LE NORME pre-recepimento

Transcript

1 FIRMA DIGITALE: LE NORME Stefano Arbia - ForumPA 2004 LE NORME pre-recepimento = Firma Autografa 1

2 LE NORME pre-recepimento LE NUOVE NORME 2

3 LE INNOVAZIONI I CERTIFICATI 3

4 I CERTIFICATORI LE FIRME ELETTRONICHE 4

5 LE NUOVE NORME (Art. 38, comma 2, DPR 28 dicembre 2000) La Firma Digitale nella Direttiva 5

6 Nome Cognome Nome Cognome Nome Cognome La Firma Digitale nella Direttiva LO SCAMBIO DOCUMENTALE Certificatore Certificatore ACCREDITATO ACCREDITATO Certificato Qualificato Certificato Qualificato Certificatore ACCREDITATO Altri Certificatori Certificato Qualificato Certificato non Qualificato 6

7 Altre innovazioni introdotte dalla Direttiva Gli effetti sul pregresso 7

8 Art. 10 Forma ed efficacia del documento informatico comma 2 Il documento informatico, sottoscritto con firma elettronica, soddisfa il requisito legale della forma scritta. Sul piano probatorio il documento stesso è liberamente valutabile, tenuto conto delle sue caratteristiche oggettive di qualità e sicurezza. Esso inoltre soddisfa l obbligo previsto dagli articoli 2214 e seguenti del codice civile e da ogni altra analoga disposizione legislativa o regolamentare. Art. 10 Forma ed efficacia del documento informatico comma 3 Il documento informatico, quando è sottoscritto con firma digitale o con un altro tipo di firma elettronica avanzata, e la firma è basata su di un certificato qualificato ed è generata mediante un dispositivo per la creazione di una firma sicura, fa inoltre piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l ha sottoscritto. 8

9 Art. 10 Forma ed efficacia del documento informatico comma 4 Al documento informatico, sottoscritto con firma elettronica, in ogni caso non può essere negata rilevanza giuridica né ammissibilità come mezzo di prova unicamente a causa del fatto che è sottoscritto in forma elettronica ovvero in quanto la firma non è basata su di un certificato qualificato oppure non è basata su di un certificato qualificato rilasciato da un certificatore accreditato o, infine, perché la firma non è stata apposta avvalendosi di un dispositivo per la creazione di una firma sicura. Lo Strumento Firma Digitale 9

10 Lo Strumento Firma Digitale L integrazione degli Strumenti CIE, CNS e Firma Digitale Strumenti di identificazione e di autenticazione in rete Consente di sottoscrivere una dichiarazione, atto, istanza, o qualunque atto o fatto rappresentato in una evidenza informatica 10

11 CIE, CNS, Firma Digitale CIE/CNS + Firma digitale consentono l autenticazione e l interazione con i servizi in rete delle Pubbliche Amministrazioni Diffusione Dicembre 2003 Dispositivi di firma forniti >

12 Crittografia Stefano Arbia - ForumPA 2004 Le chiavi e la crittografia asimmetrica Chiave pubblica Chiave privata 12

13 Le chiavi e la crittografia asimmetrica Spett.le Sig. Rossi Da96dv fdsfw Spett.le Sig. Rossi Spett.le Sig. Rossi Da96dv fdsfw Spett.le Sig. Rossi Le chiavi e la crittografia asimmetrica 13

14 Le chiavi e la crittografia asimmetrica La sottoscrizione digitale 14

15 Il Certificato Nome: Mario Cognome: Rossi CF: RSSMRI58T30H501H La sottoscrizione digitale Spett.le Sig. Rossi Estratto (hash) del documento Estratto cifrato del documento Spett.le Sig. Rossi Estratto cifrato del documento Nome: Mario Cognome: Rossi CF:RSSMRI58T30H501H PKCS#7 xxx.p7m 15

16 Il processo di verifica Spett.le Sig. Rossi Estratto cifrato del documento Nome: Mario Cognome: Rossi CF:RSSMRI58T30H501H PKCS#7 Estratto (hash) del documento = Estratto (hash) del documento GARANZIA DI INTEGRITA E AUTENTICITA Il processo di verifica Spett.le Sig. Rossi Estratto cifrato del documento Nome: Mario Cognome: Rossi CF:RSSMRI58T30H501H PKCS#7 Estratto (hash) del documento Estratto (hash) del documento Documento modificato dopo la firma 16

17 Caratteristiche della Firma digitale Il testo non può essere modificato (INTEGRITA ) Non è possibile prelevare la firma da un documento ed associarla ad altro Attraverso il certificato è garantita dal Certificatore la veridicità delle informazioni anagrafiche del sottoscrittore (AUTENTICITA ) AUTENTICITA + INTEGRITA = NON RIPUDIO Infrastruttura a Chiave Pubblica Stefano Arbia - ForumPA

18 Funzionalità della PKI Attori principali 18

19 Certification Autority Genera la propria coppia di chiavi Riceve le richieste di certificazione dalle RA Genera e sottoscrive i certificati Riceve e gestisce richieste di sospensione e revoca Mantiene aggiornata la CRL Mantiene aggiornata la lista dei certificati emessi Garantisce l'unicità dei certificati Definisce le policy che anche la RA deve seguire Registration Autority Verifica l identità del richiedente Eventualmente genera la coppia di chiavi per il richiedente Genera la richiesta di certificazione e la invia alla CA Mantiene la documentazione relativa al Titolare Eventualmente fornisce il dispositivo di firma Il ruolo di RA può essere demandato all Amministrazione 19

20 PKI 10 C.S.P. C.A. Elenco Certificati R.A. R.A. LDAP PKI C.S.P. C.A. Elenco Certificati Revocati o Sospesi R.A. Revoca!!! LDAP HTTP OCSP... 20

21 Il Certificato - il suo contenuto Conforme allo standard X.509 v.3 Descritto nella RFC 2459 (superata dalla RFC 3280) Conforme alla Circolare AIPA/CR/24 sull interoperabiltà Il sistema di Trust in Italia Elenco Pubblico Certificatori Sottoscritto con firma digitale dal Presidente del CNIPA I codici identificativi della chiave pubblica del Presidente dell Autorità sono stati pubblicati con CIRCOLARE 18 settembre 2003, n. CNIPA/CR/42 (Gazzetta Ufficiale n. 222 del 24 settembre 2003) 21

22 Il sistema di Trust in Italia Elenco Pubblico Certificatori DATI IDENTIFICATIVI & CERTIFICATI DELLE C. A. Sottoscritto con firma digitale dal Presidente del CNIPA Il sistema di Trust in Italia CERTIFICATO DI SOTTOSCRIZIONE Dati identificazione Sottoscritto con firma digitale dal Certificatore Chiave Pubblica 22

23 Utilizzo pratico della firma digitale Stefano Arbia - ForumPA 2004 Il processo di firma 23

24 24

25 25

26 26

27 27

28 28

29 Il processo di verifica Stefano Arbia - ForumPA

30 30

31 31

32 32

33 33

34 34

35 Attenzione ai campi dinamici Stefano Arbia - ForumPA

36 36

37 37

38 38

39 Interoperabilità Stefano Arbia - ForumPA 2004 Con la Circolare AIPA/CR/24 si è ottenuta l'interoperabilità a livello di verifica. In attesa di più puntuali indicazioni europee CNIPA e certificatori stanno lavorando a: - struttura dei certificati e loro estensione - rappresentazione dei dati nei certificati - struttura e formato delle CRL - struttura e rappresentazione dei documenti firmati - marcatura temporale Non si ha interoperabilità dei dispositivi di firma 39

40 Nuove regole Approfondimento sul DPCM 13 gennaio 2004 ART. 1 (nuovo DPCM) Definizioni g) riferimento temporale, informazione, contenente la data e l'ora, che viene associata ad uno o più documenti informatici; h) validazione temporale, il risultato della procedura informatica, con cui si attribuisce, ad uno o più documenti informatici, un riferimento temporale opponibile ai terzi; i) marca temporale, un evidenza informatica che consente la validazione temporale. 40

