Newsgroup: it.comp.sicurezza.pgp
Titolo: Legge e firme: riassunto.

Ciao a tutti,
Innanzitutto voglio ringraziare Romano Oneda per averci dato
l'indirizzo: 
http://www.interlex.com/
Ci si puo' trovare alcune cose molto interessanti.
La prima e' che si parla esplicitamente di crittografia e di firma di
documenti informatici ad opera di strumenti di cifratura a chiave
assimmetrica (tipo PGP).
La seconda cosa interessante e' che nel:
"Regolamento contenente i criteri e le modalita' di applicazione
dell'articolo 15, comma 2, della legge 15 marzo 1997, n. 59 in materia
di formazione, archiviazione e trasmissione di documenti con strumenti
informatici e telematici"
si da, nell'articolo 4, valenza legale (come forma scritta) ad un
documento firmato con un sistema a chiave assimmetrica.
nell'articolo 5 si dice che un documento cosi' firmato ha efficacia di
scrittura privata ed ha efficacia probatoria.
articolo 7:
1. Il titolare della coppia di chiavi asimmetriche puo' ottenere il 
deposito in forma segreta della chiave privata presso un notaio o altro
pubblico depositario autorizzato.
2. La chiave privata di cui si richiede il deposito puo' essere 
registrata su qualsiasi tipo di supporto idoneo a cura del depositante e
dev'essere consegnata racchiusa in un involucro sigillato in modo che le
informazioni non possano essere lette, conosciute od estratte senza 
rotture od alterazioni.
Articolo 11:
1. I contratti stipulati con strumenti informatici o per via telematica
mediante l'uso della firma digitale secondo le disposizioni del presente
regolamento sono validi e rilevanti a tutti gli effetti di legge.
----------------------------
OK, il resto ve lo leggete :-)
Siamo solo all'inizio e non si fa cenno ai documenti crittografati ma
solo firmati.... inoltre non e' ben chiaro (a me, si intende!) come fare
a dare piena validita' ad una firma: non mi piace l'idea di dover dar ad
un notaio la mia chiave privata....
Chi di voi ha voglia di leggersi queste leggi?
Ciao-
-- 
Paolo Sasso  _\\|//_  Lunga vita e prosperita'
            (' O-O ')
Student at the Department of Computer Science
of Turin, Italy   ----  e-mail:  
s...@kagi.com

Ciao-
	Io ho letto l'Art 1 e mi sono fermato. Perchč ?
Perchč tale regolamento riguarda solo le Amministrazioni dello Stato,
anche autonome, e gli enti pubblici economici. Tra l'altro non
riguarda il rapporto con i clienti, ma solo la progettazione e
sviluppo di sistemi informatici interni alla Amministrazione dello
Stato.
	Ho letto male ?
			ave
Spartaco
Slaves' Legion
spar...@mailcity.com

       Ho letto male ?
????
forse parliamo di 2 cose diverse.
Vai qui':
http://www.interlex.com/testi/dpr3.htm
Nell'articolo 1 s parla solo di definizioni.
Mi sembra che per la prima volta (per modo di dire) si parla di pubblico
e privato con una sola legge comune.....


un notaio la mia chiave privata....
per avere maggiori risposte alle nostre domande dobbiamo aspettare che
venga emanato il regolamento di attuazione a tale decreto (da emanarsi
entro 180 gg. dalla pubblicazione di questo), comunque è possibile
avere una idea seppure approssimativa di quanto prevederà leggendo la
vecchia proposta dell'AIPA (
http://www.aipa.it/notaria/ridotto.htm
)
nella quale si precisa che è possibile anche l'invio di messaggi
cifrati e intellegili al solo destinatario (art 4)
la cosa strana (tra le altre) e immediatamente contestata sia da
Cert-It (
http://idea.sec.dsi.unimi.it/maincert-italy.html
) che da
Alcei (
http://www.eff.org/pub/Groups/EF-Italy/about.efit
) è la
responsabilità "PENALE" dei detentori delle chiavi in caso di incuria
nella loro conservazione (art. 6)
per il problema della validità sei andato molto vicino alle previsioni
del governo (almeno in quella proposta) dato che l'organo (uno dei
tanti previsti) preposto alla generazione (a pagamento) delle chiavi è
anche custode delle stesse (art. 11 e seguenti)
NB: il sistema di firma elettronica sarà utilizzato anche per la
compilazione delle scritture contabili attraverso l'uso di supporti
non riscrivibili preventivamente firmati da appositi organi
governativi (art. 15 dell'attuale regolamento)
my fingerprint:
FFAD 9689 E6AD F356 E5F1  870C A4AF 4375 DF08 8536
commy
Francesco Catalano
       E-Mail: 
fran...@nigma.it
 
