Differenze tra le versioni di "Carta Nazionale dei Servizi e Firma Digitale"
| Riga 18: | Riga 18: | ||
I produttori di smartcard (o meglio di microchip) dovrebbero rispettare lo standard [http://www.rsa.com/rsalabs/node.asp?id=2141 pkcs#15], ma non sempre lo fanno. Per questo abbiamo bisogno di driver specifici (spesso binari e non-Liberi). | I produttori di smartcard (o meglio di microchip) dovrebbero rispettare lo standard [http://www.rsa.com/rsalabs/node.asp?id=2141 pkcs#15], ma non sempre lo fanno. Per questo abbiamo bisogno di driver specifici (spesso binari e non-Liberi). | ||
| − | == | + | ==Athena== |
| − | + | Smartcard fra le più diffuse (CRS Lombardia, TS Toscana, TS Sardegna, ArubaPEC), sono del produttore [http://www.athena-scs.com/ Athena] è possibile scaricare i driver binari dal sito [http://www.pec.it/Download.aspx Aruba]. | |
| − | == | + | ==Incard== |
| − | |||
| − | |||
| − | + | Alcune smartcard utilizzate in Italia (Camere di Commercio, Infocert, ArubaPEC) sono del produttore [http://www.incard.it/ Incard]. I driver di queste smartcard sembrano essere sviluppati da Bit4id e sono rilasciati gratuitamente, ma non-Liberi, in formato binario su [https://www.pec.it/download-software-driver.aspx Aruba]. | |
==Oberthur== | ==Oberthur== | ||
| − | Le smartcard [http://www.oberthur.com/ Oberthur] sono utilizzate per la firma digitale da [https://www.pec.it ArubaPEC], molti ordini professionali emettono per i loro associati smartcard di questo produttore. | + | Le smartcard [http://www.oberthur.com/ Oberthur] sono utilizzate per la firma digitale da [https://www.pec.it ArubaPEC], molti ordini professionali emettono per i loro associati smartcard di questo produttore. Utilizzano il medesimo driver di Incard scaricabile su [https://www.pec.it/download-software-driver.aspx Aruba] |
| − | |||
| − | |||
| − | |||
| − | |||
==Siemens== | ==Siemens== | ||
| − | + | Molto usate in passato dalle Camere di Commercio e adesso dalla [http://www.regione.liguria.it/argomenti/diritti-e-doveri-del-cittadino/carta-regionale-dei-servizi.html CRS ligure], le smartcard Siemens richiedono il software [http://supportcrs.fascicolo-sanitario.it/modulistica/ CardOS]. | |
| − | |||
| − | |||
==Vecchie smartcard== | ==Vecchie smartcard== | ||
Versione delle 09:35, 15 dic 2021
Questa pagina è un maldestro tentativo di fare chiarezza sul "mondo" delle smartcard con microchip crittografico, delle funzioni che tramite esse vengono veicolate e del loro utilizzo con Linux.
Strumenti di Cittadinanza digitale a cura di Giulia del GOLEM.
CNS
Una smartcard si definisce «Carta Nazionale dei Servizi» quando ha a bordo del suo microchip un certificato utile per l'autenticazione online, strutturato secondo quanto richiesto dalla legge italiana.
Anche la CIE «Carta d'Identità Elettronica», la «tessera sanitaria regionale» TS e le carte regionali dei servizi CRS sono a tutti gli effetti CNS.
Sono strumenti di riconoscimento online d'identità e possono essere utilizzate anche per Firma Digitale FD.
La smartcard è quindi l'oggetto fisico. Può contenere soltanto la funzionalità CNS, soltanto la funzionalità FD o entrambe, oppure nessuna (come nel caso delle tessere sanitarie con microchip appena giunte al cittadino e non ancora "attivate").
Produttori di smartcard
I produttori di smartcard (o meglio di microchip) dovrebbero rispettare lo standard pkcs#15, ma non sempre lo fanno. Per questo abbiamo bisogno di driver specifici (spesso binari e non-Liberi).
Athena
Smartcard fra le più diffuse (CRS Lombardia, TS Toscana, TS Sardegna, ArubaPEC), sono del produttore Athena è possibile scaricare i driver binari dal sito Aruba.
Incard
Alcune smartcard utilizzate in Italia (Camere di Commercio, Infocert, ArubaPEC) sono del produttore Incard. I driver di queste smartcard sembrano essere sviluppati da Bit4id e sono rilasciati gratuitamente, ma non-Liberi, in formato binario su Aruba.
Oberthur
Le smartcard Oberthur sono utilizzate per la firma digitale da ArubaPEC, molti ordini professionali emettono per i loro associati smartcard di questo produttore. Utilizzano il medesimo driver di Incard scaricabile su Aruba
Siemens
Molto usate in passato dalle Camere di Commercio e adesso dalla CRS ligure, le smartcard Siemens richiedono il software CardOS.
