Servizio ISEE Invio comandi alla carta

Servizio ISEE Invio comandi alla carta Versione 1.1 04/12/2012 RTI Funzione Nome Redazione Approvazione Capo progetto RTI (Aruba) Esperto di dominio (Actalis) Capo progetto CMS (Engineering) Esperto architetture (Engineering) Capo progetto RTI Umberto Ferrara, Riccardo Casiraghi Massimo Agostiniani Fabio Bennati Umberto Ferrara Regione Toscana Funzione Nome Verifica Approvazione Nome file: CSE-ServizioISEE-InvioComandiAllaCarta-v1.1.doc Pag. 1 di 12

Indice AGGIORNAMENTI DELLE VERSIONI...3 1 GENERALITÀ...4 1.1 Scopo...4 1.2 Riferimenti...4 1.3 Definizioni e abbreviazioni...4 1.4 Allegati...4 2 Organizzazione del File System...4 3 Popolamento/aggiornamento dati servizio ISEE...5 3.1 Connessione alla carta e selezione DF servizio aggiuntivo ISEE...5 3.2 External authenticate...5 3.2.1 Generazione sequenza randomica di bytes... 6 3.2.2 Firma sequenza randomica di bytes... 6 3.2.3 External authenticate... 6 3.3 Scrittura dei file elementari presenti nel servizio...7 3.3.1 Scrittura contenuto EF_ISEE_INFO_APPL... 7 3.3.2 Scrittura contenuto EF_ISEE_HASH... 9 3.3.3 Scrittura contenuto EF_ISEE_SIGNATURE... 9 4 Lettura dati servizio ISEE...10 4.1 Connessione alla carta e selezione DF servizio aggiuntivo ISEE...10 4.2 Lettura dei file elementari presenti nel servizio...10 4.2.1 Lettura contenuto EF_ISEE_INFO_APPL... 10 4.2.2 Lettura contenuto EF_ISEE_HASH... 11 4.2.3 Lettura contenuto EF_ISEE_SIGNATURE... 12 Pag. 2 di 12

AGGIORNAMENTI DELLE VERSIONI Versione Data Motivo Modifiche 1.0 03/12/2012 Emissione -- 1.0 04/12/12 Correzione 3,1 aggornato FID Pag. 3 di 12

1 GENERALITÀ Il presente documento si riferisce al progetto di gestione del servizio aggiuntivo ISEE. 1.1 Scopo Obiettivo di questo documento è descrivere le modalità di interfacciamento con le TS-CNS per le operazioni di lettura e scrittura delle informazioni relative al servizio ISEE. 1.2 Riferimenti http://www.digitpa.gov.it/sites/default/files/lineeguidacns%28v3.0%29.pdf 1.3 Definizioni e abbreviazioni RT CSE TS-CNS Regione Toscana Carta Sanitaria Elettronica Tessera Sanitaria Carta Nazionale dei Servizi 1.4 Allegati N.A. 2 ORGANIZZAZIONE DEL FILE SYSTEM Di seguito l organizzazione del file system per la gestione del servizio aggiuntivo ISEE: DF2 Dati_personali_aggiuntivi EF_Memoria_residua EF_Servizi_Istallati EF_INST_FILE DF EF BSO BSO_InstPubKey BSO_Kia BSO_Kic DF_ISEE EF_INFO _APPL EF_HASH EF_SIGNATURE BSO_AdminISEE_pubKey Pag. 4 di 12

