Crittografia Firma Digitale

1. La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) Mario Varini

INTRODUZIONE

Lo straordinario sviluppo delle reti di comunicazionee dei servizi offerti mediante la tecnologia dell'Informazione, pu considerarsi, senza ombra di dubbio, come la grande rivoluzione di fine secolo.

3. La crescente disponibilit di banda passante , ha fatto delle moderne reti di comunicazione il vero e proprio sistema nervoso del pianeta. 4. Eppure anche questa magnifica costruzione ha il suotallone d'Achille: la sicurezza . Proprio perch '' reti aperte '', le reti digitalisono intrinsecamente insicure : esse non sono state progettate in modo da garantire auto-protezione e difesa contro eventuali abusi. La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 5.

INTRODUZIONE

Le reti essendoapertesono particolarmente sensibili all' intercettazioneed all' alterazionedei dati trasmessi nonch allaviolazione dei supporti informaticiad essa connessi.

6. Il desiderio dell'utente digarantire la propria riservatezza e anonimatomal si concilia con la necessit diimputabilit , cio la possibilit effettiva di conoscere l'identit degli utenti e di ci che stanno facendo. La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 7.

INTRODUZIONE

Il tentativo dicreare informazione anonima(siti web, spamming ecc.), si scontra con la necessit diimputabilit ,autenticit ,integrit ,revocabilit ,non ripudiazionedell'informazione.

8. Il passaggio dai documenti tradizionali a quelli elettronicideve venire gestito in maniera tale daconservare , ed eventualmentemigliorare , le politiche di sicurezza al fine di consentire un sistema di comunicazione sicuro. La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 9.

Esigenze di sicurezza A livello generale necessario garantire

l' integrit dell'host : Il rischio che qualcuno potrebbe penetrare nel sistema per arrecando danno alla rete o agli altri utenti;

10. una barriera contro lospoofing(sostituzione di identit); 11. una barriera contro ivirus ; 12. evitarel'accesso , ladistruzionee ilfurtodei dati. La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 13.

Esigenze di sicurezza Ci che viene a mancare per la '' certezza del contesto '':

che l'autore sia realmente colui che dice di essere,

14. che il messaggio sia identico a quello spedito dal mittente, 15. che il messaggio sia stato inviato realmente dal suo autore, 16. che il mittente potesse legittimamente inviare quel messaggio, 17. che il messaggio sia stato inviato in quel giorno e in quelle ora 18. che il messaggio giunga realmente a destinazione, 19. certezza dell'identit del destinatario,La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 20.

Esigenze di sicurezza Pi precisamente si hanno quattro diverse esigenze di certezza che una rete sicura deve garantire:

certezza dell'identit dei corrispondenti( identificazione ), cio garantire che la controparte sia realmente chi dice di essere;

21. certezza delle legittimit dell'operazione( autorizzazione ), sapere cio se la controparte sia autorizzata a compiere determinate operazioni; 22. certezza dell'integrit del messaggio( autenticazione ), garanzia che il messaggio non sia stato modificato lungo il percorso; 23. certezza della segretezza della comunicazione( riservatezza ), in modo che terzi non autorizzati non possano venire a conoscenza di informazioni riservate. La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 24.

Esigenze di sicurezza L'unico strumento che consente di fare ci lacrittografia cio l'insieme delletecniche di codifica, decodifica e autenticazione di dati e messaggi mediante l'uso di chiavi, cio stringhe di bit che permettono di identificare il titolare della chiave e di eseguire le funzioni previste dall'algoritmo.

La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 25.

Tecniche di cifratura Le tecnologie di cifratura, fondamentalmente, si dividono in tre categorie:

SISTEMI CRITTOGRAFICI ACHIAVE PRIVATA (simmetrica)

26. SISTEMI CRITTOGRAFICI ACHIAVE PUBBLICA (asimmetrica) 27. SISTEMI CRITTOGRAFICIMISTI (coppie di chiavi: una pubblica e una privata) La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 28.

