Regolamento per i fornitori della SuisseID

Transcript

1 Regolamento per i fornitori della SuisseID Versione 1.0c 4 novembre 2010

2 Titolo Numero standard Categoria Stadio Versione 1.0 Stato Regolamento per i fornitori della SuisseID (Governance di SuisseID) in corso di assegnazione in vigore Approvato il Data di emissione Lingua ad uso interno dell'associazione italiano c/o Segreteria di Stato dell economia SECO e-government per le PMI, Belpstrasse 18 CH-3003 Berna Scopo del documento Il presente documento che integra il documento "SuisseID Specification", contenente le specifiche tecniche definisce e illustra le principali caratteristiche di natura non tecnica della SuisseID e ne stabilisce le condizioni organizzative e normative. Esso disciplina in particolare i requisiti e le condizioni cui devono attenersi le organizzazioni che offrono la SuisseID e che in quanto tali ambiscono ad entrare a far parte dell'. Il presente regolamento rientra negli intenti di autoregolamentazione di un gruppo di fornitori di prodotti affini. In nessun caso il presente Regolamento o parti del medesimo costituiranno strumento idoneo a fondare un diritto vantato da terzi nei confronti di un fornitore.

3 Indice 1 Introduzione 1.1 La SuisseID 1.2 Documenti relativi al sistema SuisseID 2 Elementi che compongono il prodotto SuisseID 2.1 Supporto di memoria per certificati digitali con certificato di firma 2.2 Certificato di autenticazione standardizzato (IAC) 2.3 Numero SuisseID 2.4 Identity Provider Service (IdP) 2.5 Supporto tecnico 3 Requisiti dei prodotti SuisseID 3.1 Requisiti dei fornitori di prodotti SuisseID 3.2 Certificato di firma qualificato (QC) 3.3 Certificato di autenticazione (IAC) 3.4 SuisseID Identity Provider Service (IdP) 3.5 Integrazione (bundling) con altri prodotti 4 Assunzione di responsabilità da parte dei CSP 4.1 Principi 4.2 Modelli per la dichiarazione di responsabilità Allegato A Riferimenti e bibliografia Allegato B Abbreviazioni Allegato C Glossario

4 1 Introduzione 1.1 La SuisseID Con il nome SuisseID è stato definito un prodotto di certificazione digitale standardizzato, offerto da fornitori accreditati di certificati di firma a norma FiEle [1]. La definizione del prodotto SuisseID è da intendersi quale standard comune a tutti i fornitori (autoregolamentazione), nato per iniziativa e sotto la guida della SECO nell'ambito del terzo pacchetto di misure di stabilizzazione congiunturale [4] e sostenuto in questo contesto dalla Confederazione. I prodotti conformi allo standard SuisseID arricchiscono l'attuale l'offerta di carte e dispositivi muniti di certificato di firma riconosciuti ai sensi della FiEle con un ulteriore certificato di autenticazione standardizzato, un numero SuisselD univoco e un servizio per la verifica di attributi di identificazione (Identity Provider Service). In questo modo i fornitori di servizi pubblici e privati (Service Provider) possono autenticare ossia identificare in maniera sicura i propri utenti. D'altro canto, con l'ausilio di una SuisseID gli utenti potranno autenticarsi e fornire la prova della loro identità nell'ambito di uno spettro quanto più ampio possibile di applicazioni statali e private. Le specifiche della SuisseID si fondano in gran parte sulle previsioni regolamentari della FiEle [1] [2] [3]; ulteriori prescrizioni riguardano soprattutto a) il certificato di autenticazione (IAC) e come questo si presenta rispetto a un'applicazione; b) l'identity Provider Service (IdP) e le relative interfacce con cui il titolare di un certificato può richiedere un pacchetto di dati che confermi i dati identificativi personali acquisiti al momento della registrazione. Diverse caratteristiche dei prodotti di certificazione non sono espressamente regolate nell'ambito del sistema SuisseID. Le specifiche SuisseID non contengono ad esempio alcuna prescrizione per quanto riguarda la forma del token, del microchip o dell'installazione sul Client PC. Un prodotto del sistema SuisseID può inoltre essere offerto in pacchetto in associazione ("bundling") con altri prodotti. 1.2 Documenti relativi al sistema SuisseID Il sistema SuisseID prevede la seguente documentazione: a) gli statuti dell'; b) le specifiche tecniche relative alla SuisseID dal titolo "SuisseID Specification - Digital Certificates and Core Infrastructure Services", contenenti i requisiti tecnici applicabili all'intero sistema; c) il presente "Regolamento per i fornitori della SuisseID"; d) un contratto di licenza con relativi allegati per ciascun rapporto instaurato tra la Confederazione svizzera, rappresentata dalla Segreteria di Stato dell economia (SECO), in veste di proprietaria del marchio SuisseID e ciascun fornitore della SuisseID quale utilizzatore del marchio. e) le Condizioni generali e altri documenti contrattuali dei fornitori SuisseID che devono contemplare determinate clausole di responsabilità, così come definite nel regolamento.

5 2 Elementi che compongono il prodotto SuisseID Una SuisseID si compone dei seguenti prodotti e servizi: un supporto di memoria per certificati digitali con un certificato di firma ai sensi della FiEle (QC); abbinato a un certificato di autenticazione standardizzato (IAC); entrambi associati a un numero SuisseID univoco e, infine, il SuisseID Identity Provider Service (IdP). 2.1 Supporto di memoria per certificati digitali con certificato di firma I supporti conformi allo standard SuisseID destinati all'installazione dei certificati digitali contengono sempre anche un certificato di firma a norma FiEle. Due importanti motivazioni giustificano questa configurazione: da un lato sarebbe incomprensibile per l'utente acquistare un prodotto di certificazione digitale promosso dall'amministrazione statale che si rivelasse successivamente non idoneo a interagire in maniera giuridicamente vincolante nell'ambito dei rapporti elettronici instaurati con le autorità. Dall'altro non sarebbe stato altrimenti possibile effettuare il lancio della SuisseID con un grado di sicurezza ampio, collaudato e validato, nell'esiguo spazio di tempo consentito dall'urgenza dello stesso. Ciò significa che le procedure stabilite dalla FiEle per il certificato di firma (QC) valgono, in quanto applicabili, anche per il certificato di autenticazione (IAC). Anche se le disposizioni in materia di sicurezza e qualità della FiEle non si riflettono integralmente su tutti gli aspetti della SuisseID, al prodotto nella sua interezza si applicano comunque le procedure ben definite e verificate di un'azienda certificata. La SuisseID eredita in questo modo la sicurezza e l'affidabilità di cui godono gli attuali supporti per certificati digitali a norma FiEle. 2.2 Certificato di autenticazione standardizzato (IAC) La maggior parte dei supporti per certificati digitali riconosciuti ai sensi della FiEle finora utilizzati conteneva già un cosiddetto certificato avanzato per l'autenticazione e/o per altri scopi. Questi ulteriori certificati non erano mai stati finora standardizzati e ciò ha generato per lo più ingiustificatamente notevoli differenze sul piano dell'implementazione. La SuisseID colma questa lacuna adottando una specifica di dettaglio del certificato di autenticazione. 2.3 Numero SuisseID A entrambi i certificati di ogni dispositivo SuisseID è attribuito un codice numerico SuisseID univoco, non parlante che potrà essere mantenuto al rinnovo del certificato. In questo modo si semplificano i processi tra il titolare del certificato e l'applicazione allo scadere del certificato. Una persona può acquistare più SuisseID cui verrà assegnato, a scelta, il medesimo o un diverso numero SuisseID. Ciò consente all'utente di godere di una grande flessibilità oltre che di un grado di sicurezza e discrezione supplementari nell utilizzo della SuisseID, con la contestuale garanzia di veder salvaguardati al meglio gli interessi di protezione dei dati. 2.4 Identity Provider Service (IdP) Per diverse ragioni (protezione della personalità e altre) entrambi i certificati SuisseID contengono solo un numero molto limitato di attributi di identificazione. Questa configurazione è sufficiente per applicazioni nell ambito di un rapporto preesistente (ad es. servizi di internet banking) o laddove convenga effettuare un processo di registrazione (ad es. nell'accesso a un portale di e-government).

6 Tuttavia, qualora un'applicazione esiga, già al primo contatto, ulteriori attributi identificativi, questi potranno essere richiesti all'utente durante il processo di autenticazione in un dialogo standardizzato. In questo caso il titolare del certificato si autentica presso lo SuisseID Identity Provider Server (IdP), che gli sottopone per verifica gli attributi richiesti dall'applicazione. Una volta ottenuta l'autorizzazione alla trasmissione dal titolare del certificato, gli attributi verranno sottoscritti dall'idp e inviati all'applicazione. Nel server del servizio SuisseID IdP obbligatoriamente fornito dal sistema SuisseID vengono memorizzati e conservati i dati del documento d'identità utilizzato per la registrazione, senza foto e senza firma. I relativi dettagli sono contenuti nelle specifiche tecniche relative alla SuisseID. Il fornitore dei servizi di certificazione interessato acquisisce gli attributi necessari per lo SuisseID Identity Provider Service al momento della registrazione per la SuisseID e li memorizza nel server IdP. Nelle specifiche tecniche relative alla SuisseID sono descritte le procedure con cui un utente oppure un'applicazione possono richiedere dati identificativi specifici, i modi in cui l'utente ne autorizza la trasmissione e come questi vengono inviati all'applicazione. 2.5 Supporto tecnico I CSP offrono supporto ai propri clienti nell'ambito dei servizi di certificazione.

7 3 Requisiti dei prodotti SuisseID 3.1 Requisiti dei fornitori di prodotti SuisseID I dispositivi SuisseID possono essere prodotti e distribuiti esclusivamente da fornitori di servizi di certificazione (CSP) accreditati ai sensi della FiEle che si assoggettano inoltre al presente regolamento e alle specifiche tecniche. 3.2 Certificato di firma qualificato (QC) Al certificato di firma contenuto nella SuisseID si applicano senza deroghe tutte le pertinenti previsioni della FiEle e delle relative disposizioni esecutive, come anche le disposizioni contenute nel documento SuisseID Specification - Digital Certificates and Core Infrastructure Services. 3.3 Certificato di autenticazione (IAC) Con riferimento al certificato di autenticazione, il CSP si impegna ad adempiere i medesimi obblighi di diligenza che la legge pone a suo carico relativamente ai certificati di firma qualificati, come anche le disposizioni contenute nel documento SuisseID Specification - Digital Certificates and Core Infrastructure Services. Egli risponde nei confronti del titolare e dei terzi che facciano affidamento su un certificato valido per i danni che questi avessero a subire a causa del mancato adempimento di detti obblighi. 3.4 SuisseID Identity Provider Service (IdP) Per il titolare di una SuisseID l'utilizzo del SuisseID Identity Provider Service è gratuito ovvero compreso nel prezzo base della SuisseID. Il CSP è tenuto a garantire - che i dati del titolare della SuisseID siano disponibili sul server SuisseID IdP al più tardi entro la data di attivazione della relativa SuisseID e - che il contenuto delle conferme fornite dall'idp coincida con i dati acquisiti all'atto della registrazione del titolare della SuisseID. Nella gestione del SuisseID Identity Provider Service dovranno essere fornite le seguenti garanzie: - che l'accesso ai dati del titolare della SuisseID non sia consentito a soggetti non autorizzati e - che le conferme vengano inviate in ogni caso solo a fronte di una procedura di autenticazione forte (strong authentication) al titolare della SuisseID associata. Si potrà tenere traccia del traffico generato su un server IdP solo nella misura in cui ciò sia indispensabile a garantire un esercizio sicuro e la governance necessaria. L'accesso alle registrazioni sarà consentito solo in caso di guasto ed esclusivamente allo scopo di eliminarne la causa. In assenza di guasti i dati verranno cancellati dopo 24 ore. In caso di guasto i dati necessari alla riparazione verranno cancellati dopo 24 ore dall'avvenuta riparazione. 3.5 Integrazione (bundling) con altri prodotti SuisseID può essere offerta anche in associazione ("bundling") con altri prodotti, ad esempio con altri tipi di certificati o con speciali supporti di memoria. In questo caso il fornitore comunicherà in modo chiaro ed esplicito all'acquirente quali elementi sono compresi nella SuisseID e quali invece ne sono esclusi.

8 4 Assunzione di responsabilità da parte dei CSP 4.1 Principi Nei confronti dei terzi che facciano affidamento sui certificati, siano essi fornitori di applicazioni oppure destinatari di un messaggio firmato, I CSP rispondono - nel caso di un certificato di firma ai sensi delle disposizioni della FiEle; - nel caso del certificato di autenticazione e dei servizi dell'idp ai sensi delle previsioni del presente regolamento. 4.2 Modelli per la dichiarazione di responsabilità Ogni CSP recepirà le sottoestese disposizioni sulla responsabilità nei rispettivi documenti contrattuali: Responsabilità per i certificati di autenticazione SuisselD Con riferimento al certificato di autenticazione contenuto nella SuisseID, <Società> si impegna ad adempiere i medesimi obblighi di diligenza che la legge pone a suo carico relativamente ai certificati di firma qualificati. <Società> risponde nei confronti del titolare e dei terzi che facciano affidamento su un certificato valido per i danni che questi avessero a subire a causa del mancato adempimento di detti obblighi da parte di <società>. La responsabilità è limitata all'ammontare di CHF 10'000.- per ciascun evento dannoso. Responsabilità per i servizi del SuisselD ldentity Provider Service (ldp) <Firma> garantisce che i dati contenuti nelle conferme fornite dall'idp coincidano con i dati acquisiti all'atto della registrazione del titolare del certificato, ricavati dal documento d identità contestualmente esibito. Nei confronti del titolare del certificato <società> garantisce che le conferme di cui sopra verranno inviate solo al titolare del relativo certificato di autenticazione identificatosi tramite procedura di autenticazione forte. Con riferimento ai servizi del SuisseID IdP, <Società> si impegna ad adempiere i medesimi obblighi di diligenza che la legge pone a suo carico relativamente alla gestione dei servizi relativi alle liste dei certificati qualificati. <Società> risponde nei confronti del titolare e dei terzi che facciano affidamento su una conferma IdP da questa sottoscritta per i danni che questi avessero a subire a causa del mancato adempimento di detti obblighi da parte di <società>. La responsabilità è limitata all'ammontare di CHF 10'000.- per ciascun evento dannoso.

9 Allegato A - Riferimenti e bibliografia [1] RS , FiEle Legge federale del 19 dicembre 2003 sui servizi di certificazione nel campo della firma elettronica [2] RS , OFiEle Ordinanza del 3 dicembre 2004 sui servizi di certificazione nel campo della firma elettronica [3] RS PTA--FiEle, Ordinanza del 6 dicembre 2004 dell'ufcom sui servizi di certificazione nel campo della firma elettronica, edizione 3 del 13 novembre 2006 [4] RS , Legge federale del 25 settembre 2009 sulle misure temporanee di stabilizzazione congiunturale nei settori del mercato del lavoro, delle tecnologie dell informazione e della comunicazione nonché del potere d acquisto Allegato B Abbreviazioni CSP IAC IdP QC SECO RS PTA FiEle Certification Service Provider - Fornitore di servizi di certificazione Identity & Authentication Certificate - Certificato di identificazione e autenticazione Identity Provider - Servizio di gestione dell'identità digitale Qualified Certificate - Certificato qualificato Segreteria di Stato dell economia Raccolta sistematica del diritto federale ( Prescrizioni tecniche e amministrative Legge federale sui servizi di certificazione nel campo della firma elettronica

10 Allegato C - Glossario Identificazione - Verifica dell'identità da parte di un Service Provider. Autenticazione - Processo atto a fornire la prova della propria identità. Certificato di autenticazione - Certificato digitale impiegato a scopo di autenticazione. Identity & Authentication Certificate (Certificato di identificazione e autenticazione) (IAC) - Un certificato avanzato, non qualificato, destinato all'identificazione e all'autenticazione (identification & authentication certificate), rilasciato in conformità al capitolo 4 delle Prescrizioni tecniche e amministrative. Uno SuisseID IAC viene sempre rilasciato in abbinamento a un SuisseID QC nell'ambito di un pacchetto di certificati SuisseID. Identity Provider (IdP) - Servizio che verifica l'identità del titolare del certificato in conformità alle specifiche contenute nel presente documento e rilascia un pacchetto di dati standardizzato a norma SAML 2.0, che conferma l'avvenuta identificazione. Qualified Certificate (QC) - Un certificato qualificato (qualified certificate) rilasciato in conformità al capitolo 4 delle prescrizioni tecniche e amministrative. Uno SuisseID QC viene sempre rilasciato in abbinamento a un SuisseID IAC nell'ambito di un pacchetto di certificati SuisseID. Service Provider - Fornitore di un servizio online. Firma o Firma elettronica - Un pacchetto di dati univocamente associato a un documento o a un messaggio. Le sue caratteristiche principali sono la garanzia di a) integrità e b) provenienza (autenticità). Una firma elettronica può essere utilizzata a fini legali a condizione che siano soddisfatte le disposizioni applicabili della legge sulla firma elettronica (FiEle) [1]. Certificato di firma - Certificato elettronico impiegato per l'apposizione della firma elettronica. SuisseID IAC - Vedi Identity & Authentication Certificate. Numero SuisseID - Un codice numerico univoco, non parlante attribuito dal CSP e assegnato a un titolare di certificato. SuisseID QC - Vedi Qualified Certificate. Certificato SuisseID - Uno SuisseID QC oppure uno SuisseID IAC. Titolare di certificato - Persona fisica in favore della quale è stato rilasciato un certificato conforme allo standard SuisseID e nel cui possesso si trovano il prodotto corrispondente (supporto dei certificati SuisseID) e quindi le relative chiavi segrete. I certificati SuisseID vengono rilasciati esclusivamente a persone fisiche. Il titolare del certificato può utilizzare uno o più certificati SuisseID emessi dallo stesso o da diversi CSP.