Redatto da: CS: Velio Mirai 23/02/2009 Verificato da: CS: Velio Mirai 23/02/2009 Approvato da: CS: Velio Mirai 23/02/2009 INFORMAZIONI SUL CERTIFICATO DIGITALE Nota Generalità. Il certificato digitale permette il trasferimento di informazioni trattandole opportunamente in modo tale da garantire: o Riservatezza: le informazioni non possono essere intercettate durante il loro trasferimento. o Autenticazione: il destinatario è certo che il messaggio proviene dal mittente. o Firma: certezza che il documento proviene dal mittente senza aver subito modifiche. Il certificato digitale è rilasciato da un ente apposito, la Certification Authority. Contiene varie informazioni fra le quali l identità del titolare e la firma digitale dell Ente che lo ha rilasciato. Il certificato utilizza l architettura definita PKI (Public Key Infrastructure), una coppia di chiavi, una pubblica ed una privata, che presenta alcuni requisiti: o è impossibile risalire dalla chiave pubblica a quella privata o ciò che viene cifrato con una delle due chiavi viene decifrato con l altra o la chiave pubblica è accessibile a tutti, la chiave privata è custodita dal proprietario Modalità di richiesta del certificato. E possibile ottenere il Certificato digitale facendo richiesta al proprio referente per la sicurezza e comunicandogli i dati identificativi necessari, cognome e nome, codice fiscale, indirizzo di posta elettronica. Condizione necessaria per l ottenimento del certificato è il possesso di una casella di posta intestata al titolare. In seguito alla richiesta vengono inviati al titolare due codici, uno direttamente al suo indirizzo di posta elettronica e l altro tramite il referente per la sicurezza. La validità dei codici inviati in seguito alla prenotazione, è di 60 giorni. Dieci giorni prima della scadenza viene inviato un messaggio di avvertimento all utente. Dopo la scadenza, segnalata con un ulteriore messaggio di posta, non è più possibile generare il certificato. La riemissione dei codici deve essere richiesta tramite il proprio referente per la sicurezza. SGQ-MGN-01_01 Nota INFORMAZIONI SUL CERTIFICATO CS-CCI-TO-PKI- Edizione N.1 1 5
Modalità di revoca del certificato digitale. La revoca del certificato digitale può essere motivata da diversi eventi fra i quali: o Cessazione del titolare o Modifica delle mansioni per le quali il certificato è stato emesso o Mancato rispetto del titolare degli obblighi che comporta il possesso del certificato o Compromissione della chiave privata del titolare In alcuni casi la revoca può avere carattere di urgenza. Per richiedere la revoca del certificato digitale personale il titolare deve rivolgersi al proprio referente per la sicurezza segnalando, oltre ai dati identificativi, anche la motivazione della revoca. Recovery del certificato digitale. Nella fase di generazione del certificato viene creato sul proprio PC il cosiddetto Profilo Entrust un file con estensione.epf abbinato alla password immessa. Nel caso si dimentichi la password o si perda accidentalmente il profilo è possibile il suo recupero con la operazione detta Recovery, consistente in due fasi, una di identificazione del titolare ed una successiva di invio del profilo aggiornato. Per le operazioni di recovery del certificato è necessario ricordare la risposta immessa in fase di generazione del certificato. Qualora fossero scordate anche la domanda e la risposta necessarie in questa fase, ci si può rivolgere al proprio referente della sicurezza che potrà richiedere la rigenerazione della domanda e della risposta. Obblighi del titolare de l certificato digitale. Il titolare del certificato deve: o Conservare con la massima diligenza le chiavi private ed il dispositivo che le contiene o Conservare la password e garantirne la riservatezza o Richiedere immediatamente la revoca qualora ritenga che il certificato abbia perso le caratteristiche di riservatezza. o Utilizzare il certificato per le sole applicazioni permesse o Distruggere la propria chiave privata di firma qualora non abbia più titolo a possederla. 2 5
GLOSSARIO Certification authority o certificatore (da qui espresso come CA) entità che esegue il processo di certificazione, rilascia il certificato della chiave pubblica, lo rende disponibile insieme a quest ultima e gestisce le liste di revoca (CRL). Certificato risultato di un processo mediante il quale la chiave pubblica del titolare ed altre informazioni vengono associate univocamente al titolare della chiave privata, l'autenticità e l'integrità di tale associazione vengono assicurate tramite la firma digitale da parte della CA. Liste dei certificati revocati (CRL) elenchi emessi e gestiti dalla CA, in cui vengono pubblicati gli estremi dei certificati la cui validità sia terminata prima della loro data di scadenza. Gli estremi di un certificato revocato resteranno nelle varie CRL che si succederanno nel tempo fino alla prima CRL successiva alla scadenza del certificato. Cross certification, anche definita accordo di mutua certificazione accordo mediante il quale la CA qui definita e un altra CA assicurano il mutuo riconoscimento dei certificati rispettivamente emessi e delle policy che le governano. La cross certification si concretizza nella emissione del certificato della chiave pubblica di ciascuna delle due CA da parte dell altra e, ove applicabile, dalla definizione della corrispondenza tra le rispettive policy. Local registration authority (da qui espresso come LRA) entità responsabile dell identificazione e dell autenticazione delle entità. Non firma o emette certificati. Public Key Infrastructure (da qui espresso come PKI) insieme di hardware, software, persone, processi e regole che consentono di creare, gestire, conservare, distribuire e revocare i certificati, garantendo l associazione tra le chiavi pubbliche ed i titolari. Sono previsti i seguenti impieghi per i certificati: riconoscimento sicuro delle entità (authentication), cifratura, firma digitale e marcatura temporale. Profilo utente insieme delle informazioni crittografiche del titolare, tra cui, principalmente: chiavi private di firma e cifra, certificati di firma e cifra, autocertificato della CA. Coppia di chiavi insieme costituito dalla chiave pubblica e dalla chiave privata ad essa associata. Chiave privata elemento della coppia di chiavi destinato ad essere utilizzato e conosciuto dal solo soggetto titolare. Chiave pubblica elemento della coppia di chiavi destinato ad essere reso pubblico. 3 5
Entità si intende un elemento autonomo all interno di una infrastruttura PKI. Un entità non è necessariamente un individuo ma potrebbe essere un elaboratore o un applicazione. Per esempio una CA, una LRA ed una singola persona sono delle entità. Titolare di una coppia di chiavi entità per la quale è stato emesso un certificato, da parte della CA, contenente la sua chiave pubblica. E responsabile dell utilizzo della chiave privata corrispondente alla chiave pubblica. Responsabile figura designata dall organizzazione aziendale che ha la possibilità di autorizzare l emissione dei certificati per i titolari a lui afferenti e richiederne la revoca. Ogni titolare afferisce ad uno o più responsabili, ogni responsabile può afferire a più titolari. Chiavi di sottoscrizione coppia di chiavi destinate alla generazione ed alla verifica di firme digitali. Chiavi di certificazione chiavi utilizzate dalla CA ai fini della generazione e verifica delle firme apposte ai certificati e alle liste di revoca (CRL). Chiavi di marcatura temporale chiavi destinate alla generazione e verifica delle marche temporali. Chiavi di cifratura coppia di chiavi utilizzate dall operazione di cifratura per rendere segrete delle informazioni. Operazione di cifratura processo di trasformazione di dati in un formato che garantisca la riservatezza dei dati stessi. Tale operazione prevede l utilizzo delle chiavi pubbliche dei soggetti a cui sono destinate le informazioni. Operazione di decifratura processo di trasformazione inverso a quello di cifratura. Tale operazione prevede l utilizzo della chiave privata da parte del titolare che intende decifrare il messaggio. Documento CPS (Certification Practice Statement) documento relativo alle regole pratiche utilizzate dalle diverse entità in una infrastruttura PKI. Vi sono descritti gli strumenti, le regole e le procedure implementate dalla CA per soddisfare quanto definito nel documento CP per emettere e gestire i certificati. Documento CP (Certificate policy) documento costituito da un insieme di regole, contraddistinto da un codice, che indica se è possibile utilizzare determinati certificati nell ambito di specifiche comunità o classi di applicazioni aventi comuni esigenze di sicurezza. Security policy (SP) insieme delle regole e norme che definiscono e regolamentano le misure di sicurezza con cui un sistema o un organizzazione protegge le proprie risorse critiche o riservate. Si considerano normalmente tre livelli di Security Policy: 4 5
o Strategico (o aziendale) in cui vengono date le direttive generali; o di Settore o di Sistema, ad esempio: SP per la Direzione del Personale, per il sistema PKI; o specifiche, ad esempio per le password, sulla privacy della posta elettronica. Sistema di Validazione Temporale (Time Stamp Server TSS) sistema in grado di produrre marche Temporali. Marca Temporale risultato di una procedura informatica con cui si attribuiscono ad uno o più documenti informatici una data ed un orario opponibili ai terzi. Timestamp Server Agent (TSA) addetto della CA incaricato di gestire il TSS. Codici legacy codici riservati concordati tra utente e CA per stabilire un identificazione sicura dell utente all atto della sua certificazione tramite AutoRA. Normalmente si utilizzano codici prelevati dai data base di applicazioni preesistenti, da cui il termine di "legacy" Passphrase password che risponde alle caratteristiche indicate in "Accesso ai Sistemi Informatici". Challenge/response coppia di parola d ordine/controparola, scelta dall utente stesso al momento della certificazione, utilizzata in caso di richieste di revoca o di recovery da parte del titolare effettuate per telefono. P.A.R.A. Processo Aziendale di Richiesta Autorizzazioni che gestisce l autorizzazione data da un responsabile a rilasciare certificati per un suo riporto (gerarchico o funzionale). ACRN coppia di codici ("Authentication Code" e "Reference Number") utilizzati dal prodotto Entrust, in conformità con lo RFC 2510, per autenticare l utente che chiede la certificazione della chiave pubblica. Si tratta di codici generati in modo casuale da Entrust/Authority e correlati tra loro che, oltre ad autenticare l utente, proteggono da intrusioni e alterazioni indebite il canale di comunicazione tra utente e Entrust/Authority. Essi vengono utilizzati solo in fase di certificazione e poi vengono cancellati da Entrust/Authority, evitando replay attack. 5 5