Newsgroup: it.comp.sicurezza.pgp
Titolo: Iniziare ad utilizzare la firma elettronica.

 Grazie.
Secondo me per iniziare a capire un po come funziona, ti conviene
installare
la ver 602i del PGP, ti crei le chiavi, fai la stessa cosa per qualcun
altro, e poi fai delle
simulazioni. Vedrai che la firma elettronica col PGP funziona e funziona
bene!
Cioè lascia il messaggio in chiaro, cioè leggibile a tutti, ma se
qualcuno tenta di alterarlo,
nel suo interno, il documento non è più verificabile e autenticabile.
quindi significa che qualcuno ha cercato di modificarlo, non solo ma la
firma del PGP
attesta che solo quella persona ha potuto firmare quel documento! (o
quel file!)
Dal punto di vista legale, il pgp non è riconosciuto in Italia! Però
ritengo che se ti dovesse
capitare qualche casino, il Giudice senz'altro farà nominare un perito
in informatica, il
quale attesterà che la firma elettronica del PGP è SICURA???????
Agli esperti di questo NG la risposta!
Andrea Casarini


Ho gia' provato per conto mio PGP e ho visto come funziona.
Il problema e' che non e' accettato dalla normativa italiana non posso
proporre il suo utilizzo all'interno del Comune per il quale lavoro.

proporre il suo utilizzo all'interno del Comune per il quale lavoro.
Be, pero' per quanto mi ricordo di dir amministrativo non e' neanche
vietato! Perche' dici che non lo puoi proporre in comune? E' ovvio che
se lo vuoi usare per atti amministrativi, allora devi aspettare che
qualche santo in parlamento proponga la legge, altrimenti per tutti
gli altri usi credo che potrebbe andare bene, solo che in caso di
problemi ci sara' una verifica a posteriori della validita'. O no?
Ciao,
Duccio.

Duccio.
-- 
per rispondere togli <toglimi> dall'indirizzo di posta. 

 comunicazioni di ferie, malattie, permessi, ecc. ecc.?
Credo che su certe cose non ci sai troppo da formalizzarsi: ricordo una
circolare passata al Pirellone (Consiglio Regionale della Lombardia) dove si
diceva che anche per firmare le circolari interne non si poteva usare il
timbro\firma: naturalmete la circolare era firmata con il timbro\firma (il
paradosso di Zenone e' uno scherzo al confronto).
Btw per quanto ne so per questo tipo di documenti e' plausibile l'uso di
pgp, proprio perche' non sono atti pubblici.
Comunque mi informo presso fonti piu' autorevoli e ti so dire.

 Grazie, molto gentile, attendo con ansia.
Dopo una serie di indagini presso persone molto competenti in materia posso
formulare un'ipotesi abbastanza concreta.
Dunqe e' possibile utilizzare pgp e i documenti elettronici per quanto
riguarda i documenti interni, fino a quando questoi non costituiscono un
atto pubblico che abbia bisogno di una firma autenticata.
In altri termini quando tu mandi una circolare interna o fai una richiesta
di ferie non sei tenuto ad autenticare la firma apposta sul documento: in
questi casi tu puoi utilizzare, adeguandole, le normative vigenti.
in pratica tutto il problema e' costituito dal fatto che oggi in Italia non
esiste ancora un autorita' per la certificazione delle chiavi ne', tanto
meno, e' stato individuato il metodo di generazione delle chiavi (hardware).
Allora tu puoi comportarti in questo modo:
alla presenza del segretario comunale (o ufficiale di anagrafe o similare)
ogni utenete genera la sua coppia di chiavi (e.g. su un dischetto) e poi
consegna la propria chiave pubblica al segretario comunale (o chi per lui),
che a sua volta consegna la propria all'utente.
Il segretario comunale (o chi per lui) funge da  autorita' per la
certificazione interna delle chiavi pubbliche: in pratica, ricevendo di
persona la chiave pubblica non fa altro che firmarla (certificandone dunque
l'autenticita') e metterla disposizione di tutti utenti.
In questo modo chiunque puo' verificare la firma di un documento elettronico
essendo certo che la chiave pubblica, se e' firmata dal seg. com. (o chi per
lui), e' autentica.
E' importante che la generazione e lo scambio delle chiavi avvenga con
unita' di tempo e spazio rispetto all'autorita' (il nostro seg. com. o chi
per lui) e non via rete: questo permette di 'certificare' l'appartenenza
delle chiavi.
In questo modo se un dipendente dovesse perdere la sua chiave e' sufficiente
che il seg. com. (o chi per lui) revochi la sua firma dalla chiave presente
nell'elenco pubblico e ripeta la procedura di creazione della chiave.
La chiave del 
seg.com
. (o.. va bene avete capito) e' l'unico punto di
debolezza del sistema e deve tassativamente essere custodita gelosamente
(perderla significa dover rifirmare tutte le chiavi pubbliche dei
dipendenti...
Per quanto riguarda i riferimenti di legge puoi rifarti alla Bassanini e
relativi (se non ricordo male trovi tutto in legge n 59 del 15/3/97) e alle
norme tecniche (vedi 
www.aipa.it
).
Nella legge si parla della famigerata autorita' di certificazione che deve
essere costituita e per esserlo deve avere certe caratteristiche (spa, 12
miliardi cdi capitale, etc.): pero' si dice anche che questo riguarda gli
atti pubblici... dunque non gli atti interni di una azienda e/o una
amministrazione, ma solo ed esclusivamente gli atti pubblici.
Dunque attenendoti alla legge per quanto riguarda tipologia e lunghezza
delle chiavi puoi tranquillamente ritenere il tuo sistema di autenticazione
della firma coem valido per tutto quanto enon costituisce atto pubblico.
Spero di essere stato sufficientemente chiaro... se hai domande o dubbi sono
a disposizione.
Ciao
Al