Articoli con tag HSM

HSM: tormento ed estasi (per pochi addetti ai lavori)

scade HSM 25-07-2014

La data è arrivata e superata: il 25 luglio segnava la data ultima in cui erano ancora accettati, come apparati sicuri di firma digitale alcuni HSM, in attesa di certificazione Common Criteria.
Certificazione, appunto, che avrebbe dovuto essere rilasciata entro quella data.

Essendo stato superato il limite temporale, l’art.1 c.1 del DPCM 19/07/2012, pubblicato in G.U. n.236 il 10/10/2012 è divenuto operativo, imponendo quindi alle Certification Authority accreditate, la definizione e la comunicazione ad AgID -entro 15gg dalla scadenza [vedi Art.3 c.1]- del piano di migrazione al quale le stesse CA sono saranno tenute ad attenersi ed a completare entro i successivi 6 mesi.
“Successivi sei mesi” li ipotizzo -nella migliore delle ipotesi- dalla data di consegna del piano di migrazione; con questi presupposti, la prossima deadline è quindi il 9 febbraio 2015.

Quindi, fino a questa nuova scadenza, i suddetti apparati, potranno ancora essere utilizzati per la creazione di firma digitali legalmente valide; in questo ulteriore lasso di tempo, sarà ancora possibile per un produttore di questi apparati, cercare di completare il processo di certificazione.  La regola attuale dice però, che al termine di quest’ultima finestra temporale, gli apparati che non saranno in possesso di una certificazione valida, dovranno essere dismessi.

Inoltre, visto che gli apparati utilizzati fino ad oggi, non potevano gestire (o non avrebbero dovuto poter gestire) il backup delle chiavi in loro possesso, il senso del termine “migrazione” sta proprio a significare che, le coppie di chiavi nate e/o operative all’interno di HSM non certificati alla data del 9 febbraio 2015, non dovranno più essere utilizzate e i certificati qualificati ad esse associati dovranno essere -auspicabilmente- revocati.

Ora, come dicevamo in un precedente articolo, al momento esiste un solo HSM certificato secondo le richieste della legge italiana: é un apparato sofisticato e potente, ma estremamente costoso in proporzione al numero massimo di 20 (venti) firmatari, che può gestire in modo conforme alla sua certificazione e quindi alla legge.

É pur vero che un’altro apparato HSM riceverà a breve una corretta certificazione Common Criteria [l’informazione deriva dalla pubblicazione -da parte del distributore italiano- di una lettera ufficiale da parte di OCSI su questo argomento]

Anche questo è un apparato sofisticato ed efficiente e per giunta non soffre di limitazioni pratiche sul numero dei firmatari gestibili, anche se il prezzo di vendita di licenza d’uso per firmatario non è esattamente economico; ma naturalmente ognuno a casa propria stabilisce le regole che crede più opportuneHSM - agony and ecstasy

Del terzo fornitore di HSM, sarà bene al momento sorvolare; questa azienda non è riuscita a certificare nei termini prescritti il proprio apparato e sembra abbia dichiarato che non ci riuscirà neppure allo scadere dell’effettuazione del piano di migrazione, il 9 febbraio 2015; (ufficiosamente) sembra si possa riparlare della sua certificazione, per fine anno 2015.

Questa prima battaglia tra HSM è quindi al momento conclusa: abbiamo un primo vincitore, anche se un poco di nicchia ed un secondo vincitore, con un prodotto più utilizzabile; poi abbiamo un perdente / rimandato di cui forse si tornerà a parlare a fine 2015.

Ora che abbiamo due HSM perfettamente legali, certificati e -realmente- validi, nel disegnare una architettura che comporti la firma digitale automatica, dovremo scegliere uno di questi due HSM?

Beh, non è affatto detto(1)

(1) Qui c’era un link ad un’altro articolo, dove sarebbe stato possibile -in particolari contesti- trovare una buona alternativa agli HSM … per ragioni diplomatiche ho dovuto rimuoverlo 😦  vi devo lasciare quindi con un dubbio amletico e contemporaneamente con una traccia.

