Definizione Sistemi per la creazione e la verifica di firme digitali Differenze tra firma digitale e firma convenzionale Valore giuridico della firma digitale in Italia Crittografia asimmetrica 11-01-2010 2
La firma digitale, o firma elettronica qualificata, basata sulla tecnologia della crittografia a chiavi asimmetriche, è un sistema di autenticazione di documenti digitali analogo alla firma autografa su carta. 11-01-2010 3
E associata stabilmente ad un documento informatico che assume pertanto le seguenti caratteristiche: Integrità: garanzia che il documento non è stato manomesso dopo la sottoscrizione. Autenticità: garanzia dell identità di chi firma. Non ripudio: l autore non può disconoscere il documento firmato. Valore legale: il documento elettronico sottoscritto digitalmente ha lo stesso valore legale di un documento cartaceo sottoscritto con firma autografa. 11-01-2010 4
Il sistema per la creazione e la verifica di firme digitali sfrutta le caratteristiche dei sistemi crittografici a due chiavi. Un sistema crittografico garantisce la riservatezza del contenuto dei messaggi, rendendoli incomprensibili a chi non sia in possesso di una "chiave" (intesa secondo la definizione crittologica) per interpretarli. Nei sistemi crittografici a due chiavi, detti anche a chiave pubblica o asimmetrici, ogni utente ha una coppia di chiavi: una chiave privata, da non svelare a nessuno, con cui può decodificare i messaggi che gli vengono inviati, e una chiave pubblica, che altri utenti utilizzano per codificare i messaggi da inviargli. Per ogni utente, le due chiavi vengono generate da un apposito algoritmo con la garanzia che la chiave privata sia la sola in grado di poter decodificare correttamente i messaggi codificati con la chiave pubblica associata. Lo scenario in cui un mittente vuole spedire un messaggio ad un destinatario in modalità sicura è il seguente: il mittente utilizza la chiave pubblica del destinatario per la codifica del messaggio da spedire, quindi spedisce il messaggio codificato al destinatario; il destinatario riceve il messaggio codificato e adopera la sua chiave privata per ottenere il messaggio "in chiaro". 11-01-2010 5
Grazie ad un'ulteriore proprietà delle due chiavi, inversa rispetto a quella descritta, un sistema di questo tipo è adatto anche per ottenere dei documenti firmati, infatti: la chiave pubblica di un utente è la sola in grado di poter decodificare correttamente i documenti codificati con la chiave privata di quell'utente. Se un utente vuole creare una firma per un documento, procede nel modo seguente: con l'ausilio di una funzione hash ricava l'impronta digitale del documento, il message digest, un file di dimensione fissa che riassume le informazioni contenute nel documento, dopodiché utilizza la propria chiave privata per codificare quest'impronta digitale: il risultato di questa codifica è la creazione di una firma. La funzione hash, è fatta in modo da rendere minima la probabilità che da testi diversi si possa ottenere il medesimo valore dell'impronta, inoltre è one-way, a senso unico, questo significa che dall'impronta è pressoché impossibile ottenere nuovamente il testo originario. La firma prodotta dipende dall'impronta digitale del documento e, quindi, dal documento stesso, oltre che dalla chiave privata dell'utente. A questo punto la firma viene allegata al documento. Chiunque può verificare l'autenticità di un documento: per farlo, decodifica la firma del documento con la chiave pubblica del mittente, ottenendo l'impronta digitale del documento, e poi confronta questa con quella che si ottiene applicando la funzione hash, pubblica, al documento; se le due impronte sono uguali, l'autenticità del documento è garantita. 11-01-2010 6
Questa operazione può essere immaginata come la creazione di una sorta di busta all interno della quale trovano posto 1) il file originale 2) l impronta firmata 3) la chiave pubblica 4) il certificato dell autore. Quest ultimo è una vera e propria carta d identità elettronica e viene rilasciata da una autorità preposta. 11-01-2010 7
