Lo stato dell’arte della firma digitale a pieno valore legale
Con DigitalSign è possibile:
- Apporre firme digitali ai documenti, in conformità con la normativa italiana ed europea
- Aprire ed utilizzare i documenti firmati, verificando con la massima accuratezza la validità delle firme altrui
- Cifrare e decifrare il contenuto dei documenti per proteggerli dallo sguardo di chiunque
- Usare le smartcard fornite da tutti i più importanti certificatori accreditati presso CNIPA
Integrabile in qualunque applicazione che debba manipolare documenti informatici e firme digitali
DigitalSign 3.0 rappresenta lo stato dell’arte per un software di firma digitale.
Nato come evoluzione del già eccellente DigitalSign 2.0, riunisce in un solo prodotto caratteristiche di assoluta completezza, di grande facilità d’uso, di esemplare efficacia di presentazione, di estrema flessibilità. Senza trascurare un’interpretazione rigorosa delle norme, degli standard, dei principi di sicurezza.
1. Descrizione delle funzioni principali
1.1 Generazione di firme digitaliDigitalSign 3.0 permette di generare documenti in formato standard PKCS#7, partendo da qualunque documento digitale.
L’utente apre un documento già esistente o ne crea uno nuovo (ActiveDocument, vedere sez 1.6) con un click, visualizzandolo automaticamente nella finestra dedicata e potendo immediatamente leggere il valore dell’impronta (hash) su cui verrà calcolata la firma.
Con un altro click sull’icona “Firma” può apporre la propria firma digitale, visualizzando istantaneamente il risultato della verifica della firma stessa. Con un ultimo click può salvare il risultato in un file .p7m.
L’utente può anche decidere di aprire un documento già firmato da un’altra persona, per aggiungere la propria firma digitale (che può essere una firma congiunta oppure una controfirma) e salvare il risultato, con la stessa facilità.
Se desiderato, è anche possibile gestire envelope PKCS#7 multiple: un documento firmato il cui contenuto è un altro documento firmato, e così via.
Ad ogni firma può essere associato l’attributo ‘signing time’, utile – ad esempio – per rappresentare il riferimento temporale richiesto per i documenti informatici di rilevanza fiscale e tributaria.
DigitalSign 3.0 produce documenti conformi alle Regole Tecniche del DPCM 13/01/2004 ed alla Deliberazione CNIPA n.4/2005.
1.2 Associazione di marche temporali (timestamp)
Per consolidare il valore probatorio di un documento firmato digitalmente è fortemente raccomandata l’associazione di una marca temporale.
Grazie a questo strumento è possibile fissare nel tempo l’istante di esistenza del documento stesso (e quindi dimostrare in seguito che in tale momento la firma era valida), nonché estendere la validità del documento stesso oltre la naturale scadenza dei certificati di firma, per almeno 5 anni (DPCM 13/01/2004, art. 50 e 52).
Le marche temporali possono essere gestite:
- in modo disgiunto rispetto al documento cui si riferiscono (associazione realizzata tramite il nome dei file)
- in modo associato, tramite l’inclusione in una struttura MIME che contiene sia il documento, sia la marca temporale.
- Sono supportati diversi formati per questa opzione (incluso il formato proprietario definito dai prodotti di Infocamere).
Qualunque sia la modalità di associazione preferita, DigitalSign 3.0 mostra sempre il documento corredato della marca temporale, visualizzando istantaneamente il risultato della verifica e, se desiderato, evidenziando il prolungamento ‘legale’ della validità a 5 anni o ad una durata definita dall’utente.
É possibile configurare più servizi di timestamping, relativi a diversi fornitori (TSA) ed utilizzarli liberamente scegliendo caso per caso quale impiegare.
DigitalSign 3.0 supporta le specifiche ETSI TS 101 861 V.1.2.1 e RFC 3161 per i protocolli di timestamping. Inoltre sono implementati supporti specifici per diverse servlet proprietarie tramite cui i principali certificatori offrono i propri servizi di marcatura temporale.
1.3 Crittografia del contenuto dei documenti
DigitalSign 3.0 è in grado di gestire la crittografia del contenuto del documento direttamente all’interno della envelope PKCS#7, tramite una combinazione standard di crittografia simmetrica + asimmetrica.
