Postecom Certificatore: I sistemi, i servizi. Postecom Spa - Data - Titolo presentazione

Transcript

1 Postecom Certificatore: I sistemi, i servizi Postecom Spa - Data - Titolo presentazione

2 Servizi di certificazione: asset Asset storici di carattere generale Asset specifici di recente costituzione! Ruolo di servizio pubblico Istituzionale degli Uffici di Poste Italiane con forte affidamento e riconoscibilità (per l identificazione certa dei richiedenti la certificazione).! Forte capillarità e diffusione sul territorio.! Capacità e competenze a svolgere compiti analoghi.! Competenze specifiche acquisite in un settore ad alta complessità tecnologia, normativa ed organizzativa.! Rapporti con soggetti istituzionali e PA come clienti.! Rapporti le principali aziende dell ICT come partner. Postecom dal 20 aprile del 2000 è iscritto nell elenco pubblico tenuto da CNIPA (ex AIPA) Postecom è socio fondatore di AssoCertificatori. Il sistema Qualità è certificato ISO 9001:2000 Postecom Spa - Data - Titolo presentazione Pag. 2

3 Contesto normativo Art. 15,comma 2 Legge 59/97 atti e contratti possono essere realizzati anche attraverso l uso di strumenti elettronici. regolamento DPR 513/97 criteri di realizzazione, archiviazione e trasmissione di documenti con strumenti informatici e telematici, validi e rilevanti a tutti gli effetti di legge. E' STATO POI INTEGRATO NEL DPR 445/200 (Testo Unico) ED ABROGATO. regole tecniche Affinché sia conosciuta da tutti l identità del soggetto a cui la firma si riferisce, occorre che una terza parte fidata (il Certificatore) si occupi di identificare i soggetti ed emettere i certificati che legano i soggetti stessi alle chiavi digitali utilizzate per firmare. DPCM 8/2/ 1999 norme di interoperabilità CIRCOLARE 19 giugno 2000 n. AIPA/CR/24 (G.U. 30 giugno 2000, Serie generale n. 151) Il 13 dicembre 1999 il parlamento europeo ed il consiglio dell unione europea ha adottato la direttiva 1999/93/CE relativa ad un quadro comunitario per le firme elettroniche. La direttiva distingue tra: firme elettroniche basate su un certificato, inteso come attestato elettronico che collega i dati di verifica della firma ad una persona e conferma l identità di tale persona ; firme elettroniche avanzate apposte attraverso dispositivi per la creazione di una firma sicura e basate su un certificato qualificato, avente particolari requisiti di sicurezza ed affidabilità, rilasciato da un certificatore dotato di specifiche caratteristiche. I soggetti che intendono erogare i servizi di certificazione possono richiedere di essere accreditati da organismi preposti all elaborazione e alla sorveglianza del rispetto dei requisiti necessari. recepimento Il decreto Legislativo 23 gennaio 2002, n. 10 recepisce la direttiva europea e modifica la parte (L) del DPR 445/2000 Il DPR 7 aprile 2003, n. 137 modifica la parte (R) del DPR 445/2000 Regole Tecnice DPCM 13 gen 2004 esiste una bozza per la nuova circolare sull'interoperabilità Postecom Spa - Data - Titolo presentazione Pag. 3

4 Servizi e prodotti Emissione e gestione del ciclo di vita per Certificati Qualificati (Firma Elettronica Qualificata) Emissione e gestione di certificati elettronici per Firma elettronica, firma/cifratura della posta elettronica, cifratura dei documenti elettronici, Autenticazione forte per l accesso alle risorse disponibili tramite web (internet/intranet/extranet). Logon ai domini Windows 2000 Windows 2003 Server Integrazione sicurezza fisica/logica/servizi: carta multiservizi. Chip crittografico, banda magnetica, dati e foto del titolare. Servizio di marcatura temporale per apporre data ed ora certa ad un documento elettronico. Applicativo per la firma e la marcatura temporale dei documenti elettronici. Librerie di sviluppo ed integrazione delle funzionalità crittografiche. Certificati per web server.? Postecom Spa - Data - Titolo presentazione Pag. 4

5 Firma Elettronica Qualificata La validità è fissata dal DPR 445/2000 e successive modifiche ed integrazioni. E basata su: certificato qualificato - emesso in conformità alle regole tecniche, identificazione face-to-face del singolo richiedente; dispositivo sicuro per l apposizione della firma smart card certificata. Per l interoperabilità il file è in formato pkcs#7 (busta contenente documento originario + firma + certificato) come previsto dalla circolare AIPA/CR/24. NUOVO CLIENT " Funzionalità di firma " Funzionalità di verifica della firma " Funzionalità di cifratura dei documenti " Funzionalità di decifratura dei documenti " Nuova funzionalità per la richiesta di una marca temporale e sua associazione al documento " Nuovo Archivio separato: certificati CA accreditate distinte da certificati giudicati trusted dall utente Postecom Spa - Data - Titolo presentazione Pag. 5

6 Firma Elettronica debole La firma elettronica cosiddetta debole - pure prevista dal DPR 445/ è liberamente valutabile in giudizio in base alle sue caratteristiche di qualità e sicurezza. certificato elettronico - emesso in conformità a specifiche regole, con modalità di rilascio più snelle; dispositivo per l apposizione della firma smart card - non ci sono requisiti di sicurezza prefissati. Oltre che con l applicativo fornito è possibile utilizzare tale firma anche con alcuni recenti prodotti di Office Automation: Outlook, Oulook express, Netscape; Ultima versione della suite Office di Microsoft; Acrobat 6.0 Professional della Adobe. Firma con Microsoft Word Firma con Adobe Acrobat Postecom Spa - Data - Titolo presentazione Pag. 6

7 Autenticazione ed autorizzazione su intranet/internet In alternativa alle user-id e password è possibile utilizzare, al fine di aumentare i livelli di sicurezza, meccanismi di autenticazione forte e di autorizzazione basati su certificati elettronici (il certificato ausiliario a quello qualificato e rilasciato contestualmente a quest ultimo). [1] richiesta di accesso [2] challenge [3] Challenge INTERNET [4] Challege da firmare/ [5] Challenge firmato Utente [6] Challenge firmato [7] challenge firmato Gestore del Sistema [8] Challenge firmato da verificare Smart Card - chiave privata - accesso negato accesso negato NO challenge verificato? [9] chiave pubblica Postecom CA SI Certificato Digitale accesso permesso accesso permesso Postecom Spa - Data - Titolo presentazione Pag. 7

8 Autenticazione - Meccanismi ACCESSO AL SITO AUTENTICATO DAL CERTIFICATO SERVER CON CLIENT AUTENTICATO TRAMITE CERTIFICATO (AUSILIARIO) PRESENTE SULLA CARTA, RISERVATEZZA DEI CONTENUTI VEICOLATI SU INTERNET - POLITICHE DI AUTORIZZAZIONE ACCESSO ALLA CARTA TRAMITE CSP BROWSER IEXPLORER Postecom Spa - Data - Titolo presentazione Pag. 8

9 Il modello della Carta Multiservizi Layout grafico Dati anagrafici identificativi del titolare Identificazione fisica del titolare (foto) Livello di permesso e/o accesso (banda colorata e/o simbolo) che idenftifica l appartenenza del titolare ad una determinata categoria (dipendente, visitatore, fornitore, ecc.) Chip crittografico $ Firma Elettronica $ Firma Elettronica Qualificata $ Riservatezza ed autenticazione della posta elettronica $ Cifratura di file per se stessi o per un destinatario remoto $ Strong Authentication per l accesso ai servizi ed ai dati in rete $ Logon a sistemi operativi Carta Servizi Sicurezza Fisica supporto integrato Firma Elettronica Sicurezza Logica Chip contactless e/o banda magnetica # Controllo accessi # Rilevazioni presenze # Videosorveglianza # Mensa # Borsellino elettronico La carta multiservizi può integrare sullo stesso supporto sia la tradizionale interfaccia a contatto per la gestione delle applicazioni di firma digitale, autenticazione ed autorizzazione all accesso logico alle risorse che, se necessario per particolari esigenze - l interfaccia contactless MIFARE (ISO A) per la gestione dell accesso fisico, utilizzo di risorse, rilevazione del personale ed altre applicazioni similari. Postecom Spa - Data - Titolo presentazione Pag. 9

10 Data ed ora certe: un requisito ulteriore Requisiti del mondo reale Meccanismi PKI e contesto normativo Scenario di implementazione Apporre data ed ora certe ad un documento ad esempio con il timbro postale oppure con la ricevuta di consegna entro un tempo determinato. Servizio di Marcatura Temporale dei documenti informatici (Time Stamp Authority). Apposizione di data ed ora certe ed opponibili ai terzi (DPCM 8/2/1999)! Marcatura da client per attestare l esistenza di un documento ad una certa data.! Marcatura da servizio per attestare data/ora di una determinata transazione. Richiesta da Servizio Per attestare il momento in cui avviene una TRANSAZIONE Richiesta da Client Per attestare l esistenza di un documento ad una DATA ORA Postecom Spa - Data - Titolo presentazione Pag. 10

11 CASE STUDY 1: PKI in outsourcing per il Centro Tecnico della PA! Postecom si è aggiudicata la gara bandita dalla RUPA (Rete Unitaria della Pubblica Amministrazione) per la fornitura dei servizi di certificazione della firma digitale alla Pubblica Amministrazione.! La fornitura ha previsto l implementazione di una PKI dedicata.! Smart Card con chiavi e certificati di firma e cifra! lettori di Smart Card! applicativi per la firma e la cifratura dei documenti informatici.! CD multimediale di autoistruzione.! Consulenza tecnica e sviluppo per integrare gli applicativi di firma.! marche temporali e relativo software di richiesta e gestione.!helpdesk dedicato.! Postecom ha sviluppato l integrazione della Firma Digitale nei sistemi e nelle applicazioni della P.A. con l autenticazione ai sistemi operativi di G-NET, l integrazione in applicazioni della P.A. esistenti o in corso di realizzazione (SI.stema CO.ntabilità GE.nerale, Mandato informatico) e la Gestione in outsourcing dei sistemi e delle attività di registrazione degli utenti per l emissione dei certificati digitali. Postecom Spa - Data - Titolo presentazione

12 CASE STUDY 2 BPS/Inarcassa: il servizio La Banca Popolare di Sondrio svolge il ruolo di tesoreria per la Cassa Nazionale di Previdenza ed Assistenza degli Ingegneri e degli Architetti. E stata integrata la firma in una applicazione per i delegati degli ordini professionali che inviano le comunicazioni previdenziali alla Cassa Nazionale, firmando digitalmente. Il momento di presentazione delle dichiarazioni degli iscritti viene asseverato attraverso l apposizione di una marca temporale che ne attesta data ed ora certe ed opponibili in caso di contestazioni. La personalizzazione grafica dei kit e delle carte (grafica Banca Popolare Sondrio e grafica Inarcassa) ha consentito di veicolare il servizio agli utenti in maniera fortemente caratterizzata. Postecom Spa - Data - Titolo presentazione Pag. 12

13 CASE STUDY 3 Regione Emilia Romagna: Focalizzazione PKI in outsourcing. Potenziamento del concetto di CARTA MULTISERVIZI del dipendente. Integrazione di servizi esterni su chip BUONO PASTO. Integrazione di carta prepagata del dipendente Postepay distribuita da Bancoposta. Firma digitale e sicurezza logica. Badge di riconoscimento a vista (foto del dipendente) Postecom Spa - Data - Titolo presentazione Pag. 13

14 MIUR Aggiornamento graduatorie richiesta dei codici Postecom Spa - Data - Titolo presentazione Pag. 14

15 MIUR Aggiornamento graduatorie firma ed inoltro Postecom Spa - Data - Titolo presentazione Pag. 15