Ancora con 'sta PEC
Gandalf Corvotempesta
gazzetta ufficiale)
"Il 19 gennaio 2009, infatti, l'articolo 16 del Decreto Legge 185/2008
ha subito, in fase di conversione in legge[5], modifiche rilevanti che
rendono non piￜ obbligatoria la PEC per cittadini, liberi professionisti
e aziende, qualora essi abbiano a disposizione un analogo indirizzo di
posta elettronica basato su tecnologie che certifichino data e ora
dell'invio e della ricezione delle comunicazioni e l'integritￜ del
contenuto delle stesse, garantendo l'interoperabilitￜ con analoghi
sistemi internazionali."
Per cui, se io installo openpec, sono in regola?
Chi certifica il mio sistema? In caso di noie legali,
quali dati mi saranno chiesti ed in che modo ne sarￜ
verificata la non mutazione?
Finchￜ tutto va bene, son bravi tutti, ma se c'ￜ da
far valere la mail dal punto di vista legale, come faccio
a sapere che non si mettano a ridere in faccia al mio sistema?
Teoricamente (teoricamente) con la PEC tradizionale in CNIPA
dovrebbe controllare il sistema adottato dal provider, ma se
uno se lo fa in casa?
sac...@gmail.com
la PEC ha valore legale solo e solo se i 2 soggetti (mittente e
destinatario)
sono certificati PEC
p.s.
io ho visto che l'INPS e l'ACI (ma probabilmente anche altri enti)
danno una casella PEC gratuita ai loro iscritti
Gandalf Corvotempesta
> la PEC ha valore legale solo e solo se i 2 soggetti (mittente e
> destinatario)
> sono certificati PEC
La PEC si, ma quel decreto dice che la PEC non � pi�
obbligatoria per determinati soggetti purch� vengano
implementati sistemi di certificazione analoghi.
Supponiamo che io sia in grado di implementare un sistema
analogo (magari installando openpec), chi "certifica" il
mio sistema in modo che in caso di noie legali non mi
prendano a pesci in faccia?
whiplash
> Chi certifica il mio sistema?
Devi essere accreditato al CNIPA.
C'è scritto ben chiaro proprio sul sito di openpec.
Gandalf Corvotempesta
> Devi essere accreditato al CNIPA.
> C'è scritto ben chiaro proprio sul sito di openpec.
Per offrire PEC si.
Ma se io volessi offrire un servizio di
nome "pincopalla" usando openpec, non devo
obbligatoriamente essere iscritto.
E la normativa, non obbliga l'iscrizione, si possono
usare sistemi analoghi purchè si riesca a garantire
l'immutabilità della mail ed altre robe.
C'è un decreto legge a riguardo.
E' chiaro che senza accreditamento non la chiami PEC.
claudio
> Supponiamo che io sia in grado di implementare un sistema
> analogo (magari installando openpec), chi "certifica" il
> mio sistema in modo che in caso di noie legali non mi
> prendano a pesci in faccia?
perdona la franchezza, ma renditi conto che l'impiegato medio in Italia
sa' appena leggere e scrivere. cosa vuoi che ne sappiano di pec?
l'Italia merita di andar male.
perdonate lo sfogo.
--
----------------------------------
linux slackware
tutto il resto e' inutile
----------------------------------
chiave pubblica gpg
www.claudiove.com/claudio.gpg
----------------------------------
Gandalf Corvotempesta
> perdona la franchezza, ma renditi conto che l'impiegato medio in Italia
> sa' appena leggere e scrivere. cosa vuoi che ne sappiano di pec?
Allora io non sono un impiegato medio.
Ma che cazzo centra con il mio quesito?
un decreto legge autorizza l'utilizzo di sistemi
equivalenti, ma chi dice "a chi di dovere" che il
mio sistema � equivalente, in caso di noie legali?
whiplash
> un decreto legge autorizza l'utilizzo di sistemi equivalenti
Sì, ma tu hai capito davvero cosa voglia davvero dire quel
decreto?
Io no, francamente.
Gandalf Corvotempesta
> Sì, ma tu hai capito davvero cosa voglia davvero dire quel
> decreto?
> Io no, francamente.
No, per questo chiedevo.
L'unica cosa che ho capito, stando anche a wikipedia
è che la PEC non è obbligatoria per le aziende, liberi
professionisti ed altre categorie SE si adottano sistemi
analoghi a garantire l'identificabilità del mittente e
l'inalterabilità della transazione.
Facilmente implementabile, così su due piedi mi viene
in mente pgp o simile, ma in caso di noie legali?
Che dati bisogna fornire?
Comunque, in linea generale, ho notato che le leggi
sono molto più complesse di quello che sembra.
A cominciare, ad esempio, dagli hotspot wireless.
Basta attivare WPA2 enterprise con autenticazione
radius e loggare il traffico iptables. Bon.
Nient'altro, confermato dalla poltel più volte.
Se dai retta alla legge, pagine e pagine di legalese
per dire che devi attivare wpa2 con autenticazione
radius e salvare i log di iptables.
Per cui non escludo che anche questa PEC sia in realtà
più semplice di come si pensi. Magari basta davvero
attivare pgp ed in caso di noie legali si invia il
messaggio incriminato, la chiave pubblica per convalidarlo
ed un estratto del log su cd agli incaricati.
usenet
Non vorrei mettere in dubbio le tue competenze..
Ma sei proprio sicuro d'aver capito cosa significano le ultime righe
sotto lo schemino http://www.openpec.org/architettura.shtml
Mi riferisco alla parte in cui dice "lo firma elettronicamente
attraverso il modulo HSM"..
Dubito fortemente che openpec sia in grado di gestire qualsiasi modulo
HSM, non fosse altro perch� per interfacciarsi richiede i driver del
produttore (rigorosamente close source) e la libreria PKCS#11 e
ovviamente andr� interfacciata con il CSP (Cryptogrphic Service
Provider) per gli amici OpenSSL
Quindi fossi in te prima darei un occhiata a quanto mi costa un HSM..
Gandalf Corvotempesta
> Non vorrei mettere in dubbio le tue competenze..
>
> Ma sei proprio sicuro d'aver capito cosa significano le ultime righe
> sotto lo schemino http://www.openpec.org/architettura.shtml
> Quindi fossi in te prima darei un occhiata a quanto mi costa un HSM..
Io non ho detto che si deve usare obbligatoriamente openpec,
era solo come esempio.
La normativa parla di sistemi equivalenti, non obbliga ad usare
openpec.
Una volta che riesci a garantire l'autenticit� del messaggio
(pgp?) sei gi� al 90% del lavoro, proprio perch� � un sistema
equivalente. Tra l'altro, la normativa mi pare faccia riferimento
anche a standard internazionali, il che esclude automaticamente
tutto il sistema pec e apre le porte a sistemi di autenticazione
ben pi� conosciuti.
La domanda non � tanto come usare openpec senza accreditamento
bens�: chi certifica il "sistema equivalente" come "equivalente"?
usenet
Certamente, ma per "garantire l'immutabilità" devi firmare digitalmente
le mail attraverso un HSM, mica puoi creare semplicemente una priv-key e
un certificato da tenere sul server richiamandolo direttamente da OpenSSl.
