FIRMA DIGITALE Manuale Docenti titolari di firma con OTP via SMS sul cellulare
1. RITIRO DEL CERTIFICATO DI FIRMA DIGITALE... 3 2. ISTRUZIONI PER L UTILIZZO DEI CERTIFICATI DIGITALI... 5 3. PRIMO ACCESSO AL PORTALE... 6 4. ATTIVAZIONE DEL CERTIFICATO... 9 5. MODIFICA PIN... 11 6. MODIFICA PASSWORD... 12 7. MODIFICA EMAIL... 13 8. MODIFICA INVIO EMAIL... 14 9. MODIFICA CELLULARE... 15 10. OTP VIA CELLULARE... 16 11. VISUALIZZA CERTIFICATO... 17 12. TEST DI FIRMA DIGITALE... 19 APPENDICE... 24 A. TERMINOLOGIA E DEFINIZIONI... 24 Settembre 2012 versione 1.1 pag. 2 di 25
1. RITIRO DEL CERTIFICATO DI FIRMA DIGITALE Per richiedere il certificato di firma digitale è necessario contattare il proprio Incaricato della Registrazione (IR) di riferimento individuato dall Ateneo. L incaricato alla registrazione, preventivamente autorizzato da InfoCert ed in possesso di un certificato di autenticazione qualificato su smart card, provvede alla registrazione dei dati del richiedente utilizzando l apposita procedura predisposta per Remote Sign (https://ncarir.infocert.it) al fine di prenotare un certificato digitale (reso disponibile da CINECA RAO) e che dovrà essere attivato dal docente titolare di firma. In particolare il docente deve: - presentarsi di persona: non sono ammesse deleghe; - con un valido documento di identità; - con il cellulare su cui vorrà ricevere gli SMS contenenti l OTP; - il codice fiscale. L'IR identifica personalmente l'utente e ne controlla il documento d'identità. Servendosi poi del modulo informatico acquisisce tutte le informazioni necessarie e compila quanto previsto. L'IR fa controfirmare all'utente, in triplice copia, la Richiesta di Registrazione finalizzata al rilascio del certificato di sottoscrizione per il servizio Remote Sign Certificazione prodotta con modalità informatica. Fornisce una copia all'utente e le altre due le trattiene (una copia verrà consegnata all'ufficio di Registrazione e una copia originale dovrà pervenire all'ente Certificatore). Verificare la correttezza del numero cellulare inserito poiché a questo numero verrà spedito l'otp necessario alla richiesta del certificato e alla firma dei verbali. Il docente riceve dall'incaricato la cartellina contenente, all interno di una busta sigillata, il codice di emergenza (ERC - Emergency Request Code, di dieci cifre) i codici PIN e PUK iniziali che corrispondono alle ultime otto cifre del codice ERC e copia del contratto. Conservare con cura la cartellina consegnata dall IR contenente i codici PIN/PUK e ERC per l utilizzo del servizio Remote Sign e la copia della Richiesta di Registrazione e Certificazione.. Il certificato ha validità 3 anni a partire dalla data di attivazione del certificato da parte del docente titolare dal portale di firma remota Legalcert (cfr. Pargrafo 3). Settembre 2012 versione 1.1 pag. 3 di 25
Settembre 2012 versione 1.1 pag. 4 di 25
Infocert informa espressamente il titolare che l utilizzo di una firma digitale, per cui sia stato emesso un certificato di sottoscrizione, comporta la possibilità di firmare documenti (verbali) a tutti gli effetti della legge italiana e riconducibili unicamente alla sua persona. Per tale motivo il titolare è obbligato ad osservare la massima diligenza nell utilizzo, conservazione e protezione della chiave privata, del dispositivo di firma e del codice di attivazione ad esso associato (PIN). Lo stesso titolare è tenuto a proteggere la segretezza della chiave privata, non comunicando o divulgando a terzi il codice personale identificativo (PIN) di attivazione della stessa, provvedendo a digitarlo con modalità che non ne consentano la conoscenza da parte di altri soggetti e conservandolo in un luogo sicuro. La chiave