1
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata(PEC)
Francesco Gennai
Istituto di Scienza e Tecnologie dell’Informazione “A. Faedo”
Firenze, 24 novembre 2004
ISTI - CNR - F. Gennai - 2004
Internet
• Trasmissione di documenti in forma elettronica.• La rete è un mezzo di comunicazione non sicuro.
– Crittografia– Firma digitale– Certification Authority
2
ISTI - CNR - F. Gennai - 2004
La crittografia introduce alcune garanzie
• la riservatezza del contenuto (analogamente alla busta in un sistema postale convenzionale)
• l'integrità del contenuto del documento trasmesso
• la effettiva provenienza da colui che si dichiara mittente (autenticazione)
• il non ripudio: chi trasmette non può negare di avere spedito il messaggio.
ISTI - CNR - F. Gennai - 2004
Algoritmi di crittografia
• A chiave privata o simmetrici.
– La chiave usata per la cifratura e la decifratura è la stessa.
– La chiave è rigorosamente segreta.
• A chiave pubblica o asimmetrici.– Esistono due chiavi, equivalenti ai fini della cifratura.
– Quello che una delle due chiavi cifra, l'altra decifra.
– Delle due chiavi una è segreta e l'altra è pubblica.
3
ISTI - CNR - F. Gennai - 2004
Cifratura con chiave asimmetrica
Blah blah…blah….blah….
Algoritmodi
cifratura
Blah blah…blah….blah….
Mittente Destinatario
InternetAlgoritmo
dicifratura
ISTI - CNR - F. Gennai - 2004
Firma digitale(Funzione di hash)
Blah blah…blah….blah….
Mittente
01100010001100011011…00011Algoritmo
di Hash
Message Digest
4
ISTI - CNR - F. Gennai - 2004
Firma digitale
Mittente Destinatario
Internet
Blah blah…blah….blah….
011000...1011…00011
Hash
011000...1011…00011
Hash
Algoritmodi
cifratura
Cifratura del Msg Digest
Blah blah…blah….blah….
Messaggio in chiaroDigest firmato
Algoritmodi
cifratura
011000...1011…00011
Decifratura del Msg Digest
ISTI - CNR - F. Gennai - 2004
Certification Authority
• Certification Authority– garantisce l’appartenenza di una chiave pubblica ad un
determinato soggetto, mediante l’emissione di certificati(X.509)
• La Certification Authority rende nota la politica di sicurezzaalla quale si dovrà rigorosamente attenere
– gestisce il database dei certificati– gestisce la Certificate Revocation List (CRL)
5
ISTI - CNR - F. Gennai - 2004
Certification Authority
• La Certification Authority (CA) possiede una coppiadi chiavi asimmetriche.– Un certificato è l’unione di dati che identificano in modo
univoco un soggetto e della sua chiave pubblica.– La Certification Authority firma con la propria chiave
privata il certificato assegnandoli un numero di serie.– Chiunque potrà verificare che una determinata chiave
pubblica appartiene ad un determinato soggettosemplicemente applicando il processo di verifica firma con la chiave pubblica della CA.
ISTI - CNR - F. Gennai - 2004
Certificazione e protezionenel document delivery elettronico
• Certificazione dell’identità del richiedente.• Certificazione dell’avvenuto download del
documento richiesto.• Possibilità di rendere il documento leggibile solo al
richiedente:– Transito/memorizzazione del documento in un area di
download meno critici.
Tutte le funzionalità necessarie sono già incluse neiclient di posta elettronica e nei browser più diffusi.
