Negli ultimi mesi abbiamo assistito ad un forte sviluppo e ad una conseguente. Il decalogo della firma grafometrica

Transcript

1 Il decalogo della firma grafometrica Dieci requisiti indispensabili per una soluzione efficiente, sicura e rispettosa della privacy di Giovanni Manca Esperto di digitalizzazione documentale nella PA e sicurezza ICT Negli ultimi mesi abbiamo assistito ad un forte sviluppo e ad una conseguente diffusione di un particolare tipo di firma elettronica avanzata nota come firma grafometrica. La percezione che si ha osservando l offerta è quella di una televendita con fornitori molto convincenti ma spesso, (per fortuna non sempre) poco preparati. Quello che illustriamo nel seguito deve essere considerato come una sorta di modesto e sintetico decalogo dei requisiti indispensabili per una soluzione di firma grafometrica efficiente, sicura e rispettosa della normativa sulla privacy. Il decalogo non vuole esaurire e risolvere tutti i dubbi ma è un punto di partenza e anche un adeguato tratto di strada per essere consapevoli di quello che ci viene offerto e per gestirne il rischio di utilizzo. Introduzione Per iniziare è opportuno ricordare cos è una firma grafometrica. Essa è quel particolare tipo di firma elettronica avanzata che si ottiene dal rilevamento dinamico dei dati calligrafici (ritmo, pressione, velocità, inclinazione della penna, movimento, ecc.) della firma di un individuo tramite una penna elettronica. Questa tipologia di sottoscrizione si sta diffondendo molto rapidamente nelle banche, anche se il più opportuno termine biometrica, viene sostituito con grafometrica forse per qualche sorta di pudore nei confronti dei temi della privacy. 53

2 La firma grafometrica è quel particolare tipo di firma elettronica avanzata che si ottiene dal rilevamento dinamico dei dati calligrafici della firma effettuata con penna eletronica Quindi nel seguito, anche noi, ci adeguiamo alla moda e parlando di grafometria piuttosto che di biometria. Nel seguito del presente articolo illustriamo in modo sintetico le funzionalità della firma grafometrica dal punto di vista strettamente biometrico, ma anche da quello della sicurezza dei sistemi di sottoscrizione. Questo per rispondere ai quesiti dei nuovi potenziali utenti che ancora si avvicinano con un certo scetticismo a questo tipo di soluzioni informatiche. Ma anche per frenare gli entusiasmi di alcuni fornitori d assalto che, ad esempio, affermano che la firma grafometrica non ha implicazioni di privacy perché l unica biometria con tali potenziali problemi è quella delle impronte digitali. Questo è totalmente falso! La biometria della firma grafometrica è uguale alle altre e deve essere affrontata nella legge e nelle specifiche regole del ben noto codice della privacy (196/2003). Dopo gli aspetti funzionali generali passeremo al decalogo introdotto nel titolo e nelle premesse. Ma iniziamo adesso a illustrare come funziona la firma grafometrica partendo dagli aspetti generali di architettura dei sistemi. Architettura dei sistemi grafometrici Alla data esistono una dozzina di sistemi software che consentono una firma grafometrica. A tali sistemi viene associato l hardware della tavoletta che è meno numeroso e fa capo a una numerosità pari a circa la metà dei fornitori di software. Uno di essi è decisamente leader almeno in termini di numerosità di componenti distribuite sul mercato. Pur nella specifiche caratteristiche dei singoli sistemi l architettura di massima di ciascuno di essi è pressoché la stessa. Sulla postazione di lavoro fissa o portatile viene installato un software che colloquia con la tavoletta grafica. La connessione tra tavoletta e computer avviene tramite un cavo con interfaccia USB. Se si opera con un portatile dotato di schermo sensibile ovviamente la tavoletta non deve essere utilizzata. E altresì interessante citare il fatto che recentemente anche uno smartphone è stato dotato di schermo sensibile alla pressione e di penna elettronica; tramite esso è quindi possibile generare firme elettroniche