Guida all utilizzo del pacchetto di firma digitale

Transcript

1 1 di 13 Guida all utilizzo del pacchetto di firma digitale

2 2 di 13 INDICE 1 Introduzione Installazione Passi comuni per l installazione dei token/smartcard Elenco smartcard/token supportati nativamente (middleware incorporato nel pacchetto) Esempio di installazione: Lettore Bit4Id per SmartCard Configurazione Utilizzo CaratteriStiche tecniche e condizioni d uso... 13

3 3 di 13 1 INTRODUZIONE Il pacchetto Firma Digitale è una suite software che permette di gestire in modo semplice ed affidabile gli aspetti legati all autenticazione elettronica di documenti. In particolare, il pacchetto permette di firmare e marcare temporalmente documenti elettronici di qualunque tipo nel rispetto dei parametri richiesti dal DIGITPA (Ente nazionale per la digitalizzazione della Pubblica Amministrazione - Ex CNIPA) responsabile dei regolamenti e delle normative di riferimento. I documenti prodotti hanno validità legale se firmati con opportuno certificato. Il pacchetto di firma digitale è in grado di produrre sia documenti firmati nel formato standard internazionale con estensione P7M, sia nel formato Adobe PDF che contiene la firma digitale come parte integrante del documento originale. I documenti PDF generati risultano quindi verificabili direttamente tramite lettore PDF standard (per esempio Adobe Reader dalla versione 8.0), senza necessità di installare software aggiuntivo (decodificatori P7M proprietari). Anche in questo caso le funzionalità offerte sono conformi alla normativa vigente. Il pacchetto di firma digitale gestisce diversi formati di memorizzazione di certificati e credenziali crittografiche. Inoltre è in grado di interfacciarsi con dispositivi hardware esterni che eseguono le operazioni di firma. Tutte le funzionalità di firma sono accompagnate dalle corrispondenti funzionalità di verifica, le quali permettono anche di realizzare delle verifiche puntuali o in modalità batch su gruppi selezionati di file. In particolare, il pacchetto permette di: Firmare digitalmente documenti singoli o Per documenti PDF: produzione di file firmati in formato PDF auto contenuto o Per documenti generici: produzione di file firmati nel formato P7M Firmare in modo atomico cartelle di documenti Marcare temporalmente singoli documenti Firmare e marcare temporalmente in modo atomico singoli documenti Apporre firme e marche temporali multiple allo stesso documento Verificare le firme e le marche temporali presenti all interno di un documento Il pacchetto è in grado di utilizzare i seguenti metodi di firma: Smart Card crittografiche compatibili con lo standard PKCS11 Token USB crittografici compatibili con lo standard PKCS11 Certificati e chiavi private memorizzati in file CER/CRT/PEM Certificati e chiavi private memorizzate in file PFX/P12 (PKCS12) Al fine di poter attribuire una validità legale alla firma apposta ai documenti firmati è necessario utilizzare come metodo di firma una smart card o un token crittografico rilasciato da una società accreditata.

