Differenza tra Certificato digitale, Smart card e Token USB

Certificato digitale

Un Certificato digitale identifica univocamente un identità digitale. Il suo scopo principale solitamente è quello di legare una chiave pubblica ad uno specifico soggetto, che può essere un singolo utente, ma anche un intera organizzazione o un’azienda. L’utente potrà accedere ad ogni risorsa senza inserire nessuna password, e la sua identità sarà garantita dal certificato, così come l’integrità dei dati dalla sua firma digitale. Un autenticazione con certificati è di tipo forte.
I certificati non sono ne segreti ne protetti. Questo perché la loro costruzione garantisce che nessuno li possa modificare senza essere scoperti.
L’idea è la stessa che sta alla base della firma digitale, ovvero la crittografia a chiave pubblica. Per ottenere un certificato, un soggetto deve recarsi da una CA con la chiave pubblica da lui scelto, e un documento che garantisce la sua identità.
La CA dopo opportune ricerche, può decidere o meno di rilasciare il certificato; in caso positivo emette il certificato, ne calcola l’impronta e lo firma con la sua chiave privata. Dopodiché consegna al richiedente il certificato debitamente firmato.

Il certificato al contrario di una normale chiave pubblica, può essere tranquillamente messo nella propria home page. Chiunque voglia dialogare con lui, può scaricare il certificato dal sito ed ottenere la relativa chiave pubblica. Come conferma, calcola l’impronta digitale del certificato, e decifra la firma del certificato con la chiave pubblica della CA. Se le due impronte ottenute sono uguali, il certificato è autentico, altrimenti è stato modificato.
Come per la firma digitale, anche i certificati hanno un periodo di validità temporale, e possono essere revocati. Quindi oltre al controllo precedente, si deve controllare anche che non sia scaduto o revocato. Questo può essere fatto controllando una particolare lista pubblica aggiornata costantemente, contenente i certificati revocati.
Questo protocollo non è attaccabile da parte di un intruso, perciò non è necessario che i certificati siano segreti o crittografati.
Un certificato può essere anche usato per associare una chiave pubblica ad un particolare attributo, per esempio la raggiunta maggiore età da parte del soggetto, così da consentirgli accesso a servizi specifici per maggiorenni.

Si distinguono differenti tipi di certificati secondo il livello di firma :

1. I certificati auto-firmati sono dei certificati ad uso interno, firmati da un server locale. Questo tipo di certificati permettono di garantire la confidenzialità degli scambi all’interno di un’organizzazione, ad esempio per i bisogni di un’intranet, come una rete interna di una università. E’ quindi possibile effettuare l’autentificazione degli utenti, grazie ai certificati auto- firmati, rimanendo all’interno della intranet.
2. I certificati firmati da un organismo di certificazione sono necessari quando si tratta di assicurare la sicurezza degli scambi con degli utenti anonimi, ad esempio nel caso di un sito web accessibile al pubblico. Il certificatore terzo permette di assicurare all’utente che il certificato appartiene effettivamente all’organizzazione alla quale dichiara di appartenere.

I certificati servono principalmente in tre tipi di contesti :

1. Il certificato cliente, immagazzinato nelle risorse del computer dell’utente oppure contenuto in un contenitore come una smartcard, che permette di identificare un utente e di associargli dei diritti. Nella maggioranza delle situazioni, esso è trasmesso ai server al momento di una connessione, che attribuisce dei diritti, in funzione dell’accreditamento dell’utente. Si tratta di una vera carta d’identità digitale che utilizza un paio di chiavi asimmetriche di una lunghezza che va da 512 a 1024 bit.
2. Il certificato server installato su un server web permette di assicurare il collegamento tra il server e il proprietario del servizio. Nel caso di un sito web, permette di garantire che l’URL e in particolare il dominio della pagina web appartengano effettivamente a questa o quell’azienda. Inoltre permette di mettere in sicurezza le transazioni con gli utenti grazie al protocollo SSL.
3. Il certificato VPN è un tipo di certificato installato nelle apparecchiature di rete che permette di codificare i flussi di comunicazione pezzo per pezzo fra due punti (ad esempio due siti di un’azienda). In questo tipo di situazione gli utenti possiedono un certificato client, i server usano un certificato server e le apparecchiature di comunicazione uno privato.

Smart card e Token USB

La smart card è un dispositivo hardware, evoluzione della normale tessera magnetica. Contiene un microchip, nel quale sono integrati vari componenti, come un microprocessore a 8 bit, un coprocessore crittografico, e varie memorie per l’archiviazione dei dati. La costruzione del microchip porta all’inattaccabilità esterna delle memorie e dei dai al loro interno, a meno di una riprogrammazione completa della stessa. Grazie alle caratteristiche di protezione dei dati del microchip e alla presenza del coprocessore crittografico, sulle smart card è quindi possibile inserire in tutta sicurezza un certificato digitale X509. Di norma le smart card sono protette da un codice per poter essere attivate. Questo è il codice PIN, solitamente una stringa di quattro cifre.

Per poter essere lette, le smart card necessitano di un apposito lettore hardware esterno, il che alle volte non è sempre presente in un normale personal computer.
Per questo motivo, i dispositivi token USB si stanno espandendo sempre più frequentemente. Un token USB svolge le stesse funzioni di una smart card, il tutto integrato in una semplice chiavetta collegabile al computer tramite la porta USB, presente oramai dovunque.
L’autenticazione con smart card o token USB garantisce molta più sicurezza rispetto ai metodi tradizionali, in quanto oltre a possedere il dispositivo stesso, l’utente deve anche conoscere la password o il codice di attivazione.

La possibilità di avere una smart card o un token USB per l’autenticazione inoltre fornisce anche molta flessibilità e portabilità, in quanto può essere usata dovunque vi sia il dispositivo di lettura o la porta USB, non rilegando quindi l’utente ad utilizzare il proprio certificato X509 solo sul proprio PC locale.