HSM -> ultimi giorni (-14) per l’8a proroga alla certificazione Common Criteria

nulla di nuovo: tutto in perfetto stile italiano

nulla di nuovo: il perfetto stile italiano

Ieri era il 10 luglio 2014; ventuno mesi fa, il DPCM del 19 luglio 2012 veniva pubblicato nella G.U. SG n.237 10/10/2012.

IL DPCM concedeva l’ottava ed ultima(?) proroga di 21 mesi (+ 15gg dalla pubblicazione della GU) alle autocertificazioni (dei certificatori di firma elettronica), che attestavano la rispondenza dei dispositivi per l’apposizione di firme elettroniche con procedure automatiche, ai requisiti di sicurezza previsti dalla normativa vigente.

Naturalmente questa proroga, interessava “solo” i dispositivi che non fossero già certificati secondo la specifica Common Criteria, con un Security Target approvato etc…

Tra altre due settimane quindi il termine sarà scaduto, il che significa che la maggioranza dei dispositivi in uso nel contesto della firma automatica, dovranno essere -per legge- sostituiti.

Stato dell’arte della certificazione degli HSM (in Italia)

Alla data attuale, un solo fornitore di questi dispositivi, è riuscito a certificare due apparati (sostanzialmente simili) negli ultimo otto mesi:

sono ottimi apparati, ma limitati come numero di differenti titolari delle coppie “chiavi/certificato”.
… oddìo, c’e’ stata la necessità di aggiungere delle Note Interpretative per permettere la certificazione, ma non sottilizziamo.

Altri due dispositivi -credo si possa affermare: i più utilizzati nei service di firma automatica- sono ancora in corso di accertamento, uno da 3 e l’altro da 4 anni!
(Ebbene si, il processo di certificazione Common Criteria non è una passeggiata)

Houston, WE’VE GOT A PROBLEM! … ma qui, a chi lo dico?

Data la premessa, le attuali implementazioni che usano questi apparati, dovranno essere “revisionate”.
Dal 9 agosto i certificatori avranno 6 mesi per effettuare un piano di migrazione … ma per andare dove, visto che non ci sono apparati certificati (e plausibili) per fare il mestiere che serve?

comunque,
e’ probabile che fornitori ed OCSI sfrutteranno questi 6 mesi rimasti nelle pieghe della norma, per completare il processo di certificazione;  e tutti confidiamo nel fatto che -prima o dopo- vengano certificati ambedue gli apparati:

il monopolio non è mai cosa gradita.

Ma quelli come noi, che li impiegano nei progetti di firma automatica, che faranno nel frattempo?
– proporranno ai propri cliente apparati (non esattamente cheap, uh?) che forse dovranno dismettere dopo pochi mesi?
– rimanderanno i progetti, fino ad un momento di chiarificazione? (rimandare un progetto, con la fame di business che c’è?)

Alternative

L’uso di lotti di smart card, per poter gestire un numero ristretto di firmatari (diciamo 100?) è ancora plausibile, ma su progetti importanti non aiuta.

Mi pento di non aver progettato un HSM, 4 anni fa … ma non è mai troppo tardi!

Qualcuno è interessato?
Annunci

, ,

  1. Lascia un commento

Rispondi

Inserisci i tuoi dati qui sotto o clicca su un'icona per effettuare l'accesso:

Logo WordPress.com

Stai commentando usando il tuo account WordPress.com. Chiudi sessione / Modifica )

Foto Twitter

Stai commentando usando il tuo account Twitter. Chiudi sessione / Modifica )

Foto di Facebook

Stai commentando usando il tuo account Facebook. Chiudi sessione / Modifica )

Google+ photo

Stai commentando usando il tuo account Google+. Chiudi sessione / Modifica )

Connessione a %s...

%d blogger hanno fatto clic su Mi Piace per questo: