Wiki

• FrontPage
• RecentChanges
• FindPage
• HelpContents
• it/Smartcards

Questa pagina fornisce suggerimenti su come usare una Smartcard (conosciuta anche come chip card o scheda a circuito integrato (ICC)) in Debian.

Le smartcard sono usate insieme a chiavi crittografiche per assicurare che la loro metà privata non sia mai sull'hard disk o su un altro dispositivo di archiviazione generico, e perciò che non possa essere rubata (perché c'è una sola copia possibile di essa). La maggior parte dei dispositivi pennina ("dongle") per chiavi implementano anche un device di interfaccia alla chip card (CCID) e perciò possono essere utilizzate come smartcard anche se non si può mai rimuovere la smartcard dal "lettore".

• Contents

  1. Introduzione
  2. Scegliere algoritmi e dimensioni delle chiavi
  3. Alcune carte comuni
  4. Applicazioni
  5. Hardware supportato
  6. Driver
     1. libccid
     2. gnupg-ccid
     3. Advanced Card Systems
     4. Lettori di smart card ACS USB CCID
     5. Athena SCS (Smartcard Solutions)
     6. AKS - Aladdin Knowledge Systems
     7. Gemplus SA
     8. Towitoko GMBH
     9. MuscleCard Applet PlugIn
     10. Aladdin eToken PRO
     11. Dispositivi non supportati

Introduzione

• L'architettura di una smartcard è piuttosto complicata e al momento non è possibile mescolare ogni combinazione di carta e lettore in una maniera in stile plug-and-play. Tutte le carte, i lettori e i software non sono interscambiabili.
• Selezionando attentamente la combinazione giusta di smartcard e lettore di carte, è possibile implementare in Debian un sistema pienamente funzionante.

• Ci sono due tipi principali di soluzione in Debian: le carte basate su OpenPGP o le carte in stile PKCS#11. Questa pagina descrive le seconde.

  • Le carte OpenPGP sono un tipo speciale di carta che è progettato per l'uso con GnuPG. Per il caso d'uso con GnuPG (firma di posta elettronica), sono facili da usare e perciò piuttosto comuni, tuttavia per usare una scheda per attività generali, come l'autenticazione web, VPN e cifratura dei dischi, possono non essere una soluzione soddisfacente.

  • In ogni caso, GnuPG può usare anche normali carte PKCS#11 con l'aiuto di OpenSC e del progetto GnuPG PKCS#11

• Le smartcard hanno i propri software e sistema operativo interno. Tale software è raramente libero secondo i principi delle Linee guida Debian per il software libero, tuttavia il software nel sistema Debian è completamente libero. Per definizione, una smartcard è un dispositivo sicuro e il software non può essere cambiato a proprio piacimento. Alcuni produttori fornisceono driver binari (a sorgente chiuso) per Linux, ma non è sempre necessario usare tali driver. Nella migliore delle ipotesi è possibile creare soluzioni funzionanti senza usare alcun software non libero o artifatti binari dal produttore, tranne che per quelli nella carta stessa.

Scegliere algoritmi e dimensioni delle chiavi

• RSA è l'algoritmo tradizionale
  • le chiavi più corte di 2048 bit sono considerate non sicure
  • La maggior parte delle carte gestisce un massimo di 2048 bit
  • Alcune persone pensano che non siano sufficienti
• Elliptic Curve Cryptography (ECC) è un algoritmo più moderno
  • le dimensioni delle chiavi sono più piccole (es. 256 bit per ECC sono simili per robustezza a 3072 bit con RSA)
  • usa meno CPU di RSA
  • tuttavia alcuni vecchi client (es. Windows XP, 30% di Internet) non lo gestiscono
  • anche le applicazioni moderne sono in dietro con la sua gestione, ad esempio non è nelle versioni stabili di GnuPG o GnuPG v2.0 in Debian.
• I produttori di smartcard stanno mostrando una preferenza per il supporto per ECC nei progetti futuri:
  • per la lunghezza più corta delle chiavi (minor uso della memoria)
  • per il minor carico sulla CPU e il funzionamento più veloce sul chip della carta
  • è considerato più sicuro
  • perché il NIST (National Institute of Standards and Technology) degli Stati Uniti sostiene ECC
• Di conseguenza, è raccomandato per coloro che desiderano RSA 4096 sulle smartcard di prendere in considerazione anche l'uso di ECC

• Per coloro che preferiscono RSA, ecco alcuni commenti nel dibattito sull'uso di 2048 o 4096 bit

Alcune carte comuni

• Ecco un elenco di alcune carte comuni che sono disponibili da negozi in rete

• Ognuna ha i propri lati positivi, vedere il wiki di OpenSC (elenco di hardware gestito) per i dettagli

• Per trovare produttori di smartcard in una ricerca nel web, le parole chiave da usare tipicamente sono: "7816" "4096" "rsa" "smartcard"

Applicazioni

• Autenticazione
• Crittografia dati
• Firma

Vedere questo elenco di applicazioni d'esempio per Linux.

Hardware supportato

Questo elenco non è esaustivo, essenzialmente è qui affinché le persone possano trovarlo: non ci sono i moduli per i dispositivi... solo librerie in spazio utente.

Driver

libccid

Driver generico per driver USB CCID (Chip/Smart Card Interface Devices) e ICCD (Integrated Circuit(s) Card Devices). Vedere le specifiche USB di CCID e ICCD dal gruppo di lavoro USB.

• Pacchetto: libccid

• https://ccid.apdu.fr/

gnupg-ccid

GnuPG ha il proprio driver CCID nativo che comunica direttamente con il lettore attraverso libusb. Gestisce solamente i lettori che hanno la funzionalità di autoconfigurazione.

Per i dettagli vedere GnuPG/CCID_Driver.

Notare che GnuPG supporta anche i lettori attraverso PC/SC-lite.

Advanced Card Systems

• Pacchetto: libacr38u

• http://www.acs.com.hk

Lettori di smart card ACS USB CCID

• Pacchetto: libacsccid1

Athena SCS (Smartcard Solutions)

• Pacchetto: libasedrive-usb

AKS - Aladdin Knowledge Systems

• Pacchetto: libetoken

Gemplus SA

• Pacchetto: libgempc430

Towitoko GMBH

• Pacchetto: libtowitoko2

MuscleCard Applet PlugIn

• Pacchetto: libmcardplugin

• https://alioth.debian.org/projects/muscleplugins/

Aladdin eToken PRO

• Pacchetto: etoken-pro-support

• https://alioth.debian.org/projects/muscleplugins/

Dispositivi non supportati

Qui sopra sono elencati solo i dispositivi supportati (in quanto è possibile che il loro stato cambi piuttosto velocemente).

Eccezione: alcuni produttori stanno vendendo dispositivi hardware diversi con lo stesso nome di prodotto (!)... In questo caso si cerca di elencarli come versioni non supportate con il tag #not-supported.

CategoryHardware