Servizio ISEE File/Object Name Parent Description FID/ID (hex) Type Algorithm Net Size DF_ISEE DF2 Servizio aggiuntivo ISEE 1F21DF EF_ISEE_INFO_APPL Info applicative servizio ISEE 0001EF_T (**) 400 EF_ISEE_HASH Hash sha1 del contenuto di EF_ISEE_INFO_APPL 0002EF_T (***) 20 EF_ISEE_SIGNATURE Firma RSA raw con chiave di lunghezza 1024 del contenuto di EF_ISEE_INFO_APPL 0003EF_T (****) 128 File/Object Name Update Append Activate/D eactivate Access Conditions: DF DF_ISEE nev nev nev BSO_InstP nev Nev ubkey EF_ISEE_INFO_APPL alw EF_ISEE_HASH alw EF_ISEE_SIGNATURE alw Access Conditions: EF Delete Admin Create Read Update Append Activate/Deac tivate BSO_ISEE_A dminpubkey BSO_ISEE_A dminpubkey BSO_ISEE_A dminpubkey Delete Admin nev nev nev nev nev nev nev nev nev nev nev nev 3 POPOLAMENTO/AGGIORNAMENTO DATI SERVIZIO ISEE In questo capitolo è riportato un possibile elenco di apdu che consente la scrittura dei dati applicativi previsti per il servizio aggiuntivo ISEE. 3.1 Connessione alla carta e selezione DF servizio aggiuntivo ISEE Per poter inviare comandi alla carta è necessario stabilire una connessione come mostrato nel seguente esempio: exec: card#connect#card Reader name: ACS ACR38U 0 Establish Context():... Card inserted into ACS ACR38U 0 Card ATR is 24: 3BDF18008131FE7D006B150C0181010101434E53103180F8 Output : 3B DF 18 00 81 31 FE 7D 00 6B 15 0C 01 81 01 01 01 43 4E 53 10 31 80 F8 Status : OK La selezione del folder DF_ISEE avviene tramite l invio di una apdu SELECT avente come argomento l identificatore del folder DF_ISEE (1F 21). Command : 00 A4 08 00 04 Input Data [Le] : 12 00 1F 21 In caso di corretta selezione (vedi esempio) la carta restituisce lo SW 90 00. In caso di invio del comando ad una carta che non contiene il servizio ISEE la carta restituisce lo SW 6A 82 3.2 External authenticate Per poter aggiornare (o scrivere per la prima volta) i dati del servizio ISEE è necessario soddisfare la condizione di accesso Update associata agli Elementary Files (EFs) EF_ISEE_INFO_APPL, EF_ISEE_HASH. Pag. 5 di 12

EF_ISEE_SIGNATURE. Il Base Security Object BSO_ISEE_AdminPublicKey la cui verifica consente la scrittura dei summenzionati EFs è di tipo RSA Public Key. Per poterlo verificare l applicazione deve effettuare i seguenti passi: - chiedere alla carta la generazione di una sequenza randomica di bytes, - firmare/cifrare la sequenza randomica di bytes ritornata con la chiave amministrativa privata corrispondente al BSO_ISEE_AdminPublicKey (la chiave amministrativa privata è in possesso del gestore del servizio ISEE) - chiedere alla carta la validazione della sequenza di bytes firmata/cifrata tramite apdu external_authenticate. Se la validazione ha esito positivo (apdu external authenticate eseguita con successo) è possibile procedere con l aggiornamento del contenuto dei tre EFs. 3.2.1 Generazione sequenza randomica di bytes Il seguente esempio mostra l invio della richiesta di generazione di una sequenza randomica di lunghezza 8 bytes. // Get Challenge Command : 00 84 00 00 08 Output Data : 76 BE 85 99 48 9E F4 7D 3.2.2 Firma sequenza randomica di bytes La sequenza randomica di bytes ritornata dalla carta (76 BE 85 99 48 9E F4 7D nell esempio) deve essere frmata/cifrata, in modalità PKCS1 padding, con la chiave amministrativa privata del gestore del servizio ISEE. La modalità operativa di apposizione della firma dipende dal tipo di supporto per la conservazione della chiave amministrativa privata (file system, smart card, HSM) e/o dalla particolare libreria crittografica utilizzata. Essendo la lunghezza della chiave amministrativa del servisio ISEE pari a 1024 bit (128 bytes) la firma/cifratura della sequenza randomica avrà lunghezza 128 bytes, come mostrato nel seguente esempio: exec: mngrsaprivkey#encrypt#pkcs12#../data/adminisee.p12 # p12.2 # G # N Output Status : 1C 19 8A 1D 90 EA B2 28 BD 0F DB C7 B0 02 99 B8 AC F3 57 C0 57 E1 BC AA 71 A3 E2 E8 29 0D CB EB 85 44 B0 E4 5D 95 86 D5 1E F9 35 5A 77 C2 42 A2 67 51 30 66 E7 FC 1D 06 A3 49 81 A6 37 A3 A8 FF A0 6F 3E 6E 50 2F FA 2A CB 4F 37 B3 22 97 F3 C0 2E A0 3D 56 D8 6A AB B3 5A 2E 8D 78 C6 39 F3 5D 35 1E 43 AB A4 17 48 D0 8A B0 9B 85 C1 1A 57 17 7B 45 E9 76 FB 83 69 A8 83 3E B8 68 AE C8 81 27 : OK 3.2.3 External authenticate La sequenza firmata/cifrata di 128 bytes viene passata alla carta tramite l apdu external authenticate Command : 00 82 00 87 80 Pag. 6 di 12

