Access Control & End-to-End Security Access Control & End-to-End Security E-Government Payphone...

Access Control & Access Control & End-to-End SecurityEnd-to-End SecurityE-GovernmentE-Government PayphonePayphone

BankingBanking& Loyalty& Loyalty

Mobile Mobile CommunicationsCommunications FulfillmentsFulfillmentsMobile Mobile CommunicationsCommunications

ROMA, 10 Maggio 2004

CNS/CIE le chiavi di accesso ai servizi digitali

Alessandro Scognamiglio Strategic Marketing Manager




Agenda SicurezzaSicurezza

ChipChip Sistema OperativoSistema Operativo ProduzioneProduzione Circuito di emissioneCircuito di emissione

Flessibilità Circuito di emissione Multiapplicazione Caricamento servizi locali/aggiuntivi – MultiGestione

Interoperabilità Sistema Operativo (APDU Command) File System Formato Dati




CIE/CNS

CNS

Autenticazione on line

Carta Sanitaria (Netlink)

Firma Digitale

Servizi Aggiuntivi

stampa dati personali stampa foto

Elementi anticontraffazione fisica

Identificazione “a vista”

microprint positivo utilizzo di inchiostri OVI (Optical Variable Ink) utilizzo di inchiostro speciale visibile all'ultravioletto numerazione laser ologramma a caldo motivi (pattern) antifotocopiatura e antiscanner stampa e memorizzazione dati su banda laser

CIE




Chip

Dispositivi di sicurezza fisici Schermi metallici attivi

Dispositivi di sicurezza logici Sensori Anti SPA Anti DPA

Certificazione di Sicurezza Common Criteria EAL 4+ (PP 9806)




Controllo della sensoristica di bordo

Algoritmi efficaci ed efficienti per la generazione di rumore di fondo per tutte le operazioni sensibili

Gestione del Timing attack per il calcolo delle quantità di sicurezza (PIN, PUK, chiavi segrete, ….)

Sistema Operativo

Gestione dei comportamenti out of range

Implementazione di meccanismi anti-tyring, mantenimento della coerenza dei dati Certificazione di Sicurezza CC EAL 4+ PP e-sign




Produzione 1/3

La produzione delle smart card destinate ad operare come CNS deve avvenire con criteri che garantiscano la segretezza delle informazioni presenti nelle carte inizializzate. E’ opportuno scegliere produttori che abbiano provata esperienza nella produzione di carte con elevati requisiti di sicurezza (ad esempio carte di credito e di debito).

autenticazione certa dell’operatore

registrazione di tutte le operazioni effettuate e dei dati utili alla tracciatura del processo

protezione delle informazioni di tracciatura in modo tale da garantirne integrità e non ripudio




Produzione 2/3 Conservazione e trasporto delle carte

• Caveau• Trasporto con card traveller nello stesso plant, e con ddt per

plant diversi

Gestione degli scarti• Controllo all’unità• Distruzione con verbale e con più persone

Generazione delle chiavi• archivi cifrati per le chiavi PIN, PUK,

etc…

Tracciatura delle operazioni• Conservazione dei registri cartacei o

elettronici per almeno 10 anni




Produzione 3/3

Misure organizzative Almeno un Responsabile della

sicurezza presente per ogni turno Garanzia del rispetto di tutte le

procedure

Misure di sicurezza fisiche Almeno doppio livello recintato con

telecamere e sistemi anti intrusione Custodia 24h Accesso dei dipendenti differenziato

per funzione

Protezione delle informazioni di tracciatura

registri elettronici cifrati con smartcard RSA

gestione e custodia sicura della smartcard operatore




Circuito di emissione

Protezione delle carte inizializzate

Protezione dei flussi di dati Canali cifrati (almeno 128 bit) Mutua autenticazione

Deve garantire:

Verifica dei dati anagraficiConsegna della carta al titolareConsegna dei codici segreti PIN e PUK

Presso i centri di personalizzazione e di emissione dovranno essere attuate le misure tecniche ed organizzative previste per la tutela dei dati personali (Codice in materia di protezione dei dati personali – DL 30 giugno 2003, n. 196).




Agenda Sicurezza

Chip Sistema Operativo Produzione Circuito di emissione

FlessibilitàFlessibilità Circuito di emissioneCircuito di emissione MultiapplicazioneMultiapplicazione Caricamento servizi locali/aggiuntivi – MultiGestioneCaricamento servizi locali/aggiuntivi – MultiGestione





Circuito di emissione 1/2

Centro Servizidi Autenticazione

Centro Servizidi Autenticazione

Fornitori dei servizi applicativi

Fornitori dei servizi applicativi

Ente CertificatoreEnte Certificatore

Accesso al servizio di identificazione

$ $$

Accesso

Registration Authority

Emettitore

Registration Authority

Emettitore

Emissione cartaEmissione PIN

Gestione della CA

Registrazione

Autorizzazione

Acquisizione dati

Autenticazioni pending

Identificazione

Verifica dati

Archivi IdentificativiListe di revoca e sospensioni

PersonalizzatorePersonalizzatore

ProduttoreProduttore




Circuito di emissione 2/2

Produzione, Inizializzazione• Presso un produttore accreditato (che rispetta le misure di sicurezza)

Personalizzazione• Presso l’ente emettittore o presso struttura delegata (che rispetta le

misure di sicurezza, e comunque, la responsabilità e’ dell’ente emettitore)

Rilascio certificati di autenticazione• Possono operare come emettitori dei certificati di autenticazione della

CNS esclusivamente i certificatori accreditati di cui all’articolo 5 del Decreto Legislativo 23 gennaio 2002, n.10.

Imbustamento e consegna• Presso strutture dell’ente emettitore o direttamente a casa via posta

(ma solo dopo la necessaria fase d’identificazione a vista e dopo la dichiarazione del non possesso CIE)




Multiapplicazione

E’ un documento di Identificazione in Rete Consente la fruizione di servizi PA Centrali Consente la fruizione di servizi PA Locali Può ospitare la funzionalità di firma digitale qualificata Può ospitare applicazione di carta Sanitaria Netlink

compatibile Può ospitare Servizi di Pagamento On-Line

» ed inoltre…

Può ospitare altri certificati X.509 per altre funzionalità di sicurezza (Cifra, posta elettronica firmata, …)

Altri dati, per altre applicazioni specifiche, quali controllo accesso fisico, caricamento di token per eventuali sistemi di pagamento a circuito chiuso, etc…




Il File System, multiapplicazione

MF

DatiAnagrafici

DF-Anagrafica

Applicazione Sanitaria(Netlink)

DF-Netlink

Kpri

EF-GDO

EF-KPub

PUKPIN

AltriServizi

DF-Altri Servizi

PIN-FD

DF-F Digitale

DatiFirma Digitale

Quantità Sic.Ente Emettitore

EF-DIR Autenticazione online

Applicazione Sanitaria Netlink

Applicazione di Firma Digitale

Spazio per servizi aggiuntivi

Elementi comuni




Servizi locali / Firma Digitale Qualificata / Multigestione

Servizi aggiuntivi Locali Possono essere caricati dall’ente emettitore, anche

dopo il rilascio e a cura di una struttura delegata

Firma Digitale Qualificata Può essere caricata da una delle CA pubbliche ed

accreditate

Multigestione: diversi enti possono gestire in sicurezza la stessa card (ASL, Certificatore)




Servizi aggiuntivi, come si implementano? 1/2

BSO_InstPubKeyBSO_InstPubKeyChiave di Autenticazione

RSA (External Authentication)

EF_InstFile

File Binario ad accesso libero:

Contiene Kia | Kic cifrate.

BSO_Kic

BSO_Kia

DF2

Chiavi 3DES per il Secure Messaging

La creazione degli oggetti nel DF2 può avvenire solo dopo

essersi autenticati con la chiave BSO_InstPubKey




- Descrizione del flusso

Kia | Kic cifrati con InstPubKeyDecifra

Kia, Kic

Comandi amministrativiper la creazione dell’applicazione

Secure Messaging

Lettura file EF_InstFile

Autenticazione con la chiave BSO_InstPubKey

Si acquisiscono i diritti di accesso per la creazione

di oggetti in DF2.

Servizi aggiuntivi, come si implementano? 2/2




Agenda Sicurezza

Chip Sistema Operativo Produzione Circuito di emissione

Flessibilità Circuito di emissione Multiapplicazione Caricamento servizi locali/aggiuntivi – MultiGestione





Sistema Operativo

Interoperabilità fondata su ISO 7816 1, 2, …, 9 Part 1-4 full Part 8 oggetti di sicurezza Part 9 comandi per la gestione del ciclo di vita

Il protocollo d’intesa 13 maggio 2003 Siglato da Mininterno, MIT e i 9 principali produttori di smartcard Standard aperto Art 2 e art 4 Garanzia nel mantenimento dello standard tecnologico Art 3 Consultazioni per la definizione, approvazione e verifica di eventuali variazioni

indotte dallo sviluppo tecnologico.

CNS: sicurezza, flessibilità ed CNS: sicurezza, flessibilità ed interoperabilitàinteroperabilità coniugati in un unico strumento. coniugati in un unico strumento.




File System e Struttura Dati

Distribuzione controllata

Minimum File Set interoperabile con CIE (prima emissione, attuale emissione)

Compatibile con NetLink

PKCS#11 e ASN1

MF

DF2

DF0

EF-GDO Netlink

DF1

EF_Dati personali

EF_Dati processore

EF_ID_Carta

EF_C_Carta

EF_Fotografia

EF_Template_fingerprint

EF_Dati personali aggiuntivi

EF_Memoria residua

Kia

DF Firma digitale

DF_Servizio #1

DF_Servizio #2

DF_Servizio #N

PIN_CNS

PUK_CNS

Kpri

EF_INST_FILE

PIN_SO

DF Netlink

EF_Servizi installati

INSTpub

Kic




Contacts

ST Incard S.r.l. Z.I. Marcianise Sud 81025 – Marcianise (CE) Italy

Alessandro Scognamiglio Strategic Marketing Manager E-mail:

[email protected] Tel. +39 0823 630469 Mobile +39 335 7413064

Per ulteriori informazioni Padiglione 24 stand 11 www.incard.it

© 2004 ST Incard S.r.l. All right reserved. Specifications and information subject to change without notice. The products described in this presentation are subject to continuos development and improvement. All other trademark referred to herein, whether registered or not in specific countries, are the property of their respective owners. Version 1 Revision 0, May 2004

Access Control & End-to-End Security Access Control & End-to-End Security E-Government Payphone...

Documents

Transcript of Access Control & End-to-End Security Access Control & End-to-End Security E-Government Payphone...