Documenti cartacei e digitali. Autenticità. Cosa si vuole garantire? Riservatezza. Integrità 11/12/2012. PA digitale: documenti e firme (I.

Transcript

1 Università degli studi di Catania Pubblica Amministrazione digitale Elementi tecnici sulla firma digitale Ignazio Zangara Agatino Di Bella Area della Formazione Gestione dell archivio (novembre dicembre 2012) Documenti cartacei e digitali Documento cartaceo La copia è distinguibile dall originale L alterazione lascia tracce La prova di autenticità si basa su caratteristiche fisiche (firma, ceralacca, timbri, etc.) Il documento digitale??? Cosa si vuole garantire? Autenticità Autenticità Integrità Riservatezza Certezza dell autore di un documento Impossibilità per l autore di negare la produzione di un documento (non ripudio) In alcuni casi, certezza dell istante in cui il documento è stata prodotto Integrità Riservatezza Garanzia che non si verifichino cancellazioni o modifiche ad un documento a seguito di interventi da parte di soggetti non autorizzati o del verificarsi di fenomeni non controllati Garanzia che il documento sia leggibile solo dai soggetti autorizzati Corso AFo 2012 (Unict) 1

2 Soluzione? La firma digitale Cosa c è dietro? La crittografia! Crittografia. Cos è? La crittografia studia i metodi per cifrare e decifrare dati Cifrare un dato significa rendere l informazione incomprensibile per coloro a cui non è destinata, anche se possono leggere il dato La crittografia consente di conservare o trasmettere informazioni riservate utilizzando un mezzo non sicuro in maniera sicura Decifrare è l operazione inversa di cifrare La tecnologia della firma digitale: la crittografia a chiave asimmetrica Ogni soggetto dispone di una coppia di chiavi Una chiave viene detta privata e deve essere tenuta segreta L altra chiave viene detta pubblica e può essere diffusa liberamente Un documento cifrato con la chiave pubblica può essere decifrato solo con la corrispondente chiave privata Metafora del lucchetto Alice decide di spedire un documento a Bob dentro una scatola Bob spedisce ad Alice un lucchetto aperto (non serve un canale sicuro!) Alice chiude la scatola con il lucchetto di Bob e lo spedisce Bob apre la scatola con la chiave del lucchetto Il lucchetto è la chiave pubblica La chiave del lucchetto è la chiave privata Autenticità documento a Bob Alice cifra il documento con la propria chiave privata Bob decifra il documento con la chiave pubblica di Alice Metafora: la firma autografa. Ogni individuo può apporre la propria firma autografa. Tutti gli altri la possono verificare (per es. per confronto). Corso AFo 2012 (Unict) 2

3 Riservatezza documento riservato a Bob Alice cifra un documento con la chiave pubblica di Bob Bob decifra il documento con la propria chiave privata Metafora: cassetta postale. Chiunque può inserire un messaggio nella cassetta ma solo chi possiede la chiave la può aprire. Autenticità + riservatezza Alice cifra il documento prima con la propria chiave privata e poi con la chiave pubblica di Bob Bob decifra il documento prima con la propria chiave privata e poi con la chiave pubblica di Alice E l integrità? L impronta di un documento Un altro strumento: le funzioni hash Producono una sorta di impronta di un documento digitale Qualsiasi modifica al documento originale, produce un impronta diversa Verifica dell integrità documento a Bob Alice genera l impronta del documento e la trasmette a Bob su un canale sicuro Alice trasmette il documento a Bob su un canale non sicuro Bob rigenera l impronta del documento e la confronta con l impronta ricevuta Se le impronte sono identiche, Bob ha verificato che il documento è integro (identico all originale) Autenticità + integrità = Firma digitale Verifica di una firma digitale Procedura informatica che garantisce insieme l autenticità e l integrità di un documento = FIRMA DIGITALE Corso AFo 2012 (Unict) 3

4 Cosa manca? Come può Bob ottenere la chiave pubblica di Alice? Una volta ottenuta, come può essere certo che sia veramente la corrispondente della chiave privata di Alice? Come può essere certo che l impronta del documento ricevuto sia veramente stata cifrata con la chiave privata posseduta da Alice? In altre parole, come può essere veramente certo che il documento sia stato firmato digitalmente da Alice? Ci servono i certificati digitali! Documento elettronico che attesta l'associazione univoca tra una chiave pubblica e l'identità di un soggetto (una persona, una società, un computer, etc) Il certificato può indicare l uso della chiave (per es. per firma digitale) che può anche essere limitato ad un ruolo professionale (per es. firma digitale in qualità di Rettore dell Università di Catania) Il certificato è rilasciato da un ente terzo fidato: l autorità di certificazione Il rilascio del certificato Verifica del certificato Per verificare un certificato è necessario disporre della chiave pubblica dell autorità di certificazione Perché mi fido del certificatore? La robustezza della firma digitale dipende dall affidabilità del certificatore Chi garantisce che la corrispondenza fra chiave pubblica e firmatario è certa? Chi garantisce l autenticità della chiave pubblica del certificatore? Come si firma? Con i dispositivi sicuri di firma Dispositivi fisici che contengono la chiave privata, la chiave pubblica e il certificato e sono inoltre in grado di eseguire operazioni crittografiche Corso AFo 2012 (Unict) 4

5 Dispositivi Token USB Smartcard L utilizzo della chiave privata presente nel dispositivo iti è possibile solo inserendo un PIN di sblocco Controllo esclusivo da parte del firmatario del dispositivo di firma Il firmatario è l unico a conoscenza di un segreto (il PIN) che consente la firma Un alternativa recente: la firma remota Le chiavi private risiedono su un dispositivo remoto presso il certificatore Lo stesso dispositivo esegue le operazioni crittografiche Il firmatario sblocca il certificato in remoto mediante l invio di una password monouso (OTP = one time password) Come è fatto un documento firmato? Il documento firmato viene «imbustato» in una busta crittografica, contenente oltre al documento originale anche il certificato del firmatario e la firma (impronta cifrata) Formato P7M Standard PKCS#7 La firma dentro i documenti PDF Il formato di firma PDF è utilizzabile in Italia da febbraio 2006 sulla base di uno specifico protocollo d intesa fra Adobe e CNIPA Con la delibera 45 del 21/05/2009, CNIPA riconosce il formato di busta crittografica dello standard PDF Marche temporali Procedura informatica per attribuire ad un documento digitale un riferimento temporale certo, opponibile a terzi La marca temporale è associata al documento da un soggetto terzo affidabile (autorità di certificazione) In pratica la CA firma il documento insieme al riferimento temporale Attenzione: il riferimento temporale contenuto nella segnatura di protocollo è opponibile a terzi (art. 37 DPCM 30 marzo 2009). Corso AFo 2012 (Unict) 5