Maurizio Ardito - Giulio Brusasco

Crittografia: Firma Digitale, Posta Elettronica Certificata;

Protocolli e Servizi; WEB ecc.

​

Esempi pratici

​

CREDITS: alcune delle slide seguenti, qui raccolte come tutorial per UNI3, sono estratte da lavori di colleghi di Telecom Italia, ed altri amici e colleghi, che sentitamente ringraziamo.

Rielaborazioni da A.A. Uni3 2014

PARTE C

Credits: molte slide di questa lezione sono state da me ricavate, con lievi aggiustamenti, da presentazioni di Massimo Ferrero, Torino, che ringrazio in modo particolare.

Contact: gbrus47@gmail.com

(Tel. : +39 335 23 04 93)

Certificati e Siti Web

• ( L'uso più comune dei certificati digitali è per l'accesso sicuro al web ).

​

• Il protocollo SSL (=TLS) prevede infatti che, alla connessione, il Server ci fornisca il proprio certificato digitale;

​

• se il certificato digitale è “firmato digitalmente” da un'autorità di certificazione che conosciamo, allora il PC può utilizzare la chiave pubblica del sito, presente nel certificato, per avviare con esso una comunicazione sicura:

​

• → La chiave è certamente quella di “quel” server.

• Da Wikipedia, l'enciclopedia libera (editato GB)

Richiami da Parte B

Certificati e Siti Web

• L'uso più comune dei certificati digitali è per l'accesso sicuro al WEB.
• Attraverso i certificati, che richiediamo tramite il protocollo «SSL», autentichiamo il Server: siamo rassicurati che il Web Server a cui ci connettiamo è autentico, cioè è effettivamente quello che dichiara di essere.

​

• Ci connettiamo infatti tramite il nostro “Browser” (Google, Firefox,..), il quale, per darci sicurezza, invoca il protocollo applicativo HTTPS (ossia HTTP con trasporto sicuro SSL) invece di «solo HTTP».

​

• In questo modo, il sottostante a HTTP, un «protocollo di trasporto», che normalmente è TCP, invece che «TCP solo» diventa «TCP/SSL» cioè un TCP che però si appoggi a sua volta su SSL.
• Una variante di SSL è TLS. TLS e SSL utilizzano entrambi certificati digitali che facilitano il processo di handshake (*) e stabiliscono comunicazioni crittografate tra un browser e un server Web.
• Più sotto ancora c’è IP, protocollo di liv. 3.

​

HTTP = «Hyper Text Transfer Protocol». Fondamentale per la navigazione Web. Serve più in generale per accesso a basi di dati qualunque.

TCP = Transmission Control Protocol SSL = Secure Socket Layer TLS = Transport Layer Security

• Da Wikipedia, l'enciclopedia libera, ecc. (editato GB)

Richiami da Parte B

(*)Handshake SSL/TLS . Un handshake SSL/TLS è un processo in cui un browser autentica il certificato SSL o TLS di un server.

Questo processo autentica entrambe le parti, quindi scambia e usa chiavi di crittografia.

Parte C – alcuni SERVIZI SICURI E INTERESSANTI - a nostra disposizione - che richiedono autenticazione -

• FD (Firma digitale),

​

• PEC (Posta Elettronica Certificata)

​

• SPID, ecc.

Primi 2 servizi interessanti… : FD (Firma Digitale) e PEC (Posta Elettronica Certificata)

1. La Firma Digitale (FD)
• La FD serve per “firmare” (digitalmente) un documento .
• si può usare indipendentemente da un qualunque eventuale successivo invio a terzi del documento firmato (tramite mail normale / pec, o altri modi) .
• Il servizio è tipicamente offerto in Italia da vari “Gestori di FD” .
• Il servizio fu inizialmente rivolto solo alle Aziende (ma poi offerto anche ai privati) e richiede comunque il pagamento di una quota annuale.

​

• La Posta Elettronica Certificata (PEC)
• E’ un’applicazione della tecnica FD (!)
• Serve per dare garanzie al mittente d’una e.mail su quanto invia (con PEC)
• Il servizio è svolto ed offerto in Italia da vari “Gestori di PEC”. Anche in questo caso normalmente richiede il pagamento di una quota annuale.

Firma Digitale – La tecnologia

• La Firma Digitale (FD)
• La tecnologia di questo servizio è quella già vista basata sui Digest (Hash) ed i Certificati (la crittografia asimmetrica PKI «Public Key Infrastructure»)
• Qualunque documento ( anche singole sotto parti di un documento) può venir firmato/a.
• La procedura richiede che il compratore invii al gestore scelto una autenticazione della propria firma autografa fatta in Anagrafe (pubblico ufficiale).

​

• Chi chiede la FD a un gestore … 🡪 compra sostanzialmente un certificato.
• In pratica, il servizio comprato (FD), può essere basato:
• su una chiavetta USB che gli viene spedita a casa (e che «contiene» il certificato comprato) e un po’di software (sw). Quando si deve firmare, la chiavetta va inserita nel nostro PC e il suo sw guida poi l’utente a firmare - non è necessario stare in rete; oppure
• su una «FD dematerializzata» : in questo caso il certificato lo mantiene il gestore del servizio nei suoi Server, semplificando le cose al cliente. Un’app è però da scaricare ed installare sul PC (e poi lo guiderà nella firma. Per firmare occorre però essere connessi in rete).

​

La PEC – un’ applicazione della crittografia asimmetrica (FD) ai servizi di e.mail

• PEC = un’ applicazione e.mail basata sulla FD.
• Sostituisce la raccomandata e il fax nei rapporti ufficiali.

​

• Una trasmissione può essere considerata posta certificata solo se le caselle del mittente e del destinatario sono entrambe caselle di posta elettronica certificata,
• altrimenti il sistema potrà fornire solo una parte delle funzionalità di certificazione previste (per esempio, non viene fornita la ricevuta di avvenuta consegna). Da una pec si può inviare a una non pec, da una non pec non si può inviare a una pec.

​

• I Gestori di posta certificata sono obbligati a registrare tutti i principali eventi che riguardano la trasmissione per 30 mesi - da fornire come prova da parte degli interessati.

PEC – Che garanzie può darci ?

1. Non falsificazione di identità: la PEC si assicura che il mittente utilizzi come indirizzo (casella "from") solo ed esclusivamente il proprio indirizzo, contrariamente a quanto può avvenire nei server di posta presenti in internet (dove un hacker «in the middle» può cambiare la casella mittente con facilità).

​

• Certificazione dell'invio: quando si spedisce un regolare messaggio da una casella di posta certificata si riceve dal proprio provider di PEC una ricevuta di accettazione, firmata (FD) dal provider, che attesta il momento della spedizione ed i destinatari

Normalmente distinguendo quelli normali da quelli dotati di PEC;

le informazioni sono disponibili sia in formato testo sia in xml.

​

• Integrità del messaggio PEC: il gestore di posta certificata del mittente crea un nuovo messaggio, detto «busta di trasporto», che contiene il messaggio originale (e i principali dati amministrativi di spedizione);

​

• la «busta» viene firmata dal provider del mittente, in modo che il provider del destinatario possa verificare la sua integrità (ovvero che nulla sia stato manomesso nella trasmissione tra i due provider).
• Per garantire l'integrità del messaggio, mittente e destinatario sono obbligati ad utilizzare la casella di PEC solo tramite protocolli sicuri, come descritti in precedenza (TCP su TLS).

​

%

​

PEC – Che garanzie può darci ?

