PSD2

EDITRAN es una plataforma de comunicaciones, desarrollada por Indra, sobre redes de datos e Internet que posibilita la comunicación directa entre aplicaciones informáticas residentes en diferentes máquinas y sistemas operativos de diferentes empresas, organismos y entidades públicas o privadas.

 

Siempre que EDITRAN esté actualizado a las últimas versiones y esté configurado adecuadamente y de manera segura, se considera que es un protocolo de pago corporativo seguro que garantiza al menos un nivel de seguridad equivalente a los previstos en la Directiva (UE) 2015/2366 ya que:

 

1. EDITRAN permite el uso de un elemento de conexión intermedio (proxy) y la verificación de la IP remota. Permite además encriptar la comunicación extremo a extremo. Todo ello garantiza un nivel mínimo de seguridad en la comunicación y envío de información.

 

2. EDITRAN permite la autenticación del cliente y la asociación de un elemento de autenticación a la transacción mediante firma electrónica (la clave privada de la firma electrónica puede considerarse como un elemento de posesión y la palabra clave que permite acceder a la clave privada de la firma electrónica puede considerarse un elemento de conocimiento, además la propia firma queda asociada a la transacción siendo un elemento dinámico).

 

Puesto que el nivel de seguridad depende de manera decisiva tanto de la versión de EDITRAN instalada como de la configuración específica (el nivel de flexibilidad permitido a nivel de configuración es muy grande), se deben seguir las siguientes indicaciones:

 

1. Debe actualizarse a la última versión disponible EDITRAN siempre que sea posible. Debido a las mejoras de seguridad que introduce se recomienda tener instalada al menos la versión 5.2: EDITRAN 5.2 utiliza la nueva versión de criptografía 4.0 de EDITRAN, elimina el cifrado DES como mecanismo de autenticación de extremos, amplía el soporte a claves RSA de longitud 2048 y 4096 bits e incorpora el algoritmo de cifrado AES.

 

2. Se recomienda la instalación del componente EDITRAN/PX, ubicándolo en la DMZ, en el caso de no disponer de una configuración equivalente a nivel de seguridad (ej. proxy o gateway de uso general ubicado en la DMZ y que admita EDITRAN).

 

3. Se recomienda que los envíos de ficheros que contengan datos relativos a servicios de pago dentro del ámbito de la PSD2 deben ir firmados, en el caso de que no sea posible debe disponerse de mecanismos de autenticación alternativos equiparables. La firma puede integrarse en EDITRAN utilizando el módulo EDITRAN/FF o bien se puede realizar con otros mecanismos alternativos de firma electrónica. Es imprescindible para garantizar el uso de mecanismos de autenticación equiparables a la autenticación reforzada requeridos en la PSD2.

 

4. Es imprescindible para garantizar el uso de mecanismos de autenticación equiparables a la autenticación reforzada requeridos en la PSD2. Cifrado de datos. Se debe aplicar un cifrado seguro que utilice técnicas reforzadas y ampliamente reconocidas por entidades relevantes en materia de ciberseguridad, tales como la Agencia de la Unión Europea para la Ciberseguridad (ENISA).
   1. El cifrado de datos debe estar siempre activado, cuando sea posible podrá añadirse algún elemento adicional de seguridad (ej. túneles VPN).
   2. La conexión e intercambio de claves simétricas se debe realizar utilizando preferentemente algoritmos seguros como RSA (preferencia por longitudes de clave de 2048 o 4096 bits frente a 1024 bits). No debe utilizarse el algoritmo DES, salvo que existan medidas de seguridad adicionales que eliminen los riesgos asociados al uso de dicho algoritmo, tales como la implementación de una VPN.
   3. Algoritmos de cifrado de datos:
      • DES cifrado DES con clave simple: No debe utilizarse salvo que existan medidas de seguridad adicionales que eliminen los riesgos asociados al uso de dicho algoritmo, tales como la implementación de una VPN.
      • TD2 cifrado Triple DES con clave doble: No es recomendado, debe evitarse siempre que sea posible en nuevas instalaciones y/o actualizaciones y migrar a algoritmos recomendados.
      • TD3 cifrado Triple DES con clave triple: No recomendado, debe evitarse siempre que sea posible en nuevas instalaciones y/o actualizaciones y migrar a algoritmos recomendados.
      • AES cifrado AES-128: Recomendado.
      • AE2 cifrado AES-192: Recomendado.
      • AE3 cifrado AES-256: Recomendado y preferido.