Standard X.509 per i Certificati Elettronici

Standard Internazionale (ISO)

Definisce i parametri che devono essere contenuti in un certificato per assicurarne la compatibilità tra applicazioni diverse.

Parametri principali

Esempio di certificato X.509 (formato testo)

 

 

Protocollo SSL (Secure Socket Layer)

SSL e' un protocollo aperto e non proprietario, introdotto da Netscape. (Versioni: 2 e 3)

SSL Handshake:

SSL Record:

Sender

Receiver

 

 

HTTPS = HTTP + SSL

A livello applicativo, quando il protocollo HTTP deve essere supportato da SSL durante la connessione, l’URL si indica con https://….

Quindi HTTPS non è un protocollo a sé stante, ma il normale protocollo HTTP con il supporto sottostante di SSL.

Nota: HTTPS non va confuso con SHTTP, che invece è un particolare protocollo (poco diffuso).

SSL garantisce SICUREZZA DI CANALE, non applicativa.

Cosa significa?

Significa che la sola connessione "da porta a porta" tra due computer su di una rete viene resa sicura assicurando:

SSL non si occupa di cosa accade ai dati prima del trasferimento o dopo la ricezione, ma solo durante il transito in rete.

¯

Per le applicazioni è un ausilio utile,
ma spesso non sufficiente.

Anche SSL, come tutti i prodotti crittografici statunitensi, è soggetto alle limitazioni sull’esportazione.

La versione Internazionale implementa solo algoritmi a chiavi "corte" (40 bit per gli algoritimi simmetrici, 512 bit per RSA)

Versione public domain non USA, molto diffusa: SSLeay

 

 

Funzionalità fornite dai browser:
Netscape Communicator e Internet Explorer

Caratteristiche (versioni NS 4.04, IE 4.0 e successive):

Ciò che viene visualizzato dai browser è solo un sottoinsieme delle informazioni realmente contenute nel certificato.

 

Esempio: visualizzazione da Netscape del certificato prima mostrato in formato testo (analogo per IE)

 

 

Funzionalità di Posta Elettronica: Netscape Messenger e Microsoft Outlook Express

Entrambi supportano S/MIME.

MIME: standard internazionale per il formato dei messaggi di posta elettronica

S/MIME: estensione del formato MIME per il supporto delle funzionalità crittografiche (sviluppato da RSA Inc.).

(Eudora richiede invece un plug-in di terze parti)

 

 

Netscape Communicator 4.5 Domestic Version (U.S.A.)

Algoritmi Supportati per connessioni SSL v3

 

 

Netscape Communicator 4.5 International Version (export)

Algoritmi Supportati per connessioni SSL v3

 

 

Netscape Messenger 4.5 Domestic Version (U.S.A.)

Algoritmi Supportati per posta elettronica S/MIME

 

 

Netscape Messenger 4.5 International Version (export)

Algoritmi Supportati per posta elettronica S/MIME

 

 

Eudora e MS Outlook: APOP

APOP è una variante del protocollo POP3 che evita di trasmettere la password (in chiaro!!) ad ogni connessione.

Nel protocollo POP3 standard, infatti, ad ogni accesso alla mailbox vengono trasmessi (in chiaro) login e password

® facilmente attaccabile se le connessioni avvengono a
intervalli regolari (come spesso avviene automaticamente).

 

Con APOP, invece, si adotta un concetto di sfida:

In questo modo:

In pratica:

  • dove digest: è calcolato applicando l’algoritmo MD5 alla stringa ottenuta dalla concatenazione del timestamp e della password.
    •

     

     

    Certificazione Elettronica: esperienze in Italia

    Molte iniziative sperimentali sono state avviate o sono in corso di avviamento, presso Enti Locali.

    Alcuni esempi: Comune di Pesaro, Comune di Siena, Comune di Torino, Comune di Modena, Comune di Bologna, Comune di Grosseto, Provincia di Ascoli Piceno

    Riferimento:

    "LA SPERIMENTAZIONE DELLA FIRMA DIGITALE: CONFRONTO DI ESPERIENZE FRA ENTI LOCALI", Pesaro, 26 Novembre 1998

    http://www.comune.pesaro.ps.it/firmadigitale/invito.htm

     

     

    Progetto Europeo ICE-TEL

    La ICE-TEL Italian Certification Authority è il nodo nazionale italiano dell'infrastruttura di certificazione a chiave pubblica nata col progetto ICE-TEL ed attualmente sostenuta dal progetto ICE-CAR. La Top Level CA del progetto ICE-TEL è gestita da UNI-C (Danimarca).

    La ICE-TEL Italian CA offre un servizio di certificazione di chiavi pubbliche alla comunità di utenti Internet in Italia. I servizi sono offerti alle organizzazioni pubbliche, a quelle private ed ai singoli individui tramite la distribuzione di certificati personali, per server Web e per altre CA.

    http://www.polito.it/ice-tel/ca/cafe

     

     

    ALCUNE RIFLESSIONI

    Perché nella versione internazionale di SSL vengono
    forniti algoritmi simmetrici a chiavi "lunghe" (> 40 bit)?

    Queste opzioni sono riservate esclusivamente ad un uso nel campo delle transazioni finanziarie con banche o società autorizzate.

    Per tali società viene emesso un particolare certificato elettronico (da Verisign, società di certificazione di proprietà della Netscape) che consente a .Netscape Communicator l’uso di quegli algoritmi, listati nelle configurazioni.

    Un utente normale li può sfruttare solo in caso di comunicazioni con tali istituti di credito autorizzati.

    Una funzionalità analoga è presente in Internet Explorer.

     

    Non vengono mostrate le configurazioni per gli algoritmi
    a chiave pubblica. Quali sono i parametri?

    Netscape Communicator e Internet Explorer implementano entrambi l’algoritmo RSA.

    Anch'esso è soggetto ai limiti sull'esportazione, perché può essere usato sia per la firma sia per la cifratura dei dati.

    Per questo motivo entrambi i browser (nella versione internazionale) vengono artificialmente limitati, nella lunghezza della chiave pubblica/privata che possono generare, a 512 bit.