41 ART. 3 Norme tecniche di riferimento 3. Il documento informatico sottoscritto con firma digitale o altro tipo di firma elettronica avanzata basata su un certificato qualificato e generata mediante un dispositivo sicuro per la creazione di una firma non produce gli effetti di cui all articolo 10, comma 3, del testo unico se contiene macroistruzioni o codici eseguibili, tali da attivare funzionalità che possano modificare gli atti, i fatti o i dati nello stesso rappresentati. ART. 10 Verifica delle firme digitali 1. I certificatori che rilasciano certificati qualificati devono fornire ovvero indicare almeno un sistema che consenta di effettuare la verifica delle firme digitali. 41

42 ART. 29 Accesso del pubblico ai certificati 1. Le liste dei certificati revocati e sospesi devono essere rese pubbliche. 2. I certificati qualificati, su richiesta del titolare, possono essere accessibili alla consultazione del pubblico, ovvero comunicati a terzi, esclusivamente nei casi consentiti dal titolare del certificato e nel rispetto della legge 31 dicembre 1996, n. 675, e successive modificazioni. ART. 39 Riferimenti temporali opponibili ai terzi 1. Le pubbliche amministrazioni possono anche utilizzare come sistemi di validazione temporale: a) il riferimento temporale contenuto nella segnatura di protocollo di cui all articolo 9 del decreto del Presidente del Consiglio dei ministri, 31 ottobre 2000, pubblicato sulla Gazzetta Ufficiale 21 novembre 2000, n. 272; b) il riferimento temporale ottenuto attraverso la procedura di conservazione dei documenti in conformità alle norme vigenti; c) il riferimento temporale ottenuto attraverso l utilizzo di posta certificata ai sensi dell articolo 14 del testo unico. 42

43 ART. 43 Limitazioni d uso 1. Il certificatore, su richiesta del titolare o del terzo interessato, è tenuto a inserire nel certificato qualificato eventuali limitazioni d uso. (previsione solo per i certificatori accreditati) ART. 54 Abrogazioni 1. Dall entrata in vigore del presente decreto è abrogato il decreto del Presidente del Consiglio dei ministri 8 febbraio 1999, recante le regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici, pubblicato sulla Gazzetta Ufficiale 15 aprile 1999, n

44 Approfondimento sul DPR 137 Articolo 29-quinquies (R) Norme particolari per le pubbliche amministrazioni e per altri soggetti qualificati. 1. Ai fini della sottoscrizione, ove prevista, di documenti informatici di rilevanza esterna, le pubbliche amministrazioni: a) possono svolgere direttamente l'attività di rilascio dei certificati qualificati avendo a tale fine l'obbligo di accreditarsi b) possono rivolgersi a certificatori accreditati, secondo la vigente normativa in materia di contratti pubblici. 44

45 Articolo 29-quinquies (R) Norme particolari per le pubbliche amministrazioni e per altri soggetti qualificati. 2. Per la formazione, gestione e sottoscrizione di documenti informatici aventi rilevanza esclusivamente interna ciascuna amministrazione può adottare, nella propria autonomia organizzativa, regole diverse da quelle contenute nelle regole tecniche di cui all'articolo 8, comma 2. Garanzie fornite dalla firma digitale 45

46 Titolarità della firma: è garantita dalla Certification Authority che assicura l'associazione fra dati del titolare e chiave pubblica sottoscrivendo il certificato con firma digitale Univocità di ogni singola firma: ciò che si firma è l'impronta del documento e l'impronta è unica per ogni documento Integrità dei dati: anche una piccola modifica è rilevata dai prodotti di verifica rendendo nulla la firma stessa INTEGRITA NON RIPUDIO 46