privata, per cui è stato rilasciato il certificato di sottoscrizione è strettamente personale e non può essere per alcuna ragione ceduta o data in uso a terzi. Al termine della registrazione dati, Infocert inoltrerà al docente titolare una mail con l indicazione del link al portale di firma remota Legalcert (https://ncfr.infocert.it) e la User-Id di accesso assegnata automaticamente dal sistema e presente nella ricevuta stampata rilasciata dall IR. Con tale User-id, il titolare accederà al portale di gestione del certificato di firma remota per completare la generazione del certificato. 2. ISTRUZIONI PER L UTILIZZO DEI CERTIFICATI DIGITALI Ai fini dell'utilizzo dei certificati digitali occorre seguire le seguenti istruzioni: 1. la busta ERC e il suo contenuto deve essere conservata con cura, per tutto il tempo di validità del Certificato. E' essenziale per l utilizzo dei certificati di firma digitale e per altre, eventuali operazioni future. 2. il numero stampato all'esterno della busta fisica è esclusivamente un progressivo, da non utilizzare come PIN. 3. non divulgare assolutamente a persone diverse dal titolare i codici PIN, PUK ed ERC contenuti nella busta. 4. tre tentativi sono il numero massimo di prove per la digitazione corretta del PIN, superati i quali il certificato di firma digitale su dispositivo HSM si blocca per 10 (dieci) minuti; trascorso il tempo di blocco il certificato ritorna utilizzabile. 5. se il PIN viene dimenticato o smarrito il Certificato deve essere revocato e si deve richiedere l emissione di un nuovo Certificato. 6. per sospendere o revocare un Certificato è necessario conoscere lo IUT (Identificativo Univoco del Titolare), inserito nel modulo di Richiesta di Registrazione e Certificazione e nella mail di avviso di avvenuta registrazione e contattare l IR. 7. per l utilizzo del Certificato di firma digitale è necessario l utilizzo contemporaneo della User ID, del codice temporaneo OTP e del PIN. 8. le istruzioni per l utilizzo e la gestione del Certificato sono consegnate al Titolare via email al momento della richiesta di registrazione e possono essere consultate sul portale di gestione del Certificato all indirizzo https://ncfr.infocert.it Settembre 2012 versione 1.1 pag. 5 di 25
3. PRIMO ACCESSO AL PORTALE Per accedere al portale di gestione del servizio Remote Sign il docente titolare del certificato dovrà collegarsi, tramite qualsiasi Browser Internet, all'indirizzo https://ncfr.infocert.it Effettuare il primo accesso utilizzando le seguenti credenziali: la User-id assegnata dalla procedura di riconoscimento effettuata presso l'incaricato alla Registrazione autorizzato da InfoCert la password standard: ncfr0101 (tutti i caratteri minuscoli) assegnata a tutti i titolari. Il primo accesso al portale, per motivi di sicurezza, richiederà il cambio della password standard (ncfr0101). Per poter effettuare il cambio password è necessario digitare il codice PIN/PUK contenuto nella busta dei codici riservati consegnata al titolare al momento della richiesta di registrazione effettuata dagli IR. Settembre 2012 versione 1.1 pag. 6 di 25
La nuova password dovrà: essere lunga 8 caratteri alpha/numerici, contenere almeno una cifra numerica. A cambio password effettuato si accederà alla pagina principale del Portale. Da questo momento in poi l'accesso al portale deve essere effettuato esclusivamente utilizzando: la User ID assegnata in fase di rilascio della firma presso l'incaricato alla Registrazione autorizzato da InfoCert la password scelta dal titolare durante il primo accesso al Portale. Se le credenziali sono corrette verrà visualizzata la seguente videata: Settembre 2012 versione 1.1 pag. 7 di 25
Settembre 2012 versione 1.1 pag. 8 di 25
