September 2020 - nexa - server-nexa.polito.it

Re: [nexa] PAdES, la P.A. nel caos

by Antonio Iacono

> L'EU, perché PAdES fa parte delle firme normate da eIDAS; non credo che > l'Italia possa fare diversamente. Semplificando e tralasciando il modo in cui si è arrivati a queste scelte, l'EU dice, io vi do tre scelte, decidete voi. Un paese attento, lungimirante, sceglierà non in base alle pressioni, alla "facilità" di una soluzione rispetto ad un'altra ma guarderà al futuro, quando, prima o poi i "sogni" di Stefano si avvereranno (perchè è questione di tempo ma si ci arriverà), ovvero quando i sistemi informativi dialogheranno tra di loro per il bene della cittadinanza (IA for good). > A qualcuno in lista risultano casi giudiziari conclusi o pendenti in cui > si chiede conto ad un funzionario perché ha rifiutato un documento > consentito o, peggio, abbia scritto nero su bianco un regolamento > contrario alla norma di legge? Non ha scritto un regolamento contrario alla norma di legge, ha "soltanto" preso dalle norme la parte che interessava loro. Non ha violato la legge dicendo di utilizzare PAdES. I dirigenti, i funzionari, difficilmente si fanno trovare in fallo riguardo al diritto. E' il loro lavoro e molto spesso sono affiancati da esperti legali, dentro e fuori dall'amministrazione. Se chiedi, lui o loro ti rispondono: "La legge lo permette e allora lo faccio, il mio reparto informatico ha detto che la soluzione con PAdES costa X, quella con XAdES costa 2X. Io sono un manager e scelgo la prima per far risparmiare il mio ente e beccarmi pure un bonus". Non gli puoi obiettare nulla. Antonio

Sept. 18, 2020

Re: [nexa] PAdES, la P.A. nel caos

by Giovanni Biscuolo

Buongiorno Antonio, Antonio Iacono <antiac(a)gmail.com> writes: [...] > Con il PDF e PAdES l'Italia, secondo me, ha imboccato la strada larga, > ma senza uscita. L'EU, perché PAdES fa parte delle firme normate da eIDAS; non credo che l'Italia possa fare diversamente. > Prendiamo questo provvedimento dell'università di Foggia [1]. > [...] > Ma come, prima scrivono che è possibile usare altri formati e subito > dopo che la firma deve essere in formato PAdES? Quindi la mia considerazione: --8<---------------cut here---------------start------------->8--- Rimane il fatto che la P.A. è fatta di persone che al volte decidono di abusare della loro posizione per rifiutare ai cittadini l'invio dei documenti in uno dei formati accettati per la conservazione legale. O mi sbaglio? --8<---------------cut here---------------end--------------->8--- non è poi così campata per aria, no? Forse non mi sto sbagliado troppo a caratterizzare la situazione in quel modo. A qualcuno in lista risultano casi giudiziari conclusi o pendenti in cui si chiede conto ad un funzionario perché ha rifiutato un documento consentito o, peggio, abbia scritto nero su bianco un regolamento contrario alla norma di legge? [...] Saluti, Giovanni. -- Giovanni Biscuolo

Sept. 18, 2020

Re: [nexa] PAdES, la P.A. nel caos

by Antonio Iacono

... > In realtà è molto peggio di così, in generale ... Grazie Roberto, non ti avrei tirato in ballo se non fossi stato certo della tua straordinaria competenza e pluriennale esperienza. L'altro giorno percorrevo in bici una stradina nel dintorni del mio paese. Ad un certo punto un bivio, a destra il percorso stretto e tortuoso che conoscevo già, a sinistra una strada molto larga che non avevo mai preso. Incuriosito su dove portasse quella strada a sinistra, l'ho imboccata. I primi dubbi mi sono balenati subito dopo i primi chilometri, nessun'auto, nessuna bici, nessuna presenza umana. Poco prima di affrontare una lunga discesa, con il sole che stava tramontando, assalito dal timore che la strada non portasse da nessuna parte e che fossi costretto a ripercorrerla al contrario, in salita, rischiando di arrivare a casa al buio, mi sono fermato. Ho preso lo smartphone e dalla mappa mi sono reso conto che era una strada senza uscita. Perché ho raccontato questa storiella personale? Cosa voglio intendere? Primo, che tu puoi anche prendere una strada nuova, ma devi avere buoni motivi per pensare di non dover tornare indietro (la mappa è perfetta come metafora perché è come uno sguardo dall'alto e uno sguardo dall'alto è come guardare più lontano da dove ci si trova). Secondo, che se ti viene il dubbio di avere imboccato la strada sbagliata è meglio tornare indietro subito perché dopo potrebbe essere più dura dell'andata. Con il PDF e PAdES l'Italia, secondo me, ha imboccato la strada larga, ma senza uscita. Prendiamo questo provvedimento dell'università di Foggia [1]. "Il documento amministrativo informatico deve essere redatto in modo tale che il suo contenuto risulti non alterabile durante le fasi di accesso e di conservazione e immutabile nel tempo, pertanto il file sarà in formato PDF/A, ovvero in uno dei formati previsti dalle regole tecniche inerenti la conservazione del documento informatico di cui all’Allegato 72 del D.P.C.M. 13 novembre 2014 [es. TIFF; JPG; Office Open XML (OOXML); Open Document Format; XML; TXT]" A parte il fatto che mettono PDF/A da una parte e il resto dei formati da un'altra, ma il bello viene nel punto successivo dove c'è scritto: "La firma digitale va apposta necessariamente all'interno del documento PDF (c.d. “firma grafica” o “firma invisibile”) e non come file esterno, all'interno dell'apposito riquadro predisposto per l'apposizione della firma, con l'indicazione della seguente dicitura: “Firma digitale ai sensi dell'art. 21 del D.Lgs. n. 82/2005" Ma come, prima scrivono che è possibile usare altri formati e subito dopo che la firma deve essere in formato PAdES? Per finire, prendo in prestito una frase dell'articolo [2] di Stefano Quintarelli e Paolo Coppola. "Non sono solo gli 'umani' che accedono alle applicazioni e poterle collegare tra di loro; automatizzare le interazioni tra sistemi informativi permette di produrre grandi benefici". Vi do una notizia, i PDF piacciono agli "umani" ma molto, molto meno alle macchine. Manipolare un PDF, estrarne i dati per la ricerca e il salvataggio, effettuare una semplice verifica delle firme, catalogarli, ecc. per un software è tutto molto più complesso che farlo su altri formati. Antonio [1] https://www.unifg.it/sites/default/files/allegatiparagrafo/12-10-2017/2016.… [2] https://5ta.it/gl/7422

Sept. 17, 2020

Re: [nexa] PAdES, la P.A. nel caos

by Roberto Resoli

Il 17 settembre 2020 11:48:04 CEST, Giovanni Biscuolo <giovanni(a)biscuolo.net> ha scritto: ... >Una volta fatto questo finalmente la firma elettronica digitale sarà >completamente liberata… tranne il piccolissimo dettaglio che tutto >l'ambaradan di generazione delle chiavi per firmare ha dei buchi >architetturali di sucurezza che consentono a chi ha suffciente potere >di >firmare digitalmente per conto di altri [1]. Beh, non serve compromettere una CA per questo. La cosiddetta "firma remota" è esattamente questo, ti tolgo l'impiccio di un token e firmo al posto tuo. (Dietro sicurissima indentificazione, a n fattori, certo). Certo, non è che una coppia di chiavi generata su un token (forse ...) non si sa come, sia granchè meglio. Come scrivi qui sotto: ... >Per i cittadini cambia poco: sono già estremamente disagiati, al punto >che si limitano a fare ciò che qualcuno gli "ordina", tipo installa >'sto >coso possibilmente su MS Windows, inserisci la chiavetta USB e quando >esce la finestrella inserisci il PIN; così ottieni un file che contiene >la tua firma eseguita con la chiave privata che qualcun altro [2] ha >generato per te e certificato essere tua. > > >Ciao, Giovanni. > > >[1] in modo perfettamente indistinguibile, digitalmente. > >[2] le *fidatissime* Certification Authority >https://en.wikipedia.org/wiki/X.509#Problems_with_certificate_authorities Ciao, rob

