(Classe 5a) - Sistemi e Reti

Un’evoluzione delle soluzioni di autenticazione basate su password è quella basata su chiave, in cui il soggetto non deve digitare l’informazione o “key” segreta (si tenga infatti presente che una chiave di 512 bit pseudocasuali non può essere memorizzata!) ma utilizzarla per cifrare un messaggio convenzionale: il sistema verificherà che tale testo cifrato è stato prodotto da un preciso soggetto.

L’autenticazione di un soggetto con chiave asimmetrica prevede che egli codifichi un messaggio convenzionale (di solito un hash, ma per la sola autenticazione potrebbe essere un’altra cosa) con la propria chiave privata, che solo lui può avere, e che il sistema di autenticazione (ad esempio un Server AAA-Authentication, Authorization & Accounting) la controlli, decifrandola con la sua chiave pubblica. Eventualmente, anche il Server può identificarsi con l’utente, con una procedura opposta (mutual authentication), per garantirgli che è un Server affidabile, e non un sistema fasullo (fake) predisposto da un hacker per ingannare l’utente.

Usando invece una chiave simmetrica condivisa tra due utenti, questi possono vicendevolmente autenticarsi generando e verificando un MAC-Message Authentication Code, da spedire insieme ai propri messaggi; il MAC non può però essere considerato una firma digitale, essendo generabile teoricamente da più soggetti.

Per Firma Elettronica si intende, come abbiamo visto più sopra, più precisamente un allegato di determinati messaggi inviati sulle reti, che abbia le seguenti caratteristiche:

• deve essere legato in modo univoco al loro autore e, possibilmente, anche al momento in cui è stato apposto (timestamp)
• deve essere verificabile da terze parti autorizzate
• deve garantire autenticità e integrità del messaggio firmato (essendone un Hash)
• deve risultare di uso sicuro, cioè non facilmente falsificabile, e rapido.

La “digital signature” si basa sulla crittografia a chiave asimmetrica, e consente al ricevente di rilevare se il messaggio e la firma ricevuti sono entrambi del mittente, e coerenti tra loro, confrontandone i due“estratti” (hash) ricavati, come indicato in figura. 

La firma elettronica ha valore legale in Italia dal 10 Nov. 1997 (DPR n.513).