6
ISTI - CNR - F. Gennai - 2004
Certificato X.509
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 4 (0x4)
Signature Algorithm: md5WithRSAEncryption
Issuer: C=IT, O=CNR, OU=ISTI, CN=ISTI - CNR experimental Certification Authority
Validity
Not Before: Jun 22 16:14:33 2004 GMT
Not After : Jul 31 16:14:33 2009 GMT
Subject: C=IT, ST=Italy, L=Pisa, O=Posta Certificata TEST, OU=Network Services Unit, CN=Renzo Beltrame/[email protected]
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
00:97:f0:9c:a7:10:ac:d4:e1:3e:19:6f:a5:d9:ed:
36:eb:79:fa:c5:0c:94:79:c3:a4:9b:03:bc:5e:5a:
48:e5:9b:32:e0:a2:a2:5d:2a:f9:09:f2:a9:7c:e5:
10:84:07:e9:53:4b:7a:a1:77:c6:e2:93:41:ba:23:
70:75:7d:22:6e:c6:35:ed:63:10:71:17:2d:5a:e0:
47:ea:a4:bb:f6:24:46:60:db:8e:ab:b8:72:93:5d:
5d:f1:55:0a:09:0e:bd:4f:7b:e8:2a:8b:8b:f5:82:
12:af:dd:3f:02:93:5d:5b:f0:aa:52:6c:ca:0c:28:
7d:df:48:76:2a:f5:9f:54:3f
Exponent: 65537 (0x10001)
X509v3 extensions:
Netscape Comment:
SSL Generated Certificate
X509v3 Subject Key Identifier:
E1:29:B8:DF:9D:D4:D1:88:61:4C:44:4F:15:04:FA:F4:1A:AF:F2:91
X509v3 Authority Key Identifier:
DirName:/C=IT/O=CNR/OU=ISTI/CN=ISTI - CNR experimental Certification Authority
serial:00
Signature Algorithm: md5WithRSAEncryption
78:02:d5:57:0a:83:e1:46:95:a8:53:00:c0:53:c7:fc:73:64:
18:dd:a6:7d:df:76:d0:d7:e1:34:f0:43:56:a7:6c:ac:b4:13:
e1:e9:e2:59:ca:66:97:ee:e9:8f:18:70:9a:9f:43:fe:64:3a:
d2:30:a3:19:f1:29:49:40:58:fc:94:d7:0e:85:35:d0:8c:4e:
ae:9f:0c:bd:4d:4d:1b:1b:cc:ce:12:f9:a7:4a:ac:44:73:22:
55:71:23:4e:b9:2e:14:bf:83:3c:28:c4:90:85:96:68:06:6e:
76:38:65:51:10:79:d4:e8:66:95:cb:46:4d:80:65:a7:4a:93:
f5:92
ISTI - CNR - F. Gennai - 2004
Messaggi di posta elettronica e crittografiaS/MIME
• RFC 1847 + RFC 2630 + RFC 2633 = struttura messaggio
Criptato: composto da un’unica parteapplication/pkcs7-mime; smime-type=enveloped-data
Firmato: composto da un’unica parteapplication/pkcs7-mime; smime-type=signed-data
oppurecomposto da due parti
multipart/signed; protocol=“application/pkcs7-signature”;micalg=sha-1 | md5
I parte: normale MIME content-typeII parte: application/pkcs7-signature
Firmato e criptato: una qualsiasi combinazione dei due precedenti casi
7
ISTI - CNR - F. Gennai - 2004
Messaggi di posta elettronica e crittografiaS/MIME
Content-type: Multipart/signed; protocol=“...”; micalg=“….”;
Content-type: text/plain, image/gif, etc..
To:From:cc:Subject:
Intestazione e indirizzi
Content-type: application/pkcs7-signature Content-transfer-encoding: base64
RFC 1847
Corpo del messaggio
Content-type: multipart/signed; protocol="application/pkcs7-signature";micalg=sha1; boundary=------------ms775C52C7DD5A1C12484764F0
This is a cryptographically signed message in MIME format.
--------------ms775C52C7DD5A1C12484764F0Content-Type: text/plain; charset=us-asciiContent-Transfer-Encoding: 7bit
Saluti da Francesco
--------------ms775C52C7DD5A1C12484764F0Content-Type: application/pkcs7-signature; name="smime.p7s"Content-Transfer-Encoding: base64Content-Disposition: attachment; filename="smime.p7s"Content-Description: S/MIME Cryptographic Signature
MIIGogYJKoZIhvcNAQcCoIIGkzCCBo8CAQExCzAJBgUrDgMCGgUAMAsGCSqGSIb3DQEHAaCCBKAwggScMIIDhKADAgECAgECMA0GCSqGSIb3DQEBBAUAMGsxJzAlBgkqhkiG9w0BCQEWGHBraS1yYUBwa2ktcmEuaWF0LmNuci5pdDEPMA0GA1UEAxMGUEtJLVJBMRQwEgYDVQQLEwtQS0ktUkEgVW5pdDEMMAoGA1UEChMDSUFUMQswCQYDVQQGEwJJVDAeFw0wMDA5MDExODA5MDBaFw0w……. .. … …… . ……. . .. . . .. . . . . . . .. ……. … ……. . . . .. . . . AQEBBQAEgYCKfsck4CKgnnJqx5HisiSGFBuSnZAjMiz6uGVscetkyhfoJY/+BZmRYKAIfigr+QSxE9VIIeeqEGMM9z5b3o77kNxViqy3WM2QPzsGLB7rYXyuV1nxTxZQzR+DrnRgqswmP0tT1KRpBTsL9sLD4ulIObUY2j36on69xsAxGsLWfw==--------------ms775C52C7DD5A1C12484764F0--
MULTIPART/SIGNED
8
ISTI - CNR - F. Gennai - 2004
Messaggi di posta elettronica e crittografiaS/MIME
Content-type: application/pkcs-mime; smime-type=signed-data;Content-transfer-encoding: base64
To:From:cc:Subject:
Intestazione e indirizzi
RFC 2633
Corpo del messaggio
ISTI - CNR - F. Gennai - 2004
Content-Type: application/pkcs7-mime; smime-type=signed-data;name="smime.p7m"
Content-Transfer-Encoding: base64Content-Disposition: attachment; filename="smime.p7m"
ZSBmcmEgSUFUL1JBIGVkIElTUC4gSW5mb3JtYXppb25pIHN1bCBwcm9nZXR0byBlIENQUyBkZWxsYSBDQSBzb25vIHJlcGVyaWJpbGkgYWxsYSBVUkwgaHR0cDovL3BraS1yYS5pYXQuY25yLml0MB0GA1UdDgQWBBSOjXEKaKccTQtTUFi5OwWNxGFr5TCBlQYDVR0jBIGNMIGKgBQLF6fS1Pti2lhmMn5C/WD8J4UoRaFvpG0wazEnMCUGCSqGSIb3DQEJARYYcGtpLXJhQHBraS1yYS5pYXQuY25yLml0MQ8wDQYDVQQDEwZQS0ktUkExFDASBgNVBAsTC1BLSS1SQSBVbml0MQwwCgYD……. .. … …… . ……. . .. . . .. . . . . . . .. ……. … ……. . . . .. . . . GkgYWxsYSBVUkwgaHkOppIfex5HisiSGFBuSnZAjMiz6uGVscetkyhfoJY/+BZmRYKAIfigr+DQSBzb25vIHJlcGVjxViqy3WM2QPzsGLB7rBwcm9nZpYXyuV1nxTxZQzR+DrnRgqswmP0tTTUFi5OwWNxGFr5TCBlQYoRaFvpG0waz==
Application/pkcs-mime
9
ISTI - CNR - F. Gennai - 2004
Messaggi di posta elettronica e crittografiaS/MIME
• multipart/signed– application/pkcs7-signature; name=smime.p7s
• application/pkcs7-mime; smime-type=signed-data; name=smime.p7m
• application/pkcs7-mime; smime-type=enveloped-data;name=smime.p7m
ISTI - CNR - F. Gennai - 2004
MsgVerify System
• Una prima esperienza (2000)– Il sistema MsgVerify della Registration Authority Italiana– Ambiente:
• OpenVMS• PMDF• OpenSSL
– Integrato con il sistema di ricezione FAX della RA (in servizio già da diversi anni):
– Ambiente:• PMDF-FAX• (25.000 FAX/mese !!! FAX-LAR)• FAX-CAMBI
10
ISTI - CNR - F. Gennai - 2004
MVinput process
MVcache database
Incomingmessages
Message/Faxdatabase
MVverificationprocesses
Outgoingmessages
MVMsgSmtpprocess
Ldapquery
MVCA
databaseFAXinput process
Stampa
User Certificatedatabase
MVCRL
database
MVCRL manager
process
MsgVerify system
Msg/Faxinput
process
ISTI - CNR - F. Gennai - 2004
MVverificationprocessesMV
verificationprocesses
MVverificationprocessesMV
verificationprocesses
NODO 1
NODO 2MV
input process
1
1
4
224 3
3
1 4 3 2
MVMsgSmtpprocess
124 3
MsgVerifyserie - parallelo - serie
11
ISTI - CNR - F. Gennai - 2004
MsgVerify Headers
• X-MVcertissuer: <Distinguished Name dell’issuer>
• X-MVcertsubject: <Distinguished Name del subject>
• X-MVglobalid: <codiceverifica-globalid>– codiceverifica: S = verifica completata con successo
W = verifica completata con assenza di CRL– globalid: identificativo (protocollo) univocamente
assegnato dal Processo Input Messaggi/Fax
ISTI - CNR - F. Gennai - 2004
MsgVerify Headers
X-MVcertissuer: /C=DE/ST=Hamburg/L=Hamburg/O=TC TrustCenter for Security inData Networks GmbH/OU=TC TrustCenter Class 1CA/[email protected]
X-MVcertsubject: /C=DE/ST=NRW/L=K\xC8oln/CN=Manon Goo/[email protected]
X-MVglobalid: W-200009016390
12
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata (PEC)
Definizione:“Per posta elettronica certificata si intende un servizio basato sulla posta elettronica, come definito dallo standard SMTP e sue estensioni, che consenta la trasmissione di documenti prodotti mediante strumenti informatici nel rispetto dell’articolo 14 del decreto del Presidente della Repubblica 28 dicembre 2000, n.445.”
Definizione tratta da “Linee Guida del servizio di trasmissione documenti informatici mediante posta elettronica certificata.”(Centro Nazionale per l’Informatica nella P.A.)
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata (PEC)
• Equivale al servizio postale tradizionale di Raccomandata con Avviso di Ritorno
• Garantisce il recapito• Opponibilità a terzi della provenienza e recapito del
messaggio
13
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata (PEC)
• Punto di accesso– ricevuta di accettazione– messaggio di trasporto
• Punto di ricezione– ricevuta di presa in carico– messaggio di anomalia di trasporto
• Punto di consegna– ricevuta di consegna, ricevuta di errore di consegna
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata (PEC)
• Dominio di posta elettronica certificata– dedicato alle caselle di posta degli utenti PEC
• Dati di certificazione– insieme di dati che descrivono il messaggio originale
• data/ora di invio• mittente • destinatario• oggetto (subject)• identificativo messaggio (MessageId)• …..
14
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata (PEC)
• Soggetti– mittente– destinatario– gestore del servizio
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata (PEC)
• Tipi di messaggio:
– ricevute • Accettazione• Consegna• Errore di consegna• Presa in carico
– trasporto– anomalia di trasporto
Formato dei messaggi: S/MIME
15
ISTI - CNR - F. Gennai - 2004
Verifica che sia unmessaggio di trasporto
Gestore: mailbox perricevute di presa incarico
Posta Elettronica Certificata (PEC)
Punto di accesso
xmlxml
Il punto di accesso accerta l’identità del mittente ed effettua i controlli formali sul messaggio in ingresso
Ricevuta di accettazione
Messaggio di trasporto
Punto di ricezione
Verifica la correttezza delmessaggio in ingresso:-messaggio di trasporto-validità della firma
Ricevuta di presa in carico
xml
xml
xml
xmlxml
Punto di consegna
xml
Ricevuta di consegnaMailboxmittente
Mailboxdestinatario
xmlxml
Dominio mittente Dominio ricevente
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata (PEC)
Intestazione e indirizzi
Corpo del messaggio
Intestazione e indirizzi:From: “[mittente originale]” <posta-certificata@dominio-pec>Reply-to: [mittente originale]Subject: POSTA-CERTIFICATA: [subject originale]X-transport: posta-certificata
Parte testo descrittiva
Dati di certificazione XML
Intestazione e indirizzi
Corpo del messaggio
Firma digitale
Messaggio originale Messaggio di trasporto
{
16
ISTI - CNR - F. Gennai - 2004
Posta Elettronica Certificata (PEC)
• I gestori sono registrati in un “indice dei gestori di posta certificata”.
• Lo scambio dei certificati contenenti le chiavi pubbliche avviene attraverso un server LDAP o attraverso file LDIF (scaricabile via HTTPS).
• La verifica firma avviene escludendo la verifica del percorso di certificazione: questo permette a ciascun gestore di operare con certificati emessi da Certification Authority non-trusted.
• La garanzia di affidabilità è delegata all’indice dei gestori di posta certificata.
ISTI - CNR - F. Gennai - 2004
Piattaforma ISTI PMDF-PEC
• Modulo ISTI PMDF-PEC:– S.O. OpenVMS (versione 7.3-2 e successive)– Modulo aggiuntivo al prodotto PMDF (versione 6.2 e successive)
• Composto da 4 canali:– 3 basati sul canale PMDF SCRIPT
• SCRIPT_ACCEPT (punto di accesso: ricevuta di accettazione, messaggio di trasporto, firma digitale)
• SCRIPT_RECEIVE (punto di ricezione: ricevuta di presa in carico, verifica firma, messaggio anomalia di trasporto)
• SCRIPT_RECEIPT (ricevute di consegna/errore, parsing delle DSN in formato NOTARY, firma digitale)
– 1 nativo• PECDELIVERY (gateway tra sistema PEC e mailbox-store locale o
remoto)PECDELIVERY e SCRIPT_RECEIPT costituiscono il punto di consegna
Top Related