Ora, ammenoché il tuo server non gestisca meno di 100 mail/giorno, nel
qual caso si potrebbe pure utilizzare una volgarissima smart-card da 25€
ed un lettore USB sei costretto o ad acquistare una soluzione in box
tipo signing-server (50.000,00€ circa) o implementare un HSM PCI
attraverso dirver_proprietari/PKCS#11/OpenSSL (5.000/15.000€ di hardware
+ il lavoro)
Certo si potrebbe tentare di fare la sbarambata.. con una Scheda Sun
Crypto Accelerator 6000
Che teoricamente funzina anche da HSM in modalità Firmware Based ECC
Gandalf Corvotempesta
> Ora, ammenoché il tuo server non gestisca meno di 100 mail/giorno, nel
> qual caso si potrebbe pure utilizzare una volgarissima smart-card da 25€
> ed un lettore USB sei costretto o ad acquistare una soluzione in box
> tipo signing-server (50.000,00€ circa) o implementare un HSM PCI
> attraverso dirver_proprietari/PKCS#11/OpenSSL (5.000/15.000€ di hardware
> + il lavoro)
essere iscritto al CNIPA.
Qui: http://www.camera.it/parlam/leggi/09002l.htm
si legge:
"6. Le imprese costituite in forma societaria sono tenute a indicare il
proprio indirizzo di posta elettronica certificata nella domanda di
iscrizione al registro delle imprese o analogo indirizzo di posta
elettronica basato su tecnologie che certifichino data e ora dell'invio
e della ricezione delle comunicazioni e l'integrita' del contenuto delle
stesse, garantendo l'interoperabilita' con analoghi sistemi
internazionali. Entro tre anni dalla data di entrata in vigore del
presente decreto tutte le imprese, gia' costituite in forma societaria
alla medesima data di entrata in vigore, comunicano al registro delle
imprese l'indirizzo di posta elettronica certificata. L'iscrizione
dell'indirizzo di posta elettronica certificata nel registro delle
imprese e le sue successive eventuali variazioni sono esenti
dall'imposta di bollo e dai diritti di segreteria."
Le domande ora sono
1) che cappero significa: "analogo indirizzo di posta elettronica basato
su tecnologie che certifichino data e ora dell'invio e della ricezione
delle comunicazioni e l'integrita' del contenuto delle stesse,
garantendo l'interoperabilita' con analoghi sistemi internazionali" ?
Il PGP basta per garantire l'immutabilità ?
2) Dato che la pec, viene considerata tale se e solo se sia il
mittente che il destinatario sono pec, se io, con un sistema
analogo internazionale scrivo ad un pec, o se un pec scrive a
me, che diavolo succede? E' carta straccia o comunque avrebbe
valore legale?
I 15k euro si potrebbero investire, il ritorno l'avresti vendendo
caselle. 15k euro sono alla portata di tutti, 1 milione di
capitale sociale un po meno.
Gandalf Corvotempesta
> tipo signing-server (50.000,00€ circa) o implementare un HSM PCI
> attraverso dirver_proprietari/PKCS#11/OpenSSL
Ma perchè non posso firmare il certificato in locale?
Cosa cambia tra un signing-server o un HSM?
Solo la CA che firma?
Non mi pare sia scritto che la CA debba essere riconosciuta, potrei
firmare in autonomo i messaggi con una mia CA.
whiplash
> Dubito fortemente che openpec sia in grado di gestire qualsiasi modulo
> HSM
Mi sa che ti sbagli.
"OpenPEC 2.2 aggiunge inoltre un approccio nuovo per la comunicazione verso i moduli HSM con
l'obiettivo di migliorarne l'affidabilità ed aumentare la velocità nelle operazioni di firma
e verifica."
whiplash
> Ora, ammenoché il tuo server non gestisca meno di 100 mail/giorno, nel
> qual caso si potrebbe pure utilizzare una volgarissima smart-card da 25€
> ed un lettore USB sei costretto o ad acquistare una soluzione in box
> tipo signing-server (50.000,00€ circa) o implementare un HSM PCI
> attraverso dirver_proprietari/PKCS#11/OpenSSL (5.000/15.000€ di hardware
> + il lavoro)
Per quale motivo, esattamente?
usenet
> Il 03/11/2009 23:52, usenet ha scritto:
>> Non vorrei mettere in dubbio le tue competenze..
