UNIVERSITÀ DEGLI STUDI DELLA CALABRIA. Realizzazione di Web services per l autenticazione "Single Sign On" su infrastruttura PKI/LDAP

Dimensione: px
Iniziare la visualizzazioe della pagina:

Download "UNIVERSITÀ DEGLI STUDI DELLA CALABRIA. Realizzazione di Web services per l autenticazione "Single Sign On" su infrastruttura PKI/LDAP"

Transcript

1 UNIVERSITÀ DEGLI STUDI DELLA CALABRIA Facoltà di Ingegneria Corso di Laurea in Ingegneria Informatica Orientamento Elettronica e Telecomunicazioni Realizzazione di Web services per l autenticazione "Single Sign On" su infrastruttura PKI/LDAP Relatori: Tesi di Laurea di Prof. Nicola FREGA Prof. Antonio VOLPENTESTA Salvatore IACOMETTA Matr Anno Accademico 2003/2004

2 3

3 A papà che, ora che è sempre al mio fianco, gioisce insieme a me per questo traguardo raggiunto 4

4 Sommario INTRODUZIONE CAPITOLO 1: LA SICUREZZA INTRODUZIONE LA FIDUCIA NELLA TERZA-PARTE FIDUCIA SENZA INTERMEDIAZIONI VALIDITÀ DEI CERTIFICATI CERTIFICATION AUTHORITY LA SICUREZZA CONCETTI BASE DI UN SERVIZIO DI SICUREZZA TECNICHE CRITTOGRAFICHE La crittografia simmetrica La crittografia asimmetrica L utilizzo pratico della crittografia LA FIRMA DIGITALE DISTRIBUZIONE SICURA DI CERTIFICATI DIGITALI RICHIESTA DI UN CERTIFICATO DIGITALE IL LATO UTENTE SSL SEQUENZA DI HANDSHAKE CAPITOLO 2: PKI PUBLIC KEY INFRASTRUCTURE FUNZIONI ASSOLTE DA UNA PKI TIPI DI PKI CAPITOLO 3: LDAP LDAP INTRODUZIONE LDAP IN DETTAGLIO COSA È UNA DIRECTORY DIFFERENZE TRA LDAP E DATABASE RELAZIONALI DIFFERENZE TRA LDAP E X LA RADICE DELL'ALBERO ORGANIZATIONAL UNIT I BACKEND CREARE GLI INDICI ACCESS CONTROL LIST REPLICA INTEGRAZIONE DI LDAP IL PACCHETTO LDAP-UTILS SUPPORTO DELLA CRITTOGRAFIA

5 STRUMENTI DI AMMINISTRAZIONE INTEGRAZIONE DI LDAP SUI CLIENT CAPITOLO 4: I WEB SERVICES I WEB SERVICES MOTORI DI RICERCA PER WEB SERVICES UN PO DI ESEMPI UN PRIMO ESEMPIO: UN TRADUTTORE INGLESE-ITALIANO I PARAMETRI CHE SI DEVONO PASSARE: UDDI LE INFORMAZIONI IN XML SCAMBIATE UN SECONDO ESEMPIO: LA JPG DI UN CODICE A BARRE DAL CLIENT AL SERVER: CREARE UN WEB SERVICES UN ALTRO ESEMPIO: IL CODICE IN PHP PER INTERROGARE GOOGLE CAPITOLO 5: INSTALLAZIONE E TEST DEL SERVER COME INIZIARE PROCEDURA PER AUTO-CERTIFICARE IL SERVER, PER CREARE CERTIFICATI-CLIENT E PER RICONOSCERE ALTRI CERTIFICATI-CLIENT COSA ABBIAMO OTTENUTO OVER HTTPS PROVIAMO A FARE DEI TEST MODIFICHIAMO IL FILE DI CONFIGURAZIONE PRELEVARE CON PHP I DATI DEL CERTIFICATO L USO DI UNO SNIFFER CAPITOLO 6: INTERFACCIAMENTO DELL'INFRASTRUTTURA CON TECNOLOGIA WEB SERVICES LA MIA SCELTA: UTILIZZARE NUSOAP E CURL INSTALLARE NUSOAP PER APPLICAZIONI SERVER-CLIENT SOAP IN PHP COS È NUSOAP UN ESEMPIO BANALE: IL WEB SERVICES CHE CONCATENA DUE STRINGHE FUNZIONI CURL, CLIENT URL LIBRARY UN ESEMPIO COMPLETO: WEB SERVICES SU HTTPS CHE INTERROGA LDAP LA STAMPA DI REQUEST E RESPONSE APPLICAZIONI PRATICHE REALIZZATE RIVISTA ON-LINE ASSISTENZA ON-LINE CONSULTAZIONE BILANCI CONSULTAZIONE CODICI FISCALI APPLICAZIONE DA UN SERVER ESTERNO (ARUBA) L UTILITÀ DEL SINGLE SIGN ON IL WSDL DEL MIO WEB SERVICES USUFRUIRE DEI SERVIZI DI UN WEB SERVICES SOLO SE SI È IN POSSESSO DI UN CERTIFICATO-CLIENT VALIDO

6 APPENDICE A: DEFINIZIONI E ABBREVIAZIONI APPENDICE B: SINTESI SULLA CERTIFICAZIONE DIGITALE B.1 I PUNTI DA FISSARE B.1.1 NECESSITÀ E SOLUZIONE B.1.2 CIFRATURA B.1.3 AUTENTICAZIONE B.1.4 INTEROPERABILITÀ B.1.5 PKCS B.1.6 COMPOSIZIONE DI UN CERTIFICATO B.1.7 REVOCA DEI CERTIFICATI B.1.8 COME SI OTTENGONO I CERTIFICATI B.1.9 COME SI USANO I CERTIFICATI B.1.10 APPLICAZIONI B.2 UNA SEMPLICE OSSERVAZIONE SULLA CONNESSIONE SICURA APPENDICE C: INSTALLAZIONI E CONFIGURAZIONI C.1 INSTALLARE E CONFIGURARE MYSQL, APACHE CON SSL, PHP, LDAP C.2 GENERAZIONE DEI CERTIFICATI C.2.1 OSSERVAZIONI SUI CERTIFICATI C.2.2 CREARE CERTIFICATI SSL AUTO-FIRMATI C.2.3 RILASCIARE CERTIFICATI CLIENT A SEGUITO DI UNA RICHIESTA C.2.4 RICHIEDERE UN CERTIFICATO-CLIENT AD UN ENTE CERTIFICATORE UFFICIALE C.2.5 CONSIDERARE VALIDI I CERTIFICATI-CLIENT RILASCIATE DA ALTRE CA C.3 IL MIO WEB SERVICES C.3.1 INSTALLAZIONE DI NUSOAP C.3.2 INSTALLAZIONE DI CURL C.3.3 IL WSDL DEL MIO WEB SERVICES: COME UTILIZZARE IL SERVIZIO APPENDICE D: LE APPLICAZIONI IN PHP D.1 I LISTATI DEI FILE IN PHP D.1.1 VERIFICA L ESISTENZA DI UN DOMINIO: CHECKDOMAIN.PHP D.1.2 CODICE IN PHP PER INTERROGARE IL WEB SERVICES DI GOOGLE D.1.3 LA STAMPA DI REQUEST E RESPONSE DI UN WEB SERVICES CHE REPERISCE SU LDAP INFORMAZIONI SU CERTIFICATI-CLIENT D.2 UN SITO PER TESTARE LE APPLICAZIONI D.2.1 SCARICARE I CERTIFICATI PER I TEST D.2.2 IL LINK AI SERVIZI OFFERTI D.2.3 INVOCARE IL WEB SERVICES SU HTTPS DA HTTP: L ESEMPIO CONCLUSIONI E SVILUPPI FUTURI

7 BIBLIOGRAFIA SOFTWARE UTILIZZATO RINGRAZIAMENTI

8 9

9 Introduzione Questo lavoro di tesi nasce con l intento di effettuare degli studi relativi alla certificazione digitale e all autenticazione su Internet. Ha come primo scopo la realizzazione di un Web server che supporta la connessione sicura over https. Prevede uno studio sui certificati, sulle tecniche crittografiche, sulle PKI. Si è inoltre voluto trattare un argomento fondamentale in questo campo: i servizi basati su directory LDAP. Il servizio basato su directory LDAP ha un architettura client/server: uno o più server LDAP contengono i dati che costituiscono l albero di directory e un client può connettersi ad un server LDAP per interrogarlo. Il server risponde inviando una risposta e/o un puntatore verso risorse dalle quali il client potrebbe ottenere informazioni addizionali (un altro server LDAP). Il lavoro si completa con lo studio dei Web services, analizzando la loro crescente importanza su Internet e la loro facilità di utilizzo e, ovviamente realizzandone uno. Le applicazioni realizzate hanno come obiettivo un integrazione dei suddetti argomenti. 10