avanzate di tipo grafometrico. Visto che parliamo di sottoscrizione è necessario disporre di un documento che tipicamente viene generato in modalità applicativa in formato PDF con la disponibilità di uno o più campi firma. Il campo firma viene presentato al sottoscrittore in modalità esplicita sulla tavoletta. E opportuno prevedere che per un alta user experience, il documento sia presentato sulla tavoletta oltre che sullo schermo del computer. L utente firma e grazie al cosiddetto ink effect l effetto grafico sulla tavoletta e nel campo firma del documento è quello di una classica firma sulla carta. In termini visivi potremmo anche pensare che la firma catturata sia una semplice scansione dell originale, ma ovviamente non è così! Completata la firma l utente può decidere di accettarla premendo con la penna un pulsante di OK sulla tavoletta o di rifarla annullando l operazione appena compiuta. Se l utente ha accettato, il documento è compiutamente firmato e si presenta sullo schermo con la sottoscrizione in bella vista nell apposito campo. Se i sottoscrittori sono più di uno, l operazione si ripeterà per un numero di volte pari a quello dei sottoscrittori. A questo punto gli scettici cominciano a rendere omaggio alla loro caratteristica e esprimono una serie di perplessità. La principale anche perché la più ovvia è: E chi mi garantisce che la mia firma non viene estrapolata dal contesto e poi utilizzata per firmare altri documenti?. Ma abbiamo anche quesiti più sofisticati come: Come è possibile verificare la mia firma in caso di contenzioso? E poiché tre è il numero perfetto vale la pena di citare un terzo quesito frequente: Come la mettiamo con il trattamento di dati personali biometrici e con gli aspetti di privacy? Gli scettici hanno un ruolo importante nelle applicazioni 54

3 dove la sicurezza ICT svolge un ruolo importante perché evidenziano anche in modo pedante le cose poco chiare. Se siamo in grado di rispondere agli scettici in modo convincente e oggettivo sicuramente la nostra soluzione ha delle adeguate caratteristiche di sicurezza. Vediamo quindi come l architettura descritta rende sicure le operazioni che abbiamo appena descritto. La sicurezza della firma grafometrica Analizziamo adesso le principali e fondamentali caratteristiche di sicurezza delle firme grafometriche. Facciamo la descrizione basandoci su caratteristiche generali dei prodotti di mercato, quindi i singoli prodotti possono avere caratteristiche specifiche. Un esempio può essere quello della tavoletta di acquisizione che cifra direttamente i dati biometrici via hardware e che comunque fa parte di un prodotto specifico e quindi non è caratterizzabile in modo generale. Mentre il sottoscrittore esegue la firma i dati biometrici statici e dinamici che la caratterizzano vengono cifrati e memorizzati nel documento utilizzando tecniche asimmetriche. Solo con la conoscenza della chiave primaria i dati biometrici possono essere estratti dal documento sottoscritto e magari esaminati nell ambito di un contenzioso legale. Dopo il completamento delle operazioni di registrazione e memorizzazione i dati non cifrati vengono cancellati dalle memorie e sovrascritti in modo sicuro. Contemporaneamente alla gestione dei dati biometrici viene generata la forma grafica della firma che viene dinamicamente associata al documento. Per garantire la possibilità di verificare l integrità del documento viene calcolata una prima impronta dello stesso più i dati biometrici cifrati con una funzione di hash di tipo SHA 256. Questa informazione viene memorizzata nel documento. Una seconda impronta viene calcolata sulla prima e sui dati biometrici in chiaro. Anch essa viene memorizzata nel documento. Completate le operazioni intermedie il documento viene memorizzato sulla postazione di lavoro. Proseguiamo la nostra descrizione generale con la gestione e verifica dell integrità del documento sottoscritto. sottoscritto viene garantita mediante l utilizzo delle funzioni di hash e il conseguente calcolo delle due impronte sopra