Descripción técnica de ID Uruguay
Los servicios digitales que ofrece el Estado uruguayo requieren diferentes niveles de seguridad y garantías de identidad, de acuerdo a la criticidad de la información que manejan o a las acciones que pueden sucederse una vez consumidos por la ciudadanía.
ID Uruguay tiene un esquema llamado Single Sign On, que tiene como objetivo la formación de una federación de identidades de los diferentes organismos en torno a un único proveedor de identidades (Identity Provider - IdP). El objetivo es que las personas cuenten con un único conjunto de credenciales y un único punto para autenticarse. Una vez que la persona se crea un usuario, automáticamente puede ir a cualquiera de los organismos que lo integran sin necesidad de volver a iniciar sesión o proveer credenciales adicionales, haciendo que el esquema de autenticación sea totalmente centrado en la ciudadanía.
Objetivo
El propósito de este artículo es describir las características de Usuario.gub.uy para dar un panorama funcional de la aplicación.
Se detallan qué necesidades de los organismos cubre la plataforma una vez realizada la integración, así como también los requerimientos que se deben cumplir para concretarla. Adicionalmente, se realiza una introducción a los distintos procedimientos que deben respetar los organismos que deseen integrarse con ID Uruguay.
Descripción general
ID Uruguay es un producto que brinda servicios de autenticación a todos aquellos Proveedores de Servicio (SP, por sus siglas en inglés) que tengan el interés de unirse a la federación de identidades mediante una integración técnica.
Muchas veces el concepto de "autenticación" está relacionado con la "autorización", debido a que para la mayoría de los casos es transparente para las personas. Dado que este producto se limita exclusivamente a la autenticación de personas, es necesario diferenciar los siguientes conceptos:
- Registro: es el proceso en el cual una persona se registra en el sistema. Condición necesaria para la autenticación con usuario y contraseña.
- Autenticación: es un procedimiento por el cual se verifica que una persona es quien dice ser.
- Autorización: es el paso siguiente a la autenticación y consiste en asegurar que cierta funcionalidad es solamente accesible a aquellos personas que tienen los permisos correspondientes.
Por lo tanto, ID Uruguay finaliza su rol una vez que autentica a la persona y le comunica al SP que esta es quien dice ser mediante el protocolo seguro de integración utilizado. Como consecuencia, el SP otorga los accesos que considere pertinentes para cada caso en particular en forma autónoma.
Para utilizar ID Uruguay, cada persona debe registrarse. A excepción de la autenticación con Cédula de Identidad Digital, que es un caso particular de autenticación con certificado digital y no requiere que la persona se registre.
Cada persona que complete el registro tendrá su cuenta asociada a credenciales básicas (usuario y contraseña) y, por lo tanto, puede establecer una sesión autenticándose con ellas. Adicionalmente, pueden firmar digitalmente un formulario para acceder a un nivel superior que garantiza su identidad dentro del sistema.
Proceso de autenticación
La autenticación de las personas se puede realizar por dos vías: autenticación mediante el uso de la Cédula Digital o autenticación mediante usuario y contraseña.
Autenticación mediante Cédula de Identidad Digital
La ciudadanía puede utilizar su Cédula de Identidad con chip para autenticarse en la plataforma. Para ello, es necesario contar con un lector de tarjetas inteligentes, donde se inserta la cédula, y colocar el PIN del documento una vez solicitado. El resto de los componentes necesarios para utilizar este medio se instalan automáticamente en el navegador de la persona la primera vez que se utilice el servicio.
Este método otorga a la identidad digital de la persona un nivel de seguridad superior, ya que dos factores para verificar su identidad: algo que tiene (cédula) y algo que sabe (PIN).
Autenticación mediante usuario y contraseña
Otra forma de autenticación es mediante un usuario y contraseña, obtenidos al momento del registro. Existen diferentes vías de registro, como se detallan a continuación.
Registro presencial: la persona se dirige en forma presencial a un Agente de Registro y este, a través de una interfaz especialmente delegada para él, lo registra en el sistema.
Autoregistro: la persona ingresa a la página de registro de ID Uruguay y sus datos. Se le envía una confirmación al correo electrónico ingresado y al aceptarla, se crea la cuenta básica del usuario en el IdP.
Certificado: una vez activada la cuenta, es posible firmar un contrato mediante Firma Digital Avanzada con el fin de asegurar una garantía de identidad de certificado, equivalente a la presencial.
Para completar el registro, se aceptan todos los documentos nacionales de identidad emitidos por países de América del Sur. Para el resto del mundo, es obligatorio el uso de pasaporte.
Garantías de identidad
La modalidad de autoregistro ofrece comodidad, pero no otorga demasiadas garantías respecto a la identidad de la persona dueña de la cuenta de usuario básica. Es por esto que, además de los datos ingresados, el sistema asigna automáticamente dos campos más que indican el nivel de validación de identidad con el que se cuenta en un momento dado:
- Certificado: si se realizó validación de identidad firmando el contrato de habilitación de usuario con la cédula de identidad.
- Presencial: si se realizó validación de identidad de forma presencial.
Acceder a más información sobre las garantías de identidad.
Requerimientos de integración con Usuario gub.uy
Los organismos que tengan el interés de utilizar Usuario gub.uy deberán adoptar una serie de consideraciones. En esta sección se presenta un resumen de los cambios que implica para los organismos el uso de Usuario gub.uy.
Definición de los Agentes de Registro
Se encarga de realizar el registro presencial de las personas, así como también elevar la identidad de los usuarios a un nivel presencial, en el caso de que se trate de un autoregistro.
Además de registrar usuarios, las personas con el rol de Agentes de Registro están capacitadas para evacuar dudas de la ciudadanía sobre este tema.
El organismo interesados deberá definir al menos una persona como Agente de Registro. El procedimiento para la creación de los Agentes de Registro es el siguiente:
- El organismo firma un contrato de adhesión en el cual se acuerdan las responsabilidades del organismo con respecto a la creación, uso y eliminación de personas con el rol de Agente de Registro.
- El responsable de la integración del organismo debe solicitar al responsable de la integración por parte de Agesic que se le asigne el rol de Agente de Registro a las personas designadas, indicando el documento de identidad de cada una de ellas.
- Las personas designadas deben tener una garantía de identidad presencial o certificada para poder ser dados de alta en el rol de Agente de Registro.
- El responsable de la integración de Agesic solicita los permisos correspondientes y notifica al organismo cuando el rol quede asignado a las personas indicadas.
Definición de usuarios aceptados
Son todas las personas que poseen un documento de identidad nacional emitido por algún país de América del Sur o los que cuenten con pasaporte de cualquier país del mundo. Además, cada organismo puede definir si aplica controles adicionales para el uso de su aplicación.
Mesa de Ayuda de Nivel 1
Todo organismo que desee integrarse al sistema necesita contar con personal capacitado para dar soporte de primer nivel, tanto a los usuarios como a los Agentes de Registro, en caso de que fuera necesario.
Integración de aplicaciones
Para concretar la integración con el sistema es necesario que los proveedores de servicio adapten sus aplicaciones según los requerimientos tecnológicos de Usuario gub.uy. Acceder a mayor información sobre la integración técnica con servicio de autenticación.
Marco jurídico
Para ejecutar el proceso de integración con la plataforma se debe firmar un Contrato de Adhesión que podrá encontrar con nombre "Habilitación de Usuario gub.uy.pdf".
Vías de soporte y capacitación
Manual para Agentes de Registro
Se cuenta con un Manual de Agentes de Registro donde se detallan las funcionalidades de la consola para administración de usuarios.
Preguntas frecuentes
Las FAQ son preguntas frecuentes acerca de todo lo relacionado con el sistema. Acceder a las preguntas frecuentes de Usuario gub.uy
Flujo de soporte al sistema de Usuario gub.uy
El flujo siempre comienza con alguna consulta disparada por los ciudadanos. Si estos se encuentran en el ámbito de una aplicación de los organismos, su consulta entra por medio de su mesa de ayuda. En el caso en que la consulta surja desde la pagina de Usuario gub.uy, el canal de resolución es por Atención a la Ciudadanía.
Mesa de Ayuda de organismo
Una vez aquí, o bien se resuelve el problema o se escala hacia el soporte de Agesic en caso de fallas técnicas o a Atención a la Ciudadanía en caso de que la Mesa de Ayuda del organismo no cuente con los recursos como para resolver el problema.
Atención a la Ciudadanía
Este canal recibe tanto consultas desde las Mesas de Ayuda de los organismos como de la ciudadanía. En caso de que alguna entrada se clasifique como "falla técnica", se deriva hacia el Soporte de Agesic; lo mismo sucede ante problemas no detectados como técnicos, pero de alta complejidad y a los que no se les encuentre solución.
Soporte Agesic
A este nivel deben llegar fallas exclusivamente técnicas de funcionamiento del sistema, a las cuales se les busca solución directamente con el responsable del servicio en caso de ser necesario.
Caso particular de consultas de Agentes de Registro
Para el caso particular de consultas que salgan directamente de los Agentes de Registro, el canal de entrada debe ser la Mesa de Ayuda de su organismo; luego, el flujo sigue el cauce natural explicado anteriormente.
Políticas de gestión de cuentas
- El usuario tiene 30 días a partir del registro para activar la cuenta utilizando el enlace de activación que es enviado a su correo electrónico. Luego de vencido el plazo, el enlace deja de funcionar y la cuenta se elimina; por lo tanto, si desea registrarse, debe repetir el procedimiento de registro.
- Políticas de contraseña: Debe tener entre 8 y 20 caracteres y no puede contener el nombre de usuario.