10 Capitolo 1: La sicurezza 11

11 1.1 Introduzione Nel contesto dell e-commerce e della sicurezza dei sistemi informatici, si può dare una definizione di fiducia come l aspettativa o la convinzione che la controparte di una transazione si comporterà in accordo ad una data politica e senza intenti criminali; una definizione di fiducia nei sistemi, invece, potrebbe essere l aspettativa o la convinzione che essi siano robusti, affidabili e resistenti di fronte agli attacchi. La fiducia è quindi essenzialmente una convinzione e si assume che sia basata sull evidenza, sull esperienza e sulla percezione. Nel mondo fisico la fiducia nelle cose e in altre persone è basata sull esperienza, sull apparenza e sulle informazioni raccolte: tutti questi aspetti evidenziano il fatto che la fiducia è un fenomeno molto soggettivo. Un altra caratteristica del mondo fisico è che il numero di persone con cui si può entrare potenzialmente in relazione è limitato dalla distanza e da altri limiti fisici, mentre su Internet il limite è rappresentato solo dal numero di persone on-line in quel momento: la sfida è quella di riuscire a stabilire la fiducia in ambito informatico. Il partner di una transazione può essere qualcuno che si è già conosciuto, ma nella maggior parte dei casi sarà qualcuno totalmente sconosciuto e con il quale non si è mai interagito prima: le decisioni sulla fiducia devono essere basate su tutte le evidenze e le informazioni che possono essere raccolte, perciò l atto di decidere se fidarsi o no può essere definito come l attività di collezionare, codificare, analizzare e presentare evidenze rilevanti con l obiettivo di prendere decisioni. La chiave della sicurezza è la fiducia. Sia per uno sviluppatore sia per un fornitore di servizio, l obiettivo è quello di garantire il più alto grado di sicurezza possibile, in modo tale che l utente possa essere sicuro del fatto che le informazioni inviate e ricevute siano e si mantengano private e veritiere; in una forma o nell altra, comunque, ogni sistema di sicurezza si basa sulla fiducia tra gli utenti di quello stesso sistema. Esistono differenti forme di fiducia, a seconda dei problemi da affrontare e dei rischi da limitare, perciò la scelta su quale forma di fiducia applicare viene determinata da scelte politiche. In particolare esistono due importanti forme di fiducia che gli utenti di un sistema che implementa la sicurezza devono essere in grado di capire: fiducia-nella-terza-parte (third-party trust) o indiretta 12

12 e fiducia personale o diretta. Cerchiamo di capire questi concetti e fornire alcune informazioni addizionali La fiducia nella terza-parte Il concetto di fiducia indiretta (third-party trust) si riferisce ad una situazione nella quale due individui si fidano implicitamente l uno dell altro, anche senza aver precedentemente stabilito una relazione personale: in questa situazione la reciproca fiducia può sussistere, perché entrambi conoscono direttamente il medesimo terzo individuo e quel terzo individuo garantisce ognuno dei due sulla affidabilità dell altro. La fiducia-nella-terza-parte è un requisito fondamentale per qualsiasi implementazione su larga scala di un sistema di sicurezza basato sulla crittografia a chiave pubblica, che prevede, cioè, l accesso alle chiavi pubbliche degli utenti. Infatti, in una rete su larga scala, è impraticabile e irrealistico aspettarsi che ogni individuo abbia preventivamente stabilito relazioni con tutti gli altri; inoltre, per il fatto che le chiavi pubbliche devono essere disponibili per tutti, l associazione tra una chiave pubblica e una persona deve essere garantita da una terza parte assolutamente affidabile e irreprensibile, per prevenire «travestimenti». In effetti, gli utenti si fidano implicitamente di una qualsiasi chiave pubblica certificata dalla terza parte, perché l organizzazione di quest ultima è proprietaria e mantiene in modo sicuro l associazione tra la certificazione e l oggetto della fiducia. In generale, l agente di certificazione viene chiamato «Certification Authority» (CA): si tratta di un entità la cui principale responsabilità è quella di certificare l autenticità degli utenti e può essere vista come analoga allo Stato che emette passaporti e carte di identità (identità cartacee). Ogni altro Stato che si fidi dell autorità del primo si fiderà anche del passaporto dell utente: questo è un buon esempio di fiducia-nella-terza-parte. Similmente ad un passaporto, l identità elettronica di un utente, emessa per lui da una CA, è la prova che l utente ha del fatto che una CA si fida di lui; per questo, attraverso la fiducia-nella-terza-parte, chiunque ritenga la CA affidabile dovrebbe anche fidarsi dell utente, per una sorta di proprietà transitiva. Sia l ufficio di emissione passaporti sia la CA sono una combinazione di strutture fisiche di controllo: nel caso dell ufficio passaporti ci sono una serie di controlli fissati dall ordinamento giudiziario, che stabiliscono quali persone sono cittadini 13

13 rispettabili e le modalità per ottenere un passaporto; similmente, una CA può essere pensata come un gruppo di persone facenti parte di un organizzazione, le quali determinano le politiche di sicurezza sulla rete e decidono quali individui possono ricevere identità elettroniche, cioè certificati Fiducia senza intermediazioni Il concetto di fiducia diretta si riferisce ad una situazione nella quale due individui hanno stabilito una relazione di fiducia direttamente tra loro, senza intermediazioni. Mentre la fiducia-nella-terza-parte permette agli individui di fidarsi implicitamente l uno dell altro senza prima aver stabilito alcuna relazione personale, la fiducia diretta si basa sulla conoscenza reciproca, prima dello scambio di informazioni delicate. Per la sicurezza sulla rete è richiesta la fiducia diretta quando individui provenienti da domini separati si scambiano informazioni sulle chiavi per rendere sicure le comunicazioni, poiché le rispettive CA non hanno stabilito una relazione di fiducia attraverso una certificazione incrociata. Senza una fiducia diretta, in questo scenario lo scambio di chiavi non avrebbe alcun valore, perché l informazione sulla chiave stessa potrebbe essere non affidabile (non la chiave in sé, ma i dati del proprietario). Quando si applica la fiducia diretta per rendere sicure le comunicazioni, solamente la responsabilità di ognuna delle parti può dare una qualche garanzia: se si sceglie questa strada significa, probabilmente, che ognuna delle parti ritiene che la fiducia personale sia sufficiente per il tipo di operazioni che si stanno portando avanti. Comunque, quando è presente la fiducia diretta, lo scambio di chiavi tra individui con un rapporto personale fornisce un potente meccanismo per assicurare comunicazioni sicure Validità dei certificati Il certificato di un utente della rete è l equivalente elettronico del suo passaporto e, in quanto tale, un certificato contiene informazioni sicure che possono essere usate per verificare l identità del proprietario: per esempio il certificato ne contiene il nome, 14

14 ma soprattutto la chiave pubblica, che rappresenta la parte critica di informazione per quanto riguarda la sicurezza. Volendo affrontare il problema in termini di fiducia, ci sono due aspetti centrali in relazione ai certificati. - Il primo riguarda la credibilità dell informazione contenuta nel certificato. Come si può pretendere che una persona si fidi del fatto che il nome e la chiave pubblica contenuti in un certificato appartengano veramente a chi dichiara di esserne il proprietario? Come si può essere sicuri che il certificato non sia stato falsificato? Senza questo tipo di credibilità, la crittografia a chiave pubblica crollerebbe come un castello di carte, perché nessuno sarebbe sicuro di crittografare dati per la persona giusta, mentre un certificato sarebbe completamente inutile se non si potesse associarlo ad un preciso individuo. Allora, per stabilire un rapporto di fiducia, deve esserci un intermediario, la CA, che appone la propria firma digitale al certificato, garantendo così l integrità, l autenticazione e il non ripudio dello stesso. - Dopo aver appurato che un certificato è reso credibile dalla firma digitale della CA, il secondo aspetto che porta a fidarsi di un certificato riguarda il lecito dubbio sulla credibilità della CA in se stessa. Se, come prima, si mette in relazione di analogia questo scenario con quello del mondo burocratico e giuridico, il corretto parallelo si potrebbe fare su fino a che punto ci si può fidare dell ufficio che ha emesso il passaporto. Si prenda l esempio di un cittadino che entra nello Stato A presentando un passaporto apparentemente valido emesso da un ufficio dello Stato B: gli ufficiali dello Stato A ospite dovranno valutare la credibilità dell ufficio passaporti dello Stato B, facendo riferimento ad una lista correntemente valida di Stati affidabili, redatta da un gruppo di sorveglianza a livello superiore, che rientri, comunque, nei limiti di controllo dell agenzia. L analogia con la lista di Stati affidabili, nel contesto della sicurezza delle reti, è riferita come «dominio di certificazione incrociata tra CA». La certificazione incrociata è un processo grazie al quale due CA si scambiano, in modalità sicura, informazioni sulle reciproche chiavi, in modo tale che ognuna delle due possa effettivamente certificare la credibilità della chiave dell altra. Essenzialmente, la certificazione incrociata è una forma estesa di fiducia-nella-terza-parte, nella quale gli utenti appartenenti ad una rete 15

15 nel dominio di una CA si fidano implicitamente di tutti gli utenti appartenenti ai domini di altre CA certificate in modo incrociato con la propria CA. Da una prospettiva tecnica, la certificazione incrociata coinvolge la creazione di certificati incrociati tra due CA: quando la CA X e la CA Y si certificano l un l altra, in modo incrociato, la CA X crea e firma un certificato contenente la chiave pubblica della CA Y, e viceversa. Di conseguenza, gli utenti appartenenti ad entrambi i domini sono garantiti sul fatto che le relative CA si fidano l una dell altra; per questo gli utenti di un dominio si possono fidare di quelli dell altro attraverso una fiducia-nella-terza-parte estesa. Ci sono, naturalmente, molti più accordi da prendere nella certificazione incrociata tra CA, piuttosto che nei dettagli tecnici che hanno a che fare con lo scambio sicuro di chiavi ed informazioni analoghe tra utente e CA (cosa, in sé, abbastanza facile da realizzare). In quanto la certificazione incrociata estende la fiducia-nella-terzaparte, è importante, per ogni dominio CA, essere completamente sicuro delle strutture di sicurezza degli altri partner. Riprendendo un ennesima volta il parallelo del passaporto, sarebbe inverosimile che uno Stato dichiarasse di avere fiducia nel passaporto emesso da un altro Stato senza prima esaminarne a fondo la politica adottata per creare e distribuire passaporti ai cittadini. Per esempio, prima di stabilire un rapporto di fiducia, ogni Stato vorrà sicuramente capire in modo dettagliato il processo con il quale la controparte verifica l identità di un cittadino prima di conferirgli un passaporto. Analogamente si presentano le cose quando si creano certificazioni incrociate tra diversi domini CA: per esempio, prima di procedere, entrambi i domini CA vorranno conoscere le altrui politiche di sicurezza, specialmente le modalità di accesso alle funzioni di manipolazione della sicurezza all interno del dominio. È anche verosimile che gli accordi legali vengano firmati dai rappresentanti di entrambi i domini: questi accordi dovrebbero precisare le politiche di sicurezza richieste in entrambi i domini e fornire una garanzia controfirmata che le direttive saranno messe in pratica Certification Authority Una CA può anche emettere un certificato per un altra CA. 16

16 Nell analisi di un particolare certificato, può sorgere il bisogno di esaminare anche il certificato dell emissario, eventualmente in modo ricorsivo per ogni CA «madre», fino a raggiungere quella in cui riporre completa fiducia: si può anche scegliere di fidarsi solamente di certificati con una catena limitata di emissari, per ridurre il rischio di incontrare un anello debole (tutto ciò è generalmente trasparente all utente finale che, nella maggioranza dei casi, non avrebbe la preparazione per comprendere ciò che avviene). Ogni certificato richiede un emissario che asserisca la validità dell identità del possessore del certificato stesso e ogni emissario richiede un altro emissario che asserisca l affidabilità del primo, fino ad arrivare al livello di CA che ispiri fiducia, oppure al livello root, cioè alla radice dell albero delle CA (possono esistere diverse root per diverse strutture ramificate di certificati). Qui sorge un problema: chi garantisce la validità del certificato della CA al livello root, che per definizione non ha emissari? In questo caso particolare il certificato è auto-assegnato, in modo tale che l emissario del certificato ne sia anche il soggetto. Come risultato vediamo che l utente finale deve porre una grande attenzione nello scegliere un certificato auto-assegnato, ma comunque la pubblicazione in grande stile e con molta pubblicità della chiave pubblica della CA di livello root dovrebbe ridurre il rischio: sarebbe facilissimo individuare un impostore che pubblicizzasse la propria chiave proclamando di essere una CA a livello root. Fondare una CA, anche non a livello di root, rappresenta comunque una grossa responsabilità, che richiede una struttura interna estremamente solida dal punto di vista amministrativo, tecnico e gestionale; le CA non hanno solamente il compito di emettere certificati, ma anche quello di gestirli: questo significa anche decidere per quanto tempo i certificati saranno validi, significa doverli rinnovare e mantenere delle liste di certificati già emessi, ma non più validi (Certificate Revocation List, o CRL). Per capire la funzione delle CRL, si provi ad immaginare un generico client, titolare di un certificato in quanto impiegato di un azienda; si immagini anche che questo stesso certificato debba essere revocato quando l impiegato lascia la compagnia: poiché i certificati sono documenti che vengono distribuiti pubblicamente, non è possibile stabilire, a partire dal certificato in sé, se questo sia stato revocato oppure no. Per essere sicuri della validità del certificato, quindi, è necessario contattare la CA che lo ha emesso, per procedere con il controllo delle CRL. Si è parlato tanto e tanto si parlerà di certificati: a titolo di esempio si presenta qui un esempio di certificato crittografato, per avere almeno un idea del suo aspetto: 17

17 -----BEGIN CERTIFICATE----- MIIC7jCCAlegAwIBAgIBATANBgkqhkiG9w0BAQQFADCBqTELMAkGA1UEBhMCWFkx FTATBgNVBAgTDFNuYWtlIERlc2VydDETMBEGA1UEBxMKU25ha2UgVG93bjEXMBUGA 1UEChMOU25ha2UgT2lsLCBMdGQxHjAcBgNVBAsTFUNlcnRpZmljYXRlIEF1dGhvcml0eTE VMBMGA1UEAxMMU25ha2UgT2lsIENBMR4wHAYJKoZIhvcNAQkBFg9jYUBzbmFrZW9pb C5kb20wHhcNOTgxMDIxMDg1ODM2WhcNOTkxMDIxMDg1ODM2WjCBpzELMAkGA1UEB hmcwfkxftatbgnvbagtdfnuywtlierlc2vyddetmbega1uebxmku25ha2ugvg93bje XMBUGA1UEChMOU25ha2UgT2lsLCBMdGQxFzAVBgNVBAsTDldlYnNlcnZlciBUZWFtMR kwfwydvqqdexb3d3cuc25ha2vvawwuzg9tmr8whqyjkozihvcnaqkbfhb3d3dac25ha2 VvaWwuZG9tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDH9Ge/s2zcH+da+rPTx /DPRp3xGjHZ4GG6pCmvADIEtBtKBFAcZ64n+Dy7Np8bvKR+yy5DGQiijsH1D/j8HlGE+q4TZ 8OFk7BNBFazHxFbYI4OKMiCxdKzdif1yfaalWoANFlAzlSdbxeGVHoT0K+gT5w3UxwZKv2D LbCTzLZyPwIDAQABoyYwJDAPBgNVHRMECDAGAQH/AgEAMBEGCWCGSAGG+EIBAQ QEAwIAQDANBgkqhkiG9w0BAQQFAAOBgQAZUIHAL4D09oE6Lv2k56Gp38OBDuILvwLg1 v1kl8mqr+kfjghcrtpqaztzqcdt2q2qoyulcgszhbegmi0esdkpfg6mp0penssifepyni+/8u9ht4 LuKMJX15hxBam7dUHzICxBVC1lnHyYGjDuAMhe396lYAn8bCld1/L4NMGBCQ== -----END CERTIFICATE La sicurezza Poniamo il caso di un consumatore che desideri comprare qualcosa su Internet, oppure quello di un uomo d affari che cerca di vendere qualcosa su Internet : questi due casi estremi enfatizzano la necessità di utilizzare comunicazioni sicure. A questo scopo viene usata, ormai da qualche anno, la tecnologia Secure Sockets Layer (SSL) per garantire una via sicura tramite la quale trasmettere informazioni delicate, come quelle riguardanti acquisti con carta di credito, operazioni di borsa, invio e ricezione di , trasmissione dei risultati di esami medici ed altre informazioni strettamente personali. In poche parole, SSL è una tecnologia che permette il trasferimento sicuro di informazioni su Internet: consiste in un software installato su browser e server, che si può facilmente ottenere sottoscrivendosi ad un Secured Service Provider (SSP) come SSL.com, VeriSign, Entrust, Infinite Technologies, oppure ottenendo da esso un Seller s Certificate ed installandolo su un server sicuro preesistente; probabilmente, comunque, una parte di esso è già contenuta sia nel Web browser sia nel Web server, a priori: infatti, tutti i maggiori browser e server sono abilitati alla gestione di SSL. 18

