Newsgroup: it.lavoro.informatica
Titolo: INFO Autenticazione SMARTCARD

Ciao
So di essere un po' off-topic...
Ma in fondo questo news qunado mai non lo č???
Per una volta ne approfitto anche io e chiedo...
Per il decreto N.196 vorrei implementare il logon, EFS, VPN e la firma 
elettronica tramite smart card.
Ho recuperato dall'armadio un lettore Athena ase III compatibile con la CA 
di Microsoft e vorrei sapere se qualcuno conosce altre valide soluzioni del 
genere...
Ho regolarmente abilitato lo smartcard logon ma non sono certo che sia 
possibile integrare sulla stessa carta anche il certificato per la firma 
digitale delle Poste... inoltre vorrei utilizzare la carta anche per il 
controllo accessi e l'apertura della porta di ingresso...
Conoscete ditte che si interfacciano con smart card standard (non RFID) per 
le timbrature, gli accessi e possibilmente il sistema di allarme?
 So bene che implementare una CA in sede č complesso ma non ho problemi 
nell'implementare una root CA off-line e una macchina dedicata per la 
issuing CA (+ eventuali intermediate)  perchč credo molto nelle Virtual 
Machine in produzione con un basso numero di utenti ed un server ben 
carrozzato...
Gli unici costi da sostenere restano quindi il lettore e le carte.
Qualche suggerimento/opinione?
L'esigenza di razionalizzare gli accessi č molto sentita.
Mattia
Perito informatico
MCSE

 elettronica tramite smart card.
mi spieghi il nesso tra il "decreto" e le 4 esigenze/tecnologie/soluzioni
da te citate?

 da te citate?
Si ho concentrato un po' troppo....
Io lavoro in un comune...
Per il decreto occorre adottare rigide politiche per le password...
Gli utenti hanno difficoltà a cambiarla spesso sopratutto perchè (e chi non 
lavora con il pubblico difficilmente potrà averne un'idea) noi usiamo 
un'infinità di applicativi con un'infinità di profili e di password diverse.
Senza contare che dovrei sincronizzare la password con un server linux...(so 
che si potrebbe fare in automatico ma per vari motivi che non sto a spiegare 
non posso)
Pensavo quindi di usare la smart e di legare l'account a una password 
complessa (che però gli utenti non hanno + la necessità di conoscere) per 
collegarmi a linux e alle altre risorse... per gli applicativi che non 
supportano password complesse le memorizzerei nel profilo dell'utente (per 
alcuni memorizzato sul server)
Per quanto riguarda EFS il fatto è che alcuni dati devono essere invisibili 
anche al sottoscritto....
Infine per la posta certificata, ogni PA è tenuta ad avere almeno una 
casella di PEC.
Volevo consolidare tutte queste esigenze con le tecnologie indicate e l'uso 
di una singola smartcard per semplificare la vita agli utenti
Mattia
Perito informatico
MCSE

 Qualche suggerimento/opinione?
Se vuoi ti metto in contatto con una certification autority e ti fanno
tutto loro, credo che ti configurino anche il server.

 controllo accessi e l'apertura della porta di ingresso...
[...]
Non mi sembra molto saggio per la sicurezza... se un tuo utente perde
una carta, che succede? devi cambiare tutto, gli accessi, il logon di
Windows e le firme digitali per le Poste :-((((
Cordiali saluti
-- 
Marco Ermini
Dubium sapientiae initium. (Descartes)
root@human # mount -t life -o ro /dev/dna /genetic/research
http://www.markoer.org/
 - 
https://www.linkedin.com/in/marcoermini

 E i certificati che deve rilasciare una certification autority.
Se uso la CA di Win2003 non ci sono costi...
Lo smart card logon già funziona, presto proverò anche EFS e VPN; ovviamente 
per la PEC non posso usare la mia Ca perchè non sarebbe trustata da 
nessuno...
Pensavo si potesse aggiungere il certificato a quelli presenti sulla mia 
smart card di cui io sono l'amministratore...