4 4 di 13 2 INSTALLAZIONE Il pacchetto vero e proprio viene auto installato al momento della prima esecuzione di una operazione di firma. Esso utilizza per il proprio funzionamento le impostazioni di configurazione dell ambiente WebGate400 impostate dall amministratore (si veda il capitolo 3). Una installazione separata potrebbe invece essere necessaria per far funzionare correttamente il token crittografico o la smart card che si hanno a disposizione. In particolare, è necessario che il personal computer dell utente riconosca correttamente la periferica crittografica da utilizzare, e che siano installati tutti i file middleware di supporto (di solito dei semplici file con estensione dll) nella cartella di sistema. E inoltre necessario tener presente che il pacchetto funziona solamente con dispositivi crittografici rispettosi dello standard PKCS11. Nel caso si utilizzino token o smart card fornite da certificatori accreditati (ad es InfoCert), i dispositivi sono solitamente conformi allo standard sopra indicato. In generale, comunque, tra le caratteristiche del dispositivo fisico è riportata la compatibilità o meno allo standard. Data la sostanziale eterogeneità dei dispositivi PKCS11 compatibili presenti sul mercato, non è possibile dare in questa guida un insieme di istruzioni che entrino nel dettaglio dell installazione di un particolare dispositivo. Verranno quindi illustrati i passi generali che coinvolgono tutti i token/smart card compatibili PKCS Passi comuni per l installazione dei token/smartcard Installare tramite l apposito programma di installazione i driver del lettore di smart/card o del token crittografico. Le situazioni che possono verificarsi sono le seguenti: o o Il dispositivo non è corredato da un programma di installazione. In questo caso è possibile che il dispositivo venga automaticamente riconosciuto dal sistema operativo oppure che contenga i driver al suo interno. Ad esempio, è possibile che alcuni token USB siano dotati di una procedura di auto installazione che si avvia automaticamente al primo inserimento del dispositivo. Il dispositivo è accompagnato da un programma di installazione su CD/DVD/Web. In questo caso è necessario installare i driver e il middleware del dispositivo presenti sul CD fornito dal produttore prima di utilizzare il dispositivo. Il middleware contiene solitamente i file dll di supporto per l interfacciamento con il dispositivo. Individuare i componenti middleware necessari. Si tratta di un passo fondamentale. Il pacchetto supporta nativamente alcuni dispositivi per i quali non è necessario individuare il middleware (NB: la fase di installazione dei driver è comunque necessaria); tale elenco è riportato nella sezione 2.2. Invece, per pacchetti non supportati nativamente è necessario individuare almeno un file middleware di tipo dll che permetta l interfacciamento con il dispositivo crittografico. In caso di difficoltà contattare il supporto di WebgateItalia. 2.2 Elenco smartcard/token supportati nativamente (middleware incorporato nel pacchetto) Nome Produttore Middleware Dispositivi di supporto Businnes key Infocert bit4ipki.dll Nessuno Smart card infocert Infocert bit4ipki.dll lettore smart card Crypto 2048 Eutron sadaptor.dll Nessuno CRYPTO ITSEC1 EUTRON CMP11.DLL NESSUNO Tabella 2.2 Elenco token supportati nativamente Anche per i device supportati nativamente si consiglia sempre di eseguire l installazione dei driver del dispositivo più aggiornati.

5 5 di Esempio di installazione: Lettore Bit4Id per SmartCard A titolo esemplificativo riportiamo i passi per l installazione del lettore di SmartCard Bit4Id minilector (figura 2.1), compatibile con Windows XP, Windows Vista e Windows Seven. Figura 2.1 Aspetto esterno del lettore Bit4Id minilector Nel caso in cui si disponga di un sistema operativo successivo a Windows XP all atto del primo inserimento il lettore viene automaticamente riconosciuto. Nel caso di Windows XP invece, il riconoscimento può avvenire o meno a seconda dello stato di aggiornamento del sistema. In caso di mancato riconoscimento, è necessario installare i driver forniti sul sito del produttore all indirizzo Una volta sul sito l utente deve individuare i driver adatti alla propria configurazione e al termine dello scarimento del file, eseguire il setup. Avviata la procedura guidata di installazione l utente deve limitarsi a confermare per procedere, e non deve configurare nulla. Al termine dell' installazione dovrebbe apparire una schermata simile a quella mostrata in figura 2.2. Figura 2.2 Schermata di installazione lettore avvenuta con successo A questo punto il lettore è installato correttamente. È necessario poi procedere o meno con l installazione nella cartella di sistema del file dll middleware. Se si utilizzano smart card supportate nativamente (come la smart card di InfoCert) questo ulteriore passaggio non è necessario.

6 6 di 13 3 CONFIGURAZIONE La configurazione del pacchetto di firma è inserita nella configurazione complessiva di WebGate400. Pertanto è necessario collegarsi tramite l utente di amministrazione WEBGATECVT ed accedre alla sezione Configurazione Run Time (figura 3.1). Figura 3.1 Schermata per la selezione di Configurazione RunTime Una volta entrati nella configurazione, compare la consueta schermata di selezione dell utente (figura 3.2). Figura 3.2 Schermata per la selezione dell utente da configurare

7 7 di 13 Una volta selezionato l utente si accede alla schermata di configurazione vera e propria. A questo punto per accedere alla sezione di configurazione della firma è sufficiente premere l apposito pulsante, indicato con un riquadro rosso nell immagine (figura 3.3). Figura 3.3 Configurazione dell utente La schermata di configurazione del pacchetto di firma è mostrata nella figura 3.4. Essa è suddivisa concettualmente in sei sezioni, di cui alcune mutualmente esclusive. Figura 3.4 Schermata di configurazione del pacchetto Firma La prima sezione (figura 3.5) è costituita da un solo campo di selezione necessario a scegliere il metodo di firma da utilizzare. Figura 3.5 Schermata di configurazione del pacchetto Firma Le opzioni disponibili sono 3: Uso di un dispositivo crittografico sicuro (usa token o smartcard) Uso di file contenenti certificato e chiave privata Uso di un unico file PFX contenente certificato e chiave privata Tutti e tre i metodi prevedono nel momento in cui sono utilizzati di inserire un PIN o una password per recuperare le credenziali crittografiche o accedere alle funzionalità di firma. Mentre il primo metodo prevede l utilizzo di un token esterno, il secondo e il terzo si basano sull uso di file memorizzati in un opportuno percorso sull IFS. A seconda della scelta effettuate viene pertanto abilitato il frame Configurazione dispositivo di firma (TOKEN) o il frame Configurazione Certificati e Chiavi Locali.

8 8 di 13 Il frame Configurazione dispositivo di firma (TOKEN) permette di configurare quattro parametri. L unico parametro obbligatorio è il campo Nome DLL PKCS11, il quale è destinato a contenere il percorso del file DLL middleware per l utilizzo dei token crittografici. Il tipico valore di questo parametro è (SYSTEMDIR)/nomeFile.dll, dove nomefile.dll deve essere sostituito con il nome reale del middleware che si sta utilizzando. Se si utilizzano dei token supportati nativamente, è possibile inserire uno dei nomi di file middleware listati nella tabella 2.2 della sezione Installazione (figura 3.6). Figura 3.6 Configurazione del parametro Nome DLL PKCS11 Gli altri campi possono essere lasciati vuoti. Il frame Configurazione Certificati e Chiavi Locali (figura 3.7) contiene semplicemente un elenco di percorsi di file da specificare qualora non si utilizzi il metodo di firma con token. In particolare i primi due campi contengono il percorso sull IFS del file contenente il certificato e il file contenente la chiave privata, e vengono quindi considerati solo se è selezionato il metodo di firma Usa file di certificato e chiave privata. Il terzo campo è destinato a contenere il percorso del file PFX/PKCS12 (file che contiene sia il certificato che la chiave privata) qualora si decida di utilizzare il metodo di firma Usa file PFX (PKCS12). È anche possibile impostare tutti e tre i percorsi contemporaneamente e abilitare i primi due o il terzo a seconda della scelta effettuata nel metodo di firma. Figura 3.7 Frame Configurazione Certificati e Chiavi Locali Il frame Impostazioni file output (figura 3.8) contiene quattro valori da impostare. Figura 3.8 Frame Impostazioni file output Il primo è denominato Formato Output Default e il suo valore serve ad impostare il tipo di file firmato prodotto in caso il file originale sia in formato PDF. In questo caso, infatti, è possibile produrre un PDF auto contenuto firmato, oppure un più classico file P7M che contiene il PDF originale al suo interno. Se il valore è.pdf il file prodotto è un file PDF auto contenuto, se è.p7m viene prodotto un file P7M. Si noti che l impostazione ha senso solo se il file originale è di tipo PDF, mentre nel caso di file generici viene comunque prodotto un file di tipo P7M. Il secondo e il terzo parametro contengono i percorsi dei file firmati o della marca temporale singola ricevuta da una Time Stamping Authority (TSA). Si noti che il percorso Path File Firmato viene usato solo se l output prodotto è di tipo P7M oppure se si imposta di non sovrascrivere un PDF originale con quello firmato. Il frame Time Stamping Authority o TSA (figura 3.9) contiene le informazioni su come contattare la Time Stamping Authority che fornisce il servizio di marcatura temporale. Si ricorda che è necessario aver preventivamente acquistato il servizio presso un certificatore accreditato prima di poter marcare temporalmente un file e che il computer da cui si eseguono le operazioni abbia completo accesso a internet. La TSA viene contattata attraverso il protocollo http secondo le specifiche presenti nel documento RFC Figura 3.9 Frame Time Stamping Authority