Input Data [Le] : 1C 19 8A 1D 90 EA B2 28 BD 0F DB C7 B0 02 99 B8 AC F3 57 C0 57 E1 BC AA 71 A3 E2 E8 29 0D CB EB 85 44 B0 E4 5D 95 86 D5 1E F9 35 5A 77 C2 42 A2 67 51 30 66 E7 FC 1D 06 A3 49 81 A6 37 A3 A8 FF A0 6F 3E 6E 50 2F FA 2A CB 4F 37 B3 22 97 F3 C0 2E A0 3D 56 D8 6A AB B3 5A 2E 8D 78 C6 39 F3 5D 35 1E 43 AB A4 17 48 D0 8A B0 9B 85 C1 1A 57 17 7B 45 E9 76 FB 83 69 A8 83 3E B8 68 AE C8 81 27 In caso di corretta verifica (vedi esempio) la carta restituisce lo SW 90 00. In caso di fallimento verifica (dovuta ad esempio all utilizzo di una chiave privata non corrispondente alla chiave pubblica, alla firma/cifratura di una sequenza di bytes non corrispondente alla sequenza di bytes randomica restituita) la carta restituisce i seguenti SW: SW 90 00 Verifica corretta 63 C2 Verifica fallita: rimangono altri due possibili tentativi 63 C1 Verifica fallita: rimane un solo possibile tentativo prima del blocco di BSO_ISEE_AdminPublicKey 63 C0 Verifica fallita: BSO_ISEE_AdminPublicKey bloccato; non sono possibili ulteriori tentativi 69 83 BSO_ISEE_AdminPublicKey è bloccato. La verifica fallisce anche in caso di passaggio dati corretti 3.3 Scrittura dei file elementari presenti nel servizio La scrittura del contenuto dei tre files elementari presenti avviene tramite l invio di apdu UPDATE_BINARY previa selezione del file elementare tramite apdu SELECT 3.3.1 Scrittura contenuto EF_ISEE_INFO_APPL L identificatore del file EF_ISEE_INFO_APPL (00 01) è specificato nel comando select Command : 00 A4 00 00 02 Input Data [Le] : 00 01 In caso di corretta selezione (vedi esempio) la carta restituisce lo SW 90 00. In caso di invio del comando ad una carta che non contiene il file EF_ISEE_INFO_APPL la carta restituisce lo SW 6A 82 La dimensione del file EF_ISEE_INFO_APPL è di 400 bytes. Se la dimensione della struttura dati applicativi del servizio ISEE (struttura ASN.1) è inferiore a 255 bytes può essere veicolata tramite una sola apdu come mostrato nel seguente esempio (75h = 117 bytes Pag. 7 di 12

veicolati) Command : 00 D6 00 00 75 Input Data [Le] : 30 73 80 10 43 52 4C 4C 53 49 30 39 50 36 32 4C 34 32 34 49 30 1B 80 05 31 37 35 30 30 81 08 32 30 31 32 31 30 31 35 82 08 32 30 31 33 31 30 31 35 81 3E 43 52 4C 4C 53 49 30 39 50 36 32 4C 34 32 34 49 2F 36 30 39 30 30 30 33 33 32 32 38 30 39 30 30 37 2E 58 5A 4B 43 2B 55 50 43 45 30 4A 48 4F 2F 31 57 43 52 4F 58 34 2B 41 34 30 4F 59 3D 82 02 30 31 Se la dimensione della struttura dati applicativi del servizio ISEE è superiore a 255 bytes può essere veicolata tramite l inviato in sequenza due apdu UPDATE_BINARY come mostrato nl seguente esempio // scrittura dei primi 255 bytes Command : 00 D6 00 00 FF Input Data [Le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scrittura dei rimanenti 16 bytes Command : 00 D6 00 FF 10 Input Data [Le] : B2 70 BC BE 9E 1D 6D B1 37 09 6D 26 A2 58 BD 84 In caso di corretta scrittura (vedi esempio) la carta restituisce lo SW 90 00. In caso di fallimento la carta restituisce i seguenti SW: SW 90 00 Esecuzione corretta 69 82 Esecuzione fallita: condizioni di scrittura non verificate 6A 84 Esecuzione fallita: tentativo di scrittura oltre la dimensione del file Pag. 8 di 12

