Newsgroup: it.lavoro.informatica
Titolo: I sistemi operativi utilizzabili nei sistemi di protocollo informatico delle PP.AA.

Il comma 6 dell'articolo 7 del DPCM del 31 ottobre 2000 ("Regole 
tecniche per il protocollo informatico di cui al DPR 20 ottobre 1998, n. 
428") stabilisce che il CNIPA (ex AIPA) compili e mantenga aggiornata 
una lista dei sistemi operativi disponibili commercialmente che 
soddisfino i requisiti minimi di sicurezza. Il CNIPA (all'epoca ancora 
AIPA) si è preoccupato della cosa tramite la Circolare del 21 giugno 
2001, n. AIPA/CR/31, con la quale si stabilisce che i fornitori di 
sistemi di protocollo informatico debbano esplicitamente dichiarare 
soddisfatti i requisiti minimi di sicurezza anche per quanto attiene 
alla configurazione del sistema operativo per la specifica applicazione, 
e che questi requisiti minimi siano quelli che permettono la conformità 
alle specifiche previste dalla classe F-C2/E2 delle norme ITSEC o da 
quella C2 delle norme TCSEC (entrambe le norme oggi in pratica obsolete 
e sostituite dai Common Criteria for Information Security Evaluation, 
per la quale la classe equivalente alla C2/E2 delle norme precedenti è 
la EAL3).
La suddetta circolare afferma tra l'altro, con una certa nonchalanche (i 
fornitori delle soluzioni dovrebbero mettersi a certificare i loro 
prodotti tramite i Common Criteria, ad un quarto di milione di Euro a 
tentativo?), che il fornitore del sistema di protocollo informatico 
dovrà _esplicitamente_ dichiarare soddisfatti i requisiti minimi di 
sicurezza anche per quanto attiene alla configurazione del sistema 
operativo per la specifica applicazione.
Ho fatto una veloce ricerca in merito, e da quanto ne ho potuto trovare 
finora soltanto tre distribuzioni Linux (una della SuSE e due della Red 
Hat) su server IBM ed HP si sono certificate (grazie principalmente alla 
sponsorizzazione ed all'impegno di IBM, a cui si è accodata recentemente 
HP), ed ho anche letto in una pubblicazione del CNIPA (su 
http://www.cnipa.gov.it/site/_contentfiles/00138700/138730_News10-11_01.pdf
, a 
pagina 3, paragrafo I Requisiti di Sicurezza), anche se ammetto 
candidamente di non ho verificato la normativa in merito, che afferme 
che "Questa soluzione tecnica ricalca la stessa utilizzata per la firma 
digitale; infatti, una classe di sistemi operativi commerciali adatti a 
ospitare sistemi di certificazione per firma digitale, a maggior ragione 
viene ritenuta adatta per sistemi di protocollo informatico."
Considerazione personale: sono un utente OpenBSD da qualche anno, e 
mentre reputo piuttosto peregrina l'opzione che prima o poi qualcuno 
possa sponsorizzare OpenBSD per fargli ottenere una delle certificazioni 
richieste dalla Circolare AIPA/CR/31, ritengo personalmente di non aver 
visto finora altri sistemi operativi general purpose in cui la sicurezza 
in tutti i suoi aspetti sia stata implementata così bene e così 
profondamente sin dalla progettazione, per cui mi rammarico sinceramente 
che il regolamentatore abbia in pratica impedito l'utilizzo dello stesso 
sistema operativo, almeno a termini di legge, e ritengo che in ogni caso 
la cosa contrasti con quanto espresso nella Direttiva che il Ministero 
per l'Innovazione e le Tecnologie ha emanato il 18 Dicembre 2003 
(pubblicata sulla G.U. n. 31 del 7 febbraio 2004) in materia di sviluppo 
ed utilizzo dei programmi informatici da parte delle Pubbliche 
Amministrazioni; come si può invitare espressamente le PPAA a tener 
conto dell'offerta sul mercato dei programmi informatici Open Source 
quando dall'altro lato le si limita fortemente a pochissime 
distribuzioni (e nemmeno a buon mercato), e tra l'altro nemmeno le più 
generalmente considerate per quanto riguarda le problematiche inerenti 
la sicurezza?
Tanto per essere chiari, segue la lista (mese di certificazione, nazione 
del certificatore e prodotto certificato) dei sistemi operativi 
certificati ad oggi secondo i Common Criteria for Information Security 
Evaluation (quelli "buoni" sono quelli con certificazione EAL3 o 
superiore):
EAL 4 Augmented ALC_FLR.3
Mar 2004, USA, DigitalNet XTS-400 / STOP 6.0.E
EAL 4 Augmented ALC_FLR.2
Nov 1999, GER, Bull & IBM, B1/EST-X, V2.0.1 with AIX, V 4.3
EAL 4 Augmented ALC_FLR.1
Apr 2002, GER, IBM AIX 5L for Power V5.2, Program Number 5765-E62
Oct 2002, USA, Microsoft Windows 2000 Professional, Server, and Advanced 
Server with SP3 and Q326886
Dec 2003, UK, Sun Microsystems Trusted Solaris, v 8 4/01 (Maintenance 
Release Dec 2003)
Aug 2004, USA, Cray UNICOS/mp Operating SystemVersion 2.4.15 on Cray X1 
hardware
EAL 4
Nov 2000, UK, Sun Microsystems Solaris Version 8 with AdminSuite v3.0.1
Sep 2001, UK, Hewlett-Packard HP-UX (11i) Version 11.11
Jun 2002, UK, Sun Microsystems Trusted Solaris, v 8 4/01
Apr 2003, UK, Sun Microsystems Solaris 8 2/02
Jul 2003, UK, NOKIA IPSO 3.5 and 3.5.1
EAL 3+
Jan 2004, GER, SuSE Linux Enterprise Server V8, Service Pack 3, RC4 
(BSI-DSZ-CC-0234-2004)
EAL 3
Apr 2002, USA, SGI IRIX v 6.5.13, with patches 4354, 4451, 4452
May 2002, USA, SGI Trusted IRIX/CMW v 6.5.13, with patches 4354, 4451, 
4452, 4373, 4473
EAL 2 Augmented ALC_FLR.1
Feb 2002, GER, SuSE Linux Enterprise Server V8 (BSI-DSZ-CC-0216-2003)
EAL 2
Feb 2004, UK, Red Hat Enterprise Linux 3
EAL 1
Feb 2004, UK, Hewlett Packard Tru64 UNIX V5.1A
Come si può vedere, oltre ad OpenBSD, Debian, Slackware e quant'altri, 
mancano anche Microsoft Windows XP P e Microsoft Windows 2003 (ed anche 
Microsoft Windows 2000 SP4).
-- 
ale
http://www.sen.it
rara temporum felicitate, ubi sentire
quae velis, et quae sentias dicere, licet 

 Microsoft Windows 2000 SP4).
Tornando a Francesca, mi domando : la scuola e' una PA ?
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Tornando a Francesca, mi domando : la scuola e' una PA ?
medie inferiori, dunque non e' detto ma molto probabile.
-- 
FabMind
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 la sicurezza?
hai ragione. mi sono posto la stessa domanda qualche giorno fa.
magari non tene frega niente, ma volevo farti sapere che ho letto il tuo 
post. magari ti fa piacere :)


Un sistema formato da Windows 2003 Server + Microsoft Sql Server 2000 con
Sp3a ha qualche speranza in merito?
Ungi

Tornando a Francesca, mi domando : la scuola e' una PA ?
si! 

 con Sp3a ha qualche speranza in merito?
Microsoft Windows 2000 Server Server con SP3 e Q326886 è in lista in una 
classe maggiore di EAL3 (EAL4 con ALC_FLR.1), altre configurazioni no. 
La circolare AIPA/CR/31 parla di conformità richiesta per il sistema 
operativo, non per il DBMS, e però il fornitore del sistema informatico 
deve espressamente "dichiarare soddisfatti i requisiti minimi di 
sicurezza anche per quanto attiene alla configurazione del sistema 
operativo per la specifica applicazione".
Una questione interessante: una volta passato il collaudo del sistema 
positivamente, come ci si dovrebbe comportare con gli aggiornamenti di 
sicurezza rilasciati dalla Microsoft? Mi sa che devo scrivere al CNIPA 
una bella richiesta di chiarificazioni :-)


una bella richiesta di chiarificazioni :-)
Già, anche perché si prefigura l'ipotesi di dover certificare un
sistema operativo e tuttte le combinazioni di software installabili,
dal momento che assieme a SQL Server magari voglio mettere Tomcat, un
mail server, un server di backup, un server groupware e così via.
ritengo la cosa impossibile.
--
Ciao!
Luca Menegotto

 ritengo la cosa impossibile.
Concordo completamente. Quel genere di certificazione ha un costo 
quantificabile in centinaia di migliaia di Euro a tentativo, č del tutto 
impensabile che si debba certificare qualsiasi combinazione 
hardware-software, e comunque non credo che sia nelle intenzioni dei 
legislatori e dei regolamentatori chiedere qualcosa del genere.
Piů che altro quello che mi interessa capire č se dopo il collaudo con 
il sistema certificato posso aggiornare il sistema operativo con gli 
aggiornamenti delle componenti software come raccomandato dal 
produttore, soprattutto per quanto riguarda gli aspetti della sicurezza.



Non trascuriamo questo argomento e vediamo di vederci chiaro.
Il problema a quanto ho capito è che non esistono dei paletti, la sicurezza
informatica per il legislatore dovrebbe essere più che altro un certo modo
di affrontare il problema nella sua globalità più un elenco di requisiti di
questo o quell'altro prodotto: tra l'altro esistono infinite combinazioni
hardware-software. Tutto ciò rende tutto opinabile, un sistema non sarà mai
possibile certificarlo come sicuro e si potrà sempre dimostrare che in ogni
caso ci sia sempre una certa sicurezza. Bisogna, credo, riuscire a
dimostrare di avere preso tutte le ragionevoli precauzioni in termini di
sicurezza e cercare di scaricare il più possibile le responsabilità agli
altri limitando il proprio campo di competenza.
Forse in termini di sicurezza informatica dovremo studiare più
giurisprudenza (leggi licenze d'uso e collaudi scritti con le dovute
postille) che informatica.
Il mio è un discorso un po "filosofico" ma è il frutto di lunghe discussioni
con colleghi.
Saluti

 superiore):
Ho scordato di aggiungere alla lista Red Hat Enterprise Linux AS Version 
3 update 2 e Red Hat Enterprise Linux WS Version 3 update 2, entrambe 
recentemente certificate a livello EAL3 grazie alla sponsorizzazione di 
IBM.
