Progetto e sviluppo di una PKI basata su Smart Card

L’attenzione rivolta dalla pubblica amministrazione verso le nuove tecnologie è più che mai crescente. L’adozione su larga scala di un modello di interazione con il cittadino che semplifichi l’accesso ai servizi, e snellisca le procedure burocratiche, passa attraverso l’uso sempre più massiccio delle reti informatiche aperte e delle tecnologie a loro connesse. L’esigenza più sentita è quella di un sistema di accesso ai servizi della pubblica amministrazione nel quale convergano innovazione tecnologica, efficienza dell’infrastruttura di supporto, sicurezza delle transazioni in tutte le sfaccettature del termine, e il corretto trattamento dei dati personali. In quest’ottica sono stati attivati molti progetti di e-government, alcuni in via sperimentale, altri giunti a piena maturità, che hanno in comune l’obiettivo di fornire al cittadino un mezzo semplice, flessibile, portabile e sicuro per l’acceso a servizi offerti da enti locali e nazionali. Non è un caso che questi sforzi siano più evidenti proprio nell’amministrazione della sanità pubblica, poiché la mole di dati e documenti coinvolti è tanto vasta quanto importante è garantirvi l’accesso ai soli soggetti in possesso dei corretti requisiti e delle relative autorizzazioni, come ad esempio il medico curante, il personale ospedaliero o il paziente stesso. La chiave di volta di questi sistemi deve quindi essere uno strumento in grado di rendere semplice e sicuro l’accesso ai sistemi critici e ai documenti sensibili. Una possibile soluzione è rappresentata dalle smart card, adottate da numerose istituzioni come l’elemento che permette di verificare, con un buon grado di confidenza, l’identità di chi accede ai servizi e, grazie alla firma digitale realizzata con questo strumento, assicurare l’integrità e la provenienza dei documenti elettronici scambiati tra due entità. I requisiti minimi che sistemi di questo tipo devono garantire agli utenti sono quindi la riservatezza della comunicazione, l’integrità dei dati, e l’autenticazione delle parti: per soddisfarli si impiegano largamente tecniche basate sulla crittografia asimmetrica (o a chiave pubblica), alle quali le smart card offrono un supporto robusto in termini di sicurezza e praticità. La firma digitale è al centro dell’attenzione dei legislatori italiani ed europei: la legge Bassanini (n.59 del 15 marzo 1997) ha introdotto per la prima volta in Italia il concetto di documento informatico, e il successivo decreto attuativo (DPR 513/97) equipara le transazioni basate sui documenti informatici a quelle effettuate con i tradizionali documenti cartacei, stabilendo la validità legale della firma digitale. Nell’allegato tecnico del DPCM dell’8 febbraio 1999, la cui stesura è stata curata dall’AIPA (oggi CNIPA) sono specificate le «regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici», ovverosia le linee guida per la realizzazione di una infrastrutture a chiave pubblica (PKI), supporto necessario all’utilizzo su larga scala di sistemi di sicurezza basati sulla crittografia asimmetrica. Esistono numerosi esempi di progetti, per la maggior parte portati avanti dagli enti locali in coordinazione o cofinanziamento con i ministeri competenti, che fanno uso di queste tecnologie applicate alla gestione della sanità pubblica; tra loro si possono citare come esempio CRS-SISS (Carta Regionale dei Servizi – Sistema Informativo Socio-Sanitario) della regione Lombardia, TeleMed-ESCAPE (Electonic Signature in Care Activities for Paper Elimination) e IESS (Integrazione per l'erogazione di Servizi in Sanità) della regione Veneto, SISRCR (Servizi Integrati Sanitari Regionali per la Continuità della Cura) della regione Friuli Venezia Giulia. Gli obiettivi di queste iniziative sono l’accesso diretto e sicuro da parte del cittadino ai propri dati personali e la progressiva eliminazione del documento cartaceo, rimpiazzato dai soli supporti informatici. Progetti di respiro nazionale sono invece quelli per la Carta di Identità Elettronica (CIE) e la Carta Nazionale dei Servizi (CNS). La tendenza in questo settore è la convergenza verso un unico supporto di sicurezza, in modo da evitare la proliferazione che uno strumento diverso per ogni servizio comporterebbe. La condizione di base per realizzare tale convergenza è l’interoperabilità, intesa sia a livello dei formati di interscambio, che della standardizzazione delle componenti dei sistemi coinvolti. Questo lavoro segna l’inizio di una collaborazione tra il Dipartimento di Elettronica, Intelligenza Artificiale e Telecomunicazioni dell’Università Politecnica delle Marche e la ASL n.7 di Ancona, il cui obiettivo finale è la realizzazione di una PKI basata su smart card. Tra i requisiti di sistema l’accento è stato posto sulla semplicità nelle procedure di inizializzazione e attivazione delle smart card degli utenti, che in una prima fase di sperimentazione saranno individuati in un gruppo di medici di base dislocati sul territorio della provincia di Ancona. Struttura della tesi Il primo capitolo introduce le tecniche crittografiche simmetriche e a chiave pubblica, che costituiscono uno dei pilastri teorici per gli attuali sistemi di sicurezza. Il secondo capitolo vuole offrire una panoramica sugli standard e sui software indispensabili per la messa in opera di una PKI. Il terzo capitolo illustra le principali caratteristiche della piattaforma Java dal punto di vista alla sicurezza e del supporto per la crittografia. Il quarto capitolo offre una panoramica dei principali standard industriali o internazionali, de facto o ufficiali per l’interoperabilità tra le smart card e i sistemi che le supportano. Il quinto capitolo descrive l’approccio seguito nell’impostazione della PKI per la ASL n.7, e in particolare l’implementazione di un sistema remoto di Registration Authority e di una Certification Authority off-line per la generazione e la distribuzione delle credenziali di accesso (coppie di chiavi asimmetriche e certificati) agli utenti del sistema. Infine, in appendice, sono riportati estratti significativi del codice Java sviluppato.

Corso di Laurea: 
Laurea Magistrale in Ingegneria Informatica
Anno Accademico: 
2004
Tesista
Tesista: 
Germano Paciocco
Relatore
Relatore: 
Prof. Aldo Franco Dragoni
Email: 
Correlatore
Correlatore: 
Prof. Paolo Puliti
Email: