Certification Practice Statement per i Certificati di Sottoscrizione del Certificatore Qualificato INTESA

Transcript

1 Certification Practice Statement per i Certificati di Sottoscrizione del Certificatore Qualificato INTESA Codice documento:cps Redazione: Antonio Raia Approvazione: Franco Tafini Data emissione: 5/02/2007 Revisione: 01

2 REVISIONI Revisione n : 01 Data Revisione: 5 Febbraio 2007 Descrizione modifiche: Nessuna Motivazioni: Prima emissione Revisione 01 (05/02/2007) Pagina 2 di 53

3 Sommario 1 Introduzione Proprietà intellettuale Applicabilità Identificazione Riferimenti Certificatore Contatti Riferimenti di legge Riferimenti tecnici Definizioni e acronimi Condizioni Generali Obblighi del Certificatore Accreditato Identificazione utenti Informazioni per i richiedenti Emissione, sospensione e revoca del certificato Notifiche ai Titolari Cross certification Obblighi delle LRA Intesa Obblighi del Titolare Obblighi degli utilizzatori dei certificati Obblighi del Terzo Interessato Obblighi delle CA con accordi di cross certification Registro dei certificati Obblighi del Certificatore Identificazione e registrazione degli utenti Registrazione iniziale Dati contenuti nel certificato Identificativo univoco Informazioni aggiuntive Uso di pseudonimi Prova di possesso della chiave privata Identificazione certa del richiedente Sostituzione del certificato e delle chiavi Sostituzione delle chiavi in seguito a revoca Richiesta di revoca e sospensione Modalità Operative Richiesta di certificazione Richiedente generico Contratto di servizio tra INTESA ed Ente cliente...21 Revisione 01 (05/02/2007) Pagina 3 di 53

4 4.1.3 Registrazione degli utenti Emissione del certificato e accettazione Generazione delle chiavi ed emissione del certificato Accettazione del certificato Registro dei certificati Revoca e sospensione del certificato Revoca di un certificato Richiesta di revoca di certificato Procedura per la richiesta di revoca Pubblicazione CRL Sospensione di certificato Richiesta di sospensione di certificato Procedura per la richiesta di sospensione Durata del periodo di sospensione Pubblicazione CRL Requisiti per la consultazione delle CRL/CSL Procedure di Audit della Sicurezza Tipi di eventi registrati Frequenza dei controlli dei LOG Conservazione dei LOG Protezione dei Log Procedure di backup dei Log Sistema di accumulazione dei Log Notifica ai soggetti causa di eventi Verifiche della vulnerabilità Archivio documentazione Tipologia di eventi registrati Periodo di archiviazione Protezione dell archivio Procedure di backup degli archivi Requisiti per il riferimento temporale dei record Verifica di integrità Procedure per l acquisizione e la verifica delle informazioni archiviate Rinnovo delle chiavi Rinnovo delle chiavi di sottoscrizione Sostituzione pianificata delle chiavi del Certificatore Sostituzione pianificata delle chiavi del sistema di validazione temporale Gestione del disaster recovery Procedura di gestione degli eventi catastrofici Guasto del dispositivo di firma della CA INTESA Compromissione delle chiavi di certificazione Cessazione dell attività di Certificatore Condizioni aggiuntive...36 Revisione 01 (05/02/2007) Pagina 4 di 53

5 Marcatura Temporale Controlli di sicurezza: fisica, procedurale e del personale Sicurezza fisica Ubicazione fisica e struttura dell edificio Accessi fisici Energia e Condizionamento Rischio d allagamento Prevenzione e protezione antincendio Supporti di memorizzazione dati Smaltimento rifiuti Off site backup Controlli procedurali Responsabile della generazione dei certificati CA Operator Amministratori del registro dei certificati RA Operator LRA Operator Amministratori della Rete e dei Sistemi Controlli sul personale addetto Controlli Tecnici di Sicurezza Generazione e Installazione delle chiavi Generazione della coppia di chiavi Consegna della chiave privata all Entità Finale Consegna della chiave pubblica alla CA Distribuzione della chiave pubblica di certificazione Dimensioni delle chiavi e Algoritmi di firma Parametri di generazione della chiave pubblica Utilizzo delle chiavi Disposizioni aggiuntive Protezione della chiave privata Standard per i moduli crittografici Controllo Multi-Persona della chiave privata Deposito presso terzi della chiave privata Backup della chiave privata Archiviazione della chiave privata Introduzione della chiave privata in modulo crittografico Attivazione della chiave privata Disattivazione della chiave privata Distruzione della chiave privata Ulteriori aspetti concernenti la gestione delle chiavi Archiviazione delle chiavi pubbliche Periodo di validità per le chiavi...47 Revisione 01 (05/02/2007) Pagina 5 di 53

6 6.4 Codici di attivazione Generazione e installazione dei codici di attivazione Protezione dei codici di attivazione Controlli di sicurezza sulle macchine Requisiti specifici di sicurezza Classificazione di sicurezza Controlli tecnici del ciclo di vita Controlli di sicurezza della rete Controlli sul modulo crittografico Formato dei Certificati e delle CRL Formato dei certificati Versione Estensioni Algoritmi Formato del Name Limitazioni sul Name Certificate Policy OID Utilizzo dell estensione Policy constraints Sintassi del Policy qualifiers Procedura per estensione certificate policy critica Formato della CRL Versione Estensioni delle CRL e delle entry Gestione delle specifiche contenute nel CPS Procedura per la modifica Modifiche senza preavviso Modifiche con preavviso Meccanismo di notifica dei cambiamenti Procedura di approvazione del CPS Appendice A...52 Revisione 01 (05/02/2007) Pagina 6 di 53

