ODCEC PADOVA 9 Novembre 2015 La Firma Digitale

Transcript

1 ODCEC PADOVA 9 Novembre 2015 La Firma Digitale

2 Infocert InfoCert: affidabilità : affidabilita e sicurezzae sicurezza SEDI : Padova Milano Roma Milano Torino Firenze Padova Modena Roma Napoli InfoCert è una delle maggiori Certification Authority europee e primo player nel mercato delle soluzioni paperless in Italia, leader di mercato per i processi di conservazione sostitutiva dei documenti a norma di legge e per i servizi di PEC 200 dipendenti 41 milioni di euro di fatturato ,7 milioni di euro di capitale sociale Presidio normativo e tecnologico attraverso le organizzazioni nazionali ed internazionali Certificazioni ISO quale formalizzazione dell impegno e della qualità aziendale nel trattamento dei dati e delle informazioni CED DI LIVELLO 3 PROPRIETARIO SU PD e MO Coordinamento del Comitato Tecnico di Assocertificatori per la firma digitale Com. Tec. Assocertificatori per la PEC Specialist Task Force 298 ETSI: per gli standard Europei di Firma Gruppo di Lavoro Documento Elettronico di ABI Lab. Task Force 401 ETSI definizione standard per la conservazione sicura dei documenti digitali Certificazioni

3 I flussi di ieri e di oggi Si crea il si firma si spedisce si protocolla si conserva documento si archivia ieri oggi Firma Posta Protocollo Conserv. digitale Elettronica informatico a norma (Certificata)

4 Le firme elettroniche nel cad Le Firme elettroniche nel CAD Firma elettronica Firma elettronica avanzata Firma elettronica qualificata Firma digitale

5 La firma elettronica Articolo 1.1 Definizioni q) firma elettronica: l insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica; u-ter). identificazione informatica: la validazione dell insieme di dati attribuiti in modo esclusivo ed univoco ad un soggetto, che ne consentono l individuazione nei sistemi informativi, effettuata attraverso opportune tecnologie anche al fine di garantire la sicurezza dell accesso;

6 La firma elettronica Un esempio di firma elettronica:

7 Firma Grafometrica, Firma Elettronica Avanzata,Firma digitale Quali sono le differenze? Con quale di queste sono più sicuro? Quale ha il più alto valore legale? Qual è il quadro normativo di riferimento?

8 Firma grafometrica L ESIGENZA Molte delle attività gestite negli Enti Locali richiedono l apposizione di firma su documenti, per esempio quelli sul consenso informato, ma anche per certificare moduli, attestazioni, documenti e in generale sulle operazioni decise dall organizzazione. La dematerializzazione del documento necessita di apporre una firma digitale, oppure una firma grafometrica nel contesto di firma avanzata. L analisi del processo, applicato alla tipologia documentale interessata, consente di scegliere la soluzione migliore. La tecnologia, abbinata alla padronanza della compliance del processo, permette di scegliere soluzioni di firma facili, compliance e in completa paperless. Soluzioni di questo tipo sono già attive in settori diversi dalla sanità con ottimi risultati. LA SOLUZIONE L evoluzione normativa e l inserimento nel Codice dell Amministrazione Digitale della tipologia di sottoscrizione firma elettronica avanzata, insieme alla diffusione delle soluzioni di firma grafometrica possono rappresentare una consistente opportunità di innovazione dei certificati e dei moduli consegnati dai cittadini. La firma grafometrica è un processo di firma che prevede l apposizione della firma autografa del cliente su un apposito tablet, che rileva le informazioni di biometria comportamentale tipicamente inferite da un perito calligrafo, e utilizzate per imputare una firma a un soggetto. L utilizzo congiunto di soluzioni di certificazione consente di rendere autoconsistente, il documento, che contiene i dati biometrici crittati. posizione tempo velocità accelerazione pressione

