Indice

1
Indice

• Presentazione
• La sicurezza nellazienda Banca
• La sicurezza informatica
• La catena tecnologica della sicurezza
• La firma digitale

2
La firma digitale
03 MARZO 2008CEEDO ED EUTRONSEC ANNUNCIANO
LADOZIONE DA PARTE DI CINQUE IMPORTANTI BANCHE
EUROPEE DELLA SOLUZIONE E-BANKING SICURA IN
AMBIENTE DI LAVORO VIRTUALELa soluzione
consente ai clienti delle banche di accedere in
modo sicuro ai conti online e di apporre firme
digitali a documenti finanziari in qualsiasi
luogo si trovino. La soluzione è stata
sviluppata da Eutronsec e Ceedo nel corso degli
ultimi 18 mesi. La compartecipazione ha portato
ad un dispositivo autonomo che memorizza il
software del proprio PC al suo interno e che
fornisce una piattaforma allavanguardia per la
gestione dei servizi bancari. La co-produzione ha
portato allaumento dellutilizzo da parte
dellutenza di procedure hardware di
autenticazione, alla riduzione di richieste di
assistenza e alladozione della soluzione da
parte di principali gruppi bancari europei, tra i
quali il Gruppo Banca delle Marche, il Monte dei
Paschi di Siena (MPS) e Il Gruppo Banca Carige.
Banca Marche ha fatto un passo avanti ha reso
portabile anche la firma digitale, quella firma
che una volta era indispensabile scaricare nel
proprio computer e conservare gelosamente al
riparo da qualsiasi attacco. Il nuovo sistema
con firma digitale, che è il sistema oggi più
sicuro per gestire servizi online.
3
La firma digitale
Cosè
Che valore ha
Quando un documento informatico é sottoscritto
con firma digitale basata su di un certificato
qualificato ed è generata mediante un dispositivo
sicuro fa piena prova fino a querela di falso
della prove- nienza delle dichia- razioni di chi
lha sottoscritto
La firma digitale é un particolare tipo di firma
elettronica qualificata basata su un sistema di
chiavi asimmetriche a coppia, una pubblica e una
privata, che consente al titolare tramite la
chiave privata e al destinatario tramite la
chiave pubblica, rispettivamente, di rendere
manifesta e di verificare la provenienza e
lintegrità di un documento informatico o di un
insieme di documenti informatici
4
La firma digitale

• Anna vuole inviare un documento o un messaggio a
  Carlo

• Anna e Carlo vogliono che le loro comunicazioni
  siano sicure

5
Crittografia a chiavi asimmetriche
In questo sistema, ogni utente ha una coppia di
chiavi crittografiche distinte ma legate fra loro
la chiave pubblica, divulgabile
la chiave privata, conosciuta e custodita dal
solo proprietario

• non è possibile risalire alla chiave privata
  conoscendo la chiave pubblica (le due chiavi sono
  indipendenti)
• è possibile cifrare un dato con la chiave
  pubblica e decifrarlo con la chiave privata e
  viceversa

6
Autenticazione
Anna vuole garantire a Carlo la paternità del
documento
RSA
Anna cifra il documento con la propria chiave
privata e lo spedisce a Carlo
7
Autenticazione
CERTIFICATION AUTHORITY
Qualè la chiave pubblica di Anna?
RSA
Carlo riesce a decifrare, quindi è sicuro che il
documento sia stato spedito proprio da Anna (solo
lei, infatti, è in possesso della chiave privata)
8
Riservatezza
Anna vuole essere sicura che il documento sia
letto unicamente da Carlo
CERTIFICATION AUTHORITY
Qual è la chiave pubblica di Carlo?
RSA
Anna cifra il documento con la chiave pubblica di
Carlo
9
Riservatezza
Carlo legge il documento decifrandolo con la
propria chiave privata
RSA
Anna è sicura che solo Carlo potrà leggere il
documento infatti soltanto Carlo possiede la
chiave privata necessaria per decifrarlo
10
Integrità
Un sistema di hashing produce, a partire dai dati
di ingresso, una breve sequenza di caratteri
detta hash oppure digest (riassunto) o anche
fingerprint (impronta)
digest
CD59047058E0B412
hashing

• non invertibile (1-way function) dallhash non è
  possibile risalire al documento originale
• restituisce un output di lunghezza fissa,
  indipendentemente dalla dimensione del file di
  input
• statisticamente univoca
• due documenti diversi danno sempre luogo a
  fingerprint diversi
• non è possibile costruire un documento che
  produca il fingerprint desiderato