>>
>> Ma sei proprio sicuro d'aver capito cosa significano le ultime righe
>> sotto lo schemino http://www.openpec.org/architettura.shtml
> [cut]
>> Quindi fossi in te prima darei un occhiata a quanto mi costa un HSM..
>
> Io non ho detto che si deve usare obbligatoriamente openpec,
> era solo come esempio.
>
> La normativa parla di sistemi equivalenti, non obbliga ad usare
> openpec.
>
> Una volta che riesci a garantire l'autenticit� del messaggio
> (pgp?) sei gi� al 90% del lavoro, proprio perch� � un sistema
> equivalente.
Ok, ora non cominciamo a sparare cazzate.. PGP centra na mazza!
Tra l'altro, la normativa mi pare faccia riferimento
> anche a standard internazionali, il che esclude automaticamente
> tutto il sistema pec e apre le porte a sistemi di autenticazione
> ben pi� conosciuti.
Mmh! vedi che per "standard internazionali" non intendono le cazzate che
si leggono su qualche giornaletto co i pinguini saltellanti in copertina..
Ci si riferisce all'ETSI (European Telecommunications Standards
Insitute) nella fattispecie ETSI TS 102 640 ecc..
>
> La domanda non � tanto come usare openpec senza accreditamento
> bens�: chi certifica il "sistema equivalente" come "equivalente"?
Trovi tutto (o quasi) sotto
http://www.cnipa.gov.it/site/it-it/Normativa/Leggi,_Decreti_e_Direttive/
sezione "Documento informatico e firme elettroniche"
Nulla da spartire con PGP
usenet
Tu ovviamente sai di cosa stai parlando vero?
Ora, ipotizzando pure che qualcuno si sia messo li a riscriversi un
implementazione del PKCS#11 per integrarlo e ipotizzando pure che si
siano messi a reimplementare OpenSSL..
Resta il fatto che devi utilizzare un driver proprietario visto che non
c'è altro modo per comunicare con l'hardware quindi?
Sei in grado di spiegare come funziona ho hai semplicemente letto sta
cazzata da qualche parte?
usenet
OK ci riprovo.. fai un bel respiro e dimenticati PGP, studiati il
funzionamento di una PKI "vera", ovvero di quelle accreditabili, non di
quelle che ti dicono di creare la PKI con OpenSSL mettendo le chiavi su
CD e nasconderle in cassa forte..
> 2) Dato che la pec, viene considerata tale se e solo se sia il
> mittente che il destinatario sono pec, se io, con un sistema
> analogo internazionale scrivo ad un pec, o se un pec scrive a
> me, che diavolo succede? E' carta straccia o comunque avrebbe
> valore legale?
Ha valore legale! ma un sistema "analogo" ovvero "identico" basato sugli
standard definiti dall'UE
> I 15k euro si potrebbero investire, il ritorno l'avresti vendendo
> caselle. 15k euro sono alla portata di tutti, 1 milione di
> capitale sociale un po meno.
Si come no.. c'è la coda di gente che vuole acquistare la PEC da te,
quando Aruba la regala a 5€/anno e il governo parla di darla via gratis
a tutti.
whiplash
> whiplash ha scritto:
>> Il Tue, 03 Nov 2009 23:52:02 +0100, usenet scrisse:
>>
>>> Dubito fortemente che openpec sia in grado di gestire qualsiasi modulo
>>> HSM
>>
>> Mi sa che ti sbagli.
>> "OpenPEC 2.2 aggiunge inoltre un approccio nuovo per la comunicazione
>> verso i moduli HSM con l'obiettivo di migliorarne l'affidabilità ed
>> aumentare la velocità nelle operazioni di firma e verifica."
>
> Tu ovviamente sai di cosa stai parlando vero?
Mi sto documentando, in effetti.
> Ora, ipotizzando pure che qualcuno si sia messo li a riscriversi un
> implementazione del PKCS#11 per integrarlo e ipotizzando pure che si
> siano messi a reimplementare OpenSSL..