4. Certificazione della consegna:
• Abbiamo visto che un messaggio di posta certificata viene consegnato nella casella del destinatario inserito in una "busta di trasporto” firmata dal gestore inviante e inviata al provider pec del destinatario
• non appena avuta la «busta», il provider pec del destinatario invia al mittente (direttamente all’utente pec inviante) la «ricevuta di consegna»,
• = un messaggio e.mail firmato dal provider che attesta la ricezione della «busta»:

​

• Inoltre, la «ricevuta di consegna» contiene, in allegato, anche il messaggio vero e proprio (con tutti i suoi eventuali allegati).

​

• Questo significa che la PEC fornisce al mittente una prova, firmata dal provider scelto dal destinatario, di tutto il contenuto che è stato recapitato (con data e ora di recapito).
• Questa è una delle caratteristiche più significative che distingue la posta certificata dai normali mezzi per l'invio di documenti ufficiali in formato cartaceo.

​

//

PEC – Le identità di chi invia

• L’identità delle persone “pec”
• si basa certamente sul dare User&Passw
• Con la possibilità (di fatto, oggi obbligo) di adottare modalità aggiuntive, con maggiori livelli di sicurezza quali, ad esempio, le Smart Card (o un altro sistema di sicurezza livello 2, p. es. OTP, GB notes)

​

• Fallimenti
• In caso di fallimenti dell’invio, viene rilasciata una ricevuta, firmata elettronicamente dal proprio Gestore di PEC, contenente l’informazione che l’invio non ha avuto luogo e le relative motivazioni.

​

• Consegna e lettura
• il gestore mittente provvede ad inserire, come allegato, il messaggio preparato dal mittente ed a firmarlo digitalmente.
• la ricevuta di avvenuta consegna è firmata elettronicamente dal gestore destinatario al fine di garantire la validità giuridica della stessa nei casi di utilizzo.
• è importante evidenziare che il sistema di PEC, essendo un sistema di trasporto, non considera la lettura del messaggio ma solo la consegna.
• il messaggio si intende consegnato quando il Gestore lo rende disponibile nella casella di posta elettronica certificata del destinatario.

Certificazione della consegna, e le varie firme digitali della PEC

• La cosa più importante in questo meccanismo è che, a differenza dell’invio di una tradizionale raccomandata postale, anche con ricevuta di ritorno, qui viene garantita la ricezione OK non solo della “busta” ma anche del suo “contenuto”
• Si garantisce che tale contenuto non sia stato manipolato lungo il percorso.
• quindi la PEC è più potente della posta normale, oltre a essere più veloce, e oltre a non necessitare di andare alla posta.

​

• Non viene però data informazione che l’utente finale abbia poi effettivamente aperto e letto la mail.

​

• Come si è visto, nessuna funzione speciale è prevista girare sui PC degli utenti, tutto viene fatto dai gestori PEC.

​

• Come si è visto ci sono in ballo varie firme digitali, per “ricevute” o che riguardano il “viaggio” del messaggio verso il destinatario.

​

• La figura nella slide seguente sintetizza quanto fin qui espresso a parole.

http://www.digitpa.gov.it/sites/default/files/digitpa_minig_11_alta_0.pdf

La PEC e le Raccomandate Postali

• La raccomandata ordinaria non garantisce il contenuto inviato, ma solo della “busta”.
• Un’ulteriore caratteristica della posta elettronica certificata è quella di essere adatta tanto ad uno scambio tra individui quanto a quello tra applicazioni.
• Un’organizzazione può ricevere attraverso messaggi di posta elettronica certificata documenti che possono essere immediatamente trattati da un’applicazione informatica, grazie alle caratteristiche delle ricevute.

​

• Ci sono più Gestori (o “Provider”) di servizi di PEC in Italia.
• Hanno l’obbligo legale di interoperabilità –
• di tenere 30 mesi di log e … di stare attenti ai virus !

​

• AgID (ex DigitPA , ex CNIPA, ecc.) dal 2012 controlla e super-vede (“vigila”) in Italia i gestori di PEC [e altri servizi.] Consip, stessa data, gestisce le gare per la Pubblica Amministrazione
• I gestori PEC devono essere iscritti all’elenco pubblico dei gestori di posta elettronica certificata.