Sept. 17, 2020

Big bad data: We don't trust AI to make good decisions

by don Luca Peyron

A new report from the British Computer Society (BCS), the Chartered Institute for IT, has now revealed that more than half of UK adults (53%) don't trust organisations that use algorithms to make decisions about them. https://www.zdnet.com/article/big-bad-data-we-dont-trust-ai-to-make-good-de… Buona lettura dl _________________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Sept. 17, 2020

Re: [nexa] PAdES, la P.A. nel caos

by Roberto Resoli

Il 17/09/20 11:48, Giovanni Biscuolo ha scritto: > Buongiorno Antonio, > ... rispondo alla parte successiva, per quanto posso. > Comunque da quello che leggo mi pare che LibreOffice sia in grado di > firmare XAdES gli ODF e OOXML, PAdES i PDF. Non ho idea se supporta > anche CAdES e se non lo supporta del perché. perchè supporta il proprio formato primario (XML) e di recente, con un'ottima idea, la possibilità di esportare in PDF(/A preferibilmente) e firmare lo stesso. Non so se la firma attuale in LibO sia XAdES o (come qualche anno fa) solo una generica XML signature. > Per me firmare PDF generati con altri strumenti sarebbe l'unico utilizzo > di LibreOffice :-D > > In alternativa, per firmare CAdES AFAIU gli utenti che volessero farlo > con software libero su una distribuzione qualsiasi hanno a disposizione: > > 1. j4sign https://j4sign.sourceforge.io/ (grazie Roberto Resoli!) , che > però non è "a portata di package manager" grazie Giovanni :-) j4sign è prima di tutto un'api (in senso antico, un qualcosa linkabile da un applicativo), ma anche un'applet/webstart application immersa in un semplice applicativo web (servizio REST in arrivo ...). Esiste anche l'applicazione standalone, che si chiama Freesigner ed ha un installer multipiattaforma. N.B.: Freesigner funziona solo fino a Java 1.8, e richiede l'installazione di un pacchetto opzionale per il supporto token PKCS11 (smartcard o altro). j4sign è comunque legato alla disponibilità di una libreria proprietaria che implementi il Secure Messaging[a] necessario ad accedere alle funzioni di firma sul proprio token > 2. OpenSSL ver. 3.0 https://www.openssl.org/ (grazie Blia.it! https://www.blia.it/firmadigitale/) che però ad oggi è ancora > in versione Aplha 6 > > Ora, non vi è *assolutamente* alcun dubbio che il rilascio di OpenSSL > ver. 3 renderà l'apposizione della firma CAdES e PAdES - > https://www.blia.it/firmapdf/ - un gioco da ragazzi alla portata di > qualsiasi script kiddie che voglia inventarsi laqualunque GUI o alla > portata di TUTTI coloro che volessero aggiungere la funzione di firma > digitale al proprio sistema di generazione dei documenti (io preferisco > di gran lunga firmarli "a parte")… ma per adesso purtroppo è fuori dalla > portata degli utenti (o almeno quelli che non sanno compilare o che non > vogliono installare da Debian experimental).https://cardwerk.com/iso-7816-4-annex-f-use-of-secure-messagi… > > Una volta sistemato questo rimarrà "solo" da sistemare la possibilità > di usare qualsiasi smartcard o chiavetta USB col kernel linux mainline e > *solo* software libero in userspace… io speriamo che me la cavo. > > Una volta fatto questo finalmente la firma elettronica digitale sarà > completamente liberata… tranne il piccolissimo dettaglio che tutto > l'ambaradan di generazione delle chiavi per firmare ha dei buchi > architetturali di sucurezza che consentono a chi ha suffciente potere di > firmare digitalmente per conto di altri [1]. Purtroppo non è così. Anche openssl dipenderà da un'implementazione pkcs11 che utilizzi il secure messaging per le funzioni di firma. In sostanza si tratta di una chiave (in Italia classicamente una 3DES inserita nel binario della libreria pkcs11) con cui vengono crittate le APDU che sostanziano la firma. Naturalmente le chiavi potrebbero essere negoziate, come si fa con TLS, ma è troppo comodo avere un'insicurissimo vendor lock-in a portata di mano ... Tieni conto che di questa cosa parlavamo già nel 2008 nella ConfSL a Trento. Ma già, adesso c'è la "firma con SPID" ... ciao, rob [a] https://cardwerk.com/smart-card-standard-iso7816-4-section-5-basic-organiza…

Sept. 17, 2020

Re: [nexa] PAdES, la P.A. nel caos

by Roberto Resoli

Il 17/09/20 17:26, Roberto Resoli ha scritto: >> Urca che brutta roba: un layer per ogni firma?!? :-O >> >> OK tutto chiaro, grazie! > In realtà è molto peggio di così, in generale. Quello che Antonio dice è > vero nel contesto di PAdES (come da specifica ETSI, per una pagina > riassuntiva con puntatori alle specifiche vedere [a]), che è una > specializzazione della specifica generale di firma PDF (come da ISO > 32000-1). In realtà ogni firma all'interno di un PDF può avere un ambito > arbitrario, definito da puntatori all'inizio inizio e alla fine del > contenuto soggetto alla firma. Quindi gli ambiti delle varie firme > possono essere disgiunti o meno. ETSI PAdES impone ad ogni firma di > coprire l'intero documento di partenza, e quindi si arriva ai "layer" di > cui parla Antonio. Per contro, CAdES è una "busta crittografica", che trasporta i metadati relativi alla firma, mantenendo intonso il documento al suo interno. Aggiungere una firma modifica solo la busta, e non il contenuto, che rimane identico. Se si vuole che la seconda firma abbia nozione della prima, si ricorre alla cosiddetta "controfirma", sempre e comunque all'interno della stessa busta crittografica. Ovviamente, è possibile farsi (e fare) del male, creando buste che contengono altre buste. Personalmente ho visto aberrazioni con 5 livelli di buste, ognuna con due o più firmatari. rob

Sept. 17, 2020

Re: [nexa] PAdES, la P.A. nel caos

by Roberto Resoli

Il 17/09/20 14:41, Antonio Iacono ha scritto: >> Ma concettualmente non sarebbe meglio che a validare la firma sia una >> applicazione diversa da quella che presenta il contenuto? > Assolutamente sì, infatti si usano principalmente i servizi online, tipo quello > del Notariato [1], per la verifica dei file firmati (sia in PAdES che CAdES). > Era solo per far notare la differenza tra i due software (Acrobat e > LibreOffice). > > Antonio > > [1] https://vol.ca.notariato.it/it Per la verifica (e anche per l'apposizione) della firma elettronica a norme *AdES esiste un'implementazione di riferimento in software libero, il progetto DSS: https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/DSS Con una istanza aggiornata qui: https://ec.europa.eu/cefdigital/DSS/webapp-demo/ Si tratta comunque di uno strumento tecnico, difficilmente proponibile alle persone non addette ai lavori. Personalmente ho sviluppato e mantengo questo servizio (che integra DSS per la parte di verifica delle liste dei certificatori di firma), per la verifica di soli file CAdES: https://webapps.comune.trento.it/verifica-firma/ A livello europeo gli sviluppatori di DSS mantengono anche un tool per l'esplorazione delle liste nazionali dei cosiddetti "Prestatori dei servizi fiduciari" (i certificatori). Qui si spiega di cosa si tratta e c'è il link per accedere al "Trusted List Browser": https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/eSignature+Trusted+… Sempre a livello europeo viene mantenuta la LOTL (List Of The Lists) che è la sorgente di fiducia primaria (radicata nel provvedimento UE che elenca i firmatari della LOTL con relative impronte di certificato. Il provvedimento è quello citato nella pagina iniziale di "verifica-firma"). rob

Sept. 17, 2020

Re: [nexa] PAdES, la P.A. nel caos

by Roberto Resoli

Il 17/09/20 12:17, Giovanni Biscuolo ha scritto: > Antonio Iacono <antiac(a)gmail.com> writes: > >>> Tecnicamente è parecchio limitante e formalmente si discosta parecchio >>> dall'equivalenza con un documento cartaceo, ma dal punto di vista >>> pratico che differenza fa? >> >> Una differenza enorme. Provo a spiegarlo con un esempio. >> Il pdf, semplificando, funziona a "layer", ogni firma che si aggiunge alla prima >> è un layer. > > Urca che brutta roba: un layer per ogni firma?!? :-O > > OK tutto chiaro, grazie! In realtà è molto peggio di così, in generale. Quello che Antonio dice è vero nel contesto di PAdES (come da specifica ETSI, per una pagina riassuntiva con puntatori alle specifiche vedere [a]), che è una specializzazione della specifica generale di firma PDF (come da ISO 32000-1). In realtà ogni firma all'interno di un PDF può avere un ambito arbitrario, definito da puntatori all'inizio inizio e alla fine del contenuto soggetto alla firma. Quindi gli ambiti delle varie firme possono essere disgiunti o meno. ETSI PAdES impone ad ogni firma di coprire l'intero documento di partenza, e quindi si arriva ai "layer" di cui parla Antonio. > [...] > >>> Sì questa è la cosa più limitante… ma *comunque* la P.A. impone delle >>> limitazioni sui formati, per esempio io dubito fortemente di poter >>> inviare alla P.A. (ma anche a un privato) un documento djvu. Diciamo che si tratta anche di buon senso, ma ha riportato Antonio le norme con qualche indicazione sui formati di partenza ci sono. >> Perchè il pdf sta diventando, ahimè, un formato de-facto, ma mai a farlo >> diventare formato de-jure, perchè a quel punto sarebbe irreversibile. >> >> Attualmente la legge [1] prevede questi formati ai fini della >> conservazione: > > [...] > >> TXT > > Ottimo, così nessuna P.A. potrà mai rifiutare un mio documento in > Markdown o meglio in RsT :-D (ovviamente rigorosamente con estensione > TXT) Aggiungerei che un formato TXT leggibile senza troppi problemi è la cosa migliore, perchè permette di valutare il contenuto senza doversi per forza affidare ad un visualizzatore (magari proprietario, come quello più usato per i pdf). Data una sequenza di bit, un visualizzatore può mostrare qualsiasi cosa, e noi firmiamo la sequenza di bit, mentre invece in genere pensiamo di firmare la visualizzazione. > Rimane il fatto che la P.A. è fatta di persone che al volte decidono di > abusare della loro posizione per rifiutare ai cittadini l'invio dei > documenti in uno dei formati accettati per la conservazione legale. O > mi sbaglio? Se il documento di partenza è in uno dei formati adatti alla conservazione, credo sia molto difficile rifiutarlo. > [...] > > Grazie mille per i riferimenti. > > Saluti, Giovanni. > >> [1] >> https://www.agid.gov.it/sites/default/files/repository_files/leggi_decreti_… > [a] https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/eSignature+Standards

Sept. 17, 2020

La Pubblica Amministrazione alla prova del digitale - webinar OGGI 17.30

by Marina Caporale

scusate ho realizzato solo ora che potevo condividere con tutti i nexiani, comincia proprio tra poco, c'è (dovrebbe) la Ministra Dadone ... La Pubblica Amministrazione alla prova del digitale Intervengono Raffaella Saporito | Associate Professor of Practice of Government, Health and Not for Profit SDA Bocconi School of Management Carlo Mochi Sismondi | Presidente Forum PA Giacomo Capuzzimati | Direttore Generale Città metropolitana di Bologna Fabiana Dadone | Ministro per la Pubblica Amministrazione Francesco Raphaël Frieri | Direttore Generale Regione Emilia-Romagna Coordina i lavori Daniele Donati | Università di Bologna https://takethedate.it/Eventi/21843-la-pubblica-amministrazione-alla-prova-… Marina Caporale http://www.unibo.it/docenti/marina.caporale [cid:719110fa-840e-4098-bdb5-eaa22e5cc0df]

Sept. 17, 2020