UNIVERSITÀ DEGLI STUDI DELLA CALABRIA. Realizzazione di Web services per l autenticazione "Single Sign On" su infrastruttura PKI/LDAP

Dimensione: px
Iniziare la visualizzazioe della pagina:

Download "UNIVERSITÀ DEGLI STUDI DELLA CALABRIA. Realizzazione di Web services per l autenticazione "Single Sign On" su infrastruttura PKI/LDAP"

Transcript

1 UNIVERSITÀ DEGLI STUDI DELLA CALABRIA Facoltà di Ingegneria Corso di Laurea in Ingegneria Informatica Orientamento Elettronica e Telecomunicazioni Realizzazione di Web services per l autenticazione "Single Sign On" su infrastruttura PKI/LDAP Relatori: Tesi di Laurea di Prof. Nicola FREGA Prof. Antonio VOLPENTESTA Salvatore IACOMETTA Matr Anno Accademico 2003/2004

2 3

3 A papà che, ora che è sempre al mio fianco, gioisce insieme a me per questo traguardo raggiunto 4

4 Sommario INTRODUZIONE CAPITOLO 1: LA SICUREZZA INTRODUZIONE LA FIDUCIA NELLA TERZA-PARTE FIDUCIA SENZA INTERMEDIAZIONI VALIDITÀ DEI CERTIFICATI CERTIFICATION AUTHORITY LA SICUREZZA CONCETTI BASE DI UN SERVIZIO DI SICUREZZA TECNICHE CRITTOGRAFICHE La crittografia simmetrica La crittografia asimmetrica L utilizzo pratico della crittografia LA FIRMA DIGITALE DISTRIBUZIONE SICURA DI CERTIFICATI DIGITALI RICHIESTA DI UN CERTIFICATO DIGITALE IL LATO UTENTE SSL SEQUENZA DI HANDSHAKE CAPITOLO 2: PKI PUBLIC KEY INFRASTRUCTURE FUNZIONI ASSOLTE DA UNA PKI TIPI DI PKI CAPITOLO 3: LDAP LDAP INTRODUZIONE LDAP IN DETTAGLIO COSA È UNA DIRECTORY DIFFERENZE TRA LDAP E DATABASE RELAZIONALI DIFFERENZE TRA LDAP E X LA RADICE DELL'ALBERO ORGANIZATIONAL UNIT I BACKEND CREARE GLI INDICI ACCESS CONTROL LIST REPLICA INTEGRAZIONE DI LDAP IL PACCHETTO LDAP-UTILS SUPPORTO DELLA CRITTOGRAFIA

5 STRUMENTI DI AMMINISTRAZIONE INTEGRAZIONE DI LDAP SUI CLIENT CAPITOLO 4: I WEB SERVICES I WEB SERVICES MOTORI DI RICERCA PER WEB SERVICES UN PO DI ESEMPI UN PRIMO ESEMPIO: UN TRADUTTORE INGLESE-ITALIANO I PARAMETRI CHE SI DEVONO PASSARE: UDDI LE INFORMAZIONI IN XML SCAMBIATE UN SECONDO ESEMPIO: LA JPG DI UN CODICE A BARRE DAL CLIENT AL SERVER: CREARE UN WEB SERVICES UN ALTRO ESEMPIO: IL CODICE IN PHP PER INTERROGARE GOOGLE CAPITOLO 5: INSTALLAZIONE E TEST DEL SERVER COME INIZIARE PROCEDURA PER AUTO-CERTIFICARE IL SERVER, PER CREARE CERTIFICATI-CLIENT E PER RICONOSCERE ALTRI CERTIFICATI-CLIENT COSA ABBIAMO OTTENUTO OVER HTTPS PROVIAMO A FARE DEI TEST MODIFICHIAMO IL FILE DI CONFIGURAZIONE PRELEVARE CON PHP I DATI DEL CERTIFICATO L USO DI UNO SNIFFER CAPITOLO 6: INTERFACCIAMENTO DELL'INFRASTRUTTURA CON TECNOLOGIA WEB SERVICES LA MIA SCELTA: UTILIZZARE NUSOAP E CURL INSTALLARE NUSOAP PER APPLICAZIONI SERVER-CLIENT SOAP IN PHP COS È NUSOAP UN ESEMPIO BANALE: IL WEB SERVICES CHE CONCATENA DUE STRINGHE FUNZIONI CURL, CLIENT URL LIBRARY UN ESEMPIO COMPLETO: WEB SERVICES SU HTTPS CHE INTERROGA LDAP LA STAMPA DI REQUEST E RESPONSE APPLICAZIONI PRATICHE REALIZZATE RIVISTA ON-LINE ASSISTENZA ON-LINE CONSULTAZIONE BILANCI CONSULTAZIONE CODICI FISCALI APPLICAZIONE DA UN SERVER ESTERNO (ARUBA) L UTILITÀ DEL SINGLE SIGN ON IL WSDL DEL MIO WEB SERVICES USUFRUIRE DEI SERVIZI DI UN WEB SERVICES SOLO SE SI È IN POSSESSO DI UN CERTIFICATO-CLIENT VALIDO

6 APPENDICE A: DEFINIZIONI E ABBREVIAZIONI APPENDICE B: SINTESI SULLA CERTIFICAZIONE DIGITALE B.1 I PUNTI DA FISSARE B.1.1 NECESSITÀ E SOLUZIONE B.1.2 CIFRATURA B.1.3 AUTENTICAZIONE B.1.4 INTEROPERABILITÀ B.1.5 PKCS B.1.6 COMPOSIZIONE DI UN CERTIFICATO B.1.7 REVOCA DEI CERTIFICATI B.1.8 COME SI OTTENGONO I CERTIFICATI B.1.9 COME SI USANO I CERTIFICATI B.1.10 APPLICAZIONI B.2 UNA SEMPLICE OSSERVAZIONE SULLA CONNESSIONE SICURA APPENDICE C: INSTALLAZIONI E CONFIGURAZIONI C.1 INSTALLARE E CONFIGURARE MYSQL, APACHE CON SSL, PHP, LDAP C.2 GENERAZIONE DEI CERTIFICATI C.2.1 OSSERVAZIONI SUI CERTIFICATI C.2.2 CREARE CERTIFICATI SSL AUTO-FIRMATI C.2.3 RILASCIARE CERTIFICATI CLIENT A SEGUITO DI UNA RICHIESTA C.2.4 RICHIEDERE UN CERTIFICATO-CLIENT AD UN ENTE CERTIFICATORE UFFICIALE C.2.5 CONSIDERARE VALIDI I CERTIFICATI-CLIENT RILASCIATE DA ALTRE CA C.3 IL MIO WEB SERVICES C.3.1 INSTALLAZIONE DI NUSOAP C.3.2 INSTALLAZIONE DI CURL C.3.3 IL WSDL DEL MIO WEB SERVICES: COME UTILIZZARE IL SERVIZIO APPENDICE D: LE APPLICAZIONI IN PHP D.1 I LISTATI DEI FILE IN PHP D.1.1 VERIFICA L ESISTENZA DI UN DOMINIO: CHECKDOMAIN.PHP D.1.2 CODICE IN PHP PER INTERROGARE IL WEB SERVICES DI GOOGLE D.1.3 LA STAMPA DI REQUEST E RESPONSE DI UN WEB SERVICES CHE REPERISCE SU LDAP INFORMAZIONI SU CERTIFICATI-CLIENT D.2 UN SITO PER TESTARE LE APPLICAZIONI D.2.1 SCARICARE I CERTIFICATI PER I TEST D.2.2 IL LINK AI SERVIZI OFFERTI D.2.3 INVOCARE IL WEB SERVICES SU HTTPS DA HTTP: L ESEMPIO CONCLUSIONI E SVILUPPI FUTURI

7 BIBLIOGRAFIA SOFTWARE UTILIZZATO RINGRAZIAMENTI

8 9

9 Introduzione Questo lavoro di tesi nasce con l intento di effettuare degli studi relativi alla certificazione digitale e all autenticazione su Internet. Ha come primo scopo la realizzazione di un Web server che supporta la connessione sicura over https. Prevede uno studio sui certificati, sulle tecniche crittografiche, sulle PKI. Si è inoltre voluto trattare un argomento fondamentale in questo campo: i servizi basati su directory LDAP. Il servizio basato su directory LDAP ha un architettura client/server: uno o più server LDAP contengono i dati che costituiscono l albero di directory e un client può connettersi ad un server LDAP per interrogarlo. Il server risponde inviando una risposta e/o un puntatore verso risorse dalle quali il client potrebbe ottenere informazioni addizionali (un altro server LDAP). Il lavoro si completa con lo studio dei Web services, analizzando la loro crescente importanza su Internet e la loro facilità di utilizzo e, ovviamente realizzandone uno. Le applicazioni realizzate hanno come obiettivo un integrazione dei suddetti argomenti. 10

10 Capitolo 1: La sicurezza 11

11 1.1 Introduzione Nel contesto dell e-commerce e della sicurezza dei sistemi informatici, si può dare una definizione di fiducia come l aspettativa o la convinzione che la controparte di una transazione si comporterà in accordo ad una data politica e senza intenti criminali; una definizione di fiducia nei sistemi, invece, potrebbe essere l aspettativa o la convinzione che essi siano robusti, affidabili e resistenti di fronte agli attacchi. La fiducia è quindi essenzialmente una convinzione e si assume che sia basata sull evidenza, sull esperienza e sulla percezione. Nel mondo fisico la fiducia nelle cose e in altre persone è basata sull esperienza, sull apparenza e sulle informazioni raccolte: tutti questi aspetti evidenziano il fatto che la fiducia è un fenomeno molto soggettivo. Un altra caratteristica del mondo fisico è che il numero di persone con cui si può entrare potenzialmente in relazione è limitato dalla distanza e da altri limiti fisici, mentre su Internet il limite è rappresentato solo dal numero di persone on-line in quel momento: la sfida è quella di riuscire a stabilire la fiducia in ambito informatico. Il partner di una transazione può essere qualcuno che si è già conosciuto, ma nella maggior parte dei casi sarà qualcuno totalmente sconosciuto e con il quale non si è mai interagito prima: le decisioni sulla fiducia devono essere basate su tutte le evidenze e le informazioni che possono essere raccolte, perciò l atto di decidere se fidarsi o no può essere definito come l attività di collezionare, codificare, analizzare e presentare evidenze rilevanti con l obiettivo di prendere decisioni. La chiave della sicurezza è la fiducia. Sia per uno sviluppatore sia per un fornitore di servizio, l obiettivo è quello di garantire il più alto grado di sicurezza possibile, in modo tale che l utente possa essere sicuro del fatto che le informazioni inviate e ricevute siano e si mantengano private e veritiere; in una forma o nell altra, comunque, ogni sistema di sicurezza si basa sulla fiducia tra gli utenti di quello stesso sistema. Esistono differenti forme di fiducia, a seconda dei problemi da affrontare e dei rischi da limitare, perciò la scelta su quale forma di fiducia applicare viene determinata da scelte politiche. In particolare esistono due importanti forme di fiducia che gli utenti di un sistema che implementa la sicurezza devono essere in grado di capire: fiducia-nella-terza-parte (third-party trust) o indiretta 12

12 e fiducia personale o diretta. Cerchiamo di capire questi concetti e fornire alcune informazioni addizionali La fiducia nella terza-parte Il concetto di fiducia indiretta (third-party trust) si riferisce ad una situazione nella quale due individui si fidano implicitamente l uno dell altro, anche senza aver precedentemente stabilito una relazione personale: in questa situazione la reciproca fiducia può sussistere, perché entrambi conoscono direttamente il medesimo terzo individuo e quel terzo individuo garantisce ognuno dei due sulla affidabilità dell altro. La fiducia-nella-terza-parte è un requisito fondamentale per qualsiasi implementazione su larga scala di un sistema di sicurezza basato sulla crittografia a chiave pubblica, che prevede, cioè, l accesso alle chiavi pubbliche degli utenti. Infatti, in una rete su larga scala, è impraticabile e irrealistico aspettarsi che ogni individuo abbia preventivamente stabilito relazioni con tutti gli altri; inoltre, per il fatto che le chiavi pubbliche devono essere disponibili per tutti, l associazione tra una chiave pubblica e una persona deve essere garantita da una terza parte assolutamente affidabile e irreprensibile, per prevenire «travestimenti». In effetti, gli utenti si fidano implicitamente di una qualsiasi chiave pubblica certificata dalla terza parte, perché l organizzazione di quest ultima è proprietaria e mantiene in modo sicuro l associazione tra la certificazione e l oggetto della fiducia. In generale, l agente di certificazione viene chiamato «Certification Authority» (CA): si tratta di un entità la cui principale responsabilità è quella di certificare l autenticità degli utenti e può essere vista come analoga allo Stato che emette passaporti e carte di identità (identità cartacee). Ogni altro Stato che si fidi dell autorità del primo si fiderà anche del passaporto dell utente: questo è un buon esempio di fiducia-nella-terza-parte. Similmente ad un passaporto, l identità elettronica di un utente, emessa per lui da una CA, è la prova che l utente ha del fatto che una CA si fida di lui; per questo, attraverso la fiducia-nella-terza-parte, chiunque ritenga la CA affidabile dovrebbe anche fidarsi dell utente, per una sorta di proprietà transitiva. Sia l ufficio di emissione passaporti sia la CA sono una combinazione di strutture fisiche di controllo: nel caso dell ufficio passaporti ci sono una serie di controlli fissati dall ordinamento giudiziario, che stabiliscono quali persone sono cittadini 13

13 rispettabili e le modalità per ottenere un passaporto; similmente, una CA può essere pensata come un gruppo di persone facenti parte di un organizzazione, le quali determinano le politiche di sicurezza sulla rete e decidono quali individui possono ricevere identità elettroniche, cioè certificati Fiducia senza intermediazioni Il concetto di fiducia diretta si riferisce ad una situazione nella quale due individui hanno stabilito una relazione di fiducia direttamente tra loro, senza intermediazioni. Mentre la fiducia-nella-terza-parte permette agli individui di fidarsi implicitamente l uno dell altro senza prima aver stabilito alcuna relazione personale, la fiducia diretta si basa sulla conoscenza reciproca, prima dello scambio di informazioni delicate. Per la sicurezza sulla rete è richiesta la fiducia diretta quando individui provenienti da domini separati si scambiano informazioni sulle chiavi per rendere sicure le comunicazioni, poiché le rispettive CA non hanno stabilito una relazione di fiducia attraverso una certificazione incrociata. Senza una fiducia diretta, in questo scenario lo scambio di chiavi non avrebbe alcun valore, perché l informazione sulla chiave stessa potrebbe essere non affidabile (non la chiave in sé, ma i dati del proprietario). Quando si applica la fiducia diretta per rendere sicure le comunicazioni, solamente la responsabilità di ognuna delle parti può dare una qualche garanzia: se si sceglie questa strada significa, probabilmente, che ognuna delle parti ritiene che la fiducia personale sia sufficiente per il tipo di operazioni che si stanno portando avanti. Comunque, quando è presente la fiducia diretta, lo scambio di chiavi tra individui con un rapporto personale fornisce un potente meccanismo per assicurare comunicazioni sicure Validità dei certificati Il certificato di un utente della rete è l equivalente elettronico del suo passaporto e, in quanto tale, un certificato contiene informazioni sicure che possono essere usate per verificare l identità del proprietario: per esempio il certificato ne contiene il nome, 14

14 ma soprattutto la chiave pubblica, che rappresenta la parte critica di informazione per quanto riguarda la sicurezza. Volendo affrontare il problema in termini di fiducia, ci sono due aspetti centrali in relazione ai certificati. - Il primo riguarda la credibilità dell informazione contenuta nel certificato. Come si può pretendere che una persona si fidi del fatto che il nome e la chiave pubblica contenuti in un certificato appartengano veramente a chi dichiara di esserne il proprietario? Come si può essere sicuri che il certificato non sia stato falsificato? Senza questo tipo di credibilità, la crittografia a chiave pubblica crollerebbe come un castello di carte, perché nessuno sarebbe sicuro di crittografare dati per la persona giusta, mentre un certificato sarebbe completamente inutile se non si potesse associarlo ad un preciso individuo. Allora, per stabilire un rapporto di fiducia, deve esserci un intermediario, la CA, che appone la propria firma digitale al certificato, garantendo così l integrità, l autenticazione e il non ripudio dello stesso. - Dopo aver appurato che un certificato è reso credibile dalla firma digitale della CA, il secondo aspetto che porta a fidarsi di un certificato riguarda il lecito dubbio sulla credibilità della CA in se stessa. Se, come prima, si mette in relazione di analogia questo scenario con quello del mondo burocratico e giuridico, il corretto parallelo si potrebbe fare su fino a che punto ci si può fidare dell ufficio che ha emesso il passaporto. Si prenda l esempio di un cittadino che entra nello Stato A presentando un passaporto apparentemente valido emesso da un ufficio dello Stato B: gli ufficiali dello Stato A ospite dovranno valutare la credibilità dell ufficio passaporti dello Stato B, facendo riferimento ad una lista correntemente valida di Stati affidabili, redatta da un gruppo di sorveglianza a livello superiore, che rientri, comunque, nei limiti di controllo dell agenzia. L analogia con la lista di Stati affidabili, nel contesto della sicurezza delle reti, è riferita come «dominio di certificazione incrociata tra CA». La certificazione incrociata è un processo grazie al quale due CA si scambiano, in modalità sicura, informazioni sulle reciproche chiavi, in modo tale che ognuna delle due possa effettivamente certificare la credibilità della chiave dell altra. Essenzialmente, la certificazione incrociata è una forma estesa di fiducia-nella-terza-parte, nella quale gli utenti appartenenti ad una rete 15

