Good news: anche Equitalia finalmente in regola
Tempo fa
avevo dato notizia dell'adeguamento dell'Agenzia delle Entrate alle indicazioni fornite dal Garante Privacy in merito ai certificati di protezione per i servizi telematici.
Noto con piacere che anche
Equitalia si è messa in regola. Come si può verificare, la situazione non è più quella che
segnalavo qui lo scorso anno.
Lentamente si cambia... in meglio.
Etichette: amministrazione digitale, certificato, equitalia, garante
Good news: l'agenzia delle entrate finalmente in regola
Prima dell'estate avevo segnalato la persistente inottemperanza dell'Agenzia delle Entrate rispetto al
provvedimento del garante privacy del 18 settembre 2008, per quel che concerne le web application (
"Per le web application è stato utilizzato un certificato Ssl di tipo self signed (non firmato da una Ca, Certification authority, ufficiale) non attendibile che, in mancanza di una Ca affidabile, non offre le garanzie di certezza dell'identità dell'erogatore del servizio tipiche della certificazione digitale tramite Pki (public key infrastructure): risultano pertanto facilitate azioni di phishing in danno di utenti del sistema e la possibile acquisizione indebita di credenziali di autenticazione, idonea a consentire utilizzi impropri dell'applicazione")In luogo del certificato self-signed, ora c'è un certificato rilasciato da una CA internazionalmente riconsociuta, Cybertrust Inc.
E' importante che i responabili dei sistemi informativi di Equitalia provvedano in fretta, anche perchè non aiuta di certo gli utenti/cittadini ritrovarsi su una pagina con il browser che ti avverte che la connessione non è sicura e che se vai avanti lo fai a tuo rischio e pericolo.
Etichette: agenzia, certificato, entrate, equitalia, garante, privacy
Ogni promessa è un debito
Prima della vacanze
avevo scritto che avrei chiesto al Garante Privacy cosa ne pensasse del fatto che, nonostante il suo provvedimento 18 settembre 2008, l'Agenzia delle Entrate continuasse ad utilizzare un certificato
self signed per i suoi servizi telematici, con grave rischio di
phishing per gli utenti del sistema. Avevo segnalato, altresì, il caso del servizio "estratto conto" offerto da Equitalia S.p.A.
Stay tuned!
Etichette: agenzia, certificato, entrate, garante, privacy, ssl
Ci risiamo: dopo l'Agenzia delle Entrate, ecco Equitalia
Ieri al Telegiornale si parlava del servizio offerto da
Equitalia per consultare, comodamente seduti da casa, la propria posizione debitoria nei confronti dell'erario.
Avere debiti con il fisco non è mai bello, ma si tratta di un ottimo servizio in linea con l'idea di "Amministrazione Digitale".
Quello che Firefox mi restituisce è
"Connessione sicura fallita
Il certificato non è affidabile in quanto il certificato dell'autorità emittente non è affidabile."
E come mai il certificato di sicurezza non è valido? (va da sè che l'utente medio chiude la finestra e pensa che il servizio non funzioni!)
Detto fatto... Sapete qual'è la CA che ha rilasciato il certificato? Agenzia delle Entrate, che naturalmente, non è una CA internazionalmente riconosciuta ed è questa la ragione per cui il vostro browser vi segnala che c'è qualcosa che non va.
"Per le web application è stato utilizzato un certificato Ssl di tipo self signed (non firmato da una Ca, Certification authority, ufficiale) non attendibile che, in mancanza di una Ca affidabile, non offre le garanzie di certezza dell'identità dell'erogatore del servizio tipiche della certificazione digitale tramite Pki (public key infrastructure): risultano pertanto facilitate azioni di phishing in danno di utenti del sistema e la possibile acquisizione indebita di credenziali di autenticazione, idonea a consentire utilizzi impropri dell'applicazione".
Provo a segnalarlo ad Equitalia, sperando che, almeno loro, abbiano a cuore la sicurezza dei propri utenti.
Etichette: agenzia, amministrazione digitale, certificato, certificatore, entrate, equitalia
Toglietemi tutto ma non il mio certificato "self-signed"
Qualcuno forse ricorderà il
provvedimento del Garante Privacy del 18 settembre 2008 con cui si bacchetteva severamente l'Agenzia delle Entrate per le modalità di accesso all'anagrafe tributaria da parte di soggetti esterni all'amministrazione finanziaria, per la sicurezza dei sistemi di autenticazione degli applicativi ultilizzati e per altre inadempienza a cui l'Agenzia avrebbe dovuto porre rimedio in un termine che, a seconda delle contestazioni, andava dai 3 ai 12 mesi.
A suo tempo (era il settembre 2008), mi colpì in particolare una delle anomalie segnalate, che riporto qui di seguito:
"Per le web application è stato utilizzato un certificato Ssl di tipo self signed (non firmato da una Ca, Certification authority, ufficiale) non attendibile che, in mancanza di una Ca affidabile, non offre le garanzie di certezza dell'identità dell'erogatore del servizio tipiche della certificazione digitale tramite Pki (public key infrastructure): risultano pertanto facilitate azioni di phishing in danno di utenti del sistema e la possibile acquisizione indebita di credenziali di autenticazione, idonea a consentire utilizzi impropri dell'applicazione".
Conseguentemente il Garante prescriveva all'Agenzia delle Entrate di fare in modo che, entro tre mesi, tutte le applicazioni accessibili da rete pubblica in forma di web application fossero implementate con protocolli https/ssl provvedendo ad asseverare l'identità digitale dei server erogatori dei servizi tramite l'utilizzo di certificati digitali emessi da una Certification Authority ufficiale.
Insomma, sono l'Agenzia delle Entrate... e mi certifico da sola, piaccia o meno al Garante Privacy.
Etichette: agenzia, certificato, certificatore, entrate, garante, privacy
![[frdm] Support SFLC](http://www.softwarefreedom.org/img/support-sflc.png "Software Freedom Law Center"){kind=small}
