POSTA ELETTRONICA (TRADIZIONALE e CERTIFICATA) FIRMA DIGITALE PROTOCOLLO INFORMATICO Maurizio Gaffuri 11 ottobre 2007 1
POSTA ELETTRONICA TRADIZIONALE e POSTA ELETTRONICA CERTIFICATA 2
POSTA ELETTRONICA TRADIZIONALE Primo step Mittente Server Compilazione dell E-mail con eventuali allegati Invio dell E-mail ad un Server SMTP tipicamente esterno alla propria rete - per la consegna al Destinatario. La trasmissione avviene attraverso la rete Internet 3
POSTA ELETTRONICA TRADIZIONALE Secondo step Server di posta del Mittente Server di posta del Destinatario L E-mail viene trasmessa, a cura del Server SMTP del mittente, al Server POP del Destinatario. La trasmissione avviene attraverso la rete Internet 4
POSTA ELETTRONICA TRADIZIONALE Server di posta del Destinatario Terzo step Destinatario L E-mail viene conservata sul Server POP del Destinatario e verrà scaricata da quest ultimo solo quando accederà ad Internet per controllare la propria posta in arrivo. La ricezione avviene attraverso la rete Internet 5
POSTA ELETTRONICA TRADIZIONALE Server di posta del Destinatario Riassumendo Server di posta del Mittente Mittente Destinatario L E-mail transita al minimo 3 volte sulla rete Internet 6
POSTA ELETTRONICA TRADIZIONALE Problemi generali L E-mail viaggia più volte sulla rete Internet ed in chiaro. Può pertanto essere letta (cosiddetto sniffing ) o, addirittura, modificata da terzi malintenzionati. Per il Mittente Non c è alcuna garanzia che l E-mail giunga effettivamente al Destinatario. Non c è modo di sapere quando l E-mail è stata consegnata. Non c è modo di sapere se il Destinatario ha ricevuto esattamente quanto era stato inviato Per il Destinatario Non c è garanzia che il Mittente sia realmente colui che compare come Mittente dell E-mail. Non c è garanzia che il contenuto dell E-mail (specialmente gli allegati) non sia stato manipolato. 7
POSTA ELETTRONICA CERTIFICATA Mittente Trasmissione S.S.L. Primo step Server P.E.C. Compilazione dell E-mail con eventuali allegati Invio dell E-mail ad un Server SMTP P.E.C. tipicamente esterno alla propria rete - per la consegna al Destinatario; la trasmissione avviene attraverso la rete Internet ma: Solo dopo autenticazione del Mittente La trasmissione è crittata (S.S.L. = Secure Socket Layer) 8
POSTA ELETTRONICA CERTIFICATA Mittente Trasmissione S.S.L. Secondo step Server P.E.C. Il Server P.E.C. invia immediatamente al Mittente un E-mail di ACCETTAZIONE, contenente data, ora e codice univoco associato al messaggio originale. Il Server P.E.C. deve, per legge, mantenere traccia delle operazioni di ricezione e trasmissione. La trasmissione è crittata (S.S.L. = Secure Socket Layer) 9
POSTA ELETTRONICA CERTIFICATA Terzo step Server P.E.C. Mittente Trasmissione S.S.L. Server P.E.C. Destinatario Il Server P.E.C. del Mittente invia l E-mail al Server P.E.C. del Destinatario. La trasmissione è crittata (S.S.L. = Secure Socket Layer) 10
POSTA ELETTRONICA CERTIFICATA Quarto step Server P.E.C. Mittente Trasmissione S.S.L. Server P.E.C. Destinatario Il Server P.E.C. del Destinatario invia immediatamente al Mittente un E-mail di AVVENUTA-CONSEGNA, contenente data, ora e altre informazioni relative al deposito dell E-mail nella casella postale del Destinatario. Il Server P.E.C. deve, per legge, mantenere traccia delle operazioni di ricezione e trasmissione. La trasmissione è crittata (S.S.L. = Secure Socket Layer) 11
POSTA ELETTRONICA CERTIFICATA Server P.E.C. Destinatario Trasmissione S.S.L. Quinto step Destinatario L E-mail viene conservata sul Server P.E.C. del Destinatario e verrà scaricata da quest ultimo solo quando accederà per controllare la propria posta in arrivo. La trasmissione è crittata (S.S.L. = Secure Socket Layer) 12