co...@freenet.hut.fi

a dare piena validita' ad una firma
La procedura di certificazione ad opera di una CA (Certification
Authority, detta "certificatore" nel testo del decreto), prevista
dall'Art.8, garantisce la paternita' della CPu e quindi rende le firme
digitali credibili quanto la CA stessa.
Ricordo che per certificazione si intende (Art.1, c.1) "il risultato
della procedura informatica, applicata alla chiave pubblica e
rilevabile dai sistemi di validazione, mediante la quale si garantisce
la corrispondenza biunivoca tra chiave pubblica e soggetto titolare
cui essa appartiene, si identifica quest'ultimo e si attesta il
periodo di validità della predetta chiave ed il termine di scadenza
del relativo certificato, in ogni caso non superiore a tre anni".
Traduzione: l'apposizione della firma digitale della CA sulla CPu
dell'utente; la CPu cosi' firmata viene poi pubblicata (tutti
meccanismi che PGP prevede).
Ovviamente la CA si assume la responsabilita' di identificare in
maniera certa l'utente di cui certifica la CPu.  In termini pratici mi
pare che questo implica che l'utente si presenti di persona alla CA
con idoneo documento di identita' e gli consegni la CPu per ottenere
la stessa firmata.
----------------------------------------------------------------------
Marco Coletti
Network Administrator, Webmaster, Computer Consultant
PGP public key:
http://keys.pgp.com:11371/pks/lookup?op=get&exact=on&search=0x96A79061
finger://
mail.eurofin.it/marco.coletti
Fingerprint: 9F E5 80 61 F6 9F 05 2D  EA 53 6F 2D 82 8B C7 C2
----------------------------------------------------------------------

estensori del decreto.
	A tale proposito, posso citare dalla "Relazione allo schema di
decreto del Presidente della Repubblica recante 'Regolamento
concernente i criteri e le modalità di applicazione dell'art.15, comma
2, della legge 15 marzo 1997, n.59, in materia di formazione,
archiviazione e trasmissione di documenti con strumenti informatici o
telematici' " , presentata alla competente Commissione del Senato :
	" L'articolo 7 disciplina il caso particolare in cui il
titolare della coppia di chiavi ritenga necessario ottenere il
deposito in forma segreta della chiave privata, utilizzata per firmare
i documenti informatici.
	Il possesso di questa chiave, nel sistema a chiavi
asimmetriche utilizzato per la firma e la cifratura dei documenti
informatici, consente di apporre la sottoscrizione sul documento
trasmesso per via telematica o di decifrare il documento
preventivamente codificato con la corrispondente chiave pubblica.
	In casi particolari, la perdita del possesso della chiave
privata (  o la perdita dell'informazione di accesso all'uso della
chiave, anche per mera dimenticanza ) può determinare un serio
inconveniente per i soggetti che impiegano in modo sistematico ed
intenso, in particolare per attività commerciali, la firma digitale.
	La possibilità di depositare la chiave privata in forma
segreta costituisce, dunque, un possibile rimedio per il recupero di
informazioni ... "
	Viene così confermata l'ipotesi sopra avanzata	.
		Cordialmente,
				romano


Si ma allora devo depositare anche la password.
E chi mi garantisce che non venga letta, vado ogni due giorni dal
notaio a controllare che il pacchettino sigillato non venga aperto ?
Forse potrei criptare la password contenuta in un file di testo con
una ulteriore chiave segreta ?
Secondo me bisogna aspettare per vedere come si evolveranno le cose, e
come lo stato intende utilizzare e far utilizzare questi strumenti,
anche se non nutro grande fiducia.
-----------------------------------------------------------------------
Il tempo sarà il nostro unico giudice.
-----------------------------------------------------------------------


informazioni ... "
Non c'e' coerenza in questa motivazione.
Se lo scopo del deposito e' semplicemente quello di fungere da
"back-up" nel caso di smarrimento della CPr, allora perche' c'e'
bisogno del notaio?  Il proprietario della CPr potrebbe semplicemente
depositarne una copia in un luogo qualunque (o meglio, vari luoghi,
allo scopo di minimizzare i rischi di incendio e simili) per
cautelarsi altrettanto efficacemente; in ogni caso le varie copie
della CPr rimangono inaccessibili a chi non conosce la pass-phrase
(cioe' tutti tranne il proprietario).
Se invece si intende cautelarsi anche contro il rischio di dimenticare
la pass-phrase, allora essa deve essere necessariamente depositata
assieme alla CPr... e questo in effetti spiegherebbe il ruolo del
notaio: garantire che alla CPr e alla pass-phrase depositate possa
accedere solo il proprietario opportunamente identificato.
Comunque, mille grazie per la tua citazione.


