Tecnologie abilitanti il processo civile telematico

Transcript

1 Tecnologie abilitanti il processo civile telematico Monica Palmirani Traccia Identificazione digitale Certificato su smart card di autenticazione Documento digitale Console per creare documenti in formato XML e PDF Valore legale e probatorio Firma digitale Trasmissione legalmente valida di comunicazione e notificazione PEC Rimaterializzazione Timbro digitale Conservazione RFID e Fascicolo Elettronico Console dell avvocato Console del magistrato SICC Sistema Informativo del Contenzioso Civile 2 1

2 Flusso documentale futuro D.L. 193/2009 (L. 24/2010) /NuoveRegoleTecniche_scheda_illustrativa_v2.1.pdf PEC FIRMA+XML 3 Firma digitale 2

3 Firme elettroniche: due aspetti che convivono la definizione tecnologica: insieme di tecniche crittografiche che garantiscono il rispetto di alcune caratteristiche: l autenticazione del mittente l integrità del messaggio la riservatezza la definizione giuridica: D.lgs. 7 marzo 2005, n Firme elettroniche: origine Le firme digitali o digital signature hanno origine dal punto di vista tecnologico negli anni 70, nel 1976 due americani Whitfield Diffie e Martin Hellman scoprono un meccanismo per produrre due password diverse ma complementare senza scambio di dati significativi Servono per: crittografare messaggi, autenticare i server buoni da quelli cattivi, per verificare l integrità dei pacchetti spediti nella rete Sono un prodotto della crittografia 6 3

4 Obbiettivo della Crittografia L obiettivo della crittografia è quello di mascherare il testo originario di un messaggio attraverso regole di traduzione di cui sono a conoscenza solo il mittente e il destinatario Il metodo consente di tenere sotto controllo l integrità del dato l identità del mittente la riservatezza del contenuto Non risolve altri problemi quali la falsificazione, la sostituzione di persona, la sicurezza del canale di trasmissione 7 La crittografia moderna basata sulla chiave Il meccanismo di crittografia trasforma il testo originale in un testo cifrato non facilmente leggibile L oggetto della trasformazione viene detto testo in chiaro (plain-text o cleartext), l oggetto risultato della trasformazione viene detto testo cifrato (chipertext) Il processo di trasformazione avviene mediante un algoritmo di cifratura, un algoritmo di decifratura, delle chiavi segrete che contribuiscono alla trasformazione del testo Testo in chiaro Soggetto A Algoritmo di cifratura K A Testo cifrato Chiave del soggetto A Testo cifrato Algoritmo di decifratura K B Chiave del soggetto B Testo in chiaro Soggetto B 8 4

5 Chiave simmetrica e asimmetrica Chiave simmetrica - i sistemi a chiave simmetrica usano la stessa chiave sia per la cifratura sia per la decifratura Chiave asimmetrica - i sistemi a chiave asimmetrica usano due chiavi diverse : una per la cifratura e una per la decifratura le chiavi sono indipendenti complementari costruite con un algoritmo one-way ossia conoscendo una chiave è estremamente difficile poter risalire all altra 9 Sistemi a chiave pubblica Public Key Infrastructure - PKI Nei sistemi a chiave pubblica si usa una coppia di chiavi: una pubblica nota sia al mittente che al ricevente - in realtà nota al mondo intero - e una chiave privata per ogni soggetto (mittente e ricevente) In definitiva si avranno due coppie di chiavi: una pubblica per il mittente una pubblica per il ricevente una privata per il mittente una privata per il ricevente 10 5

6 La riservatezza: la cifratura Il mittente (A) usa la chiave pubblica del ricevente (B), prelevandola da un posto comune e la usa per cifrare il messaggio Il ricevente (B) decifra il messaggio con la sua chiave privata e un algoritmo apposito di decifratura Solo B ha la chiave privata per decifrare il messaggio inviato RSA - è l algoritmo standard usato per i sistemi a chiave pubblica 11 L autenticazione: la firma Il mittente A usa la sua chiave privata per firmare il messaggio prima dell invio e garantisce così l autenticità del mittente Il messaggio firmato con la chiave del mittente raggiunge il destinatario il quale preleva la chiave pubblica del mittente e decodifica il messaggio Questo metodo garantisce l autenticazione del messaggio poiché se la chiave pubblica di A risolve la cifratura allora solo A poteva aver spedito il messaggio usando la sua chiave privata 12 6

