Newsgroup: it.diritto.internet
Titolo: Il comune si crea il proprio organismo di autocertificazione SSL

Ma non lo registra da nessuna parte..... è possibile?
Ovviameten i miei browser danno l'errore di certificato in quanto la 
loro autorità di certificazione non è registrata da nessuna parte in 
internet.
https://servizi.comune.bologna.it/people/initProcess.do?processName=it.people.fsl.servizi.fiscali.pagamenti.pagcontravvenzione
Questo certificato di origine CA non è considerato attendibile perché 
non è nell'archivio dell'Autorità di certificazione fonti attendibili.
Quindi tocca solo a me sapere che sia il Comune e quindi accettare il 
certificato sul mio PC?
Certificato rilasciato da:
CN = Comune di Bologna SubordinateCA 1
OU = Settore Sistemi Informativi e Telematici
O = Comune di Bologna
L = Bologna
C = IT
Casomai posso quindi creare anche io una mia certificazione SSL????
Mi chiedo, con tutti questi tentativi di pishing in giro, come fa un 
sysadmin di un Comune a far dare un bellissimo errore di certificato non 
valido sul suo server..... BHO. Siamo proprio in un altro mondo!
Per chi cerca c'è anche nome e cognome di chi ha fatto il tutto (email e 
numero di telefono compresi).

 valido sul suo server..... BHO. Siamo proprio in un altro mondo!
Il certificato è validissimo e fa il suo dovere (cripta).
Il problema è che il tuo pc non lo riconosce come attendibile perché non 
ha la Chain della CA del Comune di Bologna tra le CA attendibili del tuo pc.

 Verisign qualsiasi?
Non ti stai fidando solo del comune, ma anche di tutti i possibili 
"man in the middle" che si sono passati la comunicazione (tuo 
provider, provider del comune e altri intermedi). Non puoi dare per 
scontato che nessuno di loro abbia modificato le pagine e  le abbia 
rifirmate con un certificato fasullo.
Per fare le cose per benino bisognerebbe andare in comune a farsi 
dare la chiave pubblica o quantomeno a verificarne l'hash. Così 
avresti ristabilito una "chain of trust" plausibile.
La mia "chain of trust" è costituita da Verisign e il vendor del mio 
browser, che mi h apreinstallato la chiave pubblica di Verisign. 
Solo perché non ho alternative più valide.
Non mi fiderei delle Trusted Root Certification Authorities 
preinstallate in un oscuro browser trovato su un CD per strada.
Vediamo qui se almeno ci risulta lo stesso certificato per il sito 
del Comune di Bologna:
accursio.iperbole.bo.it.crt
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----


Ma vi sembrano azioni che deve fare il semplice utente di internet quando si
vede il browser web segnare in rosso il sito e bloccare le pagine?
Non era meglio che il comune si interessasse a registrarsi come autorità
certificante, almeno segnalarlo ai produttori di browsers web??

 ha la Chain della CA del Comune di Bologna tra le CA attendibili del tuo
pc.
Come detto, non è che il Comune si sarebbe dovuto interessare? Cosa aspetta
che siano i produttori di browser web e le autorità certificative a
contattarlo??
Non tutti hanno anche la paziensa o capacità immediata di andare a vedere da
chi arriva e come arriva in effetti il certificato per poi accettarlo,
tenderebbero a fidarsi del proprio browser ed a interrompere la
navigazione......
A mio avviso il comune vuole si i soldi ma non vuole pagare un
riconoscimento in internet del proprio certificato, non gli interessa, tanto
le multe le manda avanti lo stesso..... o paghi dove dicono loro o in altre
maniere o sono cavoli tuoi e non loro.....
Poi non mi meraviglierei di andare a vedere quanti programmi "non
certificati" (taroccati) usano all'interno dei Comuni......

 browsers web??
Non occorre complicare così, basta che si faccia autenticare da
Verisign o altri.

 navigazione......
Allora, il certificato serve a due cose:
1 A criptare i contenuti delle pagine (e questo funziona sempre)
2 A certificare l'identità di chi sta usando il certificato
Per quanto riguarda il punto 2 il tutto si basa ESCLUSIVAMENTE sulla 
fiducia. Se io credo che il Comune di Bologna sia attendibile mi fido 
della loro CA, addirittura, personalmente, mi fiderei più del Comune di 
Bologna che di Verisign o di altri enti certificatori che in cambio di 
poche decine di dollari rilasciano certificati validi un anno che 
lasciano il tempo che trovano.
Personalmente ritengo che il Governo italiano dovrebbe mettere in piedi 
una root CA statale da usare in ambito istituzionale (dai vari 
ministeri, alle regioni passando per comuni e province).
Probabilmente quando qualcuno glielo proporrà (con adeguata stecca) 
magari lo metteranno in piedi...

 ministeri, alle regioni passando per comuni e province).
Sarebbe una bella cosa. Sospetto che nel caso del comune di Bologna
siano semplicemente terminati i soldi o che nel capitolato non fosse
stato previsto.
Purtroppo nel settore pubblico tante cose diventano complicate :-/
Ciao

 Verisign o altri.
Chissà perché non lo hanno fatto, mica non sanno usare il pc o internet,
solo che probabilmente non gli importa e il sito funziona lo stesso.

 magari lo metteranno in piedi...
Con tutta la coltura della digitalizzazione e del togliere la carta ed usare
i cp, della deburocratizzazione, ancora non lo fanno??

 "neurone" <n...@1.crack> ha scritto nel messaggionews:g7p5nm$302$1...@aioe.org...

Anche a me danno un po' fastidio queste autocertificazioni, prova a
far notare la cosa al Comune stesso e vedi cosa rispondono.
Gabriele

 Purtroppo nel settore pubblico tante cose diventano complicate :-/
Sarà mica il magna manga, prima i soldi del mio stipendio e poi per il
certificato.... tanto verisign non sciopera mica.

 i cp, della deburocratizzazione, ancora non lo fanno??
Attendono la stecca :)


Anche a me danno un po' fastidio queste autocertificazioni, prova a
far notare la cosa al Comune stesso e vedi cosa rispondono.
Inviato email dal sito e telefonato URP dove la addetta al call center ha
cortesemente aperto la segnalazione e fatto finta di sapere di cosa parlavo
:P


Io ne ho rinnovato uno appena a febbraio. Non so con precisione il costo che
mi pareva essere intorno ai 1000 ma il mio collega ha specificato 1300.

 sicurezza aggiuntive.
Per le operazioni dispositive solitamente si usano token elettronici
oppure password monouso, ma garantire la riservatezza e
l'identificazione del titolare si usa sempre SSL.
Saluti


wrote:

Con Tawthe che č nel repository standard di MS spendi poco di piů di
100 euro, dipende dalla garanzia e dall'assicurazione ma quello č il
prezzo di partenza
AndreA 

 
Si, si nell'altro gruppo uno cercava il certificato della banca nel 
vecchio disco per non andarlo a richiedere..... penso quindi che la 
banca gli abbia dato un certificato suo da caricare.

 
Su 
verisign.com
 :
http://www.verisign.com/ssl/buy-ssl-certificates/extended-validation-pro-ssl-certificates/index.html
1 year $1,499
https://ssl-certificate-center.verisign.com/process/retail/product_selector;jsessionid=DB77B8C5C77246BC9BBDC7FD15CC8505?uid=0ce99a817bafbb77414dd120d4e0a1d5&product=HA002
1 anno Total: US $995
Ensure Strongest Encryption
Total: US $1,499
https://ssl-certificate-center.verisign.com/process/retail/product_selector?uid=681c8bd96ac0d85d958ffcc73abf513c&product=GS002
1 anno Total: US $995
Extended Validation SSL
1 anno Total: US $1,499


C'č da notare che se vivi fuori da USA e Canada spendi 200 euro di 
piů........

 piů........
Per via del cambio favorevole lol :)

 piů........
Geotrust quick ssl (Equifax)  sui 100$/anno e fa il suo sporco lavoro (e 
niente gabelle per pagamenti da fuori usa)
Se vuoi vedere: 
https://secure.rtd.it
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Boy, life takes a long time to live.
		-- Steven Wright

 banca gli abbia dato un certificato suo da caricare.
Incredibile.
Io avrei cambiato banca.
Ciao


E' un certificato personale, che garantisce la banca che tu sei 
proprio tu, come il certificato Verisign garantisce che lei è 
proprio lei. Anche 
https://web.bancopopolare.it/WEBHT/login
 fa così.

 
Non si capisce molto, ma si userebbe la cartella di un altro sito, non 
hai il tuo certificato......

 hai il tuo certificato......
come no...
Quello è un sito di un cliente che lo usa per il b2b.. L'ho compilato io 
apache/ssl e ti assicuro che il cliente ha un suo ip solo per l'https
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
"Here's something to think about:  How come you never see a headline like
`Psychic Wins Lottery'?"
		-- Jay Leno

 apache/ssl e ti assicuro che il cliente ha un suo ip solo per l'https
Quindi chi certifica è: Equifax Secure Certificate Authority
Il tipo di algoritmo: PKCS #1 SHA-1 con cifratura RSA
Il certificato è accettato.
Quale è il sito di equifax?
Casomai si risparmia, ma però non è conosciuta......(ma però non si dice)

 Casomai si risparmia, ma però non è conosciuta......(ma però non si dice)
Te l'aveva già scritto prima: Geotrust, ossia:
http://www.geotrust.com/
 (oppure 
http://www.geotrusteurope.com/
)
http://www.geotrust.com/about/index.asp
G.

 proprio lei. Anchehttps://
web.bancopopolare.it/WEBHT/loginfa
 così.
Ok, ma è il fatto di doverlo andare a ritirare di persona che mi
sembra fuori dal mondo.

 sembra fuori dal mondo.
Alternative? :)
L'unica che vedo č raccomandata AR al tuo indirizzo di residenza...

 L'unica che vedo è raccomandata AR al tuo indirizzo di residenza...
Che ne diresti invece di avere un certificato firmato da una autorita
terza già riconosciuta come fanno quasi tutti?
Ciao

 autorita terza già riconosciuta come fanno quasi tutti?
Quasi tutti chi, i clienti delle banche??
L'autorità terza (verisign in questo caso) ti
garantisce chi c'è dal lato banca. La pagina
https://web.bancopopolare.it/WEBHT/login
 appare firmata
correttamente. Vorresti che tutti i clienti si facessero il proprio
certificato verisign? Certo, la banca potrebbe fidarsi anche solo di
username e password, ma queste si perdono. E' parecchio più
difficile che uno riesca a fregarti anche il certificato.
Le cose potrebbero cambiare se il governo portasse avanti il
progetto CIE, insabbiato da un pezzo... Allora ogni cittadino
avrebbe il suo certificato personale.

angler31 ha scritto:

1 A che pro?
2 In che modo l'autorità terza certifica la tua esistenza? La banca la 
certifica perché tu ti rechi di persona allo sportello, con un documento 
di identità
3 Il certificato client serve ALLA BANCA, non a terzi. Quindi un ente 
terzo è perfettamente inutile. Quel certificato è solamente una 
questione tra te e la banca. Stop.
(diverso il certificato SSL per il sito web, quello sì che serva VERSO 
TERZI e quindi dovrebbe essere prodotto da un ente terzo)

 wrote:
Te l'aveva gią scritto prima: Geotrust, ossia:
http://www.geotrust.com/
 (oppure 
http://www.geotrusteurope.com/
)
http://www.geotrust.com/about/index.asp
Qualcosa di professinale comunque sale di prezzo:
http://www.geotrusteurope.com/products/ssl_certificates/certificate_compare.asp

 difficile che uno riesca a fregarti anche il certificato.
Solitamente con nome utente e password si può vedere l'estratto conto
e forse lo storico delle attività.
Il certificato è forse un po' più sicuro dal punto di vista del
phishing, ma è comunque memorizzato sul tuo
computer; se questo viene compromesso, qualunque credenziale di
accesso è potenzialmente a rischio.
Per le operazioni dispositive si usa comunque un token elettronico
oppure una serie di codici monouso, perciò non vedo come il
certificato installato a parte possa contribuire significativamente
alla sicurezza.
In ogni caso pagando con una carta di credito in un qualunque negozio
online si avrebbe lo stesso problema. Dovrei forse farmi spedire il
certificato per raccomandata?
Ciao

 avrebbe il suo certificato personale.
Mi chiedo perché mai lo Stato debba reinventare la ruota.
Così come mi chiedo perché le varie CCIAA invece di spendere tanti
soldi (e farsi poi pagare profumatamente) per le "smart card" ad hoc,
non usino strumenti già presenti sul mercato da anni.
Un certificato personale si può ottenere con una precisa procedura
dalle stesse CA che rilasciano il certificato https alle aziende.
Tanto che, tra le figure richieste per convalidare una richiesta di
certificato personale, è indicato proprio un funzionario di banca
(oppure notaio od avvocato) !
Così almeno funziona con Thawte.
G.

 questione tra te e la banca. Stop.
[cut]
Al pro di usare strumenti universalmente riconosciuti come validi, ad
esempio.
Evitando spese inutili, evitando di duplicare certificati, evitando di
rompere le scatole ai clienti con procedure farraginose.
Prova a pensare che con un solo certificato personale potresti
interagire con chiunque...
Gabriele

 certificato per raccomandata?
Siccome ormai tutte le carte di credito ed anche i bancomat hanno il
microchip, perché non potrebbero caricare questo certificato nel chip
stesso ?
Gabriele


ecco quello che si definisce low cost:
http://www.instantssl.com/index.html?ap=GoogleJan07InstantSSL&gclid=CO6P3PWUiZUCFQpYQgodLBuFqg

 
il cliente quello voleva :D
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
"They that can give up essential liberty to obtain a little temporary
safety deserve neither liberty nor safety."
		-- Benjamin Franklin, 1759

 interagire con chiunque...
Qua non si parla di "chiunque". Si parla del rapporto tra banca e 
cliente quindi esclusivamente per questo fine un certificato emesso 
dalla banca (e consegnato dietro identificazione personale) va benissimo.

Ho letto di recente questo: 
http://www.networkworld.com/community/node/31124
articolo e devo ammettere che quella del certificato lato client non
sembra in effetti un'idea malvagia.
Però rimango convinto che averlo memorizzato su di una smart card
piuttosto che direttamente in chiaro sul proprio disco sarebbe meglio.
E qui chiudo l'enorme OT.
Saluti

 piuttosto che direttamente in chiaro sul proprio disco sarebbe meglio.
La smart card ha un costo e prevede un ulteriore costo per il cliente 
(il lettore di smart card). Inoltre ci sarebbero problemi di 
installazione e configurazione del lettore stesso. Certo, saremmo di 
fronte ad un altro livello di protezione (smart card + pin č 
immensamente piů sicuro rispetto ad un banale certificato) ma anche a 
costi completamente diversi.

 costi completamente diversi.
Costa poco più di un lettore di memory card, e come scheda si potrebbe
usare il bancomat.
Per il resto non credo sia peggio che installare Alice.
Ciao

 e come scheda si potrebbe usare il bancomat.
Come in effetti già suggeriva Gabriele.
Ri-ciao