Quando l’utente decide di rendere il contenuto di un documento visibile solo ad un gruppo di uno o più ‘destinatari’, DigitalSign genera automaticamente una chiave di cifratura – detta ‘chiave di sessione’ – con l’algoritmo 3-DES, ad elevatissimo livello di robustezza, quindi la usa per cifrare il documento.
Infine la chiave di sessione viene a sua volta cifrata usando le chiavi pubbliche di tutti i destinatari (prelevate dai rispettivi certificati) e le copie cifrate vengono immagazzinate con il documento.
In seguito solo un utente in possesso di una chiave privata corrispondente ad una delle chiavi pubbliche usate in fase di cifratura potrà usare la propria chiave per risalire alla chiave di sessione e quindi per decodificare, visualizzare, stampare, esportare il documento.
Questa tecnica consente di produrre indifferentemente documenti solo cifrati, solo firmati, oppure sia cifrati che firmati.
In conformità con la normativa vigente vengono utilizzati per la cifratura dei documenti chiavi RSA e certificati distinti da quelli utilizzati per la firma digitale; DigitalSign richiede comunque che le chiavi private risiedano in un dispositivo di firma, al fine di raggiungere un elevato livello di sicurezza.
A questo proposito è possibile:
- utilizzare direttamente i certificati (e rispettive chiavi) ausiliari (solitamente definiti “per autenticazione”, “SSL”, “per email“, ecc.) offerti dai principali certificatori sulle stesse smartcard distribuite per la firma digitale;
- generare autonomamente, a livello personale o aziendale, tramite la Personal Certification Authority (vedere sez. 1.8), chiavi e certificati per la cifratura.
Oggi è anche disponibile su richiesta uno speciale plug-in che consente di leggere e scrivere documenti criptati in formato a “doppia envelope” PKCS#7 (.p7e), compatibile con altri prodotti di ampia diffusione.
1.4 Verifica di firme digitali
DigitalSign 3.0 è un superbo strumento per la verifica della validità delle firme digitali, capace di offrire un livello di affidabilità elevatissimo.
Al momento dell’apertura di un documento firmato digitalmente tutte le firme vengono istantaneamente verificate ed i risultati sono mostrati in un pannello informativo visualizzato sotto il documento stesso.
La presentazione evidenzia separatamente il risultato della verifica di integrità (documento non modificato) e quello della verifica del certificato del sottoscrittore.
Se l’utente mantiene la configurazione consigliata del massimo livello di sicurezza, DigitalSign verifica la validità di un certificato come segue:
- corso di validità (non scaduto)
- stato di certificato qualificato (ossia emesso da una CA accreditata presso CNIPA)
- in subordine, stato di certificato attendibile (CA presente in un apposito elenco, protetto a sua volta da una firma digitale qualificata)
- stato di non sospensione o revoca (tramite riscontro in una lista di revoca – CRL – aggiornata, pubblicata dalla CA che ha emesso il certificato)
- eventuale prolungamento della validità tramite associazione di una marca temporale
Se l’utente opta per ridurre il livello di sicurezza attivo sulla propria stazione di lavoro (ad esempio disattivando il riscontro sull’elenco pubblico dei certificatori di CNIPA, oppure disattivando la verifica delle CRL perché non è collegato ad Internet) viene sempre visualizzata esplicitamente l’informazione del livello ridotto in vigore.
La verifica in sicurezza di una firma digitale è sempre un processo delicato, poiché richiede la disponibilità di un punto di riferimento sicuro su cui basare le operazioni di verifica.
A questo fine DigitalSign 3.0 attua le seguenti misure:
- fonte di attendibilità rappresentata direttamente dall’elenco ufficiale dei certificati delle CA accreditate, pubblicato e mantenuto aggiornato da CNIPA ad un indirizzo Internet pubblicato in Gazzetta Ufficiale e firmato con un certificato (del Presidente di CNIPA stesso) la cui impronta è pure pubblicata in Gazzetta Ufficiale;
- aggiornamento automatico della copia locale dell’Elenco CNIPA, con periodicità definita dall’utente;
- verifica della firma (del Presidente) apposta all’Elenco CNIPA ad ogni avvio dell’applicazione e conseguente costruzione dinamica di una trust list in memoria.
- Indirizzo di download dell’Elenco CNIPA e impronta del certificato del Presidente cablati nel codice di DigitalSign (comunque visualizzabili e confrontabili con quanto contenuto nella Gazzetta Ufficiale)
- Sistema di self-integrity-check (basato su tabella di hash) per verificare che il codice eseguibile di DigitalSign non sia stato modificato rispetto all’originale.
- La tabella di hash sopra descritta è firmata digitalmente da un responsabile di CompEd mediante un certificato qualificato. Quindi l’utente può verificarne l’autenticità in qualunque momento.
In fase di apertura dei documenti DigitalSign mostra anche messaggi di warning nel caso che il documento possa contenere o contenga elementi variabili (macro) che potrebbero inficiarne il valore probatorio.
1.5 Dispositivi di firma, smartcard supportate, riconoscimento automatico
Tutti i certificatori accreditati presso CNIPA per l’erogazione di certificati qualificati hanno la responsabilità, imposta dalla legge, di personalizzare le smartcard o i token USB da essi distribuiti con propri strumenti e procedure.
Lo standard generalmente adottato è il PKCS#11: il software di firma digitale deve interfacciare questi dispositivi tramite un apposito modulo software (si pensi ad una sorta di driver) specifico per il tipo di smartcard.
Pur nell’ambito dello standard PKCS#11 sussistono differenze anche significative nei comportamenti di diversi dispositivi. Inoltre diversi certificatori talvolta presentano differenze nell’organizzazione dei dati sullo stesso tipo di dispositivo.
DigitalSign 3.0 ha tra i suoi obiettivi primari quello di consentire l’utilizzo delle smartcard fornite da tutti i certificatori realmente presenti sul mercato. Attualmente gli utenti di DigitalSign usano regolarmente smartcard e token USB rilasciati da Actalis, Infocert, Postecom, Telecom Italia e dalle varie CA derivate (per esempio quella del Centro Tecnico della R.U.P.A., tutte quelle di Enti ed aziende fornite da BNL Multiservizi/Actalis, ecc.).
DigitalSign 3.0 stupisce anche gli addetti ai lavori offrendo una efficacissima funzione di riconoscimento automatico del dispositivo di firma montato: quando l’utente inserisce una smartcard in un lettore od un token in una porta USB, il software prova immediatamente la lettura della carta attraverso i vari moduli PKCS#11 presenti sulla macchina ed, in pochi secondi, stabilisce il collegamento.
Si veda la tabella 4.2 per una lista dei dispositivi testati e riconosciuti automaticamente dall’attuale versione di DigitalSign.
Naturalmente è sempre possibile operare una configurazione manuale ed installare altri moduli PKCS#11, che possono essere aggiunti alla lista (file devices.ini) dei moduli da utilizzare per il riconoscimento automatico.
Ma PKCS#11 non è l’unica modalità possibile per interfacciare dispositivi di firma: nel caso si ricorra alla produzione in proprio di certificati (e quindi non si utilizzino i dispositivi forniti dai certificatori) DigitalSign può interfacciare diverse smartcard e token USB a livello APDU, ossia secondo le specifiche proprie del dispositivo: questo implica maggiori prestazioni, maggiore flessibilità e servizi integrati per impostazione di PIN/PUK, per la memorizzazione di dati d’utente nel dispositivo, ecc.
1.6 SecurView: presentazione dei documenti integrata con i software più diffusi
Sembra ovvio che, allorché l’utente si accinge ad apporre la propria firma digitale ad un documento, dovrebbe avere bene sott’occhio il contenuto del documento che sta firmando.
Eppure, operando su un PC, non è così scontato che due applicazioni diverse (per esempio il wordprocessor od il web browser ed il software di firma digitale) stiano lavorando davvero sugli stessi dati.
Il rischio, evidentemente, è che una applicazione di gestione documentale, magari per un errore, ci faccia firmare il documento sbagliato.
DigitalSign 3.0 offre un ambiente integrato grazie al quale l’utente vede il documento nella stessa finestra in cui risiedono i comandi di firma, cifratura e marcatura temporale, nonché la visualizzazione istantanea dei risultati della verifica di tutte le firme ed i certificati.
Poiché i formati con cui si rappresentano i documenti sono molteplici e poiché gli utenti li producono con i più popolari tra gli strumenti di produttività individuale, nasce il problema di coniugare queste esigenze.
La soluzione è SecurView: il viewer di DigitalSign che si fa carico di:
- aprire i documenti conformi allo standard ActiveDocument (in particolare i prodotti di Microsoft Office fino all’edizione 2003 e CorelDraw), consentendone anche l’editing tramite l’applicazione associata, in un contesto integrato;
- aprire i documenti HTML e XML usando l’OCX di MS Internet Explorer;
- aprire i documenti PDF utilizzando gli strumenti messi a disposizione di Adobe Acrobat o Adobe Reader (che differiscono secondo la versione di software Adobe a disposizione)
- aprire documenti di tipo testuale o RTF tramite uno specifico viewer integrato in DigitalSign
- aprire documenti di tipo immagine (TIF, JPG, GIF, BMP, …) tramite uno specifico viewer integrato, basato su tecnologia grafica Lead.
1.7 Produzione di report sui dettagli di un documento firmato
Talvolta un documento informatico contiene un gran numero di informazioni di dettaglio (firme multiple, certificati, destinatari di cifratura, marche temporali) ed è utile disporre di una presentazione completa di tutti questi attributi.
DigitalSign 3.0 offre una nuova funzione per la produzione di report, in formato HTML, facile da esportare, salvare, stampare, unire ad altri documenti.
1.8 Generazione di certificati in proprio (Personal Certification Authority)
In taluni contesti applicativi non è necessario ricorrere a certificati qualificati forniti da certificatori accreditati presso CNIPA, ma è sufficiente utilizzare certificati prodotti autonomamente, comunque basati sugli standard e relativi a chiavi generate in sicurezza su smartcard crittografiche.
Inoltre, pur se la normativa prescrive l’utilizzo di certificati qualificati rilasciati da certificatori accreditati al fine di ottenere il massimo valore probatorio della firma digitale, nessuna legge costringe a ricorrere agli stessi fornitori di servizi per i certificati di cifratura.
L’utente può utilizzare la Personal Certification Authority di DigitalSign per:
- inizializzare e personalizzare smartcard vergini;
- generare chiavi di certificazione e certificati di CA, che verranno poi usati per emettere altri certificati;
- processare richieste di certificato provenienti da altri utenti e produrre i corrispondenti certificati;
- creare e gestire liste di revoca (CRL) per interrompere la validità nominale dei certificati degli utenti che perdono l’uso delle proprie smartcard o che perdono certe qualifiche.
I certificati prodotti con questo strumento, grazie alle funzioni di security di DigitalSign 3.0 (si veda la sez. 1.4) possono essere considerati attendibili e verificati con lo stesso livello di sicurezza (strong) possibile con i certificati emessi da un certificatore accreditato, a patto di predisporre un apposito DB firmato di certificati attendibili.
In generale una sola Personal Certification Authority è sufficiente a gestire il fabbisogno di un ente od una azienda.
1.9 Registro delle attività
DigitalSign 3.0 dispone di una funzione di logging (integrata con le altre applicazioni prodotte da CompEd) che produce un registro accuratissimo di tutte le operazioni significative svolte dall’applicazione, inclusa l’indicazione della data e ora di ogni evento.
1.10 Interfaccia utente
DigitalSign 3.0 offre una interfaccia utente molto sofisticata, ma al tempo stesso semplice ed intuitiva.
É possibile mantenere aperti diversi documenti allo stesso tempo (MDI) in altrettante finestre, disporre di alcuni pannelli di informazione generale sulla configurazione hardware e software corrente, personalizzare le proprie barre strumenti, accedere a pannelli di configurazione e personalizzazione.
Difficile pensare ad una visualizzazione più efficace per il contenuto dei documenti e per gli attributi importanti come firme, marche temporali, destinatari di cifratura, certificati, impronte, ecc.
1.11 Interfaccia di programmazione: Developer License
DigitalSign 3.0 è lo strumento ideale per il developer o il system integrator che debba introdurre la gestione di documenti firmati digitalmente nelle proprie applicazioni di gestione documentale o di workflow, oppure in prodotti verticali per il settore clinico-sanitario, per la Pubblica Amministrazione, per l’impresa privata che oggi – grazie alla normativa in materia fiscale e tributaria – può finalmente trarre grande vantaggio dalla gestione totalmente elettronica dei documenti.
Numerose software house hanno già scelto DigitalSign per ragioni più che solide:
- indiscussa qualità, alto livello tecnologico e comprovata affidabilità;
- effettiva indipendenza dalla scelta del fornitore di servizi di certificazione: CompEd pone un impegno continuo per supportare nuovi servizi e dispositivi che si affacciano sul mercato, salvaguardando gli investimenti di sviluppo dei propri partner;
- qualità dell’integrazione, grazie all’ActiveX che riproduce completamente l’ambiente di presentazione dei documenti di DigitalSign e grazie alla sofisticatissima e flessibilissima interfaccia programmatica COM
- ricchezza delle funzioni, che permettono di realizzare procedure di firma basate sull’ActiveX con un numero di istruzioni da contare sulle dita, oppure operazioni ‘silenti’ che permettono di disegnare una propria interfaccia utente, oppure procedure automatiche per l’elaborazione di documenti in serie.
Tre sono le interfacce disponibili:
- un ActiveX che consente di integrare con estrema facilità la tipica finestra-documento di DigitalSign, anche in contesti web, mostrando, nascondendo o pilotando le toolbar originali;
- una COM interface organizzata in categorie, con metodi e proprietà a diversi livelli di astrazione;
- una interfaccia per la realizzazione di plug-in utili ad arricchire e personalizzare il comportamento di DigitalSign
L’utilizzo delle API di DigitalSign è riservato ai titolari di una Developer License. Sono disponibili licenze differenziate per i soggetti che intendono distribuire il risultato dell’integrazione e per gli utenti finali che sviluppano soluzioni per l’utilizzo in proprio.
Maggiori informazioni possono essere richieste scrivendo a
Questo indirizzo e-mail è protetto dallo spam bot. Abilita Javascript per vederlo.
2. Ambiente operativo e requisiti del sistema
DigitalSign 3.0 supporta i sistemi operativi Windows, da 2000 SP1 a Vista.
È inoltre necessario Microsoft Internet Explorer 5.0 o superiore.
DigitalSign carica interamente in memoria i documenti da firmare, verificare, cifrare o marcare temporalmente. Questa strategia offre il massimo livello di sicurezza, rendendo estremamente difficile la sostituzione del documento in corso di elaborazione da parte di un processo “malizioso”. D’altro canto questo implica un carico sulle risorse del sistema (memoria principale) nel caso di documenti di grandissima dimensione, anche considerando la gestione della memoria virtuale da parte di Windows, nonché le prestazioni dell’applicazione eventualmente utilizzata per la visualizzazione del documento stesso.
Il valore di 100 MB dovrebbe essere considerato come la massima dimensione di un documento firmabile con prestazioni ragionevoli, nel caso di una macchina con Windows XP e 1GB di RAM. Dimensioni maggiori possono richiedere tempi lunghi (dovuti allo swapping) o addirittura risultare impossibili da firmare.
Per utilizzare le funzioni di aggiornamento automatico del DB di certificati CNIPA, la verifica dello stato di revoca dei certificati, i servizi di marcatura temporale è necessario un collegamento ad Internet, con accesso ai protocolli http, https, ldap.
Nel caso di utilizzo di smartcard interfacciate a livello PKCS#11 (quelle distribuite dai certificatori), il software PKCS#11 è distribuito dal certificatore stesso e può presentare vincoli di compatibilità con l’ambiente operativo più restrittivi di quelli di DigitalSign, circostanza da verificare con il fornitore.
In tale contesto, inoltre, il controllo del lettore di smartcard avviene da parte del software PKCS#11, per cui la scelta del lettore di smartcard va fatta secondo le raccomandazioni del fornitore delle smartcard.
3. Edizioni disponibili
DigitalSign 3.0 è disponibile nelle seguenti edizioni:
- Professional – l’edizione più completa, corrispondente alla totalità delle caratteristiche descritte in questo documento.
- Lite – una edizione ridotta, scaricabile dal sito Internet di CompEd, utilizzabile gratuitamente da utenti non professionali e per un utilizzo privato.
Non supporta la cifratura/decifratura dei contenuti, non può applicare marche temporali ai documenti, non può apporre firme multiple o controfirme, non dispone della Personal Certification Authority e del sottosistema di registrazione delle attività.
Non è utilizzabile attraverso le interfacce di programmazione.- DigitalSign Reader – una edizione priva di funzionalità “attive”, consente di aprire, presentare, verificare documenti firmati digitalmente e marcati temporalmente.
É scaricabile dal sito Internet di CompEd ed utilizzabile gratuitamente da utenti non professionali per utilizzo non professionale, oppure dai fruitori di documenti firmati con software CompEd.- Opzioni di distribuzione speciali (a lotti) sono disponibili per rivenditori e titolari di Developer License.
- Professional Integrated – una edizione speciale distribuita dai titolari di CompEd Developer License, destinata all’integrazione in altre applicazioni; non dispone di interfaccia utente autonoma.
4. Tabelle
4.1 - Integrazione di DigitalSign 3.0 con altri prodotti software di produttività individuale
La seguente tabella mostra l'integrazione di DigitalSign 3.0 con alcuni prodotti software utilizzati per visualizzare i documenti da firmare. In particolare la tabella riporta, per ciascun prodotto: le versioni collaudate, i formati dei documenti generati, i riferimenti per i formati che sono standard internazionali e un’indicazione del livello di sicurezza associato all’operazione di firma effettuata visualizzando il documento da firmare con tale software.
|
Software utilizzato da |
Versione |
Formato file |
Standard ISO e |
Livello |
|
CompEd SecurView |
3.0 |
JPG, TIF, WMF, BMP, PCX, PSD, PNG, TGA, EPS, CMP, TXT, RTF, XML (3), binario (present. HEX) |
JPG (ISO/IEC 10918-4:1999) |
***** |
|
Adobe Acrobat |
da 4.0 |
|
|
**** |
|
Adobe Acrobat Reader |
da 4.0 |
|
|
|
|
Microsoft Internet Explorer |
5.0 o sup. |
HTML, XML (3) |
HTML (www.w3.org) |
|
|
Microsoft Word (4) |
97, 2000, XP, 2003 |
DOC |
|
*** |
|
Microsoft Excel (4) |
97, 2000, XP, 2003 |
XLS |
|
|
|
Microsoft PowerPoint (4) |
97, 2000, XP, 2003 |
PPT |
|
|
|
Altri prodotti sw compatibili con Microsoft Active Document |
-- |
-- |
|
|
|
Altre applicazioni esterne installate sul PC |
|
|
|
* |
Note:
(1) Ad eccezione di SecurView di CompEd, i prodotti software sopra indicati non sono inclusi in DigitalSign 3.0
(2) Il livello di sicurezza è maggiore al crescere del numero di "*" indicati in tabella. I valori riportati hanno carattere indicativo, relativo al tipo di tecnologia utilizzato.
(3) Il formato XML viene presentato per mezzo di Internet Explorer – al di sotto di una dimensione prefissata del documento – oppure in forma testuale, usando il viewer di testo integrato – al di sopra di tale soglia – in funzione della dimensione del documento, poiché Internet Explorer, che offre una visualizzazione ad albero particolarmente piacevole, presenta problemi di efficienza con documenti di grandi dimensioni. La soglia effettiva è configurabile dall’utente.
(4) Con Microsoft Office 2007 la compatibilità rimane a livello di visualizzazione integrata solo per i formati documento compatibili con le precedenti versioni. Con i formati specifici XML (es .docx, .xlsx, ..) non è più utilizzata – dal software Microsoft – la proprietà ActiveDocument.
4.2 – Dispositivi di firma supportati da DigitalSign 3.0
DigitalSign 3.0 è in grado di supportare lo standard PKCS#11 per interfacciare dispositivi per la creazione di firme digitali: si tratta dello standard adottato da tutti i certificatori accreditati presso CNIPA per i dispositivi da essi distribuiti.
Segue una tabella di dispositivi collaudati da CompEd, con le indicazioni delle condizioni di collaudo.