18 La tecnologia SSL è stata sviluppata dalla Netscape Communications Corporation ed è diventata presto la modalità industriale standard per proteggere le comunicazioni sul Web: si tratta di un livello di protocollo che può essere posizionato tra un protocollo di rete affidabile e connection oriented (ad esempio TCP/IP) ed un protocollo a livello di applicazione (ad esempio HTTP): SSL garantisce una comunicazione sicura tra client e server, tramite una mutua autenticazione, con l uso delle firme digitali per l integrità e della crittografia per la privacy; è progettato per supportare una rosa di specifici algoritmi crittografici, sia per il sunto matematico (digest) sia per le firme digitali, permettendo di sceglierne di particolari per server specifici, ma anche di supportare eventuali nuovi algoritmi: le varie decisioni su quali algoritmi utilizzare sono prese durante la negoziazione tra il client e il server all inizio della sessione sicura. Un protocollo è, essenzialmente, un insieme di regole e procedure ed, in quanto tale, SSL applica ad un messaggio una serie di operazioni che lo manipolano facendogli apparentemente perdere significato: queste operazioni sono portate avanti in modo che il messaggio non possa essere letto mentre viene trasferito, o meglio: se anche fosse intercettato durante la trasmissione, risulterebbe completamente incomprensibile per chiunque, escluso il reale destinatario. Quando il messaggio raggiunge il ricevente giusto, SSL si incarica di riportarlo al suo aspetto originale, controllando che provenga dal mittente corretto (autenticazione) e che non sia stato modificato nel frattempo (integrità) Concetti base di un servizio di sicurezza Sono quattro i concetti base che un servizio di sicurezza deve rispettare: - Privacy: la privacy assicura che solamente il mittente ed il ricevente di un messaggio crittografato possano leggerne i contenuti; per garantire la privacy, una soluzione sicura deve, quindi, fare in modo che nessun altro possa vedere, accedere o altrimenti usare le informazioni private trasmesse tramite Internet, che potrebbero essere indirizzi, numeri di carte di credito, numeri di telefono, ecc. 19

19 - Integrità: l integrità assicura la rilevazione di qualsiasi cambiamento nel contenuto di un messaggio, tra l istante in cui viene inviato e l istante in cui viene ricevuto: per esempio, quando un utente ordina alla propria banca di trasferire $ 1000 da un conto ad un altro, l integrità garantisce che i numeri di conto e l ammontare della somma non possano essere alterati senza che la banca o l utente se ne accorgano; se il messaggio dovesse essere alterato in un qualsiasi modo durante la trasmissione, il sistema di sicurezza deve assolutamente avere un modo per scoprire e notificare l alterazione: in molti sistemi, quando viene riscontrata una alterazione, il sistema di ricezione impone la ritrasmissione del messaggio. - Autenticazione : l autenticazione assicura che tutte le entità coinvolte in una comunicazione siano in effetti chi dichiarano di essere: l autenticazione del server dà modo agli utenti di verificare di essere effettivamente in comunicazione con il sito Web con cui sono convinti di essere connessi, mentre l autenticazione del client assicura che quest ultimo sia proprio chi dichiara di essere. Anche nel mondo reale esistono esempi di autenticazione: la presentazione di una patente di guida o di una carta di identità garantisce che l acquirente che firma un assegno è proprio la persona nominata su quell assegno, mentre la presentazione di un distintivo o di una tessera di riconoscimento dell azienda dei telefoni, con annessa foto identificativa, garantisce che la persona che si presenta alla porta è veramente l addetto del telefono e questi sono solo alcuni dei tanti possibili esempi. - Non ripudio (o non disconoscimento): il non ripudio fornisce un modo per garantire che una parte coinvolta in una transazione non possa poi in seguito falsamente dichiarare di non aver mai partecipato alla transazione stessa; nel mondo reale questa funzione è svolta dalle firme apposte a mano in calce ai documenti: quando un acquirente stacca un assegno, presentando la patente di guida o la carta di identità assicura la controparte sulla propria identità (autenticazione), mentre la firma sull assegno assicura per il futuro che il firmatario fosse di fatto presente e acconsentisse sull importo e sul destinatario dell assegno stesso (non ripudio). 20

20 Nel mondo Internet, il protocollo SSL, i certificati digitali e la coppia username/password sono usati in concomitanza per fornire tutti e quattro i livelli di garanzia sopra citati Tecniche crittografiche SSL comprende diverse tecniche crittografiche, qui elencate per sommi capi e poi spiegate in modo approfondito. - Crittografia con coppia di chiavi: la crittografia con coppia di chiavi (pubblica e privata) è il metodo crittografico cruciale di SSL: utilizza due chiavi e sofisticati algoritmi matematici per convertire un testo in chiaro in una serie di dati crittografati e viceversa. La coppia di chiavi consiste in una chiave pubblica e registrata, disponibile per chiunque, e in una chiave privata tenuta rigorosamente segreta dal suo proprietario: un messaggio crittografato con la chiave pubblica può essere decrittografato solamente da qualcuno in possesso della corrispondente chiave privata (questo è fondamentale per la privacy); analogamente, un messaggio crittografato con la chiave privata può essere decrittografato solamente da qualcuno in possesso della corrispondente chiave pubblica (questo è fondamentale per l autenticazione con firma digitale). La crittografia con chiave pubblica usa algoritmi molto avanzati per crittografare una piccola quantità di informazioni, mentre non è applicabile per quantità di dati più rilevanti. - Algoritmi di bulk encryption: esistono, per contro, algoritmi di bulk encryption (bulk = massa, grande quantità) che usano solamente una chiave segreta e condivisa (bulk key) tra i due comunicanti per crittografare i messaggi: questi algoritmi sono estremamente difficili da decodificare quando la bulk key contiene un elevato numero di bit. - Combinazione delle due tecniche : SSL utilizza, allora, la crittografia con coppia di chiavi per scambiare tra il client e il server la bulk key, nelle primissime fasi di una conversazione sicura in Internet, assicurando così che suddetta chiave 21

Capitolo 3. La sicurezza. 3.1. La fiducia. Capitolo 3 - Sicurezza: la fiducia

Capitolo 3. La sicurezza. 3.1. La fiducia. Capitolo 3 - Sicurezza: la fiducia Capitolo 3 - Sicurezza: la fiducia Capitolo 3 La sicurezza 3.1. La fiducia Ci sono tanti e diversi modi di descrivere la fiducia: nel contesto dell e-commerce e della sicurezza dei sistemi informatici,

Dettagli

La Sicurezza delle Reti. La Sicurezza delle Reti. Il software delle reti. Sistemi e tecnologie per la multimedialità e telematica.

La Sicurezza delle Reti. La Sicurezza delle Reti. Il software delle reti. Sistemi e tecnologie per la multimedialità e telematica. Sistemi e tecnologie per la multimedialità e telematica Fabio Burroni Dipartimento di Ingegneria dell Informazione Università degli Studi di Siena burronif@unisi unisi.itit La Sicurezza delle Reti La presentazione

Dettagli

Sicurezza: necessità. Roberto Cecchini Ottobre 2002 1

Sicurezza: necessità. Roberto Cecchini Ottobre 2002 1 Sicurezza: necessità Riservatezza: la comunicazione è stata intercettata? Autenticazione: l utente è veramente chi dice di essere? Autorizzazione: ogni utente può accedere solo alle risorse cui ha diritto.

Dettagli

TRASMISSIONE DI DATI VIA INTERNET

TRASMISSIONE DI DATI VIA INTERNET TRASMISSIONE DI DATI VIA INTERNET 2.0 1 11 Sommario SOMMARIO...2 1. STORIA DELLE MODIFICHE...3 2. TRASMISSIONE DATI VIA INTERNET...4 2.1 SCOPO DEL DOCUMENTO...4 2.2 INTRODUZIONE...4 3. FORMATO DEI DOCUMENTI...5

Dettagli

Comunicazioni sicure su Internet: https e SSL. Fisica dell Informazione

Comunicazioni sicure su Internet: https e SSL. Fisica dell Informazione Comunicazioni sicure su Internet: https e SSL Fisica dell Informazione Il servizio World Wide Web (WWW) Come funziona nel dettaglio il Web? tre insiemi di regole: Uniform Resource Locator (URL) Hyper Text

Dettagli

PKI PUBLIC KEY INFRASTRUCTURES

PKI PUBLIC KEY INFRASTRUCTURES Premesse PKI PUBLIC KEY INFRASTRUCTURES Problemi Come distribuire in modo sicuro le chiavi pubbliche? Come conservare e proteggere le chiavi private? Come garantire l utilizzo corretto dei meccanismi crittografici?

Dettagli

SSL: applicazioni telematiche SSL SSL SSL. E-commerce Trading on-line Internet banking... Secure Socket Layer

SSL: applicazioni telematiche SSL SSL SSL. E-commerce Trading on-line Internet banking... Secure Socket Layer : applicazioni telematiche Secure Socket Layer E-commerce Trading on-line Internet banking... Protocollo proposto dalla Netscape Communications Corporation Garantisce confidenzialità e affidabilità delle

Dettagli

Corso di ARCHITETTURA DEI SISTEMI INFORMATIVI - Prof. Crescenzio Gallo. 114 Sistemi informativi in rete e sicurezza 4.6

Corso di ARCHITETTURA DEI SISTEMI INFORMATIVI - Prof. Crescenzio Gallo. 114 Sistemi informativi in rete e sicurezza 4.6 Approcci al problema della sicurezza 114 Sistemi informativi in rete e sicurezza 4.6 Accessi non autorizzati Hacker: coloro che si avvalgono delle proprie conoscenze informatiche e di tecnologia delle

Dettagli

Certificati di Attributi

Certificati di Attributi Certificati di Attributi Sicurezza dei dati in rete La rete è un mezzo non sicuro I messaggi in rete possono essere intercettati e/o modificati a cura di: R.Gaeta, F.Zottola Sicurezza dei dati in rete

Dettagli

Informatica per la comunicazione" - lezione 13 -

Informatica per la comunicazione - lezione 13 - Informatica per la comunicazione" - lezione 13 - Funzionamento di una password" 1: l utente tramite il suo browser richiede l accesso a una pagina del server; 2: il server richiede il nome utente e la

Dettagli

Sicurezza nelle applicazioni multimediali: lezione 4, crittografia asimmetrica. Crittografia asimmetrica (a chiave pubblica)

Sicurezza nelle applicazioni multimediali: lezione 4, crittografia asimmetrica. Crittografia asimmetrica (a chiave pubblica) Crittografia asimmetrica (a chiave pubblica) Problemi legati alla crittografia simmetrica Il principale problema della crittografia simmetrica sta nella necessità di disporre di un canale sicuro per la

Dettagli

RETI DI CALCOLATORI. Crittografia. La crittografia

RETI DI CALCOLATORI. Crittografia. La crittografia RETI DI CALCOLATORI Crittografia La crittografia La crittografia è la scienza che studia la scrittura e la lettura di messaggi in codice ed è il fondamento su cui si basano i meccanismi di autenticazione,

Dettagli

Appl. di emissione PKCS#11. API (Metacomandi) Resource Manager Windows. Drivers PC/SC dei lettori

Appl. di emissione PKCS#11. API (Metacomandi) Resource Manager Windows. Drivers PC/SC dei lettori Roma, 30 gennaio 2003 La realtà della carta di identità elettronica (nel seguito CIE) e della carta nazionale dei servizi (nel seguito CNS) rende ineluttabile l individuazione di servizi da erogare in

Dettagli

Certificati digitali con CAcert Un'autorità di certificazione no-profit

Certificati digitali con CAcert Un'autorità di certificazione no-profit Certificati digitali con CAcert Un'autorità di certificazione no-profit Davide Cerri Associazione di Promozione Sociale LOLUG Gruppo Utenti Linux Lodi davide@lolug.net 11 novembre 2008 Crittografia asimmetrica:

Dettagli

Crittografia. Crittografia Definizione. Sicurezza e qualità dei servizi su internet. 2009 Università degli Studi di Pavia, C.

Crittografia. Crittografia Definizione. Sicurezza e qualità dei servizi su internet. 2009 Università degli Studi di Pavia, C. Definizione La crittografia è la scienza che utilizza algoritmi matematici per cifrare e decifrare i dati. La criptoanalisi è la scienza che analizza e decifra i dati crittografati senza conoscerne a priori

Dettagli

PRINCIPI DI COMPUTER SECURITY. Andrea Paoloni

PRINCIPI DI COMPUTER SECURITY. Andrea Paoloni PRINCIPI DI COMPUTER SECURITY Andrea Paoloni 2 Cade il segreto dei codici cifrati Corriere della Sera 26 febbraio 2008 3 Gli hacker sono utili? 4 Safety vs Security SAFETY (salvezza): protezione, sicurezza

Dettagli

CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA

CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA SU COSA SI BASANO I CERTIFICATI DIGITALI...2 Che cos è la Crittografia? E come viene applicata?...2 Crittografia a chiave simmetrica o segreta......2

Dettagli

Scambio delle chiavi. mercoledì 7 dicembre 2011

Scambio delle chiavi. mercoledì 7 dicembre 2011 Scambio delle chiavi 1 mercoledì 7 dicembre 2011 Distribuzione della chiave Dati due terminali A e B, si possono avere varie alternative per la distribuzione delle chiavi. 1. A sceglie una chiave e la

Dettagli

Vendere online. Andrea Marin. Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO

Vendere online. Andrea Marin. Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO Andrea Marin Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO a.a. 2013/2014 Section 1 Introduzione Parliamo di acquisti online quando a seguito

Dettagli

Guida ai certificati SSL User Guide

Guida ai certificati SSL User Guide Guida ai certificati SSL User Guide PROBLEMATICHE DEL WEB... 2 PRIVACY...3 AUTORIZZAZIONE/AUTENTICAZIONE...4 INTEGRITA DEI DATI...4 NON RIPUDIO...4 QUALI SONO I PRINCIPALI STRUMENTI UTILIZZATI PER GARANTIRE

Dettagli

Sicurezza dei sistemi informatici Firma elettronica E-commerce

Sicurezza dei sistemi informatici Firma elettronica E-commerce Sicurezza dei sistemi informatici Firma elettronica E-commerce Il contesto applicativo Commercio elettronico Quanti bit ho guadagnato!! Marco Mezzalama Politecnico di Torino collegamenti e transazioni

Dettagli

La sicurezza nelle reti di calcolatori

La sicurezza nelle reti di calcolatori La sicurezza nelle reti di calcolatori Contenuti del corso La progettazione delle reti Il routing nelle reti IP Il collegamento agli Internet Service Provider e problematiche di sicurezza Analisi di traffico

Dettagli

Capitolo 8 La sicurezza nelle reti

Capitolo 8 La sicurezza nelle reti Capitolo 8 La sicurezza nelle reti Reti di calcolatori e Internet: Un approccio top-down 4 a edizione Jim Kurose, Keith Ross Pearson Paravia Bruno Mondadori Spa 2008 Capitolo 8: La sicurezza nelle reti

Dettagli

La firma digitale CHE COSA E'?

La firma digitale CHE COSA E'? La firma digitale La Firma Digitale è il risultato di una procedura informatica che garantisce l autenticità e l integrità di messaggi e documenti scambiati e archiviati con mezzi informatici, al pari

Dettagli

Sommario. Introduzione alla Sicurezza Web

Sommario. Introduzione alla Sicurezza Web Sommario Introduzione alla Sicurezza Web Considerazioni generali IPSec Secure Socket Layer (SSL) e Transport Layer Security (TLS) Secure Electronic Transaction (SET) Introduzione alla crittografia Introduzione

Dettagli

Cifratura a chiave pubblica Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009

Cifratura a chiave pubblica Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009 Cifratura a chiave pubblica Crittografia a chiave privata Chiave singola Crittografia simmetrica La stessa chiave è utilizzata sia per la cifratura che per la decifratura dei messaggi La chiave rappresenta

Dettagli

Sistemi Web! per il turismo! - lezione 6 -

Sistemi Web! per il turismo! - lezione 6 - Sistemi Web! per il turismo! - lezione 6 - A proposito di social network! Osserviamo due esempi di pagine Facebook." Cercate di pensare a qual è la differenza principale tra queste due pagine." Esempio

Dettagli

UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE.

UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE. UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE. INTRODUZIONE ALL ARGOMENTO. A cura di: Eleonora Brioni, Direzione Informatica e Telecomunicazioni ATI NETWORK.

Dettagli

Firma digitale INTRODUZIONE

Firma digitale INTRODUZIONE Firma digitale INTRODUZIONE La firma digitale costituisce uno dei dieci obiettivi del Piano per l e-government. Per quanto riguarda la PA, l obiettivo, abilitante allo sviluppo dei servizi on line, si

Dettagli

Cenni di crittografia. Luca Anselma anselma@di.unito.it

Cenni di crittografia. Luca Anselma anselma@di.unito.it Cenni di crittografia Luca Anselma anselma@di.unito.it 1 Cos è la crittografia Dal greco κρυπτός e γράφειν, scrittura nascosta È la tecnica di nascondere informazioni Due tipi di cifratura: Simmetrica

Dettagli

Applicazioni per l autenticazione Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009

Applicazioni per l autenticazione Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009 Applicazioni per l autenticazione Kerberos Kerberos Servizio di autenticazione sviluppato dal MIT Fornisce un server di autenticazione centralizzato Basato su crittografia simmetrica (chiave privata) Permette

Dettagli

La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo. Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P.