Annunci

, , , , ,

Lascia un commento

ICT Security: Beware CopyCats!

É stato correttamente fatto notare da un ex Consulente CNIPA, che alcuni sedicenti fornitori di prodotti di sicurezza, hanno inventato soluzioni di firma digitale automatica a costi sicuramente competitivi ma creando, altrettanto sicuramente, soluzioni poco serie.

ICT Security:  Beware Copycats!

Beware Copycats!

Alcuni di questi, hanno infatti provato a copiare il metodo, messo a punto da Secure Edge e proseguito poi da GT50, che si basa sull’uso di lotti di chip crittografici oltre ad una serie di misure di sicurezza, di procedure e di security policy.

Questo approccio integrato ha permesso lo sviluppo della Piattaforma Appliance 2D-Plus ed il superamento con successo di alcune ispezioni effettuate congiuntamente dal Ministero dell’Interno e dalla (allora) DigitPA, su installazioni da noi effettuate e tuttora operative presso importanti Enti di Pubblica Amministrazione.

Da sempre, come nostra politica e buona prassi nel campo della sicurezza ICT, abbiamo rilasciato pubblicamente tutta la documentazione e la descrizione delle architetture, delle procedure e delle security policy consigliate in questo tipo di progetti.

Questa trasparenza è uno dei motivi per cui la nostra soluzione è in esercizio presso piú di100 Clienti, tra Pubblica Amministrazione Centrale e Locale, Università ed Enti di Previdenza.

Contemporaneamente la disponibilità al pubblico di questa importante mole di informazioni e know how, ha sicuramente consentito a qualche improvvisato, di vestirsi di panni non propri e di sviluppare soluzioni di firma digitale automatica scarsamente valide, come ha evidenziato l’Autore della nota di cui stiamo parlando.

Non si diventa professionisti della sicurezza da un giorno all’altro, ne copiando il lavoro altrui, ne tantomeno semplicemente perché si rivendono prodotti intrinsecamente seri e validi.

Vale sempre la pena di ricordare che:

Security is a not a product, but a process
(Security Engineer Mantra)
[Bruce Schneier – Communications of the ACM October 1999]

Al contrario, questi fornitori –senza per altro possedere abbastanza competenza tecnica e capacità di attenzione alla norma, tale che gli permettesse di impostare una soluzione corretta sia tecnicamente che legalmente– hanno tutt’al più connesso una o più smart card ad un server senza preoccuparsi di molto altro; al massimo qualcuno, tentando di copiare un’altra nostra idea, ha chiuso questi lettori di smart card all’interno di “scatole” di varia natura.

Siamo quindi sicuramente d’accordo con chi ha detto (e scritto) prima di noi:

“[…] è necessario, per evitare sorprese, utilizzare prodotti seri
e non affidarsi a soluzioni di dubbia sicurezza o completamente illegali.”

In Secure Edge prima ed in GT50 oggi, siamo particolarmente attenti alle architetture, allo sviluppo software, alle procedure e security policy presenti nelle piattaforme tecnologiche che forniamo ai nostri Clienti e che -tipicamente- comprendono la completa gestione e controllo sulla firma digitale automatica.

Questo, probabilmente, anche a fronte di un’esperienza nel settore della sicurezza, della crittografia e della firma digitale, che conta (ahimè) ormai più 20 anni ed è supportata da una serie di certificazioni professionali.

Da tutto ciò ne deriva che le applicazioni di firma digitale automatica da noi proposte, comprendono tutti i meccanismi descritti in precedenza, necessari a rendere queste applicazioni valide tecnicamente e legalmente, all’interno di una corretta gestione e completo controllo sulla generazione di firme digitali.