descritte. Ricordiamo che l impronta di un documento è diversa per documento e non è possibile allo stato attuale delle conoscenze produrre un documento differente dall originale con la stessa impronta. La prima impronta calcolata serve a garantire un controllo semplice e può essere condotta da qualsiasi utente senza disporre di informazioni riservate come chiavi privati o master key simmetriche. Infatti in questo caso l utente generico può ricalcolare l impronta del documento senza problemi e verificare che il documento non sia stato alterato. Ovviamente la seconda impronta è quella decisiva per le verifiche legali durante contenziosi legali. Essa va svolta in un ambiente con adeguata sicurezza e solo su specifiche autorizzazioni delle parti coinvolte. La master key viene utilizzata per decifrare il dato biometrico e calcolare questa nuova impronta. La verifica di integrità complessa adesso può essere effettuata. In genere la master key è conservata in un ambiente sicuro affidato a un notaio o pubblico ufficiale equivalente. Una valida e più efficiente alternativa sul piano applicativo può L integrità del documento sottoscritto L attento lettore avrà già colto che l integrità del documento

4 Il decalogo consente di focalizzare gli aspetti cruciali della soluzione che si analizza al fine di utilizzarla in un progetto pilota o in un progetto reale essere costituita dalla gestione delle master key da parte di HSM (Hardware Security Module) simili a quelli utilizzati per le firme remote ma specializzati nella gestione delle chiavi crittografiche anche di tipo simmetrico. La firma del documento viene effettuata con la classica tecnica delle chiavi asimmetriche. I certificati digitali contenenti la chiave utilizzati in alcuni prodotti sono auto firmati (self signed) per evitare di dover disporre di infrastrutture specifiche e complesse. Altre soluzioni consentono di utilizzare il certificato personale memorizzato su una smart card ma onestamente non ci spieghiamo, in questo caso, perché si debba utilizzare una firma grafometrica piuttosto che una firma qualificata standard. Appurato che la sicurezza è di livello adeguato rimane da analizzare il tema della verifica della firma grafometrica. La verifica della firma grafometrica La verifica della firma grafometrica ha senso pratico solo se avviene direttamente sul dato biometrico decifrato. Cambia poco in termini operativi tra quei casi che usano la firma per l identificazione del sottoscrittore senza che questa sia stata associata a un documento e quelli che la utilizzano associata al documento sottoscritto. In entrambi i casi il dato biometrico, sia statico che dinamico, viene presentato da appositi tool in modalità forma d onda per ciascuno dei macroparametri che costituiscono la calligrafia del firmatario. Tali dati possono essere analizzati da strumenti automatici che usano le verifiche dinamiche tipiche della biometria con i rischi del caso sui tassi di false accettazioni (è buono il soggetto sbagliato) o di falsi rigetti (è rifiutato il soggetto buono) o da un perito grafologo. Nel primo caso i prodotti di mercato usano tecniche di soglia che sul dato analizzato tendono a tollerare di più (ma con percentuali bassissime) i falsi rigetti. Nel caso del perito, che opera con una professionalità coerente con quanto si fa con il cartaceo, qualche parametro in più che l elettronica mette a disposizione migliora, in generale, l efficacia e la correttezza delle perizie. Il decalogo dei requisiti Il decalogo dei requisiti viene presentato con una cronologia logica che parte dall hardware di acquisizione (la tavoletta grafica) e si chiude con aspetti di gestione commerciale. Ripetiamo che il decalogo non esaurisce tutti gli aspetti sotto analisi ovvero non è la base per un assessment di prodotto esaustivo. Il decalogo certamente consente di focalizzare gli aspetti cruciali della soluzione che si analizza al fine di utilizzarla in un progetto pilota o in un progetto reale. 