15 nel dominio di una CA si fidano implicitamente di tutti gli utenti appartenenti ai domini di altre CA certificate in modo incrociato con la propria CA. Da una prospettiva tecnica, la certificazione incrociata coinvolge la creazione di certificati incrociati tra due CA: quando la CA X e la CA Y si certificano l un l altra, in modo incrociato, la CA X crea e firma un certificato contenente la chiave pubblica della CA Y, e viceversa. Di conseguenza, gli utenti appartenenti ad entrambi i domini sono garantiti sul fatto che le relative CA si fidano l una dell altra; per questo gli utenti di un dominio si possono fidare di quelli dell altro attraverso una fiducia-nella-terza-parte estesa. Ci sono, naturalmente, molti più accordi da prendere nella certificazione incrociata tra CA, piuttosto che nei dettagli tecnici che hanno a che fare con lo scambio sicuro di chiavi ed informazioni analoghe tra utente e CA (cosa, in sé, abbastanza facile da realizzare). In quanto la certificazione incrociata estende la fiducia-nella-terzaparte, è importante, per ogni dominio CA, essere completamente sicuro delle strutture di sicurezza degli altri partner. Riprendendo un ennesima volta il parallelo del passaporto, sarebbe inverosimile che uno Stato dichiarasse di avere fiducia nel passaporto emesso da un altro Stato senza prima esaminarne a fondo la politica adottata per creare e distribuire passaporti ai cittadini. Per esempio, prima di stabilire un rapporto di fiducia, ogni Stato vorrà sicuramente capire in modo dettagliato il processo con il quale la controparte verifica l identità di un cittadino prima di conferirgli un passaporto. Analogamente si presentano le cose quando si creano certificazioni incrociate tra diversi domini CA: per esempio, prima di procedere, entrambi i domini CA vorranno conoscere le altrui politiche di sicurezza, specialmente le modalità di accesso alle funzioni di manipolazione della sicurezza all interno del dominio. È anche verosimile che gli accordi legali vengano firmati dai rappresentanti di entrambi i domini: questi accordi dovrebbero precisare le politiche di sicurezza richieste in entrambi i domini e fornire una garanzia controfirmata che le direttive saranno messe in pratica Certification Authority Una CA può anche emettere un certificato per un altra CA. 16

16 Nell analisi di un particolare certificato, può sorgere il bisogno di esaminare anche il certificato dell emissario, eventualmente in modo ricorsivo per ogni CA «madre», fino a raggiungere quella in cui riporre completa fiducia: si può anche scegliere di fidarsi solamente di certificati con una catena limitata di emissari, per ridurre il rischio di incontrare un anello debole (tutto ciò è generalmente trasparente all utente finale che, nella maggioranza dei casi, non avrebbe la preparazione per comprendere ciò che avviene). Ogni certificato richiede un emissario che asserisca la validità dell identità del possessore del certificato stesso e ogni emissario richiede un altro emissario che asserisca l affidabilità del primo, fino ad arrivare al livello di CA che ispiri fiducia, oppure al livello root, cioè alla radice dell albero delle CA (possono esistere diverse root per diverse strutture ramificate di certificati). Qui sorge un problema: chi garantisce la validità del certificato della CA al livello root, che per definizione non ha emissari? In questo caso particolare il certificato è auto-assegnato, in modo tale che l emissario del certificato ne sia anche il soggetto. Come risultato vediamo che l utente finale deve porre una grande attenzione nello scegliere un certificato auto-assegnato, ma comunque la pubblicazione in grande stile e con molta pubblicità della chiave pubblica della CA di livello root dovrebbe ridurre il rischio: sarebbe facilissimo individuare un impostore che pubblicizzasse la propria chiave proclamando di essere una CA a livello root. Fondare una CA, anche non a livello di root, rappresenta comunque una grossa responsabilità, che richiede una struttura interna estremamente solida dal punto di vista amministrativo, tecnico e gestionale; le CA non hanno solamente il compito di emettere certificati, ma anche quello di gestirli: questo significa anche decidere per quanto tempo i certificati saranno validi, significa doverli rinnovare e mantenere delle liste di certificati già emessi, ma non più validi (Certificate Revocation List, o CRL). Per capire la funzione delle CRL, si provi ad immaginare un generico client, titolare di un certificato in quanto impiegato di un azienda; si immagini anche che questo stesso certificato debba essere revocato quando l impiegato lascia la compagnia: poiché i certificati sono documenti che vengono distribuiti pubblicamente, non è possibile stabilire, a partire dal certificato in sé, se questo sia stato revocato oppure no. Per essere sicuri della validità del certificato, quindi, è necessario contattare la CA che lo ha emesso, per procedere con il controllo delle CRL. Si è parlato tanto e tanto si parlerà di certificati: a titolo di esempio si presenta qui un esempio di certificato crittografato, per avere almeno un idea del suo aspetto: 17

17 -----BEGIN CERTIFICATE----- MIIC7jCCAlegAwIBAgIBATANBgkqhkiG9w0BAQQFADCBqTELMAkGA1UEBhMCWFkx FTATBgNVBAgTDFNuYWtlIERlc2VydDETMBEGA1UEBxMKU25ha2UgVG93bjEXMBUGA 1UEChMOU25ha2UgT2lsLCBMdGQxHjAcBgNVBAsTFUNlcnRpZmljYXRlIEF1dGhvcml0eTE VMBMGA1UEAxMMU25ha2UgT2lsIENBMR4wHAYJKoZIhvcNAQkBFg9jYUBzbmFrZW9pb C5kb20wHhcNOTgxMDIxMDg1ODM2WhcNOTkxMDIxMDg1ODM2WjCBpzELMAkGA1UEB hmcwfkxftatbgnvbagtdfnuywtlierlc2vyddetmbega1uebxmku25ha2ugvg93bje XMBUGA1UEChMOU25ha2UgT2lsLCBMdGQxFzAVBgNVBAsTDldlYnNlcnZlciBUZWFtMR kwfwydvqqdexb3d3cuc25ha2vvawwuzg9tmr8whqyjkozihvcnaqkbfhb3d3dac25ha2 VvaWwuZG9tMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDH9Ge/s2zcH+da+rPTx /DPRp3xGjHZ4GG6pCmvADIEtBtKBFAcZ64n+Dy7Np8bvKR+yy5DGQiijsH1D/j8HlGE+q4TZ 8OFk7BNBFazHxFbYI4OKMiCxdKzdif1yfaalWoANFlAzlSdbxeGVHoT0K+gT5w3UxwZKv2D LbCTzLZyPwIDAQABoyYwJDAPBgNVHRMECDAGAQH/AgEAMBEGCWCGSAGG+EIBAQ QEAwIAQDANBgkqhkiG9w0BAQQFAAOBgQAZUIHAL4D09oE6Lv2k56Gp38OBDuILvwLg1 v1kl8mqr+kfjghcrtpqaztzqcdt2q2qoyulcgszhbegmi0esdkpfg6mp0penssifepyni+/8u9ht4 LuKMJX15hxBam7dUHzICxBVC1lnHyYGjDuAMhe396lYAn8bCld1/L4NMGBCQ== -----END CERTIFICATE La sicurezza Poniamo il caso di un consumatore che desideri comprare qualcosa su Internet, oppure quello di un uomo d affari che cerca di vendere qualcosa su Internet : questi due casi estremi enfatizzano la necessità di utilizzare comunicazioni sicure. A questo scopo viene usata, ormai da qualche anno, la tecnologia Secure Sockets Layer (SSL) per garantire una via sicura tramite la quale trasmettere informazioni delicate, come quelle riguardanti acquisti con carta di credito, operazioni di borsa, invio e ricezione di , trasmissione dei risultati di esami medici ed altre informazioni strettamente personali. In poche parole, SSL è una tecnologia che permette il trasferimento sicuro di informazioni su Internet: consiste in un software installato su browser e server, che si può facilmente ottenere sottoscrivendosi ad un Secured Service Provider (SSP) come SSL.com, VeriSign, Entrust, Infinite Technologies, oppure ottenendo da esso un Seller s Certificate ed installandolo su un server sicuro preesistente; probabilmente, comunque, una parte di esso è già contenuta sia nel Web browser sia nel Web server, a priori: infatti, tutti i maggiori browser e server sono abilitati alla gestione di SSL. 18