4. ATTIVAZIONE DEL CERTIFICATO L attivazione del certificato è la prima operazione che si deve effettuare per poter rendere utilizzabile il Certificato e poter effettuare le operazioni di firma remota. Dalla pagina principale del Portale scegliere l opzione OTP VIA CELLULARE e premere INVIA OTP : Sul numero di cellulare indicato al momento della registrazione arriverà un SMS contenente il codice OTP richiesto. Dal menu scegliere quindi l'opzione RICHIEDI CERTIFICATO. Settembre 2012 versione 1.1 pag. 9 di 25
Per poter eseguire l'operazione richiesta, è necessaria l'immissione di: - Codice PIN/PUK (reperibile sulla busta ERC) - Codice OTP (ricevuto via SMS attraverso la procedura OTP VIA CELLULARE) - PIN di Firma (scelto dal titolare) - Conferma PIN di Firma (uguale a quello digitato nel precedente campo). Il PIN di Firma è deciso al momento dal titolare e dovrà essere conservato con cura perché verrà richiesto dal servizio per tutte le operazioni di firma digitale. IMPORTANTE! Il PIN scelto consiste in una cifra di 8 numeri. Per facilità, suggeriamo la scelta di un PIN collegato a una data che, per sicurezza, sia relativa a un evento strettamente privato. E importante non dimenticare/smarrire questo PIN poiché non può essere più recuperato in alcun modo ed è necessario procedere alla REVOCA DELLA FIRMA. Settembre 2012 versione 1.1 pag. 10 di 25
5. MODIFICA PIN Il titolare ha sempre la possibilità di cambiare il PIN definito con la procedura di RICHIEDI CERTIFICATO. Per poterlo fare, dalla pagina principale, selezionare l'opzione MODIFICA PIN. Per modificare il PIN è necessario inserire negli appositi spazi, oltre al codice variabile OTP, il vecchio PIN ed il nuovo PIN. Si ricorda che il PIN può essere solamente numerico e con una lunghezza pari a 8 cifre. Settembre 2012 versione 1.1 pag. 11 di 25
6. MODIFICA PASSWORD Il titolare ha sempre la possibilità di cambiare la password di accesso al Portale definita durante il primo accesso selezionando l'opzione MODIFICA PASSWORD. Per modificare la password è necessario inserire negli appositi spazi la User-ID, la vecchia password e la nuova password rispettando le seguenti regole per la definizione delle nuove password: la nuova password deve contenere da 8 caratteri; deve contenere almeno un numero e una lettera; non può contenere la User-ID; non può contenere più di due caratteri uguali consecutivi; deve essere diversa dalle ultime 3 utilizzate in precedenza. Settembre 2012 versione 1.1 pag. 12 di 25
7. MODIFICA EMAIL Il titolare ha sempre la possibilità di cambiare l'indirizzo email registrato al momento della richiesta di rilascio del certificato ed utilizzato dal Certificatore per le comunicazioni ad esso relative selezionando l'opzione MODIFICA EMAIL. Per modificare l'indirizzo email è necessario inserire negli appositi spazi il vecchio indirizzo email ed il nuovo. Settembre 2012 versione 1.1 pag. 13 di 25
8. MODIFICA INVIO EMAIL Il titolare ha sempre la possibilità di cambiare la modalità con la quale il servizio invia per email gli avvisi. La configurazione standard prevede che il titolare sia avvisato di tutte le attività di firma digitale svolte quando utilizza la propria firma digitale remota. L avviso prevede l inoltro di un unica mail giornaliera che riepiloga l utilizzo della firma digitale remota, in genere al termine della giornata. Il titolare può decidere di non essere mai avvisato. Per poterlo fare, dalla pagina principale, selezionare l'opzione MODIFICA INVIO EMAIL. Per modificare l'opzione di invio email è necessario selezionarla, immettere l indirizzo email che riceverà l avviso e confermare la scelta cliccando su Modifica. Una email avviserà il titolare dell avvenuta modifica. Settembre 2012 versione 1.1 pag. 14 di 25