In generale, per certificati e gestori: Elenchi di certificati attendibili dell'Unione Europea

​

https://helpx.adobe.com/it/document-cloud/kb/european-union-trust-lists.html

​

PEC – Chi ha interesse ad usarla?

• Diceva «DigitPA» “ La posta elettronica certificata è ormai una realtà che cambia molte modalità di comunicazione non solo fra le imprese, ma anche fra queste e la Pubblica Amministrazione;
• anche i normali cittadini hanno un notevole risparmio di tempo e denaro comunicando tra loro e con la Pubblica Amministrazione utilizzando questo nuovo sistema, quando fino a ieri era possibile utilizzare solo la tradizionale raccomandata A/R ”

​

​

Sintesi mia (GB) :

​

• Non avremo mai bisogno della PEC per comunicare “tra amici”, ma con enti terzi, e ufficialmente, sì.

Fasi PEC – Riepilogo finale

• Mittente e destinatario devono disporre ciascuno di una casella di PEC, offerta ( a pagamento) da una serie di gestori accreditati.
• Il mittente deve conoscere il nome della casella PEC dell’utente finale (come per qualunque altra mail).
• Il mittente, che ha predisposto il documento da inviare sul proprio PC (o Tablet, ecc.), si connette via Internet al suo gestore di PEC e si identifica (con user-id/password, o con una Smart Cart inserita nel PC, o simili mezzi).
• Il mittente, ora identificato dal proprio gestore, gli invia il documento (tramite il proprio “client” normale di posta elettronica o un Web Browser (quindi, come qualunque altra mail normale).
• Il mittente indica nella mail la casella PEC del destinatario finale in termini di nome@gestore.
• Il gestore PEC del mittente controlla che il messaggio sia “ok” ( no virus, ecc.), rilascia verso il mittente una ricevuta - che firma digitalmente - e firma digitalmente soprattutto il documento prima di inviarlo - come “allegato” - con una sua mail al Gestore di PEC del destinatario.
• Il gestore PEC del destinatario, ricevuta la mail, ripete autonomamente i controlli su quanto ricevuto (no virus, integrità dell’”allegato”, ecc.) e se tutto ok inoltra il messaggio alla casella dell’utente destinatario (che potrà leggere la mail-pec, come qualunque altra mail);
• inoltre, invia via mail all’utente mittente una ricevuta - firmata digitalmente - a conferma della avvenuta consegna del messaggio di mail e del suo contenuto.

Un terzo servizio utile - SPID

Come per la PEC e la FD, anche il servizio SPID è erogato a pagamento da gestori «approvati». SPID è un servizio ci autentica, in rete.

​

Ad es., io (GB) li ho tutti tramite «Aruba». Vedi link sotto per «altri gestori EU»

​

​

​

​

​

PEC e SPID : ora in Italia consentono la procedura di autenticazione «a 2 livelli».

« Liv. 1 «Basic» ; poi Liv. 2 , tramite OTP o SMS su altro device».

​

- La PEC a 2 livelli è consigliata ed è valida a livello europeo (non tutti i paesi).

​

- Per lo SPID (Italia) il liv 2 è obbligatorio. E’ facoltativo avere anche un Liv. 3

​

AgID pone ai gestori degli obblighi di controllo per la fornitura dei servizi ai loro clienti:

​

(Aruba mi ammonisce ogni 180 gg a cambiare la mia PSW di liv, 1 pena la sospensione del servizio SPID).

​

Approfondimenti «pratici» su SPID, ecc. nella prossima lezione «Parte D» - ☺ .

In generale, per certificati e gestori: Elenchi di certificati attendibili dell'Unione Europea

​

https://helpx.adobe.com/it/document-cloud/kb/european-union-trust-lists.html

​