7 L integrità: la funzione di hash Per garantire l integrità del messaggio si usa una funzione matematica di hash che costruisce un riassunto del messaggio stesso detto digest Il digest è una stringa di lunghezza fissa calcolata sul contenuto del messaggio impronta del documento Due messaggi diversi danno origine a due impronte diverse Due messaggi uguali forniscono la stessa impronta Due messaggi diversi possono, in via ipotetica, dare origine a due impronte uguali ma la probabilità che accada è talmente piccola da definire tali funzioni collision free Dal digest non è possibile risalire al documento - one-way function Funzioni di hash ammesse delle regole tecniche sono: SHA-1, RIPEMD Meccanismo di integrità Il digest viaggia insieme al messaggio cifrato quando giunge a destinazione il messaggio cifrato viene sottoposto alla funzione hash il digest originale viene confrontato con il digest generato localmente mediante il messaggio ricevuto Se i due digest sono uguali allora il messaggio ha viaggiato integro e non è stato alterato 14 7

8 Schema di firma A 1. Creazione del digest 2. Apposizione della firma Testo in chiaro + Funzione di hash = digest + Chiave privata di A = Digest firmato certificato busta (formato standard PKCS#7) B 2. Spedizione a B 15 Schema di firma (ii) B certificato 2. Operazione di verifica della firma DB 3. Preleva la chiave pubblica di A Digest cifrato + Chiave pubblica di A = Digest autenticazione Testo in chiaro Funzione + di hash = Digest integrità 4. Ricalcolo del Digest 16 8

9 Esempio di firma digitale completa A 1. Creazione del digest cifrato Testo in chiaro + Funzione di hash = digest + Chiave privata di A = Digest firmato + Chiave pubblica di B = Testo cifrato certificato 2. Spedizione a B B 17 Esempio di firma digitale completa (ii) B 3. Operazione di decifratura certificato DB certificatore Digest firmato + Chiave pubblica di A = Digest Testo cifrato Chiave + privata = di B Testo in chiaro Funz. di + hash = Digest P7M 18 9

10 Il dispositivo sicuro: es. smart card Smart card o USB Key sono memorizzate: chiave pubblica chiave privata certificato il PIN (Personal Identification Number) attiva la smart card Le informazioni relative alla chiave privata non escono dal chip il PUK - blocca la smart card Altre informazioni possono essere Nel chip vengono effettuati tutti i memorizzate sulla banda ottica calcoli di cifratura che utilizzano la chiave privata 19 Firme elettroniche in Italia secondo la normativa del CAD Firme elettroniche firme elettronica firma avanzata firme elettronica qualificata firma digitale password token Firma elettronica Firma elettronica avanzata Firma elettr. qualificata biometria firma digitale Firma digitale 20 10

11 Definizioni: CAD, art. 1, comma 1 così come modificato dal d.lgs 30 dicembre 2010, n. 235, p) documento informatico: la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti; p-bis) documento analogico: la rappresentazione non informatica di atti, fatti o dati giuridicamente rilevanti; q) firma elettronica: l'insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica; 21 Definizioni: CAD, art. 1, comma 1 così come modificato dal d.lgs 30 dicembre 2010, n. 235, q-bis) firma elettronica avanzata: insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati; r) firma elettronica qualificata: un particolare tipo di firma elettronica avanzata che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma; 22 11

12 Definizioni: CAD, art. 1, comma 1 così come modificato dal d.lgs 30 dicembre 2010, n. 235, s) firma digitale: un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici; 23 Elementi della firma digitale Segretezza o Riservatezza - solo A e B devono poter capire il contenuto della trasmissione Autenticazione - sicurezza dell identità degli interlocutori Integrità - occorre garantire che il dato arrivi a destinazione integro senza variazioni, nello stesso stato in cui è partito Non-ripudio - il mittente di un messaggio è messo nella condizione di non poter ripudiare il messaggio inoltrato si può provare a posteriori che è avvenuto un processo di firma mediante il ruolo del certificatore 24 12

13 Certificatore: CAD art. 1, comma 1 e) certificati elettronici: gli attestati elettronici che collegano all'identità del titolare i dati utilizzati per verificare le firme elettroniche; f) certificato qualificato: il certificato elettronico conforme ai requisiti di cui all'allegato I della direttiva 1999/93/CE, rilasciati da certificatori che rispondono ai requisiti di cui all'allegato II della medesima direttiva; g) certificatore: il soggetto che presta servizi di certificazione delle firme elettroniche o che fornisce altri servizi connessi con queste ultime; 25 Certificati 13