POSTA ELETTRONICA CERTIFICATA Sesto step Nel frattempo il messaggio di AVVENUTA-CONSEGNA raggiunge la casella postale del Mittente e verrà scaricata alla prima connessione (posta in arrivo). Trasmissione S.S.L. Trasmissione S.S.L. Mittente Server P.E.C. Mittente Server P.E.C. Destinatario 13
POSTA ELETTRONICA CERTIFICATA Due parole su Il messaggio di ACCETTAZIONE Viene generato automaticamente dal Server P.E.C. di cui il Mittente è fruitore E una sorta di messaggio che conferma la presa in carico del sistema di Posta Certificata Libera il Mittente dalla necessità di dover dimostrare che il messaggio originario (cioè: quello che abbiamo inviato) è stato effettivamente affidato al sistema P.E.C. 14
POSTA ELETTRONICA CERTIFICATA Due parole su Il messaggio di AVVENUTA-CONSEGNA Viene generato automaticamente dal Server P.E.C. del Destinatario Garantisce che il messaggio originario è stato depositato nella casella postale del Destinatario Indipendentemente dal fatto che il Destinatario abbia o meno scaricato la propria posta, libera il Mittente dalla necessità di dover dimostrare che il messaggio originario è stato effettivamente consegnato al Destinatario 15
POSTA ELETTRONICA CERTIFICATA Riassumendo Vantaggi generali Tutte le connessioni avvengono tramite autenticazione e sono crittate (cosiddetto protocollo sicuro ). Per il Mittente Certezza sul percorso, sull identità del Destinatario dell E-mail e sul momento effettivo della consegna: l intera operazione resta tracciata sui Server P.E.C. Ricezione dei messaggi automatici di: ACCETTAZIONE AVVENUTA-CONSEGNA Certezza che il Destinatario ha ricevuto esattamente quanto era stato inviato Per il Destinatario Garanzia che il Mittente è realmente colui che compare come Mittente della E-mail. Certezza di aver ricevuto esattamente quanto era stato inviato 16
POSTA ELETTRONICA CERTIFICATA Riassumendo Svantaggi L unico svantaggio è per il Mittente Necessità di gestire i messaggi automatici di: ACCETTAZIONE AVVENUTA-CONSEGNA A fronte di ogni messaggio inviato si ricevono infatti 2 messaggi. Quando il traffico in uscita è elevato diventa difficile associare tutte le ACCETTAZIONI e le AVVENUTE-CONSEGNE ai corrispondenti messaggi inviati. 17
FIRMA DIGITALE 18
FIRMA DIGITALE Firma elettronica Terminologia E l'insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica. Firma elettronica qualificata E la firma elettronica ottenuta attraverso una procedura informatica che garantisce la connessione univoca al firmatario, creata con mezzi sui quali il firmatario può conservare un controllo esclusivo e collegata ai dati ai quali si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati, che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma. Firma Digitale Un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici. 19
FIRMA DIGITALE Concetto di Documento Informatico La Legge definisce Documento informatico la rappresentazione, realizzata attraverso strumenti informatici, di: Atti, fatti o dati giuridicamente rilevanti (D.P.R. 445/2000 Art. 1) 20
FIRMA DIGITALE Cos è un Documento Informatico? Qualunque documento testuale, grafico, sonoro, creato con l ausilio di un computer ad esempio: un documento Microsoft Word o Excel o un disegno generato con Autodesk AutoCad o un file sonoro in formato MP3 un qualunque file creato tramite programmi applicativi che viene memorizzato come una sequenza di cifre binarie (0 oppure 1) dette bit. 21
FIRMA DIGITALE Cos è l Impronta di un Documento Informatico? Il documento originale (file) Una sequenza di complesse operazioni matematiche Impronta 22
FIRMA DIGITALE Come si ottiene la Firma Digitale? La firma digitale viene ottenuta grazie ad una elaborazione che coinvolge sia: l Impronta ottenuta dal documento originale la Chiave Privata del firmatario, assegnata al sottoscrittore e memorizzata in una Smart-Card di Firma Digitale La Smart-Card contiene la Chiave Privata del sottoscrittore 23