Vediamo ora cosa deve fare il destinatario per sapere se il file è originale o se è stato manomesso. Il principio consiste nell estrarre il file originale e creare una nuova impronta che poi confronteremo con quella criptata contenuta nella busta: se le due impronte coincidono il file è intonso. In sintesi: 1) Estrazione del file originale dalla busta. 2) Creazione di una impronta attraverso l applicazione dell algoritmo SHA-1. 3) Estrazione dell impronta criptata con la chiave pubblica, anch essa contenuta nella busta. 4) Confronto delle due impronte. 11-01-2010 8
Queste operazioni vengono svolte da programmi specializzati per la firma e la verifica dei documenti che vengono distribuiti gratuitamente su internet dalle stesse autorità che rilasciano i certificati e le chiavi private e pubbliche per la firma digitale. Attenzione: non è necessario dotarsi degli strumenti per la firma digitale per leggere un file firmato. Il file può essere aperto scaricando l apposito programma da internet. Ma chi garantisce l inviolabilità dei certificati e dalla chiave privata? Le autorità di cui abbiamo parlato, preposte al rilascio dei certificati per firma digitale, installano questi ultimi su supporti che non possono essere contraffati o alterati. Questi supporti sono smart card o token USB. L operazione di criptaggio dell impronta, la firma digitale, avviene a bordo di questi supporti: il programma dopo aver estratto l impronta la invia al supporto che applica la chiave privata e restituisce l impronta firmata. Il supporto si comporta come una cassaforte intelligente, che non permette l uscita dei suoi valori, ma è in grado di operare al suo interno. 11-01-2010 9
Come firmare digitalmente La firma digitale si produce attraverso una smart card, una carta elettronica (simile ad una carta bancomat) dotata di un microprocessore che contiene una serie di informazioni personali sul titolare, e un certificato digitale di sottoscrizione rilasciati da un ente di certificazione, che per il sistema camerale è costituito da InfoCamere. Il certificato di sottoscrizione è un file generato seguendo precise indicazioni e standard stabiliti per legge (al suo interno sono conservate informazioni che riguardano l'identità del titolare, la chiave pubblica attribuitagli al momento del rilascio, il periodo di validità del certificato stesso oltre ai dati dell'ente Certificatore) che permette di firmare documenti informatici in modalità sicura. Per poter usufruire dei servizi offerti dalla firma digitale sono necessari: un computer collegato ad Internet; una smart-card; un lettore di smart-card fra quelli compatibili che si trovano sul mercato. 11-01-2010 10
FIRMA CONVENZIONALE FIRMA DIGITALE CREAZIONE manuale mediante algoritmo di creazione APPOSIZIONE VERIFICA sul documento: la firma è parte integrante del documento confronto con una firma autenticata: metodo insicuro DOCUMENTO COPIA distinguibile indistinguibile AUTOMAZIONE DI PROCESSI non possibile possibile come allegato: il documento firmato è costituito dalla coppia (documento, firma) mediante algoritmo di verifica pubblicamente noto: metodo sicuro 11-01-2010 11
La crittografia asimmetrica, conosciuta anche come crittografia a coppia di chiavi, crittografia a chiave pubblica/privata o anche solo crittografia a chiave pubblica, è fondata sull'algoritmo RSA. Come si evince dal nome, ogni attore coinvolto possiede una coppia di chiavi: la chiave privata, personale e segreta, viene utilizzata per decodificare un documento criptato; la chiave pubblica, che deve essere distribuita, serve a crittare un documento destinato alla persona che possiede la relativa chiave privata. 11-01-2010 12
funzione di hash: una funzione matematica che genera, a partire da una generica sequenza di simboli binari (bit), una impronta in modo tale che risulti di fatto impossibile, a partire da questa, determinare una sequenza di simboli binari (bit) che la generi, ed altresì risulti di fatto impossibile determinare una coppia di sequenze di simboli binari per le quali la funzione generi impronte uguali 11-01-2010 13