9. MODIFICA CELLULARE Il titolare ha sempre la possibilità di cambiare il numero di cellulare utilizzato per ricevere gli SMS contenti i codici OTP registrato al momento della richiesta di rilascio del certificato. Per modificare il numero di telefono cellulare è necessario selezionare l opzione OTP VIA CELLULARE dal menu principale e premere INVIA OTP (paragrafo 11). Sul numero di cellulare indicato al momento della registrazione arriverà un SMS contenente il codice OTP richiesto. Dal menu scegliere quindi l'opzione MODIFICA CELLULARE. Per modificare il numero di telefono cellulare inserire negli appositi spazi il vecchio numero ed il nuovo e l OTP ricevuto via SMS. Settembre 2012 versione 1.1 pag. 15 di 25
10. OTP VIA CELLULARE Il titolare, in qualsiasi momento ne abbia necessità, può richiedere al servizio l invio del codice OTP via SMS utilizzando l'apposita funzione sul Portale. Questa funzione è usata principalmente in assenza di analoga funzione sul software o nel caso della richiesta di rilascio del certificato. Per chiedere l'invio del codice OTP, dalla pagina principale, selezionare l'opzione OTP VIA CELLULARE e premere INVIA OTP. Settembre 2012 versione 1.1 pag. 16 di 25
11. VISUALIZZA CERTIFICATO Per visualizzare i dati principali identificativi del proprio certificato selezionare l'opzione VISUALIZZA CERTIFICATO e premere Visualizza Certificato. Settembre 2012 versione 1.1 pag. 17 di 25
Settembre 2012 versione 1.1 pag. 18 di 25
12. TEST DI FIRMA DIGITALE Il test di firma controlla che l associazione dell utente fra il sistema di firma remota e ESSE3 sia effettuata correttamente. Il test viene effettuato solo la prima volta che si accede all area web riservata ai possessori di firma. Dopo aver attivato la firma secondo la procedura descritta nella presente guida, occorre loggarsi sull area web riservata di ESSE3 (www.unisa.it, Link rapidi, Servizi on line Docenti) con le proprie credenziali. Cliccando sulla voce Calendario Esami si apre la finestra per il Test di firma digitale. Cliccare su. Settembre 2012 versione 1.1 pag. 19 di 25
Verrà effettuato il Controllo di compatibilità del Browser, quindi cliccare su. Nota: Nel caso si decida di eseguire successivamente il test o di uscire dalla procedura, ogni volta che si riaccede al calendario esami il test di firma verrà riproposto. Nel caso in cui si esce dal test e si procede con la verbalizzazione degli esiti, prima di apporre la firma verrò riproposto il test. Non è possibile apporre la firma digitale per la registrazione esiti senza aver prima effettuato questo test. Settembre 2012 versione 1.1 pag. 20 di 25
Per procedere al test cliccare su : inizierà una sessione di firma di 4 documenti fittizi. Tale operazione non ha alcun valore legale. L operazione richiederà alcuni istanti. Il sistema invierà all indirizzo mail del titolare (registrato presso INFOCERT), una mail con la notifica di firma di 4 documenti: ciò risulta normale dato che la procedura di test firma 4 documenti. Si apre quindi la pagina relativa alla Transazione di test per testare la piattaforma di firma digitale. Contestualmente all apertura di questa pagina arriverà un SMS sul cellulare indicato al momento della registrazione dati contenente il codice OTP. Inserire il PIN e il codice OTP ricevuto via SMS e cliccare sul pulsante. 4 4 L operazione richiederà alcuni secondi. Al termine del test si apre la pagina del Test di firma digitale eseguito con successo. Cliccando su Prosegui si verrà reindirizzati al Calendario esami. Settembre 2012 versione 1.1 pag. 21 di 25
Da questo momento in poi è possibile utilizzare la firma digitale per firmare i verbali. Settembre 2012 versione 1.1 pag. 22 di 25