Inoltre, allo scopo di mantenere al livello più alto la certezza delle operazioni, abbiamo scelto anche di accreditarci come Registry Authority, con le due Certification Authority più importanti del mercato italiano.

In questo modo, anche il “semplice” processo di erogazione di un certificato qualificato, nel contesto particolare della procedura automatica, viene gestito con il corretto livello di attenzione, nel rispetto del Cliente/firmatario e della sua completa consapevolezza.

Siamo una delle poche aziende interamente italiane che opera a livello di architettura e di sviluppo software, realizzando soluzioni di sicurezza tecnologicamente adeguate ed economicamente convenienti nel mercato della firma digitale.

Fortunatamente i nostri clienti e le nostre referenze parlano più di chiunque altro.

, , , , ,

Lascia un commento

HSM -> ultimi giorni (-14) per l’8a proroga alla certificazione Common Criteria

nulla di nuovo: tutto in perfetto stile italiano

nulla di nuovo: il perfetto stile italiano

Ieri era il 10 luglio 2014; ventuno mesi fa, il DPCM del 19 luglio 2012 veniva pubblicato nella G.U. SG n.237 10/10/2012.

IL DPCM concedeva l’ottava ed ultima(?) proroga di 21 mesi (+ 15gg dalla pubblicazione della GU) alle autocertificazioni (dei certificatori di firma elettronica), che attestavano la rispondenza dei dispositivi per l’apposizione di firme elettroniche con procedure automatiche, ai requisiti di sicurezza previsti dalla normativa vigente.

Naturalmente questa proroga, interessava “solo” i dispositivi che non fossero già certificati secondo la specifica Common Criteria, con un Security Target approvato etc…

Tra altre due settimane quindi il termine sarà scaduto, il che significa che la maggioranza dei dispositivi in uso nel contesto della firma automatica, dovranno essere -per legge- sostituiti.

Stato dell’arte della certificazione degli HSM (in Italia)

Alla data attuale, un solo fornitore di questi dispositivi, è riuscito a certificare due apparati (sostanzialmente simili) negli ultimo otto mesi:

sono ottimi apparati, ma limitati come numero di differenti titolari delle coppie “chiavi/certificato”.
… oddìo, c’e’ stata la necessità di aggiungere delle Note Interpretative per permettere la certificazione, ma non sottilizziamo.

Altri due dispositivi -credo si possa affermare: i più utilizzati nei service di firma automatica- sono ancora in corso di accertamento, uno da 3 e l’altro da 4 anni!
(Ebbene si, il processo di certificazione Common Criteria non è una passeggiata)

Houston, WE’VE GOT A PROBLEM! … ma qui, a chi lo dico?

Data la premessa, le attuali implementazioni che usano questi apparati, dovranno essere “revisionate”.
Dal 9 agosto i certificatori avranno 6 mesi per effettuare un piano di migrazione … ma per andare dove, visto che non ci sono apparati certificati (e plausibili) per fare il mestiere che serve?

comunque,
e’ probabile che fornitori ed OCSI sfrutteranno questi 6 mesi rimasti nelle pieghe della norma, per completare il processo di certificazione;  e tutti confidiamo nel fatto che -prima o dopo- vengano certificati ambedue gli apparati:

il monopolio non è mai cosa gradita.

Ma quelli come noi, che li impiegano nei progetti di firma automatica, che faranno nel frattempo?
– proporranno ai propri cliente apparati (non esattamente cheap, uh?) che forse dovranno dismettere dopo pochi mesi?
– rimanderanno i progetti, fino ad un momento di chiarificazione? (rimandare un progetto, con la fame di business che c’è?)

Alternative

L’uso di lotti di smart card, per poter gestire un numero ristretto di firmatari (diciamo 100?) è ancora plausibile, ma su progetti importanti non aiuta.

Mi pento di non aver progettato un HSM, 4 anni fa … ma non è mai troppo tardi!

Qualcuno è interessato?

, ,

Lascia un commento