IDENTITÀ DIGITALE 1 Ing. Angelo Cavallaro AC2 sr.l.-anorc angelocavallaro@ .it

Transcript

1 IDENTITÀ DIGITALE 1 Ing. Angelo Cavallaro AC2 sr.l.-anorc angelocavallaro@ .it

2 AGENDA Introduzione Identità Fisica e Digitale Aspetti normativi Strumenti per l Identità Digitale SPID Firma Digitale PEC Conclusioni ed opportunità nuove 2 esigenze nuove figure

3 INTRODUZIONE Perché occuparsi di identità digitale (ID)? Evoluzione dei servizi della PA (PAL e PAC) Evoluzione dei servizi delle aziende private Cosa comporta l assunzione di identità digitali (ID)? Assicurare un identità certa sui servizi telematici Aderenza ad un assetto normativo specifico Riferimento a standard tecnologici consolidati Attenzione sia agli aspetti tecnologici che agli aspetti normativi! 3

4 IDENTITÀ FISICA E DIGITALE Primo concetto da chiarire: L ID non è la semplice trasposizione elettronica di quella fisica I concetti fondamentali: Definizione di identità personale Definizione di identità digitale Descrizione del processo tecnologico di identificazione 4

5 CHE COS È L IDENTITÀ PERSONALE l'insieme dei caratteri fisici e psicologici che rendono una persona quella che è, diversa da ogni altra. l'identità personale descrive il complesso della personalità, che differenzia un individuo da tutti gli altri. Elementi costitutivi sono quelli che consentono di individuare e distinguere una persona all'interno della collettività (Garzanti) l elemento caratterizzante di ogni persona ed è connesso alle garanzie costituzionali della tutela dei diritti fondamentali 5

6 CHE COS È L IDENTITÀ DIGITALE È la rappresentazione virtuale dell'identità reale, che può essere usata durante interazioni elettroniche con persone o macchine (Eric Norlin e Andre Durand) Nel mondo digitale le informazioni personali possono essere replicate all infinito e con infinita precisione. Questo rappresenta un fattore abilitante per accedere ad una serie di servizi ma anche un fattore critico per la tutela della privacy personale. 6

7 CHE COS È L IDENTITÀ DIGITALE L identità digitale,inoltre, viene definita come: forte, nel caso in cui vengono coinvolte un elevato numero di caratteristiche distintive della persona debole, se richiede una minor descrizione dell individuo Tre livelli di autenticazione per l ID: Sono io in virtù di qualcosa che so (something I know), es. una password, un codice Sono io in virtù di qualcosa che ho (something I have) es. un chip, una smart card, Sono io perché sono io! (something I am), riferita ai parametri biometrici, impronta, iride Si parla di autenticazione forte quando esiste una combinazione di almeno due delle precedenti soluzioni 7

8 PROCESSO DI IDENTIFICAZIONE Autenticazione: Capire quale soggetto (persona, server, postazione, terminale) sta richiedendo l'accesso a un servizio Autorizzazione: Stabilire se un'identità ha il diritto di accedere alle risorse richieste Verifica: Accertare, nel caso degli esseri umani, la validità dei tratti caratteristici Dal punto di vista tecnico, le caratteristiche di una identità digitale possono essere distribuite 8

9 ASPETTI NORMATIVI Un po di chiarimenti (??) sulla semplificazione amministrativa di cui a parte l ID : Il Codice dell Amministrazione Digitale (CAD), Dlgs 235/2010, Dlgs 82/2005 Codice della Privacy (Dlgs. 196/2003, allegato B) Deliberazione CNIPA del 19 febbraio 2004 n. 11 (regole conservazione) DPR 11 febbraio 2005 n. 68 (Posta Elettronica Certificata) Agenda Digitale Italiana (ADI), Decreto Crescita anno 2012, Semplifica Italia Agenzia per L italia Digitale (AgID,, exdigpa,excnipa,exaipa), decreto sviluppo del 2012 DPCM 22 febbraio 2013 (Regole tecniche in materia di generazione apposizione e verifica delle firme elettroniche avanzate, qualificate e digitale, Pubblicato in GU 21 maggio 2013). Decreto del Fare ( Agosto 2013) tanta normativa per SEMPLIFICARE!! (e siamo ancora in attesa di alcune regole tecniche ) 9