Tecniche di cifratura SISTEMI CRITTOGRAFICI ACHIAVE PRIVATA(simmetrica) La crittografia achiave privataindividua due algoritmi:

uno dicodifica

29. uno didecodifica 30. ed un' unica chiave . 31. Per cifrare e decifrare un documento sia il mittente che il destinatariousano la stessa chiave : pertanto essidevono preventivamente accordarsi sulla chiave da utilizzare .Uno deipi diffusi algoritmi di questa categoria il gi citatoDES(Data Encryption Standard).La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 32.

Tecniche di cifratura SISTEMI CRITTOGRAFICI ACHIAVE PUBBLICA(asimmetrica) La crittografia a chiave pubblica comprende anch'essa due algoritmi:

uno dicodifica

33. uno didecodifica ) 34. ma utilizzadue chiavi differenti : 35. una pubblica(nota a chiunque) 36. una privata(conosciuta solo dal titolare) La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 37.

Tecniche di cifratura SISTEMI CRITTOGRAFICI ACHIAVE PUBBLICA(asimmetrica) La chiave pubblica del destinatario viene utilizzata per codificare il messaggio ,il quale pu essere letto solo mediante la corrispondente chiave privata, conosciuta solo dal destinatario stesso.Per ladecodifica non esistono alternative :o si conosce la chiave privata o non si ha possibilit di decodificare il messaggio.In tal modo si ha la certezza che un messaggio crittografato mediante la chiave pubblica del destinatario verr lettosolamente dal destinatario stesso.

Tecniche di cifratura SISTEMI CRITTOGRAFICI ACHIAVE PUBBLICA(asimmetrica) Entrambe le chiavidevono essere registrate presso unaCertification Autority chegarantiscela corrispondenza fra una determinata chiave e il relativo proprietario. Le chiavi pubbliche di tutti gli utenti sono raccolte in un elenco, consultabile via telematica, ottenendo cos un'infrastruttura allo stesso tempo semplice ma efficace, evitando inoltre di doversi scambiare la chiave crittografica prima di poter comunicare.

Tecniche di cifratura SISTEMI CRITTOGRAFICIMISTI (coppie di chiavi: una pubblica e una privata) Attualmente il metodo pi usato consiste in una forma mista di queste due tecniche:ogni utente ha una propria coppia di chiavi,unaprivatae unapubblica Ogni volta che si devono codificare dei dati si crea una chiave simmetrica di sessione variabile di volta in volta. Con essa si esegue la codifica, dopo di che la chiave simmetrica viene criptata con la chiave pubblica del destinatario (in modoche sia leggibile solo da lui) e allegata al messaggio.

Tecniche di cifratura SISTEMI CRITTOGRAFICIMISTI (coppie di chiavi: una pubblica e una privata) Quandoil destinatario riceve il messaggio ,usa la sua chiave privata per decifrare la "chiave simmetrica di sessione ". Quindiusa quest'ultima per decodificare il messaggio .Questo metodo riesce a riassumere in s la maggior sicurezza data dall'utilizzo delle coppie di chiavi per ogni utente (propria della crittografia asimmetrica) con la maggior velocit di codifica e decodifica (propria dell'uso della chiave simmetrica). In tal modo vienegarantitalasegretezza ,l'autenticitel'integritdei dati.

Tecniche di cifratura SISTEMI CRITTOGRAFICIMISTI (coppie di chiavi: una pubblica e una privata)