1) Le caratteristiche del tablet A un analisi visuale i tablet o tavolette grafiche sembrano tutti uguali ma in verità non è così. Già sul piano elettrico possiamo distinguerne tra resistivi, elettromagnetici e a risonanza elettromagnetica. Non è nostro obiettivo specificare quali sono, seppur a nostro avviso, i migliori o i peggiori ma certamente forniamo quali sono i principali elementi di riferimento per capire se stiamo utilizzando uno strumento sofisticato o un clone esteticamente ben realizzato di un pezzo di plastica e silicio. I parametri che caratterizzano il funzionamento della tavoletta sono: la frequenza di campionamento (Es. 200 Hz); la risoluzione in acquisizione (Es dpi); l intervallo di acquisizione Asse X (Es ); l intervallo di acquisizione Asse Y (Es ); l intervallo di acquisizione della pressione (Es ); l area attiva (Es. 99 x 25 mm); la dimensione del display LCD (Es. 99 x 25 mm); la risoluzione del display LCD (Es.396 x 100); la dimensione del pixel (Es. 0,25 x 0,25 mm). L interfaccia della tavoletta è sempre USB 2.0 anche se 56

5 sono disponibili interfacce seriali RS232. E opportuno precisare che i dati riportati come esempio non si riferiscono a una specifica tavoletta ma sono solo di esempio al fine di fornire una specifica misurazione per la comprensione degli oggetti sotto esame. Una buona tavoletta dovrebbe avere una ottima sovrapposizione tra il dato scritto dall utente e quello acquisito dalla stessa. I livelli di pressione non dovrebbero mai saturare la capacità di acquisizione della tavoletta. Se questo accade nelle forme d onda acquisite si osserva un effetto di appiattimento delle stesse perché superato il valore di soglia non si ha più la granularità dei valori in acquisizione. Nelle tavolette resistive sarebbe opportuno conoscere i test pressori visto che l inerzia della superficie al passaggio della penna e il successivo passaggio alla posizione di riposo possono introdurre anomalie nella cattura del dato calligrafico. 2) La sicurezza del colloquio tablet-pc Quando si firma sulla tavoletta i dati biometrici vengono acquisiti e trasmessi in linea al PC. E essenziale che il colloquio sia cifrato e che vengano prevenuti eventuali problemi derivanti da attacchi da man in the middle. Il mercato offre soluzioni di cifratura direttamente dalla tavoletta con un elettronica interna alla tavoletta stessa oppure utilizza l algoritmo di Diffie Hellman - Merkle per uno scambio di chiavi tra le entità finali coinvolte. In genere ci si fida delle dichiarazioni delle brochure sulla reale e efficace implementazione di tali soluzioni. 3) La firma all interno del documento informatico Il documento informatico contiene la firma del titolare al proprio interno in modalità cifrata. Ne consegue che solo se si ha la disponibilità di una master key è possibile disporre della firma grafometrica in chiaro. Ovviamente questo non vale per i parametri statici che caratterizzano l aspetto grafico della firma e che possono essere visualizzati sul documento sottoscritto per esaltare l analogia con la sottoscrizione cartacea. La creazione di questa chiave e i passi intermedi prima della sua protezione sono critici e devono essere ben analizzati. Stesso discorso per il sistema asimmetrico che consente la sottoscrizione vera e propria del documento come descritto in precedenza. 4) La gestione e protezione della master key La master key è evidentemente cruciale per la sicurezza dell intero sistema. Oltre a quanto detto nel punto precedente può essere opportuno analizzare se questa chiave può essere gestita con meccanismi hardware complessi come gli HSM che gestiscono chiavi simmetriche. La prassi operativa odierna protegge la chiave all interno di una busta sigillata custodita da un soggetto affidabile quale può esserlo ad esempio un notaio. Sembra più efficace e moderna una soluzione che protegga questa chiave (ma anche più di una) in un ambiente protetto come quello di un certificare accreditato per la firma digitale e un private server realizzato tramite hardware specializzato per la generazione e gestione anche di chiavi simmetriche.

6 La firma grafometrica è costituita da parametri calligrafici caratteristici dell individuo e come tali la loro verifica non è certa al 100% ma è soggetta a delle soglie operative che fanno capo ai due parametri di riferimento che sono il FAR (False Acceptance Rate) e l FRR (False Rejection Rate) 5) La gestione dei dati temporanei I dati biometrici e gli altri dati non nascono ovviamente protetti. Essi devono essere cifrati il prima possibile o direttamente o tramite la trasmissione su canali di tipo cifrato (VPN o SSL/TLS). Rimane il problema della persistenza in memoria dei dati critici dal punto di vista della sicurezza. È quindi opportuno verificare se vengono realizzati meccanismi che cancellano in modo sicuro i dati temporanei. Lo strumento più diffuso dai prodotti di mercato è costituito dalla cifratura a blocchi dei dati da proteggere sia direttamente dalla tavoletta o con strumenti software. 6) Gli strumenti per l analisi grafologica Abbiamo già illustrato in precedenza i due meccanismi di verifica della firma e del documento sottoscritto. Adesso vogliamo focalizzare l attenzione sull analisi effettuata dal perito grafologico per un parere tecnico magari durante un disconoscimento di un documento sottoscritto. Al perito devono essere messi a disposizione degli strumenti che presentano in modo utilizzabile i vari parametri che caratterizzano la firma del titolare. I prodotti più professionali consentono di affiancare la firma originale con una nuova firma ovvero effettuano delle analisi dinamiche al fine fornire una stima di quanto le due sottoscrizioni siano confrontabili. È opportuno sottolineare che questo strumento non è indispensabile nelle attività correnti. Infatti nel mondo cartaceo solo su specifici atti si verifica se la firma è proprio quella del sottoscrittore. Un classico caso è l utilizzo dello specimen bancario per la verifica degli assegni. Ma è comunque indispensabile che il prodotto in questione ne sia dotato perché prima poi un contenzioso ci sarà e bisognerà essere dotati dei migliori mezzi possibili per gestirlo. 7) La verifica della firma: FAR e FRR La firma grafometrica è costituita da parametri calligrafici caratteristici dell individuo e come tali la loro verifica non è certa al 100% ma è soggetta a delle soglie operative che fanno capo ai due parametri di riferimento che sono il FAR (False Acceptance Rate) e l FRR (False Rejection Rate). In pratica questi parametri percentuali misurano quante volte accetto una firma falsa come valida ovvero rifiuto come falsa una firma valida. Si dovrebbe disporre di informazioni relative alla calibrazione delle soglie statistiche che regolano gli scarti tra il dato di riferimento e quello acquisito. Inoltre anche dei dati di test su FAR e FRR sono quasi indispensabili. Nella letteratura di riferimento questi dati sono rarissimi e non è chiaro se questo è dovuto alla riservatezza dei fornitori o alla loro effettiva indisponibilità. Per dare un idea su valori di riferimento per questi parametri possiamo dire che sono ragionevoli FAR < 0.6% e FRR < 2.8%. È infatti doveroso rigettare firme false al prezzo di rigettare una maggiore percentuale di soggetti buoni. 8) La verifica della firma: server anonimo Uno dei tabù in materia di privacy è quello della costituzione di banche dati contenenti informazioni biometriche. Il mercato peraltro, sta richiedendo soluzioni di firma grafometrica per la verifica dell identità del sottoscrittore. In pratica il sottoscrittore appone qualche firma di riferimento per ottenere una buona qualità nell acquisizione iniziale. Successivamente egli sottoscrive al fine di farsi riconoscere mediante il confronto tra l acquisizione iniziale e quella corrente. Evidenziamo la eventuale criticità di sicurezza data dalla sottoscrizione libera (senza documento) effettuata dall utente. Inoltre la verifica che avviene su un server in generale remoto deve essere gestita in modo anonimo cioè non deve essere possibile intercettare la firma in chiaro e nella banca dati del server non deve esistere la possibilità di estrarre la firma e di associarla al reale titolare. Esistono implementazioni di mercato che realizzano questa soluzione ma non sono disponibili documenti che ne de- 58