10 AGENDA DIGITALE ITALIANA Ricalca, adattandoli, i sette pilastri indicati dalla Commissione europea: 1.Identità digitale e servizi innovativi per i cittadini: carta di identità e tessera sanitaria elettronica; anagrafe unificata, archivio delle strade, domicilio digitale e posta elettronica certificata obbligatoria per le imprese. 2.Amministrazione digitale: dati e informazioni in formato aperto e accessibile compresi quelli della pubblica amministrazione, biglietti di viaggio elettronici, sistemi digitali per l acquisto di beni e servizi, trasmissione obbligatoria dei documenti via Internet. 3.Servizi e innovazioni per favorire l istruzione digitale: certificati e fascicoli elettronici nelle università, testi scolastici digitali. 4.Misure per la sanità digitale: fascicoli sanitari elettronici, prescrizioni mediche digitali. 5. Forte impulso per la banda larga e ultralarga. 6.Moneta e fatturazione elettronica: pagamenti elettronici anche per le pubbliche amministrazioni, utilizzo della moneta elettronica. 7.Giustizia digitale: notifiche e biglietti di cancelleria dei tribunali per via elettronica, modifiche alla legge fallimentare per procedere in via telematica, ricerca e incentivi per società attive nelle nuove tecnologie. 10

11 CODICE DELL AMMINISTRAZIONE DIGITALE (CAD) In vigore, dal 25 gennaio 2011, il nuovo CAD, il Codice dell'amministrazione Digitale (Decreto legislativo n. 235/2010) costituisce il pilastro su cui si basa il processo di rinnovamento della Pubblica Amministrazione, insieme al Decreto legislativo n. 150/2009 che ha introdotto nella PA principi di meritocrazia, premialità, trasparenza e responsabilizzazione dei dirigenti. Il nuovo CAD rinnova il quadro normativo in materia di amministrazione digitale definito nel 2005 con il Decreto legislativo n. 82, aggiornando le regole di riferimento rispetto a un panorama tecnologico in evoluzione. 11

12 CODICE DELL AMMINISTRAZIONE DIGITALE (CAD) Validità dei documenti indipendenti dal supporto (artt quater) Validità dei documenti informatici (art. 22,23) Conservazione digitale dei documenti (art 43-44) PEC (art. 6 e 65) Siti Pubblici e trasparenza (art.54) Moduli online(art. 57) Trasmissione delle informazioni via web (art.58) Comunicazione tra imprese e amministrazioni (art. 5) Accesso ai servizi ( art 64 e 65) Firme (art 1 e 28) Sicurezza digitale (art. 51) Open data (art 52 e 68) 12

13 DECRETO CRESCITA 2.0 Il Decreto Crescita 2.0 apre nuovi scenari, il d.l. n.179 del 2012, così come modificato dalla legge di conversione n. 221 del 2012, ha introdotto il c.d. Sistema Unificato d Identità Digitale composto da: il documento digitale unificato, in sostituzione sia della Carta d identità sia della Tessera sanitaria (art. 1 del D.L. 179/2012); l Anagrafe Nazionale della Popolazione Residente prevista nel nuovo art. 62 del CAD; il domicilio digitale per il cittadino e per le imprese (INI-PEC). Il Sistema Unificato d Identità Digitale si propone, quindi, come il risultato dell interazione di una serie di tecnologie e innovazioni, quali la firma digitale, la PEC, il domicilio digitale, il documento digitale e l Anagrafe Nazionale della 13 Popolazione Residente

14 DECRETO DEL FARE Con la legge n. 98 del 9 Agosto 2013, il Governo Italiano ha introdotto all art. 17-ter ilservizio Pubblico di Identità Digitale (SPID). Il risultato è un Decreto che, a differenza del passato, non entra nei dettagli tecnici, ma definisce uno schema generale che servirà di supporto alla creazione dell ecosistema delle Identità Digitali. Tutti i siti della PA dovranno adeguarsi ai sistemi di Identificazione Elettronica previsti dall art. 64 del CADigitale. Tutti quei siti che oggi non permettono l accesso tramite CIE o CNS, potranno consentire l accesso tramite SPID. Poiché SPID è neutro rispetto ai sistemi di autenticazione, le CIE e le CNS potranno essere utilizzate, fornendo così all amministrazione un unico sistema di accesso che copre sia i sistemi già implementati, che quelli futuri. 14