IMPORTANTE: SMARRIMENTO del PIN: contattare l IR per REVOCARE il CERTIFICATO. Una volta effettuata la revoca, il docente può effettuare una nuova registrazione, con il rilascio di un nuovo certificato e il relativo PIN. Ovviamente ogni certificato ha un costo per l Ateneo e il numero totale annuo a disposizione è limitato SMARRIMENTO CELLULARE/SIM: contattare l IR per SOSPENDERE il CERTIFICATO o contattare Call Center Infocert al 199 500 130, attivo tutti i giorni, H24 CAMBIO OPERATORE: Il docente che intende passare ad un altro operatore di telefonia mobile, può conservare l'originario numero di cellulare - già indicato per l invio degli SMS contenenti l OTP purché attivi la richiesta di number portability al nuovo operatore di telefonia mobile. Non è necessaria alcuna comunicazione a Infocert o al proprio IR. Settembre 2012 versione 1.1 pag. 23 di 25
APPENDICE A. TERMINOLOGIA E DEFINIZIONI CA Dall'espressione internazionale "Certification Authority", sostituita in Italia (per incompatibilità di questa denominazione con il concetto giuridico italiano di "Authority") con "Ente di Certificazione", "Ente Certificatore", "Società di Certificazione": "soggetto pubblico o privato che effettua la certificazione, rilascia il certificato della chiave pubblica, lo pubblica unitamente a quest'ultima, pubblica ed aggiorna gli elenchi dei certificati sospesi e revocati " (D.P.R. 28/12/2000, n.445) - Entità firmataria dei certificati, di cui gestisce il ciclo di vita (emissione, pubblicazione, sospensione, revoca). Certificato Insieme di informazioni atte a definire con certezza la corrispondenza tra il nome del soggetto certificato e la sua chiave pubblica; nel certificato compaiono altre informazioni tra cui: il Certificatore che lo ha emesso; il periodo di tempo di validità; altri campi (estensioni) che determinano caratteristiche aggiuntive. Certificato di sottoscrizione consente all utente titolare di firmare digitalmente un documento (firma legalmente valida secondo la normativa vigente). ERC Acronimo di Emergency Request Code, codice di emergenza. IR Incaricato della Registrazione, soggetto facente capo ad un determinato Ufficio di Registrazione, che effettua la sola identificazione dell'utente Titolare e ne annota i dati necessari in una maschera via Internet. IUT Identificativo Univoco Titolare. E' composto da: Anno (4 ch) di registrazione richiesta certificato. Ufficio (6 ch) identificativo interno ufficio di registrazione di appartenenza della user autenticata che ha effettuato la registrazione richiesta certificato. A (fisso 1 ch) eventuale per i soli certificati non di firma. Progressivo (ch variabile) registrazione richiesta certificato. Il progressivo è annuale per ufficio di registrazione. Es1: 200711111115 (quindicesima registrazione per l'ufficio 111111 nell'anno 2007 di tipo sottoscrizione). Es2: 2007111111A15 (quindicesima registrazione per l'ufficio 111111 nell'anno 2007 di tipo autenticazione). Firma digitale un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici. PIN Personal Identification Number. Settembre 2012 versione 1.1 pag. 24 di 25
PUK Personal Unlocking Key. RAO Registration Authority Officer - Operatore dell Ufficio di Registrazione: soggetto incaricato a verificare l identità e, se applicabile, ogni specifico attributo di un Titolare, nonché ad attivare la procedura di certificazione per conto del Certificatore. Ufficio di Registrazione Entità che esegue le operazioni di autenticazione, identificazione, raccolta e conservazione dei dati relativi ai richiedenti i certificati. Utente Titolare Utente finale possessore della firma digitale e titolare del certificato. Settembre 2012 versione 1.1 pag. 25 di 25