3.3.2 Scrittura contenuto EF_ISEE_HASH L identificatore del file EF_ISEE_HASH (00 02) è specificato nel comando select Command : 00 A4 00 00 02 Input Data [Le] : 00 02 La dimensione del file EF_ISEE_HASH è di 20 bytes. Il file deve essere aggiornato con l impronta SHA-1 del contenuto effettivo (dimensione della struttura Asn.1) dei dati applicativi memorizzati in EF_ISEE_INFO_APPL. Per poter scrivere l intero contenuto del file deve essere inviata una sola apdu UPDATE_BINARY. Command : 00 D6 00 00 14 Input Data [Le] : A9 D3 F0 9E D2 FF 47 15 64 9E D9 A4 16 93 42 DF 86 68 77 CD Vedi possibili SW al par. 3.3.2 3.3.3 Scrittura contenuto EF_ISEE_SIGNATURE L identificatore del file EF_ISEE_SIGNATURE (00 03) è specificato nel comando select Command : 00 A4 00 00 02 Input Data [Le] : 00 03 La dimensione del file EF_ISEE_SIGNATURE è di 128 bytes. Il file deve essere aggiornato con la firma dell impronta SHA-1 (memorizzata nell EF EF_ISEE_HASH) apposta tramite apposita credenziale di firma del gestore del servizio ISEE dedicata allo scopo. Essendo la lunghezza dell apposita chiave di firma RSA del gestore del servizio ISEE pari a 1024 bit (128 bytes) la firma dell hash avrà lunghezza 128 bytes. La modalità operativa di apposizione della firma dipende dal tipo di supporto per la conservazione della chiave privata ad uso firma (file system, smart card, HSM) e/o dalla particolare libreria crittografica utilizzata. Per poter scrivere l intero contenuto del file deve essere inviata una sola apdu UPDATE_BINARY. Command : 00 D6 00 00 80 Input Data [Le] : 25 63 1C BA 26 93 DD FE 8C 3A 05 5A C0 5C EB 01 63 6E EF 81 32 94 DF 00 1F 2F 05 50 91 78 0D 97 47 2A 99 2E 4C E3 96 9F 44 43 01 B6 5D 51 15 8A 4E 24 11 5C B0 13 CB 84 DB E3 28 83 C6 88 67 32 2D BE EC B0 90 BD 9D 15 22 FC 45 7D C0 80 0B D3 5D D2 81 C2 CC 87 34 DF 91 99 94 65 B5 B0 48 38 53 37 0D 81 07 8C B4 31 57 44 02 A7 59 C6 C6 3C 60 6C EE 8F 93 60 43 16 18 6C 8D 4A D3 B5 FC 06 Pag. 9 di 12

