Soluzioni di firma remota. con PkBox

Transcript

1 Soluzioni di firma remota con PkBox 18 aprile 2013

2 Le informazioni contenute in questo documento sono da considerarsi CONFIDENZIALI e non possono essere utilizzate o riprodotte - sia in parte che interamente - senza un permesso scritto rilasciato da Intesi Group S.p.A. All the information in this document is and can t be used entirely or in part without a written permission from Intesi Group S.p.A. Pag. 2 di 13

3 Sommario 1. PkBox Firma remota Strong authentication Configurazioni Configurazione di firma remota in house Configurazione di firma remota in service Configurazione di firma remota in locale Registration Authority ed Enrollment dei certificati Fasi di emission certificato Pag. 3 di 13

4 1. PkBox PkBox è il prodotto ideale per creare soluzioni di firma centralizzata. Pensato per aziende di qualsiasi dimensione soddisfa tutte le esigenze di funzionalità, prestazioni, capacità, affidabilità, scalabilità e prezzo. PkBox è conforme a tutti i requisiti normativi Italiani ed Europei, ed è stato pensato per offrire interfacce di programmazione assolutamente semplici e facilmente integrabili nelle applicazioni esistenti, per poter essere configurato e dimensionato in base a qualsiasi esigenza senza per questo richiedere interventi sui codici sorgente. PkBox è attualmente adottato dai più grandi istituti di credito e dai centri servizi italiani come piattaforma centrale per l erogazione di tutti i servizi di firma e di verifica richiesti e offerti agli utenti. Pag. 4 di 13

5 2. Firma remota La normativa Italiana sulla firma digitale permette l uso di soluzioni di firma qualificata a valenza legale che prevedano l uso di chiavi crittografiche generate e a bordo di un dispositivo HSM (certificato Common Criteria EAL4+). L HSM può essere installato remotamente e sostituisce a pieno titolo, nei casi permessi, il dispositivo personale direttamente gestito dall utente (smartcard o token). Ai fini della valenza legale delle operazioni di firma remota, il possesso esclusivo della credenziale e la volontà esplicita della firma devono essere garantite tramite strumenti di Strong Authentication che permettano di verificare in modo certo l'identità della persona e lo sblocco controllato dell operazione. La richiesta di autenticazione forte, durante l operazione di firma, distingue la firma qualificata remota dalla firma automatica (anche massiva). Nel secondo caso, l autenticazione dell utente deve avvenire solo nei momenti in cui si attiva o si sospende il servizio. Una volta attivato, il servizio di firma potrà procedere in autonomia senza il coinvolgimento dell utente proprietario della credenziale. PkBox prevede la possibilità di gestire le credenziali indicando singolarmente, per ognuna di esse, la modalità di autenticazione richiesta e se necessario l Authentication Provider da utilizzare. Configurando quindi opportunamente le credenziali è possibile effettuare, sullo stesso server, sia operazioni di firma remota sia di firma automatica. Pag. 5 di 13

6 3. Strong authentication La normativa Italiana non indica con precisione quali siano le tecnologie di autenticazione valide per la realizzazione di soluzioni di firma remota. Va quindi adottata una soluzione che risulti adeguatamente sicura e affidabile, eventualmente considerando il parere autorevole degli enti qualificati a validare e autocertificare l aderenza delle infrastrutture di firma ai requisiti normativi, le Certification Authority. Se si tiene conto degli aspetti essenziali di sicurezza e di protezione dalla copia degli algoritmi crittografici e della protezione delle chiavi, si possono certamente considerare validi gli approcci basati sulla generazione dinamica di codici validi per una sola autenticazione (codici OTP, One Time Password). In alternativa è possibile adottare tecnologie biometriche ma queste non sono ancora dichiaratamente gradite dagli enti di controllo Italiani e vanno quindi considerate con cautela. Le soluzioni possibili si distinguono poi in base allo specifico dispositivo e/o canale usato per la generazione dei codici e la successiva comunicazione all utente. PkBox offre la massima flessibilità di configurazione permettendo, come già detto, di impostare liberamente, per ognuna delle credenziali, il meccanismo di autenticazione da utilizzare e il provider associato. Meccanismi di autenticazione previsti OTP per firma remota (va indicato il provider da usare) OTP per sblocco firma automatica (va indicato il provider da usare) Doppio Pin Gli Authentication Provider disponibili nella versione base Intesi PassID SMS Intesi PassID Mobile RSA Authentication Manager Singolo Pin RSA SecurID Authentication Engine (SAE) Nessuna autenticazione Vasco Identikey Authentication Server Vasco Vacman Controller E in fase di valutazione l autenticazione basata su cellulare tramite chiamata vocale per la comunicazione del codice di autenticazione. Pag. 6 di 13

