Soluzioni tecnologiche per la firma e la marcatura temporale LA FIRMA DIGITALE una chiave che apre le porte al futuro Monza, Sporting Club 8 Marzo 2013
Il gruppo Aruba In sintesi Gruppo composto da 29 società consociate, 23 diversi brand e oltre 450 professionisti, con sedi in tutta Italia e in Francia, Germania, Rep. Ceca e Slovacca, Polonia, Ungheria. Uno dei leader europei nel web hosting e accesso a Internet Controlla due delle principali CA italiane: Actalis e ArubaPEC Fornitori di FD, PEC, marcatura temporale, carte a microchip, ecc. a un grande numero di clienti nei settori pubblico) e privato Forniti quasi 20 milioni di CNS-TS
Sommario 1) Formati di firma: CAdES, PAdES, XAdES 2) Soluzioni tecnologiche per la firma digitale 3) La firma digitale automatica 4) La marcatura temporale
Regole tecniche e "tecnologiche" DPCM 30/3/2009: "REGOLE TECNICHE IN MATERIA DI GENERAZIONE, APPOSIZIONE E VERIFICA DELLE FIRME DIGITALI E VALIDAZIONE TEMPORALE DEI DOCUMENTI INFORMATICI" Deliberazione CNIPA n.45/2009 come modificata dalla Determinazione DigitPA n.69/2010: "REGOLE PER IL RICONOSCIMENTO E LA VERIFICA DEL DOCUMENTO INFORMATICO" Stabilisce come in concreto devono essere fatti i certificati, le firme, le marche temporali: standard tecnici di riferimento, algoritmi, ecc. Ad oggi, ammessi RSA, ECDSA e SHA-256 (ma nessuno usa ECDSA) Inoltre.AssoCertificatori garantisce l'interoperabilità tra i propri membri e con la PA grazie a test di interoperabilità svolti annualmente
Formati di firma: la firma P7M / CAdES CMS-based Advanced Electronic Signatures (norma ETSI 101 733) Si parla di "busta crittografica" (envelope) Certificato firmatario incluso nella busta, assieme alla firma Il documento può essere racchiuso oppure no (firma "detached") D6 CD 6F 6C 72 D3 8B 07 97 70 A0 85 0D D0 3C 5D Firma Documento Certificato Busta CAdES (p7m)
La firma P7M / CAdES (segue) Firme multiple indipendenti (parallele) Firme multiple annidate (controfirme) Firma 1 Cert 1 Attributi 1 Firma 1 Cert 1 Attributi 1 Firma 2 Cert 2 Attributi 2 Firma 2 Cert 2 Attributi 2 Firma N Cert N Attributi N Firma N Cert N Attributi N
Formati di firma: la firma PDF / PAdES PDF-based Advanced Electronic Signatures (norma ETSI 102 778) Basata sulle specifiche PDF (ISO 32000) Può avere una rappresentazione grafica (opzionale) Un file PDF firma è ancora un file PDF Verificabile mediante Adobe Reader
La firma PDF / PAdES (segue) Documento (qualsiasi) Documento PDF Firma Firma
La firma PDF / PAdES (segue)
La firma PDF / PAdES (segue) Vantaggi Verificabile da chiunque usando Adobe Reader Rappresentazione visiva (opzionale) della firma Non richiede uno «sbustamento» Caveat Risorse A oggi, la firma PDF è ancora poco accettata dalla PA (non è obbligo) http://www.adobe.com/it/security/pdfs/digitalsignaturesinpdf.pdf http://pda.etsi.org/exchangefolder/ts_10277802v010201p.pdf http://www.adobe.com/it/security/italiandigsig.html
Formati di firma: la firma XML / XAdES XML-based Advanced Electronic Signatures (norma ETSI 101 903) Codifica human-readable (si può visualizzare con il browser) Adatto per docum. strutturati da elaborare in modo automatico Tre forme principali: enveloped, enveloping, detached Ancora poco usato, prevalentemente in ambito bancario e sanitario Standard complesso (molte opzioni e varianti)
La firma XML / XAdES (segue)
54 mm Soluzioni tecnologiche: la smart card 85 mm 96012377 Chiave privata PIN Certificato
Firma mediante smart card: processo Documento Calcolo impronta 2 Applicazione di creazione firma digitale Documento firmato 1 5 Impronta + PIN 3 4 Impronta cifrata con la K privata Chip crittografico ("smart card")
