CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
ROMA, 10 Maggio 2004
CNS: sicurezza, flessibilità ed interoperabilità
coniugati in un unico strumento
Alessandro Scognamiglio
Strategic Marketing Manager
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Agenda
 Sicurezza




Chip
Sistema Operativo
Produzione
Circuito di emissione
 Flessibilità
 Circuito di emissione
 Multiapplicazione
 Caricamento servizi locali/aggiuntivi – MultiGestione
 Interoperabilità
 Sistema Operativo (APDU Command)
 File System
 Formato Dati
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Chip
 Dispositivi di sicurezza fisici
 Schermi metallici attivi
 Dispositivi di sicurezza logici
 Sensori
 Anti SPA
 Anti DPA
 Certificazione di Sicurezza
Common Criteria EAL 4+ (PP
9806)
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Sistema Operativo

Controllo della sensoristica di bordo

Algoritmi efficaci ed efficienti per la
generazione di rumore di fondo per
tutte le operazioni sensibili

Gestione del Timing attack per il
calcolo delle quantità di sicurezza (PIN,
PUK, chiavi segrete, ….)

Gestione dei comportamenti out of range
 Implementazione di meccanismi anti-tyring, mantenimento della coerenza
dei dati
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Produzione 1/3
La produzione delle smart card destinate ad operare come CNS deve avvenire
con criteri che garantiscano la segretezza delle informazioni presenti nelle carte
inizializzate. E’ opportuno scegliere produttori che abbiano provata esperienza
nella produzione di carte con elevati requisiti di sicurezza (ad esempio carte di
credito e di debito).
 autenticazione certa dell’operatore
 registrazione di tutte le operazioni
effettuate e dei dati utili alla tracciatura
del processo
 protezione delle informazioni di
tracciatura in modo tale da garantirne
integrità e non ripudio
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Produzione 2/3
 Conservazione e trasporto delle carte
• Caveau
• Trasporto con card traveller nello stesso plant, e con ddt per
plant diversi
 Gestione degli scarti
• Controllo all’unità
• Distruzione con verbale e con più persone
 Generazione delle chiavi
• archivi cifrati per le chiavi PIN, PUK,
etc…
 Tracciatura delle operazioni
• Conservazione dei registri cartacei o
elettronici per almeno 10 anni
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Produzione 3/3

Protezione delle informazioni di tracciatura
 registri elettronici cifrati con smartcard RSA
 gestione e custodia sicura della smartcard operatore
 Misure organizzative
 Almeno un Responsabile della
sicurezza presente per ogni turno
 Garanzia del rispetto di tutte le
procedure
 Misure di sicurezza fisiche
 Almeno doppio livello recintato con
telecamere e sistemi anti intrusione
 Custodia 24h
 Accesso dei dipendenti differenziato
per funzione
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Circuito di emissione
Deve garantire:
 Verifica dei dati anagrafici
 Consegna della carta al titolare
 Consegna dei codici segreti PIN e PUK
Presso i centri di personalizzazione e di emissione dovranno essere attuate le misure tecniche ed
organizzative previste per la tutela dei dati personali (Codice in materia di protezione dei dati
personali – DL 30 giugno 2003, n. 196).
 Protezione delle carte inizializzate
 Protezione dei flussi di dati
 Canali cifrati (almeno 128 bit)
 Mutua autenticazione
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Agenda
 Sicurezza




Chip
Sistema Operativo
Produzione
Circuito di emissione
 Flessibilità
 Circuito di emissione
 Multiapplicazione
 Caricamento servizi locali/aggiuntivi – MultiGestione
 Interoperabilità
 Sistema Operativo (APDU Command)
 File System
 Formato Dati
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Circuito di emissione 1/2
Produttore
Personalizzatore
Autenticazioni pending
Registration Authority
Acquisizione dati
Emettitore
Registrazione
Ente Certificatore
Autorizzazione
Verifica dati
Emissione carta
Emissione PIN
Accesso
Fornitori dei
servizi applicativi
Centro Servizi
di Autenticazione
Identificazione
Accesso al servizio
di identificazione
Gestione della CA
Archivi Identificativi
Liste di revoca e sospensioni
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Circuito di emissione 2/2
 Produzione, Inizializzazione
• Presso un produttore accreditato (che rispetta le misure di sicurezza)
 Personalizzazione
• Presso l’ente emettittore o presso struttura delegata (che rispetta le
misure di sicurezza, e comunque, la responsabilità e’ dell’ente
emettitore)
 Rilascio certificati di autenticazione
• Possono operare come emettitori dei certificati di autenticazione della
CNS esclusivamente i certificatori accreditati di cui all’articolo 5 del
Decreto Legislativo 23 gennaio 2002, n.10.
 Imbustamento e consegna
• Presso strutture dell’ente emettitore o direttamente a casa via posta
(ma solo dopo la necessaria fase d’identificazione a vista e dopo la
dichiarazione del non possesso CIE)
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Multiapplicazione
E’ un documento di Identificazione in Rete
Consente la fruizione di servizi PA Centrali
Consente la fruizione di servizi PA Locali
Può ospitare la funzionalità di firma digitale qualificata
Può ospitare applicazione di carta Sanitaria Netlink
compatibile
 Può ospitare Servizi di Pagamento On-Line





» ed inoltre…
 Può ospitare altri certificati
X.509 per altre funzionalità
di sicurezza (Cifra, posta
elettronica firmata, …)
 Altri dati, per altre
applicazioni specifiche, quali
controllo accesso fisico,
caricamento di token per
eventuali sistemi di
pagamento a circuito
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Servizi locali / Firma Digitale
Qualificata / Multigestione
 Servizi aggiuntivi Locali
 Possono essere caricati dall’ente emettitore, anche
dopo il rilascio e a cura di una struttura delegata
 Firma Digitale Qualificata
 Può essere caricata da una delle CA pubbliche ed
accreditata
 Multigestione: diversi enti possono gestire in sicurezza
la stessa card (ASL, Certificatore)
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Servizi aggiuntivi, come si implementano?
La creazione degli oggetti nel
DF2 può avvenire solo dopo
essersi autenticati con la
chiave BSO_InstPubKey
DF2
BSO_InstPubKey
BSO_Kic
Chiave di Autenticazione
RSA (External
Authentication)
Chiavi 3DES per il Secure
Messaging
BSO_Kia
EF_InstFile
File Binario ad accesso
libero:
Contiene Kia | Kic cifrate.
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Agenda
 Sicurezza




Chip
Sistema Operativo
Produzione
Circuito di emissione
 Flessibilità
 Circuito di emissione
 Multiapplicazione
 Caricamento servizi locali/aggiuntivi – MultiGestione
 Interoperabilità
 Sistema Operativo (APDU Command)
 File System
 Formato Dati
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
Sistema Operativo
 Interoperabilità fondata su ISO 7816 1, 2, …, 9
 Part 1-4 full
 Part 8 oggetti di sicurezza
 Part 9 comandi per la gestione del ciclo di vita
 Il protocollo d’intesa 13 maggio 2003




Siglato da Mininterno, MIT e i 9 principali produttori di smartcard
Standard aperto
Art 2 e art 4 Garanzia nel mantenimento dello standard tecnologico
Art 3 Consultazioni per la definizione, approvazione e verifica di eventuali variazioni
indotte dallo sviluppo tecnologico.
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.
File System e Struttura Dati
MF
PIN_CNS
EF_Dati processore
 Distribuzione controllata
DF0
PUK_CNS
EF_ID_Carta
PIN_SO
EF_C_Carta
Kpri 
DF1
EF_Dati personali
 Minimum File Set interoperabile con CIE
(prima emissione, attuale emissione)
EF_Fotografia
EF_Template_fingerprint
EF_Dati personali aggiuntivi
 Compatibile con NetLink
DF2
EF_Memoria residua
EF_Servizi installati
EF_INST_FILE
INSTpub 
Kia 
Kic 
DF_Servizio #1
DF_Servizio #2
DF_Servizio #N
DF Firma digitale
DF Netlink
EF-GDO Netlink
 PKCS#11 e ASN1
CNS: sicurezza, flessibilità ed interoperabilità coniugati in un unico strumento.

Contacts




ST Incard S.r.l.
Z.I. Marcianise Sud
81025 – Marcianise (CE)
Italy
 Alessandro Scognamiglio
 Strategic Marketing Manager
 E-mail:
[email protected]
m
 Tel. +39 0823 630469
 Mobile +39 335 7413064

Per ulteriori informazioni
 Padiglione 24 stand 11G
 www.incard.it
© 2004 ST Incard S.r.l. All right reserved. Specifications and information subject to change without notice. The products described in
this presentation are subject to continuos development and improvement. All other trademark referred to herein, whether registered or
not in specific countries, are the property of their respective owners. Version 1 Revision 0, May 2004