7 1 Introduzione 1.1 Proprietà intellettuale Il presente CPS - Certification Practice Statement (nel seguito solo CPS) è di esclusiva proprietà di In.Te.S.A. S.p.A. (di seguito anche INTESA ), che è Titolare di ogni relativo diritto intellettuale. Quanto fornito da INTESA ai propri titolari e addetti (CA Operator, RA Operator, LRA, Directory Administrator, etc.) per utilizzare la funzioni della Public Key Infrastructure (PKI) gestita da INTESA è coperto da diritti sulla proprietà intellettuale. 1.2 Applicabilità Il presente documento costituisce il CPS - Certification Practice Statement del Certificatore Accreditato INTESA, al quale d'ora in poi si farà riferimento anche come Certificatore Accreditato o semplicemente Certificatore. Il contenuto del CPS è conforme con quanto definito nelle regole tecniche contenute nel Decreto del Presidente del Consiglio del 13 Gennaio 2004 e nel più recente Codice dell Amministrazione Digitale (Art.26 e Art.29) del 16 Maggio Questo documento descrive le regole e le procedure operative del Certificatore Accreditato INTESA per l emissione dei certificati qualificati, la generazione e la verifica della firma digitale, in conformità con la vigente normativa in materia di firma digitale. Quanto descritto in questo documento si applica al Certificatore Accreditato INTESA, cioè alle sue infrastrutture logistiche e tecniche e al suo personale, ai Titolari dei certificati da esso emessi e a quanti utilizzino tali certificati per verificare l'autenticità e l'integrità dei documenti cui sia apposta una firma digitale relativa ad essi, anche avvalendosi delle marche temporali emesse da INTESA. 1.3 Identificazione Nome CPS - Certification Practice Statement INTESA_CPS_1.0 Certificate Policy di riferimento ETSI TS V1.3.1 OID della Certificate Policy di riferimento Revisione 01 (05/02/2007) Pagina 7 di 53

8 1.4 Riferimenti Certificatore In.Te.S.A. S.p.A. Via Caraglio 84, Torino Tel: Fax: URL: ldap: //x500.e-trustcom.intesa.it Contatti Le richieste di informazioni riguardanti il presente CPS - Certification Practice Statement dovranno essere indirizzate al seg. indirizzo e-trustcom@intesa.it oppure a: In.Te.S.A. S.p.A. Via Caraglio 84, Torino Tel: Fax: Riferimenti di legge Legge 59/97 Art.15, comma 2 DPR 445/00 Legge n.59 del 15 marzo 1997: "Delega al Governo per il conferimento di funzioni e compiti alle regioni ed enti locali, per la riforma della Pubblica Amministrazione e per la semplificazione amministrativa" pubblicata sulla Gazzetta Ufficiale n.63 del 17 marzo Art.15 comma 2: "Gli atti, dati e documenti formati dalla pubblica amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi e rilevanti a tutti gli effetti di legge. I criteri e le modalità di applicazione del presente comma sono stabiliti, per la pubblica amministrazione e per i privati, con specifici regolamenti da emanare entro centottanta giorni dalla data di entrata in vigore della presente legge ai sensi dell'articolo 17, comma 2, della legge 23 agosto 1988, n.400. Gli schemi dei regolamenti sono trasmessi alla Camera dei deputati e al Senato della Repubblica per l'acquisizione del parere delle competenti Commissioni". Decreto del Presidente della Repubblica del 28 dicembre 2000, n.445. "Testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa", pubblicato sulla Gazzetta Ufficiale n.42 del 20 febbraio Revisione 01 (05/02/2007) Pagina 8 di 53

9 Circolare 19/06/00 num. AIPA/CR/24 DL 10 23/01/02 DPR /04/03 DLGS /06/03 DPCM 13/01/04 Deliberazione CNIPA n. 4 17/02/2005 DLGS 82 07/03/2005 DLGS /04/2005 Linee guida per l interoperabilità tra i certificatori iscritti nell elenco pubblico di cui all Art.8, comma 3 del decreto del Presidente della Repubblica 10/11/1997, num Recepimento della Direttiva 1999/93/CE sulla firma elettronica. (G.U. n.39 del 15 Febbraio 2002). Regolamento recante disposizioni di coordinamento in materia di firme elettroniche a norma dell'articolo 13 del decreto legislativo 23 gennaio 2002, n. 10. (G.U. n.138 del 17 Giugno 2003). Codice in materia di protezione dei dati personali. (G.U. n.174 del 29 luglio 2003, suppl. ord.). Regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici. (G.U. n.98 del 27 Aprile 2004). Deliberazione CNIPA 17 Febbraio, n. 4/2005 (G.U. n.51 del 03 marzo 2005). Regole per il riconoscimento e la verifica del documento informatico. Decreto Legislativo 7 Marzo 2005, n. 82 (G.U. n.112 del 16 Maggio 2005). Codice dell amministrazione Digitale (nel seguito indicato semplicemente come CAD). Decreto Legislativo 4 Aprile 2006, n. 159 (G.U. n. 99 del 29 Aprile 2006). Disposizione integrative e correttive al Decreto Legislativo 7 Marzo 2005, n. 82, recante codice dell amministrazione digitale. 1.6 Riferimenti tecnici RFC 1305 ETSI TS RFC 3280 RFC 3161 ISO/IEC :(E) RFC 2527 RFC 3039 ETSI TS Network Time Protocol (Version 3) Specification, Implementation Deliverable ETSI TS Policy requirements for time-stamping authorities Aprile 2002 RFC 3280 (2002): "Internet X.509 Public Key Infrastructure Certificate and CRL Profile RFC 3161 (2001): Internet X.509 Public Key Infrastructure Time Stamp Protocol (TSP) Information Technology Open Systems Interconnection The Directory: Authentication 01/08/2001 Framework; ITU-T Recommendation X.509 (2001) ISO/IEC RFC 2527 (1999): Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework RFC 3039 (2001) Internet X.509 Public Key Infrastructure Qualified Certificates Profile ETSI TS V1.4.0 Electronic Signatures and Infrastructure (ESI): Electronic Signature Formats ( ) Revisione 01 (05/02/2007) Pagina 9 di 53

10 1.7 Definizioni e acronimi Sono qui riportati i significati di acronimi e di termini specifici aggiuntivi rispetto a quanto indicato all'art.1 del DPR 445/00 e del DPCM 13/01/04 ed in particolare dal Codice dell Amministrazione Digitale DLGS 07/03/2005 n.82 (a cui faremo sempre riferimento indicando l acronimo CAD), ai quali si rimanda. Non sono riportati i significati di alcuni acronimi e termini specifici di uso comune. Termine o acronimo AA AC Analisi dei rischi Attribute Authority Attribute Certificate CA Certificate Authority Carta Nazionale dei Servizi Certificate Policy Certificate Revocation List Certificate Suspension List Significato Attribute Authority (vedi). Attribute Certificate (vedi). Vedi Risk Assessment. Riferimento Autorità considerata affidabile da uno o più utenti per creare e PKIX Roadmap assegnare Attribute Certificate (vedi). (An authority trusted by one or more users to create and sign attribute certificates) Struttura di dati contenente un insieme di attributi di una End PKIX Roadmap Entity e ulteriori informazioni, firmata in modo digitale con la chiave privata della AA che l'ha emessa. (A data structure containing a set of Attributes for an end-entity and some other information, which is digitally signed with the private key of the AA which issued it) Certificate Authority (vedi). Autorità considerata affidabile da uno o più utenti per creare e PKIX Roadmap assegnare PKC. In Italia si preferisce il termine Certificatore", come definito dal DPR 445/00/97. (Certification Authority (CA) An authority trusted by one or more users to create and assign public key certificates) Carta a microprocessore che permette l accesso ai servizi on-line della Pubblica Amministrazione. Un insieme di norme, contraddistinto da un codice, che indica l'applicabilità di un certificato ad una particolare comunità e/o a una classe di applicazioni aventi comuni esigenze di sicurezza. (A named set of rules that indicates the applicability of a certificate to a particular community and/or class of application with common security requirements) RFC 2527 Un elenco firmato che riporta un insieme di certificati non più ISO considerati validi dal Certificatore che li ha emessi. 8:2001(E) (A signed list indicating a set of certificates that are no longer considered valid by the certificate issuer) 01/08/2001 Lista dei certificati sospesi che generalmente viene inclusa nella CRL Certification Una dichiarazione delle prassi seguite da un Certificatore RFC 2527 Revisione 01 (05/02/2007) Pagina 10 di 53

11 Termine o acronimo Practice Statement Significato nell'emettere e gestire certificati. (A statement of the Practices which a certification authority employs in issuing certificates) Carta Nazionale dei Servizi (vedi). Riferimento CNS CP Certificate Policy (vedi). RFC 2527 CPS Certification Practice Statement (vedi). RFC 2527 CRL Certificate Revocation List (vedi). ISO :2001(E) 01/08/2001 CSL Diffie Hellman End Entity FIPS Firewall HASH HSM ICT IETF ITSEC Certificate Suspension List (vedi) Un metodo basato su chiavi pubblicato nel 1976 da Whitfield RFC 2828 Diffie e Martin Hellman [DH76, R2631]. A key agreement algorithm published in 1976 by Whitfield Diffie and Martin Hellman [DH76, R2631]. Il Titolare di un certificato che non sia la CA in una PKI o la AA PKIX Roadmap in una PMI. (A subject of a certificate who is not a CA in the PKI or an AA in the PMI) Federal Information Processing Standard. Un collegamento tra due reti che controlla il traffico di dati da e RFC 2828 per una di esse (quella cosiddetta "interna" al firewall) proteggendone così le risorse da minacce provenienti dall'altra rete (quella cosiddetta "esterna" al firewall). (An internetwork gateway that restricts data communication traffic to and from one of the connected networks (the one said to be "inside" the firewall) and thus protects that network's system resources against threats from the other network (the one that is said to be "outside" the firewall) Funzione che prende in input una stringa di lunghezza variabile e ritorna una stringa di lunghezza fissa Hardware Security Module Dispositivi hardware dedicati per la sicurezza crittografica e la gestione delle chiavi in grado di garantire un elevato livello di protezione. Information and Communication Technology Tecnologia dell'informatica e delle Telecomunicazioni. Il dipartimento che gestisce i sistemi informatici e telematici. Internet Engineering Task Force. Information Technology Security Evaluation Criteria Insieme strutturato di criteri per la valutazione della sicurezza dei computer nell'ambito di prodotti e sistemi. (ITSEC is a structured set of criteria for evaluating computer security within products and systems) LDAP Lightweight Directory Access Protocol. RFC 1777 RFC 2251 Revisione 01 (05/02/2007) Pagina 11 di 53

12 Termine o acronimo LRA NIST NTP Object Identifier Significato Local Registration Authority Entità opzionale di una PKI con le responsabilità di una RA (vedi); tale ruolo può essere affidato sia a dipendenti del Certificatore, sia a Pubblici Ufficiali ai quali il Certificatore ha conferito specifici incarichi, sia ad altri soggetti debitamente incaricati e autorizzati dal Certificatore. In ogni caso la responsabilità delle operazioni di registrazione, identificazione e validazione è del Certificatore (INTESA S.p.A.). National Institute of Standards and Technology. Network Time Protocol Protocollo per la sincronizzazione del tempo Sequenza di numeri, registrata secondo la procedura definita dallo standard ISO/IEC 6523, che identifica un determinato oggetto all interno di una gerarchia. Object Identifier (vedi). Public Key Certificate (vedi). Riferimento RFC 1305 OID PKC PKCS Public Key Cryptography Standard. RSA Laboratories PKI Public Key Infrastructure (vedi). PKIX Gruppo di Lavoro (Working Group WG) attivato dallo IETF (vedi) per definire gli standard relativi a PKI basate su certificati X.509 (da cui il nome di PKIX: PKI X.509 based certificate), che poi diventeranno RFC. PMI Privilege Management Infrastructure Public Key Certificate Public Key Infrastructure RA Registration Authority Privilege Management Infrastructure (vedi). PKIX Roadmap L'insieme di AC, con i relativi AA, Titolari, utenti degli AC e registri di certificati. (A collection of Acs, with their issuing AA's, subjects, relying parties, and repositories) Certificato di Chiave Pubblica: una struttura di dati contenente la PKIX Roadmap chiave pubblica di una End Entity (vedi) e altre informazioni, che è firmato in modo digitale con la chiave privata della CA (vedi) che l'ha emesso. (A data structure containing the public key of an end-entity and some other information, which is digitally signed with the private key of the CA which issued it) Insieme di hardware, software, persone, norme e procedure PKIX Roadmap necessarie per creare, gestire, conservare, distribuire e revocare i PKC basati su crittografia a chiave pubblica. (The set of hardware, software, people, policies and procedures needed to create, manage, store, distribute, and revoke PKCs based on public-key cryptography) Registration Authority (vedi). Un'entità opzionale di una PKI, (separata dalla CA) che non firma RFC 2828 né i certificati né le CRL, ma ha la responsabilità di registrare o verificare alcune o tutte le informazioni (in particolare modo le Revisione 01 (05/02/2007) Pagina 12 di 53

13 Termine o acronimo RFC Significato Riferimento identità dei Titolari) necessarie alla CA per emettere i certificati e le CRL e per effettuare altre operazioni di gestione dei certificati. Un'entità opzionale cui è data la responsabilità di effettuare alcune mansioni amministrative necessarie alla registrazione dei PKIX Roadmap Titolari, quali: confermare l'identità del Titolare, confermare che il Titolare ha il diritto che sul suo certificato siano riportati i dati richiesti, verificare che è in possesso della chiave privata associata con la chiave pubblica di cui è richiesta la certificazione. Una RFC (Richiesta di Commenti) è un documento nel quale vengono descritti gli standard attraverso i quali viene regolamentato Internet. (An RFC (Request For Comments) is a document describing the standards that make the Internet work) RIPEMD-160 Funzione di hash crittografico a 160 bit Risk Un procedimento che: Assessment individua in modo sistematico le principali risorse di un sistema e le minacce cui possono essere esposte; valuta i potenziali rischi di perdite e danni in base ad una stima della frequenza con cui possono presentarsi le minacce stesse e del costo che ne deriverebbe da un loro eventuale successo; (opzionalmente) fornisce raccomandazioni su come mettere in atto contromisure in grado di ridurre al minimo il rischio complessivo. (A process that systematically identifies valuable system resources and threats to those resources, quantifies loss exposures (i.e., loss potential) based on estimated frequencies and costs of occurrence, and (optionally) recommends how to allocate resources to countermeasures so as to minimise total exposure) Security Policy SHA-1 SP Terzo Interessato TSR Titolare Insieme di regole e norme che specificano o regolamentano le modalità con cui un sistema o un'organizzazione fornisce servizi di sicurezza per proteggere risorse di sistema critiche o riservate. (A set of rules and practices that specify or regulate how a system or organisation provides security services to protect sensitive and critical system resources) Funzione di hash crittografico a 160 bit Security Policy (vedi). Persona fisica o giuridica, che dà il consenso a che il Titolare richieda che nel certificato siano specificati eventuali poteri di rappresentanza, titoli o cariche rivestite. Time Stamp Request Richiesta di marca temporale Soggetto intestatario del certificato. RFC 2828 RFC 2828 RFC 3161 Revisione 01 (05/02/2007) Pagina 13 di 53

14 Termine o acronimo Time Stamping Authority TOE Significato Riferimento Autorità che rilascia marche temporali ETSI TS Target Of Evaluation. È quella parte di prodotto o sistema che è oggetto di valutazione e comprende anche la relativa documentazione per la sua gestione e utilizzo da parte di amministratori di sistema e di utenti finali. (The TOE is that part of the product or system which is to be subjected to evaluation, including its associated administrator and user guidance documentation) TSA Time Stamping Authority (vedi) ETSI TS 102 TU Testo Unico DPR 445/2000 e sue successive modifiche Testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa URL Uniform Resource Locator. RFC 1738 RFC 1808 RFC 2368 UTC Coordinated Universal Time Scala del tempo basata sul secondo 023 ITU-R Recommendation TF,460-5 Revisione 01 (05/02/2007) Pagina 14 di 53

15 2 Condizioni Generali 2.1 Obblighi del Certificatore Accreditato Nello svolgimento della sua attività il Certificatore Accreditato Intesa opera in conformità con quanto specificato nelle CP adottate Identificazione utenti I richiedenti sono identificati secondo quanto riportato al capitolo Informazioni per i richiedenti Le informazioni che il richiedente deve fornire sono riportate nel Manuale Operativo, reperibile all URL Emissione, sospensione e revoca del certificato Il Certificatore Accreditato Intesa opera in conformità con quanto specificato nelle CP adottate Notifiche ai Titolari Intesa darà notizia della revoca o della sospensione ai Titolari interessati tramite posta elettronica, in casi particolari tramite posta ordinaria, e inserirà il certificato nella lista di revoca, che sarà emessa immediatamente. Notifiche aggiuntive possono essere eseguite, previo opportuno accordo contrattuale Cross certification Intesa può stipulare accordi di Cross Certification con altre CA accreditate. 2.2 Obblighi delle LRA Intesa Gli Operatori di LRA sono dipendenti Intesa, attraverso i quali il Certificatore ottempera a quanto specificato nelle CP. 2.3 Obblighi del Titolare Il Titolare è tenuto ad adottare tutte le misure organizzative e tecniche idonee ad evitare danno ad altri (Art.28, comma 1, DPR 445/00). Il Titolare della chiave deve inoltre ottemperare agli obblighi previsti nelle CP. Revisione 01 (05/02/2007) Pagina 15 di 53

16 2.4 Obblighi degli utilizzatori dei certificati Coloro che utilizzino messaggi elettronici e/o evidenze informatiche firmati digitalmente, sono tenuti a ottemperare agli obblighi previsti nelle CP. 2.5 Obblighi del Terzo Interessato Il Terzo Interessato, di cui all'art.29-bis (R) comma 2.c del TU, si tratti di persona fisica o di organizzazione (impresa, associazione di categoria, ente, ecc.), ha l'obbligo di ottemperare agli obblighi previsti nelle CP. 2.6 Obblighi delle CA con accordi di cross certification Le CA con cui si è stipulato un accordo di Cross Certification devono ottemperare agli obblighi previsti nelle CP. 2.7 Registro dei certificati La copia di riferimento (MASTER) è collocata all'interno di una rete dedicata protetta da adeguati dispositivi, per cui non è accessibile ad altri che dal server di emissione dei certificati, che vi registra i certificati emessi e le CRL/CSL. L'accesso è possibile sulla copia SHADOW all'indirizzo ldap:x500.e-trustcom.intesa.it secondo il protocollo LDAP v2, come definito nello RFC 1777, o lo LDAP v3 come definito nello RFC Obblighi del Certificatore Nello svolgimento della sua attività il Certificatore Accreditato opera in conformità con quanto disposto da: Decreto Legislativo del 7 marzo 2005, n. 82. Codice dell Amministrazione digitale; Decreto Presidente del Consiglio dei Ministri 13 Gennaio 2004; Decreto Presidente della Repubblica n.445 del 28/12/2000 e successive modificazioni (TU). Revisione 01 (05/02/2007) Pagina 16 di 53

17 3 Identificazione e registrazione degli utenti 3.1 Registrazione iniziale Dati contenuti nel certificato I dati forniti dal richiedente saranno contenuti nel Certificato, nel campo subject, strutturati come disposto dalla Deliberazione 17 febbraio 2005 del CNIPA: ATTRIBUTO OID countryname OrganizationName localityname organizationalunitname givenname surname commonname pseudonym title serialnumber dnqualifier è inoltre riportato l indirizzo del Titolare Identificativo univoco Al titolare è assegnato un identificativo univoco presso il Certificatore Informazioni aggiuntive Nel caso in cui sia richiesta l indicazione nel certificato qualificato di: abilitazioni professionali (es. l appartenenza ad un ordine professionale) poteri di rappresentanza (es. l appartenenza ad un'organizzazione e la carica ivi ricoperta, l abilitazione ad operare in nome e per conto di un Cliente, etc.) limiti d uso (un valore limite per i negozi per i quali può essere usato il certificato stesso) il richiedente deve produrre idonea documentazione a dimostrazione della effettiva sussistenza di tali abilitazioni professionali. Revisione 01 (05/02/2007) Pagina 17 di 53

18 3.1.4 Uso di pseudonimi Il Titolare può richiedere, in particolari casi, che il certificato riporti uno pseudonimo in alternativa ai propri dati reali. Anche in questo caso, poiché comunque ci si riferisce a certificati qualificati, il Certificatore conserverà le informazioni relative alla reale identità dell utente per 20 (venti) anni dopo la scadenza del certificato stesso Prova di possesso della chiave privata Intesa fornisce al Titolare la Coppia di Chiavi ovvero soddisfa alle richieste di Certificazione pervenute in formato PKCS#10, che implica una prova di possesso della chiave privata da parte del richiedente) Identificazione certa del richiedente Il Certificatore verifica con certezza l identità del richiedente alla prima richiesta di emissione di certificato qualificato. Per i successivi rinnovi tale attività non sarà più ripetuta: sarà cura del Titolare comunicare al Certificatore eventuali cambiamenti relativi ai propri dati di registrazione. L attività di identificazione del richiedente viene effettuata da: 1. Il Certificatore, tramite le persone del proprio Ufficio RA; 2. LRA esterne (par. 2.2 Obblighi delle LRA esterne, esempio personale dell Azienda o dell Ente Cliente oppure di terze parti appositamente autorizzate dal Certificatore); In ogni caso la persona che fa richiesta della certificazione viene identificata con certezza e viene archiviata da INTESA la fotocopia di almeno un documento ufficiale per lo Stato di appartenenza. 3.2 Sostituzione del certificato e delle chiavi I certificati digitali emessi dalla CA INTESA hanno validità di 24 (ventiquattro) mesi dalla data di emissione, salvo accordo diverso con i singoli clienti. Entro la data di scadenza del certificato, al Titolare del dispositivo di firma sarà spedito, ove possibile per posta elettronica altrimenti per posta ordinaria, un avviso di prossima scadenza. Il Titolare che intende rinnovare il proprio certificato deve darne comunicazione tempestiva all Ufficio RA del Certificatore in modo da garantire la continuità del servizio. Le procedure per l ottenimento di un nuovo certificato differiscono dalla prima emissione in quanto non vengono più ripetute le attività di identificazione e di registrazione dei dati del Titolare. 3.3 Sostituzione delle chiavi in seguito a revoca Le procedure per l ottenimento di un nuovo certificato in seguito ad una revoca non differiscono dalla prima emissione, fatte salve le attività di identificazione Revisione 01 (05/02/2007) Pagina 18 di 53

19 3.4 Richiesta di revoca e sospensione Il paragrafo specifica chi può richiedere la sospensione o la revoca di un certificato. Il richiedente sarà notificato della revoca da parte di Intesa. Maggiori informazioni sono riportate al cap Revisione 01 (05/02/2007) Pagina 19 di 53

20 4 Modalità Operative 4.1 Richiesta di certificazione Richiedente generico Il Richiedente sottoscrive: 1. Il contratto di servizio, in duplice copia, in cui sono riportati gli obblighi di ambo le parti. 2. Il documento Modulo Richiesta Certificato Digitale, in duplice copia, in cui riporta i propri dati sotto indicati: Ente richiedente. Cognome e nome. Data e luogo di nascita. Codice fiscale (o analogo nel caso di cittadini stranieri non in possesso di codice fiscale italiano). Residenza. Numero di telefono (fisso o cellulare). Numero di Fax. Indirizzo di posta elettronica. Tipo, numero ed Ente di rilascio del documento di identità esibito. Nel caso la chiave debba essere utilizzata da dispositivi HW o SW con procedura automatica (TU Art.29-sexies comma 3 e DPCM 13/01/04 Art.4, comma 2 e 3), il richiedente indicherà gli estremi del dispositivo (se HW indicherà produttore, modello e numero di serie, se SW fornirà i dati atti ad individuare il sistema e la sede in cui tale dispositivo opera e il relativo uso). 3. Il documento Accettazione del Manuale Operativo INTESA, in duplice copia, in cui dichiara di aver preso visione del Manuale Operativo. 4. Il documento Dichiarazione di autorizzazione al trattamento dei dati personali in cui dichiara di acconsentire all'utilizzo dei propri dati personali ai sensi del DL 196/03 e successive modifiche. 5. Se richieste sul Certificato, idonea documentazione a dimostrazione della effettiva sussistenza di abilitazioni professionali, poteri di rappresentanza, limiti d uso. È responsabilità del richiedente fornire un indirizzo valido di posta elettronica, poiché il Certificatore (che non verifica la validità dell indirizzo) userà in seguito tale indirizzo per comunicare con il richiedente. La documentazione precedente, relativa alla registrazione dei Titolari, viene conservata da INTESA per 20 (venti) anni dalla scadenza del certificato a cura del Responsabile della gestione del Registro dei certificati. Prima di avviare le procedure di richiesta, il richiedente dovrà munirsi del dispositivo di firma richiedendolo ad INTESA, ovvero acquistandolo da un terzo fornitore a patto che il dispositivo Revisione 01 (05/02/2007) Pagina 20 di 53

21 sia conforme alle specifiche di utilizzo di INTESA e dalla stessa approvato nonché conforme all Art.5 del DPCM 13/01/04. Durante la fase di consegna del materiale, il personale INTESA addetto provvederà ad aggiornare il proprio database elettronico riportando i dati identificativi del dispositivo di firma (serial number, numero di lotto, ecc.) Contratto di servizio tra INTESA ed Ente cliente Nel caso in cui il cliente sia un Ente o una Azienda, i cui dati identificativi saranno definiti a contratto, si applicano anche le norme seguenti, fermo restando quanto specificato al paragrafo H.1, dal punto 2 in poi, per l'identificazione e la registrazione dei singoli Titolari. 1. Le persone delegate a indicare il personale del Cliente abilitato ad essere certificato da INTESA faranno pervenire al Certificatore gli elenchi delle persone alle quali INTESA sarà autorizzata a rilasciare i certificati qualificati. In tali elenchi sarà possibile anche indicare eventuali limitazioni all'uso delle coppie di chiavi, poteri di rappresentanza o abilitazioni professionali. 2. Questi elenchi saranno resi disponibili agli addetti interessati: il personale dell Ufficio RA e dell'help Desk. 3. Le persone autorizzate esibiranno alle LRA documenti analoghi a quelli indicati al paragrafo precedente (4.1). 4. La LRA verificherà che la persona sia autorizzata ad essere certificata e opererà come indicato nel paragrafo 4.1, con l'eccezione del primo punto di tale paragrafo Registrazione degli utenti Successivamente alla fase di identificazione, viene eseguita la registrazione dei dati dei Titolari sugli archivi del Certificatore. Questa operazione viene sempre eseguita dal personale dell Ufficio RA di INTESA. Durante la registrazione dei dati del Titolare, viene generato l identificativo univoco del Titolare presso il Certificatore. 4.2 Emissione del certificato e accettazione INTESA emette certificati con un sistema conforme con l'art.28 del DPCM 13/01/04. Dopo la generazione della coppia di chiavi di sottoscrizione, è possibile generare una richiesta di nuovo certificato nel formato PKCS#10, che fornisce automaticamente la prova di possesso della chiave privata e la verifica del corretto funzionamento della coppia di chiavi richieste dal TU Art.29-bis.2.h. A seconda della modalità adottata per la generazione della coppia di chiavi, la richiesta di certificato sarà generata dalle diverse applicazioni attivate dall operatore di RA di INTESA, ovvero dal Richiedente. In ogni caso, la CA elabora immediatamente la richiesta ricevuta, in conformità con quanto previsto dal DPCM 13/01/04 all'art.14. In particolare: si accerta dell'autenticità della richiesta (comma 1.a); Revisione 01 (05/02/2007) Pagina 21 di 53

22 si accerta che il Titolare sia effettivamente in possesso della chiave privata e verifica il corretto funzionamento della coppia di chiavi (comma 1.b). Il certificato così generato viene pubblicato sul registro dei certificati. La generazione dei certificati è registrata nel giornale di controllo (DPCM 13/01/04, Art.14.3). In conformità all Art.9 DPCM 13/01/04, il Certificatore mantiene le informazioni per l identificazione del Titolare di un dispositivo sicuro di firma e dei certificati in esso contenuti. Al termine del processo, sul dispositivo del Titolare saranno stati registrati, oltre alla chiave privata di firma: il certificato di sottoscrizione; il certificato elettronico relativo alla chiave pubblica del Certificatore la cui corrispondente chiave privata è stata utilizzata per sottoscrivere il certificato qualificato relativo alle chiavi di sottoscrizione del Titolare, come da Art.9.5 DPCM 13/01/04. I seguenti paragrafi descrivono le operazioni effettuate per l emissione dei certificati nelle due modalità previste dal Certificatore per la generazione delle chiavi Generazione delle chiavi ed emissione del certificato Completata la fase di registrazione, durante la quale i dati dei Titolari vengono memorizzati negli archivi del Certificatore, è possibile procedere alla generazione delle chiavi di sottoscrizione. Questa operazione può avvenire in due diverse modalità: 1. Chiavi generate dal Certificatore 2. Chiavi generate dal Richiedente. In ogni caso, avendo a disposizione il dispositivo di firma, il Titolare o gli operatori di RA INTESA, potranno generare una nuova coppia di chiavi mediante la funzione di generazione di chiavi asimmetriche dello stesso dispositivo. Le chiavi vengono generate in conformità con il DPCM 13/01/04, Artt.5.2 e 6.3. Più in generale, i dispositivi di firma utilizzati sono verificati secondo i criteri previsti dall Art.53 DPCM 13/01/ Emissione certificato per chiavi generate dal certificatore Questa procedura viene effettuata dagli operatori di RA INTESA presso i locali del Certificatore. Sono effettuate le seguenti operazioni: 1. L operatore si autentica all applicazione, seleziona i dati di registrazione del Richiedente e attiva la procedura di richiesta di certificato. 2. L applicazione accede al dispositivo di firma con il PIN di default e genera la coppia di chiavi. 3. L applicazione attivata dall operatore di RA, dopo la generazione delle chiavi, genera la richiesta di certificato. Revisione 01 (05/02/2007) Pagina 22 di 53

