Certificato digitale

Nella crittografia asimmetrica un certificato digitale è un documento informatico che attesta l'associazione univoca tra una chiave pubblica e l'identità di un soggetto (una persona, una organizzazione, un hardware, un servizio, un software, un file, etc) che dichiara di utilizzarla nell'ambito delle procedure di cifratura asimmetrica e/o autenticazione tramite firma digitale.

Il certificato digitale contiene informazioni sulla chiave, informazioni sull'identità del proprietario (denominato soggetto) e la firma digitale di un'entità che ha verificato i contenuti del certificato (denominato emittente). Se la firma è valida e l'applicazione che esamina il certificato si affida all'emittente, allora può utilizzare tale chiave per comunicare in modo sicuro con il soggetto del certificato. Nelle applicazioni in cui è richiesta la cifratura e/o la non ripudiabilità, un soggetto del certificato è tipicamente una persona fisica oppure un'organizzazione.

Tale certificato, fornito da un ente terzo fidato e riconosciuto (trusted) come autorità di certificazione (CA), è a sua volta autenticato per evitarne la falsificazione attraverso una firma digitale ovvero cifrato con la chiave privata dell'organizzazione stessa (CA) la quale fornisce poi la rispettiva chiave pubblica associata per verificarlo.

Il formato più comune per i certificati di chiave pubblica è definito da X.509. Poiché X.509 è molto generale, il formato è ulteriormente vincolato dai profili definiti per alcuni casi di utilizzo, come ad esempio l'infrastruttura di chiave pubblica (X.509) come definito in RFC 5280. Il certificato digitale è impossibile da duplicare o falsificare e può essere facilmente verificato online (o via cellulare) dal possibile acquirente. Il "costo marginale di produzione" del certificato digitale è vicino allo zero, il che vuol dire che sarebbe possibile proteggere anche oggetti di prezzo unitario relativamente basso.

Patent

Il Brevetto Italiano con estensione Europea di questa nuova metodologia di certificazione digitale è stata depositata con priorità dal 20/02/2012 e Patent definitivo rilasciato 26/06/2020.

Sostenibilità

Promuove politiche di sostenibilità ambientale per ridurre e addirittura eliminare l’uso della carta contribuendo alla gestione responsabile del patrimonio forestale globale.

Trust (fiducia)

Nella certificazione digitale e argomenti correlati, si usa spesso il termine trust. Trust, in inglese informatico, significa genericamente "fiducia" (digitale)" o "accordo fiduciario (digitale)". Trusted significa "fidato" (digitalmente) nel senso di "affidabile, garantito, riconosciuto". A volte i testi originali in inglese vengono resi in italiano senza tradurre trust oppure lasciandolo in inglese. In pratica, trust è sia il concetto che la metodologia che permettono di essere "fiduciosi" (perché garantito dall'autorità a capo del trust) della sicurezza informatica del sistema (operazione, firma, driver, comunicazione, rete, software, ecc.). Ad esempio, i fornitori di servizi fiduciari (secondo l'eIDAS) sono quelli che erogano, appunto, servizi di tipo trust (certificati digitali, conservazione a norma, firme elettroniche o firme digitali, sigilli elettronici o marca temporale elettronica, servizi di consegna elettronica certificata, etc).

Una trust chain (catena di fiducia) è la struttura di soggetti che realizzano il sistema sequenziale o incrociato di riconoscimento dei componenti che devono essere autorizzati.

Scopo

Lo scopo principale di un certificato digitale è crittografare comunicazioni o informazioni o, meglio, fornire gli elementi fidati (trusted) che presiedono il processo di cifratura. I certificati sono utili per la crittografia a chiave pubblica quando usata su larga scala. Infatti, scambiare la chiave pubblica in modo sicuro tra gli utenti diventa impraticabile, se non impossibile, quando il numero di utenti comincia a crescere. I certificati digitali sono una soluzione per superare questa difficoltà.

Lo scopo del certificato digitale è quello di garantire che una chiave pubblica sia associata alla vera identità del soggetto che la rivendica come propria.

In un sistema a crittografia asimmetrica ciò può essere molto importante: infatti, ogni messaggio crittografato con una data chiave pubblica può essere decriptato solo da chi possiede la relativa chiave privata (caso della cifratura asimmetrica); per cui, se siamo sicuri che la chiave pubblica appartiene a "Mario Rossi" allora siamo anche sicuri che solo "Mario Rossi" potrà leggere i messaggi crittati con quella chiave pubblica in quanto possessore della rispettiva chiave privata.

Vale inoltre anche il viceversa: se possiamo decriptare un messaggio con quella chiave pubblica allora siamo sicuri che quel messaggio è stato criptato da "Mario Rossi" garantendone l'autenticazione (caso della firma digitale) (anche se ciò non implica che quel messaggio sia stato inviato da "Mario Rossi" cioè sia passibile di attacchi di tipo man in the middle).