7 Per le aziende che abbiano già implementato un sistema di autenticazione, è possibile realizzare un Custom Authentication Provider integrato in PkBox che sia in grado di chiamare il servizio esterno senza richiedere quindi la gestione di un ulteriore sistema da affiancare a quello già in uso. Analogamente l integrazione di sistemi di Strong Authentication diversi da quelli già supportati è possibile senza particolari difficoltà. L impegno da prevedere è del tutto equivalente all integrazione del sistema considerato con una qualsiasi altra applicazione server sviluppata in Java e operante in ambiente Tomcat. Pag. 7 di 13

8 4. Configurazioni PkBox è un prodotto altamente flessibile e può essere configurato in modo da soddisfare pienamente i requisiti del cliente, sia in termini di capacità di carico e di credenziali, sia per quanto riguarda l architettura complessiva del sistema. Nella definizione di una configurazione PkBox, i gradi di libertà sono: Sistema operativo ospite (sono supportati Windows e Linux) Dispositivo crittografico (Pkcs#11 sw, Smartcard/Token in pool, HSM, nethsm) Set di funzioni di firma abilitate (Cades, Pades, Xades, Full, Opzioni) Nr. Server in produzione (Fault Tolerance e Bilanciamento del Carico) Eventuale architettura COD con credenziali sul database (Oracle, MySQL) Nr. Server per altri ambienti (DR, Collaudo, Test, Sviluppo) Sistema di Strong Authentication Nr. Server Intermedi per trattamento documenti (configurazioni a tre livelli) In base al dispositivo crittografico scelto variano i valori risultanti di: Numero credenziali installabili sul server PkBox Numero di operazioni di firma nell unità di tempo Con una smartcard o un token USB è possibile raggiungere un ritmo di circa 3/4 mila firme l ora. Con un HSM si possono trattare anche centinaia/migliaia di firme al secondo. Chiaramente le dimensioni dei documenti da firmare influenzano notevolmente il tempo necessario all operazione di firma data la necessità del calcolo dell impronta. Installando più server in parallelo è possibile distribuire le richieste di firma sulle macchine disponibili aumentando quindi in modo proporzionale la capacità complessiva del sistema. Il modulo PkBox Client, da utilizzare come libreria di interfaccia delle applicazioni con i PkBox Server, è in grado di indirizzare i server distribuendo le richieste senza richiedere componenti addizionali quali bilanciatori hardware o software. Pag. 8 di 13

9 Gli apparati di bilanciamento possono comunque essere utilizzati sia in situazioni in cui si è fatta la scelta di adottarli, sia nel caso in cui non si utilizzi il modulo PkBox Client e si preferiscano a questo le interfacce Web Services. Adottando la configurazione COD, PkBox è in grado di gestire le credenziali di firma su un database esterno all HSM. La coppia di chiavi viene generata all interno del dispositivo crittografico, viene quindi cifrata con una chiave master e il risultato può essere portato fuori della scheda di sicurezza senza correre il rischio di un suo utilizzo fraudolento. Grazie alla struttura COD, si superano i limiti imposti dall HSM sul numero complessivo di credenziali gestibili da un singolo sistema di sicurezza. Intesi ha realizzato configurazioni in grado di gestire milioni di certificati di firma remota e automatica. Agganciando più PkBox ad un database comune è possibile ottimizzare il numero di certificati da emettere, evitando le duplicazioni dei certificati per ogni HSM, e minimizzare il tempo di ripristino di un server di firma a seguito di un guasto hardware. L unica informazione da riportare sul nuovo HSM è infatti la chiave master (che può essere trasferita in modo sicuro usando un set di smartcard). La configurazione COD richiede l uso di uno specifico dispositivo HSM, Thales ncipher nshield in quanto, per garantire la necessaria sicurezza, le operazioni di crittografia ed esportazione delle credenziali vengono eseguite tramite chiamate a specifiche API del prodotto indicato. Nei casi in cui esista una separazione geografica o logica tra i server di firma e le applicazioni che gestiscono i documenti da firmare, è possibile creare una configurazione a tre livelli in cui il server PkBox si suddivide in due macchine specializzate: PkBox HSM (che gestisce il dispositivo crittografico) PkBox Remote (che gestisce il trattamento dei documenti, lato applicazioni) I meccanismi di colloquio tra i PkBox Client, HSM e Remote permettono di effettuare il bilanciamento del carico a tutti i livelli. E permesso quindi di avere ad esempio tre PkBox HSM e due Remote. L applicazione vedrà, tramite PkBox Client i due PkBox Remote e ognuno dei Remote vedrà in pool i tre PkBox HSM. Il numero di PkBox Remote può essere deciso sia in base alla dimensione e al numero di documenti da trattare, sia considerando il numero di applicazioni e le diverse sedi geografiche da supportare. Pag. 9 di 13