La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo. Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P. Rho, Luglio 07, 2006 CORSI ON-LINE La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P. Restelli) Attualmente la maggior

Dettagli

Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale S/MIME rilasciato

Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale S/MIME rilasciato Guida all installazione e all utilizzo di un certificato personale S/MIME (GPSE) Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale

Dettagli

Crittografia e Protocolli di Sicurezza

Crittografia e Protocolli di Sicurezza Crittografia e Protocolli di Sicurezza Ing. Emilio Spinicci 07/04/2004 1 Argomenti della lezione Introduzione Principi di Crittografia Protocolli di Sicurezza Attacchi ai Protocolli di Sicurezza 07/04/2004

Dettagli

Certificati Digitali e sicurezza di SSL/TLS

Certificati Digitali e sicurezza di SSL/TLS ICT Security n. 35, Giugno 2005 p. 1 di 5 Certificati Digitali e sicurezza di SSL/TLS Nei precedenti articoli abbiamo descritto il protocollo SSL/TLS, in particolare la versione TLSv1.0, ed accennato ad

Dettagli

La sicurezza nelle reti di calcolatori

La sicurezza nelle reti di calcolatori La sicurezza nelle reti di calcolatori Contenuti del corso La progettazione delle reti Il routing nelle reti IP Il collegamento agli Internet Service Provider e problematiche di sicurezza Analisi di traffico

Dettagli

Sicurezza nelle reti

Sicurezza nelle reti Sicurezza nelle reti A.A. 2005/2006 Walter Cerroni Sicurezza delle informazioni: definizione Garantire la sicurezza di un sistema informativo significa impedire a potenziali soggetti attaccanti l accesso

Dettagli

Principi di crittografia Integrità dei messaggi Protocolli di autenticazione Sicurezza nella pila di protocolli di Internet: PGP, SSL, IPSec

Principi di crittografia Integrità dei messaggi Protocolli di autenticazione Sicurezza nella pila di protocolli di Internet: PGP, SSL, IPSec Crittografia Principi di crittografia Integrità dei messaggi Protocolli di autenticazione Sicurezza nella pila di protocolli di Internet: PGP, SSL, IPSec Elementi di crittografia Crittografia: procedimento

Dettagli

La Firma Digitale La sperimentazione nel Comune di Cuneo. Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo

La Firma Digitale La sperimentazione nel Comune di Cuneo. Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo La Firma Digitale La sperimentazione nel Comune di Cuneo Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo Perchè questa presentazione Il Comune di Cuneo, aderente alla RUPAR, ha ricevuto due

Dettagli

Sicurezza nell'utilizzo di Internet

Sicurezza nell'utilizzo di Internet Sicurezza nell'utilizzo di Internet 1 Sicurezza Definizioni Pirati informatici (hacker, cracker): persone che entrano in un sistema informatico senza l autorizzazione per farlo Sicurezza: protezione applicata

Dettagli

Sicurezza in Internet

Sicurezza in Internet Sicurezza in Internet Mario Cannataro cannataro@unicz.it 1 Sommario Internet, Intranet, Extranet Servizi di filtraggio Firewall Servizi di sicurezza Autenticazione Riservatezza ed integrità delle comunicazioni

Dettagli

Lezione 7 Sicurezza delle informazioni

Lezione 7 Sicurezza delle informazioni Lezione 7 Sicurezza delle informazioni Sommario Concetti generali Meccanismi per la sicurezza IT: Crittografia Hash Firma digitale Autenticazione 1 Concetti generali Availability Confidentiality Integrity

Dettagli

Argomenti Crittografia Firma digitale e certificati Certification Authority e PKI La normativa

Argomenti Crittografia Firma digitale e certificati Certification Authority e PKI La normativa Argomenti Crittografia Firma digitale e certificati Certification Authority e PKI La normativa Il crittanalista.... il secondo mestiere più vecchio del mondo! Crittografia Attenzione! Asterix ci ascolta!

Dettagli

Perchè utilizzare un'autorità di certificazione

Perchè utilizzare un'autorità di certificazione Una generica autorità di certificazione (Certification Authority o più brevemente CA) è costituita principalmente attorno ad un pacchetto software che memorizza i certificati, contenenti le chiavi pubbliche

Dettagli

Gennaio. SUAP On Line i pre-requsiti informatici: La firma digitale

Gennaio. SUAP On Line i pre-requsiti informatici: La firma digitale 2008 Gennaio SUAP On Line i pre-requsiti informatici: La firma digitale 1 La firma digitale Indice La firma digitale La firma digitale: destinatario 2 La firma digitale Cos è La Firma Digitale è il risultato

Dettagli

Manuale di Integrazione IdM-RAS

Manuale di Integrazione IdM-RAS IdM-RAS Data: 30/11/09 File: Manuale di integrazione IdM-RAS.doc Versione: Redazione: Sardegna IT IdM-RAS Sommario 1 Introduzione... 3 2 Architettura del sistema... 4 2.1 Service Provider... 4 2.2 Local

Dettagli

Sicurezza in Internet. Criteri di sicurezza. Firewall

Sicurezza in Internet. Criteri di sicurezza. Firewall Sicurezza in Internet cannataro@unicz.it 1 Sommario Internet, Intranet, Extranet Criteri di sicurezza Servizi di filtraggio Firewall Controlli di accesso Servizi di sicurezza Autenticazione Riservatezza,

Dettagli

Benvenuti. Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it. Achab techjam Gateway PEC per MDaemon

Benvenuti. Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it. Achab techjam Gateway PEC per MDaemon Benvenuti Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it Achab techjam Gateway PEC per MDaemon Protocolli di sicurezza per la posta elettronica... inclusa la PEC Achab 2 Agenda Acronimi

Dettagli

Sicurezza digitale. requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza. soddisfatti mediante

Sicurezza digitale. requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza. soddisfatti mediante Sicurezza digitale requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza soddisfatti mediante crittografia = codifica dei dati in forma illeggibile per assicurare

Dettagli

Protezione delle informazioni in SMart esolutions

Protezione delle informazioni in SMart esolutions Protezione delle informazioni in SMart esolutions Argomenti Cos'è SMart esolutions? Cosa si intende per protezione delle informazioni? Definizioni Funzioni di protezione di SMart esolutions Domande frequenti

Dettagli

ALGORITMI CRITTOGRAFICI E FIRMA DIGITALE

ALGORITMI CRITTOGRAFICI E FIRMA DIGITALE ALGORITMI CRITTOGRAFICI E FIRMA DIGITALE LA SICUREZZA INFORMATICA...2 Classificazione dei meccanismi di sicurezza...3 TECNICHE DI SICUREZZA DEI DATI...4 LA CRITTOGRAFIA...4 Che cos è la Crittografia? E

Dettagli

Robustezza crittografica della PEC

Robustezza crittografica della PEC Robustezza crittografica della PEC Prof. Massimiliano Sala Università degli Studi di Trento, Lab di Matematica Industriale e Crittografia Trento, 21 Novembre 2011 M. Sala (Università degli Studi di Trento)

Dettagli

VERISIGN SERVER ONSITE.

VERISIGN SERVER ONSITE. VERISIGN SERVER ONSITE. Scheda Tecnica. Ultima revisione del presente documento 05/12/2001 Versione 2.2 Trust Italia S.p.A. 1 di 8 INDICE Introduzione: i certificati digitali e il protocollo SSL.... 3

Dettagli

Università degli Studi di Siena. Facoltà di Ingegneria. Corso di Laurea in INGEGNERIA INFORMATICA

Università degli Studi di Siena. Facoltà di Ingegneria. Corso di Laurea in INGEGNERIA INFORMATICA Università degli Studi di Siena Facoltà di Ingegneria Corso di Laurea in INGEGNERIA INFORMATICA Community CryptoFile: realizzazione di un sistema on-line per la creazione di una community che supporti

Dettagli

Crittografia. Appunti a cura del prof. Ing. Mario Catalano

Crittografia. Appunti a cura del prof. Ing. Mario Catalano Crittografia Appunti a cura del prof. Ing. Mario Catalano La crittografia La crittografia è la scienza che studia la scrittura e la lettura di messaggi in codice. Solitamente, i meccanismi crittografici

Dettagli

GARR CERTIFICATION AUTHORITY. VII Workshop GARR Roma 16 Novembre 2006 Barbara Monticini

GARR CERTIFICATION AUTHORITY. VII Workshop GARR Roma 16 Novembre 2006 Barbara Monticini GARR CERTIFICATION AUTHORITY VII Workshop GARR Roma 16 Novembre 2006 Barbara Monticini Agenda Overview Sezione dedicata agli Utenti Sezione dedicata alle Registration Authority Terena Server Certificate

Dettagli

Procedura di accreditamento ai servizi di Interoperabilità

Procedura di accreditamento ai servizi di Interoperabilità Procedura di accreditamento ai servizi di Interoperabilità 30/08/2011 Cod. SISTRI-MOF_ACC_INT-001 Sommario - Limitazioni di responsabilità e uso del manuale... 3 1. Glossario... 3 2. Presentazione... 4

Dettagli

La Firma Digitale e la Posta Elettronica Certificata. Centro Tecnico RUPAR Puglia - Tecnopolis Csata Chiara Valerio Bari, 14 dicembre 2006

La Firma Digitale e la Posta Elettronica Certificata. Centro Tecnico RUPAR Puglia - Tecnopolis Csata Chiara Valerio Bari, 14 dicembre 2006 La Firma Digitale e la Posta Elettronica Certificata Centro Tecnico RUPAR Puglia - Tecnopolis Csata Chiara Valerio Bari, 14 dicembre 2006 INNOVAZIONE DELLA P.A. Quadro normativo Il Codice dell Amministrazione

Dettagli

E-business sicuro. Tecnologie per la gestione delle transazioni su Internet 05/06/06

E-business sicuro. Tecnologie per la gestione delle transazioni su Internet 05/06/06 E-business sicuro Tecnologie per la gestione delle transazioni su Internet 05/06/06 Ecommerce: problematiche Differenze con il commercio tradizionale dati importanti viaggiano su Internet (numero di carta

Dettagli

Internet. Cos è Il Web La posta elettronica. www.vincenzocalabro.it 1

Internet. Cos è Il Web La posta elettronica. www.vincenzocalabro.it 1 Internet Cos è Il Web La posta elettronica www.vincenzocalabro.it 1 Cos è E una RETE di RETI, pubblica. Non è una rete di calcolatori. I computer che si collegano ad Internet, devono prima essere collegati

Dettagli

Indice. Prefazione. Presentazione XIII. Autori

Indice. Prefazione. Presentazione XIII. Autori INDICE V Indice Prefazione Presentazione Autori XI XIII XV Capitolo 1 Introduzione alla sicurezza delle informazioni 1 1.1 Concetti base 2 1.2 Gestione del rischio 3 1.2.1 Classificazione di beni, minacce,

Dettagli

Serve a garantire la nostra privacy nell era era della comunicazione digitale.

