La Firma Digitale - Seconda parte -

Transcript

1 La Firma Digitale - Seconda parte - Martina Mancinelli 15 Novembre 2014 Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

2 1 Sommario 2 Considerazioni sulla FD Ricapitolando Vulnerabilità della FD 3 I formati sicuri ASCII TIFF PDF PDF/A 4 I formati della FD I vantaggi del PDF 5 Le marche temporali Validità temporale della FD La marca temporale Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

3 Ricapitolando... la FD è ciò che garantisce la genuinità, la provenienza e la non ripudiabilità di un documento la FD è basata su un certificato qualificato e su un sistema di chiavi crittografiche la FD per avere valore probatorio deve essere applicata con un SSCD (Secure Signature Creation Device) l Ente Certificatore è una trusted third part (terza parte fidata), chiamata anche Certification Authoriry (CA): garantisce l identità del mittente e l integrità del messaggio Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

4 Vulnerabilità della firma digitale 1 il PC utilizzato per generare l impronta è potenzialmente insicuro (spyware, keylogger, worms, virus...) 2 il processo di apposizione della firma assume come data e ora quella del PC sul quale si sta operando (un dato facilmente manipolabile) 3 la presenza di macro o di codici eseguibili che non garantiscono la staticità del documento, facendo venire meno il principio del WYSIWYS- What You See Is What You Sign (infatti nel DPCM 13 gennaio 2004 si esclude espressamente la validità della firma digitale [...] se contiene macroistruzioni o codici eseguibili, tali da attivare funzionalità che possano modificare gli atti, i fatti o i dati nello stesso rappresentati) Lessico Macro insieme di comandi o istruzioni, tipicamente ricorrente durante l esecuzione di un programma, le macro consentono di ottenere una serie di operazioni con l invio di un solo comando. Codice eseguibile testo di un algoritmo di un programma scritto in un linguaggio di programmazione da parte di un programmatore. Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

5 Soluzioni 1 usare antivirus e antispyware o sistemi operativi non vulnerabili a tali attacchi (es. Linux) 2 usare le marche temporali 3 usare formati che non supportino l inclusione di istruzioni, come l ASCII, il PDF/A o le immagini (.jpeg,.png,.tiff) Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

6 ASCII Acronimo di American Standard Code for Information Interchange, è un sistema di codifica dei caratteri a 7 bit: il formato standard dei comuni file di testo (standard perché in quanto quasi tutti, per non dire tutti, i sistemi operativi sono in grado di gestirlo opportunamente). Ma l ASCII standard codifica soltanto i caratteri alfanumerici, segni di punteggiatura, qualche simbolo e dei caratteri di controllo, rimangono escluse da tale formato le lettere accentate e per questo motivo sono nate delle estensioni al codice ASCII standard, la più usata è l UTF-8. L ASCII è sicuro perché non contiene macro o codice eseguibile. Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

7 .tiff Acronimo di Tagged Image File Format, è un formato immagine tipo raster, che permette di rappresentare le immagini con diversi spazi di colore (scale di grigio, RGB, CMYK, CIELab). Figura : Immagine bitmap Figura : Immagine vettoriale Poiché a seconda dell interprete che si utilizza l immagine può essere visualizzata con colori diversi, secondo l Allegato Tecnico del Decreto Interdirigenziale del 21 dicembre 2010 il documento.tiff deve essere in bianco e nero. Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

8 .pdf Acronimo di Portable Document Format è un formato ideato da Adobe, basato su un linguaggio di descrizione della pagina che permette di rappresentare i documenti in modo indipendente dall hardware o il software utilizzati per generarli o visualizzarli. Un.pdf può contenere testo e immagini. Per queste sue caratteristiche è diventato oggi un formato standard, tanto che Adobe ha sviluppato il prodotto Acrobat Reader, un applicazione gratuita in grado di leggere i documenti in.pdf, pubblicandone le specifiche tecniche, affinché chiunque possa realizzare un applicazione per visualizzare un file.pdf. Tuttavia il.pdf non è compatibile con un processo di conservazione digitale: non garantisce la riproducibilità a lungo termine, né la conservazione dell aspetto visivo. Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

9 Il formato PDF/A È un formato regolato dallo standard ISO per la conservazione a lungo termine dei documenti: garantisce che il documento sia visualizzabile sempre allo stesso modo anche a distanza di tempo e utilizzando software diversi. Ciò accade perché il PDF/A include tutto il contenuto visibile del documento (testo immagini, fonts, colori...), non può contenere macro o riferimenti a elementi non presenti nel file (come link esterni). Il PDF/A è suddiviso in due parti: PDF/A-1a massimo richiesto dallo standard, è l unico approvato. PDF/A-1b minimo richiesto dallo standard, è incluso nel PDF/A-1a. COME SI CREA? Il PDF/A si può produrre con Adobe Acrobat Professional, Microsoft Office e software liberi come OpenOffice e LibreOffice. Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

10 Cos è lo Standard ISO? L Organizzazione internazionale per la normalizzazione, anche detta ISO (dal termine greco isos, che significa uguale), è un organizzazione non governativa mondiale che si occupa della definizione di norme tecniche. Tra la lunga lista degli standard ISO, ricordiamo: ISO 646 standard delle varianti del codice ASCII ISO standard del formato PDF ISO standard del PDF/A ISO 8601 standard delle marche temporali ISO 9362 standard dei codici d identificazione bancaria, chiamato anche codece SWIFT o BIC ISO/IEC standard del formato di compressione immagini.jpeg (Joint Photographic Experts Group) 1 IEC sta per Commissione Elettrotecnica Internazionale, organizzazione internazionale per la definizione di standard in materia di elettricità, elettronica e tecnologie correlate. Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

11 I formati di FD pkcs#7 o p7m, è il primo formato usato per la i documenti firmati digitalmente. È l unico formato che la PA accetta automaticamente. Il formato p7m colloca il documento firmato in un nuovo file (lo imbusta); questo procedimento non solo vieta l accesso a chi non ha un applicazione compatibile, ma risulta artificioso in quanto, nel momento in cui il documento viene sbustato, si creano due file: uno firmato e uno non firmato. PDF con la deliberazione CNIPA n.4/2005 il 16 febbraio 2006 è stato sottoscritto un protocollo d intesa tra Adobe System Inc. e CNIPA: il PDF può essere usato per firmare digitalmente, senza dover pagare alcuna royalty ad Adobe. XML con la deliberazione CNIPA n.34/2006 è diventato il nuovo formato di firma, diffuso nel settore bancario e sanitario. Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

12 I vantaggi del PDF verificare firme e marche temporali di ogni formato accedere in modo immediato e semplice al documento firmato apporre firme multiple, dando la possibilità di apportare modifiche al documento, successive alla firma, senza invalidare quest ultima apporre campi firma, che garantiscono il WYSIWYS, permettono di contestualizzare la validità della firma in sezioni differenti di un documento e consentono di controllare le tipologie di firma apponibili a un documento associare una marca temporale alla firma, il documento marcato e firmato continua a essere un PDF senza l aggiunta di suffissi o file esterni al documento inglobare dati XML, con grande vantaggio del Protocollo Informatico e della Fattura Elettronica Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

13 Validità temporale della FD I certificati hanno una durata limitata (da 1 a 3 anni): quando un certificato scade la firma non è più valida. L apposizione ad un documento informatico di una firma elettronica basata su un certificato elettronico revocato, scaduto o sospeso equivale a mancata sottoscrizione. La sicurezza di un sistema crittografico non è assoluta, ma è limitata al periodo temporale necessario per forzarlo. La proroga della validità di un documento dopo la scadenza di un certificato si ottiene con: marche temporali Posta Elettronica Certificata Protocollo informatico Validazione temporale risultato di una procedura informatica, con cui si attribuisce a uno o più documenti informatici, un riferimento temporale opponibile a terzi Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

14 La marca temporale È un evidenza informatica che consente la validazione temporale. Consiste nella generazione da parte di una terza parte fidata di una ulteriore firma digitale aggiuntiva rispetto a quella del sottoscrittore. PROCESSO DI MARCATURA: l impronta del documento viene inviata al servizio di marcatura temporale il servizio di marcatura aggiunge data e ora all impronta ricevuta (secondo la scala del tempo internazionale UTC) 2 l impronta marcata viene firmata digitalmente con la chiave privata del servizio, si crea così la marca temporale (.m7m) tramite la chiave pubblica del servizio si recuperano l impronta del documento, la data e l ora Tutte le marche temporali sono conservate in un apposito archivio digitale per un periodo non inferiore a 5 anni e, su richiesta dell interessato, per un periodo maggiore. 2 Tra la richiesta di validazione e la generazione della marca non deve trascorrere pi di un minuto. Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15

15 Materiale scaricabile on line sul blog archiviando.wordpress.com This work is licensed under a Creative Commons BY-ND 4.0 Italia License Martina Mancinelli La Firma Digitale - Seconda parte - 15 Novembre / 15