Cormons, settembre ottobre La Firma digitale

Transcript

1 Cormons, settembre ottobre 2010 La Firma digitale Introduzione Quadro normativo Definizioni Principi di crittografia Il processo di firma PKI e certificatori Dimostrazione pratica di utilizzo della firma digitale sicurezza Sommario 2 1

2 Il documento rappresenta il supporto fondamentale per lo svolgimento delle attività amministrative nelle Pubbliche Amministrazioni Gestione dei documenti nella PA 3 La Firma è il meccanismo che garantisce al supporto fisico: 1. autenticità 2. integrità 3. non ripudio La natura della firma è strettamente legata al supporto fisico. Firma di un documento 4 2

3 La firma autografa è da sempre utilizzata per documenti basati su supporto cartaceo: È accettata universalmente E applicabile attraverso l utilizzo di strumenti elementari E sicura nella maggior parte dei contesti di utilizzo Firma di documenti cartacei 5 Legge sulla "Riforma della pubblica amministrazione e per la semplificazione amministrativa" n. 59 del 15 marzo Art 15: "Gli atti, i dati e i documenti formati dalla pubblica amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici sono validi e rilevanti a tutti gli effetti di legge; i criteri di applicazione del presente comma sono stabiliti, per la pubblica amministrazione e per i privati, con specifici regolamenti...". Legge 59/97 6 3

4 Decreto del Presidente della Repubblica n. 513 del 10 novembre 1997: "Regolamento recante criteri e modalità per la formazione, l'archiviazione e la trasmissione di documenti con strumenti informatici e telematici". Introduce la firma digitale e disciplina la funzione dei certificatori DPR 513/97 7 Decreto del Presidente del Consiglio dei Ministri del 8 febbraio 1999: "Regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici Definizione degli algoritmi di generazione e verifica delle firme digitali Gestione delle chiavi e dei certificati Definizione delle attività dei certificatori Cura gli aspetti tecnologici e della sicurezza DPCM 8 febbraio

5 Direttiva 99/93/CE del 13 dicembre 1999: relativa ad un quadro di riferimento comunitario per le firme elettroniche Adotta un approccio molto generale: considera soprattutto le esigenze del commercio elettronico. Ottica molto più liberista, profondamente diversa da quella adottata nella normativa italiana. Ignorati i problemi relativi alla sicurezza Direttiva 99/93/CE 9 Circolare 26 luglio 1999, n. AIPA/CR/22: Modalità per presentare domanda di iscrizione nell elenco pubblico dei certificatori Circolare 19 giugno 2000 n. AIPA/CR/24: Linee guida per l'interoperabilità tra i certificatori iscritti nell elenco pubblico Circolare 16 febbraio 2001, n. AIPA/CR/27: Utilizzo della firma digitale nelle Pubbliche Amministrazioni Circolari AIPA (ora CNIPA) 10 5

6 Decreto del Presidente della Repubblica 28 dicembre 2000, n. 445: Testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa Raccoglie le disposizioni precedenti in un quadro normativo omogeneo DPR 445/ Regolamento recante disposizioni di coordinamento in materia di firme elettroniche a norma dell art. 13 del decreto legislativo del 23 gennaio 2002, n. 10. Coordina il dpr 445/2000, il d.lgs 10/02 e la direttiva 93/99/CE Crea la firma elettronica qualificata Integra il TU in tema di Enti Certificatori DPR 137/

7 Decreto del Presidente del consiglio dei ministri 13 gennaio Regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione anche temporale dei documenti informatici. DPR 13/ Decreto legislativo n. 82 del 7 marzo Codice dell'amministrazione digitale Decreto legislativo n. 159 del 4 aprile 2006 Disposizioni integrative e correttive al decreto legislativo 7 marzo 2005, n. 82, recante codice dell'amministrazione digitale e DLGS 82/05 & 159/

8 Direttiva 99/ 93/CE DPR 445/ 2000 recepimento DLgs. 10/2002 Regolamento 137/03 DPR 13/04 DLgs 82/05 & 159/06 Recepimento 15 Da A Un tipo di certificato Un tipo di certificatore * il certificato elettronico conforme ai requisiti di cui all'allegato I della direttiva n. 1999/93/CE, rilasciati da certificatori che rispondono ai requisiti di cui all'allegato II della medesima direttiva Osservazioni Due tipi di certificato Qualificato* Non qualificato Tipi di certificatore Rilascia certificati non qualificati Rilascia certificati qualificati: Qualificato Accreditato 16 8

9 Quattro tipi di firma elettronica: semplice avanzata qualificata digitale Osservazioni 17 Delibera AIPA 42 del 13 dicembre 2001 documento analogico: utilizza una grandezza fisica continua (tracce su carta, immagini su film, ) documento digitale: utilizza una grandezza fisica discreta (valori binari) documento informatico: documento digitale sottoscritto con firma digitale Tipi di documenti 18 9

10 DPR 445/2000 firma digitale: il risultato della procedura informatica (validazione) basata su un sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che consente al sottoscrittore tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici. Firma digitale 19 Regolamento 137/03 Firma elettronica: l insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di autenticazione informatica; Firma elettronica avanzata: la firma elettronica ottenuta attraverso una procedura informatica che garantisce la connessione univoca al firmatario e la sua univoca identificazione, creata con mezzi sui quali il firmatario può conservare un controllo esclusivo e collegata ai dati ai quali si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati; Gli altri tipi di firma 20 10

11 Regolamento 137/03 firma elettronica qualificata: la firma elettronica avanzata che sia basata su un certificato qualificato e creata mediante un dispositivo sicuro per la creazione della firma Gli altri tipi di firma 21 DPR 445/2000 certificato: il documento rilasciato da una amministrazione pubblica avente funzione di ricognizione, riproduzione e partecipazione a terzi di stati, qualità personali e fatti contenuti in albi, elenchi o registri pubblici o comunque accertati da soggetti titolari di funzioni pubbliche Certificato 22 11

12 Regolamento 137/03 certificati elettronici: ( ) gli attestati elettronici che collegano i dati utilizzati per verificare le firme elettroniche ai titolari e confermano l'identità dei titolari stessi certificati qualificati: ( ) i certificati elettronici conformi ai requisiti di cui all'allegato I della direttiva n. 1999/93/CE, rilasciati da certificatori che rispondono ai requisiti di cui all'allegato II della medesima direttiva Certificato 23 Regolamento 137/03 CERTIFICATORE ai sensi dell'articolo 2, comma 1, lettera b), del decreto legislativo 23 gennaio 2002, n. 10, il soggetto che presta servizi di certificazione delle firme elettroniche o che fornisce altri servizi connessi con queste ultime; Certificatore 24 12

13 DPR 445 / 2000: chiavi asimmetriche: la coppia di chiavi crittografiche, una privata ed una pubblica, correlate tra loro, da utilizzarsi nell'ambito dei sistemi di validazione o di cifratura di documenti informatici chiave privata: l'elemento della coppia di chiavi asimmetriche, destinato ad essere conosciuto soltanto dal soggetto titolare, mediante il quale si appone la firma digitale sul documento informatico o si decifra il documento informatico in precedenza cifrato mediante la corrispondente chiave pubblica Chiavi 25 DPR 445 / 2000: chiave pubblica: l'elemento della coppia di chiavi asimmetriche destinato ad essere reso pubblico, con il quale si verifica la firma digitale apposta sul documento informatico dal titolare delle chiavi asimmetriche o si cifrano i documenti informatici da trasmettere al titolare delle predette chiavi Chiavi 26 13

14 La firma digitale non deve essere confusa con la digitalizzazione della firma autografa realizzata con un scanner, ovvero la rappresentazione digitale di un'immagine corrispondente alla firma autografa inserita in un qualsiasi documento realizzato attraverso un programma. Osservazione 27 La crittografia è una tecnica (basata su un procedimento matematico) dalle origini molto antiche, impiegata storicamente per garantire la riservatezza delle informazioni trasmesse a distanza per lo più per scopi militari. In ambito informatico, essa può trasformare un file di dati in un insieme di simboli incomprensibili e inutilizzabili per chiunque non possieda lo strumento per decifrarli. Crittografia 28 14

15 Esistono due tipi fondamentali di crittografia: a chiave unica (o simmetrica) a doppia chiave (o asimmetrica) Crittografia 29 I sistemi nei quali le chiavi di cifratura e decifratura coincidono vengono definiti simmetrici (o a chiave privata ovvero gli interlocutori dispongono delle stesse chiavi). k k m c m Sender e (k, m) d (k, c) Receiver canale sicuro m: il messaggio da cifrare; c: il crittogramma e (k,m): funzione di cifratura; d (k,c): funzione di decifratura k: la chiave segreta usata per cifrare e decifrare il messaggio; (si tratta generalmente è una stringa di bit) Algoritmi simmetrici 30 15

16 Caratteristiche principali La stessa chiave serve per cifrare e per decifrare Una chiave non può decifrare un file cifrato con un altra chiave La chiave è posseduta dal mittente e dal destinatario Gli algoritmi di crittografia simmetrica 31 Vantaggi: Efficienza Svantaggi: Necessità di prevedere una chiave per ogni coppia di interlocutori (ogni soggetto è costretto a possedere molte chiavi) Problemi di sicurezza in fase di distribuzione della chiave Gli algoritmi di crittografia simmetrica 32 16

17 Nei casi in cui le chiavi di cifratura e decifratura sono differenti si parla di sistemi asimmetrici (a chiave pubblica). La chiave di cifratura, potendo essere utilizzata solo per cifrare i messaggi, può essere distribuita, al contrario della chiave di decifratura, che deve essere custodita in modo riservato. k m c Sender e (k, m) d (k, c) Receiver canale sicuro m j k: la chiave segreta usata per cifrare il messaggio j: la chiave segreta usata per decifrare il messaggio Algoritmi asimmetrici 33 Nei sistemi asimmetrici, le chiavi sono generate dal ricevitore che deve custodire la chiave j e rendere pubblica la chiave k (trasmettendola direttamente al mittente o pubblicandola su di un server). Il mittente, ottenuta la chiave k (del destinatario), cifra il messaggio e lo spedisce al destinatario, che lo decifra con la chiave j. Il più diffuso algoritmo crittografico asimmetrico, ampiamente utilizzato sul Web, è l RSA (Ron Rivest, Adi Shamir e Leonard Adleman inventori del sistema) Algoritmi asimmetrici 34 17

18 Vantaggi: Sicurezza (non bisogna distribuire la chiave privata) Fruibilità: la stessa coppia di chiavi viene utilizzata da tutti gli utenti Svantaggi: Complessità algoritmica elevati tempi di calcolo Gli algoritmi di crittografia asimmetrica 35 Permettono di creare da una sequenza di bit qualsiasi e di qualsiasi lunghezza (tipicamente, un file) una sequenza di bit a lunghezza fissa correlata in modo molto stretto alla sequenza di partenza. Questo tipo di compressione garantisce (a meno di probabilità trascurabili) che il file compresso sia univocamente determinato dal file originario; il file compresso che si ottiene viene chiamato impronta (o digest ) del file. Gli algoritmi di hashing sicuro 36 18

19 Hashing sicuro: algoritmo SHA (Secure Hash Algorithm) Crittografia asimmetrica: algoritmo RSA, proposto da Rivest, Shamir e Adleman Gli algoritmi 37 La complessità degli algoritmi di crittografia asimmetrica è direttamente proporzionale alla dimensione del file da cifrare ed alla lunghezza della chiave. Si comprime il file in input con un algoritmo di hashing sicuro. L algoritmo di crittografia asimmetrica viene applicato all impronta ottenuta. Complessità degli algoritmi di crittografia asimmetrica 38 19

20 Algoritmo di compressione (SHA) impronta univoca Documento SHA Algoritmo di crittografia (RSA) firma Impronta 1 RSA XYZ.. Firma 1 L algoritmo di firma 39 XYZ.. Firma 1 DOC1 RSA SHA Impronta del documento al momento della firma Impronta 1 Impronta 2 = Impronta del documento nella versione corrente Verifica riuscita Verifica fallita Algoritmo di verifica 40 20

21 Verifica riuscita: la firma è valida Verifica fallita: la firma è falsa, oppure la firma è autentica ma è stata apposta su un documento diverso da quello allegato. Esito 41 Il Certificato include: Il nome dell'autorità di Certificazione La data di emissione del certificato La data di scadenza del certificato Il nominativo del soggetto La chiave pubblica del soggetto Certificato 42 21

22 Chiave privata del mittente Nome: Mario Cognome: Rossi Documento 1 Formazione del Digest (impronta) detta anche Hash Firma XYZ... Firma 1 Documento 1 XYZ... Firma 1 Nome: Mario Cognome: Rossi Busta PKCS#7 (RFC 2315) Public-Key Cryptography Standards Il processo di firma 43 Lunghezza: 1024 bit Durata: 2 anni Lunghezza: 1536 bit Durata: 3 anni Lunghezza: 2048 bit Durata: 5 anni Lunghezza e validità delle chiavi FD e CNS: introduzione 44 22

23 Il termine infrastruttura a chiave pubblica (PKI, Public Key Infrastructure) è utilizzato per descrivere l insieme di software, di stakeholder e di criteri organizzativi che consente di gestire i certificati e le chiavi pubbliche e private. Infrastruttura a chiave pubblica 45 L Autorità di Certificazione (CA, Certification Authority) è una terza parte, considerata attendibile da tutti gli attori, che emette e gestisce i certificati Autorità di Certificazione 46 23

24 Principali attività: Riceve le richieste di certificazione Genera e sottoscrive i certificati Riceve e gestisce richieste di sospensione e revoca Mantiene aggiornata la CRL e la CSL (liste di revoca e sospensione) Mantiene aggiornata la lista dei certificati emessi Garantisce l'unicità dei certificati Autorità di Certificazione 47 Principali attività: Verifica l identità del richiedente Eventualmente genera la coppia di chiavi per il richiedente Genera la richiesta di certificazione e la invia alla CA Eventualmente fornisce il dispositivo di firma Autorità di Registrazione 48 24

25 Il rilascio di un certificato si concretizza: Prenotazione presso una CA Riconoscimento fisico del richiedente Rilascio del certificato (e del sw di firma) Rilascio di un certificato 49 Revoca del certificato elettronico: è l'operazione con la quale il certificatore annulla la validità del certificato a partire da una certa data; l azione non può mai assumere valore di retroattività Sospensione del certificato elettronico: è l'operazione con la quale il certificatore sospende la validità del certificato per un periodo di tempo prestabilito I certificati revocati e sospesi sono inseriti nell elenco di revoche di certificati (CRL: Certificate Revocation List) Revoca e sospensione di un certificato 50 25

26 Dimostrazione pratica di utilizzo della firma digitale (vedi anche documentazione) Software di firma per file PDF 51 Visualizzazione documento 52 26

27 Selezione della regione 53 Immissione motivazione 54 27

28 Richiesta PIN 55 La sicurezza nell utilizzo della firma digitale dipende da diversi aspetti: Tecnologici Sistema operativo Software di firma Dispositivi di firma Infrastrutturali Autorità di Certificazione Organizzativi Modalità di utilizzo degli strumenti a disposizione Conservazione e utilizzo della chiave Sicurezza 56 28

29 Gli aspetti più critici sono legati al contesto, all organizzazione ed alle modalità di applicazione della firma digitale, piuttosto che a quelli puramente tecnologici o infrastrutturali. Sicurezza 57 29