Serve a garantire la nostra privacy nell era era della comunicazione digitale. La crittografia di Antonio Cilli 1. La crittografia, perché? 2. Crittografia asimmetrica 3. Firma digitale 4. Documento elettronico 5. Autorità di certificazione 6. Certificati digitali 7. Requisiti di

Dettagli

WHITE PAPER: White paper. Guida introduttiva. ai certificati SSL. Istruzioni per scegliere le migliori opzioni di sicurezza online

WHITE PAPER: White paper. Guida introduttiva. ai certificati SSL. Istruzioni per scegliere le migliori opzioni di sicurezza online WHITE PAPER: Guida introduttiva AI certificati SSL White paper Guida introduttiva ai certificati SSL Istruzioni per scegliere le migliori opzioni di sicurezza online Guida introduttiva ai certificati SSL

Dettagli

Obiettivo: realizzazione di reti sicure TIPI DI ATTACCO. Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative

Obiettivo: realizzazione di reti sicure TIPI DI ATTACCO. Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative Obiettivo: realizzazione di reti sicure Politica di sicurezza: a) scelte tecnologiche b) strategie organizzative Per quanto riguarda le scelte tecnologiche vi sono due categorie di tecniche: a) modifica

Dettagli

MAIL ORDER E TELEPHONE ORDER Integrazione server to server

MAIL ORDER E TELEPHONE ORDER Integrazione server to server Procedura di adesione e utilizzo del servizio X-Pay - Specifiche Tecniche MAIL ORDER E TELEPHONE ORDER Integrazione server to server Versione 1 Data 04.2012 Pag. 1/13 INDICE 1. GLOSSARIO... 3 2. SCOPO...

Dettagli

Firma digitale e PEC: facili e sicure

Firma digitale e PEC: facili e sicure Firma digitale e PEC: facili e sicure Trento, 23 Novembre 2012 Ing. Andrea Gelpi Commissione Ingegneria dell'informazione Ordine degli Ingegneri della Provincia di Trento Firma Digitale La Firma digitale

Dettagli

Protezione dei Dati Digitali: Scenari ed Applicazioni

Protezione dei Dati Digitali: Scenari ed Applicazioni Protezione dei Dati Digitali: Scenari ed Applicazioni 1 Sommario Parte I : Scenari Parte II : La Teoria Parte III: La Pratica 2 Parte I: Scenari 3 Applicazioni quotidiane (1/2) Transazioni finanziarie

Dettagli

CONCETTI DI NAVIGAZIONE IN RETE

CONCETTI DI NAVIGAZIONE IN RETE CONCETTI DI NAVIGAZIONE IN RETE Internet (La rete delle reti) è l insieme dei canali (linee in rame, fibre ottiche, canali radio, reti satellitari, ecc.) attraverso cui passano le informazioni quando vengono

Dettagli

Sicurezza a livello IP: IPsec e le reti private virtuali

Sicurezza a livello IP: IPsec e le reti private virtuali Sicurezza a livello IP: IPsec e le reti private virtuali Davide Cerri Sommario L esigenza di proteggere l informazione che viene trasmessa in rete porta all utilizzo di diversi protocolli crittografici.

Dettagli

La sicurezza nelle comunicazioni fra PC. Prof. Mauro Giacomini A.A. 2008-2009

La sicurezza nelle comunicazioni fra PC. Prof. Mauro Giacomini A.A. 2008-2009 La sicurezza nelle comunicazioni fra PC Prof. Mauro Giacomini A.A. 2008-2009 Sommario Cosa significa sicurezza? Crittografia Integrità dei messaggi e firma digitale Autenticazione Distribuzione delle chiavi

Dettagli

AGID MANUALE OPERATIVO DEL SERVIZIO DIGITPA-CA1 CERTIFICATE PRACTICE STATEMENT. AGENZIA PER l ITALIA DIGITALE

AGID MANUALE OPERATIVO DEL SERVIZIO DIGITPA-CA1 CERTIFICATE PRACTICE STATEMENT. AGENZIA PER l ITALIA DIGITALE AGID AGENZIA PER l ITALIA DIGITALE MANUALE OPERATIVO DEL SERVIZIO DIGITPA-CA1 CERTIFICATE PRACTICE STATEMENT Redatto da: Approvato da: Area Sistema Pubblico di connettività e cooperazione Francesco Tortorelli

Dettagli

Sicurezza nei Web Services: Migrazione dell autenticazone di Web Services da ticket di sessione a WS-Security con token SAML

Sicurezza nei Web Services: Migrazione dell autenticazone di Web Services da ticket di sessione a WS-Security con token SAML Master Universitario di II livello in Interoperabilità Per la Pubblica Amministrazione e Le Imprese Sicurezza nei Web Services: Migrazione dell autenticazone di Web Services da ticket di sessione a WS-Security

Dettagli

DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro

DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro SEC Per un Internet sicuro Cos è SEC? SEC è un ampliamento del Domain Name System () che serve a garantire la genuinità (autenticità) e la completezza (integrità) dei dati delle risposte del. Pertanto,

Dettagli

Firma digitale Definizione

Firma digitale Definizione FIRMA DIGITALE Firma digitale Definizione La definizione di firma digitale è contenuta nel Dlgs. Del 4/04/2006 n.159 che integra il Codice dell amministrazione digitale in vigore dal 1/01/2006. Firma digitale

Dettagli

Sicurezza nelle applicazioni multimediali: lezione 7, sicurezza dei protocolli. Sicurezza dei protocolli (https, pop3s, imaps, esmtp )

Sicurezza nelle applicazioni multimediali: lezione 7, sicurezza dei protocolli. Sicurezza dei protocolli (https, pop3s, imaps, esmtp ) Sicurezza dei protocolli (https, pop3s, imaps, esmtp ) Stack di protocolli nella trasmissione della posta elettronica 2 Sicurezza a livello applicativo Ma l utilizzo di meccanismi di cifratura e autenticazione

Dettagli

PEC e Firma Digitale. Relatore dott. Andrea Mazzini

PEC e Firma Digitale. Relatore dott. Andrea Mazzini PEC e Firma Digitale Relatore dott. Andrea Mazzini PEC Posta Elettronica Certificata PEC e Firma Digitale - 2 PEC Posta Elettronica Certificata La posta elettronica certificata è un sistema attraverso

Dettagli

Sommario Capitolo 1 Introduzione Capitolo 2 Tecnologie wireless Capitolo 3 La sicurezza

Sommario Capitolo 1 Introduzione Capitolo 2 Tecnologie wireless Capitolo 3 La sicurezza Sommario Capitolo 1 3 Introduzione 3 Capitolo 2 9 Tecnologie wireless 9 2.1. WAP: standardizzazione e Internet 9 2.2. Statistiche e potenzialità: l e-commerce 11 2.2.1. WAP e il mobile commerce 13 2.3.

Dettagli

AGID MANUALE OPERATIVO DEL SERVIZIO DIGITPA-CA1 CERTIFICATE PRACTICE STATEMENT. AGENZIA PER l ITALIA DIGITALE

AGID MANUALE OPERATIVO DEL SERVIZIO DIGITPA-CA1 CERTIFICATE PRACTICE STATEMENT. AGENZIA PER l ITALIA DIGITALE AGID AGENZIA PER l ITALIA DIGITALE MANUALE OPERATIVO DEL SERVIZIO DIGITPA-CA1 CERTIFICATE PRACTICE STATEMENT Redatto da: Approvato da: DISTRIBUZIONE : Disponibile in forma Non Controllata MO_DigitPA_CA1

Dettagli

Software di crittografia per GNOME. Nicola VITUCCI POuL Politecnico Open unix Labs

Software di crittografia per GNOME. Nicola VITUCCI POuL Politecnico Open unix Labs Software di crittografia per GNOME Nicola VITUCCI POuL Politecnico Open unix Labs Crittografia: definizione Dal greco kryptós, nascosto, e gráphein, scrivere Crittografia: l arte scrivere cifrato dello

Dettagli

UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE.

UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE. UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE. ENTRUST/PKI 6.0 MANUALE PER L UTENTE. A cura di: Eleonora Brioni, Direzione Informatica e Telecomunicazioni ATI

Dettagli

Qualità, sicurezza, integrità ed immodificabilità del documento informatico. I temi che tratteremo. Corrado Giustozzi

Qualità, sicurezza, integrità ed immodificabilità del documento informatico. I temi che tratteremo. Corrado Giustozzi Corrado Giustozzi 1 Chi ha inventato il documento informatico? Qualità, sicurezza, integrità ed immodificabilità del documento informatico Corrado Giustozzi PSG, ENISA 1 I temi che tratteremo Il documento

Dettagli

Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server

Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server Di Massimiliano Brolli, Roma 24/10/2004 SSL permette di eseguire una connessione criptata tra un Server WEB

Dettagli

DOCUMENTO ELETTRONICO E FIRMA DIGITALE

DOCUMENTO ELETTRONICO E FIRMA DIGITALE DOCUMENTO ELETTRONICO E FIRMA DIGITALE CHE COSA È LA CRITTOGRAFIA LA CRITTOLOGIA È SCIENZA CHE STUDIA LE SCRITTURE SEGRETE 2 CRITTOGRAFIA STUDIA I SISTEMI DI PROTEZIONE DEI MESSAGGI CRITTOANALISI STUDIA

Dettagli

Elementi di Sicurezza informatica

Elementi di Sicurezza informatica Elementi di Sicurezza informatica Secure Socket Layer Università degli Studi di Perugia Indice 1 1.Introduzione 2 3 Perché SSL Funzionalità Storia di SSL Introduzione Introduzione Perché SSL; Funzionalità;

Dettagli

PEC, ovvero Posta Elettronica Certificata: quando l e-mail ha il valore di raccomandata

PEC, ovvero Posta Elettronica Certificata: quando l e-mail ha il valore di raccomandata INFORMATICA. PEC, ovvero Posta Elettronica Certificata: quando l e-mail ha il valore di raccomandata UN OBBLIGO PER I PROFESSIONISTI MA ANCHE UNO STRUMENTO MOLTO UTILE Con il decreto legge n. 185 del 29

Dettagli

AWN ArchiWorld Network * * * * * FD Firma Digitale PEC Posta Elettronica Certificata CARATTERISTICHE E FUNZIONALITÀ

AWN ArchiWorld Network * * * * * FD Firma Digitale PEC Posta Elettronica Certificata CARATTERISTICHE E FUNZIONALITÀ Pag. 1 / 9 * * * * * FD Firma Digitale PEC Posta Elettronica Certificata Roma, rev. 1 13 marzo 2008 INDICE 1. FD > Caratteristiche...2 1.1 Note generali...2 1.2 La normativa di riferimento...2 2. FD >

Dettagli

Tecnologie abilitanti il processo civile telematico

Tecnologie abilitanti il processo civile telematico Tecnologie abilitanti il processo civile telematico Monica Palmirani Traccia Identificazione digitale Certificato su smart card di autenticazione Documento digitale Console per creare documenti in formato

Dettagli

Firma Digitale. Firma digitale Definizione. SeQ dei servizi su internet. 2009 Università degli Studi di Pavia, C.Parisi 1

Firma Digitale. Firma digitale Definizione. SeQ dei servizi su internet. 2009 Università degli Studi di Pavia, C.Parisi 1 Firma Digitale Definizione La definizione di firma digitale è contenuta nel Dlgs. del 4/04/2006 n.159 che integra il Codice dell amministrazione digitale in vigore dal 1/01/2006. è un particolare tipo

Dettagli

S.E.T. (SECURE ELECTRONIC TRANSACTION)

S.E.T. (SECURE ELECTRONIC TRANSACTION) UNIVERSITÀ DEGLI STUDI DI PERUGIA FACOLTÀ DI SCIENZE MATEMATICHE FISICHE E NATURALI Sicurezza Informatica S.E.T. (SECURE ELECTRONIC TRANSACTION) Andrea Valentini Albanelli Fabrizio Cardellini Introduzione

Dettagli

RICHIESTA SMART CARD PER SERVIZI CAMERALI Ver. 1.0/08

RICHIESTA SMART CARD PER SERVIZI CAMERALI Ver. 1.0/08 RICHIESTA SMART CARD PER SERVIZI CAMERALI Ver. 1.0/08 Informativa da leggere attentamente prima di richiedere la smart - card Cos'è la firma digitale? Secondo il dettato dell' art. 1 del dpr 445/2000 "

Dettagli

Sicurezza dei sistemi informatici Firma elettronica E-commerce

Sicurezza dei sistemi informatici Firma elettronica E-commerce Sicurezza dei sistemi informatici Firma elettronica E-commerce Il contesto applicativo Commercio elettronico Quanti bit ho guadagnato!! collegamenti e transazioni sicure Il contesto applicativo Commercio

Dettagli

Autenticazione ed integrità dei dati Integrità dei messaggi

Autenticazione ed integrità dei dati Integrità dei messaggi Pagina 1 di 15 Autenticazione ed integrità dei dati Integrità dei messaggi Una delle proprietà di sicurezza che desideriamo avere all'interno di un sistema informatico, è quella che riguarda l'integrità

Dettagli

a GlobalTrust Solution

a GlobalTrust Solution E-Consulting a GlobalTrust Solution E-Consulting è la soluzione ideale per i professionisti che intendono offrire consulenze on-line sia ai propri clienti abituali sia a tutti gli utenti di Internet. Descrizione

Dettagli

FORSETI BLOG. Readcast. Aprile 2014 Speciale Heartbleed. http://blog.forseti.it/

FORSETI BLOG. Readcast. Aprile 2014 Speciale Heartbleed. http://blog.forseti.it/ FORSETI BLOG Readcast Aprile 2014 Speciale Heartbleed http://blog.forseti.it/ Indice di 3 Forseti Blog - Aprile 2014 3 di Dottore in Sicurezza dei Sistemi e delle Reti Informatiche, Dottore Magistrale

Dettagli

Problematiche correlate alla sicurezza informatica nel commercio elettronico

Problematiche correlate alla sicurezza informatica nel commercio elettronico Problematiche correlate alla sicurezza informatica nel commercio elettronico http://www.infosec.it info@infosec.it Relatore: Stefano Venturoli, General Manager Infosec Italian Cyberspace Law Conference

Dettagli

La firma digitale e le sue possibili applicazioni

La firma digitale e le sue possibili applicazioni Il documento informatico e la firma digitale nelle applicazioni pratiche La firma digitale e le sue possibili applicazioni dott. Enrico Zimuel (enrico@zimuel.it) Pescara, 15 febbraio 2008 Centro Studi

Dettagli

Introduzione alla crittografia Introduzione

Introduzione alla crittografia Introduzione Pagina 1 di 8 Introduzione alla crittografia Introduzione I messaggi che passano sulla rete sono in realtà facilmente intercettabili. Esempi di attacchi che mirano all'intercettazione dei messaggi sono

Dettagli

Corso di Laurea in Informatica Reti e Sicurezza Informatica

Corso di Laurea in Informatica Reti e Sicurezza Informatica Corso di Laurea in Informatica Reti e Sicurezza Informatica Esercitazione 6 Autenticazione in Tomcat per lo sviluppo di Web Service. In questo documento si presentano i meccanismi fondamentali che consentono

Dettagli

ALGORITMI CRITTOGRAFICI E FIRMA DIGITALE

ALGORITMI CRITTOGRAFICI E FIRMA DIGITALE ALGORITMI CRITTOGRAFICI E FIRMA DIGITALE LA SICUREZZA INFORMATICA...2 Classificazione dei meccanismi di sicurezza...3 TECNICHE DI SICUREZZA DEI DATI...4 LA CRITTOGRAFIA...4 Che cos è la Crittografia? E

Dettagli

POSTA ELETTRONICA (TRADIZIONALE e CERTIFICATA) FIRMA DIGITALE PROTOCOLLO INFORMATICO. Maurizio Gaffuri 11 ottobre 2007

POSTA ELETTRONICA (TRADIZIONALE e CERTIFICATA) FIRMA DIGITALE PROTOCOLLO INFORMATICO. Maurizio Gaffuri 11 ottobre 2007 POSTA ELETTRONICA (TRADIZIONALE e CERTIFICATA) FIRMA DIGITALE PROTOCOLLO INFORMATICO Maurizio Gaffuri 11 ottobre 2007 1 POSTA ELETTRONICA TRADIZIONALE e POSTA ELETTRONICA CERTIFICATA 2 POSTA ELETTRONICA

Dettagli