UNIVERSITÀ DEGLI STUDI TRENTO PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE ASPETTI TECNICI SOLUZIONI ESAMINATE E CONSIDERAZIONI

Transcript

1 UNIVERSITÀ DEGLI STUDI TRENTO PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE ASPETTI TECNICI SOLUZIONI ESAMINATE E CONSIDERAZIONI BRIONI ELEONORA D.I.T. ATI NETWORK 23 GENNAIO 2003

2 INDICE INTRODUZIONE...3 ENTRUST...4 INFOCAMERE...6 POSTECOM...6 BNL...8 INTESYS...9 2

3 INTRODUZIONE La sperimentazione in ambito di Firma Digitale in questi ultimi mesi ha preso una svolta. Infatti oltre a considerare il software Entrust, con il quale abbiamo dato inizio alla sperimentazione, stiamo esaminando altre soluzioni. Sebbene il software di firma Entrust sia il più completo da un punto di vista funzionale in quanto comprende tools per la crittografia dei dati e delle , è solo uno strumento di firma elettronica. Abbiamo quindi deciso di prendere in considerazione software per la firma digitale emessa da enti certificatori. Per il momento pensiamo che la soluzione migliore da adottare sia quella di consegnare la firma elettronica Entrust solo alle persone che devono autenticare dati per uso interno alla struttura universitaria. Invece le persone che devono interfacciarsi con l esterno useranno la firma digitale, in relazione anche con le linee guida per il protocollo informatico. Il prodotto dell Entrust è stato distribuito a 20 utenti interessati al progetto, che hanno contribuito a farne emergere pregi e difetti a livello approfondito. Gli altri software di firma digitale invece sono stati testati singolarmente. In questa relazione verranno descritti vantaggi e svantaggi dei diversi prodotti di Firma. 3

4 ENTRUST La soluzione offerta dall Entrust consiste nell installazione in proprio di un infrastruttura a chiave pubblica. La PKI è stata installata su un server Windows 2000 che comunica con il server LDAP d Ateneo people da cui importa l anagrafica degli utenti nel database Entrust; è sufficiente aggiungere sul server LDAP le seguenti object class: rfc822mailuser, entrustuser, pkiuser, organizationalperson, person. Nella fase di registrazione dell utente viene creato il certificato pubblico che in maniera totalmente trasparente viene pubblicato sul server LDAP. Il certificato pubblico serve per effettuare la verifica di una firma e per cifrare le in modo che siano leggibili solo dai destinatari. La sperimentazione del software Entrust ha comportato l installazione del prodotto lato client (Entrust Desktop Solution) a tutti i membri del NetTeam. Dalle prove effettuate si sono confermate le funzionalità del prodotto descritte nel manuale MANUALE PER L UTENTE dell Agosto Di recente abbiamo installato un server web Windows 2000 (Entrust Direct Server) con un certificato web. Alle pagine protette di questo server si accede solo tramite autenticazione Entrust. La connessione server-client avviene in modalità criptata, e quindi il flusso di dati che transitano in rete è completamente protetto. Questa soluzione è utile se si vuole implementare un sistema di modulistica da firmare on-line. Pregi: L installazione della Desktop Solution è semplice e la creazione-pubblicazione del certificato avviene in maniere trasparente all utente. I plug-in per la posta elettronica di outlook ed eudora interagiscono automaticamene con i client e non necessitano di ulteriori configurazioni. La Desktop Solution comprende una serie di tools aggiuntivi per la protezione dei dati in locale quali: True Delete, Sign-On, ICE. Accesso a pagine Web riservate. Difetti: Firma elettronica con scarso valore giuridico. 4

5 Per inviare firmate e cifrate si deve utlizzare la sintassi nome.cognome@unitn.it, sia del mittente sia del destinatario. Per inviare una mail con Outlook 2002 si deve fare una ricerca nella Directory su people dell utente. Si possono fare comunicazioni sicure solo tra utenti Entrust. Chi non ha installato Entrust non può verificare la firma elettronica. Plug-in per Messanger Netscape non si integra automaticamente con il client di posta, si devono effettuare delle configurazioni manualmente. La combinazione Windows XP / server IMAP blocca Outlook La funzione di backup del database del server funziona correttamente e automaticamente con le impostazioni temporali solo in locale. Autenticazione pagine Web riservate Prospettive future: Versione anche per Macintosh lato client (dichiarato da Entrust Italia). Modulistica on-line. Server per il timestamping. 5

6 INFOCAMERE Infocamere è un ente certificatore, quindi la firma digitale è valida a tutti gli effetti di legge. Il prodotto di Infocamere è un software solo per la firma, non comprende tools per la sicurezza dei dati in locale. Per ottenere la firma di Infocamere è necessario rivolgersi alla camera di commercio e richiedere il certificato di autenticazione e quello di sottoscrizione. All utente viene consegnata una smart card con salvato il proprio certificato di firma e il lettore, per un costo di circa 60 euro. Sul proprio computer l utente deve installare i driver per il lettore IPM, il programma di firma e verifica DIKE, il certificato di Infocamere e SysGillo per l autenticazione delle mail. Quindi importare il proprio certificato nello store di Microsoft. Il prodotto si integra con outlook express, outlook e Netscape Messanger. Pregi: Verifica della firma digitale anche per chi non ha il certificato di Infocamere. È sufficiente collegarsi al sito di Infocamere al link: Timestamp. Difetti: Supporta solo piattaforma Microsoft. Non comprende tools per sicurezza dei dati in locale. Non è possibile utilizzare il programma DIKE per la verifica di una Firma da una rete privata. 6

7 POSTECOM La sperimentazione in ambito di Firma Digitale ha comportato anche la ricerca e l acquisto dei prodotti presenti sul mercato. Purtroppo il certificato delle Poste non siamo riusciti ad averlo. Pur avendo effettuato la richiesta di Certificati, non siamo ancora stati abilitati al servizio. 7

8 BNL MultiCERTIFY è la PKI sviluppata dai laboratori BNL Multiservizi S.p.A. e offre certificati di Firma Digitale. Fornisce il certificato personale su smart card. L utente deve installare i driver per il lettore smart card Gempkcs e il software SecurSIGN per firmare e cifrare i dati in locale. Esistono i plug-in per i client di posta elettronica, ma poiché la versione che abbiamo è demo, non ci sono stati conseganti. È tuttavia possibile firmare i file in locale e spedirli per posta come allegati. Pregi: 20 certificati 1800 euro. Timestamping (1000 euro). Attivazione CA (15.500,00 euro per manutenzione dal secondo anno) presso il cliente. Difetti: Supporta solo piattaforma Microsoft. Registrazione presso sportelli di registrazione LRA a Roma. 8

9 INTESYS Da poco abbiamo preso contatti con la ditta Intesys di Verona che ci ha proposto il suo prodotto di firma elettronica e-firmo CCA. E-firmo CCA è una PKI basata su openssl, permette di gestire certificati digitali autonomamente attraverso una propria ROOT Certificatio Authority (creazione, rinnovi, revoche, gestione liste di revoca). La generazione dei certificati è basata su un meccanismo di abilitazione. L'operatore accede (in SSL) ad una interfaccia web di inserimento di anagrafica. L'anagrafica contiene un campo a cui viene spedito un avviso per la generazione del certificato. L'utente, tramite la mail, può puntare a una URL che lo guida alla generazione della coppia di chiavi (pubblica-privata) e alla certificazione della chiave pubblica da parte della CA. Attualmente sono supportati i certificati su disco fisso (o floppy) e su smartcard. La piattaforma attuale è OpenBSD, una derivazione di freebsd orientata alla security. La configurazione "normale" è in modalità outsourcing, con accesso via web senza oneri da parte del cliente ad un canone base di 5000EUR/anno fino a 500 certificati. Martedì 28 gennaio 2003 si terrà presso il D.I.T. l incontro con Intesys, in modo tale da conoscere personalmente il loro prodotto e poter valutarne pregi e difetti. 9