10 Il numero di PkBox HSM dipende invece unicamente dal carico di transazioni di firma che si desidera sostenere. Il dimensionamento di una soluzione senza Remote deve invece considerare che tutto il lavoro di trattamento del documento e di firma sul dispositivo deve essere svolto dalla stessa macchina Configurazione di firma remota in house Combinando le opzioni indicate, la configurazione standard di riferimento per la gestione di firme remote è la seguente. Uno o più server PkBox COD (ambienti produzione e disaster recovery) Un HSM Thales per ogni PkBox Un Database per ospitare le credenziali cifrate Uno o più sistemi di Strong Authentication Chiaramente è possibile l uso di PkBox Remote per le configurazioni a più livelli. Qualora si rendesse necessaria la realizzazione di ambienti di sviluppo, test e collaudo, possono essere definite configurazioni di minore complessità in quanto le API e i servizi di interfaccia restano inalterate al variare delle configurazioni. I prodotti devono essere selezionati tra quelli supportati, secondo quanto indicato in precedenza Configurazione di firma remota in service L architettura a tre livelli può essere proficuamente sfruttata per realizzare soluzioni di firma remota in cui si offre un servizio di custodia delle credenziali e di firma remota ad aziende che desiderano utilizzare applicazioni con funzionalità di firma senza però avere l onere di acquisire e gestire sistemi HSM complessi. Pag. 10 di 13

11 La configurazione prevista per la soluzione In House si può in questo caso trasferire in toto presso il service provider lasciando all azienda che utilizza il servizio semplicemente uno o più PkBox Remote In questo caso il provider deve predisporre una configurazione di PkBox HSM ridondata ed eventualmente replicata nei siti di produzione (Primario e Disaster Recovery). Deve inoltre rendere disponibili i Data Base che ospiteranno le credenziali di firma degli utenti e rendere il tutto accessibile tramite adeguate linee di comunicazione anch esse ridondate e replicate al fine di massimizzare i livelli di servizio e la disponibilità della soluzione. La funzione di Strong Authentication può essere messa a disposizione sia dal provider sia dal cliente. E auspicabile che una funzione di autenticazione di base sia comunque proposta dal provider in modo da non imporre al cliente di doversi attrezzare anche se non ne sente l esigenza Configurazione di firma remota in locale Per il completamento di una configurazione di firma remota in service, in casa del cliente, è necessario semplicemente installare uno o più PkBox Remote che hanno il compito di ricevere le richieste dalle applicazioni, di trattare il dati da firmare e di inviare ai PkBox HSM le impronte e i dati di autenticazione per l esecuzione delle operazioni di firma. In pratica tutte le operazioni possibili vengono svolte localmente dai PkBox Remote e solo quando è strettamente necessario operare sulle chiavi private, vengono coinvolti i PkBox HSM installati presso il service provider. Siccome non vengono mai inviati i dati da firmare al provider ma solo le impronte calcolate localmente, la soluzione garantisce la necessarie riservatezza delle informazioni trattate dalle applicazioni del cliente. Pag. 11 di 13

12 5. Registration Authority ed Enrollment dei certificati Indipendentemente dal dispositivo crittografico adottato, nel caso in cui si desideri che le firme apposte abbiano valenza legale, occorre che il processo di emissione dei certificati rispetti la normativa e segua le regole stabilite dalla Certification Authority qualificata a cui si richiedono i certificati stessi Fasi di emission certificato Le fasi di emissione di un certificato sono: 1. Creazione di una coppia di chiavi RSA sul dispositivo HSM 2. Riconoscimento dell utente da parte di un RAO (Registration Authority Officier) 3. Preparazione di una richiesta di certificato con tutti i dati richiesti 4. Invio dalla richiesta alla Certification Authority 5. Registrazione dell utente da parte della RA 6. Emissione del certificato da parte della CA 7. Invio del certificato al cliente 8. Caricamento del certificato sul dispositivo crittografico Vanno inoltre considerate le modalità di generazione che potrebbero essere in linea, per singolo utente, oppure batch, per la generazione massiva di credenziali. Le operazioni elencate vengono svolte in parte dalla Certification Authority, con strumenti resi disponibili da questa, e in parte sul PkBox. In particolare PkBox pubblica delle interfacce Web Services per lo svolgimento delle operazioni 1, 3 e 8. La Certification Authority deve garantire le fasi 5, 6 e 7. Le operazioni 2 e 4 sono passi tipicamente svolti dal RAO o da un suo incaricato. Sia nel caso interattivo, sia per attività batch, occorre predisporre un applicazione che integri le interfacce PkBox e quelle della CA al fine di realizzare la procedura complessiva. Pag. 12 di 13

13 Qualora si adotti la soluzione in service, la procedura di enrollment dei certificati viene tipicamente offerta dal Service Provider come complemento ai servizi base di firma remota e massiva. Per quanto riguarda i certificati, la differenza tra firma qualificata remota e firma automatica massiva è solo data dalle limitazioni d uso definite sul certificato stesso all atto della sua emissione. Pag. 13 di 13