Newsgroup: it.lavoro.informatica
Titolo: sistemi operativi conformi "almeno alle specifiche previste dalla classe ITSEC F-C2/E2 o a quella C2 delle norme TCSEC e loro successive evoluzioni".

Circa 6 anni fa, una delle ultime volte che ho lavorato nella RI, volevamo 
usare OpenBSD o Debian come sistema operativo in un progetto di 
informatizzazione del protocollo di un ente pubblico.
Purtroppo abbiamo velocemente scoperto che si potevano usare soltanto 
sistemi operativi conformi "almeno alle specifiche previste dalla classe 
ITSEC F-C2/E2 o a quella C2 delle norme TCSEC e loro successive evoluzioni", 
per cui non abbiamo usato né OpenBSD né Debian (anzi, non abbiamo usato 
niente perché la cosa ovviamente non andò più in porto, e probabilmente 
questo ente starà oggi usando una qualche soluzione Microsoft).
All'epoca mi domandavo 
(
https://groups.google.com/group/it.lavoro.informatica/browse_frm/thread/e9baf4bd9a50db14
):
"come si può invitare espressamente le PPAA a tener conto dell'offerta sul 
mercato dei programmi informatici Open Source quando dall'altro lato le si 
limita fortemente a pochissime
distribuzioni (e nemmeno a buon mercato), e tra l'altro nemmeno le più 
generalmente considerate per quanto riguarda le problematiche inerenti la 
sicurezza?"
Immagino nel frattempo non si siano fatti molti progressi, perciò mi 
domandavo leggendo un altro thread come abbia fatto il Comune di Padova ad 
usare Debian sul 95% dei loro server 
(
http://www.ossblog.it/post/7056/pa-e-open-software-i-primi-risultati
).
Non hanno informatizzato il protocollo?
Qualcuno ha certificato Debian per i Common Criteria (l'evoluzione 
globalizzata di ITSEC e TCSEC)? Non mi pare, infatti non c'è nell'apposita 
lista (dove ci sono distribuzioni di Red Hat, SUSE, MIRACLE ed Oracle su 
svariati ferri: 
http://www.commoncriteriaportal.org/products/
).
Tra l'altro, in generale mi sembra strano che si richieda un certo livello 
di sicurezza garantito da una certificazione per un servizio, il protocollo, 
e non si richieda per altri servizi.
-- 
ale
http://ale.riolo.co.uk
 

Probabilmente tu dovevi sottostare a delle regole perché potevi trattare 
dati personali e sensibili mentre in molte attività della pubblica 
amministrazione dove non viene trattato quel tipo di dato l'uso di s.o. 
è più facilmente attuabile.
Poi, non escluderei che quelle richieste di conformità erano state messe 
proprio per non far scegliere un sistema operativo open...

 proprio per non far scegliere un sistema operativo open...
Se la certificazione in questione ITSEC  è italiana. Ma se non lo è,
che cosa c'entra?

 che cosa c'entra?
LOL, non è Italiana :)
La ITSEC fu modellata sull'esempio della CESG Britannica, che risaliva agli 
anni '80, che fu armonizzata con simili sforzi compiuti in Germania 
all'inizio degli anni 90. ITSEC fu pubblicata nel 1993, presentata come 
un'iniziativa comunitaria ma in realtà effettivamente sostenuta da 4 paesi 
(RU, Germania, Francia e Paesi Bassi). La UE riuscì comunque ad imporla, 
tant'è che nel 1998 vi fu un accordo per il reciproco riconoscimento dei 
certificati tra i quattro paesi iniziali più Finlandia, DH, i paesi 
Scandinavi, quelli Hiberici e la Svizzera. Qualcuno nella RI ad un certo 
punto si svegliò ed il CNIPA almeno in una circolare decise di adottare la 
ITSEC, e la Statunitense TCSEC per la certificazione della sicurezza dei 
sistemi operativi, almeno per quanto riguarda i protocolli informatici.
Non è dato sapere se questa circolare sia mai stata effettivamente 
implementata (cioé se qualcuno che usasse un protocollo informatico su un 
sistema non certificato sia stato, che so, sgridato :))), la RI è quel paese 
che conoscete tutti, non esiste dominio della legge, figurarsi delle 
circolari :)
Ad ogni modo, oggi ITSEC e TCSEC si sono evoluti nei CC (AKA ISO 15408), e 
sembra (
http://www.commoncriteriaportal.org/ccra/members/
) che nella RI ci 
siano 2 entità certificatrici:
Presidenza del Consiglio dei ministri
Autorità Nazionale per la Sicurezza
www: 
http://www.sicurezzanazionale.gov.it/web.nsf/pagine/autorita_nazionale_per_la_sicurezza
OCSI - Organismo di Certificazione della Sicurezza Informatica
 www: 
http://www.ocsi.isticom.it
BTW, una lettura del secondo sito non farebbe male a chi si occupa di IT 
nella RI ;)
-- 
ale
http://ale.riolo.co.uk
 

 LOL, non Italiana :)
In breve, non è una certificazione emanata da autorità/ente italiano,
ma di altri paesi.
Quindi l'illazione che sia stata fatta per non usare s.o. "open"
possiamo tranquillamente
girarla a costoro.
Se certi s.o. "open" non sono certificati con ITSEC o l'altra, sono
sicuro che vengono tranquillamente
rifiutati in gare/appalti nei paesi dove tale certificazione è nata.
Per cui....
Per una volta che qualcuno fa uno sforzo per allinearsi a standard
internazionali, apriti cielo. Bah...