Prova a riscriverlo in termini più comprensibili, magari.
Ti do una simpatica informazione: ci sono, ad esempio, moduli
HSM che attacchi a una bella rete, installi un simpatico client
specifico per il modulo HSM sul server e ti interfacci con tale
modulo via TCP/IP.
> Resta il fatto che devi utilizzare un driver proprietario visto che non
> c'è altro modo per comunicare con l'hardware quindi?
Ci sono API standard, sai...
> Sei in grado di spiegare come funziona ho hai semplicemente letto sta
> cazzata da qualche parte?
No, sei tu che stai sparando a zero, con una sicumera e un'arroganza
che mi fa capire bene che sei l'ennesima reicarnazione del solito
stronzo che ha cambiato più di una decina di nick e che sistematicamente
viene messo nel kill file da tutto il gruppo.
usenet
> Il 04/11/2009 00:06, usenet ha scritto:
> una soluzione in box
>> tipo signing-server (50.000,00€ circa) o implementare un HSM PCI
>> attraverso dirver_proprietari/PKCS#11/OpenSSL
>
> Ma perchè non posso firmare il certificato in locale?
> Cosa cambia tra un signing-server o un HSM?
HSM è un Hardware Security Module che può essere sia come una scheda PCI
sia come PCMCI, smart-card, token USB ecc.. generalmente si intende il
dispositivo PCI da embeddare nel server (ma non necessariamente)
Per signing-server o Host Security Module si intende un server esterno
che firma un file (a richiesta) a volte utilizzto come TSA (Time
Stamping Authority)
>
> Solo la CA che firma?
> Non mi pare sia scritto che la CA debba essere riconosciuta, potrei
> firmare in autonomo i messaggi con una mia CA.
Ma ci sei o ti fai.. hai dato un occhiata alla struttura dei certificati
utilizzati?
Te la riassumo brevemente..
GTE CyberTrust Global Root -> CNIPA CA3 -> Posta Certificata Aruba PEC
Se tu firmi un -qualsiasi-cosa- con un certificato self-signed io
(inteso come client-mail) come cazzo faccio a sapere chi sei?
Ovvio che tutti dovranno utilizzare come Root CA delle CA accreditate
globalmente e possibilmente presenti di default in tutti i client mail
senno cazzo facciamo a sapere chi firma cosa? Con un sistema self-signed
si otterrebbe null'altro che un bordello con migliaia di smanettoni che
vogliono auto-accreditarsi.
usenet
> Il Wed, 04 Nov 2009 00:37:21 +0100, usenet scrisse:
>
>> whiplash ha scritto:
>>> Il Tue, 03 Nov 2009 23:52:02 +0100, usenet scrisse:
>>>
>>>> Dubito fortemente che openpec sia in grado di gestire qualsiasi modulo
>>>> HSM
>>> Mi sa che ti sbagli.
>>> "OpenPEC 2.2 aggiunge inoltre un approccio nuovo per la comunicazione
>>> verso i moduli HSM con l'obiettivo di migliorarne l'affidabilità ed
>>> aumentare la velocità nelle operazioni di firma e verifica."
>> Tu ovviamente sai di cosa stai parlando vero?
>
> Mi sto documentando, in effetti.
>
>> Ora, ipotizzando pure che qualcuno si sia messo li a riscriversi un
>> implementazione del PKCS#11 per integrarlo e ipotizzando pure che si
>> siano messi a reimplementare OpenSSL..
>
> Prova a riscriverlo in termini più comprensibili, magari.
>
> Ti do una simpatica informazione: ci sono, ad esempio, moduli
> HSM che attacchi a una bella rete, installi un simpatico client
> specifico per il modulo HSM sul server e ti interfacci con tale
> modulo via TCP/IP.
Grazie per l'informazione.. si chiamano HSM (Host Security Module) e
generalmente funzionano come web services SOAP
>> Resta il fatto che devi utilizzare un driver proprietario visto che non
>> c'è altro modo per comunicare con l'hardware quindi?