23 4. La richiesta viene direttamente inoltrata alla CA, firmata elettronicamente dall operatore e trasmessa su canale sicuro. 5. Il certificato emesso viene ricevuto dall applicazione e inserito sul dispositivo di firma con le dovute verifiche. 6. Il certificato emesso viene ricevuto dall applicazione e inserito sul dispositivo di firma con le dovute verifiche. 7. L applicazione stampa su busta cieca il PIN di accesso alla smart card e il codice di emergenza, in conformità agli Artt e 37.3 del DPCM 13/01/2004, generati casualmente. Al Titolare verrà consegnata una seconda busta contenente il PUK del dispositivo Emissione certificato per chiavi generate dal richiedente Questa procedura può essere effettuata nei casi in cui il Richiedente disponga di un proprio dispositivo di firma e di un applicazione in grado di generare sia la coppia di chiavi sullo stesso dispositivo, sia la richiesta di certificato in formato PKCS#10. La procedura può essere utilizzata per l operazione di rinnovo di un precedente certificato generato dal Certificatore o per la prima emissione in base agli accordi con il personale INTESA. In questo caso devono essere effettuate le seguenti operazioni: 1. Il Richiedente, mediante l opportuna applicazione già attivata per la creazione della coppia di chiavi, genera la richiesta di certificato in formato PKCS# Il Richiedente invia la richiesta all Ufficio RA INTESA su canale di comunicazione sicuro, firmata con il certificato precedentemente rilasciato dal Certificatore. 3. La richiesta pervenuta e debitamente verificata, viene inviata alla CA che emette il nuovo certificato di sottoscrizione. 4. INTESA invia il certificato di sottoscrizione al Richiedente, utilizzando un canale di comunicazione sicuro. Il Richiedente importa il certificato sul dispositivo di firma Accettazione del certificato I titolari sono tenuti a verificare la correttezza delle informazioni contenute nel Certificato loro consegnato e segnalare immediatamente eventuali errori al Certificatore. In tal caso, il titolare deve sottoscrivere una richiesta di Revoca per il Certificato contenente dati errati. 4.3 Registro dei certificati Nel registro dei certificati, INTESA pubblica: 1. I certificati delle chiavi di sottoscrizione e del sistema di validazione temporale. 2. I certificati delle chiavi di certificazione. 3. I certificati emessi a fronte di accordi di certificazione con altri. Revisione 01 (05/02/2007) Pagina 23 di 53

24 4. I certificati emessi a seguito della sostituzione delle chiavi di certificazione (DPCM 13/01/04, Art.25). 5. Certificati per le chiavi di firma del Centro Nazionale per l Informatica nella Pubblica Amministrazione (DPCM 13/01/04 Art.40.1). 6. Le liste di revoca e sospensione. Le operazioni che coinvolgono il registro dei certificati vengono svolte soltanto dalle persone a ciò autorizzate, presenti in quantità adeguata a impedire azioni illecite da parte di un limitato numero di addetti. Il Certificatore mantiene una copia di riferimento del registro dei certificati inaccessibile dall esterno. La copia di riferimento, aggiorna in tempo reale la copia operativa, accessibile da parte degli utenti con protocollo LDAP. La verifica di rispondenza tra copia di riferimento e copia operativa è fatta sistematicamente. 4.4 Revoca e sospensione del certificato La revoca o la sospensione dei certificati viene asseverata dal loro inserimento nella lista CRL (Art.17 DPCM 13/01/04), che contiene sia quelli revocati sia quelli sospesi, come indicato nella Circolare del 19 giugno 2000 n. AIPA/CR/24, pubblicata sulla Gazzetta Ufficiale della Repubblica Italiana, Serie generale n.151 del Sia la revoca che la sospensione vengono registrate sul giornale di controllo (DPCM 13/01/04, Articolo 17.3). Il profilo delle CRL/CSL è conforme con lo RFC La CRL, firmata dal Certificatore, viene aggiornata con periodicità prestabilita (quattro giorni) e ad ogni revoca e sospensione. La lista è disponibile sul registro dei certificati. Nei casi in cui la revoca ovvero la sospensione avvenga su iniziativa del Certificatore o del Terzo Interessato (Artt. 18, 20, 22, 24 DPCM 13/01/04), il Certificatore notifica al Titolare la richiesta e il momento in cui entrerà in vigore l'evento richiesto Revoca di un certificato Un certificato viene revocato nei seguenti casi, ad ognuno dei quali corrisponde un codice detto CRLReason indicato tra parentesi: 1. sostituzione del certificato senza compromissione della chiave privata (CRLReason: Superceded); 2. compromissione (ovvero la perdita delle caratteristiche di sicurezza e univocità) della chiave privata del Titolare (CRLReason: Key Compromise); 3. i dati del certificato sono modificati o obsoleti; in questo caso ricade anche l'eventualità che un Titolare non accetti i certificati emessi a suo nome in quanto i dati sono errati (CRLReason: Affiliation Changed); Revisione 01 (05/02/2007) Pagina 24 di 53

25 4. cessazione repentina, in condizioni di conflittualità o non, del Titolare dalle mansioni per le quali gli erano stati rilasciati i certificati (CRLReason: Cessation of Operation); 5. cessazione preventivata dalle mansioni per le quali sono stati rilasciati i certificati al Titolare (CRLReason: Cessation of Operation); 6. mancato rispetto da parte del Titolare degli obblighi specificati nel Manuale Operativo, in misura tale che il Terzo Interessato o la CA ritengano necessario una revoca immediata (CRLReason: Unspecified); 7. altri casi aventi carattere d'urgenza a giudizio del Terzo Interessato (CRLReason: Unspecified); 8. altri casi non urgenti (CRLReason: Unspecified). I casi indicati sono riassunti nella seguente tabella, riportante gli orari di disponibilità del personale INTESA e i tempi necessari per l effettuazione della revoca, a partire dal momento in cui all Ufficio RA perviene la richiesta. CRLReason dal Lunedì al Venerdì dalle 9 alle 18 Tempi di Revoca Sabato e festivi dalle 9 alle 18 Unspecified 2h 8h Key Compromise 2h 8h Affiliation Changed 2h 8h Superceded 2h 8h Cessation of Operation 2h 8h Richiesta di revoca di certificato La richiesta di un Certificato di sottoscrizione può essere avanzata da: Certificatore Intesa (DPCM 13/01/04 Art.18) Titolare (DPCM 13/01/04, Art.19) Terzo Interessato (DPCM 13/01/04, Art.20) Procedura per la richiesta di revoca Revoca su iniziativa del Certificatore (DPCM 13/01/04 Art.18) Il Certificatore può revocare i certificati dei Titolari nei casi indicati nella tabella CRLReason, in aggiunta ai motivi riportati al capitolo seguente. In ogni caso informerà della revoca i Titolari interessati tramite posta elettronica, altrimenti tramite posta ordinaria. Revisione 01 (05/02/2007) Pagina 25 di 53