Vedi possibili SW al par. 3.3.2 4 LETTURA DATI SERVIZIO ISEE In questo capitolo è riportato un possibile elenco di apdu che consente la lettura dei dati contenuti nel servizio aggiuntivo ISEE. 4.1 Connessione alla carta e selezione DF servizio aggiuntivo ISEE Per poter inviare comandi alla carta è necessario stabilire una connessione come mostrato nel seguente esempio: exec: card#connect#card Reader name: ACS ACR38U 0 Establish Context():... Card inserted into ACS ACR38U 0 Card ATR is 24: 3BDF18008131FE7D006B150C0181010101434E53103180F8 Output : 3B DF 18 00 81 31 FE 7D 00 6B 15 0C 01 81 01 01 01 43 4E 53 10 31 80 F8 Status : OK La selezione del folder DF_ISEE avviene tramite l invio di una apdu SELECT avente come argomento l identificatore del folder DF_ISEE (1F 27, valore temporaneo / non ancora registrato). Command : 00 A4 08 00 04 Input Data [Le] : 12 00 1F 27 In caso di corretta selezione (vedi esempio) la carta restituisce lo SW 90 00. In caso di invio del comando ad una carta che non contiene il servizio ISEE la carta restituisce lo SW 6A 82 4.2 Lettura dei file elementari presenti nel servizio La lettura del contenuto dei tre files elementari presenti avviene tramite l invio di una apdu READ_BINARY previa selezione del file elementare tramite apdu SELECT 4.2.1 Lettura contenuto EF_ISEE_INFO_APPL L identificatore del file EF_ISEE_INFO_APPL (00 01) è specificato nel comando select Command : 00 A4 00 00 02 Input Data [Le] : 00 01 In caso di corretta selezione (vedi esempio) la carta restituisce lo SW 90 00. In caso di invio del comando ad una carta che non contiene il file EF_ISEE_INFO_APPL la carta restituisce Pag. 10 di 12

lo SW 6A 82 La dimensione del file EF_ISEE_INFO_APPL è di 400 bytes. Per poter leggere l intero contenuto del file possono essere inviate in sequenza le seguenti apdu READ_BINARY. // lettura dei primi 255 bytes Command : 00 B0 00 00 FF Output Data : 30 73 80 10 43 52 4C 4C 53 49 30 39 50 36 32 4C 34 32 34 49 30 1B 80 05 31 37 35 30 30 81 08 32 30 31 32 31 30 31 35 82 08 32 30 31 33 31 30 31 35 81 3E 43 52 4C 4C 53 49 30 39 50 36 32 4C 34 32 34 49 2F 36 30 39 30 30 30 33 33 32 32 38 30 39 30 30 37 2E 58 5A 4B 43 2B 55 50 43 45 30 4A 48 4F 2F 31 57 43 52 4F 58 34 2B 41 34 30 4F 59 3D 82 02 30 31 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 // lettura dei rimanenti 145 bytes Command : 00 B0 00 FF FF Output Data : 00 In caso di corretta selezione (vedi esempio) la carta restituisce lo SW 90 00. In alternativa alla lettura dell intero EF è ipotizzabile la lettura dei primi bytes della struttura ASN.1 contenuta per recuperare la dimenzione della struttura stessa e conseguentemente leggere solo il numero di bytes Utili. 4.2.2 Lettura contenuto EF_ISEE_HASH L identificatore del file EF_ISEE_HASH (00 02) è specificato nel comando select Command : 00 A4 00 00 02 Input Data [Le] : 00 02 La dimensione del file EF_ISEE_HASH è di 20 bytes. Per poter leggere l intero contenuto del file deve essere inviata una sola apdu READ_BINARY. Pag. 11 di 12

Command : 00 B0 00 00 00 Output Data : A9 D3 F0 9E D2 FF 47 15 64 9E D9 A4 16 93 42 DF 86 68 77 CD 4.2.3 Lettura contenuto EF_ISEE_SIGNATURE L identificatore del file EF_ISEE_SIGNATURE (00 03) è specificato nel comando select Command : 00 A4 00 00 02 Input Data [Le] : 00 03 La dimensione del file EF_ISEE_SIGNATURE è di 128 bytes. Per poter leggere l intero contenuto del file deve essere inviata una sola apdu READ_BINARY. Command : 00 B0 00 00 00 Output Data : 25 63 1C BA 26 93 DD FE 8C 3A 05 5A C0 5C EB 01 63 6E EF 81 32 94 DF 00 1F 2F 05 50 91 78 0D 97 47 2A 99 2E 4C E3 96 9F 44 43 01 B6 5D 51 15 8A 4E 24 11 5C B0 13 CB 84 DB E3 28 83 C6 88 67 32 2D BE EC B0 90 BD 9D 15 22 FC 45 7D C0 80 0B D3 5D D2 81 C2 CC 87 34 DF 91 99 94 65 B5 B0 48 38 53 37 0D 81 07 8C B4 31 57 44 02 A7 59 C6 C6 3C 60 6C EE 8F 93 60 43 16 18 6C 8D 4A D3 B5 FC 06 Pag. 12 di 12