9 Firma grafometrica possibili dispositivi IL CONTESTO La soluzione di firma grafometrica trova applicazione secondo diverse modalità, a seconda del device utilizzato per la rilevazione dei diversi indicatori (posizione, tempo, pressione, velocità, accelerazione) per la corretta costruzione di un processo di firma grafometrica come Firma Elettronica Avanzata. Lo scenario in mobilità è reso possibile dall utilizzo dell applicazione web integrata delle funzionalità di visualizzazione del documento, in esame, e firma da un unico device mobile, con sistema operativo Android o Windows 8 RT. PAD e SECONDO MONITOR PAD 10 TABLET GRAFOMETRICO Pros: Basso costo HW di firma (circa 130 ) Cons: I tablet non sono adeguati alla visualizzazione del contratto L opzione doppio monitor richiede spazio e dotazione HW Pros: Visualizzazione e firma contestuale documento su singolo device, tecnologia consolidata. Flessibilità della soluzione di scansione Cons: Il costo superiore dei device Pros: Processo di vendita in mobilità Possibilità di utilizzare tablet o smartphone Interattività operatore e cliente su unico device Cons: Costo più elevato Richiesta connettività Wifi/3G PUNTI DI ATTENZIONE Affinché il tablet risulti idoneo all apposizione di una firma grafometrica, è necessario che sia in grado di rilevare una serie di indicatori, caratteristici della firma in relazione al firmatario posizione tempo velocità accelerazione pressione

10 Firma elettronica avanzata Articolo 1.1 Definizioni q-bis) firma elettronica avanzata: insieme di dati in forma elettronica allegati oppure connessi a un documento informatico, che consentono l identificazione del firmatario del documento, che garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, e che sono collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati;

11 Un esempio di elettronica avanzata Un esempio di firma elettronica avanzata Un (possibile) esempio di firma elettronica avanzata: ATTENZIONE: se vedo il tablet non sto vedendo automaticamente la FEA! DPCM 22 febbraio 2013 Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali, ai sensi degli articoli 20, comma 3, 24, comma 4, 28, comma 3, 32, comma 3, lettera b), 35, comma 2, 36, comma 2, e 71. Pubblicate nella GU n.117 del

12 Le Regole tecniche FEA DPCM 22 febbraio 2013 Art. 55 Disposizioni generali 1. La realizzazione di soluzioni di firma elettronica avanzata è libera e non è soggetta ad alcuna autorizzazione preventiva. 2. I soggetti che erogano o realizzano soluzioni di firma elettronica avanzata si distinguono in: a) coloro che erogano soluzioni di firma elettronica avanzata al fine di utilizzarle nei rapporti intrattenuti con soggetti terzi per motivi istituzionali, societari o commerciali, realizzandole in proprio o anche avvalendosi di soluzioni realizzate dai soggetti di cui alla lettera b); b) coloro che, quale oggetto dell attività di impresa, realizzano soluzioni di firma elettronica avanzata a favore dei soggetti di cui alla lettera a)

13 Le Regole tecniche FEA DPCM 22 febbraio 2013 Art. 56 Caratteristiche delle soluzioni di firma elettronica avanzata 1. Le soluzioni di firma elettronica avanzata garantiscono: a) l identificazione del firmatario del documento; b) la connessione univoca della firma al firmatario; c) il controllo esclusivo del firmatario del sistema di generazione della firma, ivi inclusi i dati biometrici eventualmente utilizzati per la generazione della firma medesima; d) la possibilità di verificare che il documento informatico sottoscritto non abbia subito modifiche dopo l apposizione della firma; e) la possibilità per il firmatario di ottenere evidenza di quanto sottoscritto; f) l individuazione del soggetto di cui all articolo 55, comma 2, lettera a); g) l assenza di qualunque elemento nell oggetto della sottoscrizione atto a modificarne gli atti, fatti o dati nello stesso rappresentati; h) la connessione univoca della firma al documento sottoscritto.