La FD "classica" mediante smartcard Vantaggi Soluzione economica La SC può fare anche da badge (BM / RFID) La SC si può conservare nel portafoglio Possibile la customizzazione grafica Svantaggi Per usare la SC serve un lettore (tipic. USB) driver Lettore non disponibile per dispositivi mobili (es. tablet) Necessario installare anche le "librerie" della SC La SC tende a logorarsi (in particolare i contatti)
Firma con CRS: è la stessa cosa? La CRS è una smartcard certificata per FD/FEQ Ma il certificato è "di autenticazione", non "di firma" (profilo diverso) Stessa cosa tecnicamente, ma diverso valore legale È una FEA secondo il nuovo CAD, ma regole tecniche Regione Lombardia la accetta in alcuni casi
La FD con "chiavetta" all-in-one Due periferiche USB in un solo dispositivo fisico Lettore di smartcard (SIM-sized) Memoria Flash ( 2GB) Completamente driver-less Pronto all'uso
La FD con "chiavetta" (segue) Vantaggi: Non richiede un lettore separato Non richiede alcuna installazione di SW Non richiede di essere "Administrator" del PC Può essere usata su qualsiasi PC (anche di altri) Include memoria per i propri documenti ( 2 GB) Include una serie di utili applicazioni "portable" Svantaggi Costa un poco di più della soluzione classica Alcuni AV tendono a ostacolarne l'uso Non utilizzabile con i tablet
La FD remota: principio di funzionamento Documento Calcolo impronta Applicazione di creazione firma digitale Documento firmato Impronta + PIN Impronta cifrata con la K privata Internet Chip crittografico ("smart card") Chiavi utente 1 Chiavi utente 2 Chiavi utente 3 Chiavi utente N Server di firma remota
La firma digitale remota (segue) Dunque, notevoli vantaggi: Nessuna installazione lettore e driver Usabile su qualsiasi dispositivo Nessun problema di usura Gestione più semplice E anche più economica Caveat Per firmare, devo essere on-line (ma ormai lo siamo sempre )
La firma digitale "con procedura automatica" Simile alla FD remota perché usa un HSM (tipicamente) Ma lo HSM normalmente è locale rispetto al Cliente Integrazione con applicativi "unattended" Tipicamente si usa per: Fatturazione elettronica Conservazione documentale Contratti di tipo standardizzato Mandati di pagamento
La marcatura temporale Problema Col tempo, il certificato del firmatario scade oppure può essere revocato A quel punto, l'app di verifica firma mi dirà che la firma non è più valida Ma la firma era valida, prima che il certificato scadesse o fosse revocato! A quel punto, quella firma digitale è ancora valida oppure no? Soluzione (nel DPCM 30/3/2009):
La marcatura temporale (segue) È la firma digitale, da parte di un ente terzo fidato (TSA), della impronta di un dato o documento (D) e della data-ora (T) in cui l impronta è stata ricevuta dalla TSA Dimostra che il documento/dato D esisteva non più tardi del tempo T Data-ora certa Documento Hashing Impronta Firma Documento Internet Alice Marca Temporale (time-stamp token)
La marcatura temporale (segue) La MT ha valore legale se emessa da una CA accreditata e generata nel rispetto delle norme vigenti (DPCM 30/3/2009 e Determ. DigitPA 69/2010) => obbligo di conservarla su supporto pemanente per almeno 20 anni Prolungamento nel tempo della validità della firma, oltre la data di scadenza o revoca del certificato => almeno 20 anni Standard tecnici di riferimento: RFC 3161, RFC 5816, RFC 5544
Conclusioni Riassunto Regole di interoperabilità Formati di firma: CAdES, PAdES, XAdES FD classica con smart card (FEA su con CRS) FD con chiavetta all-in-one FD con procedura remota FD automatica o "massiva" Marcatura temporale Domande? Ing. Adriano Santoni adriano.santoni@staff.aruba.it