7 scrivano la loro reale sicurezza. Ovviamente non si ha notizia nemmeno di certificazioni di sicurezza di adeguata accuratezza. 9) La conformità alle regole tecniche nazionali Il tema sembra essere scontato ma è opportuno verificare gli algoritmi di firma e le funzioni di hash siano conformi alle normative tecniche europee e nazionali. Anche i formati e le strutture dati delle sottoscrizioni digitali dovrebbero essere verificate. La firma elettronica avanzata e conseguentemente la firma grafometrica che ne è un sottoinsieme non devono e non possono garantire interoperabilità, ma è opportuno limitare eventuali problemi di analisi utilizzando soluzioni le più standard possibile. 10) La cultura dei fornitori Quest ultimo punto del decalogo deve essere visto anche con un pizzico di ironia. Si hanno esperienze di forniture commerciali rilevanti dove la cultura dell azienda era talmente scarsa che il cliente ha dovuto cercare, in emergenza, soluzioni alternative presso la casa madre della tecnologia di base. Questo può essere prevenuto evitando i fornitori dell ultima ora e magari intervistando quest ultimo su quanto descritto nel presente decalogo. La situazione del marcato si sta sviluppando rapidamente ma ancora troppo mistero circonda le tecnologie offerte e il mistero nella sicurezza informatica non può che essere sorgente di ragionevole scetticismo. Conclusioni Nel presente articolo abbiamo tentato di fornire un quadro sintetico dell architettura funzionale della firma grafometrica. Ne abbiamo anche evidenziato i principali meccanismi di sicurezza sia nell apposizione che nella verifica. Abbiamo poi illustrato un decalogo di requisiti da utilizzare per comprendere meglio cosa chiedere a un potenziale fornitore di tecnologia o di system integration. Abbiamo descritto luci e ombre ma riteniamo che esistano poche patacche e molte buone offerte anche se non è tutto oro quello che luce. La firma grafometrica è sicuramente molto più sicura di quanto pensano gli scettici ma ancora presenta delle funzionalità poco chiare sia perché non adeguatamente e esaustivamente descritte dai fornitori, sia perché mancano analisi e pubblicazioni condotte da terze parti che tali requisiti siano effettivamente quelli dichiarati. Nella diffusione della firma grafometrica risulta poco diffuso un adeguato approccio organizzativo sulle modalità di utilizzo e sui processi di sicurezza che devono essere messi in campo per le operazioni di attivazione delle postazioni di lavoro o durante la verifica delle firme con i dati biometrici decifrati. Questo approccio risulta molto importante se si vuole realizzare protocolli utilizzabili nell ambito della sanità elettronica. Infine risulta eccessivamente timido l approccio alle tematiche di privacy. I più dicono non essere un problema ma certamente una verifica preliminare (art. 17 del Codice Privacy 1 ) condotta con successo pur essendo relativa al solo caso esaminato aiuterebbe a far evolvere il grado di consapevolezza sulla sicurezza che i fornitori e i system integrator non sempre amano. Il fatto che delle aziende stiano valutando la certificazione Common Criteria della loro soluzione di firma grafometrica è segno che qualcosa nel verso giusto si sta muovendo. In tal senso ci auguriamo che il decalogo illustrato nel presente articolo possa essere una base di lavoro per la scrittura di un adeguato Traguardo di Sicurezza. La storia dei prodotti innovativi con forti implicazioni di sicurezza ICT ci ha insegnato che trascurare la sicurezza non lascia alternative a pericolose circostanze. Perché se ci sono falle di sicurezza queste prima o voi vengono a galla spesso in modo irrimediabile. E rilevare che la firma grafometrica presenta delle falle di sicurezza proprio nel momento della sua crescita sul mercato potrebbe segnarne un significativo rallentamento nella diffusione. 1 Art Trattamento che presenta rischi specifici. 1. Il trattamento dei dati diversi da quelli sensibili e giudiziari che presenta rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell interessato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure ed accorgimenti a garanzia dell interessato, ove prescritti. 2. Le misure e gli accorgimenti di cui al comma 1 sono prescritti dal Garante in applicazione dei principi sanciti dal presente codice, nell ambito di una verifica preliminare all inizio del trattamento, effettuata anche in relazione a determinate categorie di titolari o di trattamenti, anche a seguito di un interpello del titolare. 59