FIRMA DIGITALE Cosa garantisce la Firma Digitale? La Firma Digitale garantisce: che il documento non ha subìto modifiche causate da manipolazioni di terzi (ad esempio: per intervento di estranei durante un invio del documento tramite Posta Internet) l identificazione univoca del Mittente 24
FIRMA DIGITALE Come avviene la verifica di un Documento informatico firmato digitalmente? Ovvero: la verifica che il documento non sia stato alterato Il documento firmato può essere verificato tramite la cosiddetta Chiave pubblica (perfettamente accessibile a chiunque) che consente di ricalcolare la Firma Digitale; naturalmente il procedimento di calcolo non può in alcun modo consentire di risalire alla Chiave Privata. 25
FIRMA DIGITALE Come avviene la verifica di un Documento informatico firmato digitalmente? Se l impronta ricalcolata con la Chiave Pubblica coincide con l impronta elaborata con la Chiave Privata all atto dell apposizione della firma: il documento non è stato modificato Se le due impronte di cui sopra non coincidono: il documento è stato modificato oppure la Chiave Pubblica o la Chiave Privata utilizzate non corrispondono 26
POSTA ELETTRONICA CERTIFICATA e FIRMA DIGITALE Protocollo Informatico 27
Interoperabilità (1/5) Aipa: CR 28 del 07/05/2001 Per interoperabilità dei sistemi di Protocollo Informatico si intende la possibilità di trattamento automatico, da parte di un sistema di protocollo ricevente, delle informazioni trasmesse da un sistema di protocollo mittente, allo scopo di automatizzare altresì le attività ed i processi amministrativi conseguenti (articolo 55, comma 4, del DPR 445/2000, ed art.15 del DPCM 31/10/2000 GU 272 del 21/11/2000). 28
Interoperabilità (2/5) Aipa: CR 28 del 07/05/2001 Per realizzare l interoperabilità dei sistemi di Protocollo Informatico è necessario: 1) stabilire una modalità di comunicazione comune, che consenta la trasmissione telematica dei documenti sulla rete. Posta Elettronica Certificata (protocollo SMTP, formato MIME per codifica messaggi) 2) garantire un efficace interazione dei sistemi di gestione documentale. Ogni messaggio di posta elettronica protocollato deve riportare alcune informazioni archivistiche fondamentali, per facilitare il trattamento dei documenti da parte del ricevente. Tali informazioni sono incluse nella segnatura informatica di ciascun messaggio protocollato (formato XML) 29
Interoperabilità (3/5) Ente mittente Protocolla e invia un messaggio (E-mail) tramite P.E.C. contenente: Documento firmato digitalmente Altri documenti allegati Il programma predispone l opportuna Segnatura informatica Contiene tutte le informazioni riguardanti l Ente mittente, la AOO, la data ed il protocollo utilizzato, l elenco dei documenti allegati, 30
Interoperabilità (4/5) Il messaggio (E-Mail) viaggia attraverso i Server P.E.C. e giunge al Destinatario esattamente come illustrato in precedenza. Il Sistema di protocollazione del Destinatario dovrà essere in grado di: Estrarre automaticamente dal messaggio gli allegati ( sbustamento ) Verificare che esista l allegato SEGNATURA.XML Verificare che SEGNATURA.XML contenga gli elementi minimi previsti dalla Legge (Numero e Data di Protocollo attribuiti dal Mittente, informazioni sul Mittente, ) Verificare la corrispondenza tra le informazioni relative agli allegati contenute in SEGNATURA.XML e gli allegati effettivamente presenti Verificare che, tra gli allegati, esista almeno un documento firmato digitalmente (detto Documento Principale ) Verificare la validità della firma digitale apposta su tale documento 31
Interoperabilità (5/5) Inoltre, se espressamente richiesto nel contenuto della Segnatura informatica, l Ente destinatario deve, all atto della protocollazione, inviare un messaggio detto Conferma di ricezione Ente Mittente Ente Destinatario Conferma di ricezione La conferma di ricezione, oltre ad informarci che il messaggio è stato esaminato e ritenuto valido, contiene anche le informazioni di protocollazione dell Ente destinatario 32
