Newsgroup: it.comp.sicurezza.crittografia
Titolo: Certificati digitali

Ciao,
qualcuno mi spiega gentilmente la differenza tra certificati di classe A
e classe B?
Grazie
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 
Riferito a quale CA? Comunque non è una questione tecnica, ma di policy.

"Pingu" <pi...@foo.bar> wrote in message
news:30RBe.73233$
h5.30...@news3.tin.it

La persona che mi ha riferito circa la possibilita' di utilizzare 
certificati di classe A e/o B non si riferiva ad alcuna CA. d\Devo 
pertanto ritenere che la sua affermazione fosse molto generica e non
legata ad alcuna particolare tecnologia.
Comunque cosa intendi per policy?
Scusa ma mi sto avvicinando da poco a questo mondo e per me molte 
cose sono nuove.
Ciao grazie.



Una CA può decidere di rilasciare i certificati secondo due (o più) 
politiche; ad esempio:
- utenti generici che mandano per fax un copia del proprio documento;
- utenti che si presentano di persona con un documento, un estratto 
dell'atto di nascita e un altro utente già registrato che garantisce (e, 
di solito, pagano di più).
Ovviamente, se dal tuo punto di vista devi decidere di fidarti dei 
certificati emessi dalla CA, la differenza è significativa; ad esempio, 
protrai accettare messaggi di posta elettronica firmati con un 
certificato del primo gruppo, ma per accettare un ordine di pagamento 
pretenderai che il certificato appartenga al secondo gruppo.
La CA, per motovi di marketing, può chiamare questi due gruppi "Classe 
A" e "Classe B", o "Classe 1" e "Classe 2", ecc... ma fino a che non si 
leggono le policy (cioè i documenti che descrivo il provesso di 
emissione dei certificati), queste categorie non significano niente.
In ogni caso, potrebbe non essere solo una questione di marketing; ad 
esempio, è possibile che la CA abbia coperture assicurative con 
massimali diversi a seconda della classe di certificato. Per cui se 
concludi un affare con qualcuno che si identifica con un certificato di 
classe non adeguata all'importo della transazione e che poi si rivela 
non affidabile a causa del comportamento della CA (ritardo nella 
pubblicazione delle CRL, identificazione del soggetto non affidabile, 
ecc...), sempre che si riesca a dimostralo, i danni potrebbero non 
essere coperti adeguatamente.
Ciao.

 Ciao.
Direi perfetto.....ora mi si comincia a chiarire il tutto. Ne approfitto
per farti alcune altre domande considerando. Durante una sessione verso
un Web Server protetto (canale cifrato con protocollo SSL) quando il 
server invia il suo certificato digitale al Client quest'ultimo come 
ne controlla la validita'? Controlla che la CA che ha emesso il 
certificato sia nella sua lista di CA trust oppure accede anche alla 
CRL della CA per verificare che il certificato non e' stato revocato? 
Qual'e' ad esempio il comportamento del Client Internet Explorer?
Grazie ancora (finche' non ti stufi io ne approfitto).
Ciao Gianluca


 
Più o meno in quest'ordine:
- si controlla che il certificato del server sia stato firmato da una CA
registrata (nel client/browser) come trusted;
- si controlla che la data corrente sia entro le date di validità del
certificato;
- si controlla che il certificato non sia in una evenutale lista di
revoca locale;
- si controlla la lista di revoca della CA.
Quest'ultimo punto dipende un po' dal client: IE ha un'opzione specifica
da abilitare (nelle proprietà avanzate), ma a dir la verità non l'ho mai
provata; in Outlook è in un punto più evidente. Per entrambi non si può
configurare nulla.
Mozilla Firefox, invece permette di scegliere anche un servizio OSCP.
Ciao.

 Mozilla Firefox, invece permette di scegliere anche un servizio OSCP.
Giunti a questo punto vorrei introdurre il discorso delle smart card in
concomitanza con l'utilizzo dei certificati digitali. A tal riguardo 
durante l'installazione di una CA, viene configurata anche la stazione
di registrazione delle smart card. Ciò consente ad un amministratore di
richiedere e
installare per conto di un utente un certificato Accesso smart card o 
Utente smart card sulla smart card dell'utente.
DOMANDA: la configurazione della stazione di registrazione e' un 
requisito da soddisfare obbligatoriamente per abilitare l'accesso utenti
ad un dominio Microsoft Windows Server 2003/ Windows 2000 basato su 
smart card?
Prima di utilizzare la stazione di registrazione delle smart card, è 
necessario che l'autorità emittente della smart card abbia ottenuto un 
certificato di autenticazione basato sul modello di certificato Agente 
di registrazione. Tale certificato di autenticazione firma la richiesta
di certificato generata per conto del destinatario della smart card. 
DOMANDA:quindi tipicamente all'utente finale la smart card viene 
consegnata gia' operativa? In altre parole la smart card e' consegnata
all'utente finale con "on board" tutto cio' che serve per l'accesso 
basato su certificati digitali?


 basato su certificati digitali?
Si può fare in entrmabe i modi: si consegna una carta vuota e l'uente la
inzializza da solo (ovviamente, quasi di certo non ci riuscirà...),
oppure la si consegna già inizializzata, al limite al momento in cui
l'utente si presenta. Tieni conto che, a differenza dei token software
(es. PKCS#12), una smartcard inizializzata dovrebbe comunque dare
fiducia all'utente, perché, in teoria e salvo bug o cattiva
progettazione, non c'è modo di estrarre la chiave privata dalla carta.
Ciao.