15 GOVERNO RENZI Creato lo statuto di AgID i nodi subito da sciogliere Quale governance? eventuale ministro o sottosegretario dedicato. Fatturazione elettronica: dal 6 giugno è obbligatoria per le Pa centrali. E' importante dare continuità al lavoro della Presidenza per aiutare le aziende e gli enti a adeguarsi e poi per ultimare il decreto che estenderà l'obbligo alle Pa locali da giugno Anagrafe unica. E' un nodo centrale per i grandi database pubblici che sovraintendono a identità e servizi digitali per il cittadino. Si attendono decreti attuativi per far partire questa rivoluzione e ultimarla nella seconda metà del 2015 almeno per l'anagrafe della popolazione residente. Identità digitale. Si prevedeva che il decreto attuativo e il regolamento dell'agenzia doveva partire a maggio, per avviare il tutto a inizi Banda larga e fondi per l'agenda digitale. Serve un coordinamento nazionale per utilizzare al meglio quelli europei, come detto anche dal Rapporto Caio. Per un coordinamento è importante una governance politica forte. Ci sono tanti altri fronti dell'agenda che sono già in ritardo e devono essere condotti in porto con fondi e decreti attuativi tra cui regole tecniche. 15

16 STRUMENTI PER ID Il tema dell ID è stato più volte identificato come unodei pilastridell AgendaDigitale, in quanto, l uso di ID sicure permetterà di aumentare la fiducia dei cittadini nei servizi Internet, ivi inclusi i sistemi di pagamento online, Facilitare l accesso ai servizi e abilitando una serie di nuove funzionalità utili sia per i portali della PA, Anche per i servizi offerti dai privati, come l e-commerce. L uso di un sistema pubblico di Identità Digitale consentirà di contrastare in maniera molto efficace i fenomeni criminali e in particolare il Furto d Identità e l impersonificazione, L Identità Digitale come concepita in SPID consentirà un aumento della tutela della Privacy, visto che verranno notevolmente ridotti gli archivi contenenti dati personali. 16

17 STRUMENTI PER ID Un sistema di ID non va confuso con la CID (carta di identità digitale): L ID è qualcosa che stanno adottando i principali Paesi al mondo in termini di evoluzione dei sistemi di amministrazione e cittadinanza digitale e costituisce uno dei principali punti dell Agenda Digitale; si basa su di un sistema di credenziali associate ad una identificazione certa della persona che, una volta spese nell accesso ad un sito Internet, sono in grado di assicurare la imputabilità certa ad una persona, fisica o giuridica, delle azioni svolte sul sito. L identità verificata attraverso documenti è invece cosa diversa e coinvolge profili anagrafici e di pubblica sicurezza (es. l espatrio). Ciò non toglie che l identità digitale può divenire un veicolo che trasporta digitalmente i dati dei nostri documenti ed altri attributi della nostra persona, quale, ad esempio, il nostro status professionale, utile ad accedere al sito di una associazione che raggruppa chi è parte di una certa categoria di lavoratori o professionisti. In sostanza, con l identità digitale, si ottiene l identità da un terzo, provider di identità, il quale si occupa poi di confermare ai siti sui quali l identità viene utilizzata che chi accede ha una certa identità ed ha titolo di accedere al sito, senza rivelare nessuna informazione oltre il necessario. L identità digitale nel sistema nazionale sembra venire prevista come spendibile 17 ex lege verso tutte le Pubbliche Amministrazioni.

18 STRUMENTI PER ID L Identità Digitale è dunque l insieme delle informazioni che ci permette di accedere a servizi digitali di qualsiasi natura. Ci permette di essere riconosciuti, di proteggere il nostro accesso e i nostri dati. Lo standard ISO parte 1 la definisce come un insieme di attributi relativi ad una entità (persona fisica, persona giuridica, sistema, oggetto, ecc.). Questi attributi possono essere informazioni personali (Nome, Cognome, data di nascita), informazioni relative al nostro profilo (indirizzo di , consenso privacy, abilitazioni a servizi, ecc.). Tra gli attributi, ve ne sono alcuni speciali denominati credenziali: sono utilizzati per poter accedere in modo sicuro ai sevizi. La forma più semplice e conosciuta di credenziale è la Password, ma negli ultimi anni si sono diffusi sistemi molto più affidabili e sicuri, dalle One Time Password (OTP) alle Smart Card, dalle App di sicurezza ai sistemi biometrici. 18

19 STRUMENTI PER ID Normalmente ogni servizio o sistema informativo ha il suo sistema di Identità. E per questo motivo che ogni qual volta accediamo ad un nuovo servizio, ci viene richiesto di registrarci e di fornire una credenziale (Password) per proteggere il nostro profilo. Con questo sistema negli ultimi anni abbiamo assistito ad una esplosione di profili. S e in linea teorica ogni servizio dovrebbe essere protetto con una password diversa, la quasi totalità degli utenti sceglie sempre la stessa password, che spesso coincide con la password utilizzata per l accesso all (o il sistema di recupero delle credenziali). Questo fa si che l sia diventata di fatto un sistema di identità digitale, una sorta di Portachiavi digitale, facilissimo da violare, come è dimostrato dalla crescita esponenziale dei furti di identità. A dimostrazione della gravità della situazione, il rapporto Verizon su Cyber Security del 2012 mostra che trai le sei prime tipologie di attacco, cinque riguardano il furto o la violazione di identità digitale.. 19