14 Tipi di certificati secondo la loro funzione certificati possono essere di quattro tipi: di sottoscrizione - usati per la firma dei documenti di autenticazione - per essere riconosciuti su web o per sottoscrivere la posta elettronica, non garantisce il NON RIPUDIO e la rilevanza verso terzi di crittografia - utilizzati per la crittografia dei documenti riservati di attributo - per associare a chi firma un particolare ruolo ovvero un mandato (notai, commercialisti, etc.) 27 L uso del meccanismo della digital signature chiavi di sottoscrizione: destinate alla generazione e verifica delle firme apposte o associate ai documenti - utilizzate dal titolare privato per firmare i suoi documenti chiavi di certificazione: destinate alla generazione e verifica delle firme apposte ai certificati, alle liste di revoca e a quelle di sospensione - quindi utilizzate dall'ente certificatore chiavi di marcatura temporale: destinate alla generazione e verifiche delle marche temporali - utilizzate dall'ente certificatore che svolge il servizio di marcatura temporale non è corretto l uso della firma digitale per l autenticazione - a questo proposito esistono altri strumenti quali la CIE (Carta d Identità Elettronica) e la CNS (Carta Nazionale dei Servizi) 28 14

15 Marca temporale Marca Temporale: sequenza di simboli binari che elaborata da una procedura informatica consente la validazione del tempo ossia che consente di attribuire ai documenti informatici un riferimento temporale opponibile ai terzi. Consente di stabilizzare la firma digitale nel tempo indipendentemente dallo scadere del certificato del firmatario In pratica blocca la validità della firma digitale nel tempo in cui è stata apposta la marca temporale La marca temporale viene apposta dal certificatore con un meccanismo di firme digitali Di regola vale 5 anni a meno di altri accordi con il certificatore 29 Le fasi della Marca temporale Le fasi per la gestione della marca temporale sono: 1. il mittente invia dell'impronta del documento al gestore della marcatura temporale (CA) 2. la CA aggiunge il time stamping (data e ora) utilizzando UTC (Tempo Universale Coordinato) e creando l impronta marcata 3. la CA firma con la sua chiave privata l'impronta marcata ottenendo la marca temporale da cui è possibile recuperare l'informazione del time stamping attraverso l'utilizzo della chiave pubblica del servizio di marcatura 4. la CA invia la marca temporale al destinatario (o al mittente) 30 15

16 Posta elettronica certificata Perché la PEC L tradizionale non garantisce: Il riconoscimento certo del mittente di posta La consegna e il tempo di consegna L integrità del messaggio Il non ripudio Sicurezza nel transito Regole certe sui log file 32 16

17 PEC CECPAC - PECPCT Legge 2./2009 PEC imprese, professionisti, pubbliche amministrazioni CecPac DPCM 6 maggio 2009 Disposizioni in materia di rilascio e di uso della casella di posta elettronica certificata assegnata ai cittadini si è implicitamente eletto un nuovo domicilio fiscale, quello della CecPAc PECPCT Erogata dai Punti di Accesso esclusivamente per le trasmissioni digitali all interno del PCT L art. 170 c.p.c. 33 PEC Il punto di accesso Il punto di ricezione Il punto di consegna Gestore di A Punto di accesso Gestore di B Punto di ricezione Client di A POP-S SMTP-S Ricevuta di accettazione Firma privata +certificato +time stamping Punto di consegna SMTP-S Verifica firma +certificato +time stamping Ricevuta di avvenuta consegna Punto di consegna POP-S SMTP-S Client di B 34 17

18 Definizione Questa modalità equivale alla notificazione per mezzo della posta nei casi consentiti dalla legge (art. 48 D.lgs. 82/2005) DPR 11 febbraio 2005, n. 68 Regolamento DPCM 2 novembre 2005 Regole tecniche 35 CAD, Art Posta elettronica certificata. 1. La trasmissione telematica di comunicazioni che necessitano di una ricevuta di invio e di una ricevuta di consegna avviene mediante la posta elettronica certificata ai sensi del decreto del Presidente della Repubblica 11 febbraio 2005, n. 68, o mediante altre soluzioni tecnologiche individuate con decreto del Presidente del Consiglio dei Ministri, sentito DigitPA. 2. La trasmissione del documento informatico per via telematica, effettuata ai sensi del comma 1, equivale, salvo che la legge disponga diversamente, alla notificazione per mezzo della posta. 3. La data e l'ora di trasmissione e di ricezione di un documento informatico trasmesso ai sensi del comma 1 sono opponibili ai terzi se conformi alle disposizioni di cui al decreto del Presidente della Repubblica 11 febbraio 2005, n. 68, ed alle relative regole tecniche, ovvero conformi al decreto del Presidente del Consiglio dei Ministri di cui al comma

