CP e CPS di Unige-CA. Unige-CA. Certificate Policy Certification Practice Statement. Versione 0.2 (Bozza)

Transcript

1 Unige-CA Certificate Policy Certification Practice Statement Versione 0.2 (Bozza)

2 Indice CP e CPS di Unige-CA 1INTRODUZIONE ASPETTI GENERALI IDENTIFICAZIONE COMUNITÀ E APPLICABILITÀ Autorità di Certificazione Autorità di Registrazione Entità finali Applicabilità INFORMAZIONI SUI CONTATTI Organizzazione responsabile dell amministrazione delle specifiche Persona di contatto Persona incaricata della determinazione della conformità del CPS alla Certificate Policy...8 2DISPOSIZIONI GENERALI OBBLIGHI Obblighi dell Autorità di Certificazione Obblighi dell Autorità di Registrazione Obblighi del soggetto Obblighi del destinatario Obblighi relativi al deposito RESPONSABILITÀ Responsabilità dell Autorità di Certificazione Responsabilità dell'autorità di Registrazione RESPONSABILITÀ FINANZIARIA Risarcimento da parte dei destinatari Rapporti fiduciari Processi amministrativi INTERPRETAZIONE E APPLICAZIONE Normativa vigente Gravità, Sopravvivenza, Fusione, Notifica Procedure relative alla risoluzione delle controversie SPESE Rilascio del certificato o spese di rinnovamento Spese relative all accesso al certificato Spese di revoca o di accesso a informazioni sullo stato Spese relative ad altri servizi come le informazioni sul piano di azione Rimborso PUBBLICAZIONE E DEPOSITI Pubblicazione di informazioni sull Autorità di Certificazione Frequenza delle pubblicazioni Controlli di accesso Depositi VERIFICA DELLA CONFORMITÀ Frequenza della verifica di conformità da parte del soggetto Identità/qualifiche del verificatore Relazione fra il verificatore e la parte soggetta a verifica Temi trattati dalla verifica Azioni intraprese in caso di inosservanza Comunicazione dei risultati RISERVATEZZA Informazioni da mantenere confidenziali Informazioni da non considerare confidenziali Rivelazione di informazioni relative all revoca/sospensione del certificato Presentazione alle autorità legislative Presentazione in qualità di scoperta civile Rivelazione su richiesta del proprietario Altre circostanze che possono motivare il rilascio di informazioni DIRITTI RELATIVI ALLA PROPRIETÀ INTELLETTUALE IDENTIFICAZIONE E AUTENTICAZIONE REGISTRAZIONE INIZIALE

3 3.1.1Tipi di denominazioni Necessità di utilizzare denominazioni appropriate Norme per l interpretazione di denominazione in diverse forme Unicità delle denominazioni Procedura per la risoluzione di controversie legate alla richiesta di denominazione Riconoscimento, autenticazione e ruolo dei marchi Metodo inteso a provare il possesso della chiave privata Autenticazione dell identità dell organizzazione Autenticazione dell identità individuale PROCEDURA DI RINNOVO PROCEDURA DI RINNOVO POST-REVOCA RICHIESTA DI REVOCA REQUISITI OPERATIVI RICHIESTA DI CERTIFICATO RILASCIO DEL CERTIFICATO ACCETTAZIONE DEL CERTIFICATO SOSPENSIONE E REVOCA DEL CERTIFICATO Casi di revoca Richiesta di revoca Procedura relativa alla richiesta di revoca Casi relativi alla sospensione Frequenza di rilascio dei CRL Requisito di verifica delle CRL Disponibilità del servizio di verifica online dello stato di revoca (OCSP) Requisito di verifica online dello stato di revoca Altre forme di pubblicazione delle CRL Requisito relativi ad altre forme di pubblicazione delle CRL PROCEDURE DI VERIFICA DELLA SICUREZZA Casistica delle registrazioni Frequenza dei analisi dei log Periodo di mantenimento dei log Protezione dei log Procedure di backup dei log Sistema di raccolta dei log (Interno/Esterno) Notifica al soggetto responsabile dell evento Valutazione della vulnerabilità ARCHIVIAZIONE DEI DATI Tipologie di eventi registrati Periodo di mantenimento per gli archivi Protezione dell archivio Procedure di backup dell archivio Requisiti relativi al all elaborazione delle registrazioni Archive Collection System (Interno/Esterno) Procedure per l ottenimento e la verifica delle informazioni relative all archivio SOSTITUZIONE DELLA CHIAVE DANNI E INTERVENTI IN CASO DI CALAMITÀ Danneggiamento di risorse informatiche, software, e/o dati Revoca della chiave pubblica del soggetto Danneggiamento della chiave privata della Autorità di Certificazione Struttura di protezione dopo una calamità naturale o altri tipi di eventi straordinari CESSAZIONE DELL AUTORITÀ DI CERTIFICAZIONE SISTEMI DI CONTROLLO RELATIVI ALLA SICUREZZA FISICA, PROCEDURALE E ALLA SICUREZZA DEL PERSONALE CONTROLLI RELATIVI ALLA SICUREZZA FISICA Posizione del sito e dello stabile Accesso fisico Energia elettrica e aria condizionata Esposizione all acqua Prevenzione e protezione antincendio Conservazione dei supporti Smaltimento dei rifiuti Backup esterno CONTROLLI RELATIVI ALLE PROCEDURE

