Benvenuti. Luca Biffi, Direttore Supporto Tecnico di Achab Achab techjam Gateway PEC per MDaemon

Transcript

1 Benvenuti Luca Biffi, Direttore Supporto Tecnico di Achab Achab techjam Gateway PEC per MDaemon

2 Protocolli di sicurezza per la posta elettronica... inclusa la PEC Achab 2

3 Agenda Acronimi Limiti della posta tradizionale Sicurezza della posta elettronica Posta certificata Gateway Pec per MDaemon Domande e risposte Achab 3

4 Avete chiari questi acronimi? ESMPT: estensione del protocollo SMTP che aggiunge ulteriori comandi al protocollo base SMTPS: variante di SMTP, che crea un canale di comunicazione criptato attraverso lo scambio di certificati in modo da garantire l'identità delle parti e la riservatezza dei dati PGP: Pretty Good Privacy è un programma che permette di usare autenticazione e privacy crittografica. PKCS: Public-Key Cryptography Standards, sono delle specifiche prodotte dai laboratori della RSA inc., per incrementare l'uso della tecnica di cifratura a chiave Asimmetrica. Standard usato in molti applicativi quali S/MIME e SSL. S/MIME: Secure Multipurpose Internet Mail Extensions) è uno standard per la crittografia a chiave pubblica e per la firma dei messaggi di posta elettronica che si inserisce all'interno delle specifiche di MIME. SMTP-S S-MIME SSL ESMPT TLS PKCS PGP STARTTLS PEC SSL: Secure Sockets Layer, è un metodo crittografico sviluppato da Netscape per dare sicurezza su Internet. Supporta diversi protocolli crittografici, e fornisce autenticazione del client e del server TLS: Transport Layer Security, è il successore di SSL del quale ne colma alcuni problemi di sicurezza insiti nel protocollo. STARTTLS: estensione del protocollo Smtp per la sicurezza nella comunicazione server-client a livello di trasporto (TCP) utilizzando il protocollo TLS. Permette l'autenticazione reciproca server-client PEC: Posta Elettronica Certificata, è un sistema per parificare una a una raccomandata cartacea con ricevuta di ritorno Achab 4

5 La posta tradizionale SMTP SMTP Internet POP3 Mittente Destinatario Limiti dei protocolli tradizionali: SMTP non usa l autenticazione; la password POP3 è in chiaro; le viaggiano in chiaro. Achab 5

6 Sicurezza del server di posta elettronica Abuso del server di posta; abuso del dominio di posta; protezione dallo SPAM; protezione dai virus; attacchi DOS. Achab 6

7 Sicurezza della comunicazione Livello rete Livello trasporto Livello applicazione Achab 7

8 Requisiti di sicurezza desiderati Riservatezza; o protezione della privacy Autenticazione; o Del mittente del messaggio Integrità; o Protezioni da modifiche Non-ripudiabilità dell origine; o Il mittente non deve poter negare l invio del messaggio Valore legale. Achab 8

9 Sistemi per la sicurezza della comunicazione Certificati digitali; firme digitali; crittografia; protocolli di trasporto sicuri; posta certificata. Achab 9

10 Certificato digitale (1) Serve per verificare l'identità dei corrispondenti; erogato da una CA (Certificate Authority) fidata; associato univocamente ad un individuo; composto da due parti: o Chiave pubblica o Chiave privata; hanno valore legale e sono riconosciuti dalla normativa italiana grazie al D.P.R. 455/2000; uso limitato da parte degli utenti; MDaemon li supporta. Achab 10

11 Certificati digitali (2) Per esaminare i certificati installati sulla vostra macchina e le autorità certificate di cui vi fidate: IE > Strumenti > Opzioni Internet > Contenuti > Certificati Achab 11

12 Firma digitale (1) Attesta la provenienza del messaggio (non ripudiabilità); assicura che il messaggio non è stato alterato (integrità); basata sulla tecnologia della crittografia a chiave pubblica (PKI); generata dal software di posta con la vostra chiave privata; consente anche di crittografare le ; ha in Italia anche un'accezione giuridica. Achab 12

13 Firma digitale (2) Come funziona chiave privata mail server mittente chiave pubblica DNS? mail box destinatario mail server destinatario Achab 13

14 Firma digitale (3) Quali sistemi PGP; S/MIME; DKIM (solo firma digitale). Achab 14

15 Firma digitale (4) Differenze tra firma digitale e firma convenzionale Achab 15

16 PGP E un programma di crittografia a chiave pubblica che utilizza RSA, IDEA e MD5 per firmare e crittografare i messaggi; comprende 5 servizi o Autenticazione o Segretezza o Compressione o Compatibilità con la posta elettronica o Segmentazione; si basa su due RFC: o RFC 1991: PGP Message Exchange Formats o RFC 2015: MIME Security with Pretty Good Privacy. Achab 16

17 S/MIME (1) Standard per la crittografazione e firma dei messaggi di posta elettronica. Utilizza RSA, RC2 e MD5 per la crittografazione e firma e certificati digitali nel formato X.509; il servizio di mail definito originariamente nella RFC822 era concepito per il trasporto esclusivo di testi, mediante il protocollo SMTP; MIME è un estensione di RFC822 per porre rimedio ad alcuni problemi di SMTP: o Incapacità di trasmettere file binari o Incapacità di trasmettere caratteri internazionali (solo o caratteri a 7 bit) o Limite sulla dimensione dei messaggi o Problemi sulla formattazione dei testi; S/MIME o Aggiunge specifiche di sicurezza a MIME o Supportato in diversi clients: MS Outlook, Netscape, etc... Achab 17

18 S/MIME (2) Servizi di S/MIME enveloped data o Contenuto criptato con in allegato la chiave; signed data o Messaggio + hash criptato con chiave privata, il tutto codificato base64; clear-signed data o Messaggio + (hash criptato e codificato base64); signed & enveloped data o Combinazione di firma e crittografia. Achab 18

19 Differenze tra PGP e S/MIME Contenuto certificati PGP chiave pubblica, indirizzo di e "grado di fiducia" S/MIME Pienamente estendibile, può includere qualunque informazione Struttura CA Web of trust Gerarchica Relazione CA - Utente L'utente deve fidarsi di almeno una Ogni utente è la propria CA. Si può CA. Le CA possono controllare assegnare un "grado di fiducia" agli come viene delegata la loro fiducia altri soggetti (altre CA). nei soggetti e nelle altre CA Convalida certificati Una volta che un certificato è aggiunto ad un keyring, è valido fino ad esplicita revoca: non esiste data di scadenza Offline. Previste estensioni per una convalida online Revoca certificati La revoca viene comunicata personalmente, non esistono CRL Meccanismi sofisticati di CRL. Estensioni per metodi online Achab 19

20 Crittografia Livello aggiuntivo di sicurezza; crittografia trasformerà la vostra in un insieme confuso di numeri e lettere che possono essere lette solo dal destinatario corretto; in alcune nazioni la crittografia è illegale; anche la crittografia ricorre al meccanismo delle chiavi pubbliche/private utilizzando i certificati digitali o S/MIME e PGP. Achab 20

21 Protocolli sicuri (1) IPSec; SSL; TLS; STARTTLS. Achab 21

22 IPSec Standard per ottenere connessioni basate su reti IP sicure; sicurezza ottenuta attraverso la cifratura e l'autenticazione dei pacchetti IP; protocollo trasparente al livello delle applicazioni che non devono essere modificate; maggiori dettagli: progettato per rendere sicure sia comunicazioni portal-toportal sia comunicazioni end-to-end. L'uso predominante di IPsec è la creazione di VPN. Achab 22

23 SSL Sviluppato da Netscape Communications Corporation; servizio di sicurezza a livello del protocollo di trasporto; fornisce le funzionalità di base per l'autenticazione server, la crittografia dei dati e l'autenticazione dei client per le connessioni TCP/IP; SSL si poggia su TCP per ottenere un servizio di trasmissione punto-punto affidabile; fornisce i servizi di sicurezza di base per i vari protocolli di livello superiore (HTTP, SMTP, ); la versione 3 è diventata uno standard Internet col nome di TLS (Transport Layer Security). Achab 23

24 TLS Come SSL, è un protocollo crittografico che permette una comunicazione sicura e una integrità dei dati su reti TCP/IP; il protocollo TLS consente alle applicazioni client/server di comunicare attraverso una rete in modo tale da prevenire il 'tampering' (manomissione) dei dati, la falsificazione e l'intercettazione; solo il server è autenticato tramite CA e firma digitale; il protocollo TLS/SSL viene descritto nella RFC-2246: ampiamente utilizzato in applicazioni quali i browser, l' , la messaggistica istantanea e il Voice over IP; Il Gateway Pec per MDaemon usa SMTP su SSL/TLS. Achab 24

25 STARTTLS Estensione del protocollo smtp per la sicurezza nella comunicazione server-client a livello di trasporto (TCP) utilizzando il protocollo TLS; permette inoltre l'autenticazione reciproca server-client; non è utilizzabile per verificare l identità del mittente; l'estensione STARTTLS per SMTP viene descritta nella RFC- 3207: supportato da MDaemon. Achab 25

26 Posta certificata (1) Parificare l alla raccomandata con ricevuta di ritorno; standard di matrice italiana; obbligatorietà della casella Pec da parte di aziende e professionisti con l articolo 16 del decreto legge anticrisi 185/2008; con la conversione del decreto legge, l'impresa od il professionista possono servirsi sì di un indirizzo di posta elettronica certificata (PEC) ma anche, in alternativa, di "un analogo indirizzo di posta elettronica basato su tecnologie che certifichino data e ora dell'invio e della ricezione delle comunicazioni e l'integrità del contenuto delle stesse, garantendo l'interoperabilità con analoghi sistemi internazionali. Achab 26

27 Posta certificata (2) Come funziona Achab 27

28 MDaemon e la Pec Acquistando solo MDaemon non posso fare il gestore Pec; necessario acquistare una casella Pec da un gestore; MDaemon può interagire con la posta Pec sia in invio sia in ricezione dalla versione 10; MDaemon supporta solo un SMTP in uscita, dunque non si presta per una soluzione mista in cui alcuni account spediscono posta normale ed altri posta Pec. La soluzione? Gateway Pec per MDaemon (Gpec) Achab 28

29 Caratteristiche di Gateway Pec per MDaemon Si installa sul MDaemon e non richiede alcuna modifica all'architettura di rete; invio posta Pec semplificato per i client Outlook/Outlook Express (un bottone nel clinet); archiviazione posta certificata (con relative ricevute) con funzionalità di ricerca; condivisione da parte di più utenti della medesima casella di Posta Elettronica Certificata; supporto multicasella Pec (anche di gestori diversi); integrazione con applicazioni legacy che devono inviare certificate (stringa nell'oggetto); Achab 29

30 Architettura del Gateway Pec per MDaemon + X SMTP Mdaemon Gpec Internet Gestore Pec + + SMTP-S GPec Achab 30

31 Amministrazione Achab 31

32 Configurazione casella Pec Achab 32

33 Archivio Achab 33

34 Plug-in client Achab 34

35 Sintesi Abbiamo imparato: Riconoscere qualche sigla riguardante la sicurezza della posta elettronica; i concetti di certificato digitale, firma digitale, crittografia e posta certificata; a distinguere alcuni protocolli per la sicurezza della comunicazione; come si lavora con la posta certificata e Gateway Pec per MDaemon. Achab 35

36 Questioni e domande? Achab 36

37 Grazie! Luca Biffi, Direttore Supporto Tecnico di Achab Achab techjam Gateway PEC per MDaemon