Vecchie smartcard
Un bell'elenco, storico, molto dettagliato, di microchip e dei relativi produttori si trova nella documentazione Infocert. Sysgillo, InCrypto, Siemens... le vecchie firme digitali delle Camere di Commercio.
Lettori di smartcard
Chi produce i lettori spesso rispetta lo standard pkcs#11, quindi i lettori più nuovi dovrebbero risultare compatibili con Linux.
I seguenti lettori di smartcard sono stati testati e funzionano con Linux
Bit4id
miniLector Piano di Bit4id: funziona.
Manhattan
Lo vende (per esempio) icintracom: funziona.
Sembra lo stesso lettore che vende anche Digicom. Visto da Trony a 17,99 euro (settembre 2012). Logo Linux sull'esterno della scatola.
Hamlet
Hamlet: funziona.
Gemalto
Lettori di smartcard IDBridge CT family. Secondo Ludo funzionano.
Dal sito web di Gemalto, sia per i lettori PC USB SL, sia per quelli PC USB TR e PC TWIN si hanno buone notizie per quanto riguarda Linux:
«This USB CCID device is supported by the libccid library. This library provides a PC/SC IFD handler implementation for the USB smart card interface devices compliant to the CCID protocol. Gemalto is actively involved in the development and improvement of this library. This library is packaged and distributed by most of the Linux distributions. TIPS: Use the package manager from your specific Linux distribution to search for the libccid library and install it. The libccid source code is available on the following web site: Alioth.»
ASEDrive - Athena
Athena produce non soltanto le smartcard, ma anche i lettori ASEDrive: dovrebbero funzionare.
Firma digitale FD
Supponendo di avere fatto bene tutte le configurazioni utili per i lettori e anche per la smartcard in nostro possesso, possiamo provare a firmare con un software di firma. Ce ne sono pochi di Liberi (o Open Source), molti sono a pagamento, alcuni sono non-Liberi ma gratuiti.
Aruba Sign
Il miglior software multi-piattaforma disponibile è probabilmente Aruba Sign. Prodotto da Aruba, gratuito ma non libero, è scritto in Java e disponibile per Windows, MacOS X e Linux. Permette di firmare documenti, apporre marcature temporali ed ulteriori operazioni come la modifica del PIN di una CNS. Affinché riconosca correttamente il proprio lettore è necessario inserire il percorso del driver nella sezione Opzioni e Parametri, es. su Arch Linux con lettore Bit4id: /usr/lib/bit4id/libbit4xpki.so
Marcatura temporale - Timestamp
Una marcatura temporale si può apporre con File Protector. Quello di marcatura temporale è un servizio che viene fornito, tramite un server, da una TSA Time Stamping Authority (per dirla in modo grossolano un server terzo firma col suo certificato l'impronta del nostro file dopo averci aggiunto data e ora).
Le marcature devono essere acquistate (per esempio su pec.it).
FreeSigner
Basato su j4sign, è un programma che permette di effettuare e verificare firme digitali. E' multipiattaforma ed è possibile scaricarlo dalla pagina sourceforge di j4sign. Supporta i più recenti standard normativi di firma CADeS e qualsiasi smartcard compatibile con lo standard PKCS#11 e linux.
Manca l'elenco delle "qualsiasi" smartcard compatibili con lo standard pkcs#11 (ma forse sarebbe più corretto dire pkcs#15). Seppur senza una verifica precisa, sembra che le carte più diffuse in Italia (Athena, Incard, Oberthur) NON siano pienamente compatibili con lo standard pkcs quindi richiedono driver proprietari.
Firma digitale e Thunderbird
Ecco una buona risorsa, da verificare. Sembra che Thunderbird abbia problemi nel mostrare allegati firmati .p7m, per la precisione allegati di tipo application/pkcs7-mime o application/x-pkcs7-mime. Una buona soluzione sembra essere SmartP7M.
Thunderbird gestisce anche messaggi di posta elettronica certificata PEC. Quando un messaggio PEC ha allegati firmati (.p7m) se la verifica della firma fallisce, il documento allegato sembra che non venga mostrato. ThunderPEC dice di aiutarci in questo ma è ancora tutto da verificare (vuoi farlo tu?).
Tessera Sanitaria
La cosiddetta Tessera Sanitaria non è altro che una Carta Nazionale dei Servizi.
Le prime tessere sanitarie non avevano il microchip, servivano soltanto perché funzionavano da codice fiscale (che poteva essere letto in automatico dal codice a barre stampato su di esse).
Tipologie
| Sigla | Tipologia Carta | Linux |
| AT 2012 | Siemens / ATOS | OK |
| AC 2013, 2014, 2018 | Actalis | OK |
| ACx 2021 | Actalis | OK |
| ACe 2021 | Actalis | OK |
| OT 2015, 2016 | OBERTHUR | OK |
| ID 2019 | IDEMIA | OK |
| ST 2021 | STMICROELECTRONICS | OK |
La maggior parte di queste carte è supportata dal driver libero OpenSC (CardOS su Windows), nel caso la vostra non lo fosse sarà possibile utilizzarla attraverso i Driver Proprietari
Portali Regionali
- Tessera Sanitaria e Carta Provinciale dei Servizi della Provincia Autonoma di Bolzano
- Carta dei Servizi del Friuli Venezia Giulia
- Carta regionale dei Servizi Regione Liguria
- Carta Regionale dei Servizi Regione Lombardia
- Tessera Sanitaria Regione Toscana Guida all'uso Lettore di smartcard a 4,20 euro
- Tessera Sanitaria Regione Sardegna
- Tessera Sanitaria e Carta Provinciale dei Servizi Provincia Autonoma di Trento.
Carta d'Identità Elettronica
La CIE è una CNS identica alle altre. I driver proprietari per le varie piattaforme sono scaricabili qui.
Installazione SmartCard su Linux
Distribuzioni
Debian/Ubuntu/Mint
Installare i seguenti pacchetti
# apt install pcsc-tools pcscd opensc opensc-pkcs11
Le nuove card ACx 2021 non sono ancora supportate dal driver, occorre scaricare ed installare manualmente il seguente pacchetto
Il demone pcscd si avvierà automaticamente.
Arch Linux
Installare i seguenti pacchetti, utili solo per smartcard del produttore Athena (libaseCnsP11)
# pacman -Sy ccid pcsclite pcsc-tools opensc
Abilitare e avviare pcscd
# systemctl enable pcscd.socket # systemctl start pcscd.socket
Le tessere sanitarie prodotte a partire dal 2021 non sono ancora supportate dal driver opensource, sarà necessario scaricare e compilare manualmente il seguente pacchetto.
Testare il funzionamento della carta
# pcsc_scan
Dovrebbe produrre un output di questo genere, contenente alcune informazioni sulla CNS, tra cui dovreste riconoscere le vostre generalità.
PC/SC device scanner V 1.4.22 (c) 2001-2011, Ludovic Rousseau <ludovic.rousseau@free.fr> Compiled with PC/SC lite version: 1.8.10 Using reader plug'n play mechanism Scanning present readers... 0: ACS ACR38U-CCID 00 00 Mon May 5 22:52:40 2014 Reader 0: ACS ACR38U-CCID 00 00 Card state: Card inserted, ATR: 3B DF 18 00 81 31 FE 7D 00 6B 15 0C 01 81 01 11 01 43 4E 53 10 31 80 E8
Localizzare la libreria
Al termine dell'installazione, è necessario individuare la libreria opensc-pkcs11.so, che serve per configurare il browser e utilizzare la tessera con esso.
Generalmente può essere trovata in uno dei seguenti percorsi:
- /usr/lib/opensc-pkcs11.so
- /usr/lib/x86_64-linux-gnu/opensc-pkcs11.so
Oppure qua per i nuovi driver proprietari aggiornati al 2021
- /usr/lib/bit4id/libbit4xpki.so
Se non si riesce a localizzarla, si può provare a cercarla col seguente comando:
$ find / -name "opensc-pkcs11.so" 2> /dev/null
Applicazioni
Molte applicazioni possono usare il certificato della CNS per autenticarvi, come il browser o ssh.
Browser
Attenzione: collegare sempre il lettore prima di aprire il browser!
Dopo la configurazione, è possibile verificare il funzionamento collegandosi alla pagina test di Aruba ed inserendo il PIN.
Firefox
- Collegare il lettore di smartcard
- Avviare Firefox
- Inserire la tessera sanitaria nel lettore
- In Firefox, selezionare Modifica → Preferenze → Privacy e sicurezza → Dispositivi di sicurezza
- Cliccare su Carica, inserire una descrizione (es: TesseraSanitaria) ed il percorso corretto del file
opensc-pkcs11.soolibbit4xpki.so, come individuati precedentemente.
Chrome/Chromium
Chiudere il browser, quindi aprire un terminale e lanciare i seguenti comandi, modificando opportunamente il percorso del file opensc-pkcs11.so, come individuato precedentemente.
$ cd ~ $ modutil -dbdir sql:.pki/nssdb/ -add "OpenSC" -libfile /usr/lib/opensc-pkcs11.so
Nel caso dei driver del 2021 sarà invece necessario usare quest'altro comando
$ cd ~ $ modutil -dbdir sql:.pki/nssdb/ -add "CNS2021" -libfile /usr/lib/bit4id/libbit4xpki.so
SSH
Estrarre la chiave pubblica (il percorso della libreria dipende dalla distribuzione):
ssh-keygen -D /usr/lib/i386-linux-gnu/opensc-pkcs11.so
Dopo aver copiato la chiave pubblica sul sistema remoto (ad es. in ~/.ssh/authorized_keys), è possibile collegarsi fornendo il PIN quando richiesto:
ssh -I /usr/lib/i386linuxgnu/opensc-pkcs11.so indirizzo-del-server
Utilità
Modificare PIN
$ pkcs15-tool --change-pin