Il messaggio di Conferma di ricezione dovrà transitare come un qualsiasi messaggio - attraverso la rete di Posta Elettronica Certificata. Ne consegue che l Ente Destinatario riceverà in seguito i messaggi automatici di ACCETTAZIONE e di AVVENUTA-CONSEGNA, relativi alla Conferma di ricezione. 33
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO Ente mittente Deve inviare un documento elettronico ad un altro Ente Manualmente Il Responsabile firma digitalmente il documento Il documento viene protocollato in partenza; vengono inserite le informazioni relative al Destinatario (indirizzo, AOO, ) Automaticamente Il programma genera una E-Mail contenente due allegati: Il documento firmato digitalmente Il file di SEGNATURA (segnatura.xml) supponiamo che il file di segnatura richieda espressamente all Ente Destinatario la Conferma di ricezione (scelta consigliata) L E-mail è pronta 34
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO Ente mittente Trasmissione S.S.L. Server P.E.C. Mittente Tramite la connessione Internet la busta viene inviata al proprio Server P.E.C. Il Server P.E.C. restituirà immediatamente il messaggio di ACCETTAZIONE 35
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO Server P.E.C. Mittente Trasmissione S.S.L. Server P.E.C. Destinatario Tramite la connessione Internet la busta viene inviata al Server P.E.C. del Destinatario Il Server P.E.C. del Destinatario restituirà immediatamente il messaggio di AVVENUTA-CONSEGNA 36
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO Server P.E.C. Destinatario Trasmissione S.S.L. Ente destinatario Quando l Ente destinatario scaricherà la propria Posta, dovrà sbustare il contenuto dell E-Mail ed analizzarlo per verificare che: risponda ai requisiti minimi contenga un allegato firmato digitalmente la firma sia valida 37
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO Ente destinatario Se l Ente destinatario (o il suo Programma di Protocollo) verifica che tutto è corretto: esegue la protocollazione automatica del messaggio (protocollazione in arrivo) genera obbligatoriamente il messaggio di Conferma di ricezione, in quanto espressamente richiesto dall Ente mittente 38
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO Server P.E.C. Destinatario Trasmissione S.S.L. Ente destinatario Alla prima connessione, l Ente destinatario invierà il messaggio di Conferma di ricezione, contenente tra l altro la data ed il numero di protocollo attribuito al messaggio originale. L Ente destinatario riceverà, dal proprio Server P.E.C., il messaggio di ACCETTAZIONE 39
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO Ente mittente Trasmissione S.S.L. Server P.E.C. Mittente L Ente mittente riceverà pertanto (anche in momenti diversi), il messaggio di AVVENUTA-CONSEGNA e il messaggio di Conferma di ricezione. 40
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO Server P.E.C. Destinatario Trasmissione S.S.L. Ente destinatario Nel frattempo il Server P.E.C. dell Ente mittente avrà generato il messaggio di AVVENUTA-CONSEGNA relativo alla Conferma di ricezione inviato dall Ente destinatario. Al primo scarico della posta, l Ente destinatario riceverà tale messaggio. 41
UN ESEMPIO COMPLETO DI PROTOCOLLO INFORMATICO In conclusione, i due Enti avranno a disposizione: Ente mittente messaggio originale protocollato in partenza messaggio di ACCETTAZIONE messaggio di AVVENUTA-CONSEGNA messaggio di Conferma di ricezione messaggio protocollato in arrivo messaggio di Conferma di ricezione messaggio di ACCETTAZIONE messaggio di AVVENUTA-CONSEGNA (relativi alla Conferma di ricezione ) Ente destinatario 42