 Windows e le firme digitali per le Poste :-((((
Basta revocare i certificati... e nel frattempo un ipotetico ritrovatore 
dovrebbe beccare un pin a 8 cifri in meno di 8 tentativi: poi la carta si 
butta. (come x i celllulari)
Difficili da copiare... (rispetto alle attuali chiavi di ingresso)
Per la PEC ovviamente è un problema ma è difficile che uno lasci in giro o 
perda il badge se gli serve per timbrare e per entare in ufficio!!! O 
perlomeno me ne accorgo subito subito...
bho a me non dispiace come idea... ma ho chiesto opinioni apposta...
Mattia
Perito informatico
MCSE 

>tutto loro, credo che ti configurino anche il server.
Grazie...
Ma io preferisco fare tutto da me!!! =)
Sono un tipo geloso della mia "creatura"! Finche non cambio posto di lavoro 
non la tocca nessuno!!! =)
Le uniche configurazioni informatiche che lascio fare ad altri sono relative 
a un applicativo su base Domino su un server dedicato e qualche procedura 
proprietaria su un vecchio server linux...
Però se conosci ditte che si occupino di accesso condizionato e che vogliano 
aiutarmi nell'implementazione... magari contestualmente all'acquisto dell'HW 
necessario...
Mattia
Perito informatico
MCSE 

 non la tocca nessuno!!! =)
questo, consentimi, è un atteggiamento un po' irresponsabile da parte 
tua ma soprattuto da chi te lo lascia fare: mai nessuna operazione 
critica dovrebbe essere nelle mani di un unica persona, per mille motivi.
Ciao,
x

 dovrebbe essere nelle mani di un unica persona, per mille motivi.
Certo ma se sei l'unico informatico tra 40 dipendenti e nessuno di questi 
può occuparsi del CED...
Dovrei fare implementare il sistema a consulenti esterni  e chiamarli per 
ogni variazione? (ossia molto spesso in una realtà in cui vengono rilasciati 
anche 3 o 4 aggiornamenti per singolo SW in un mese)
Tanto vale che faccia tutto da solo secondo i best practice e documentando 
bene...
Poi se me ne andassi troveranno qualcun'altro in grado di leggere la 
documentazione... e se non lo trovassero chiamerebbero il consulente o la 
ditta da 700 euro al dì ma per il momento si risparmia.
Quanto costerebbe in consulenza appoggiarsi ad una ditta per il sistema che 
ho in mente?
Senza contare i 4 server già implementati, DHCP, IIS , Exchange, RADIUS x 
WiFi e cablato, Virtual Machine, sito internet e intranet...
Purtroppo è il problema delle piccole realtà: un CED è poco, ma 2 sono 
troppi.
IMHO
Mattia
Perito informatico
MCSE

 ho in mente?
Quei fornitori fanno pagare un tot a carta contenente la firma digitale
e poi ti danno il manualino e un piccolo aiuto per configurare active
directory per il logcon la carta.
Se vuoi farlo tutto da solo.. se non mi sbaglio non è complicato ma
diventa usa semplice chiave per accedere al computer aziendale.
In tal caso monti il lettore, scrivi il certificato sulla chiave e
configuri active directory.. dovresti trovare diversi tutorial in rete.
Se vuoi farlo più carino ci sono dei dongle usb che contengono il
certificato... mooolto melgio delle smart card per le quali devi
comprare un lettore apposito.

Se vuoi farlo più carino ci sono dei dongle usb che contengono il
certificato... mooolto melgio delle smart card per le quali devi
comprare un lettore apposito.
Si sono interessanti... se non faccio l'apertura della porta e la timbratura 
probabilmente userò questi, ne ho un paio di prova che mi hanno regalato a 
Cisco Expo ma non ho ancora avuto tempo di testarli bene...
Ho anche il token con il numero che cambia (non RSA, una marca che ora mi 
sfugge) ma ha un costo troppo elevato per le mie esigenze.
Grazie
Mattia 

 troppi.
ho letto in post precedenti che avete un server dominio, tieni presente 
che con quello hai già tutta l'infrastruttura per farti in casa CA, 
certificati,  firme elettroniche ed autenticazione su smart-card
bye.
x