Utilizzo dei certificati S/MIME nella pratica

Guida Pratica ai certificati

(per gentile concessione de Ilsoftware.it: Articolo Originale)

Chiarito il ruolo e l'importanza delle CA, vediamo come sia possibile, nella pratica, sfruttare un certificato S/MIME per l'invio di qualunque genere di messaggio di posta elettronica.
A titolo esemplificativo, utilizziamo il certificato che Globaltrust mette a disposizione di tutti i richiedenti, per scopi personali. Il certificato rilasciato dalla CA italiana, è completamente gratuito ed ha validità annuale, con la possibilità di effettuare ulteriori rinnovi sempre a titolo non oneroso.

Per richiedere a GlobalTrust il proprio certificato digitale è sufficiente visitare questa pagina web, inserire i propri dati anagrafici ed una password adeguatamente complessa.
Entro pochi giorni si riceverà così un'e-mail all'indirizzo di posta elettronica specificato all'atto della richiesta del certificato: il messaggio contiene un link da seguire per provvedere all'installazione automatica del certificato personale sul proprio sistema. La procedura di richiesta ed attivazione del certificato digitale va effettuata utilizzando il medesimo browser web.

Il certificato personale così richiesto consentirà di codificare e firmare digitalmente i propri messaggi di posta elettronica garantendo riservatezza, confidenzialità, autenticità, integrità e non ripudio delle comunicazioni trasmesse.
GlobalTrust (o comunque la CA che emette il certificato) provvede a fornire all'utente facente richiesta, un certificato contenente l'identificativo dell'algoritmo crittografico usato, un numero di serie, la firma digitale, il nome della CA, le informazioni riguardanti la validità ed una chiave pubblica. Questo insieme di informazioni identifica colui che ha richiesto il certificato come unico possessore ed utilizzatore dello stesso.

Una volta attivato e scaricato il certificato S/MIME, questo potrà essere salvato su disco fisso in modo da essere facilmente impiegato, per esempio, con un qualsiasi client di posta elettronica. Il certificato potrà essere salvato sotto forma di file con estensione .pfx: tale file non dovrà essere trasmesso a terzi dato che contiene anche la propria chiave privata.
Nel caso si sia importato il certificato in Internet Explorer, questo potrà essere salvato su disco in formato .pfx avviando il browser Microsoft, cliccando sul menù Strumenti, Opzioni Internet quindi su Contenuto. Facendo riferimento al pulsante Certificati quindi selezionando il proprio certificato S/MIME dalla scheda Personale ed infine premendo Esporta..., si potrà produrre il file .pfx. In tutte le fasi di esportazione ed importazione del certificato S/MIME verrà sempre richiesta la password scelta a protezione del file: mai dimenticarla.

Per impostare Outlook affinché utilizzi il certificato personale, basta far riferimento al menù Strumenti, Opzioni del programma quindi alla scheda Protezione. Cliccando su Impostazioni ci si può assicurare che il certificato in uso sia quello ricevuto da GlobalTrust ed eventualmente importarlo in modo manuale.
I pulsanti Codifica e Firma visualizzati in fase di composizione di un'e-mail permetteranno quindi di cifrare o firmare la comunicazione che si è in procinto di inviare.

Con Outlook, una volta ricevuto ed aperto il messaggio, il certificato verrà automaticamente installato sul sistema del destinatario.

Per aggiungere la chiave pubblica di un destinatario alla lista dei certificati, è sufficiente cliccare sul simbolo raffigurante una coccarda di colore rosso (contenuto nell'e-mail ricevuta dall'interlocutore) quindi cliccare sulla voce Aggiungi ai contatti di Outlook.
La chiave pubblica del contatto verrà così automaticamente associata al contatto stesso e risulterà visibile selezionando la scheda Certificati.
Se il certificato dell'interlocutore si presenta sotto forma di allegato (estensione .cer) al messaggio di posta elettronica, sarà possibile aggiungerlo alla lista selezionando il comando Importa.

Il certificato personale ottenibile facendo richiesto a Globaltrust così come a qualunque CA riconosciuta, è ovviamente utilizzabile anche con altri client di posta elettronica. Nel caso di Mozilla Thunderbird, ad esempio, diventa possibile cifrare e firmare messaggi senza ricorrere ad estensioni sviluppate da terzi (la più famosa è la opensource Enigmail; ved. questo nostro articolo, in proposito) e potendo fidare sulla certificazione resa da Globaltrust.

La gestione dei certificati in Mozilla Thunderbird si effettua cliccando su Strumenti, Impostazioni account quindi sulla voce Sicurezza.
Cliccando su Visualizza certificati è possibile importare certificati e controllare quelli disponibili. Selezionando la scheda Certificati personali quindi servendosi del pulsante Importa, si può aggiungere in elenco il certificato (in formato .pfx) ottenuto gratuitamente, ad esempio, da Globaltrust.

Nella scheda Certificati altrui, invece, Mozilla Thunderbird aggiunge automaticamente i certificati, allegati ai vari messaggi di posta elettronica, ricevuti da parte dei propri interlocutori.

Dopo aver importato il proprio certificato, è sufficiente fare clic sui pulsanti Seleziona presenti nei riquadri Utilizza il seguente certificato per firmare digitalmente i messaggi ed Utilizza il seguente certificato per cifrare o decifrare i messaggi ricevuti per indicare a Thunderbird che si intende farne uso.

In fase di composizione di un messaggio, si dovrà far riferimento al pulsante Sicurezza quindi alle voci Cifra questo messaggio ed Apponi firma digitale.

Nel caso di Mozilla Thunderbird, anziché una coccarda rossa, all'interno della finestra che visualizza il contenuto di un messaggio firmato digitalmente, verrà aggiunta - in alto a destra - un'icona raffigurante una penna. Per chi utilizzasse il servizio Google Gmail da web, senza quindi appoggiarsi ad un client di posta, è possibile inviare e-mail firmate digitalmente e cifrate ricorrendo all'add-on gratuito per Mozilla Firefox denominato Gmail S/MIME e scaricabile da questa pagina. Dopo aver installato l'add-on, la finestra di composizione di un messaggio di Gmail risulterà arricchita di due nuovi pulsanti: l'uno permette di firmare l'e-mail, l'altro di cifrarne il contenuto.
Ricordiamo comunque che il servizio di posta Gmail messo a disposizione da Google è gestibile con qualunque client e-mail in modo da dover evitare di accedere via web alla propria casella di posta elettronica (le istruzioni per la configurazione del proprio software preferito per la gestione dei messaggi di posta sono consultabili facendo riferimento a questa pagina).
Per usare il certificato S/MIME offerto da Globaltrust nella versione web di Google Gmail, si dovrà ovviamente importarlo in Mozilla Firefox accedendo al menù Strumenti, Opzioni, cliccando sulla scheda Avanzate quindi su Cifratura ed infine sul pulsante Mostra certificati. Dalla scheda Certificati personali, si dovrà cliccare su Importa... e selezionare il file .pfx relativo al proprio certificato S/MIME.

L'utilizzo della firma digitale consente di fidare su autenticazione, integrità e non ripudio mentre la codifica del messaggio permette di aggiungere le caratteristiche di riservatezza e confidenzialità (tutte queste peculiarità sono intrinseche nell'utilizzo di un certificato S/MIME).