada con un componente gestor de seguridad de red;

(b) transmitir una primera señal desde una unidad de base asociada con una de dichas estaciones de trabajo, a dicho dispositivo identificador personal digital, y transmitir automáticamente desde dicho dispositivo identificador personal digital una señal de respuesta que establece comunicaciones entre dicha unidad de base y dicho dispositivo identificador personal digital en respuesta a dicha primera señal, cuando dicho dispositivo identificador personal digital se encuentra dentro de dicha envolvente;

(c) recibir en dicho dispositivo identificador personal digital un mensaje de interrogación firmado digitalmente, aparentemente desde dicho componente gestor de seguridad de red, y verificar, dentro de dicho dispositivo identificador personal digital, el origen de dicha interrogación utilizando dicha clave pública para dicha clave privada asociada con dicho componente gestor de seguridad;

(d) captar, en dicho dispositivo identificador personal, digital y portátil, una biométrica de entrada de dicho usuario, producir una representación digital de la misma y obtener de dicha representación digital una plantilla biométrica;

(e) evaluar, dentro de dicho dispositivo identificador personal, digital y portátil, si dicha plantilla biométrica se corresponde con dicha plantilla modelo o patrón, y generar una señal de coincidencia cuando se determina dicha correspondencia;

(f) producir, dentro de dicho dispositivo identificador personal digital, utilizando dicha clave privada generada, un mensaje de respuesta a interrogación firmado digitalmente, siguiendo a dicha generación de dicha señal de coincidencia en respuesta a dicho mensaje de interrogación, y transmitir dicho mensaje de respuesta a dicho componente gestor de seguridad con el fin de autentificar a dicho usuario; y

(g) permitir a dicho usuario autentificado acceder a dicha red informática a través de dicha estación de trabajo.

18. Un método de acuerdo con la reivindicación 17 y que comprende adicionalmente configurar la forma y el área de dicha envolvente para que abarque o encierre las ubicaciones próximas a dicha estación de trabajo en las que un observador es capaz de leer y/o comprender la información que se presenta visualmente en una pantalla de dicha estación de trabajo.

19. Un método de acuerdo con la reivindicación 17 y que comprende adicionalmente, siguiendo a la recepción, por parte de dicha unidad de base, de dicha señal de respuesta desde dicho dispositivo identificador personal digital, transmitir desde dicha unidad de base una señal de averiguación o sondeo a dicho dispositivo identificador personal digital, a fin de determinar si dicho dispositivo identificador personal digital permanece situado dentro de dicha envolvente asociada a la unidad de base.

20. Un método de acuerdo con la reivindicación 17 y que comprende adicionalmente presentar visualmente en una pantalla de dicha estación de trabajo datos que identifican a dicho usuario cuando dicho usuario es identificado.

21. Un método de acuerdo con la reivindicación 17 y que comprende adicionalmente registrar inicialmente a dicho usuario por medio de un registrador, en presencia de un garante, de tal modo que dichos registrador y garante son, cada uno de ellos, usuarios registrados de la red informática, y dicho registrador tiene acceso a la red informática y es verificado por dicho componente gestor de seguridad de manera que tenga privilegios de registro, y que requiere: que dicho garante proporcione a dicho componente gestor de seguridad un mensaje firmado digitalmente de forma biométrica, a fin de autentificar dicho garante, y que cada uno de dichos registrador, garante y usuario permanezcan dentro de dicha envolvente durante dicho registro de dicho usuario.

22. Un método de acuerdo con la reivindicación 17, por el que un componente gestor de estrategia o criterio de acción puede comandar que la pantalla de dicha estación de trabajo sea oscurecida u ocultada cuando un nuevo dispositivo identificador personal digital se desplaza a una posición dentro de dicha envolvente, hasta el instante en que el usuario registrado con dicho dispositivo identificador personal digital sea identificado biométricamente.