 internazionali, apriti cielo. Bah...
Non ti sapevo tanto pro-governativo :p
Ad ogni modo, nella RI esistono 2 entità certificative, nessuno vieta alla 
RI di certificarsi Debian.
-- 
ale
http://ale.riolo.co.uk
 

 Immagino nel frattempo non si siano fatti molti progressi, 
  Immagini male. come una rapida ricerca può confermarti.
Ad es,:
http://www.atsec.com/us/news-common-criteria-dell-11th-generation-poweredge-red-hat-linux-185.html
atsec achieves Common Criteria Certification for Red Hat Enterprise
Linux Version 5.3 at EAL 4
2010-02-02
Austin, TX - atsec information security is pleased to announce the
successful Common Criteria Certification of Red Hat Enterprise Linux
Version 5.3 at EAL 4 (augmented for flaw remediation) with the
Controlled Access Protection Profile (CAPP). Under Common Criteria,
products are evaluated against strict standards for various features,
including security functionality, development environment, security
vulnerability handling, documentation of security-related topics, and
product testing.
  Riguardo la EAL leggo che "is a standardized security target created
by the NSA" (
http://lwn.net/Articles/57995/
).
  Ciao,
-- 
Alessandro Selli 
http://alessandro.route-add.net
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.

 rifiutati in gare/appalti nei paesi dove tale certificazione è nata.
  Veramente la Suse e la RedHat lo sono almeno da sette anni.  Sono
state certificate per conto della SUSE LINUX AG, della Oracle
Corporation, della Red Hat, della Hewlett-Packard Company, della Novell,
della Miracle Linux Corporation, della Unisys Corporation, della  IBM
corporation, della  Silicon Graphics, Inc. e della  Dell, Inc.
(fonte:
http://www.commoncriteriaportal.org/products/#OS
).


 atsec achieves Common Criteria Certification for Red Hat Enterprise
Mi sono evidentemente espresso male :)
Quello che intendevo dire è che dato che non credo si siano fatti molti 
progressi per quanto riguarda la certificazione di Debian e OpenBSD
Nella fattispecie, mi domandavo come fa il Comune di Padova ad avere il 95% 
dei propri server su Debian quando Debian non ha una certificazione CC/ISO 
15408.
Va da se che nel restante 5% potrebbe avere il sistema di protocollo su 
piattaforma certificata, ma ne dubito, ed a quel punto però mi chiederei: 
perché i sistemi di protocollo sì, ed altri sistemi che magari trattano dati 
personali e sensibili no?
E comunque, si hanno notizie di PA o privati sgridati, sculacciati o in 
altra maniera puniti per avere utilizzati sistemi operativi non certificati 
ITSEC/TCSEC/CC per ospitare i propri servizi di protocollo informatizzato?
-- 
ale
http://ale.riolo.co.uk
 

 Non ti sapevo tanto pro-governativo :p
Mi sembra assolutamente pacifico che gare di una certa importanza
richiedano certificazioni affidabili. Se avessero scelto una qualche
certificazione del Cepu italiano magari c'era da discutere un pò di
più... :-)
.

 (fonte:
http://www.commoncriteriaportal.org/products/#OS
).
Anche qui, che risposta è?  Io scrivo che sicuramente non accettano i
sistemi non certificati anche all'estero, e tu scrivi che ....... ci
sono sistemi certificati :-)))))
Il che, tra l'altro, conferma che l'open o meno non c'entra un fico
secco.

 Per cui....
E' la famosa legge del mercato secondo cui l'azienda ha tutto il diritto
di rivolgersi ad un ingegnere o ad un geometra o al primo che passa dalla
fermata dell'autobus secondo quello che piu' le aggrada, ma non ha il
diritto di scegliersi il software "non certificato" se questo "le
aggradasse" piu' del software certificato (e non puo' scegliere nemmeno
l'azienda fornitrice non abilitata)
Ciao,
Marco
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 (fonte:
http://www.commoncriteriaportal.org/products/#OS
).
Si, ma se segli un sistema "Enterprise", anche se Open, perdi il vantaggio
di non dover pagare le licenze, che probabilmente non e' cosa trascurabile
per la PA.


 internazionali, apriti cielo. Bah...
  Chi è che non si sarebbe allineato a standard internazionali?  Chi è che
farebbe aprire il cielo?
  Ciao,
-- 
Alessandro Selli, 
http://alessandro.route-add.net
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.
Chiave PGP/GPG: EC885A8B

 per la PA.
  Si, ma se quello esige la PA, quello alla PA si deve dare e quello la PA
deve pagare.  O da qualche parte si può trovare un SO certificato *e* gratuito?
  Ciao,
-- 
Alessandro Selli, 
http://alessandro.route-add.net
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.
Chiave PGP/GPG: EC885A8B

 farebbe aprire il cielo?
Insomma, mi sembra chiaro. Si fa una gara, si mette un vincolo con
riferimento ad una normativa internazionale, e pure questo non va
bene. Tanto valeva che dicessero: vogliamo solo il sistema xxx, così
almeno la critica era fondata :-)

 deve pagare.  O da qualche parte si può trovare un SO certificato *e*
gratuito?
Non credo, ma il problema e' lo stesso del "laureato" vs "non laureato".
E' assolutamente vero che il non laureato puo' valere piu' del laureato,
ma allo stesso modo, il software "non certificato" potrebbe valere come
quello certificato.
Se esigi il certificato non stai migliorando la concorrenza.
Ciao,
Marco.