19 Perché si usa la posta certificata garantire gli standard tecnici SMTP/MIME certificare l avvenuta spedizione accertare l indirizzo elettronico della spedizione garantire eventuali ricevute di ritorno a conferma della spedizione e della ricezione accertare il riferimento temporale - data e ora di trasmissione 37 Attori e compiti mittente destinatario gestore PEC - ente pubblico o privato che eroga il servizio di posta certificata Il gestore gestisce i punti di accesso, ricezione, consegna possono esserci gestori diversi 38 19

20 Cosa si invia L oggetto dell invio fra mittente e destinatario è composto da: messaggio MIME in formato text/plain o in formato HTML ma senza parti attive, multimediali, macro dati di certificazione in chiaro e in XML busta del gestore di PEC I dati di certificazione sono inseriti in un file XML per garantire l interoperabilità fra sistemi Tutte le ricevute inviate fra i gestori sono sottoscritte con la firma elettronica del gestore di PEC per permettere l autenticazione, l integrità e il non ripudio 39 Riepilogo gestore mittente Il gestore del mittente invia: Avviso di non accettazione in caso in cui non siano rispettate le regole compositive Avviso di non accettazione per virus informatico Ricevuta di accettazione in caso positivo Avviso di mancata consegna per virus informatico Avviso di mancata consegna per superamento tempi massimi se entro 12 ore dall invio il gestore mittente non riceve la ricevuta di presa in incarico da parte del gestore destinatario allora inoltra un avviso di mancata consegna 40 20

21 Riepilogo gestore destinatario Il gestore del destinatario invia: Ricevuta di presa in incarico Avviso di rilevazione virus informatico Avviso di mancata consegna Ricevuta completa di consegna- originali + allegati Ricevuta di consegna breve originali + hash(allegati) Ricevuta di consegna sintetica no originali 41 Esempio pratico 42 21

22 RFID e Timbro digitale RFID RFID o Radio Frequency IDentification (Identificazione a radio frequenza) è un sistema ad onde radio che permette l identificazione automatica di cose o persone. Il sistema si fonda su un lettore e un tag, il quale quando entra nel raggio d azione del lettore, invia al sistema le informazioni richiestegli

23 Timbro digitale Serve per rendere valido il documento informatico digitale nel momento della materializzazione su carta documento informatico verso documento analogico 45 Modifiche al CAD Timbro art. 23-ter 5. Al fine di assicurarne la provenienza e la conformità all originale, sulle copie analogiche dei documenti informatici, è apposto a stampa, sulla base dei criteri definiti con linee guida emanate da DigitPA, un contrassegno generato elettronicamente, formato nel rispetto delle regole tecniche stabilite ai sensi dell articolo 71 e tale da consentire la verifica automatica della conformità del documento analogico a quello informatico

24 Meccanismo Il timbro digitale solitamente contiene il documento informatico e l hash del contenuto della pagina firmato. Il tutto è rappresentato in un formato tecnologico in un timbro bidimensionale Il timbro se scannerizzato viene acquisito digitalmente, spacchettata la busta p7m, verificata la firma (formato PKCS#7) ed estratte tutte le informazioni relativamente al documento informatico o al suo hash Si permettere così di effettuare poi un controllo di conformità con il documento cartaceo 47 Certificato anagrafico Ravenna Ex art. 15 quinquies della legge 38 del 1990 che consente la produzione di certificati con sistemi automatizzati e a distanza.. I certificati sono validi ad ogni effetto di legge se l'originalità è garantita da sistemi che non consentano la fotoriproduzione per copie identiche come l'utilizzo di carta filigranata o timbri a secco. Documento informatico firmato digitalmente 48 24

25 G.U. Flow Il processo di dematerializzazione della Gazzetta Italiana Si veda la presentazione in: /presentazione_eng_1_.pdf e si legga: