Salve,
è la prima volta che posto in questo forum e spero di aver azzeccato la sezione corretta. Mi scuso inoltre se la domanda contiene elementi assolutamente sciocchi, spero abbia un senso.
Il mio problema è questo: vorrei apporre delle firme digitali in formato massivo.
In commercio ci sono varie soluzioni, ma tutte hanno costi molto elevati sia per l’attivazione che per la singola firma; al contrario, le soluzioni HSM Cloud dei principali attori (es: Google e AWS) sono eccezionalmente convenienti: l’unico problema è avere in mano il certificato e la chiave privata da importare nei loro moduli HSM.
La mia idea era questa:
Creo una nuova coppia chiave pubblica/privata
Creo una certificate request
La firmo con il dispositivo di firma in mio possesso (firma elettronica qualificata)
Importo il certificato così creato all’interno del modulo HSM del provider da me scelto.
Le firme apposte sarebbero formalmente valide? In teoria starei usando un certificato diverso da quello rilasciato, ma al cui interno dovrebbe contenere la catena di certificati necessari per la verifica…
Non importi la chiave privata dentro un HSM, ma la fai creare a lui. La chiave privata non esce mai dall’HSM. Una volta creata la coppia di chiavi, ti fai generare un CSR da inviare al certificatore che ti manderà il certificato che importerai, quello sì, nell’HSM.
Non ti fanno importare chiavi private in dispositivi seri…se lo fanno di certo tutto quello che farai con quelle chiavi non sarà formalmente valido. Saranno firme digitale da un punto di vista tecnico ma formalmente non rispettano le più basilari misure di sicurezza.
Ti consiglio di capire se questi HSM sul Cloud sono citati/previsti/usati da qualcuno in Italia. Secondo me devi prenderti gli HSM Cloud offerti dai certificatori italiani, solo così sarai sicuro che le firme saranno formalmente valide (ex: Aruba, Actalis, etc.)
Sono stato approssimativo nella spiegazione…
“Creo” = chiedo all’HSM di generare la coppia di chiavi
“Importo il certificato” = tecnicamente nell’HSM di google, ad esempio, non posso importare certificati: se ho ben compreso posso chiedergli di criptare con la P_Key qualcosa, e poi spetta a me appiccicarci al contenitore (es: P7M) quanto serve per la validazione.
Provo a riformulare la domanda: se il certificato usato per validare la firma non è firmato DIRETTAMENTE da una CA elencata da AGiD ma è firmato dalla stessa entità che appone la firma, usando un certificato valido, la firma è valida?
Ripeto: il problema è il costo. Non posso comunicare i prezzi delle varie offerte perché non lo ritengo corretto, ma sono diversi ordini di grandezza superiori all’offerta di Google. https://cloud.google.com/hsm/
Allora chiave privata+pubblica+ certificato viaggiano insieme. Il certificato deve essere emesso da una CA riconosciuta da AGiD altrimenti ti scordi la validità formale. Se il certificato NON è emesso da tali CA, allora la firma con la chiave privata, a cui corrisponde la pubblica dentro il certificato, non è formalmente valida (e anche sostanzialmente perché quando fa la verifica è probabile che ti chieda di inserire la root CA e se non è AGID avrà problemi vari…)
A meno che tu non voglia diventare SubCA di una CA AgiD, ma se mi parli di costi elevati escluderei questo scenario
Purtroppo c’è poco da fare se vuoi la validità formale devi partire da una CA riconosciuta e vedere le soluzioni che offrono sul Cloud. Altrimenti rischi di intraprendere strade che all’inizio sembrano possibile, ma poi sostanzialmente non portano ad una firma valida formalmente (ovvero per la legge italiana).
Le entità che firmano sono delle chiavi private a cui è sempre associata un chiave pubblica con relativo certificato, per rispondere puntualmente. Ed il certificato deve essere valido con tutti i crismi.
SDI verifica solo che la fattura sia firmata con un certificato emesso da un prestatore di servizi fiduciari qualificato in UE, cioè presente in questa lista: https://webgate.ec.europa.eu/tl-browser/
Pur non potendo importare chiavi private in un HSM, bisogna provare se la CSR, firmata con la tua firma elettronica qualificata, viene accettata da SDI, includendo nella fattura firmata i due certificati pubblici concatenati (il formato Xades lo supporta).