4 5.2.1Assegnazione di ruoli speciali Numero di persone richieste per ciascun incarico Identificazione e autenticazione di tutti i ruoli CONTROLLI RELATIVI ALLA SICUREZZA DEL PERSONALE Requisiti relativi alle origini, alle qualifiche, all esperienza e all integrità Requisiti relativi alla formazione Frequenza e requisiti dei nuovi cicli formativi Frequenza e sequenza dei turni dilavoro Sanzioni previste per le azioni illecite Requisiti contrattuali del personale Documentazione fornita al personale CONTROLLI RELATIVI ALLA SICUREZZA TECNICA GENERAZIONE ED INSTALLAZIONE DELLA COPPIA DI CHIAVI Consegna della chiave privata al soggetto Consegna della chiave pubblica al soggetto responsabile del rilascio del certificato Consegna agli utenti della chiave pubblica dell Autorità di Certificazione Dimensioni della chiave Elaborazione dei parametri relativi alla chiave pubblica Controllo dei parametri di qualità Generazione hardware/software delle chiavi Finalità delle chiavi PROTEZIONE DELLA CHIAVE PRIVATA Norme relative al modulo crittografico Controllo multipersonale della chiave privata (n/m) Key Escrow della chiave privata della CA di Unige-CA Backup della chiave privata Archiviazione della chiave privata Inserimento della chiave privata nel modulo crittografico Metodo di attivazione della chiave privata Metodo di disattivazione della chiave privata Metodo di distruzione della chiave privata ALTRI ASPETTI RELATIVI ALLA GESTIONE DELLA COPPIA DI CHIAVI Archiviazione della chiave pubblica Periodi di utilizzo per le chiavi pubbliche e private DATI DI ATTIVAZIONE Generazione e istallazione dei dati di attivazione Protezione dei dati di attivazione Altri aspetti relativi ai dati di attivazione CONTROLLI RELATIVI ALLA SICUREZZA INFORMATICA Requisiti tecnici specifici relativi alla sicurezza informatica CONTROLLI RELATIVI ALLA SICUREZZA DEL CICLO DI VITA Controlli relativi allo sviluppo del sistema Controlli relativi alla gestione della sicurezza Livelli di sicurezza relativi al ciclo di vita CONTROLLI DI SICUREZZA DELLA RETE CONTROLLI RELATIVI ALLA TECNOLOGIA DEL MODULO CRITTOGRAFICO PROFILI DEL CERTIFICATO E DEL CRL PROFILO DEL CERTIFICATO Numero di versione Estensioni del certificato Identificatori dell algoritmo di cifratura Forme di denominazione Obblighi relativi alla denominazione Sistema di identificazione dell oggetto del piano di azione Uso delle estensioni degli obblighi del CP Sistema di qualificazione degli aspetti sintattici e semantici del CP Elaborazione degli aspetti semantici per l'estensione del CP PROFILO DELLA CRL Versione Estensioni del CRL e dell entrata CRL AMMINISTRAZIONE DELLE SPECIFICHE PROCEDURE RELATIVE ALLA MODIFICA DELLE SPECIFICHE

5 8.2PROCEDURE DI PUBBLICAZIONE E NOTIFICA PROCEDURE RELATIVE ALL APPROVAZIONE CPS BIBLIOGRAFIA ELENCO DELLE MODIFICHE

6 1 Introduzione Nel presente documento sono utilizzati i seguenti termini: Autorità di Certificazione emittente Issuing Certification Authority - Issuing CA Nel contesto di un certificato particolare, l issuing CA corrisponde all autorità di certificazione che ha rilasciato il certificato. Autorità di Registrazione Registration Authority - RA Autorità responsabile della gestione della Certificate Policy Certificate Policy Manager CPM Certificate Policy (CP) Dati di attivazione Destinatario Disposizioni generali Documento sulle pratiche di certificazione Certification Practice Statement-CPS Nome alternativo Sistema di qualificazione del CP Soggetto Soggetto responsabile dell identificazione del soggetto richiedente e dell autenticazione dei dati contenuti nel certificato, non autorizzato a firmare o ad emettere certificati. Autorità responsabile della mantenimento del CP e del CPS. Insieme di regole definite che indicano l applicabilità di un certificato ad una particolare comunità e/o classe di applicazione con requisiti di sicurezza comuni. Valori relativi ai dati, diversi dalle chiavi, che sono necessari per attivare i moduli crittografici e che devono essere protetti (es., un PIN, una passphrase, oppure un sistema di chiavi a gestione manuale). Destinatario di un documento firmato digitalmente tramite un certificato. Insieme di norme pratiche e/o procedurali, comprendenti una serie di aspetti da utilizzare nell elaborazione di un certificato o di un CPS e sulla base dell'approccio descritto in questo contesto. Documento relativo alle pratiche utilizzate da un autorità di certificazione per il rilascio di certificati. Campo subjectaltname (per il soggetto) o issueraltname (per l'autorità emittente) previsto dallo standard X.509v3 Informazioni relative al CP che accompagnano un sistema di identificazione del CP in un certificato X.509. Il titolare del certificato digitale. 1.1 Aspetti generali Il presente documento - strutturato in base al RFC 2527 [RFC2527] - descrive l insieme delle regole e delle procedure seguite da Unige-CA, l'autorità di certificazione dell'università degli Studi di Genova ( Unige-CA ha come obiettivo il miglioramento della sicurezza delle comunicazioni telematiche, intesa come confidenzialità, garanzia di integrità e identificazione delle parti, per mezzo di certificati digitali X.509. Alcuni degli ambiti d'uso dei certificati rilasciati da Unige-CA sono: a) le transazioni HTTP con i siti web dell'ateneo b) le transazioni telematiche operate con protocolli che supportano i meccanismi TLS/SSL c) la firma elettronica dei messaggi di posta elettronica tra personale dell'ateneo d) la firma elettronica dei messaggi di carattere tecnico tra gli studenti e il servizio di helpdesk 1.2 Identificazione Titolo del documento: Versione del documento: Unige-CA Certificate Policy e documento sulle pratiche di certificazione (Certification Practice Statement - CPS) 1.0 (Bozza) Data di presentazione del documento: dicembre Comunità e applicabilità Autorità di Certificazione Unige-CA emette certificati per quattro autorità di certificazione subordinate così determinate: a) CSITACA: autorità di certificazione per i sistemi informatici dell'amministrazione e di CSITA Centro Servizi Informatici e Telematici di Ateneo 6