>
> Ci sono API standard, sai...
Ma và.. sarà un caso che l'abbiano chiamato PKCS#11 Cryptographic Token
Interface Standard forse perchè è uno standard?
>> Sei in grado di spiegare come funziona ho hai semplicemente letto sta
>> cazzata da qualche parte?
>
> No, sei tu che stai sparando a zero, con una sicumera e un'arroganza
> che mi fa capire bene che sei l'ennesima reicarnazione del solito
> stronzo che ha cambiato più di una decina di nick e che sistematicamente
> viene messo nel kill file da tutto il gruppo.
???
usenet
Perché per firmare un file un token o una smart card impiegano 5 secondi
o più, se devi firmare migliaia di mail necessariamente dovrai avere
qualcosa di moolto più veloce.
Gandalf Corvotempesta
> Mi sa che ti sbagli.
> "OpenPEC 2.2 aggiunge inoltre un approccio nuovo per la comunicazione verso i moduli HSM con
> l'obiettivo di migliorarne l'affidabilità ed aumentare la velocità nelle operazioni di firma
> e verifica."
Comunque sia, openpec in soldoni firma la mail tramite
s/mime, non è che fa chissà quale strana bizzarria.
Prende la mail, la firma con smime, salva il timestamp
e la invia.
Per cui, secondo me, si può implementare (in tempi brevi)
un qualcosa di simile:
- l'utente con il suo MUA non configurato in alcun modo particolare
invia ad un nostro gateway pseudo-pec
- il gateway (avente un nostro certificato rilasciato da una CA, ma
secondo me può anche essere self-signed) riceve la mail, la firma e
la cifra, rendendola immutabile.
- parallelamente, il gateway, utilizza un servizio di timestamping
remoto (ne conosco almeno due che lo fanno gratuitamente, gli invii
un testo, che può essere una sorta di descrizione con mittente,
destinatario, data ed ora esatti ed altre cosette, e te lo sparano
indietro firmato e con un timestamp immutabile). Questa sarà la
ricevuta di trasmissione con valore legale.
- il gateway spara la mail al gateway del destinatario il quale prova
a decifrare il mime. Se ci riesce, vuol dire che si tratta di una mail
firmata correttamente (si tratta quindi della nostra pseudo-pec)
altrimenti, proprio come accade con la PEC vera, viene rimbalzata al
mittente, in quanto un server pec non può ricevere mail normali (afaik)
- resta solo da capire quando generare la ricevuta di ricezione.
In fase di scaricamento messaggi? Si può istruire dovecot tramite
qualche script a creare un nuovo timestamp firmato da sparare al
mittente. In fase di ricezione sul gateway? Non cambia niente, si
istruisce il gateway (postfix? Exim?) a far firmare la ricevuta appena
si riesce a decifrare il mime del messaggio.
Per me in 2 giorni di lavoro si fa.
Funziona *esattamente* come la PEC, solo che anzichè utilizzare
questo HSM (qualunque cosa esso sia) si fa firmare il messaggio tramite
servizi esterni, che, imho, ne aumenta ulteriormente la sicurezza. Se
butta male, si potrebbero fare internamente anche le operazioni di
timestamping)
Un certificato CA "pubblico" non serve, perchè la comunicazione avviene
tra i due gateway di proprietà.
In alternativa, si potrebbe configurare direttamente il MUA per firmare
automaticamente la posta in uscita, ma cosa accadrebbe se dovessimo
inviare mail ad un indirizzo PEC? Sarebbe rimbalzata, il che significa
che non potrei mai scrivere, legalmente, al mio avvocato che ha una PEC
su aruba. Lui ha una casella certificata, io, in teoria, anche, però
il server PEC la rifiuterebbe.
Viceversa, se un utente PEC scrivesse a me, non riceverebbe mai la
ricevuta di ricezione, per cui anche in questo caso, non ci sarebbe
alcun valore legale.