47 Art. 10 (L) Forma ed efficacia del documento informatico 3. Il documento informatico, quando è sottoscritto con firma digitale o con un altro tipo di firma elettronica avanzata, e la firma è basata su di un certificato qualificato ed è generata mediante un dispositivo per la creazione di una firma sicura, fa inoltre piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l ha sottoscritto. Firma digitale Certificato qualificato SSCD piena prova, fino a querela di falso Art. 10 (L) Forma ed efficacia del documento informatico 4. Al documento informatico, sottoscritto con firma elettronica, in ogni caso non può essere negata rilevanza giuridica né ammissibilità come mezzo di prova unicamente a causa del fatto che è sottoscritto in forma elettronica ovvero in quanto la firma non è basata su di un certificato qualificato oppure non è basata su di un certificato qualificato rilasciato da un certificatore accreditato o, infine, perché la firma non è stata apposta avvalendosi di un dispositivo per la creazione di una firma sicura. Altre tipologie probatorietà 47

48 Firma digitale e archiviazione documentale Stefano Arbia - ForumPA 2004 Il DPR 445 Articolo 9 (R) Documenti informatici delle pubbliche amministrazioni. 1. Gli atti formati con strumenti informatici, i dati e i documenti informatici delle pubbliche amministrazioni, costituiscono informazione primaria ed originale da cui è possibile effettuare, su diversi tipi di supporto, riproduzioni e copie per gli usi consentiti dalla legge. 48

49 La Nuova Delibera Delibera CNIPA/11 19 febbraio 2004 Semplificazioni tecniche nel processo di archiviazione La Nuova Delibera Delibera 42 Aggregazione oggetti Calcolo Impronta Riferimento temporale Firma digitale Delibera 11 Come da Delibera 42 oppure Riferimento temporale e firma digitale apposti su una evidenza informatica contenente una o più impronte dei documenti o di insiemi di essi 49

50 La Nuova Delibera La nuova Delibera 11 del 19 febbraio 2004 avrà ripercussioni anche sulla Circolare 33/03 del Ministero del Lavoro circa la tenuta dei libri paga e matricola. La Carta Nazionale dei Servizi Stefano Arbia - ForumPA

51 La Carta Nazionale dei Servizi La CNS, contrariamente alla Carta d Identità Elettronica (CIE), non è un documento per l identificazione a vista E uno strumento di autenticazione in rete: consente l accesso ai servizi resi disponibili per via telematica dalle PP.AA. La Carta Nazionale dei Servizi La CNS può contenere le informazioni necessarie per apporre firme digitali La CNS può contenere quindi quanto necessario per accedere ai servizi in rete (autenticazione) e sottoscrivere istanze, dichiarazioni, documenti (firma digitale) 51

52 La Carta Nazionale dei Servizi Tutte le PP. AA. che erogano servizi in rete devono garantirne l accesso ai titolari di CNS (e CIE) La CNS può contenere applicazioni speciali La CNS può supportare funzioni di pagamento (anche tramite la banda magnetica) La CNS non è compatibile con le specifiche EMV per le nuove carte di debito e credito La Carta Nazionale dei Servizi Le CNS sono emesse dalle amministrazioni L amministrazione che emette Carte Nazionali Servizi è responsabile di definire un servizio di call center per la revoca e la sospensione L amministrazione può disporre la revoca L amministrazione che emette le CNS definisce le procedure di gestione, personalizzazione e rilascio delle CNS e le descrive in un apposito manuale della sicurezza 52

53 La Carta Nazionale dei Servizi A titolo esemplificativo e non esaustivo è necessario prevedere: Tracciatura (log) delle operazioni in fase di personalizzazione Autenticazione degli operatori adibiti alla personalizzazione Stampa dei PIN/PUK in buste retinate Rilascio separato di PIN/PUK e della CNS La Carta Nazionale dei Servizi L utilizzo della CNS, per l autenticazione in rete è protetto da un codice personale di identificazione (PIN) che è consegnato con particolari cautele al legittimo titolare della carta Anche l accesso ai dati contenuti nella carta sono accessibili solo previa autorizzazione del titolare 53

54 La Carta Nazionale dei Servizi Il codice fiscale del titolare della CNS deve essere verificato. La CNS può contenere applicazioni speciali. I certificatori accreditati per la firma digitale possono svolgere un ruolo importante nella emissione della CNS. La CNS non contiene dati sanitari ma consente di usufruire del sistema sanitario. 54

55 La Carta Nazionale dei Servizi L utilizzo della CNS e della CIE consente di rendere più agevoli i rapporti con le Amministrazioni centrali e locali I limiti imposti dagli orari di apertura degli uffici pubblici saranno superati consentendo di connettersi ai servizi attraverso la rete negli orari più comodi per il cittadino La Carta Nazionale dei Servizi Il D.P.R. 2 marzo 2004, n 117 Regolamento concernente la diffusione della carta nazionale dei servizi è stato pubblicato il 6 maggio 2004 sulla Gazzetta Ufficiale n

56 La Carta Nazionale dei Servizi Chi può emettere la Carta Nazionale Servizi? D.lgs. 30 marzo 2001, n Per amministrazioni pubbliche si intendono tutte le amministrazioni dello Stato, ivi compresi gli istituti e scuole di ogni ordine e grado e le istituzioni educative, le aziende ed amministrazioni dello Stato ad ordinamento autonomo, le Regioni, le Province, i Comuni, le Comunità montane, e loro consorzi e associazioni, le istituzioni universitarie, gli Istituti autonomi case popolari, le Camere di commercio, industria, artigianato e agricoltura e loro associazioni, tutti gli enti pubblici non economici nazionali, regionali e locali, le amministrazioni, le aziende e gli enti del Servizio sanitario nazionale, l'agenzia per la rappresentanza negoziale delle pubbliche amministrazioni (ARAN) e le Agenzie di cui al decreto legislativo 30 luglio 1999, n. 300 (2). Posta Certificata Stefano Arbia - ForumPA

57 Punto di Accesso Punto di Ricezione Mittente Destinatario Posta Certificata Punto di Accesso Punto di Ricezione 1 Autenticazione Mittente Destinatario Posta Certificata 57

58 Punto di Accesso Punto di Ricezione 2 Invio Messaggio Mittente Destinatario Posta Certificata 3 Ricevuta Accettazione Punto di Accesso Punto di Ricezione Mittente Destinatario Posta Certificata 58

59 4 Messaggio di Trasporto Punto di Accesso Punto di Ricezione Mittente Destinatario Posta Certificata 5 Ricevuta Presa in Carico Punto di Accesso Punto di Ricezione Mittente Destinatario Posta Certificata 59

60 6 Deposito Messaggio nella mailbox del Destinatario Punto di Accesso Punto di Ricezione Mittente Destinatario Posta Certificata 7 Ricevuta Avvenuta Consegna Punto di Accesso Punto di Ricezione Mittente Destinatario Posta Certificata 60

61 Punto di accesso Autentica il proprio utente di Posta Certificata Emette la RICEVUTA DI ACCETTAZIONE Costruisce il messaggio di trasporto e lo invia al Punto di Ricezione Punto di Ricezione Emette la RICEVUTA DI PRESA IN CARICO Inserisce il messaggio nella mailbox del destinatario Invia al mittente una RICEVUTA DI AVVENUTA CONSEGNA Conserva la RICEVUTA DI ACCETTAZIONE Conserva la RICEVUTA DI AVVENUTA CONSEGNA Mittente Indica la propria Casella di Posta Certificata Accede periodicamente alla casella di posta certificata Destinatario Posta Certificata Cosa accade se il destinatario non accede alla propria casella di Posta Certificata? La trasmissione del documento informatico per via telematica, con modalità che assicurino la disponibilità all indirizzo elettronico dichiarato, equivale alla notificazione per mezzo della posta nei casi consentiti dalla legge. Posta Certificata 61

62 e la Legge 20 novembre 1982, n. 890 dispone all articolo 8 che: La notificazione si ha per eseguita decorsi dieci giorni dalla data del deposito. Posta Certificata Ricevuta Presa in Carico Ricevuta Avvenuta Consegna Posta Certificata 62