4.2.1. Interfaccia PKCS#11
|
Dispositivo |
Modulo PKCS#11 |
Modulo DigitalSign (1) |
Certificatori (2) |
Note |
|
Smartcard Gemplus GemGATE 32K |
GemPKCS 4.6.006 |
Gemplus GC |
Actalis, Postecom |
|
|
Smartcard Siemens CardOSM4.01/a |
CardOS 2.4.0 |
Siemens Cardos 2.4 |
Actalis, Infocamere, IT-Telecom, Postecom |
(3) |
|
Smartcard Incard CS16 |
Sysgillo 1.9.10.0 |
Sysgillo LC o |
Infocamere |
|
|
Smartcard Incard CSE4H |
Sysgillo 1.9.10.0 |
Sysgillo LC o |
Infocamere |
|
|
Smartcard Cryptovision |
Cryptovision |
Siemens Cryptovision |
Infocamere |
|
|
Token USB Eutron CryptoIdentity |
Siemens CardOS 2.4.0 |
Siemens Cardos 2.4 |
Actalis, Infocamere, IT-Telecom |
(4) |
|
Smartcard CNS Incard Incrypto34V2 |
Sysgillo 2.3 |
Sysgillo CNS |
Actalis, Infocamere, Infocert, |
(5) |
|
Smartcard Siemens SISS HPC |
SISS API 0.0.5 |
SISS |
LISIT |
(6) |
|
Token USB “Business-Key” |
Sysgillo 2.3 |
Sysgillo CNS |
Infocert |
(7) |
|
Smartcard CNS Oberthur |
Bit4Id |
Oberthur CNS |
Actalis |
(8) |
|
Smartcard Charismatics |
Charismatics |
Charismatics SI |
Actalis |
NOTE:
(1) La colonna “Modulo DigitalSign” indica il nome simbolico del profilo di dispositivo utilizzato da DigitalSign per interfacciare il dispositivo.
Tali nomi sono indicati tramite il file devices.ini, che associa il nome di ogni profilo ad una specifica DLL di interfaccia.
Poiché i nomi dei profili possono cambiare nel tempo per varie ragioni, si precisa che i nomi contenuti nella tabella sono riferiti ai profili definiti con la versione 3.0.3.11 di DigitalSign e successive.
(2) La colonna “Certificatori” indica i certificatori iscritti all’elenco CNIPA dei Certificatori Accreditati che risulta abbiano distribuito dispositivi nelle varie tecnologie. Il contenuto della colonna è del tutto indicativo.
(3) Esistono in circolazione alcune tipologie di smartcard di questa tecnologia che non contengono il certificato qualificato dell’utente nell’area pubblica. Quindi non possono essere riconosciute dalla modalità “riconoscimento automatico” di DigitalSign, che si basa appunto sull’esito della lettura del certificato.
Occorre impostare manualmente il modulo indicato ed effettuare il logon per accedere al certificato ed ai servizi.
Questa limitazione è stata osservata in dispositivi rilasciati da Actalis.
(4) Oltre all’installazione del modulo PKCS#11 è necessario installare anche i driver specifici che emulano un lettore di smartcard
(5) Queste smartcard, definite “Carta Nazionale dei Servizi con dispositivo di firma digitale”, hanno una particolare struttura interna organizzata in diverse sezioni. In particolare la parte dedicata alla firma digitale è distinta dalla parte contenente chiavi di autenticazione ed è previsto che si usino due diversi codici PIN per le due diverse sezioni.
Questa flessibilità presenta tuttavia uno svantaggio per le applicazioni di firma digitale, perché il software di interfaccia PKCS#11 (SysGillo) potrebbe richiedere di propria iniziativa la nuova digitazione del PIN anche se la carta già si trova in stato di LogOn. Questo effetto risulta particolarmente sgradevole in caso di procedure di firma automatica, per firmare lotti di documenti in unica soluzione.
Allo stato siamo a conoscenza di tre diversi moduli PKCS#11 in grado di interfacciare queste smartcard:
- SysGillo 2.3 standard (con incrlyptoki2.dll v. 2.4.9.3), richiede doppia digitazione del PIN
- SysGillo 2.3 MODIFICATO (con incryptoki2.dll v. 2.4.9.3), NON richiede doppia digitazione del PIN
- componenti installati dal software Dike di Infocamere (con incryptoki2.dll v. 2.5.1.6), consente scelta della digitazione singola o doppia del PIN dal menu di Dike.
(6) Queste smartcard sono delle CNS (Carta Nazionale dei Servizi) distribuite dalla Regione Lombardia e richiedono uno specifico modulo di interfaccia PKCS#11 (vedere tabella). Anche queste carte, come quelle descritte al punto precedente, richiedono una digitazione del PIN subito prima di ogni firma anche se la carta già si trova in stato di LogOn. A partire dalla versione 3.0.3.13 DigiitalSign contiene un modulo callback specifico, realizzato sulle specifiche del produttore del software PKCS#11, che permette di aggirare questo problema se il PIN utente ed il PIN firma sono uguali. Se tali PIN sono diversi il modulo callback rischia di bloccare la smartcard.
Per tale ragione questo modulo callback va espressamente abilitato intervenendo sul file devices.ini.
(7) Questi dispositivi sono dotati di memoria flash e di un dedicato software di virtualizzazione che consente di spostare il dispositivo da un computer all’altro senza richiedere installazione. Tuttavia questa possibilità è limitata all’uso del software a corredo.
Se si desidera utilizzarli con DigitalSign installato sul computer è necessario che il modulo PKCS#11 sia installato sul computer.
(8) Queste smartcard sono CNS e come tali presentano il problema della doppia digitazione del PIN descritta più sopra a proposito di altre CNS. Tuttavia è possibile configurare il modulo PKCS#11 in modo da evitare la doppia richiesta, si consulti la documentazione di Bit4Id.
Per questi dispositivi, testati in preserie, sono stati osservati tempi di risposta straordinariamente lenti.
Si noti che l’elenco dei Certificatori operativi è in continua evoluzione; ovviamente ogni Certificatore è libero di adottare diversi tipi di dispositivi e di adottare/fornire diversi software di interfaccia PKCS#11; inoltre i diversi Certificatori attuano diverse politiche di distribuzione del software PKCS#11 che permetterebbe al titolare di una smartcard di utilizzare il proprio dispositivo con il software applicativo di propria scelta.
Anche per tutte queste ragioni l’effettiva operatività di un particolare dispositivo con DigitalSign non può essere garantita a priori e va verificata a cura dell’utente.
Tuttavia CompEd pone continuamente in atto il massimo impegno affinché DigitalSign funzioni senza problemi con tutti i dispositivi disponibili sul mercato. La tabella della pagina precedente rappresenta il risultato delle osservazioni di CompEd nelle più tipiche condizioni di utilizzo.
Si vuole ribadire che l’utilizzo di un dispositivo PKCS#11 avviene mediante l’interfacciamento di un modulo software distribuito dal soggetto che distribuisce la smartcard (di regola il Certificatore); tale software non è di produzione CompEd; la compatibilità di tale software con l’hardware e l’ambiente operativo dell’utente non è competenza di CompEd. La tabella si limita ad indicare che in normali condizioni è stato possibile interfacciare ed utilizzare il dispositivo per le operazioni usuali (Logon, generazione firma, cifratura ove disponibile un certificato compatibile). I test sono stati effettuati con diversi lettori e con sistema operativo Windows XP.
Non è possibile senza escludere che un modulo possa essere compatibile anche con condizioni differenti, né che possa essere incompatibile con condizioni analoghe riprodotte in altri contesti.
4.2.1. Interfaccia diretta a livello APDU
Alcuni dispositivi sono interfacciati anche direttamente a livello APDU, per l’utilizzo tramite la Personal Certification Authority di DigitalSign.
Segue una lista dei dispositivi collaudati in tale contesto.
| Dispositivo | Produttore | Modello | Codice ATR (1) |
|---|---|---|---|
| Smartcard | Schlumberger | Cryptoflex 8K | 3B, 85, 40, 20, 68, 01, 01, 03, 05 |
| 3B, 85, 40, 20, 68, 01, 01, 05, 01 | |||
| 3B, 95, 15, 40, FF, 68, 01, 02, 01, 01 | |||
| 3B, 95, 15, 40, FF, 68, 01, 02, 02, 01 | |||
| 3B, 95, 15, 40, FF, 68, 01, 02, 02, 04 | |||
| Gemplus | GPK8000su512 | 3B, A7, 00, 40, 18, 80, 65, A2, 08, 01, 01, 52 | |
| Siemens | CardOS M4 | 3B, E2, 00, FF, C1, 10, 31, FE, 55, C8, 02, 9C | |
| 3B, F2, 98, 00, FF, C1, 10, 31, FE, 55, C8, 03, 15 | |||
| 3B, F2, 98, 00, FF, C1, 10, 31, FE, 55, C8, 04, 12 |
NOTA (1): il supporto di queste smartcard è disabilitato per default. Per abilitarlo è necessario inserire nel file <nome eseguibile>.INI:
[ low_level_sc_support ]
EnableCardOS=Y
Ultimo aggiornamento ( Martedì 19 Maggio 2009 09:44 )