Criptazione e firma digitale con certificati x509

I certificati x509 sono uno standard per permettere ad un client di posta (notes compreso) di firmare digitalmente un messaggio e per criptarlo. Tali certificati funzionano mediante chiavi dette asincrone (chiave pubblica e chiave privata). Questo significa che nel caso della criptazione la chiave che cripta e quella che decripta sono differenti.

Di fatto il sistema di funzionamento dei certificati x509 e molto simile (se non identico) al sistema utilizzato dalle ID di notes.

cos'è la firma digitale?
La firma digitale è una impronta "invisibile" che viene riconosciuta dai client di posta elettronica e che permette di sapere se un messaggio ricevuto è integro o se durante il trasporto è stato manipolato. Inoltre tale firma assicura che la persona che ha inviato il messaggio è il vostro interlocutore e non è una falsa identità.

chi mi assicura che il messaggio è firmato da un certificato che verifica l'identità del interlocutore?
Quando un certificato digitale viene emesso esso viene firmato da una AC (Autority Certification). Ovviamente se L'AC che ha emesso il certificato x509 è ad esempio Verisign, per poter avere tale certificato la stessa Verisign ha richiesto una serie di informazioni (carta di identità ad esempio) prima di emettere il certificato.
Se quindi io avessi acquistato un certificato da Verisign, inviando una mail a voi il vostro client di posta alla ricezione della mail verifica se l'AC che lo ha emesso è valida ed accreditata. Di fatto il vostro client di posta non vi darà nessun allert se il certificato è valido. Per valido si intende:

• il certificato è stato firmato da una AC accreditata (in questo caso Verisign)
• Il certificato è valido, ossia non è scaduto (mediamente questi certificati hanno una validità di 1 o 2 anni)
• Il certificato dichiara l'internet address del utente mittente. Se tale indirizzo non corrisponde con l'indirizzo di chi spedisce, il vostro client vi emetterà un messaggio di avviso

come si invia un messaggio firmato?
In lotus Notes per apporre una firma digitale ad un messaggio basta nelle opzioni di consegna fleggare "Firma". se la vostra id contiene un certificato x509 e il destinatario della mail è un indirizzo esterno (non notes) allora in automatico il client firmerà la mail con il certificato x509 (ovviamente preventivamente dovrete avere importato tale certificato nella vostra ID).

Se attivate la firma e il destinatario è un utente notes del vostro dominio, verrà inserita la firma nativa notes nella mail. Se invece il destinatario è un indirizzo esterno e la vostra id non contiene certificati x509 allora Notes vi avvertirà che non è possibile firmare il messaggio.

Quando un messaggio firmato arriva al destinatario, questi ha la possibilità di verificare mediante il suo client di posta se la firma è valida e il messaggio non è stato manipolato.

Come faccio a criptare un messaggio?
la criptazione del messaggio è strettamente legato al processo di firma digitale. Infatti per poter criptare un messaggio è necessario avere a disposizione la chiave pubblica del mittente, ossia della persona a cui vogliamo mandare il messaggio criptato.

Come faccia ad ottenere la chiave pubblica del mittente?
ma è ovvio.. mediante la firma digitale. Ipotizziamo che l'utente A vuole inviare mail criptate al utente B.
1.        per prima cosa l'utente B deve mandare una mail firmata digitalmente al utente A (la firma digitale contiene anche la chiave pubblica del firmatario)
2.        il ricevente, cioè A, usa la funzione del suo client di posta per aggiungere il mittente nella sua rubrica personale (in notes seleziona il messaggio e va su "Aggiungi mittente alla rubrica"), in questo modo non solo viene aggiunto il contatto ma anche la chiave pubblica nel documento contatto.
3.        L'utente A ora può inviare una mail a B attivando la criptazione. Così facendo il client userà la chiave pubblica registrata in locale del contatto B per criptare il messaggio. Solo B è in possesso della chiave privata per decifrare il contenuto del messaggio.

Qual'è quindi il primo passo che si deve eseguire per potersi scambiare messaggi cifrati?
il primo passo è che entrambi A e B si inviino una mail preventiva firmata in modo che entrambi gli utenti abbiano a disposizione la chiave pubblica dell'altro. In questo modo potranno scambiarsi messaggi cifrati.