14 Le Regole tecniche FEA Art. 57 Obblighi a carico dei soggetti che erogano soluzioni di firma elettronica avanzata 1. I soggetti di cui all art. 55, comma 2, lettera a) devono: a) identificare in modo certo l utente tramite un valido documento di riconoscimento, informarlo in merito agli esatti termini e condizioni relative all'uso del servizio, compresa ogni eventuale limitazione dell'uso, subordinare l attivazione del servizio alla sottoscrizione di una dichiarazione di accettazione delle condizioni del servizio da parte dell utente; b) conservare per almeno venti anni copia del documento di riconoscimento e la dichiarazione di cui alla lettera a) ed ogni altra informazione atta a dimostrare l ottemperanza a quanto previsto all articolo 56, comma 1, garantendone la disponibilità, integrità, leggibilità e autenticità; c) fornire liberamente e gratuitamente copia della dichiarazione e le informazioni di cui alla lettera b) al firmatario, su richiesta di questo;

15 Le Regole tecniche FEA d) rendere note le modalità con cui effettuare la richiesta di cui al punto c), pubblicandole anche sul proprio sito internet; e) rendere note le caratteristiche del sistema realizzato atte a garantire quanto prescritto dall articolo 56, comma 1; f) specificare le caratteristiche delle tecnologie utilizzate e come queste consentono di ottemperare a quanto prescritto, g) pubblicare le caratteristiche di cui alle lettere e) ed f) sul proprio sito internet; h) assicurare, ove possibile, la disponibilità di un servizio di revoca del consenso all'utilizzo della soluzione di firma elettronica avanzata e un servizio di assistenza.

16 Firma Digitale Articolo 1.1 Definizioni s) firma digitale: un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici;

17 ssemplicece ice sanitario storico amministrativi fiscalie.. La firma digitale : normative di riferimento DM 14/02/2007 D.lgs 42/2004 Codice beni culturali e del paesaggio DPR 445/2000 Decreto MEF 23/01/2004 Documento informatico D.Lgs 82/2005 CAD Deliberazione CNIPA 11/2004 DPCM 3/12/2013 Firma Elettronica Validazione Temporale Decreto Lgs 235/2010 aggiornamento CAD DPCM 22 Febbraio 2013

18 Firma digitale dietro le quinte Calcolo dell Hash ab23di85go11... Chiave privata Hash cifrato = Firma

19 Firma digitale dietro le quinte documento firma certificato

20 La verifica della firma La verifica della firma consiste nella decifratura dell hash cifrato (firma) e il successivo confronto con l hash calcolato del documento. Se le due impronte differiscono, il documento è stato alterato dopo la firma. Hash ab10cd11... certificato documento Chiave pubblica Firma Hash ab10cd11... Il documento non è stato alterato Il firmatario è quello indicato nel certificato

21 La verifica della firma Hash ab10cd11... certificato documento Chiave pubblica Firma Hash ab10cd98... Il documento è stato alterato dopo la firma

22 La garanzia: l Ente Certificatore La certificazione: finalità Il sistema di crittografia asimmetrica, da solo, non assicura l identificazione del soggetto che utilizza la coppia di chiavi. L Ente Certificatore è l infrastruttura tecnologica e organizzativa che garantisce la correttezza e l inviolabilità dell associazione tra: = Chiave Pubblica e Titolare

23 La garanzia: l Ente Certificatore L Ente Certificatore: definizione Soggetto pubblico o privato che effettua la certificazione... identifica la persona che richiede il certificato rende certa l identità del soggetto fisico che ha generato una firma rilascia, gestisce, pubblica e revoca i certificati assicura la corrispondenza tra il titolare e la sua chiave pubblica impedisce il disconoscimento della firma (non ripudio)

24 Certificati Digitali Certificati Digitali Certificato di sottoscrizione Certificato di ruolo Certificato di autenticazione Certificato CNS Certificato di Time Stamping (marcatura temporale)

25 Certificati Digitali Certificati Digitali Certificato di Sottoscrizione Permette di apporre una firma digitale attribuendo valore legale al documento. E generato seguendo indicazioni e standard normati. Certificato di Sottoscrizione con Ruolo Permette di apporre una firma digitale attribuendo valore legale al documento. E generato seguendo indicazioni e standard normati. Indica funzioni, titoli o abilitazioni professionali e poteri di rappresentanza del titolare.

26 Certificati Digitali Certificati Digitali Certificato di Autenticazione Permette di autenticarsi a siti web e di Codice Fiscale firmare messaggi di posta elettronica. Nome Cognome Non è standardizzato. Certificato di Autenticazione CNS Permette di autenticarsi a siti web e di Firmare messaggi di posta elettronica. Rilasciato dalla PA, è generato seguendo indicazioni e standard normati.

27 Certificati Digitali Validità Un certificato ha un periodo di validità, ma prima della scadenza il certificato può essere sospeso o revocato La revoca o sospensione viene segnalata pubblicando le liste di revoca e sospensione Quindi, un certificato è valido se è nel periodo di validità e non è revocato o sospeso U Una firma digitale non è valida se non lo è il certificato relativo

28 se Il diventa certificato elettronico qualificato ===== 28 ===== la carta (corpus la carta (corpus Certification Authority Data e ora di rilascio Data e ora di scadenza Dati identificativi del soggetto con Codice Fiscale È possibile indicare anche l organizzazione di appartenenza del titolare

29 Marca temporale Validazione Temporale è il risultato di una procedura informatica che attribuisce a uno o più documenti una data e un ora certa Riferimento temporale Informazione, contenente data e ora, ottenuta con soluzioni interne. Le misure attuate a garanzia dell associazione e della precisione di data e ora devono essere documentate Marca temporale servizio rilasciato da una CA che associa a uno o più documenti informatici una data e ora certe e opponibili ai terzi.

30 Marca temporale DPCM 22 febbraio 2013 Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali, ai sensi degli articoli 20, comma 3, 24, comma 4, 28, comma 3, 32, comma 3, lettera b), 35, comma 2, 36, comma 2, e 71. Fornita da una Terza Parte Fidata, è un servizio che può essere erogato solamente da una CA Garantisce che il riferimento è una data certa ed è opponibile ai terzi Il certificatore deve assicurare un errore massimo di 1 e un tempo di risposta non superiore a 1 dall invio della richiesta Il server di marca della CA deve essere tenuto allineato alla fonte ufficiale abilitata a fornire il tempo campione (IEN G. Ferraris INRIM) (D.M. 591/1993)

31 Rilascio L iter di certificazione Ufficio di Registrazione Registrazione e Richiesta di certificazione Caricamento del Certificato nella SC Ente Certificatore Certificato

32 La firma digitale Gli strumenti di lavoro Lettore Personal Computer Smart-card

33 La firma digitale Gli strumenti di lavoro Business KEY

34 Firma remota Requisiti per l apposizione della firma Una soluzione per l apposizione di una firma digitale deve presupporre necessariamente: Che il firmatario abbia la titolarità del suo dispositivo di firma. Questo avviene mediante il possesso fisico del dispositivo, oppure mediante la conoscenza di codici personali per l apposizione della firma stessa ( codici per la generazione della firma ). Il documento firmato si presume riconducibile al titolare del dispositivo di firma. In caso di necessità di ripudio della F firma, è il firmatario che deve dimostrare l abuso del dispositivo stesso, con inversione dell onere della prova. Che il software di firma visualizzi i documenti al firmatario prima dell apposizione della firma, o li renda visualizzabili. Che il firmatario manifesti chiaramente la sua volontà ad apporre la firma sul documento mediante digitazione del PIN.

35 Firma remota smart card lettore software Modello 1 dispositivo fisico di firma software del lettore proprio PC = FIRMA DIGITAL E Certificato di Firma remota fffff + = FIRMA DIGITAL E qualsiasi PC

36 Firma remota Modello 1 dispositivo fisico La soluzione per l apposizione di una firma digitale via smartcard o token USB rispetta i requisiti in quanto: Titolarità del dispositivo Garantita dal possesso fisico del dispositivo in capo al firmatario Visualizzazione dei documenti Garantita dalle funzionalità del software di firma, che rende visualizzabili i documenti prima della firma Manifestazione della volontà a firmare Garantita dall inserimento del PIN di firma nell apposita maschera

