UNIVERSITÀ DEGLI STUDI TRENTO

UNIVERSITÀ DEGLI STUDI TRENTO
PROGETTO FIRMA DIGITALE E SICUREZZA IN RETE
ASPETTI TECNICI
SOLUZIONI ESAMINATE E CONSIDERAZIONI
BRIONI ELEONORA – D.I.T. ATI NETWORK
23 GENNAIO 2003
Progetto Firma Digitale
INDICE
INTRODUZIONE................................................................................................................................3
ENTRUST............................................................................................................................................4
INFOCAMERE....................................................................................................................................6
POSTECOM ........................................................................................................................................6
BNL......................................................................................................................................................8
INTESYS .............................................................................................................................................9
2
Progetto Firma Digitale
INTRODUZIONE
La sperimentazione in ambito di Firma Digitale in questi ultimi mesi ha preso una svolta. Infatti
oltre a considerare il software Entrust, con il quale abbiamo dato inizio alla sperimentazione, stiamo
esaminando altre soluzioni.
Sebbene il software di firma Entrust sia il più completo da un punto di vista funzionale in quanto
comprende tools per la crittografia dei dati e delle e-mail, è solo uno strumento di firma elettronica.
Abbiamo quindi deciso di prendere in considerazione software per la firma digitale emessa da enti
certificatori.
Per il momento pensiamo che la soluzione migliore da adottare sia quella di consegnare la firma
elettronica Entrust solo alle persone che devono autenticare dati per uso interno alla struttura
universitaria. Invece le persone che devono interfacciarsi con l’esterno useranno la firma digitale, in
relazione anche con le linee guida per il protocollo informatico.
Il prodotto dell’Entrust è stato distribuito a 20 utenti interessati al progetto, che hanno contribuito a
farne emergere pregi e difetti a livello approfondito.
Gli altri software di firma digitale invece sono stati testati singolarmente.
In questa relazione verranno descritti vantaggi e svantaggi dei diversi prodotti di Firma.
3
Progetto Firma Digitale
ENTRUST
La soluzione offerta dall’Entrust consiste nell’installazione in proprio di un’infrastruttura a chiave
pubblica.
La PKI è stata installata su un server Windows 2000 che comunica con il server LDAP d’Ateneo
people da cui importa l’anagrafica degli utenti nel database Entrust; è sufficiente aggiungere sul
server LDAP le seguenti object class: rfc822mailuser, entrustuser, pkiuser, organizationalperson,
person.
Nella fase di registrazione dell’utente viene creato il certificato pubblico che in maniera totalmente
trasparente viene pubblicato sul server LDAP.
Il certificato pubblico serve per effettuare la verifica di una firma e per cifrare le e-mail in modo che
siano leggibili solo dai destinatari.
La sperimentazione del software Entrust ha comportato l’installazione del prodotto lato client
(Entrust Desktop Solution) a tutti i membri del NetTeam. Dalle prove effettuate si sono confermate
le funzionalità del prodotto descritte nel manuale “MANUALE PER L’UTENTE” dell’Agosto
2002.
Di recente abbiamo installato un server web Windows 2000 (Entrust Direct Server) con un
certificato web. Alle pagine protette di questo server si accede solo tramite autenticazione Entrust.
La connessione server-client avviene in modalità criptata, e quindi il flusso di dati che transitano in
rete è completamente protetto.
Questa soluzione è utile se si vuole implementare un sistema di modulistica da firmare on-line.
Pregi:
•
L’installazione della Desktop Solution è semplice e la creazione-pubblicazione del
certificato avviene in maniere trasparente all’utente.
•
I plug-in per la posta elettronica di outlook ed eudora interagiscono automaticamene con i
client e non necessitano di ulteriori configurazioni.
•
La Desktop Solution comprende una serie di tools aggiuntivi per la protezione dei dati in
locale quali: True Delete, Sign-On, ICE.
•
Accesso a pagine Web riservate.
Difetti:
•
Firma elettronica con scarso valore giuridico.
4
Progetto Firma Digitale
•
Per inviare e-mail firmate e cifrate si deve utlizzare la sintassi [email protected], sia
del mittente sia del destinatario.
•
Per inviare una mail con Outlook 2002 si deve fare una ricerca nella Directory su people
dell’utente.
•
Si possono fare comunicazioni sicure solo tra utenti Entrust. Chi non ha installato Entrust
non può verificare la firma elettronica.