HASH POLPETTA
11
Integrità
Tecnica di autenticazione del mittente e di
controllo dellintegrità ottenuta combinando il
sistema a chiavi asimmetriche con un sistema di
hashing.
Anna calcola il digest del documento e lo cifra
con la propria chiave privata, ottenendo la firma
digitale
CD59047058E0B412
736CB3440AE23F59
hashing
RSA
quindi invia a Carlo il documento con allegata
la firma digitale
12
Integrità
Chiave pubblica di Anna
736CB3440AE23F59
736CB3440AE23F59
CD59047058E0B412
Sono uguali?
RSA
CD59047058E0B412
hashing
Carlo decifra la firma digitale con la chiave
pubblica di Anna, ottenendo il presunto digest
nel frattempo, calcola nuovamente il digest
partendo dal documento originale se i due digest
coincidono, la firma è autentica e il documento
non è stato alterato
13
Non ripudio

• Cosa significa "non ripudio"?
• La caratteristica primaria della firma digitale è
  di permettere all'autore (firmatario) di un
  messaggio di provare la sua identità al
  destinatario apponendovi la propria firma
• Inoltre la firma digitale permette di assicurare
  lintegrità del documento (il documento non può
  essere stato manomesso)
• Il firmatario di un documento trasmesso non può
  negare di averlo inviato, né può il ricevente
  negare di averlo ricevuto. Più semplicemente, non
  ripudio significa che l'informazione non può
  essere disconosciuta, come una firma a mano
  davanti a testimoni su un documento cartaceo

14
Elementi costitutivi della firma digitale
La firma richiede una struttura organizzativa (la
Public Key Infrastructure -PKI) e l'utilizzo di
un dispositivo di firma sicuro, in genere una
smart card

• PKI
• Certificati è la forma con cui una PKI
  costruisce unassociazione certa tra utente e
  rispettiva chiave pubblica. Il certificato è un
  file binario contenente, oltre alle chiavi
  pubbliche, gli estremi dellutente, e la cui
  integrità è garantita dalla CA (attraverso la
  firma digitale)
• Registro dei certificati è lo strumento che
  consente di pubblicare i certificati
  (generalmente un Directory Server o un Database
  accessibile agli Utenti)
• Security Kit è il mezzo con cui apporre la firma
  digitale su documenti è generalmente costituito
  da librerie software e un supporto per contenere
  la chiave privata.
• Le funzioni principali svolte allinterno di una
  PKI sono
• Certificazione è il processo attraverso il quale
  il valore di una chiave pubblica viene associato
  ad un utente
• Gestione del ciclo di vita del certificato
  rinnovo, sospensione, revoca dei certificati
  (attraverso opportune liste di revoca)
• Validazione è il processo attraverso il quale si
  verifica che una certificazione è ancora valida.

15
Public Key Infrastructure
Autenticazione
Integrità
Privacy
Non Ripudio
Userid/password
Crittografia chiavi simmetriche
Certificati Digitali chiavi asimmetriche (RSA
Public Key Infrastructure (PKI) una tecnologia a
sostegno delle nuove opportunità offerte dall
e-business
16
Cosè un certificato?
Certificato tradizionale
Certificato digitale

• identità dellente emittente
• identità dellutente
• validità
• verifica lidentità tramite fotografia
  e firma

• identità dellente emittente
• identità dellutente
• validità
• verifica lidentità tramite chiave di cifratura
  appropriata

17
Dove sono contenuti i certificati?

• Identità del titolare
• Codice Fiscale del titolare
• Chiave pubblica del titolare
• Identità della CA emittente
• Firma digitale della CA emittente
• Data scadenza del certificato
• ID del certificato (n seriale)

18
Certification Authority (CA) la terza parte
fidata

• Esempi di CA
• Tradizionali
• Prefettura (passaporti)
• Ministero dei trasporti/ufficio motorizzazione
  civile (patente di guida)
• Uffici Anagrafici (carta didentità)

• La Certification Authority è lentità che
  garantisce lintero ciclo di vita dei certificati
  digitali
• Emissione
• Identificazione e registrazione titolare
• Emissione certificato
• Rilascio al titolare
• Utilizzo
• verifica della validità del certificato
• Gestione
• Rinnovo
• Revoca/sospensione
• Mantenimento del pubblico registro

19
La Smart Card o token di firma (carta a microchip)

• Una smart card è simile ad una carta di credito,
  ma con un microchip al posto della banda
  magnetica. Il microchip è un piccolo computer in
  grado di
• memorizzare informazioni
• proteggere i dati che contiene da accessi non
  autorizzati
• eseguire elaborazioni di vario tipo (per esempio
  RSA)
• comunicare con un elaboratore esterno di tipo
  tradizionale (PC)

• FUNZIONI
• genera e conserva al suo interno la chiave
  privata dellutente
• non può essere attivata senza conoscere il
  relativo PIN
• dialoga con le applicazioni sul PC attraverso un
  card reader (o porta USB)