20 SPID SERVIZIO PUBBLICO DI IDENTITÀ DIGITALE Parte dall analisi dei progetti portati avanti da altri paesi come gli Stati Uniti (con il framework NSTIC), l Inghilterra, l Estonia, la Svezia e l Azerbaijan, che ha portato ad un sistema innovativo che rispettasse le regole non scritte del Digitale e le aspettative degli utenti, che prediligono servizi semplici e diretti. Il risultato ottenuto un Decreto che, a differenza del passato, non entra nei dettagli tecnici, ma definisce uno schema generale che servirà di supporto alla creazione dell ecosistema delle identità Digitali. 20

21 SPID 21

22 SPID ATTORI DEL SISTEMA L attore più importante è il cittadino, il quale potrà ottenere una o più ID, diventando difatto una sorta di Passaporto Digitale con alcune informazioni obbligatorie (CF, Nome e Cognome, data e luogo di nascita e il sesso) e altre di carattere informativo ( , telefono) utili per comunicare vs il soggetto titolare; l ID sarà collegata ad una o più credenziali per l accesso sicuro ai servizi Secondo attore è il Gestore dell Identità, soggetto pubblico o privato, accreditato presso AgID, si occuperà di creare e gestire le ID Terzo Attore, Gestori di Attributi qualificati, ovvero soggetti che per legge sono titolati a certificare alcuni attributi specifici (titoli di studio, abilitazioni professionali) Quarto Attore, Gestori di servizio, ovvero le PA o soggetti privati che decideranno di aderire a SPID 22

23 SPID OTTENERE UNA ID il cittadino che desidera ottenere una ID si dovrà rivolgere ad uno dei Gestori di Identità Digitale accreditati. Il Gestore per poter fornire una Identità Digitale dovrà procedere con un riconoscimento forte del cittadino, attraverso una verifica devisu. La verifica da parte del Gestore prevederà anche il controllo in tempo reale della coerenza degli attributi sull ANPR, l Anagrafe Nazionale della Popolazione Residente. Questo permetterà a tendere di rendere praticamente impossibili tentativi di creazione di Identità con attributi non corretti. Nel caso in cui il cittadino disponga già di una Identità DigitalSPID, oppure già in possesso di una Carta d Identità Elettronica attiva o di una Carta Nazionale dei Servizi o di una Tessera Sanitaria con Carta Nazionale dei Servizi, potrà richiedere un Identità SPID direttamente on-line Al momento della creazione dell Identità Digitale, il cittadino verrà fornito di una o più credenziali di sicurezza. Queste credenziali dipenderanno dal sistema di autenticazione offerto dal Gestore di Identità Digitale. La grande innovazione è che SPID non prevede a priori uno specifico sistema di autenticazione, bensì consente al Gestore di Identità Digitale di fornire vari sistemi sulla base delle ultime evoluzioni tecnologiche 23

24 SPID Sistemi di autenticazione a più livelli (rif standard ISO/IEC 29115:2013): il primo livello di SPID prevede sistemi di autenticazione ad un fattore, come ad esempio una password il secondo livello il gestore dell identità digitali rende disponibili sistemi di autenticazione informatica a due fattori, non basati necessariamente su certificati digitali le cui chiavi private siano custodite su dispositivi che soddisfano i requisiti di cui all Allegato 3 della Direttiva 1999/93/CE del Parlamento europeo, come ad esempio le One Time Password o sistemi di autenticazione basati su App. Nel terzo livello, il gestore dell identità digitale rende disponibili sistemi di autenticazione informatica a due fattori basati su certificati digitali, le cui chiavi private siano custodite su dispositivi che soddisfano i requisiti di cui all Allegato 3 della Direttiva 1999/93/CE del Parlamento europeo, come ad esempio le Smart Cart e le SecureSIM. Questo schema permette un grande livello di flessibilità, sia perché i Gestori di Identità Digitale potranno optare per lo stesso livello di sistemi di Autenticazione di tipo diverso, sia perché vi sarà la possibilità di far evolvere 24 nel tempo i sistemi di Autenticazione sulla base delle nuove tecnologie messe a disposizione dal mercato.