•
Plug-in per Messanger Netscape non si integra automaticamente con il client di posta, si
devono effettuare delle configurazioni manualmente.
•
La combinazione Windows XP / server IMAP blocca Outlook 2002.
•
La funzione di backup del database del server funziona correttamente e automaticamente
con le impostazioni temporali solo in locale.
•
Autenticazione pagine Web riservate
Prospettive future:
•
Versione anche per Macintosh lato client (dichiarato da Entrust Italia).
•
Modulistica on-line.
•
Server per il timestamping.
5
Progetto Firma Digitale
INFOCAMERE
Infocamere è un ente certificatore, quindi la firma digitale è valida a tutti gli effetti di legge.
Il prodotto di Infocamere è un software solo per la firma, non comprende tools per la sicurezza dei
dati in locale.
Per ottenere la firma di Infocamere è necessario rivolgersi alla camera di commercio e richiedere il
certificato di autenticazione e quello di sottoscrizione. All’utente viene consegnata una smart card
con salvato il proprio certificato di firma e il lettore, per un costo di circa 60 euro.
Sul proprio computer l’utente deve installare i driver per il lettore IPM, il programma di firma e
verifica DIKE, il certificato di Infocamere e SysGillo per l’autenticazione delle mail. Quindi
importare il proprio certificato nello store di Microsoft.
Il prodotto si integra con outlook express, outlook e Netscape Messanger.
Pregi:
•
Verifica della firma digitale anche per chi non ha il certificato di Infocamere. È sufficiente
collegarsi al sito di Infocamere al link: www.card.infocamere.it/servizi/verifirma.htm.
•
Timestamp.
Difetti:
•
Supporta solo piattaforma Microsoft.
•
Non comprende tools per sicurezza dei dati in locale.
•
Non è possibile utilizzare il programma DIKE per la verifica di una Firma da una rete
privata.
6
Progetto Firma Digitale
POSTECOM
La sperimentazione in ambito di Firma Digitale ha comportato anche la ricerca e l’acquisto dei
prodotti presenti sul mercato.
Purtroppo il certificato delle Poste non siamo riusciti ad averlo.
Pur avendo effettuato la richiesta di Certificati, non siamo ancora stati abilitati al servizio.
7
Progetto Firma Digitale
BNL
MultiCERTIFY è la PKI sviluppata dai laboratori BNL Multiservizi S.p.A. e offre certificati di
Firma Digitale.
Fornisce il certificato personale su smart card.
L’utente deve installare i driver per il lettore smart card Gempkcs e il software SecurSIGN per
firmare e cifrare i dati in locale.
Esistono i plug-in per i client di posta elettronica, ma poiché la versione che abbiamo è demo, non
ci sono stati conseganti.
È tuttavia possibile firmare i file in locale e spedirli per posta come allegati.
Pregi:
•
20 certificati 1800 euro.
•
Timestamping (1000 euro).
•
Attivazione CA (15.500,00 euro + 3.200 per manutenzione dal secondo anno) presso il
cliente.
Difetti:
•
Supporta solo piattaforma Microsoft.
•
Registrazione presso sportelli di registrazione LRA a Roma.
8
Progetto Firma Digitale
INTESYS
Da poco abbiamo preso contatti con la ditta Intesys di Verona che ci ha proposto il suo prodotto di
firma elettronica e-firmo CCA.
E-firmo CCA è una PKI basata su openSSL, permette di gestire certificati digitali autonomamente
attraverso una propria ROOT Certificatio Authority (creazione, rinnovi, revoche, gestione liste di
revoca). La generazione dei certificati è basata su un meccanismo di abilitazione. L'operatore
accede (in SSL) ad una interfaccia web di inserimento di anagrafica. L'anagrafica contiene un
campo e-mail a cui viene spedito un avviso per la generazione del certificato. L'utente, tramite la
mail, può puntare a una URL che lo guida alla generazione della coppia di chiavi (pubblica-privata)
e alla certificazione della chiave pubblica da parte della CA. Attualmente sono supportati i
certificati su disco fisso (o floppy) e su smartcard. La piattaforma attuale è OpenBSD, una
derivazione di freeBSD orientata alla security. La configurazione "normale" è in modalità
outsourcing, con accesso via web senza oneri da parte del cliente ad un canone base di
5000EUR/anno fino a 500 certificati.
Martedì 28 gennaio 2003 si terrà presso il D.I.T. l’incontro con Intesys, in modo tale da conoscere
personalmente il loro prodotto e poter valutarne pregi e difetti.
9