18 La tecnologia SSL è stata sviluppata dalla Netscape Communications Corporation ed è diventata presto la modalità industriale standard per proteggere le comunicazioni sul Web: si tratta di un livello di protocollo che può essere posizionato tra un protocollo di rete affidabile e connection oriented (ad esempio TCP/IP) ed un protocollo a livello di applicazione (ad esempio HTTP): SSL garantisce una comunicazione sicura tra client e server, tramite una mutua autenticazione, con l uso delle firme digitali per l integrità e della crittografia per la privacy; è progettato per supportare una rosa di specifici algoritmi crittografici, sia per il sunto matematico (digest) sia per le firme digitali, permettendo di sceglierne di particolari per server specifici, ma anche di supportare eventuali nuovi algoritmi: le varie decisioni su quali algoritmi utilizzare sono prese durante la negoziazione tra il client e il server all inizio della sessione sicura. Un protocollo è, essenzialmente, un insieme di regole e procedure ed, in quanto tale, SSL applica ad un messaggio una serie di operazioni che lo manipolano facendogli apparentemente perdere significato: queste operazioni sono portate avanti in modo che il messaggio non possa essere letto mentre viene trasferito, o meglio: se anche fosse intercettato durante la trasmissione, risulterebbe completamente incomprensibile per chiunque, escluso il reale destinatario. Quando il messaggio raggiunge il ricevente giusto, SSL si incarica di riportarlo al suo aspetto originale, controllando che provenga dal mittente corretto (autenticazione) e che non sia stato modificato nel frattempo (integrità) Concetti base di un servizio di sicurezza Sono quattro i concetti base che un servizio di sicurezza deve rispettare: - Privacy: la privacy assicura che solamente il mittente ed il ricevente di un messaggio crittografato possano leggerne i contenuti; per garantire la privacy, una soluzione sicura deve, quindi, fare in modo che nessun altro possa vedere, accedere o altrimenti usare le informazioni private trasmesse tramite Internet, che potrebbero essere indirizzi, numeri di carte di credito, numeri di telefono, ecc. 19

19 - Integrità: l integrità assicura la rilevazione di qualsiasi cambiamento nel contenuto di un messaggio, tra l istante in cui viene inviato e l istante in cui viene ricevuto: per esempio, quando un utente ordina alla propria banca di trasferire $ 1000 da un conto ad un altro, l integrità garantisce che i numeri di conto e l ammontare della somma non possano essere alterati senza che la banca o l utente se ne accorgano; se il messaggio dovesse essere alterato in un qualsiasi modo durante la trasmissione, il sistema di sicurezza deve assolutamente avere un modo per scoprire e notificare l alterazione: in molti sistemi, quando viene riscontrata una alterazione, il sistema di ricezione impone la ritrasmissione del messaggio. - Autenticazione : l autenticazione assicura che tutte le entità coinvolte in una comunicazione siano in effetti chi dichiarano di essere: l autenticazione del server dà modo agli utenti di verificare di essere effettivamente in comunicazione con il sito Web con cui sono convinti di essere connessi, mentre l autenticazione del client assicura che quest ultimo sia proprio chi dichiara di essere. Anche nel mondo reale esistono esempi di autenticazione: la presentazione di una patente di guida o di una carta di identità garantisce che l acquirente che firma un assegno è proprio la persona nominata su quell assegno, mentre la presentazione di un distintivo o di una tessera di riconoscimento dell azienda dei telefoni, con annessa foto identificativa, garantisce che la persona che si presenta alla porta è veramente l addetto del telefono e questi sono solo alcuni dei tanti possibili esempi. - Non ripudio (o non disconoscimento): il non ripudio fornisce un modo per garantire che una parte coinvolta in una transazione non possa poi in seguito falsamente dichiarare di non aver mai partecipato alla transazione stessa; nel mondo reale questa funzione è svolta dalle firme apposte a mano in calce ai documenti: quando un acquirente stacca un assegno, presentando la patente di guida o la carta di identità assicura la controparte sulla propria identità (autenticazione), mentre la firma sull assegno assicura per il futuro che il firmatario fosse di fatto presente e acconsentisse sull importo e sul destinatario dell assegno stesso (non ripudio). 20

20 Nel mondo Internet, il protocollo SSL, i certificati digitali e la coppia username/password sono usati in concomitanza per fornire tutti e quattro i livelli di garanzia sopra citati Tecniche crittografiche SSL comprende diverse tecniche crittografiche, qui elencate per sommi capi e poi spiegate in modo approfondito. - Crittografia con coppia di chiavi: la crittografia con coppia di chiavi (pubblica e privata) è il metodo crittografico cruciale di SSL: utilizza due chiavi e sofisticati algoritmi matematici per convertire un testo in chiaro in una serie di dati crittografati e viceversa. La coppia di chiavi consiste in una chiave pubblica e registrata, disponibile per chiunque, e in una chiave privata tenuta rigorosamente segreta dal suo proprietario: un messaggio crittografato con la chiave pubblica può essere decrittografato solamente da qualcuno in possesso della corrispondente chiave privata (questo è fondamentale per la privacy); analogamente, un messaggio crittografato con la chiave privata può essere decrittografato solamente da qualcuno in possesso della corrispondente chiave pubblica (questo è fondamentale per l autenticazione con firma digitale). La crittografia con chiave pubblica usa algoritmi molto avanzati per crittografare una piccola quantità di informazioni, mentre non è applicabile per quantità di dati più rilevanti. - Algoritmi di bulk encryption: esistono, per contro, algoritmi di bulk encryption (bulk = massa, grande quantità) che usano solamente una chiave segreta e condivisa (bulk key) tra i due comunicanti per crittografare i messaggi: questi algoritmi sono estremamente difficili da decodificare quando la bulk key contiene un elevato numero di bit. - Combinazione delle due tecniche : SSL utilizza, allora, la crittografia con coppia di chiavi per scambiare tra il client e il server la bulk key, nelle primissime fasi di una conversazione sicura in Internet, assicurando così che suddetta chiave 21

Capitolo 3. La sicurezza. 3.1. La fiducia. Capitolo 3 - Sicurezza: la fiducia

Capitolo 3. La sicurezza. 3.1. La fiducia. Capitolo 3 - Sicurezza: la fiducia Capitolo 3 - Sicurezza: la fiducia Capitolo 3 La sicurezza 3.1. La fiducia Ci sono tanti e diversi modi di descrivere la fiducia: nel contesto dell e-commerce e della sicurezza dei sistemi informatici,

Dettagli

La Sicurezza delle Reti. La Sicurezza delle Reti. Il software delle reti. Sistemi e tecnologie per la multimedialità e telematica.

La Sicurezza delle Reti. La Sicurezza delle Reti. Il software delle reti. Sistemi e tecnologie per la multimedialità e telematica. Sistemi e tecnologie per la multimedialità e telematica Fabio Burroni Dipartimento di Ingegneria dell Informazione Università degli Studi di Siena burronif@unisi unisi.itit La Sicurezza delle Reti La presentazione

Dettagli

Sicurezza: necessità. Roberto Cecchini Ottobre 2002 1

Sicurezza: necessità. Roberto Cecchini Ottobre 2002 1 Sicurezza: necessità Riservatezza: la comunicazione è stata intercettata? Autenticazione: l utente è veramente chi dice di essere? Autorizzazione: ogni utente può accedere solo alle risorse cui ha diritto.

Dettagli

Vendere online. Andrea Marin. Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO

Vendere online. Andrea Marin. Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO Andrea Marin Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI PER IL TURISMO a.a. 2013/2014 Section 1 Introduzione Parliamo di acquisti online quando a seguito

Dettagli

Comunicazioni sicure su Internet: https e SSL. Fisica dell Informazione

Comunicazioni sicure su Internet: https e SSL. Fisica dell Informazione Comunicazioni sicure su Internet: https e SSL Fisica dell Informazione Il servizio World Wide Web (WWW) Come funziona nel dettaglio il Web? tre insiemi di regole: Uniform Resource Locator (URL) Hyper Text

Dettagli

Appl. di emissione PKCS#11. API (Metacomandi) Resource Manager Windows. Drivers PC/SC dei lettori

Appl. di emissione PKCS#11. API (Metacomandi) Resource Manager Windows. Drivers PC/SC dei lettori Roma, 30 gennaio 2003 La realtà della carta di identità elettronica (nel seguito CIE) e della carta nazionale dei servizi (nel seguito CNS) rende ineluttabile l individuazione di servizi da erogare in

Dettagli

SSL: applicazioni telematiche SSL SSL SSL. E-commerce Trading on-line Internet banking... Secure Socket Layer

SSL: applicazioni telematiche SSL SSL SSL. E-commerce Trading on-line Internet banking... Secure Socket Layer : applicazioni telematiche Secure Socket Layer E-commerce Trading on-line Internet banking... Protocollo proposto dalla Netscape Communications Corporation Garantisce confidenzialità e affidabilità delle

Dettagli

Corso di ARCHITETTURA DEI SISTEMI INFORMATIVI - Prof. Crescenzio Gallo. 114 Sistemi informativi in rete e sicurezza 4.6

Corso di ARCHITETTURA DEI SISTEMI INFORMATIVI - Prof. Crescenzio Gallo. 114 Sistemi informativi in rete e sicurezza 4.6 Approcci al problema della sicurezza 114 Sistemi informativi in rete e sicurezza 4.6 Accessi non autorizzati Hacker: coloro che si avvalgono delle proprie conoscenze informatiche e di tecnologia delle

Dettagli

TRASMISSIONE DI DATI VIA INTERNET

TRASMISSIONE DI DATI VIA INTERNET TRASMISSIONE DI DATI VIA INTERNET 2.0 1 11 Sommario SOMMARIO...2 1. STORIA DELLE MODIFICHE...3 2. TRASMISSIONE DATI VIA INTERNET...4 2.1 SCOPO DEL DOCUMENTO...4 2.2 INTRODUZIONE...4 3. FORMATO DEI DOCUMENTI...5