25 SPID Considerazioni finali L Identità Digitale come concepita in SPID consentirà un aumento della tutela della Privacy, visto che verranno notevolmente ridotti gli archivi contenenti dati personali. sebbene l ID, così concepita contenga una serie di informazioni sul cittadino, SPID risponde al principio di condivisione minima degli attributi. Il Gestore dell Identità Digitale fornirà le informazioni sul Cittadino solamente previo consenso esplicito dello stesso. Nel caso contrario nessuna informazione sarà fornita SPID potrà essere utilizzato anche solo per la verifica delle credenziali, fornendo quindi anche un servizio di Pseudonomity. Tutti i siti della Pubblica Amministrazione dovranno adeguarsi ai sistemi di Identificazione Elettronica (tralaltro previsti dall art. 64 del Codice dell Amministrazione Digitale). Tutti quei siti che oggi non permettono l accesso tramite Carta d Identità Elettronica o Carta Nazionale dei Servizi, potranno consentire l accesso tramite SPID. Poiché SPID è neutro rispetto ai sistemi di autenticazione, le CIE e le CNS potranno essere utilizzate, fornendo così all amministrazione un unico sistema di accesso che copre sia i sistemi già implementati, che quelli futuri. 25

26 FIRMA ELETTRONICA Aspetti tecnici Crittografia Impronta digitale Firma Digitale FD Public Key Infrastructure - PKI Marca Temporale Formati PDF, P7m, XML 26

27 CENNI DI CRITTOGRAFIA La crittografia è la disciplina che studia la trasformazione di dati allo scopo di nascondere il loro contenuto semantico, impedire il loro utilizzo non autorizzato, o impedire qualsiasi loro modifica non rilevabile. Le tecniche crittografiche più largamente conosciute sono quelle che permettono di ottenere riservatezza in una trasmissione, codificando messaggi in modo che soltanto i legittimi destinatari siano in grado di decodificarli. Tali tecniche forniscono algoritmi per cifrare una stringa di bit, detta anche testo in chiaro, ottenendone una seconda, detta anche testo in cifra, in modo che soltanto gli utenti 27 autorizzati siano in grado di decifrarla, grazie al possesso di opportune informazioni.

28 CENNI DI CRITTOGRAFIA In passato (Crittografia classica) l'unico modo per garantire la segretezza dei dati era l'utilizzo delle tradizionali tecniche di codifica. Tale approccio prevede l'esistenza di una coppia di funzioni di trasformazione di dati, l'una inversa dell'altra, implementate da un algoritmo di codifica ed un algoritmo di decodifica. 28

29 CENNI DI CRITTOGRAFIA La crittografia moderna adotta tecniche dove un algoritmo di codifica (cifratore) trasforma una sequenza di bit M in una sequenza M utilizzando una sequenza di bit K, detta chiave di cifratura, ed un algoritmo di decodifica (o decifratore) che, nota una seconda chiave K, detta chiave di decifratura, decodifica la sequenza M ottenendo nuovamente M. 29

30 CENNI DI CRITTOGRAFIA Gli algoritmi di cifratura e decifratura sono tali da rendere impossibile il recupero del messaggio originale M od anche soltanto di parte di esso senza la conoscenza della chiave K, ove la parola impossibile in questo contesto va intesa nel senso di non praticabile, come verrà chiarito in seguito. Questo tipo di approccio ha rivoluzionato il modo di procedere tradizionale. Infatti con la crittografia, oggi, gli algoritmi di trasformazione possono essere pubblicamente disponibili, mentre la sicurezza delle informazioni si appoggia completamente alla segretezza delle chiavi di cifratura e decifratura. 30

31 CENNI DI CRITTOGRAFIA All'interno degli algoritmi crittografici distinguiamo: algoritmi simmetrici, caratterizzati dal fatto che la chiave K di decifratura è calcolabile da quella di cifratura K e viceversa (Data Encryption Standard DES, Triplo DES TDES, Advanced Encryption Standard AES) algoritmi asimmetrici, caratterizzati dal fatto che le due chiavi sono diverse, ed inoltre o risulta impossibile calcolare K da K, o risulta impossibile calcolare K da K. (RSA, DSA) 31

32 IMPRONTA DIGITALE(HASH) La funzione di Hash è un processo di trasformazione dei bit, che si differenzia dagli algoritmi crittografici finora trattati. Un qualsiasi messaggio elaborato tramite funzione di Hash restituisce una stringa di bit di lunghezza fissa, detta message digest (impronta digitale). Tale impronta rappresenta una sorta di riassunto, o sintesi matematica, del messaggio. 32

33 IMPRONTA DIGITALE (HASH) Le proprietà che caratterizzano la funzione di Hash e che la rendono crittograficamente sicura : è applicabile a qualsiasi sequenza di dati di qualsiasi tipo e dimensione; il risultato della sua applicazione è una stringa di bit di dimensione fissa indipendente dalla dimensione del messaggio originale; la variazione di un solo bit del messaggio originale comporta la variazione dell intero digest; è una funzione a senso unico (one way), cioè risulta impossibile risalire al messaggio originale partendo dal digest; è una funzione senza collisioni (collision free), nel senso che è impossibile trovare due messaggi diversi tra loro che restituiscano lo stesso digest 33

34 IMPRONTA DIGITALE (HASH) una veloce panoramica sugli algoritmi che la funzione di Hash utilizza: MD5 (Message Digest 5): è un algoritmo sviluppato dai laboratori RSA che fornisce digest di 128 bit; SHA (Secure Hash Algorithm): chiamato anche Secure Hash Standard è un algoritmo pubblicato dal Governo degli Stati Uniti che produce digest di 160 bit; SHA-1: è la versione migliorata del precedente algoritmo. Produce anch esso digest di 160 bit, SHA-2: digest più lungo (SHA-224, SHA-256, SHA-384 e SHA-512) con digest da 224 bit a 512 bit 34

35 FIRMA DIGITALE La firma digitale è una tecnologia matematico-informatica che consente la creazione e la gestione di documenti informatici sicuri, ovvero documenti dei quali sia possibile attribuirne la provenienza soggettiva e verificarne l integrità del contenuto dal momento della loro formazione. Alla base del processo di firma digitale troviamo due concetti già noti, che sono la crittografia asimmetrica e la funzione di Hash. crittografia asimmetrica, si sfrutta l algoritmo a chiave di decifratura pubblica: un documento viene cifrato con la chiave privata del mittente consentendo sempre la sua piena identificazione. funzione Hash invece consente di rendere la cifratura più semplice e veloce, viene cifrata l impronta (digest) di lunghezza fissa. 35

36 FIRMA DIGITALE si realizza la firma digitale di un qualsiasi documento informatico 36

37 FIRMA DIGITALE Come si realizza la verifica della firma di un qualsiasi documento informatico: 37

38 FIRMA DIGITALE La firma digitale così ottenuta lega l entità, che detiene l uso esclusivo della chiave privata, ai dati, tramite l impiego del digest. Infatti ogni firma, anche se apposta con la stesa chiave privata, è unica e diversa in relazione ad un diverso documento. Questo tipo di firma offre tutte le garanzie di sicurezza di una normale firma autografa, portando in più due vantaggi fondamentali: è più difficile da falsificare: in quanto si dovrebbe entrare in possesso della chiave privata del mittente; garantisce l integrità del documento: la modifica anche di un solo bit del documento comporta la variazione dell intero digest. 38

39 PROBLEMA DELL IDENTITÀ L utilizzo dell algoritmo di firma digitale garantisce che un documento sia stato firmato con una determinata chiave privata Questo non dice nulla sull AUTORE della firma, se non si è a conoscenza in modo certo della chiave pubblica di una persona Non c è un modo sicuro di scambiarsi le chiavi pubbliche, se non out-of-band (di persona e mediante supporto idoneo) Lo scopo di una PKI (Public Key Infrastructure) è di garantire l associazione chiave pubblica-mittente su una scala più vasta 39

40 COME FUNZIONA UN PKI Per poter garantire l associazione tra un soggetto e una determinata chiave pubblica è necessario utilizzare una terza parte fidata che autentichi la chiavi pubblica Questa terza parte viene chiamata certification authority (CA) La CA rilascia un certificato digitale che contiene alcune informazioni sull utente che l ha richiesto, tra cui la chiave pubblica dell utente Il certificato è firmato digitalmente dalla CA In questo modo, pur di ottenere in maniera sicura la chiave pubblica della CA, possiamo ottenere garanzie su una molteplicità di soggetti 40

41 CERTIFICATO DIGITALE 41

42 CERTIFICATO DIGITALE 42

43 CERTIFICATO DIGITALE 43

44 CERTIFICATO DIGITALE STANDARD X.509 Lo standard associa un DN (distinguished name, identificatore di una entry) ad una chiave pubblica La struttura di un certificato X.509 è numero di versione del certificato serial number del certificato (un numero diverso da quello di tutti gli altri certificati) chiave pubblica DN della certification authority che ha rilasciato il certificato periodo di validità DN del proprietario del certificato tipo di certificato(client, server, ) firma digitale della CA 44