37 Firma remota Modello 2 Firma Remota Servizio progettato per l apposizione di una firma digitale, ogni volta con inserimento del PIN, sui documenti volta per volta definiti dal firmatario, utilizzando la chiave privata custodita presso un server HSM centralizzato. È una sorta di remotizzazione della smartcard di firma La soluzione di firma remota deve garantire che solamente il titolare, identificato in maniera sicura, possa attivare in maniera esclusiva la generazione della firma, con la piena consapevolezza del documento che sta sottoscrivendo. Per garantire l'identità del titolare che imputa il PIN di firma, si deve progettare un adeguato processo di autenticazione, che viene a ricoprire un ruolo fondamentale per il "riconoscimento" del titolare e per garantirne la sicura identità. Ad esempio: Token OTP fisico Software OTP installato su telefonino OTP via SMS

38 La Firma Firma remota remota Modello 2 Firma Remota La soluzione per l apposizione di una firma digitale con firma remota rispetta i requisiti in quanto: Titolarità del dispositivo Garantita dall autenticazione forte al sistema di firma, che deve essere effettuata ad ogni apposizione di firma. L autenticazione avviene mediante dispositivo fisico (es OTP fisico), mediante strumenti software (OTP software), o ancora dimostrando la conoscenza di codici identificativi univoci (es. OTP via SMS) Visualizzazione dei documenti Garantita dalle funzionalità del software di firma, che rende visualizzabili i documenti prima della firma Manifestazione della volontà a firmare Garantita dall inserimento del PIN di firma nell apposita maschera, al momento dell apposizione della firma (per ogni documento).

39 Firma La firma remota remota Modello 2 Firma Remota Servizio di firma digitale remota consente di firmare digitalmente senza smart card o Business Key utilizzabile con User, PIN e OTP (One Time Password) conserva in sicurezza il certificato di sottoscrizione utilizzabile con il software gratuito Dike fornito con sistema OTP software integrato

40 La firma remota Modello 2 Firma Remota consente di: eliminare il lettore di smart card eliminare la smart card eliminare la postazione dedicata si utilizza: con Dike con una qualsiasi postazione collegata ad internet

41 Firma remota remota : operazioni : operazioni preliminari preliminari Modello 2 Firma Remota La firma remota si utilizza come una normale firma digitale Scaricando ed installando Dike sulla postazione Selezionando l opzione Firma Remota sulla scelta del lettore Digitando User e PIN al momento della Firma Il servizio di One Time Password è già integrato nella procedura

42 Firma remota: remota utilizz : utilizzo Modello 2 Firma Remota Selezione del lettore Firma Remota

43 Firma remota : utilizzo Modello 2 Firma Remota Selezione del documento da firmare

44 Firma remota remota : utilizzo: utilizzo Modello 2 Firma Remota Firma del documento

45 Firma remota remota : utilizzo: utilizzo Modello 2 Firma Remota Documento firmato

46 Cricitita La presenza di tanti tipi di firma porrà due ordini di problemi: Quale firma devo utilizzare per i miei documenti? Come si trattano i documenti informatici firmati con firma elettronica, avanzata, qualificata o digitale?

47 Quale Firma? La scelta dipende da: valore legale del documento da generare e necessità del requisito di forma scritta; presenza o meno dell intervento del Pubblico Ufficiale; livello di garanzia che si intende fornire al firmatario (più la firma è light e più sarà facile falsificare una firma elettronica con l onere della prova che ricade sul firmatario!)

48 E i documenti? Di norma, i documenti informatici vanno mantenuti tali e quindi non vanno stampati! Serve l utilizzo di un protocollo informatico(solo pubbliche amministrazioni) Serve un gestore documentale per il trattamento dei documenti con una piena tracciatura delle attività È necessario costruire il fascicolo informatico È necessario porre i documenti in conservazione sostitutiva.

49 Firma Digitale : utilizzo FATTURE ELETTRONICHE PRATICHE CAMERA DI COMMERCIO CONTRATTI BANDI REGIONALI SUAP o i BANCHE,ASSICURAZIONI IDENTIFICAZIONE AZIENDALE

50 Grazie per l attenzione!