L'unica differenza tra il sistema con i due gateway di cui sopra
e la PEC, se non erro, è come viene presentato il messaggio al
destinatario. Nel caso di PEC il messaggio originale è un allegato,
nel nostro caso, il messaggio è inlinea, come una mail tradizionale.
Nulla vieta, però, di ricevere il messaggio, generare un timestamp
firmato, allegare al timestamp (che diventerà il testo della mail)
il messaggio originale, firmare e cifrare tutto il pacchetto con
smime. In ricezione, una volta decifrato, ci si ritroverà una
notifica di invio (il timestamp) con in allegato il messaggio
originale.
(ho raccolto varie informazioni in giro per la rete, su vari siti
non proprio amatoriali, tra cui punto-informatico. Non si tratta
quindi di supposizioni fatte da dei blogger incazzati con l'intero
sistema che va a capire cosa scrivono e come interpretano le leggi)
usenet
> Funziona *esattamente* come la PEC, solo che anzichè utilizzare
> questo HSM (qualunque cosa esso sia) si fa firmare il messaggio tramite
> servizi esterni, che, imho, ne aumenta ulteriormente la sicurezza. Se
> butta male, si potrebbero fare internamente anche le operazioni di
> timestamping)
Si, come no... il sig. Broccolini ci certifica tutto direttamente dal
suo scantinato..
Mi sa che sei lontano anni-luce da un implementazione PEC..
Punto primo: i certificati digitali su cui è basato l'intero sistema
devono "per legge" essere archiviati in HSM, che poi per
comodità/velocità tieni il certificato su Hard Disk frega niente a
nessuno ma la "chiave privata" per legge deve rimanere nell'HSM il ché
in soldoni significa che per firmare il messaggio devi interagire
obbligatoriamente con l'HSM.
L'alternativa di far firmare esternamente il tutto non è percorribile
per una serie di motivi a cominciare dal fatto che il firmatario deve
obbligatoriamente essere un certificatore "accreditato" CNIPA e non
certamente la prima TSA che trovi free in qualche università..
E si ritorna al problema iniziale, niente CA accreditata CNIPA, niente
PEC, per risolvere il problema basta creare una S.P.a. con un milione di
euro di capitale sociale, poi se ne può parlare seriamente.
Gandalf Corvotempesta
> Mi sa che sei lontano anni-luce da un implementazione PEC..
Te non hai capito un cazzo.
Guarda, non vado oltre a leggere. Tanto non sai di cosa
sto parlando.
Giandomenico De Tullio
> Punto primo: i certificati digitali su cui è basato l'intero sistema
> devono "per legge" essere archiviati in HSM, che poi per
> comodità/velocità tieni il certificato su Hard Disk frega niente a
> nessuno ma la "chiave privata" per legge deve rimanere nell'HSM il ché
> in soldoni significa che per firmare il messaggio devi interagire
> obbligatoriamente con l'HSM.
D'oh ... mi torna in mente il tanto vituperato TPM :D
esiste un modulo per openssl e mi pare di ricordare che abbia "un po' di
memoria" per memorizzarsi sul chip FRITZ delle chiavi/certificato .. ;)
usenet
Che non centra una fava.. TPM è progettato per certificare l'hardware,
sostanzialmente per creare una rete fidata di "macchine"
indipendentemente da chi ne sia il reale utilizzatore, utile per
infrastrutture militari ma assurdo per un sistema civile.
Un infrastruttura (PKI) basata su smart card, token e HSM è progettata
per identificare l'utente indipendentemente dall'hardware utilizzato,
quindi i certificati sono "nominali" e legati ad una persona fisica.
Ciò non toglie che si possano utilizzare per identificare anche
dell'hardware o per lo meno il server che "emette" file/servizi
firmandoli digitalmente, in realtà però può essere anche molto più
flessibile operando attraverso web services.