Due applicazioni pratiche: l'autenticazione tramite Smart Card e la firma digitale massiva

Transcript

1 Due applicazioni pratiche: l'autenticazione tramite Smart Card e la firma digitale massiva Gabriella Cattaneo Security Technical Engineer Sun Microsystems, Inc.

2 Autenticazione in un ambiente di SSO tramite Smart Card

3 Autenticazione statica: password Veloce da realizzare, economica e attuata via software. Criticità: Scelta e segretezza dalle password Invio e conservazione della password Creazione e aggiornamento della password Una coppia login password per ogni servizio

4 Autenticazione Robusta Certificati digitale Firma digitale di un identificativo di sessione sempre diverso Non repudio Smart Card Archiviazione chiavi Firma in ambiente sicuro Autenticazione tramite qualcosa che uno ha Più certificati sulla stessa Smart Card

5 Generazione chiavi e certificati Generazione chiave su Smart Card Procedura di rilascio certificato Registration Authority Riconoscimento utenti Certificato per autenticazione Salvataggio certificato su Smart Card Gestione revoca e rinnovo certificati Segnalazione rapida

6 Certification Authority Ente certificatore o Certification Authority interna Costo Gestione generazione, rinnovo e revoca Requisiti di legge Diffusione liste di revoca (CRL)

7 Directory Server Archiviazione certificati utenti Gestisce autenticazione tramite certificati Archiviazione e consultazione CRL Infrastruttura conforme allo standard LDAP v3

8 Directory Server Amministrazione da interfaccia grafica ACI (Access Control Instructions) Secure client e server authentication Gruppi internei ed esterni Attributi identificazione, autenticazione e autorizzazione Informazioni di audit Elevata scalabilità e performance

9 Smart Card Reader Postazione utente Gina (Driver per Certificati di tipo autenticazione) Autenticazione con e senza Smart Card Browser web (con certificato) Sicurezza certificato demandata al sistema

10 Disegno architetturale soluzione Postazio ni LDAP CA Web Server HP SES Engine

11 Single Sigh On Un serivizio = una password Un certificato per tutti i servizi (UUD) Un solo punto di autenticazione (SSO)

12 Gli elementi della soluzione Directory Server Identity Manager z Access Manager

13 Gli elementi della soluzione Amministrazione Web-Based Identity Manager Gestizone Utenti Gestione delle Password Sincronizzazione dei Servizi Access Manager Web Single- Sign-On Controllo degli Accessi Federazione Audit e Report Directory Server LDAP Sicurezza Active Directory

14 3 Windows Client 4 5 Access to Web Apps through Web Browser Please negotiate Agent WebApp 1 Agent WebApp N Web Browser 9 Access with AM Token Kerberos Cache 8 Send AM Token SPNEGO 6 Negotiation Send Krb Token 10 Lookup policies Return AuthZ decision 13 1 Windows Logon 2 Send Kerberos Ticket SJS Access Manager 12 Fetch Policy Domain Controller/ AD User Store 7 SPNEGO Negotiation AuthN w/krbtoken WinDskp Auth Module 11 Fetch User Profile AM Information (LDAP) Legenda Provision Use the application... Interface through a protocol Identity Repository (LDAP)

15 Disegno architetturale soluzione Postazio ni Access Manager Active Directory Identity Manager LDAP CA Web Server HP SES Engine

16 Benefici della soluzione Abbattimento dei costi di gestione Automatizzazione dei processi e flussi informativi Autorizzazioni multi-punto Aumento produttività degli utenti Aumento della sicurezza Sistema centralizzato per l'autenticazione Sistema centralizzato per l'autorizzazione Tecnice avanzate autenticazione Sistema misto di autenticazione

17 Benefici della soluzione Bassa intrusivitá Non richiede l'installazione di componenti dedicate (agenti) Semplificazione della gestione delle identitá Assenza di repositori intermedi con attributi utenze Un solo punto di gestione delle utenze Sincronizzazione bidirezionale delle identità (funzioni di meta-directory)

18 Benefici della soluzione Elevata scalabilitá dei servizi di directory ed access management Capacitá di federazione delle identitá Standard Liberty Alliance e SAML Allineamento di Active Directory Massima integrazione fra i prodotti della suite

19 La firma massiva di documenti in formato digitale

20 Conservazione dei documenti Documento in formato originale Firma di autenticazione Conservazione Informatizzazione della PA Archiviazione in formato elettronico Firma digitale

21 Documento con firma digitale Il documento informatico, quando è sottoscritto con firma digitale o con un altro tipo di firma elettronica avanzata, e la firma è basata su di un certificato qualificato ed è generata mediante un dispositivo per la creazione di una firma sicura, fa inoltre piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l ha sottoscritto DLGS 23 gennaio 2002

22 Documento con firma digitale forte Una firma è digitale forte se è una firma elettronica avanzata è basata su un certificato qualificato è generata per mezzo di un dispositivo sicuro per la generazione delle firme A una firma digitale forte viene data la medesima validità giuridica di una firma autografa autenticata da un pubblico ufficiale.

23 Firma digitale massiva Componente dedicata alla firma Hardware Security Modules (HSM) Smart Card Coppia di chiavi crittografiche Formato firma massiva Ente Certificatore riconosciuto dal CNIPA La chiave segreta non deve lasciare il modulo Autenticazione dei firmatari (PIN o Smart Card)

24 Esempio di Architettura Client Unix Client Windows Altri Client Access Manager LDAP Server Application Server Administrator HSM External C.A.

25 Benefici della soluzione Rapidità di diffusione Costi inferiori di distribuzione dei documenti Archiviazione e ricerca più rapidata Integrità dei dati Firma dipende dal contenuto Ottimizzazione del processi di firma Mobilità e Ubiquità

26 Benefici della soluzione Gestione centralizzata del processo di firma Chiavi di Firma non possono essere distribuite ma è possibile un loro export verso un altro HSM spento Il documento da firmare cifrare rimane sul server Facilità di inserimento in un'architettura esistente Dati, servizi, firma e cifratura centralizzati Facilità di upgrades a nuove tecnologie

27 Benefici della soluzione La creazione delle chiave è gestita centralmente e non è richiesto un import di certificato da parte dell utente (facilità d uso) Nessuna possibilità di perdere la smart card contenente la chiave crittografica Nessun bisogno di dover gestire varie Smart Card Nessun costo aggiuntivo per ogni nuovo utente

28 Grazie Gabriella Cattaneo Security Technical Engineer Sun Microsystems, Inc.