[Linuxtrent] Tessera Sanitaria trentina
- From: Roberto Resoli <roberto.resoli@xxxxxxxxx>
- To: linuxtrent <linuxtrent@xxxxxxxxxxxxx>
- Date: Tue, 9 Nov 2010 08:19:58 +0100
Dirotto qui il thread, mi sembra che non abbia più niente a che fare
con l'oggetto originale.
rob
---------- Messaggio inoltrato ----------
Da: Roberto Resoli <roberto.resoli@xxxxxxxxx>
Date: 08 novembre 2010 20:46
Oggetto: Re: [Linuxtrent] Re: wifi libero?
A: linuxtrent@xxxxxxxxxxxxx
Il 08 novembre 2010 14:38, michele <michele@xxxxxxxxx> ha scritto:
> On 08/11/10 14:22, Roberto Resoli wrote:
>
>> Si può già iniziare ad usare la carta con il trunk di opensc.
>> Sono disponibile per assistenza sulla compilazione, ma è veramente facile.
Per il CSP (Cryptographic Service Provider) di Microsoft (leggi: uso da prodotti
Microsoft come Internet Explorer) esiste anche csp11, che permette di usare
anche in quel caso il supporto OpenSC:
http://lists.comune.grosseto.it/pipermail/cie/2010-July/000100.html
> Corretto, e offro anch'io assistenza in caso di necessità. Attendo da
> parecchio la release 0.12 di opensc, che, tra le altre cose, supporta
> finalmente le (molto diffuse) carte Infocert 1204* e 1205*. Giustamente,
> come dici tu, per il momento si può usare il trunk.
>
>> Michele, a parte l'autenticazione, si sa qualcosa di preciso sulla
>> firma digitale?
>
> No. So che il tema è in corso di analisi, ma non sono a conoscenza di
> conclusioni _definitive_ in merito.
>
>> Ho sentito voci secondo le quali si vorrebbero custodire le chiavi in
>> remoto, su HSM,
>> che può essere una soluzione ad interim quasi accettabile (personalmente
>> però per la custodia delle chiavi di firma mi fido solo di me stesso).
>
> Vedo che sei ben informato :) Per quanto mi è dato sapere, anche questa
> soluzione è in fase di analisi ma non è stata ancora presa una decisione in
> merito.
ok; magari parlarne fa bene.
> Per quanto riguarda la fiducia nell'HSM, ho le idee abbastanza confuse.
HSM (tu lo sai già ma forse altri no, anche se tempo fa se ne era
parlato in lista)
sta per Hardware Cryptographic Module[1], si tratta di dispositivi
destinati ad implementare
più o meno le stesse funzioni delle Smart Card, ma su hardware molto
più potente, capace di effettuare
centinaia o migliaia di operazioni crittografiche al secondo.
Una delle motivazioni fondamentali per usare le smart card o in
generale i token crittografici
nel campo della firma digitale RSA sta nel fatto che la chiave privata
nasce, e non lascia mai il dispositivo stesso.
Il card holder (chi è intestatario del dispositivo) innesca
l'operazione di firma
tramite il PIN, e l'operazioneviene svolta sull'hw dedicato (una vera
e propria CPU) del dispositivo.
Il fatto che il token sia piccolo permette al card holder di portarlo
sempre con sè.
> Segno alcuni punti sui quali può essere interessante discutere:
>
> - l'accesso al certificato di firma passa da un sistema più o meno robusto
> di autenticazione (un certificato di autenticazione, OTP o altro)
Nel caso degli HSM ovviamente l'intestatario delle chiavi le usa, ma non
può ovviamente portarle con sè. Servono misure sofisticate per
garantire la riservatezza delle stesse, ad esempio per i backup (di
solito gli HSM si acquistano
per questo motivo quasi sempre in coppia). Non parliamo poi del
disaster recovery.
Va da sè che l'innesco delle operazioni crittografiche è assi più indiretto;
ovviamente è di fondamentale importanza non solo la robustezza
dell'identificazione (se no casca il palco), ma è assai delicata tutta
la sequenza di
operazioni che conduce al trasporto dei dati da crittografare fino
all'interno dell'HSM.
(Non che su un PC siano meno delicate, ma quantomeno il repository delle chiavi
ce l'ho in mano)
> - devo fidarmi della CA che rilascia il mio certificato
Questo sempre, ma soprattutto devono fidarsi quelli che usano il tuo certificato
rilasciato da quella CA.
> - devo fidarmi dell'HSM. Se l'HSM fosse presso la CA sarei più tranquillo?
Dell'HSM, e soprattutto di chi lo gestisce. Non ha alcuna importanza
che lo gestisca la CA,
nel caso delle Smart Card non lo gestisce la CA, ma il card holder. Io
mi fido di me
stesso (relativamente), ma fidarsi di un terzo che custodisce miriadi
di chiavi è una cosa da non fare alla
leggera. C'è un'enorme cumulo di responsabilità.
>
>> Un progetto a livello provinciale come questo avrebbe forse la possibilità
>> di proporre finalmente di usare le specifiche IAS ECC anche in italia.
>>
>> http://www.opensc-project.org/opensc/wiki/IAS-ECC
>
> Interessante...
E' già applicato in Portogallo, in Francia e (in maniera non ortodossa,
ma i concetti sono gli stessi) in Spagna.
In Spagna il middleware usa una versione customizzata di OpenSC,
rilasciata in GPL.
Alcuni sviluppatori lo stanno reimplementando[2] per rilasciarlo LGPL in modo
che possa essere integrato stabilmente in OpenSC
>> Beh speriamo che non si debba lottare come in Friuli per ottenere le
>> librerie di firma per linux.
>
> Puoi spiegarmi meglio? Hai qualche riferimento?
La storia:
http://lists.linux.it/pipermail/linuxludus/2007-December/002740.html
Qui trovate un'intervento molto interessante di Emanuele Pucciarelli
che espone le problematiche (Emanuele è l'autore e mantainer del
supporto CIE/CNS
in OpenSC )
http://groups.google.com/group/it.fan.marco-ditri/browse_thread/thread/6e8c38dbd6297021/7dfeefa453326c09?q=Carta+Regionale+dei+Servizi+e+Linux&pli=1
ciao,
rob
>
> Ciao, Michele
> --
[1] http://en.wikipedia.org/wiki/Hardware_security_module
[2]
http://www.opensc-project.org/pipermail/opensc-devel/2010-October/015124.html
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-request@xxxxxxxxxxxxx
Other related posts:
