La firma digitale? E' sicura

Lo sostiene AssoCertificatori che ha assunto una posizione ufficiale dopo le recenti polemiche sulla sicurezza del modello della firma digitale italiana

Roma - Vista la rilevanza dell'argomento proponiamo integralmente un intervento ufficiale dell'Associazione dei Certificatori di Firma digitale sulle polemiche relative alla sicurezza della firma digitale italiana

La firma digitale è sicura
I Certificatori italiani per la firma digitale sono consapevoli dell'importanza e della delicatezza della loro funzione di garanti dei sistemi di firma. Per meglio connotare questo ruolo è stata costituita l'AssoCertificatori, un'associazione senza scopo di lucro che ha come fine esclusivo la diffusione dei sistemi di firma digitale, dell'archiviazione elettronica dei documenti, con riferimento sia agli aspetti tecnici, sia a quelli giuridici.

AssoCertificatori, promuove lo sviluppo e la diffusione della
cultura tecnico-informatica relativa alla firma digitale, contribuisce, anche su base internazionale, alla definizione di standard tecnici, qualitativi e di interoperabilità, compie e promuove studi e ricerche in campo nazionale, comunitario ed internazionale.
L'impegno di AssoCertificatori è concreto e tangibile come le attività progettuali e di test che hanno portato a garantire la completa interoperabilità dei sistemi di firma offerti dai membri. Questo importante traguardo è fondamentale per lo sviluppo della firma digitale e pone all'avanguardia il nostro Paese che adotta le disposizioni legislative più cogenti d'Europa.

Relativamente ai problemi di sicurezza, tutti noi sappiamo che non esiste una serratura che possa resistere ad uno scassinatore esperto, così come non c'è nessuna firma autografa che non possa essere imitata in maniera così perfetta da ingannare anche un perito calligrafo. È solo questione di capacità, di strumenti e di opportunità.

Per contro possiamo affermare che continuano a resistere a tutti gli attacchi le evidenze crittografiche che costituiscono una firma digitale che, ad oggi, si sono dimostrate non falsificabili, neppure con enormi risorse elaborative, garantendo così la sicurezza dei sistemi di firme elettroniche accettati dalla legge nel nostro paese e in tutta Europa.

Diversamente accade quando si cerca di attaccare il sistema usando altre tecniche. Secondo il famoso hacker Kevin Mitnich, e anche secondo le più recenti ricerche, il più semplice punto di attacco è quello basato sulle debolezze umane: conservare il proprio PIN assieme alla carta Bancomat consente facilmente ad un malintenzionato di prelevare i nostri soldi dal nostro conto corrente. Questo non significa che il sistema Bancomat sia poco sicuro.

Nello stesso modo, disponendo di capacità e di strumenti, è possibile pensare ad un attacco portato ai computer utilizzati per apporre le firme digitali, specialmente se si fa riferimento a "sistemi operativi configurati senza opportuni accorgimenti di protezione" e si ipotizza che la vittima designata possa ricevere programmi allegati a messaggi di posta, cosa impedita dalla gran parte dei sistemi aziendali, e li esegua, contravvenendo alle più elementari norme di sicurezza.

Secondo Assocertificatori, pur non volendo evidenziare i reati previsti dal nostro codice penale, chi opera simili attacchi non compie attività goliardiche né tantomeno offre un contributo alla sicurezza di tutti gli utenti.

Per contro, la ricerca, specialmente quella svolta in ambito universitario, è di fondamentale importanza per permettere l'incremento dei livelli di sicurezza dei sistemi informatici e per garantire di raggiungere livelli di protezione commisurati alle risorse e ai rischi.

Per quanto riguarda i sistemi utilizzati per apporre le firme digitali, è sicuramente utile pubblicizzare tutte le misure organizzative e gli strumenti di protezione necessari a garantire agli utenti un livello di protezione adeguato. Per questo tipo di indicazioni il Paese si attende anche delle regole dal "Comitato Tecnico Nazionale Sicurezza Informatica nella Pubblica Amministrazione" più che l'annuncio di attività di pirateria informatica.

AssoCertificatori, in linea con le proprie finalità, è disponibile a collaborare con tutte quelle istituzioni che intendono contribuire ad innalzare i livelli di sicurezza e la diffusione di uno strumento, non solo utile ma indispensabile, per il decollo dei sistemi di e-goverment e dell'economia "digitale" come le firme elettroniche.

Paolo Soru, Presidente
TAG: italia
9 Commenti alla Notizia La firma digitale? E' sicura
Ordina
  • Questa dovrebbe essere la posizione ufficiale dell'Associazione dei Certificatori di Firma Digitale. Ma allora com'è che prendono così sottogamba il problema tecnico?

    (Per i dettagli tecnici relativi al problema, consultate: www.puntosicuro.it/language,1/page,1.php/articolo_3092/)

    E ora vediamo nel dettaglio le affermazioni del sig. Soru:

    >Relativamente ai problemi di sicurezza, tutti noi sappiamo
    >che non esiste una serratura che possa resistere ad uno
    >scassinatore esperto."

    Però qui stiamo parlando di un borseggiatore alle prime armi, non di uno scassinatore esperto.
    (n.b.: esiste di sicuro una serratura che magari non resiste ad uno scassinatore esperto, ma che si veda che è stata scassinata ...)

    >Secondo le più recenti ricerche, il più semplice punto di
    >attacco è quello basato sulle debolezze umane: conservare
    >il proprio PIN assieme alla carta Bancomat consente
    >facilmente ad un malintenzionato di prelevare i nostri soldi
    >dal nostro conto corrente. Questo non significa che il sistema
    >Bancomat sia poco sicuro."

    Sorvoliamo sulla sicurezza del Bancomat (password di sole 5 cifre, da digitare in mezzo alla strada o in coda al supermarket; e se la voglio cambiare, perchè ho paura che qualcuno l'abbia vista, devo spendere i soldi di una nuova tessera e aspettare almeno una settimana perchè arrivi il nuovo PIN).

    Qui il sig. Soru sembra voler insinuare che, se il sistema di firma consente a un programma malevolo di firmare digitalmente qualunque documento senza che l'utente sia avvertito, la colpa è dell'utente che ha messo la smart card nel PC sbagliato. Ma allora, a che cosa serve la smart card? non si poteva usare un economico floppy con dentro chiave pubblica e chiave privata? perchè la legge ha voluto che l'unico modo per firmare un documento fosse inserire la smart card nel lettore?

    >Nello stesso modo, disponendo di capacità e di strumenti, è
    >possibile pensare ad un attacco portato ai computer utilizzati
    >per apporre le firme digitali, specialmente se si fa riferimento
    >a "sistemi operativi configurati senza opportuni accorgimenti
    >di protezione" e si ipotizza che la vittima designata possa
    >ricevere programmi allegati a messaggi di posta, cosa
    >impedita dalla gran parte dei sistemi aziendali, e li esegua,
    >contravvenendo alle più elementari norme di sicurezza."

    Qui si confonde l'esempio con il caso generale. Nell'esempio, l'equipe di ricerca dell'Università di Milano ha costruito un virus che ha inviato via e-mail; poi il virus ha installato un programma che, interfacciandosi con il sistema di firma, consentiva di firmare un documento all'insaputa dell'utente, quando quest'ultimo ne firmava un altro.
    Ma il problema non è il modo con cui il programma sia stato messo nel PC, ma quello che il programma è stato poi in grado di fare: far firmare ad un utente un documento SENZA CHE L'UTENTE SE NE ACCORGESSE!
    Che poi in alcune aziende occorra entrare nottetempo nell'ufficio e installare il programma da una chiave USB è secondario (nella mia, ad esempio, non occorre); quello che conta è che nessuno si accorge di quello che è successo, quindi nessuno revocherà la chiave.

    >Secondo Assocertificatori, pur non volendo evidenziare i
    >reati previsti dal nostro codice penale, chi opera simili
    >attacchi non compie attività goliardiche né tantomeno offre
    >un contributo alla sicurezza di tutti gli utenti.

    Wow! Allora se la serratura si apre con una forcina, la colpa non è di chi costruisce la serratura, ma di chi mette le forcine tra i capelli! (Mai fidarsi delle donne ...)

    >... è sicuramente utile pubblicizzare tutte le misure
    >organizzative e gli strumenti di protezione necessari a
    >garantire agli utenti un livello di protezione adeguato. Per
    >questo tipo di indicazioni il Paese si attende anche delle
    >regole dal "Comitato Tecnico Nazionale Sicurezza
    >Informatica nella Pubblica Amministrazione" più che
    >l'annuncio di attività di pirateria informatica.

    Traduciamo: non ce ne frega niente se i nostri sistemi di firma sono assolutamente inaffidabili e anche un gruppetto di universitari goliardi è in grado di sputtanarli; speriamo solo che il "Comitato Tecnico Nazionale Sicurezza Informatica nella Pubblica Amministrazione" faccia presto delle regole, perchè - fatta la legge trovato l'inganno - noi si possa trovare il modo di adeguare i nostri sistemi alle richieste minime delle regole, secondo la famosa legge "qualsiasi valore minimo stabilito per legge sarà il valore massimo applicato nella realtà".

    Sono sempre più convinto che la via italiana alla certificazione digitale sia semper più impraticabile ...
    non+autenticato

  • come intendono diffondere tale strumento?
    con un programma che gira solo per windows e per mac os x
    figata, no?

    La firma in alcuni casi sarà obbligatoria... ebbene, i programmi con cui apporla girano su Windows o su Mac OsX
    Così io sono COSTRETTO a fornire determinati materiali in formati proprietari che devo aver comprato.




    cito la frase alla quale mi riferisco:
    "
    AssoCertificatori, in linea con le proprie finalità, è disponibile a collaborare con tutte quelle istituzioni che intendono contribuire ad innalzare i livelli di sicurezza e la diffusione di uno strumento, non solo utile ma indispensabile, per il decollo dei sistemi di e-goverment e dell'economia "digitale" come le firme elettroniche."
    non+autenticato
  • e per tutti i furboni che adesso mi verranno a dire "ma che dici? la firma digitale esiste anche per ... - eccetera - "


    ATTENZIONE
    qui si parla della firma digitale ammessa dallo stato italiano, cari amici ... mica quella gratuita di Thawte ... oppure il classico Verisign ... nein!

    "FIRMA FORTE" la chiamano: firma a pagamento, la chiamo io.
    Si tratta della smart card, quella blu.
    non+autenticato
  • > La firma in alcuni casi sarà obbligatoria...
    > ebbene, i programmi con cui apporla girano
    > su Windows o su Mac OsX
    > Così io sono COSTRETTO a fornire determinati
    > materiali in formati proprietari che devo
    > aver comprato.
    Se e quando diventerà obbligatoria, verranno rilasciati i software anche per Mac OS, Linux ecc. ecc.
    Non sentiamoci perseguitati prima ancora che le cose diventino definitive.
    non+autenticato
  • date un 'occhiata qui:
    http://www.puntosicuro.it/language,1/page,1.php/ar.../
    Il Laboratorio di Sicurezza e Reti del Dipartimento di informatica e comunicazione dell'Universita' degli Studi di Milano ha condotto la prima realizzazione pratica a livello mondiale di attacco riuscito a un dispositivo di firma digitale....
    beppe
    non+autenticato
  • Conoscevo già quel documento, ma il test non è valido perché condotto su una macchina non patchata con i vari service pack di siscurezza che evitano l'ingresso e l'esecuzione dei worm...

    Infatti il test ha solo dimostrato che quel sistema non Era sicuro, e non la FirmaSicura!!! Perché non hanno condotto lo stesso Test su un Sistema BLINDATO?!?
    majo75
    - Scritto da: Anonimo
    > date un 'occhiata qui:
    > http://www.puntosicuro.it/language,1/page,1.p
    > Il Laboratorio di Sicurezza e Reti del
    > Dipartimento di informatica e comunicazione
    > dell'Universita' degli Studi di Milano ha
    > condotto la prima realizzazione pratica a
    > livello mondiale di attacco riuscito a un
    > dispositivo di firma digitale....
    > beppe
    non+autenticato

  • - Scritto da: Anonimo
    > Conoscevo già quel documento, ma il test non
    > è valido perché condotto su una macchina non
    > patchata con i vari service pack di
    > siscurezza che evitano l'ingresso e
    > l'esecuzione dei worm...

    A differenza di te non conoscevo quel documento e,
    nonostante le mie ricerche (infruttuose), continuo a
    non conoscerlo.

    Ti dispiacerebbe indicarmi dove potrei avere maggiori
    informazioni circa le modalità adottate per condurre il
    test ?

       
    > Infatti il test ha solo dimostrato che quel
    > sistema non Era sicuro, e non la
    > FirmaSicura!!! Perché non hanno condotto lo
    > stesso Test su un Sistema BLINDATO?!?

    Esistono disposizioni di legge per cui la firma per
    essere riconosciuta sicura debba essere apposta
    usando PC particolari o rispettando particolari
    requisiti di sicurezza fisica ?

    Se si (e non mi sembra) potresti indicarmi i riferimenti
    normativi ?

    > majo75
    > - Scritto da: Anonimo

    Ciao

    Prince258
    non+autenticato
  • L'intervento citato è interessante, però forse c'è un po' troppa enfasi visto che di fatto sfrutta una serie di errori ed omissioni umane.
    Cito alcuni passi:
    "L'attacco ha consentito a un intruso di ottenere documenti digitalmente firmati da un utente, all'insaputa dello stesso".
    ....
    Da quel momento, ogni volta che un utente sottoponeva un documento al processo di firma, il codice maligno poteva sottoporne altri il cui contenuto era stato preventivamente deciso da chi ha realizzato il virus
    ...
    Per la realizzazione dell'attacco sono state sfruttate alcune debolezze di sicurezza dell'ambiente Java, quando eseguito su sistemi operativi configurati senza opportuni accorgimenti di protezione, insieme ad alcune debolezze dell'applicazione attaccata.

    Quindi si suppone che:
    1. l'utente usi esattamente quel programma da loro attaccato
    2. usi la stessa macchina per certificare i documenti e accedere ad internet
    3. questa macchina sia configurata male dal punto di vista della sicurezza
    4. il "virus" sia in grado di farsi mandare indietro il documento maligno firmato dall'utente (e di questo non si parla nell'articolo quanto meno non specifica la tecnica utilizzata per farlo)

    beh, come cita l'articolo...se è per quello è più facile vedere bancomat con il pin attaccato con un post-it di questa sequenza di casualità.

    Nessuna polemica nei confronti del Dipartimento di scienze dell'informazione dell'Università di Milano, giusto uno spunto per approfondire.

    non+autenticato
  • | "L'attacco ha consentito a un intruso di ottenere documenti digitalmente firmati da
    | un utente, all'insaputa dello stesso".
    ....
    | ogni volta che un utente sottoponeva un documento al processo di
    | firma, il codice maligno poteva sottoporne altri
    ...
    | Quindi si suppone che:
    | 1. l'utente usi esattamente quel programma da loro attaccato

    Il chè è di solito garantito dal fatto che si vuole attaccare una firma emessa da una specifica Certification Authority italiana; se hai quella smart card, DEVI usare quel lettore e quel programma ...

    > 2. usi la stessa macchina per certificare i documenti e accedere ad internet

    Non necessariamente. Qui si dice solamente che è stato possibile firmare digitalmente dei documenti all'insaputa dell'utente, senza rubare la smart card e senza avere il PIN.
    Il fatto che questo sia stato ottenuto mediante un virus attaccato da Internet, piuttosto che introdotto nottetempo nel PC da uno scassinatore, o da un floppy disk infetto, o copiato da un collega durante la pausa pranzo è ininfluente ... Quello che conta è sempre il fatto che non occorre avere smart card e pin per firmare un documento all'insaputa del firmatario.

    > 3. questa macchina sia configurata male dal punto di vista della sicurezza

    (ad esempio che non sia stata chiusa in una cassaforte quando il proprietario non era nelle vicinanze?)

    > 4. il "virus" sia in grado di farsi mandare indietro il documento maligno firmato
    > dall'utente (e di questo non si parla nell'articolo quanto meno non specifica la
    > tecnica utilizzata per farlo)

    Anche questo è ininfluente. Lo scassinatore di prima è tornato il giorno dopo durante la pausa pranzo e ha copiato su di un floppy la firma del documento; va bene?

    La vulnerabilità sta tutta nel fatto che la firma sia stata apposta SENZA CHE CHI FIRMAVA FOSSE AVVERTITO DI QUELLO CHE STAVA FIRMANDO!
    non+autenticato