45 CERTIFICATO DIGITALE STANDARD X

46 CERTIFICATO DIGITALE STANDARD X

47 RILASCIO DI UN CERTIFICATO L utente prova la propria identità alla CA (ad esempio mostrando un documento) L utente crea una coppia di chiavi (pubblica e privata) e conferisce la pubblica alla CA in modo sicuro; a volte per generare e contenere la chiave privata viene utilizzata una smart card La CA crea un certificato digitale, che contiene la chiave pubblica dell utente ed i dati identificativi Il certificato digitale è firmato elettronicamente con la chiave privata della CA In questa sequenza di operazioni, ovviamente, il punto debole della catena è il primo (Catena e reti di Certificazioni) 47

48 FORMATI DI FIRMA 1. CAdES-Bes (Busta crittografica P7M) genera una busta crittografica nel formato CADES, ed il file di uscita ha estensione.p7m 2.XAdES (firma XML) - genera una firma xml ed il file di uscita ha estensione.xml 3.PAdES (busta crittografica PDF) - opzione disponibile solo nel caso che il file di ingresso è un PDF, genera un file firmato ed il file di uscita ha estensione.pdf 48

49 FIRMA DIGITALE ASPETTI NORMATIVI Il CAD (art.1) distingue tra diverse Firme elettroniche Firma elettronica (lett. q) - L insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica Come si può notare la Firma Elettronica è definita volutamente in termini molto generali dal Legislatore: si va, dunque, da un normalissimo PIN abbinato a una carta magnetica (es. il Bancomat) alle ormai familiari credenziali di accesso costituite da nome utente e password. Di fatto, la norma non definisce quali debbano essere le caratteristiche tecniche della Firma Elettronica né il livello di sicurezza. La neutralità tecnologica che caratterizza la definizione normativa della firma elettronica giustifica che la determinazione del valore probatorio del documento informatico su cui è apposta questa tipologia di firma sia rimessa alla decisione del giudice che dovrà tenere conto, caso per caso, delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità. 49

50 FIRMA DIGITALE ASPETTI NORMATIVI Firma elettronica avanzata (lett. q-bis) - Insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati La Firma Elettronica Avanzata, di più recente introduzione rispetto alle altre tipologie di firma, si potrebbe, attraverso una formula di sintesi, affermare che la Firma Elettronica Avanzata è una Firma Elettronica con alcune caratteristiche di sicurezza aggiuntive. Esempio la firma sui tablet 50

51 FIRMA DIGITALE ASPETTI NORMATIVI Firma elettronica qualificata (lett. r) - Un particolare tipo di firma elettronica avanzata che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma. Certificato qualificato: Insieme di informazioni che creano una stretta ed affidabile correlazione fra una chiave pubblica e i dati che identificano il Titolare. Sono certificati elettronici conformi ai requisiti di cui all'allegato I della direttiva n. 1999/93/CE, rilasciati da certificatori che rispondono ai requisiti di cui all'allegato II della medesima direttiva. Tipico esempio è il tokeno la smartcard Firma digitale (lett. s) - Un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l integrità di un documento informatico o di un insieme di documenti informatici In questo caso, la norma richiede una particolare modalità tecnologica, quella della crittografia a chiavi asimmetriche. Come per la Firma Elettronica Qualificata il mezzo più usato è il tokeno la smartcard 51

52 FIRMA DIGITALE ASPETTI NORMATIVI Firma Digitale Valore formale e probatorio predefinito per legge Difficilmente disconoscibile Equivale alla sottoscrizione cartacea Associata alla marca temporale (particolare certificato che attesta la data di apposizione) conferisce al documento certezza giuridica Firma elettronica è genus indefinito La sua valenza formale e probatoria è relativa Può essere facilmente disconoscibile Garantisce la paternità, non sempre l autenticità 52

53 MARCATURA TEMPORALE Al fine di attribuire certezza circa il momento in cui un documento elettronico è stato sottoscritto si ricorre alla sua marcatura temporale Si tratta di un processo che consiste nella apposizione di una marca temporale ai dati binari che costituiscono la firma per provarne l'esistenza a partire da un certo istante di tempo La marca temporale è generata da un Certificatore che appone una firma mediante un apposito servizio (con specifiche chiavi) su un'evidenza che contiene data, ora, impronta del documento ed alcuni dati identificativi Le marche temporali in Italia hanno durata pari a 20 anni Apponendo una marca temporale ad una firma si può attestarne la validità per lo stesso periodo di tempo (poi le cose si complicano...) 53