26 Revoca su richiesta del Titolare (DPCM 13/01/04, Art.19) Il Titolare può richiedere la revoca nei casi indicati nella tabella CRLReason. Il Certificatore dispone tre diverse modalità per la richiesta di revoca da parte del Titolare: 1. Qualora il Titolare disponga del proprio dispositivo di firma, invierà un messaggio di posta elettronica all'indirizzo contenente in allegato il documento di richiesta di revoca debitamente compilato e firmato con la propria chiave privata (il documento è disponibile all indirizzo Oltre al documento di richiesta di revoca, il messaggio dovrà contenere i dati relativi al certificato da revocare e il motivo della richiesta, con riferimento a quelli indicati nella tabella CRLReason. Tale servizio è attivo in normale orario lavorativo, dal Lunedì al Venerdì, dalle h. 9 alle h.18. Al di fuori di detto orario, fare riferimento al seguente punto Nei casi in cui il Titolare non disponga del proprio dispositivo di firma, potrà inoltrare la richiesta di revoca via fax, al numero indicato all URL oppure via posta ordinaria, all indirizzo sempre indicato all URL specificando in entrambi i casi i dati di cui al punto precedente. Tale servizio è attivo in normale orario lavorativo, dal Lunedì al Venerdì, dalle h. 9 alle h.18. Al di fuori di detto orario, fare riferimento al seguente punto Eccezionalmente, nel caso in cui la motivazione della richiesta di revoca sia Key Compromise, ovvero fuori del normale orario lavorativo di cui ai punti precedenti, il Titolare potrà telefonare al numero fornito dal Certificatore al momento del rilascio del primo certificato qualificato a lui intestato. Egli dovrà fornire i dati relativi al certificato e il Codice di Emergenza. In questo caso il certificato indicato sarà temporaneamente sospeso in attesa della richiesta scritta del Titolare, in conformità all Art.37.2 del DPCM 13/01/04. Nei casi 1. e 2. il Titolare sarà contattato dal personale INTESA per la comunicazione del Codice di Emergenza Revoca su richiesta del Terzo Interessato (DPCM 13/01/04, Art.20) Il Terzo Interessato può richiedere la revoca nei casi indicati nella tabella CRLReason. Il Certificatore dispone tre diverse modalità per la richiesta di revoca da parte del Terzo Interessato: 1. Qualora il Terzo Interessato disponga del proprio dispositivo di firma, invierà un messaggio di posta elettronica all'indirizzo uff_ra@intesa.it contenente in allegato il documento di richiesta di revoca debitamente compilato e firmato con la propria chiave privata (il documento è disponibile all indirizzo Oltre al documento di richiesta di revoca, il messaggio dovrà contenere i dati relativi al certificato da revocare e il motivo della richiesta, con riferimento a quelli indicati nella tabella CRLReason. Tale servizio è attivo in normale orario lavorativo, dal Lunedì al Venerdì, dalle h. 9 alle h.18. Al di fuori di detto orario, fare riferimento al seguente punto 3. Revisione 01 (05/02/2007) Pagina 26 di 53

27 2. Nei casi in cui il Terzo Interessato non disponga del proprio dispositivo di firma, potrà inoltrare la richiesta di revoca via fax, al numero indicato all URL oppure via posta ordinaria, all indirizzo sempre indicato all URL specificando in entrambi i casi i dati di cui al punto precedente. Tale servizio è attivo in normale orario lavorativo, dal Lunedì al Venerdì, dalle h. 9 alle h.18. Al di fuori di detto orario, fare riferimento al seguente punto Eccezionalmente, nel caso in cui la motivazione della richiesta di revoca sia Key Compromise, ovvero fuori del normale orario lavorativo di cui ai punti precedenti, il Terzo Interessato potrà telefonare al numero fornito dal Certificatore. Egli dovrà fornire i dati relativi al certificato e il Codice di Emergenza. In questo caso il certificato indicato sarà temporaneamente sospeso in attesa della richiesta scritta, in conformità all Art.37.2 del DPCM 13/01/04. Nei casi 1. e 2. il Terzo Interessato sarà contattato dal personale INTESA per la comunicazione del Codice di Emergenza. In tal modo la richiesta diventa la documentazione giustificativa prevista dall'art.20.1 del DPCM 13/01/04. La richiesta dovrà indicare chiaramente: per quanto riguarda il Terzo Interessato: Azienda di appartenenza generalità riferimenti al documento che lo autorizza a chiedere l'emissione, la revoca o la sospensione del certificato del Titolare interessato suoi recapiti: telefonici e di posta elettronica per quanto riguarda il Titolare interessato: generalità estremi del certificato di cui si chiede la revoca o la sospensione tipo (revoca o sospensione) e motivazione della richiesta, come indicato nella tabella CRLReason momento di decorrenza del provvedimento. Il Certificatore, accertata la correttezza della richiesta, darà notizia della revoca ai Titolari interessati tramite posta elettronica, in casi particolari tramite posta ordinaria, e inserirà il certificato nella lista di revoca, che sarà emessa immediatamente Revoca dei certificati relativi a chiavi di certificazione (DPCM 13/01/04 Art.26) Nei casi di: 1. compromissione della chiave di certificazione, 2. guasto del dispositivo di firma, 3. cessazione dell'attività, Revisione 01 (05/02/2007) Pagina 27 di 53