Dettagli

Guida ai certificati SSL User Guide

Guida ai certificati SSL User Guide Guida ai certificati SSL User Guide PROBLEMATICHE DEL WEB... 2 PRIVACY...3 AUTORIZZAZIONE/AUTENTICAZIONE...4 INTEGRITA DEI DATI...4 NON RIPUDIO...4 QUALI SONO I PRINCIPALI STRUMENTI UTILIZZATI PER GARANTIRE

Dettagli

Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale S/MIME rilasciato

Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale S/MIME rilasciato Guida all installazione e all utilizzo di un certificato personale S/MIME (GPSE) Introduzione ai certificati S/MIME e alla posta elettronica certificata...2 Procedura di installazione del certificato personale

Dettagli

Certificati digitali con CAcert Un'autorità di certificazione no-profit

Certificati digitali con CAcert Un'autorità di certificazione no-profit Certificati digitali con CAcert Un'autorità di certificazione no-profit Davide Cerri Associazione di Promozione Sociale LOLUG Gruppo Utenti Linux Lodi davide@lolug.net 11 novembre 2008 Crittografia asimmetrica:

Dettagli

Informatica per la comunicazione" - lezione 13 -

Informatica per la comunicazione - lezione 13 - Informatica per la comunicazione" - lezione 13 - Funzionamento di una password" 1: l utente tramite il suo browser richiede l accesso a una pagina del server; 2: il server richiede il nome utente e la

Dettagli

PKI PUBLIC KEY INFRASTRUCTURES

PKI PUBLIC KEY INFRASTRUCTURES Premesse PKI PUBLIC KEY INFRASTRUCTURES Problemi Come distribuire in modo sicuro le chiavi pubbliche? Come conservare e proteggere le chiavi private? Come garantire l utilizzo corretto dei meccanismi crittografici?

Dettagli

RETI DI CALCOLATORI. Crittografia. La crittografia

RETI DI CALCOLATORI. Crittografia. La crittografia RETI DI CALCOLATORI Crittografia La crittografia La crittografia è la scienza che studia la scrittura e la lettura di messaggi in codice ed è il fondamento su cui si basano i meccanismi di autenticazione,

Dettagli

La firma digitale CHE COSA E'?

La firma digitale CHE COSA E'? La firma digitale La Firma Digitale è il risultato di una procedura informatica che garantisce l autenticità e l integrità di messaggi e documenti scambiati e archiviati con mezzi informatici, al pari

Dettagli

PRINCIPI DI COMPUTER SECURITY. Andrea Paoloni

PRINCIPI DI COMPUTER SECURITY. Andrea Paoloni PRINCIPI DI COMPUTER SECURITY Andrea Paoloni 2 Cade il segreto dei codici cifrati Corriere della Sera 26 febbraio 2008 3 Gli hacker sono utili? 4 Safety vs Security SAFETY (salvezza): protezione, sicurezza

Dettagli

Sicurezza nelle applicazioni multimediali: lezione 4, crittografia asimmetrica. Crittografia asimmetrica (a chiave pubblica)

Sicurezza nelle applicazioni multimediali: lezione 4, crittografia asimmetrica. Crittografia asimmetrica (a chiave pubblica) Crittografia asimmetrica (a chiave pubblica) Problemi legati alla crittografia simmetrica Il principale problema della crittografia simmetrica sta nella necessità di disporre di un canale sicuro per la

Dettagli

Lezione 7 Sicurezza delle informazioni

Lezione 7 Sicurezza delle informazioni Lezione 7 Sicurezza delle informazioni Sommario Concetti generali Meccanismi per la sicurezza IT: Crittografia Hash Firma digitale Autenticazione 1 Concetti generali Availability Confidentiality Integrity

Dettagli

Capitolo 8 La sicurezza nelle reti

Capitolo 8 La sicurezza nelle reti Capitolo 8 La sicurezza nelle reti Reti di calcolatori e Internet: Un approccio top-down 4 a edizione Jim Kurose, Keith Ross Pearson Paravia Bruno Mondadori Spa 2008 Capitolo 8: La sicurezza nelle reti

Dettagli

Scambio delle chiavi. mercoledì 7 dicembre 2011

Scambio delle chiavi. mercoledì 7 dicembre 2011 Scambio delle chiavi 1 mercoledì 7 dicembre 2011 Distribuzione della chiave Dati due terminali A e B, si possono avere varie alternative per la distribuzione delle chiavi. 1. A sceglie una chiave e la

Dettagli

Manuale di Integrazione IdM-RAS

Manuale di Integrazione IdM-RAS IdM-RAS Data: 30/11/09 File: Manuale di integrazione IdM-RAS.doc Versione: Redazione: Sardegna IT IdM-RAS Sommario 1 Introduzione... 3 2 Architettura del sistema... 4 2.1 Service Provider... 4 2.2 Local

Dettagli

Sicurezza dei sistemi informatici Firma elettronica E-commerce

Sicurezza dei sistemi informatici Firma elettronica E-commerce Sicurezza dei sistemi informatici Firma elettronica E-commerce Il contesto applicativo Commercio elettronico Quanti bit ho guadagnato!! Marco Mezzalama Politecnico di Torino collegamenti e transazioni

Dettagli

Firma digitale e PEC: facili e sicure

Firma digitale e PEC: facili e sicure Firma digitale e PEC: facili e sicure Trento, 23 Novembre 2012 Ing. Andrea Gelpi Commissione Ingegneria dell'informazione Ordine degli Ingegneri della Provincia di Trento Firma Digitale La Firma digitale

Dettagli

Sommario. Introduzione alla Sicurezza Web

Sommario. Introduzione alla Sicurezza Web Sommario Introduzione alla Sicurezza Web Considerazioni generali IPSec Secure Socket Layer (SSL) e Transport Layer Security (TLS) Secure Electronic Transaction (SET) Introduzione alla crittografia Introduzione

Dettagli

Applicazioni per l autenticazione Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009

Applicazioni per l autenticazione Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009 Applicazioni per l autenticazione Kerberos Kerberos Servizio di autenticazione sviluppato dal MIT Fornisce un server di autenticazione centralizzato Basato su crittografia simmetrica (chiave privata) Permette

Dettagli

UNIVERSITÀ DEGLI STUDI TRENTO PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE ASPETTI TECNICI SOLUZIONI ESAMINATE E CONSIDERAZIONI

UNIVERSITÀ DEGLI STUDI TRENTO PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE ASPETTI TECNICI SOLUZIONI ESAMINATE E CONSIDERAZIONI UNIVERSITÀ DEGLI STUDI TRENTO PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE ASPETTI TECNICI SOLUZIONI ESAMINATE E CONSIDERAZIONI BRIONI ELEONORA D.I.T. ATI NETWORK 23 GENNAIO 2003 INDICE INTRODUZIONE...3

Dettagli

a GlobalTrust Solution

a GlobalTrust Solution E-Consulting a GlobalTrust Solution E-Consulting è la soluzione ideale per i professionisti che intendono offrire consulenze on-line sia ai propri clienti abituali sia a tutti gli utenti di Internet. Descrizione

Dettagli

La Firma Digitale La sperimentazione nel Comune di Cuneo. Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo

La Firma Digitale La sperimentazione nel Comune di Cuneo. Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo La Firma Digitale La sperimentazione nel Comune di Cuneo Pier Angelo Mariani Settore Elaborazione Dati Comune di Cuneo Perchè questa presentazione Il Comune di Cuneo, aderente alla RUPAR, ha ricevuto due

Dettagli

DOCUMENTO ELETTRONICO E FIRMA DIGITALE

DOCUMENTO ELETTRONICO E FIRMA DIGITALE DOCUMENTO ELETTRONICO E FIRMA DIGITALE CHE COSA È LA CRITTOGRAFIA LA CRITTOLOGIA È SCIENZA CHE STUDIA LE SCRITTURE SEGRETE 2 CRITTOGRAFIA STUDIA I SISTEMI DI PROTEZIONE DEI MESSAGGI CRITTOANALISI STUDIA

Dettagli

Certificati di Attributi

Certificati di Attributi Certificati di Attributi Sicurezza dei dati in rete La rete è un mezzo non sicuro I messaggi in rete possono essere intercettati e/o modificati a cura di: R.Gaeta, F.Zottola Sicurezza dei dati in rete

Dettagli

Certificati digitali: come navigare sicuri

Certificati digitali: come navigare sicuri Certificati digitali: come navigare sicuri La sicurezza sul Web è una delle preoccupazioni che maggiormente assilla (o dovrebbe assillare) gli utenti, soprattutto quando si effettuano operazioni delicate

Dettagli

La sicurezza nelle reti di calcolatori

La sicurezza nelle reti di calcolatori La sicurezza nelle reti di calcolatori Contenuti del corso La progettazione delle reti Il routing nelle reti IP Il collegamento agli Internet Service Provider e problematiche di sicurezza Analisi di traffico

Dettagli

La sicurezza nelle reti di calcolatori

La sicurezza nelle reti di calcolatori La sicurezza nelle reti di calcolatori Contenuti del corso La progettazione delle reti Il routing nelle reti IP Il collegamento agli Internet Service Provider e problematiche di sicurezza Analisi di traffico

Dettagli

Crittografia. Crittografia Definizione. Sicurezza e qualità dei servizi su internet. 2009 Università degli Studi di Pavia, C.

Crittografia. Crittografia Definizione. Sicurezza e qualità dei servizi su internet. 2009 Università degli Studi di Pavia, C. Definizione La crittografia è la scienza che utilizza algoritmi matematici per cifrare e decifrare i dati. La criptoanalisi è la scienza che analizza e decifra i dati crittografati senza conoscerne a priori

Dettagli

VERISIGN SERVER ONSITE.

VERISIGN SERVER ONSITE. VERISIGN SERVER ONSITE. Scheda Tecnica. Ultima revisione del presente documento 05/12/2001 Versione 2.2 Trust Italia S.p.A. 1 di 8 INDICE Introduzione: i certificati digitali e il protocollo SSL.... 3

Dettagli

POSTA ELETTRONICA (TRADIZIONALE e CERTIFICATA) FIRMA DIGITALE PROTOCOLLO INFORMATICO. Maurizio Gaffuri 11 ottobre 2007

POSTA ELETTRONICA (TRADIZIONALE e CERTIFICATA) FIRMA DIGITALE PROTOCOLLO INFORMATICO. Maurizio Gaffuri 11 ottobre 2007 POSTA ELETTRONICA (TRADIZIONALE e CERTIFICATA) FIRMA DIGITALE PROTOCOLLO INFORMATICO Maurizio Gaffuri 11 ottobre 2007 1 POSTA ELETTRONICA TRADIZIONALE e POSTA ELETTRONICA CERTIFICATA 2 POSTA ELETTRONICA

Dettagli

CONCETTI DI NAVIGAZIONE IN RETE

CONCETTI DI NAVIGAZIONE IN RETE CONCETTI DI NAVIGAZIONE IN RETE Internet (La rete delle reti) è l insieme dei canali (linee in rame, fibre ottiche, canali radio, reti satellitari, ecc.) attraverso cui passano le informazioni quando vengono

Dettagli

Gennaio. SUAP On Line i pre-requsiti informatici: La firma digitale

Gennaio. SUAP On Line i pre-requsiti informatici: La firma digitale 2008 Gennaio SUAP On Line i pre-requsiti informatici: La firma digitale 1 La firma digitale Indice La firma digitale La firma digitale: destinatario 2 La firma digitale Cos è La Firma Digitale è il risultato

Dettagli

Cifratura a chiave pubblica Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009

Cifratura a chiave pubblica Sicurezza nelle reti di TLC - Prof. Marco Listanti - A.A. 2008/2009 Cifratura a chiave pubblica Crittografia a chiave privata Chiave singola Crittografia simmetrica La stessa chiave è utilizzata sia per la cifratura che per la decifratura dei messaggi La chiave rappresenta

Dettagli

La Firma Digitale e la Posta Elettronica Certificata. Centro Tecnico RUPAR Puglia - Tecnopolis Csata Chiara Valerio Bari, 14 dicembre 2006

La Firma Digitale e la Posta Elettronica Certificata. Centro Tecnico RUPAR Puglia - Tecnopolis Csata Chiara Valerio Bari, 14 dicembre 2006 La Firma Digitale e la Posta Elettronica Certificata Centro Tecnico RUPAR Puglia - Tecnopolis Csata Chiara Valerio Bari, 14 dicembre 2006 INNOVAZIONE DELLA P.A. Quadro normativo Il Codice dell Amministrazione

Dettagli

Corso di Laurea in Informatica Reti e Sicurezza Informatica

Corso di Laurea in Informatica Reti e Sicurezza Informatica Corso di Laurea in Informatica Reti e Sicurezza Informatica Esercitazione 6 Autenticazione in Tomcat per lo sviluppo di Web Service. In questo documento si presentano i meccanismi fondamentali che consentono

Dettagli

Firma digitale: aspetti tecnologici e normativi. Milano,

Firma digitale: aspetti tecnologici e normativi. Milano, Firma digitale: aspetti tecnologici e normativi Milano, Premessa digitale Il presente documento ha la finalità di supportare le Amministrazioni che intendono dotare il proprio personale di digitale, illustrando

Dettagli

Firma digitale INTRODUZIONE

Firma digitale INTRODUZIONE Firma digitale INTRODUZIONE La firma digitale costituisce uno dei dieci obiettivi del Piano per l e-government. Per quanto riguarda la PA, l obiettivo, abilitante allo sviluppo dei servizi on line, si

Dettagli

Crittografia e Protocolli di Sicurezza

Crittografia e Protocolli di Sicurezza Crittografia e Protocolli di Sicurezza Ing. Emilio Spinicci 07/04/2004 1 Argomenti della lezione Introduzione Principi di Crittografia Protocolli di Sicurezza Attacchi ai Protocolli di Sicurezza 07/04/2004

Dettagli

Certificati Digitali e sicurezza di SSL/TLS

Certificati Digitali e sicurezza di SSL/TLS ICT Security n. 35, Giugno 2005 p. 1 di 5 Certificati Digitali e sicurezza di SSL/TLS Nei precedenti articoli abbiamo descritto il protocollo SSL/TLS, in particolare la versione TLSv1.0, ed accennato ad

Dettagli

CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA

CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA CRITTOGRAFIA, CERTIFICATI DIGITALI E PROTOCOLLI DI SICUREZZA SU COSA SI BASANO I CERTIFICATI DIGITALI...2 Che cos è la Crittografia? E come viene applicata?...2 Crittografia a chiave simmetrica o segreta......2

Dettagli

Crittografia. Appunti a cura del prof. Ing. Mario Catalano

Crittografia. Appunti a cura del prof. Ing. Mario Catalano Crittografia Appunti a cura del prof. Ing. Mario Catalano La crittografia La crittografia è la scienza che studia la scrittura e la lettura di messaggi in codice. Solitamente, i meccanismi crittografici

Dettagli

GESTIONE DELLA POSTA ELETTRONICA CERTIFICATA - PEC GEPROT v 3.1

GESTIONE DELLA POSTA ELETTRONICA CERTIFICATA - PEC GEPROT v 3.1 GESTIONE DELLA POSTA ELETTRONICA CERTIFICATA - PEC GEPROT v 3.1 ESPLETAMENTO DI ATTIVITÀ PER L IMPLEMENTAZIONE DELLE COMPONENTI PREVISTE NELLA FASE 3 DEL PROGETTO DI E-GOVERNMENT INTEROPERABILITÀ DEI SISTEMI

Dettagli

Sicurezza a livello IP: IPsec e le reti private virtuali

Sicurezza a livello IP: IPsec e le reti private virtuali Sicurezza a livello IP: IPsec e le reti private virtuali Davide Cerri Sommario L esigenza di proteggere l informazione che viene trasmessa in rete porta all utilizzo di diversi protocolli crittografici.

Dettagli

Elementi di Informatica e Programmazione

Elementi di Informatica e Programmazione Elementi di Informatica e Programmazione Le Reti di Calcolatori (parte 2) Corsi di Laurea in: Ingegneria Civile Ingegneria per l Ambiente e il Territorio Università degli Studi di Brescia Docente: Daniela

Dettagli

Serve a garantire la nostra privacy nell era era della comunicazione digitale.

Serve a garantire la nostra privacy nell era era della comunicazione digitale. La crittografia di Antonio Cilli 1. La crittografia, perché? 2. Crittografia asimmetrica 3. Firma digitale 4. Documento elettronico 5. Autorità di certificazione 6. Certificati digitali 7. Requisiti di

Dettagli

La sicurezza nelle comunicazioni Internet

La sicurezza nelle comunicazioni Internet Accesso remoto sicuro a intranet e a server aziendali di posta elettronica Un esempio Cosa ci si deve aspettare di sapere alla fine del corso La sicurezza nelle comunicazioni Internet Esiste un conflitto

Dettagli

Protezione delle informazioni in SMart esolutions

Protezione delle informazioni in SMart esolutions Protezione delle informazioni in SMart esolutions Argomenti Cos'è SMart esolutions? Cosa si intende per protezione delle informazioni? Definizioni Funzioni di protezione di SMart esolutions Domande frequenti

Dettagli

Questo documento è superato dal parere espresso da Digit Pa

Questo documento è superato dal parere espresso da Digit Pa Questo documento è superato dal parere espresso da Digit Pa Anche se con motivazioni diverse, Digit Pa, ha riconosciuto a tutte le marche temporali emesse dopo il febbraio 2004 la validità di venti anni.

Dettagli

Il glossario della Posta Elettronica Certificata (PEC) Diamo una definizione ai termini tecnici relativi al mondo della PEC.

Il glossario della Posta Elettronica Certificata (PEC) Diamo una definizione ai termini tecnici relativi al mondo della PEC. Il glossario della Posta Elettronica Certificata (PEC) Diamo una definizione ai termini tecnici relativi al mondo della PEC. Avviso di mancata consegna L avviso, emesso dal sistema, per indicare l anomalia

Dettagli

FORSETI BLOG. Readcast. Aprile 2014 Speciale Heartbleed. http://blog.forseti.it/

FORSETI BLOG. Readcast. Aprile 2014 Speciale Heartbleed. http://blog.forseti.it/ FORSETI BLOG Readcast Aprile 2014 Speciale Heartbleed http://blog.forseti.it/ Indice di 3 Forseti Blog - Aprile 2014 3 di Dottore in Sicurezza dei Sistemi e delle Reti Informatiche, Dottore Magistrale

Dettagli

L azienda di fronte all e-business

L azienda di fronte all e-business L azienda di fronte all e-business Opportunità per le imprese Il cambiamento portato dalla Rete produce opportunità e benefici: ma l ottenimento dei risultati positivi è frutto di una revisione degli stili

Dettagli

Sicurezza in Internet

Sicurezza in Internet Sicurezza in Internet Mario Cannataro cannataro@unicz.it 1 Sommario Internet, Intranet, Extranet Servizi di filtraggio Firewall Servizi di sicurezza Autenticazione Riservatezza ed integrità delle comunicazioni

Dettagli

SISTEMI E RETI. Crittografia. Sistemi distribuiti e configurazione architetturale delle applicazioni WEB.

SISTEMI E RETI. Crittografia. Sistemi distribuiti e configurazione architetturale delle applicazioni WEB. SISTEMI E RETI Crittografia. Sistemi distribuiti e configurazione architetturale delle applicazioni WEB. CRITTOGRAFIA La crittografia è una tecnica che si occupa della scrittura segreta in codice o cifrata

Dettagli

Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server

Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server Come creare un certificato SSL per IIS utilizzando la CA Privata di W indow s 2 0 0 3 Server Di Massimiliano Brolli, Roma 24/10/2004 SSL permette di eseguire una connessione criptata tra un Server WEB

Dettagli

Software di crittografia per GNOME. Nicola VITUCCI POuL Politecnico Open unix Labs

Software di crittografia per GNOME. Nicola VITUCCI POuL Politecnico Open unix Labs Software di crittografia per GNOME Nicola VITUCCI POuL Politecnico Open unix Labs Crittografia: definizione Dal greco kryptós, nascosto, e gráphein, scrivere Crittografia: l arte scrivere cifrato dello

Dettagli

Benvenuti. Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it. Achab techjam Gateway PEC per MDaemon

Benvenuti. Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it. Achab techjam Gateway PEC per MDaemon Benvenuti Luca Biffi, Direttore Supporto Tecnico di Achab supporto@achab.it Achab techjam Gateway PEC per MDaemon Protocolli di sicurezza per la posta elettronica... inclusa la PEC Achab 2 Agenda Acronimi

Dettagli

Posta Elettronica Certificata & Firma Digitale

Posta Elettronica Certificata & Firma Digitale Posta Elettronica Certificata & Firma Digitale Introduzione Sicurezza nelle comunicazioni digitali Obbligo per Professionisti (entro 1 anno) e Aziende (3 anni) di dotarsi di caselle di Posta Elettronica

Dettagli

La firma digitale e le sue possibili applicazioni

La firma digitale e le sue possibili applicazioni Il documento informatico e la firma digitale nelle applicazioni pratiche La firma digitale e le sue possibili applicazioni dott. Enrico Zimuel (enrico@zimuel.it) Pescara, 15 febbraio 2008 Centro Studi

Dettagli

ALLEGATO AL CONTRATTO DI FORNITURA DEL SERVIZIO LEGALMAIL

ALLEGATO AL CONTRATTO DI FORNITURA DEL SERVIZIO LEGALMAIL ALLEGATO AL CONTRATTO DI FORNITURA DEL SERVIZIO LEGALMAIL.1. Introduzione Legalmail è un servizio di posta elettronica che garantisce un elevato grado di affidabilità e sicurezza. Esso consente al Cliente

Dettagli

Quasar Sistemi S.r.l.

Quasar Sistemi S.r.l. La Firma Digitale Quasar Sistemi S.r.l. Via San Leonardo, 52 84131 Salerno Telefono 089.3069802-803 Fax 089.332989 E-Mail: info@quasar.it Web http://www.quasar.it Documento Elettronico (D.E.) Un documento

Dettagli

(estratto da) 3. Firma digitale, posta elettronica certificata e dematerializzazione Daniela Redolfi

(estratto da) 3. Firma digitale, posta elettronica certificata e dematerializzazione Daniela Redolfi (estratto da) 3. Firma digitale, posta elettronica certificata e dematerializzazione Daniela Redolfi (...) 3.2 Elementi della tecnologia e aspetti legali Il documento cartaceo sottoscritto possiede alcuni

Dettagli

LABORATORIO DI TELEMATICA

LABORATORIO DI TELEMATICA LABORATORIO DI TELEMATICA COGNOME: Ronchi NOME: Valerio NUMERO MATRICOLA: 41210 CORSO DI LAUREA: Ingegneria Informatica TEMA: Analisi del protocollo FTP File Transfer Protocol File Transfer Protocol (FTP)

Dettagli

Sicurezza nelle applicazioni multimediali: lezione 7, sicurezza dei protocolli. Sicurezza dei protocolli (https, pop3s, imaps, esmtp )

Sicurezza nelle applicazioni multimediali: lezione 7, sicurezza dei protocolli. Sicurezza dei protocolli (https, pop3s, imaps, esmtp ) Sicurezza dei protocolli (https, pop3s, imaps, esmtp ) Stack di protocolli nella trasmissione della posta elettronica 2 Sicurezza a livello applicativo Ma l utilizzo di meccanismi di cifratura e autenticazione

Dettagli

Sicurezza in Internet. Criteri di sicurezza. Firewall

Sicurezza in Internet. Criteri di sicurezza. Firewall Sicurezza in Internet cannataro@unicz.it 1 Sommario Internet, Intranet, Extranet Criteri di sicurezza Servizi di filtraggio Firewall Controlli di accesso Servizi di sicurezza Autenticazione Riservatezza,

Dettagli

Guida per il PGP. Scritto da Spy. Indice:

Guida per il PGP. Scritto da Spy. Indice: Indice: Introduzione Le chiavi Chiave pubblica Chiave privata Verifica del messaggio e del mittente "Finger print" Installazione Gestione chiavi Come creare le chiavi Come estrarre una chiave Come esaminare

Dettagli

Internet. Cos è Il Web La posta elettronica. www.vincenzocalabro.it 1

Internet. Cos è Il Web La posta elettronica. www.vincenzocalabro.it 1 Internet Cos è Il Web La posta elettronica www.vincenzocalabro.it 1 Cos è E una RETE di RETI, pubblica. Non è una rete di calcolatori. I computer che si collegano ad Internet, devono prima essere collegati

Dettagli

Secure E-Mail della Suva

Secure E-Mail della Suva Secure E-Mail della Suva Opuscolo informativo per responsabili decisionali e informatici SEM_Informationsbroschuere_06-2013_it / WasWoShop: 2979/1.I 1 Indice Secure E-Mail della Suva in sintesi 3 Problemi

Dettagli

CHE COS E LA FIRMA DIGITALE

CHE COS E LA FIRMA DIGITALE CHE COS E LA FIRMA DIGITALE La firma digitale può essere definita l'equivalente elettronico di una tradizionale firma apposta su carta, assumendone lo stesso valore legale. E' associata stabilmente al

Dettagli

Elementi di Informatica e Programmazione

Elementi di Informatica e Programmazione Elementi di Informatica e Programmazione Le Reti di Calcolatori (parte 2) Corsi di Laurea in: Ingegneria Civile Ingegneria per l Ambiente e il Territorio Università degli Studi di Brescia Docente: Daniela

Dettagli

Problematiche correlate alla sicurezza informatica nel commercio elettronico

Problematiche correlate alla sicurezza informatica nel commercio elettronico Problematiche correlate alla sicurezza informatica nel commercio elettronico http://www.infosec.it info@infosec.it Relatore: Stefano Venturoli, General Manager Infosec Italian Cyberspace Law Conference

Dettagli

La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo. Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P.

La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo. Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P. Rho, Luglio 07, 2006 CORSI ON-LINE La nuova Posta Elettronica IMAP del C.S.B.N.O. di Restelli Paolo Appendice 2 : Protocolli sicuri, autenticazione sicura e certificati ( P. Restelli) Attualmente la maggior

Dettagli

UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE.

UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE. UNIVERSITÀ DEGLI STUDI DI TRENTO DOCUMENTO ELETTRONICO, FIRMA DIGITALE E SICUREZZA IN RETE. INTRODUZIONE ALL ARGOMENTO. A cura di: Eleonora Brioni, Direzione Informatica e Telecomunicazioni ATI NETWORK.

Dettagli

Secure E-Mail della Suva. Opuscolo informativo per responsabili decisionali e informatici

Secure E-Mail della Suva. Opuscolo informativo per responsabili decisionali e informatici Secure E-Mail della Suva Opuscolo informativo per responsabili decisionali e informatici Indice Secure E-Mail della Suva in sintesi 3 Problemi legati alla posta elettronica tradizionale 4 Secure E-Mail

Dettagli

Modalità di assolvimento degli obblighi fiscali relativi ai documenti informatici. Decreto 23 gennaio 2004. art.. 1) Definizioni (art(

Modalità di assolvimento degli obblighi fiscali relativi ai documenti informatici. Decreto 23 gennaio 2004. art.. 1) Definizioni (art( Modalità di assolvimento degli obblighi fiscali relativi ai documenti informatici Decreto 23 gennaio 2004 Ministero dell economia e delle finanze Dipartimento politiche fiscali Ufficio tecnologie informatiche

Dettagli

NETASQ V9: PKI & Controllo accessi. Presentation Marco Genovese Presales engineer marco.genovese@netasq.com

NETASQ V9: PKI & Controllo accessi. Presentation Marco Genovese Presales engineer marco.genovese@netasq.com NETASQ V9: PKI & Controllo accessi Presentation Marco Genovese Presales engineer marco.genovese@netasq.com Alcuni concetti Alcuni concetti prima di incominciare per chiarire cosa è una PKI e a cosa serve

Dettagli

ALLEGATO AL CONTRATTO DI FORNITURA DEL SERVIZIO LEGALMAIL

ALLEGATO AL CONTRATTO DI FORNITURA DEL SERVIZIO LEGALMAIL ALLEGATO AL CONTRATTO DI FORNITURA DEL SERVIZIO LEGALMAIL.1. Introduzione Legalmail è il servizio di posta elettronica con valore legale realizzato da InfoCamere. Esso consente al Cliente di disporre di

Dettagli

Sicurezza digitale. requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza. soddisfatti mediante

Sicurezza digitale. requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza. soddisfatti mediante Sicurezza digitale requisiti: confidenzialità, integrità, autenticazione, autorizzazione, assicurazione, riservatezza soddisfatti mediante crittografia = codifica dei dati in forma illeggibile per assicurare

Dettagli

Firma digitale Definizione

Firma digitale Definizione FIRMA DIGITALE Firma digitale Definizione La definizione di firma digitale è contenuta nel Dlgs. Del 4/04/2006 n.159 che integra il Codice dell amministrazione digitale in vigore dal 1/01/2006. Firma digitale

Dettagli

SICUREZZA. Sistemi Operativi. Sicurezza

SICUREZZA. Sistemi Operativi. Sicurezza SICUREZZA 14.1 Sicurezza Il Problema della Sicurezza Convalida Pericoli per i Programmi Pericoli per il Sistema Difendere i Sistemi Scoperta di Intrusioni Cifratura Esempio: Windows NT 14.2 Il Problema

Dettagli

Sistemi Operativi SICUREZZA. Sistemi Operativi. D. Talia - UNICAL 14.1

Sistemi Operativi SICUREZZA. Sistemi Operativi. D. Talia - UNICAL 14.1 SICUREZZA 14.1 Sicurezza Il Problema della Sicurezza Convalida Pericoli per i Programmi Pericoli per il Sistema Difendere i Sistemi Scoperta di Intrusioni Cifratura Esempio: Windows NT 14.2 Il Problema

Dettagli

Sicurezza dei sistemi e delle reti Introduzione

Sicurezza dei sistemi e delle reti Introduzione Sicurezza dei sistemi e delle reti Introduzione Damiano Carra Università degli Studi di Verona Dipartimento di Informatica Riferimenti! Cap. 8 di Reti di calcolatori e Internet. Un approccio topdown, J.

Dettagli

Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi. prof.

Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi. prof. Operatore Informatico Giuridico Informatica Giuridica di Base A.A 2003/2004 I Semestre Appendice:: Spunti sulla sicurezza e Internet Materiale fuori programma dedicato rigorosamente solo ai curiosi prof.

Dettagli

DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro

DNSSEC. Cos è DNSSEC? Perché serve DNSSEC? Per un Internet sicuro SEC Per un Internet sicuro Cos è SEC? SEC è un ampliamento del Domain Name System () che serve a garantire la genuinità (autenticità) e la completezza (integrità) dei dati delle risposte del. Pertanto,

Dettagli

Indice. Prefazione. Presentazione XIII. Autori

Indice. Prefazione. Presentazione XIII. Autori INDICE V Indice Prefazione Presentazione Autori XI XIII XV Capitolo 1 Introduzione alla sicurezza delle informazioni 1 1.1 Concetti base 2 1.2 Gestione del rischio 3 1.2.1 Classificazione di beni, minacce,

Dettagli

Universita' di Ferrara Dipartimento di Matematica e Informatica. Algoritmi e Strutture Dati. Funzioni Hash e Network Security

Universita' di Ferrara Dipartimento di Matematica e Informatica. Algoritmi e Strutture Dati. Funzioni Hash e Network Security Universita' di Ferrara Dipartimento di Matematica e Informatica Algoritmi e Strutture Dati Funzioni Hash e Network Security Vedi: A.S. Tanenbaum, Computer Networks, 4th ed., Prentice Hall: sez. 8, pagg.

Dettagli

Sistemi Web! per il turismo! - lezione 6 -

Sistemi Web! per il turismo! - lezione 6 - Sistemi Web! per il turismo! - lezione 6 - A proposito di social network! Osserviamo due esempi di pagine Facebook." Cercate di pensare a qual è la differenza principale tra queste due pagine." Esempio

Dettagli

Corso Specialista Sistemi Ambiente Web. Test finale conoscenze acquisite - 15.12.2003. Windows 2000 Server

Corso Specialista Sistemi Ambiente Web. Test finale conoscenze acquisite - 15.12.2003. Windows 2000 Server Windows 2000 Server 1 A cosa serve il task manager? A A monitorare quali utenti stanno utilizzando una applicazione B A restringere l'accesso a task determinati da parte degli utenti C Ad interrompere

Dettagli

Sicurezza dei sistemi e delle reti 1. Lezione VI: IPsec. IPsec. La suite TCP/IP. Mattia Monga. a.a. 2014/15

Sicurezza dei sistemi e delle reti 1. Lezione VI: IPsec. IPsec. La suite TCP/IP. Mattia Monga. a.a. 2014/15 Sicurezza dei sistemi e delle 1 Mattia Lezione VI: Dip. di Informatica Università degli Studi di Milano, Italia mattia.monga@unimi.it a.a. 2014/15 1 cba 2011 15 M.. Creative Commons Attribuzione Condividi

Dettagli

Clicca sul link Gmail in alto nella pagina. Arriverai ad una pagina simile alla seguente: G. Pettarin ECDL Modulo 7: Internet 68

Clicca sul link Gmail in alto nella pagina. Arriverai ad una pagina simile alla seguente: G. Pettarin ECDL Modulo 7: Internet 68 G. Pettarin ECDL Modulo 7: Internet 68 Usiamo Gmail In questo capitolo vedremo come creare un proprio accesso alla posta elettronica (account) ad uno dei servizi di mail on line più diffusi: Gmail, la

Dettagli

ALLEGATO C STANDARD TECNICI DELLA BORSA CONTINUA NAZIONALE DEL LAVORO

ALLEGATO C STANDARD TECNICI DELLA BORSA CONTINUA NAZIONALE DEL LAVORO ALLEGATO C STANDARD TECNICI DELLA BORSA CONTINUA NAZIONALE DEL LAVORO Standard tecnici Gli standard tecnici di riferimento adottati sono conformi alle specifiche e alle raccomandazioni emanate dai principali

Dettagli

Sicurezza nei Web Services: Migrazione dell autenticazone di Web Services da ticket di sessione a WS-Security con token SAML

Sicurezza nei Web Services: Migrazione dell autenticazone di Web Services da ticket di sessione a WS-Security con token SAML Master Universitario di II livello in Interoperabilità Per la Pubblica Amministrazione e Le Imprese Sicurezza nei Web Services: Migrazione dell autenticazone di Web Services da ticket di sessione a WS-Security

Dettagli

Sicurezza nell'utilizzo di Internet

Sicurezza nell'utilizzo di Internet Sicurezza nell'utilizzo di Internet 1 Sicurezza Definizioni Pirati informatici (hacker, cracker): persone che entrano in un sistema informatico senza l autorizzazione per farlo Sicurezza: protezione applicata

Dettagli

NOTA INFORMATIVA SULLA FIRMA GRAFOMETRICA

NOTA INFORMATIVA SULLA FIRMA GRAFOMETRICA NOTA INFORMATIVA SULLA FIRMA GRAFOMETRICA Documento predisposto da Reale Mutua Assicurazioni ai sensi dell articolo 57, commi 1 e 3, del Decreto del Presidente del Consiglio dei Ministri del 22/02/2013,

Dettagli