54 MARCATURA TEMPORALE TSA (Time-Stamping Authority) RFC-3161: protocollo di richiesta (TSP, Time-Stamp Protocol) formato della prova (TST, Time-Stamp Token) 54

55 PEC La posta elettronica certificata (PEC) è un sistema con valore legale, basato sulla comune posta elettronica, per la trasmissione di documenti informatici La PEC è un sistema di comunicazione composto da un insieme di infrastrutture tecnologiche, di norme e di regole tecniche che consentono di attestare l'invio e l'avvenuta consegna di un messaggio di posta elettronica e di fornire ricevute opponibili ai terzi La PEC produce gli effetti giuridici disciplinati in materia dal CAD e dal DPR n.68 del 2005 Tali norme descrivono la realizzazione di un servizio erogabile esclusivamente da soggetti dotati dei requisiti soggettivi ed oggettivi individuati dalla legge 55

56 PEC L e mail tradizionale presenta alcuni limiti sul piano tecnico, non essendo in grado di garantire: integrità riservatezza certezza dell origine Sul piano giuridico presenta i seguenti problemi: mancanza di obblighi specifici per i fornitori del servizio (obblighi di prestazione, di conservazione da parte del fornitore) non opponibilità dell avvenuta spedizione e ricezione di messaggi 56

57 PEC I principi stabili dal DPR 68/05 per la PEC Ambito di utilizzo: all interno delle P.A., nei rapporti tra pubbliche amministrazioni e privati e nei rapporti tra privati disciplina della figura del gestore del servizio contenuti probatori della trasmissione del documento informatico e la disciplina delle ricevute Il valore dell invio e della ricezione della posta elettronica [Art. 3]: a)il documento, trasmesso per via telematica, si intende spedito dal mittente se inviato al proprio Gestore b)il documento si intende consegnato al destinatario se disponibile all'indirizzo elettronico da questi dichiarato, nella casella di PEC messa a disposizione dal suo Gestore 57

58 PEC 58

59 PEC MESSAGGI PEC a) Ricevute: 1. Accettazione (attesta l invio con i dati di certificazione) 2. Avvenuta consegna (attesta la consegna con i dati di certificazione e, su richiesta il messaggio originario) 3. Presa in carico (attesta il passaggio di responsabilità al gestore) b) Buste 1. Trasporto (contiene il messaggio originale, i dati di certificazione e la firma del gestore) 2. Anomalia (contiene il msg errato/esterno e la firma del gestore) c) Avvisi 1. Non accettazione (errori formali o virus) 2. Mancata consegna (superam. Tempo massimo o virus) 3. Virus (rilevamento virus) 59

60 PEC Conservazione dei messaggi PEC I gestori hanno l'obbligo di conservare i log per 30 mesi Un messaggio PEC è un documento elettronico e l'opponibilitàa terzi dipende dalla conservazione, insieme al messaggio di ricevute e buste È perciò necessario sottoporre a conservazione sostitutiva i messaggi PEC per mantenere nel tempo le proprietà legali La conservazione deve essere integrale (incluse buste e firme) 60

61 SCOPO DELLA NORMATIVA La paternità (Firme elettroniche o altri sistemi di identificazione) L integrità (Firma Digitale/Firma Elettronica Qualificata e FEA) La trasmissibilità informatica (PEC o SPC o EDI) la corretta gestione (archiviazione elettronica) La memorizzazione digitale nel tempo (Firma Digitale, Marca Temporale e Procedure di Sicurezza) Nota: duplice funzione della FD 61

62 CONCLUSIONI Perchè un professionista dell ITC deve conoscere queste problematiche? Quadro normativo in divenire Nuove Opportunita nuove figure introdotte nel CAD Adeguamento Servizi online delle PAL e PAC e aziende private Nuovi servizi ONLINE Opportunità di crescita professionale 62

63 CONCLUSIONI Nuove (e vecchie) Figure Professionali previste nel CAD Responsabile del procedimento di conservazione Responsabile del trattamento dei dati personali Responsabile della continuità operativa Altre figure in divenire: Data protection officer (adeguamento europeo) Figura dedicata alla gestione ed erogazione dei servizi informatici 63

64 GRAZIE PER L ATTENZIONE! Ing. Angelo Cavallaro angelocavallaro@ .it 64