7 b) Staff-CA: autorità di certificazione per il personale c) Studenti-CA: autorità di certificazione per gli studenti d) Server-CA: autorità di certificazione per i protocolli TLS/SSL Le quattro autorità sono gestite in conformità con il CSP di Unige-CA. Salvo dove diversamente specificato, gli obblighi, i permessi e le restrizioni indicate per Unige-CA si applicano anche alle autorità di certificazione subordinate Autorità di Registrazione Unige-CA gestisce le funzioni dell autorità di registrazione. L'autorità di registrazione di CSITACA è gestita da CSITA. L'autorità di registrazione di Staff-CA è gestita da Unige-CA. L'autorità di registrazione di Studenti-CA non è al momento identificata. L'autorità di registrazione di Server-CA è gestita da Unige-CA Entità finali Unige-CA rilascia certificati per le proprie autorità di certificazione subordinate identificate al paragrafo CSITACA rilascia certificati per: a) sistemi informatici e telematici di proprietà dell'università degli Studi di Genova in grado di svolgere funzioni crittografiche in uso all'amministrazione e al CSITA Centro Servizi Informatici e Telematici di Ateneo; Staff-CA rilascia certificati per: b) gli operatori dell autorità di registrazione; c) il personale strutturato dell'università degli Studi di Genova; d) il personale non strutturato dell'università degli Studi di Genova; e) borsisti e dottorandi dell'università degli Studi di Genova. Studenti-CA non rilascia al momento certificati. Server-CA rilascia certificati per: f) sistemi informatici e telematici in grado di svolgere funzioni crittografiche in uso alle strutture dell'università degli Studi di Genova Applicabilità I certificati rilasciati da Unige-CA o dalle autorità di certificazione subordinate possono essere utilizzati: a) la firma di messaggi di posta elettronica tra personale dell'università degli Studi di Genova; b) la firma di messaggi di posta elettronica inerenti comunicazioni tecniche diretti a studenti o ad altre entità esterne all'università degli Studi di Genova; c) la firma della richiesta di revoca di certificato; d) la protezione e la mutua autenticazione di connessioni mediante SSL/TLS. I certificati rilasciati da Unige-CA o dalle autorità di certificazione subordinate non possono in alcun caso essere utilizzati: e) nel contesto di transazioni economiche di alcun tipo; f) per fini contrari alle leggi vigenti. I certificati emessi da Unige-CA non sono conformi ai requisiti della firma digitale ai sensi del Decreto del Presidente della Repubblica 10 novembre 1997, n. 513 e successive integrazioni. Unige-CA non garantisce che i certificati rilasciati sia utilizzabili in qualunque contesto o che sia compatibili con specifiche applicazioni. 1.4 Informazioni sui contatti Organizzazione responsabile dell amministrazione delle specifiche L autorità incaricata della gestione della Certificate Policy (CPM) è CSITA Centro Servizi Informatici e Telematici di Ateneo ( Persona di contatto Il contatto principale per il CPM è: 7

8 Tiziana Podestà CSITA Centro Servizi Informatici e Telematici di Ateneo Viale Cembrano, 4 I Genova tel: ca-master@csita.unige.it Persona incaricata della determinazione della conformità del CPS alla Certificate Policy Il CPM è responsabile dell analisi e dell approvazione del CPS che deve essere associata al Certificate Policy 2 Disposizioni generali 2.1 Obblighi Obblighi dell Autorità di Certificazione Unige-CA gestisce un autorità di certificazione conformemente alle disposizioni del presente CP e al relativo CPS. Gli obblighi comprendono: a) la pubblicazione del presente documento; b) l'accettazione delle richieste di certificato da parte dei soggetti indicati al paragrafo c) l autenticazione dei soggetti richiedenti in base alle procedure descritte nel presente documento; d) il rilascio di certificati in base all'esito della procedura di autenticazione; e) la notifica dell emissione del certificato al soggetto in esso indicato via ; f) l accettazione delle richieste di revoca in base alle procedure descritte nel presente documento; g) il rilascio di un elenco di revoca di certificato (Certificate Revocation List - CRL); h) la pubblicazione dei CRL presentati Obblighi dell Autorità di Registrazione Unige-CA agisce come autorità di registrazione per le autorità di certificazione subordinate individuate al punto conformemente alle disposizioni del presente CP e al relativo CPS Obblighi del soggetto Il soggetto deve: a) leggere e approvare le procedure pubblicate nel presente documento; b) generare la coppia di chiavi utilizzando un metodo affidabile; c) prendere le debite precauzioni per impedire qualsiasi tipo di perdita, rivelazione o uso illecito della propria chiave privata legata al certificato, compresa la selezione di una passphrase appropriata; d) informare immediatamente Unige-CA in caso di perdita o compromissione della chiave privata Obblighi del destinatario I destinatari devono: a) prendere conoscenza della Certificate Policy e CPS di Unige-CA; b) verificare lo stato di validità del certificato tramite la CRL; c) accettare i certificati unicamente per gli usi autorizzati Obblighi relativi al deposito Unige-CA assicura una disponibilità online sul proprio sito ( e sul servizio di Directory di Ateneo (ldap://.../) dei propri certificati, dei certificati rilasciati e della CRL al più presto possibile. 8

9 2.2 Responsabilità CP e CPS di Unige-CA Unige-CA garantisce unicamente il controllo dell identità dei soggetti che richiedono un certificato in base alle pratiche descritte nel presente documento. Non viene accettata nessun altra responsabilità, implicita o esplicita. Unige-CA non fornisce garanzie in merito alla sicurezza o all adeguatezza del servizio. Il servizio di certificazione è gestito con un livello ragionevole di sicurezza, sulla base di elevata professionalità e di impegno. Il servizio non garantisce le procedure e non si assume la responsabilità per problemi emersi in fase di attuazione, oppure per l uso che viene fatto dei certificati forniti. Unige-CA non si assume responsabilità finanziarie o altri tipi di responsabilità per eventuali danni o difetti causati durante l attuazione del servizio Responsabilità dell Autorità di Certificazione Vedi paragrafo Responsabilità dell'autorità di Registrazione Vedi paragrafo Responsabilità finanziaria Unige-CA non si assume responsabilità finanziarie relative all uso o alla gestione dei certificati rilasciati Risarcimento da parte dei destinatari Rapporti fiduciari Processi amministrativi I processi amministrativi relativi al presente CP/CPS potranno essere determinati tra il CPM e l'università degli Studi di Genova. 2.4 Interpretazione e applicazione L interpretazione del presente documento è una responsabilità del CPM identificata nel paragrafo Normativa vigente L interpretazione del presente Certificate Policy si fonda sulla legislazione italiana vigente Gravità, Sopravvivenza, Fusione, Notifica Qualora fosse stabilito che un paragrafo del presente CP è incorretto, oppure non valido, le altre sezioni del CP rimangono in vigore fino all aggiornamento del CP stesso. Il processo di aggiornamento del CP viene descritto al paragrafo Procedure relative alla risoluzione delle controversie Il CPM risolve le controversie che scaturiscono dall utilizzo dei certificati presentati da Unige-CA. 2.5 Spese Non sono attribuite spese Rilascio del certificato o spese di rinnovamento Vedi paragrafo Spese relative all accesso al certificato Vedi paragrafo Spese di revoca o di accesso a informazioni sullo stato Per la revoca e la sostituzione di certificati forniti su dispositivi crittografici da parte di Unige-CA è previsto l'addebito del costo del dispositivo stesso Spese relative ad altri servizi come le informazioni sul piano di azione Vedi paragrafo 2.5 9

10 2.5.5 Rimborso 2.6 Pubblicazione e depositi CP e CPS di Unige-CA Pubblicazione di informazioni sull Autorità di Certificazione Unige-CA attua un servizio online affidabile contenente: a) il certificato Unige-CA; b) i certificati della autorità subordinate individuate al paragrafo 1.3.1; c) i certificati rilasciati; d) l elenco dei certificati revocati; e) una copia del presente documento; f) altre informazioni pertinenti Frequenza delle pubblicazioni I certificati vengono pubblicati appena possibile. Le CRL vengono pubblicate al momento dell emissione. Le modifiche del presente documento sono pubblicate al momento della loro approvazione. Le versioni precedenti rimangono disponibili online Controlli di accesso Il deposito online è disponibile 24 ore su 24, 7 giorni su 7 salvo cause di forza maggiore. Gli interventi di manutenzione vengono debitamente programmati e resi noti. Unige-CA non impone nessun controllo di accesso sul suo Certificate Policy, certificato, e CRL. Unige-CA potrebbe imporre a sua discrezione controlli di accesso sui certificati rilasciati, sulle informazioni relative allo stato e su CRL, sulla base dell accordo stipulato fra l autorità di certificazione, i destinatari e i soggetti Depositi Deposito di certificati e di CRL ( e sul servizio di Directory di Ateneo (ldap://.../) 2.7 Verifica della conformità Non è prevista alcuna verifica da parte di soggetti terzi. Unige-CA si impegna ad un autovalutazione della conformità delle proprie pratiche al presente CP e CPS Frequenza della verifica di conformità da parte del soggetto Identità/qualifiche del verificatore Relazione fra il verificatore e la parte soggetta a verifica Temi trattati dalla verifica Azioni intraprese in caso di inosservanza Comunicazione dei risultati 2.8 Riservatezza CSITACA raccoglie il nome DNS dell'host e il nome completo e l indirizzo della persona di riferimento per detto host, che vengono inclusi nel certificato rilasciato. La pubblicazione dei certificati sul sito è a discrezione della Unige-CA. Staff-CA raccoglie il nome completo, il numero di matricola e l indirizzo dei soggetti richiedenti, che vengono inclusi nel certificato rilasciato. La pubblicazione dei certificati sul sito è a discrezione della Unige-CA. 10