La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 42. Certezza dell'identit dei corrispondenti(identificazione) La firma digitale La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 43. Certezza dell'identit dei corrispondenti(identificazione) La firma digitale La definizione di firma digitale data dalDPR 513/1997secondo la quale essa :" il risultato della procedura informatica (validazione) basta su un sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che consente al sottoscrittore tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrit di un documento informatico o di un insieme di documenti informatici "(art. 1 lett. b). La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 44. Certezza dell'identit dei corrispondenti(identificazione) La firma digitalebasata sullacrittografia a chiave pubblicasi ormai affermata come principale strumento in grado, allo stato attuale della tecnologia, di assicurare l' integrite laprovenienzadei documenti informatici e quindi di svolgere per questi la funzione che nei documenti tradizionali assolta dallafirma autografa . La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 45. Certezza dell'identit dei corrispondenti(identificazione) La firma digitalebasata sullacrittografia a chiave pubblicaconsente ai suoi utilizzatori di: Firmarei documenti in modo da attribuirsene la paternit crittografando il messaggio utilizzando lapropria chiave privata . Per leggerlosar necessario decodificarlo utilizzando larelativa chiave pubblica , accessibile a tutti. La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 46. Certezza dell'identit dei corrispondenti(identificazione) Testo in chiaro confirma digitale La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 47. Certezza dell'identit dei corrispondenti(identificazione) Firma digitalea chiavi miste Nella realt per si utilizza un sistema di chiavi miste, utilizzando uno strumento che prende il nome difunzione di hash .Si tratta di una particolare funzione che elabora un documento estraendone un valore che ne rappresenta l' impronta , una sorta diimpronta digitale(molto pi piccola e maneggevole del documento stesso) . La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 48. Certezza dell'identit dei corrispondenti(identificazione) Firma digitalea chiavi miste Chi vuoleverificare l'autenticit di un documentorelativamente ad una data firma:

Applica al documentolafunzione convenzionale di hashper ricavare laprima impronta .

49. Decifra la presunta firmautilizzando la chiave pubblica dell'autore, ottenendo cos unaseconda impronta . 50. Confronta le due impronte , se esse coincidono si pu essere certi che il documento stato realmente generato dalla stessa persona che ne hagenerato la ''firma''.La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 51. Autorit di certificazione(identificazione) Testo in chiaro confirma digitale La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 52. Autorit di certificazione(garante dell'identificazione) In mancanza di un reale controllo chiunque potrebbe depositare una chiave a nome di un altro e quindi spacciarsi per lui. Affinch tutto il sistema funzioni e dia garanzie di fiducia, occorre una infrastruttura di certificazione che garantisca l'effettiva identit di ciascuno, un terzo che, dotato di imparzialit nei confronti degli utenti,certifichi l'autenticit delle chiavi e la corrispondenza della chiave pubblica con il suo titolare.Questo ruolo ricoperto dal "Certificatore" comunemente chiamatoAutorit di Certificazione. L'Autorit di Certificazionenon un'Autorit centrale , un soggetto giuridico ,pubblicooprivatoincluso negli elenchi tenuti dall' AIPA(Autorit per l'informatica nella Pubblica Amministrazione) La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 53. Come verificare la firma digitale di un documento informatico? (identit digitale)

Sesi gi in possesso di firma digitale sufficiente utilizzare il software consegnato insieme al supporto informatico (pennetta, smartcard, ecc.) dall'Autorit di Registrazione.

54. Senon si in possesso di firma digitale possibile ad esempio accedere al sito dell'Ente Certificatore InfoCert e utilizzare l'apposita funzione di verifica a disposizioneanche di chi non in possesso di firma digitale: https://www.firma.infocert.it/utenti/verifica.php La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 55. Come fare peravere la propria firma digitale ?(identit digitale)

Rivolgersi ad unaAutorit di Registrazione

56. L'Autorit di Registrazione invia i dati acquisiti all'Autorit di Certificazione e consegna al richiedente un supporto informatico (una pennetta, una smartcard oppure una specie di tessera bancomat dotata per di microchip) e un software che consentiranno di generare:

la chiave pubblica da inviare al Certificatore per la sua pubblicazione.

57. la chiave privata che resta memorizzata indelebilmente all'interno della stessa pennetta, smartcard ecc.

La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 58. Come apporre la propria firma digitale ad un documento informatico? (identit digitale)

E' sufficiente installare il software consegnato insieme al supporto informatico (pennetta, smartcard, ecc.) dall'Autorit di Registrazione che integrandosi con il sistema e con i software in uso consentir,selezionando apposite opzioni,difirmare digitalmentei propri documenti informatici.

La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator) 59. FINE Grazie per l'attenzione La sicurezza delle transazioni attraverso Internet a cura di Mario Varini (EUCIP-IT Administrator)

Documents

Crittografia Firma Digitale