9 9 di 13 Il primo parametro è l indirizzo internet (Uniform Resource Identifier, o URI) della TSA che si intende contattare. Il secondo e il terzo sono il nome utente e la password necessarie per l accesso al servizio. Tali parametri sono noti una volta che è stato effettuato l acquisto del servizio di marcatura temporale. Questi tre parametri devono essere obbligatoriamente compilati se si intende eseguire la marcatura temporale. Nel caso si stia utilizzando un servizio che non richieda l utilizzo di credenziali di accesso, immettere la scritta *NONE nei rispettivi campi. Gli ultimi due parametri sono Policy TSA e Codifica TSA. La policy è formata da un Object Identifier (lista di numeri ciascuno separato dal successivo tramite il simbolo punto) che indica le regole e le politiche della TSA o i vincoli della marcatura temporale restituita. Spesso tale valore può essere omesso, lasciando la policy di default fornita dalla TSA (anche se non tutte le TSA accettano tale omissione). Il campo codifica TSA può assumere due valori: binary e base64, i quali rappresentano il tipo di codifica binaria che la TSA comprende quando riceve una richiesta o invia una risposta; rivolgersi al proprio fornitore del servizio di marcatura temporale per sapere il tipo di codifica utilizzata. L ultimo frame è Impostazioni di verifica (figura 3.10) e contiene il solo percorso della directory contenente i certificati delle Root Certification Authorities (CA). Tale directory consiste di fatto in un repository di certificati propri dei certificatori, necessari per validare i certificati degli utenti che hanno apposto la loro firma su di un file. Figura 3.10 Impostazione della directory contenente i certificati Root Nota: In alcuni casi è emerso che il campo username assegnato dal servizio di marcatura temporale può avere una lunghezza superiore ai normali valori per tale campo. Per evitare una modifica al database nelle installazioni già esistenti è stata creata una seconda modalità operativa dell elaborato di configurazione che permette di utilizzare il campo Policy TSA oltre al suo normale funzionamento. Per inserire quindi un username di lunghezza superiore rispetto allo spazio disponibile a video procedere come segue e scrivere: *POLICY nel campo Username TSA *NONE nel campo Password TSA Nel campo Policy TSA inserire invece i valori: username (il nome utente rilasciato dal servizio di TSA), password (la password rilasciata dal servizio di TSA) ed eventuale policy separati dalla sequenza di caratteri <&> come in figura Figura 3.11 Impostazione straordinaria del campo TSA Valgono le solite regole di completamento dei campi non utilizzati con la parola chiave *NONE.

10 10 di 13 4 UTILIZZO Una volta installato il dispositivo e configurato l ambiente di lavoro è possibile accedere alle funzionalità di firma attraverso un semplice click con il tasto destro del mouse (figura 4.1) su qualunque videata contenente dei link (in figura si utilizza come esempio l elaborato 3X). Figura 4.1 Come accedere alla funzionalità di firma Una volta fatto click con il pulsante destro del mouse compare il menù illustrato nella figura 4.2. Figura 4.2 Menù con le opzioni di firma Le opzioni riguardanti la firma sono quattro: Firma e salva Marca e salva Firma, marca e salva Verifica firma La prima opzione permette di firmare un file e salvarlo. A seconda della configurazione del pacchetto il file originale di tipo PDF può essere sovrascritto con la sua versione firmata oppure può essere salvato in una cartella sull IFS (impostata in fase di configurazione; si veda il capitolo 3). Se il file originale non è PDF il file P7M di firma viene in ogni caso memorizzato nella cartella sull IFS. Dopo la pressione di Firma e Salva il sistema presenta una schermata di inserimento PIN o Passphrase, a seconda che si stia utilizzando un dispositivo fisico o un file sull IFS (per maggiori dettagli si rimanda al capitolo sulla configurazione e i metodi di firma). Le due schermate sono riportate rispettivamente in figura 4.3a e 4.3b. Figura 4.3a Avvio Webgate400 Digital Signer Figura 4.3b Inserimento PIN

