Newsgroup: italia.firenze.discussioni
Titolo: Mail Certificata

http://www.corriere.it/cronache/10_aprile_26/mail-certificata_1083573e-510e-11df-884e-00144f02aabe.shtml
Sembra una cosa intelligente, ne sapete di più? Magari per una volta
non mi rompete i coglioni che fa schifo perché l'ha fatta Berlusconi,
la mail certificata è una cosa sacrosanta.
Bòna!

Tizio Incognito ha scritto:

Una scelta, sul decente avrei dei dubbi. E' uno strumento facile per 
utonti, niente di nuovo. Le stesse cose si potevano già ottenere senza 
bisogno di un provider che facesse alcune operazioni per tuo conto. 
Bastava una firma digitale, magari inserita nella propria carta di 
identità elettronica ....e oltre le comunicazioni ci potevi firmare tutto.
Quello che mi lascia invece perplesso è il businness che ci sta dietro, 
non gestito dallo stato ma regalato a delle spa.
-- 
"Scusate, non mi lego a questa schiera: morrò pecora nera!"

non gestito dallo stato ma regalato a delle spa.
Se lo facessero gestire alla tua ditta di informatica scommetto che
non ti farebbe cosě schifo, ipocrita di questa ceppa!
-- 
Tommaso
Difensore della Certezza Prematurata

 Sembra una cosa intelligente, ne sapete di più?
http://maxconnection.postacertificata.gov.it/
      ***************
ROTFL
-- 
Gert dal Pozzo
Ricerca e Sviluppo supercazzole olimpiche
Gran Capitano della Squadra Nazionale Frensing

 ROTFL
riusciranno i nostri eroi al governo a mettere su un sito che funzioni?
-- 
Luca Logi - Firenze - Italy        e-mail: 
ll...@dada.it
   Home page: 
http://www.angelfire.com/ar/archivarius
                   (musicologia pratica)

 non ti farebbe cosě schifo, ipocrita di questa ceppa!
quando fai cosě, ti si puň solo dare del cretino.
-- 
"Scusate, non mi lego a questa schiera: morrň pecora nera!"

quando fai così, ti si può solo dare del cretino.
Come sempre quando svicoli.


 non gestito dallo stato ma regalato a delle spa.
Strano...di solito in Italia non e' cosi'...soprattutto negli ultimi 
anni...LOL...
-- 
http://tinyurl.com/d44gbz
 (Sostenitore dell'Art.21 con le idee "un po'"
confuse)
http://tinyurl.com/b94hur
 (Idem, piu' o meno)
http://tinyurl.com/df2x5v
 (Solo l'ultima "genialata", postuma, collegata al
"mitico" SCMF)
http://tinyurl.com/cwod98
 (I soliti "cavalli di battaglia" del suddetto "fan
dell'art.21", smontati come sempre uno per uno dal sottoscritto)
http://boycottmm.blogspot.com
 (Un blog contro un censore fatto da gente che
dopo mesi disabilita la funzione commenti dopo la comparsa di alcuni -miei,
per la cronaca- evidentemente "scomodi". Sempre i soliti coglioni
intercambiabili, insomma: tutti della stessa pasta da patetici ducetti
dell'orticello privato)

 identità elettronica ....e oltre le comunicazioni ci potevi firmare tutto.
Spiega un po' meglio 'sta cosa della firma digitale. Ne ho sempre
sentito parlare, ma non ne so granché... anche perché non l'ho mai
vista applicata.
Poi ovviamente ti darò del cretino, ma solo tra 2 o tre post.

Allora partiamo da quale sono gli obiettivi per cui si pone una firma su 
un documento?
1-Avere la certezza dell'autenticità del documento
2-Avere la certezza sul sottoscrittore
Di conseguenza avere l'inoppugnabilità del documento quindi il valore 
legale dello stesso.
La firma digitale si basa sul principio della crittografia a doppia 
chiave. Ovvero una coppia di numeri particolari che costituiscono la 
chiave privata e la chiave pubblica del soggetto.
In pratica il soggetto firmatario firma dando in pasto all'algoritmo di 
criptografia la propria chiave privata, mentre il soggetto ricevente 
verifica usando la chiave pubblica del firmatario.
Se in questo meccanismo si inserisce un soggetto terzo (la CA 
certification Authority) di cui entrambi ci fidiamo che con la propria 
firma garantisce di conoscere entrambi e che pertanto le chiavi 
pubbliche conosciute sono certe il gioco è fatto.
Quello che viene critttografato è ovviamente un HASH del documento da 
sottoscrivere.
Se tutta questa procedura, sopratutto l'assegnazione e la gestione delle 
chiavi è fatta in modo serio allora i due soggetti possono essere 
garantiti che le firme apposte sono autentiche e non impugnabili.
Oltre a questo meccanismo si può aggiungere il TSA - Time Stamping 
Authority, ovvero qualcuno che con lo stesso meccanismo inserisca anche 
una data certa alla firma.
Vediamolo dal punto di vista pratico, io e te si deve firmare un contratto.
1- Ci procuriamo una firma digitale legalmente riconosciuta. Ad esempio 
quella di infocamere. In pratica ci presentiamo alla camera di commercio 
diamo tutti i documenti, loro fanno le verifiche di identità e poi ci 
rilasciano un token di firma (una tesserina o una chiavetta USB dove è 
contenuta la chiave privata, il certificato, e un minimo di intelligenza 
di calcolo per applicare l'algoritmo visto che la chiave privata non può 
uscire dal dispositivo).
2-Il mela scrive il contratto ...anzi no lo scrivo io perchè lui aspetta 
il film e non ne ha voglia. Preso il pdf del contratto, ma potrebbe 
essere un qualsiasi file, il sottoscritto passa ad apporre la propria 
firma, apre dike (...questo è quello di infocamere) anzi il sottoscritto 
aprirebbe un interfaccia basata su DSTKCE visto che l'ha scritta ;-) , 
esegue la firma inserendo la tesserina nel lettore e digitando la 
password ed otterrà un file che contiene il pdf più la firma (hash del 
documento criptografata) e il certificato (in caso di firma congiunta il 
più usato, nulla vieta di fare il file senza il documento originale). 
Prende l'email e invia il tutto al mela
3-Il mela riceve il file, impiega giusto giusto quelle 10 puntate dei 
simpson ad installare dike dopo di che verifica la firma, vede che va 
tutto bene e quindi è certo che quel contratto l'ho veramente mandato 
io. Lo legge, forse, dopo di che appone pure la sua firma e me lo 
rispedisce per mail. Oltre ad archiviarsi la copia dove gli pare
4-Io ricevo il file, verifico la firma, sono certo che è di quel 
tattameo del mela percui archivio il file dove mi pare.
5-Il contratto è perfezionato e legalmente valido. Se ci interessava 
dare una data di firma certa avremo apposto anche la TSA, se invece era 
sufficiente fare riferimento alla data riportata sul testo non importava.
Questo meccanismo oltre che ai file si potrebbe applicare alle mail in 
modo assai più semplice, configurando TB o OE ..o i che vi pare, per 
apporre la firma sulla mail prima di spedirla.
La posta elettronica certificata in più aggiunge l'equivalente del 
registro con le firme di ritiro per le raccomandate postali. Cosa che si 
potrebbe ottenere semplicemente se il ricevente rinviare la ricevuta di 
lettura firmata. Oltretutto è un meccanismo che serve sopratutto quando 
si deve comunicare qualcosa allo stato, che lo avrebbe potuto 
implementare in tanti modi.
Con qualche semplificazione, ma grossomodo questo è il meccanismo della 
firma digitale, che diventa firma digitale qualificata quando la CA è 
gestita in un certo modo (a norme CNIPA) e riconosciuta di valore legale 
dal nostro stato (pura burocrazia, dal punto di vista tecnico non c'è 
alcuna differenza tra una firma a CA verisign e una a CA infocamere).


 identità elettronica ....e oltre le comunicazioni ci potevi firmare tutto.
Beh, pero' il fatto che il mail server  gestisca un sistema di auditing,
e' uno strumento in piu' per la non repudiabilita'. E poi in qualcosa
dobbiamo avere trust! ;-)
Per la non-repudiation e l'integrity, abbiamo i log e le firme. 
Cerco, che se loggano via UDP, piglia male ... ;-)
Speriamo usin l'rfc5424! ;-)
-- 
Coglione, bamboccione, farabutto e devo andare a morire ammazzato. Poi?
MasCanc BBS, 2:2/33 - 
http://www.mascanc.net/~max

> ROTFL
Teste di cazzo ... Chissa' quanti soldi e' costato, questo webserver. 
Bah , l'informatica ai porci, sai


 ha scritto nel messaggio
news:8ba5d417-c9fc-4278...@5g2000yqj.googlegroups.com...
Solo per il fatto di chi la propone e sicuramente non l'ha nemmeno capita
ne' mai la usera' personalmente (tipo Brunetta...), visto la notoria
ignoranza e allergia all'informatica, ai pc e soprattutto alle potenzialita'
della Rete (perche' ovviamente sanno che e' libera e questo e' sempre male,
o cmq pericoloso per la Casta), c'e' solo da iniziare a ridere pensando al
solito fallimento cui andra' incontro l'iniziativa...
Gia' qualcuno mi pare ha postato qui il link alla sezione del sito che
dovrebbe presentarla, spiegarla e offrirla...e pare non funzioni...direi
"Italia.it parte II"...ROTFL...


 dobbiamo avere trust! ;-)
E' un di più. E che comunque ti lega ad acquistare un servizio ;-)


 E' un di più. E che comunque ti lega ad acquistare un servizio ;-)
Non credere poi piu' di tanto. Secondo i suggerimenti dell'ENISA (non 
trovo un link al report, ma te lo mando piu' in la' se sei interessato),
l'avere auditing e firma basta per la non repudiabilita'. Il resto, 
come si dice, e' zucchero sintattico! :-D
Pero' e' vero: e' il primo progetto (che ne sappia) in europa. 
E' un progettone grosso. Ma non ho capito: ma ce lo danno un 
certificato o no?


 tanti modi.
Io avro' capito male, ma non riesco a trovare un motivo per cui la posta 
certificata della mia banca non possa dialogare con quella di quel sito, 
a parita' di premesse.
-- 
"Sono di gran lunga il miglior presidente del Consiglio che l'Italia
abbia potuto avere nei 150 anni della sua storia" (S. Berlusconi, 11
settembre 2009)

 identità elettronica ....e oltre le comunicazioni ci potevi firmare tutto.
[cut]
ci pensa Enrico Rossi.
Tra un po' di giorni ti arriva a casa.
http://www.regione.toscana.it/cartasanitaria
*aw*

 Tra un po' di giorni ti arriva a casa.
Questa e' una cosa diversa. Non e' chiaro che se si usa la stessa 
tecnologia, poi un certificato e una chiave privata possano essere
usati per tutto. Anzi, non devono ASSOLUTAMENTE esserlo: immagina, 
uno se ti ruba la tessara sanitaria, potrebbe comprarti una casa. 
Poi, ma magari con Claudio si potrebbe aprire un thread, sono
contrarissimo, ma proprio tanto, a mettere materiale crittografico
su una smartcard. Questa potrebbe essere eliminata, persa, smagnetizzata. 
E se tu avessi cifrato qualcosa con la chiave che era dentro la 
carta? Che fai? Rifai tutti gli esami, ricrei tutti i documenti?
Non esiste che ne abbia ``una copia''. Avere una copia di una chiave e' 
proprio contrario alla definizione di chiave privata. Se ne esiste una
copia, il possessore della copia e' me. Ovvero, per il servizio che 
deve autenticare la chiave, non ci sono differenze fra me e lui. 


 
http://www.regione.toscana.it/cartasanitaria
il CNS è parallelo al progetto di CIE, per fortuna sono almeno 
elettronicamente compatibili ...mica è poco in questo paese :-)
In ogni caso è un buon affare per Actalis e Finsiel :-D
Sarebbe stato così difficile pensare la gestione direttamente da parte 
del CNIPA di una CA pubblica a cui facevano riferimento le CIE ...e pure 
saltare la fase CNS accelerando l'emissione delle CIE dotando i comuni 
dell'apposita tecnologia ...che poi mi viene da ridere visto che è una 
banale stampante per badge e un lettore di chipcard da 15 euro.


 
siamo in itaGlia, hai voglia a definire gli standard CNIPA, tanto qui 
ognuno poi fa come cazzo gli pare nel riconoscere o meno i certificati. :-D
In ogni caso le PEC dovrebbero tranquillamente scambiarsi messaggi tra 
loro e riconoscere i certificati se la CA è nell'elenco CNIPA. Forse la 
tua PEC è già idonea per le comunicazioni ai ministeri o INPS anche se 
nessuno te lo ha detto.


 deve autenticare la chiave, non ci sono differenze fra me e lui. 
infatti dovrebbe essere impossibile fare una copia o far uscire dal 
token la chiave. Poi in realtà nessun algoritmo criptografico è 
inattaccabile, è solo ragionevole ritenere che attaccarlo con l'attuale 
tecnologia richieda un tempo sufficientemente lungo (l'ultima volta ho 
sentito parlare di 12 anni per RSA in uso)da rendere inutile 
l'informazione che se ne ricava ....non a caso i dispositivi di firma 
digitale scadono.


 pubblica che lo hai firmato proprio te.
Sisis, avoglia, per l'integrita'! Ma non per la confidenzialita', che ti 
ripeto, e' spesso richiesta. Confidentiality of data in transit: 
questo lo fanno le chiavi de sistemi. Confidentiality of data in rest, 
questo non e' chiaro. 
E comunque: MAI fidarsi delle CRL.


 E comunque: MAI fidarsi delle CRL.
neppure dell'ufficilae d'anagrafe che ha tutti i tuoi dati, o del 
bancario che accede al tuo cartoncino e lo può riprodurre ....è ovvio 
che tutti i sistemi possono subire delle forzature e che l'omissione di 
verifiche nelle varie fasi può creare problemi, ma c'è un livello di 
sicurezza proporzionato allo scopo che permette l'accettazione di un 
ragionevole rischio.


 ragionevole rischio.
Si, infatti. Pero' la CRL e' il male, perche' e' comunque qualcosa
di asincrono (non e' pensabile cercare di scaricare una delta CRL
per ogni uso di un certificato). OCSP o XKMS possono aiutare, 
ma richiedono comunque una connessione a internet. 


 anche se nessuno te lo ha detto.
Se non ho capito male, l'hanno attivata, ma leggevo di casi dove non era 
possibile...
-- 
C'entra il senso dello Stato, il primato delle regole, la limpidezza 
della democrazia. Abbasso la mignottocrazia, viva la Repubblica. (P. 
Guzzanti sui rapporti tra Carfagna e Berlusconi, 3.11.08 ROL)