una ulteriore chiave segreta ?
Certamente no... non si farebbe altro che trasferire la patata
bollente da una password all'altra...


bollente da una password all'altra...
lo so !! :-)
Era solo una provocazione benevola, dovuta alla mia scarsa fiducia per
il lavoro che il governo sta svolgendo al riguardo, poichè sembrerebbe
dalla evoluzione della legge che stiano maneggiando una bomba a mano
senza sapere da quale parte si tira la liguetta della sicura. Il fatto
stesso che mentre nella prima proposta di legge (vedi AIPA) era
previsto uno schema completo del funzionamento del sistema mentre
nell'attuale regolamento applicativo si temporeggia demandando ad un
ulteriore regolamento da emettersi entro 180 gg. denota una non
pereftta conoscenza del problema, ma almeno dimostrano che forse
vogliono pensarci bene prima di dire str§°#çte.


vogliono pensarci bene prima di dire str§°#çte.
Ma tutto sommato il regolamento emanato e' piuttosto preciso e ha uno
stile quasi tecnico, contrariamente allo stile piuttosto "umanistico"
che denotava precedenti leggi e regolamenti vertenti su materie
tecniche.
<POLEMICA>
Immagino che questo sia dovuto a uno sciame di consulenti
raccomandsuperpagati, che ha impiegato qualche mese a produrre uno
schema di decreto che potrebbe essere stato prodotto in un paio di
settimane, con un quarto del compenso, da molti di quelli che
partecipano a questo NG.
</POLEMICA>



	Prego, e, visto l'interesse che il gruppo sta mostrando per
l'argomento, vedrò di postare, non appena ne sarò in possesso, qualche
interessante anticipazione sull'attesissimo Regolamento tecnico, a cui
l'apposita Commissione sta già lavorando e che potrebbe vedere la
luce, stando a quanto affermato dal Presidente dell'AIPA prof. Rey
nella conferenza stampa di presentazione del D.P.R. sulla firma
digitale ( 25 nov. u.s. ), anche prima dei 180 giorni prescritti.
	Ciao, 
		romano


che è esattamente la pass di cui parli.
Io personalmente sarei poco propenso a depositare la mia CPr in chiaro
presso un terzo, fosse pure un notaio, dato che non vi e' alcun
parametro biometrico che stabilisca la corrispondenza tra CPr e
persona fisica, per cui chiunque entri in possesso della mia CPr puo'
simulare perfettamente la mia identita' e, cosa forse piu' grave,
avere accesso a dati crittati per me.


esistano ancora paesi in cui esse sono riconosciute per legge.
considera che fra i testi che mi sono capitati per le mani e che si
ponevano il problema della validità giuridica dei documenti
elettronici quello che ho davanti hai miei occhi risale al 1988 (ben 9
anni fa) e affronta il problema con un approccio sensato, perchè c'è
da dire che negli ultimi tempi mi è capitato di leggere altri libri
sull'argomento e con orientamento prettamente giuridico dai quali si
poteva giungere alla conclusione che esistono molti studiosi di
diritto che non hanno minimamente idea delle potenzialità di un
computer .... ma questo è tutto un altro discorso
comunque per il resto posso darti ragione sicuramente quelli che
stanno lavorando ha questo sarannno dei superraccomandati e purtroppo
non solo ma saranno ben pilotati da chi sa quale potere
la nostra missione sarà la seguente:
	informarci
	studiare il sistema
	scoprire gli inganni nascosti
	divulgarli
	e studiare il modo per aggirarli
~~ chi ha tempo non perda tempo ~~


avere accesso a dati crittati per me.
Mi sembra che il governo si sia riservata la possibilità di introdurre
sistemi crittografici che prevedano dei parametri biometrici nella
detrminazione delle chiavi.
Per la possibilità che altri utilizzino le altrui chiavi private è
previsto nella prima proposta dell'Aipa il ricoso a procedimenti
penali (mi sembra con un minimo di tre anni di reclusione) e vi diro
di più la procedura in questione si attiverebbe anche nei confronti
dell'effettivo titolare per incauta gestione delle chiavi.
Questa parte della proposta ha suscitato enormi polemiche da parte del
Cert-It (
http://idea.sec.dsi.unimi.it/maincert-italy.html
) e di ALCEI
(Associazione per la Libertà' nella Comunicazione Elettronica
Interattiva 
http://www.eff.org/pub/Groups/EF-Italy/about.efit
) 