11 11 di 13 Una volta inserito il PIN o la passphrase il sistema avvia automaticamente la procedura di firma (figura 4.4). Figura 4.4 Finestra di avanzamento firma In caso di firma tramite token o smart card, durante la prima esecuzione con un particolare dispositivo vengono analizzate e recuperate alcune informazioni sullo stesso che rendono l operazione di firma leggermente più lenta rispetto al successivo uso normale. Durante tale prima esecuzione compare la finestra mostrata in figura 4.5 che avvisa l utente del successivo recupero informazioni dal token. Figura 4.5 Messaggio che compare quando si utilizza un dispositivo per la prima volta Una volta completata l operazione (la cui durata può variare sensibilmente a seconda della dimensione del file che si sta firmando) in caso di successo il sistema presenta la finestra mostrata in figura 4.6. Figura 4.6 Messaggio di firma avvenuta correttamente Opzione Marca e Salva Selezionando questa opzione viene richiesta una marca temporale alla TSA impostata nella configurazione del sistema. Non è richiesto l inserimento di alcun PIN o Passphrase. Analogamente a quanto accade con l opzione precedente lo stato di avanzamento dell operazione è mostrato da un apposita finestra. Se l operazione va a buon fine è presente nella cartella indicata dal parametro Path Marca Temporale Singola (si veda il capitolo 3 sulla configurazione) un file con lo stesso nome del file da marcare seguito dall estensione.tsr (Time Stamp Response). Si noti che l operazione di marcatura temporale potrebbe richiedere qualche secondo di attesa a causa dei tempi di risposta della TSA contattata via HTTP. Opzione Firma, Marca e Salva Esegue entrambe le operazioni delle due opzioni precedenti. L indicatore di avanzamento è unico, indicando in tal modo l attuale stato di completamento dell operazione complessiva firma più marca. Opzione Verifica Questa opzione permette di verificare le informazioni sulle firme presenti in un file. In particolare, per ogni firma vengono visualizzati: Il nome del firmatore Il riferimento temporale La eventuale marca temporale associata Lo stato della firma Inoltre viene data la possibilità di aprire il file firmato tramite l applicazione predefinita del sistema operativo. La figura 4.7 mostra una tipica finestra contenente il risultato di una verifica.

12 12 di 13 Figura 4.7 Esempio di schermata di esito verifica La procedura di verifica va a cercare i certificati delle Root CA nella cartella impostata nell apposito parametro di configurazione. Qualora non dovesse essere presente alcuna cartella o non dovesse essere trovato il certificato della CA necessaria, il sistema risponde con uno messaggio di La validità della firma è sconosciuta (figura 4.8). Figura 4.8 Caso di validità firma sconosciuta

13 13 di 13 5 CARATTERISTICHE TECNICHE E CONDIZIONI D USO Il pacchetto nella modalità di utilizzo per la creazione di PDF firmati in modo embedded presenta le seguenti caratteristiche: PDF firmati secondo lo standard PKCS7 col metodo adbe.rsa.sha256 Firma di file PDF di tipo PDF/A Interfacciamento con dispositivi di firma conformi allo standard PKCS11 Marche temporali richieste tramite protocollo http secondo quanto previsto da RFC 3161 Verifica immediata delle marche temporali ricevute Il pacchetto nella modalità di utilizzo per la creazione di PDF firmati in modo embedded presenta le seguenti condizioni di utilizzo: Dimensione massima file PDF (comprensiva di firme): 100 Mb Numero massimo di firme apponibili: illimitato Numero massimo di firme verificabili: 19 (in caso di numero superiore vengono ignorate) Numero massimo di marche temporali apponibili: illimitato (potenzialmente una per ogni firma) Il firmatore non è stato progettato per firmare file PDF dotati di protezione.