11 Server-CA raccoglie il nome DNS dell'host e il nome completo e l indirizzo della persona di riferimento per detto host, che vengono inclusi nel certificato rilasciato. La pubblicazione dei certificati sul sito è a discrezione della Unige-CA. Unige-CA non avrà in nessun caso accesso alle chiavi private dei soggetti per i quali viene emesso il certificato Informazioni da mantenere confidenziali Tutte le informazioni sul richiedente che non compaiono nel certificato sono considerate confidenziali e non verranno registrate in alcuna forma elettronica da Unige-CA Informazioni da non considerare confidenziali Le informazioni comprese nei certificati rilasciati e nei CRL non sono considerate confidenziali Rivelazione di informazioni relative all revoca/sospensione del certificato Presentazione alle autorità legislative Vedi paragrafo Presentazione in qualità di scoperta civile Vedi paragrafo Rivelazione su richiesta del proprietario Altre circostanze che possono motivare il rilascio di informazioni 2.9 Diritti relativi alla proprietà intellettuale Alcune parti del presente documento si ispirano a [EuroPKI], [TrustID], [NCSA], [HEPKI], [INFN], [FBCA], [PKI-RA] [Gutmann]. 3 Identificazione e autenticazione 3.1 Registrazione iniziale Tipi di denominazioni Il nome distintivo del soggetto è in formato X.500. Il certificato riporta nel nome alternativo i dati necessaria all'identificazione univoca del soggetto. Per i sistemi informatici e telematici in uso all'amministrazione e al CSITA Centro Servizi Informatici e Telematici di Ateneo a) il distintivo è OU=CSITACA/CN=<nome DNS>. Per i dipendenti dell'università degli Studi di Genova b) il nome distintivo è OU=Staff/CN=<nome e cognome>; c) i nomi alternativi sono: mail=<indirizzo di posta elettronica correntemente utilizzato> e employeenumber=<numero di matricola>. Note: il numero di matricola è un dato riservato? Se la matricola cambia, cosa si fa; in particolare, come si distinguono persone diverse dalla stessa persona con diverse matricole? Se inserissimo il dipartimento per rendere univoco il nome? Il nome/cognome è quello preferito o quello anagrafico? Come mettiamo la matricola per co.co.co. e dottorandi? Mettiamo nel nome alternativo anche la forma con gli accenti corretti? Per i gli studenti dell'università degli Studi di Genova d) il nome distintivo è OU=Studenti/CN=<nome e cognome>; e) i nomi alternativi sono: mail=<indirizzo di posta elettronica correntemente utilizzato> e studentid=<numero di matricola>. Note: oltre a quanto detto sopra: studentid non è standardizzato Per i sistemi informatici in uso alle strutture dell'università degli Studi di Genova f) il distintivo è OU=applicazioni/CN=<nome DNS>. 11

12 3.1.2 Necessità di utilizzare denominazioni appropriate Il campo nome del soggetto deve effettivamente contenere il nome e cognome del soggetto. I caratteri validi sono quelli previsti nel set IA5STRING, pertanto i caratteri accentati devono essere normalizzati al carattere più simile, nel modo previsto per gli indirizzi di posta elettronica, con l'eventuale uso del carattere ' al posto degli accenti gravi Norme per l interpretazione di denominazione in diverse forme Il CPM è incaricato dell'interpretazione delle denominazione in diverse forme al fine di identificare la forma preferenziale per gli scopi tecnici dei certificati Unicità delle denominazioni Certificati rilasciati a differenti soggetti possono presentare identici nomi distintivi. L'effettiva identificazione del soggetto è affidata al nome alternativo presente nel certificato. I certificati sono in ogni caso rilasciati ad un singolo individuo o sistema informatico. In nessun caso i soggetti devono condividere i certificati Procedura per la risoluzione di controversie legate alla richiesta di denominazione Il CPM è incaricato della risoluzione di questo tipo di controversie Riconoscimento, autenticazione e ruolo dei marchi Metodo inteso a provare il possesso della chiave privata Autenticazione dell identità dell organizzazione Autenticazione dell identità individuale Per i dipendenti strutturati e non strutturati dell'organizzazione della gestione della Certificate Policy individuata al paragrafo a) il soggetto è identificato a vista dagli operatori dell'autorità di Registrazione; Per i sistemi informatici e telematici in uso all'amministrazione e al CSITA Centro Servizi Informatici e Telematici di Ateneo: b) il responsabile della settore che ha in uso il sistema deve presentarsi personalmente presso l'autorità di Registrazione; Per i dipendenti strutturati e non strutturati dell'università degli Studi di Genova: c) il soggetto deve presentarsi personalmente presso l'autorità di Registrazione munito di documento di riconoscimento; Per gli studenti dell'università degli Studi di Genova: d) il protocollo di identificazione non è ancora stato definito. Per i sistemi informatici e telematici in uso alle strutture dell'università degli Studi di Genova: e) il responsabile della zona DNS o il tecnico indicato come referente nel modulo di assunzione di responsabilità per la zona stessa devono presentarsi personalmente presso l'autorità di Registrazione f) in alternativa, il responsabile della zona DNS o il tecnico indicato come referente nel modulo di assunzione di responsabilità per la zona stessa possono inviare per posta elettronica la richiesta di certificato in un messaggio firmato elettronicamente con un certificato valido rilasciato da Unige-CA. 3.2 Procedura di rinnovo Il rinnovo dei certificati non revocati delle persone fisiche prima della loro scadenza può essere richiesto con una procedura online, che verifica la validità del certificato del soggetto. I certificati non revocati dei sistemi informatici non sono rinnovabili e dev'essere richiesto un nuovo rilascio secondo le modalità indicate nel paragrafo Procedura di rinnovo post-revoca I certificati revocati non sono rinnovabili. 12

13 3.4 Richiesta di revoca CP e CPS di Unige-CA Le richieste di revoca possono essere inviate secondo le procedure descritte al successivo punto dove sono anche descritti i meccanismi di autenticazione. 4 Requisiti operativi 4.1 Richiesta di certificato Il soggetto deve generare la propria coppia della chiave. La lunghezza minima della chiave corrisponde a 1024 bit. Le richieste di certificato sono presentate mediante una procedura online, utilizzando un browser www compatibile. Il soggetto deve collegarsi al server web e seguire le istruzioni relativi alla richiesta di un certificato. Procedura per i sistemi informatici 4.2 Rilascio del certificato Unige-CA rilascia il certificato solo ed unicamente se viene effettuata l autenticazione del soggetto secondo le modalità indicate nel paragrafo Accettazione del certificato 4.4 Sospensione e revoca del certificato Casi di revoca Un certificato viene revocato quando le informazioni che contiene presentano il sospetto di essere incorrette o compromesse. Si tratta dei seguenti casi: a) la chiave privata del soggetto viene persa o si sospetta che sia compromessa; b) si sospetta che le informazioni contenute nel certificato del soggetto presentano di essere incorrette; c) il soggetto ha violato i suoi obblighi; d) nel caso che il soggetto sia un dipendente dell'università degli Studi di Genova, in caso di risoluzione o cessazione del rapporto di lavoro; e) nel caso che il soggetto sia uno studente dell'università degli Studi di Genova, in caso di interruzione degli studi o in seguito al completamento del corso di studi. Inoltre un soggetto può sempre chiedere direttamente la revoca del proprio certificato Richiesta di revoca La revoca di un certificato può essere richiesta dal suo titolare oppure da qualsiasi altro soggetto che provi di conoscere le ragioni che possono giustificare la revoca. Il CPM di Unige-CA può revocare un certificato qualora ritenga che la sua validità sia stata compromessa Procedura relativa alla richiesta di revoca Il soggetto richiedente deve autenticare la richiesta di revoca adottando una delle seguenti procedure: a) utilizzando il sito autenticandosi con la propria chiave privata; b) inviando una richiesta per posta elettronica firmata elettronicamente con la propria chiave privata; a) autenticandosi con gli stessi meccanismi previsti al paragrafo Casi relativi alla sospensione Non è prevista la sospesione di un certificato Frequenza di rilascio dei CRL La CRL viene emessa dopo ogni revoca di certificato Requisito di verifica delle CRL Allo scopo di verificare la validità del certificato, i destinatari si impegnano a verificare i certificati rispetto alla CRL più recente. 13

14 4.4.7 Disponibilità del servizio di verifica online dello stato di revoca (OCSP) Il servizio di OCSP non è attualmente disponibile Requisito di verifica online dello stato di revoca Altre forme di pubblicazione delle CRL Requisito relativi ad altre forme di pubblicazione delle CRL 4.5 Procedure di verifica della sicurezza Casistica delle registrazioni Vengono registrati in un file di log i seguenti eventi: a) richieste di certificazione; b) certificati rilasciati; c) CRL rilasciate Frequenza dei analisi dei log Il controllo dei file di log dei sistemi software di Unige-CA viene effettuato almeno una volta la settimana Periodo di mantenimento dei log Il periodo minimo di mantenimento è di tre anni Protezione dei log Solo le persone autorizzate possono accedere ai log Procedure di backup dei log Sistema di raccolta dei log (Interno/Esterno) Il processo di raccolta dei dati dei log viene effettuato sotto il controllo dell Autorità di Certificazione Notifica al soggetto responsabile dell evento Valutazione della vulnerabilità 4.6 Archiviazione dei dati Tipologie di eventi registrati Vengono registrati ed archiviati i seguenti eventi: a) richieste di certificazione; b) rilascio di certificati; c) rilascio di CRL Periodo di mantenimento per gli archivi Il periodo minimo di mantenimento è tre anni Protezione dell archivio Gli archivi sono protetti su supporto removibile, che sono conservati in un locale con accesso limitato Procedure di backup dell archivio Vedi paragrafo Requisiti relativi al all elaborazione delle registrazioni 14

15 4.6.6 Archive Collection System (Interno/Esterno) Vedi paragrafo Procedure per l ottenimento e la verifica delle informazioni relative all archivio 4.7 Sostituzione della chiave Le chiavi private delle Autorità di Certificazione vengono cambiate ad intervalli irregolari; a partire da tale momento, solo la nuova chiave viene utilizzata per la firma dei certificati. Il certificato precedente, che rimane ancora valido, resta disponibile per verificare le vecchie firme fino al momento in cui tutti i certificati firmati utilizzando la chiave privata sono ugualmente scaduti. Il certificato dell autorità di certificazione ha un periodo di validità di dieci anni. 4.8 Danni e interventi in caso di calamità Danneggiamento di risorse informatiche, software, e/o dati Qualora il materiale dell Autorità di Certificazione fosse danneggiato o reso inoperativo, ma la sua chiave privata non venisse distrutta, l operatività di Unige-CA verrà ripristinata nei tempi più brevi possibili in base alle decisioni del CPM. Il caso della distruzione della chiave privata viene trattato nel paragrafo Revoca della chiave pubblica del soggetto Vedi paragrafo Danneggiamento della chiave privata della Autorità di Certificazione Qualora la chiave privata dell Autorità di Certificazione venisse danneggiata, l Autorità di Certificazione: a) informa i soggetti (con un messaggio di posta elettronica); b) termina i servizi di distribuzione dei certificati delle CRL per i certificati rilasciati durante il periodo di compromissione della chiave; c) genera un nuovo certificato per l autorità di certificazione (con una nuova coppia di chiavi) e lo rende immediatamente disponibile nel deposito pubblico; d) richiede ai soggetti di effettuare una nuova certificazione, conformemente alla procedura iniziale di certificazione definita al paragrafo 3.1. E comunque possibile per i soggetti che avevano ottenuto il certificato prima della compromissione della chiave privata della CA effettuare una riemissione di un nuovo certificato con le stesse informazioni contenute nel precedente Struttura di protezione dopo una calamità naturale o altri tipi di eventi straordinari Qualora una calamità dovesse danneggiare l impianto dell Autorità di Certificazione e tutte le copie della firma di detta autorità fossero distrutte, il CPM decide le azioni necessarie. 4.9 Cessazione dell autorità di certificazione Prima di terminare i suoi servizi, Unige-CA: a) informa ampiamente i soggetti (per posta elettronica); b) rende disponibili informazioni relative alla conclusione dei suoi servizi; c) interrompe il rilascio di certificati e di CRL. 5 Sistemi di controllo relativi alla sicurezza fisica, procedurale e alla sicurezza del personale 5.1 Controlli relativi alla sicurezza fisica L Autorità di Certificazione opera in un ambiente controllato, il cui accesso è riservato alle persone autorizzate Posizione del sito e dello stabile L Autorità di Certificazione ha sede presso CSITA Centro Servizi Informatici e Telematici di Ateneo, Viale Cembrano, 4, Genova (GE), Italia Accesso fisico Solo le persone autorizzate possono accedere all hardware. 15

16 5.1.3 Energia elettrica e aria condizionata CP e CPS di Unige-CA Lo stabile dispone di un sistema di aria condizionata e i supporti dell Autorità di Certificazione sono collegate al sistema centralizzato UPS Esposizione all acqua Lo stabile si trova in una zona soggetta ad alluvioni Prevenzione e protezione antincendio Lo stabile è dotato di un sistema di allarme di incendio Conservazione dei supporti I backup sono conservati in forma cifrata in un armadio chiuso a chiave in zona ad accesso limitato Smaltimento dei rifiuti Backup esterno 5.2 Controlli relativi alle procedure Assegnazione di ruoli speciali Numero di persone richieste per ciascun incarico Identificazione e autenticazione di tutti i ruoli 5.3 Controlli relativi alla sicurezza del personale La gestione della Unige-CA è affidata a personale competente e consapevole delle procedure di sicurezza Requisiti relativi alle origini, alle qualifiche, all esperienza e all integrità Requisiti relativi alla formazione Frequenza e requisiti dei nuovi cicli formativi Frequenza e sequenza dei turni dilavoro Sanzioni previste per le azioni illecite Requisiti contrattuali del personale Documentazione fornita al personale 6 Controlli relativi alla sicurezza tecnica 6.1 Generazione ed installazione della coppia di chiavi Le chiavi della Unige-CA sono generate dal personale dell autorità di certificazione su una macchina dedicata, non collegata a nessun tipo di rete. Il pacchetto software è OpenSSL/OpenCA. Ciascun soggetto deve generare la propria coppia di chiavi. 16

17 6.1.1 Consegna della chiave privata al soggetto Consegna della chiave pubblica al soggetto responsabile del rilascio del certificato Consegna agli utenti della chiave pubblica dell Autorità di Certificazione Il certificato dell Autorità di Certificazione è disponibile nel sito Dimensioni della chiave Le chiavi di lunghezza inferiore a 1024 bit non vengono accettate, la lunghezza consigliata è 1024 bit Elaborazione dei parametri relativi alla chiave pubblica Controllo dei parametri di qualità Generazione hardware/software delle chiavi La generazione delle chiavi viene effettuata nel software Finalità delle chiavi Le chiavi possono essere utilizzate per l autenticazione, il non ripudio, la cifratura dei dati, per conservare l integrità dei messaggi e per stabilire sessioni cifrate. La chiave privata Unige-CA è l unica chiave che può essere utilizzata per firmare i certificati delle autorità di certificazione subordinate individuate al paragrafo Le chiave privata delle autorità di certificazione subordinate di Unige-CA sono le uniche che possono essere utilizzate per firmare i certificati e per le CRL. 1. L utilizzo delle chiavi di certificati dev' essere conforme al [RFC2459] 6.2 Protezione della chiave privata Norme relative al modulo crittografico Controllo multipersonale della chiave privata (n/m) Key Escrow della chiave privata della CA di Unige-CA Le chiavi private dell Autorità di Certificazione non è soggetta a key-escrow Backup della chiave privata Le chiavi private di Unige-CA e delle delle autorità di certificazione subordinate individuate al paragrafo vengono tenute codificata, in copie multiple e in diversi luoghi, su supporto removibile Archiviazione della chiave privata Le copie del backup possono essere utilizzate per l archiviazione Inserimento della chiave privata nel modulo crittografico La chiave privata viene conservata unicamente in forma cifrata e viene protetta con una passphrase di lunghezza adeguata Metodo di attivazione della chiave privata L attivazione della chiave privata dell Autorità di Certificazione si effettua inserendo la passphrase Metodo di disattivazione della chiave privata Metodo di distruzione della chiave privata Le copie del backup della chiave privata sono eliminate con la distruzione fisica del supporto su cui sono memorizzate. 17

18 6.3 Altri aspetti relativi alla gestione della coppia di chiavi Archiviazione della chiave pubblica La chiave pubblica viene archiviata come parte dell archiviazione di un certificato Periodi di utilizzo per le chiavi pubbliche e private Il certificato Unige-CA ha una validità di dieci anni. 6.4 Dati di attivazione Generazione e istallazione dei dati di attivazione La lunghezza della passphrase è di almeno 10 caratteri Protezione dei dati di attivazione La passphrase non viene memorizzata in nessun tipo di supporto Altri aspetti relativi ai dati di attivazione 6.5 Controlli relativi alla sicurezza informatica Requisiti tecnici specifici relativi alla sicurezza informatica I server dell autorità di certificazione comprendono le seguenti funzionalità: a) i sistemi operativi sono mantenuti ad un livello elevato di sicurezza mediante l applicazione di tutti i requisiti di sicurezza raccomandati e applicabili; b) viene effettuato il monitoraggio per rilevare eventuali cambiamenti di software non autorizzati; c) i servizi sono ridotti al minimo indispensabile; d) La macchina utilizzata per la firma di certificati non è collegata a nessun tipo di rete. 6.6 Controlli relativi alla sicurezza del ciclo di vita Controlli relativi allo sviluppo del sistema Unige-CA utilizza unicamente un software di dominio pubblico Controlli relativi alla gestione della sicurezza Livelli di sicurezza relativi al ciclo di vita 6.7 Controlli di sicurezza della rete Vedi paragrafo Controlli relativi alla tecnologia del modulo crittografico 7 Profili del certificato e del CRL 7.1 Profilo del certificato Numero di versione X.509v Estensioni del certificato a) Obblighi di base (CRITICAL) b) non CA (CRITICAL) c) Uso della Chiave (CRITICAL) d) Firma elettronica, assenza di misconoscimento, cifratura della chiave, cifratura dei dati 18

19 e) Sistema di identificazione della chiave del soggetto f) Sistema di identificazione della chiave dell autorità g) Denominazione alternativa del soggetto h) Indirizzo del soggetto i) Denominazione alternativa del responsabile del rilascio j) Punti di distribuzione della CRL Identificatori dell algoritmo di cifratura Forme di denominazione Autorità emittente Unige-CA: C=IT/O=Universita' di Genova/CN=UNIGE-CA Autorità emittente CSITACA: C=IT/O=Universita' di Genova/OU=CSITA/CN=CSITACA Autorità emittente Staff-CA: C=IT/O=Universita' di Genova/CN=Staff-CA Autorità emittente Studenti-CA: C=IT/O=Universita' di Genova/CN=Studenti-CA Autorità emittente Server-CA: C=IT/O=Universita' di Genova/CN=Server-CA Obblighi relativi alla denominazione Sistema di identificazione dell oggetto del piano di azione Vedi paragrafo Uso delle estensioni degli obblighi del CP Sistema di qualificazione degli aspetti sintattici e semantici del CP Il sistema di qualificazione è un puntatore per il presente documento in forma di URL Elaborazione degli aspetti semantici per l'estensione del CP 7.2 Profilo della CRL Versione X.509v1 (è necessaria la versione 1 per la compatibilità con Netscape Communicator) Estensioni del CRL e dell entrata CRL 8 Amministrazione delle specifiche 8.1 Procedure relative alla modifica delle specifiche Gli utenti non sono avvertiti preventivamente delle modifiche del CP della Unige-CA e del CPS. Dette modifiche saranno rese ampiamente disponibili. 8.2 Procedure di pubblicazione e notifica Il CP è disponibile sul sito Procedure relative all approvazione CPS 19

20 9 Bibliografia CP e CPS di Unige-CA [EuroPKI] EuroPKI Certificate Policy, Version 1.1 (Draft 4), October 2000 [FBCA] X.509 Certificate Policy For The Federal Bridge Certification Authority (FBCA), Version 1.0, 18 December 1999 [Gutmann]P.Gutman, X.509 Style Guide, October [HEPKI] HEPKI Campus Certificate Policy, Ottobre 2001 [NCSA] National Computational Science Alliance, Certificate Policy, Version 0.9.1, June 30, 1999 [INFN] Istituto Nazionale di Fisica Nucleare Certificate Policy and Certificate practice Statement [OpenSSL] [PKI-RA] PKI-RA Certificate Policy e documento sulle pratiche di certificazione (Certification Practice Statement CPS). Versione 1.0 [RFC2459] R. Housley, W. Ford, W. Polk and D. Solo, Internet X.509 Public Key Infrastructure Certificate and CRL Profile, RFC 2459, January 1999 [RFC2527] S. Chokani and W. Ford, Internet X.509 Infrastructure Certificate Policy and Certification Practices Framework, RFC [TrustID] TrustID Certificate Policy 10 Elenco delle modifiche 0.1 dicembre 2003, M. Ferrante e T. Podestà - Bozza 0.2 dicembre 2003, M. Ferrante, T. Podestà e E. Russo - Bozza 20