Posta Elettronica Certificata        

Q. Cos'e' OpenPEC?

A. OpenPEC è un progetto OpenSource che ha lo scopo di realizzare un sistema di Posta Elettronica Certificata secondo le linee guida e le norme tecniche specificate dal Centro Tecnico per la Rete Unitaria della Pubblica Amministrazione. Tutte le Pubbliche Amministrazioni definite dal Decreto Legge 29/93 (Amministrazioni Centrali, Enti Locali, Istituti scolastici e universitari, ecc) devono provvedere entro il 1/01/2004 a revisionare i propri sistemi informativi in modo da gestire il “Protocollo Informatico”. OpenPEC vuole essere un sistema completamente OpenSource compatibile con le specifiche tecniche emesse e certificato dal Centro Tecnico per la RUPA.

Q. OpenPEC e' liberamente utilizzabile per uso personale o commerciale?

A. Sì. OpenPEC e' distribuito in accordo con la Licenza Pubblica Generica (GPL) della Free Software Foundation (FSF). Quindi il software è liberamente copiabile, modificabile e distribuibile secondo i termini di questa licenza. Per maggiori informazioni, si legga il file COPYING che accompagna il programma.

Q. Dove posso trovare altre informazioni su OpenPEC?

A. - Documenti in linea:
http://www.openpec.org/documents.shtml

- Mailing lists:
http://www.openpec.org/mlists.shtml
PER FAVORE: Prima di intervenire in una lista, si legga questa FAQ e la documentazione disponibile. Inoltre si cerchi negli archivi di lista: può darsi che la domanda sia già stata discussa. In questo modo sarà più facile concentrarsi sui problemi che non sono ancora stati risolti.

- La distribuzione dei sorgenti di OpenPEC contiene una directory:
/opec/doc
che contiene documentazione supplementare.

Q. Dove trovo OpenPEC?

A. E' possibile scaricare il pacchetto d'installazione da
http://sourceforge.net/project/showfiles.php?group_id=87668

Per i sorgenti da CVS la procedura da seguire è:
cvs -d:pserver:anonymous@cvs.sourceforge.net:/cvsroot/openpec login
(quando chiede la password premi semplicemente invio)

cvs -d:pserver:anonymous@cvs.sourceforge.net:/cvsroot/openpec co -P .

path: [PATH D'INST]\opec\src\

Q. Su quali sistemi operativi funziona OpenPEC?

A. Dovrebbe funzionare su tutti i sistemi operativi Linux che abbiano OpenSSL 0.9.7d (per via di un bug nella SMIME verify che colpisce le vecchie versioni).
Comunque le distribuzioni sulle quali e' stato testato sono:
- Redhat Linux 7.3 (vedi nota su OpenSSL sotto)
- Mandrake Linux 9.1
- Fedora Core 1

* Aggiornare la versione di OpenSSL alla 0.9.7d

Q. E' necessario installare un server LDAP locale?

A. OpenPec per funzionare ha bisogno di consultare l'indice per la Posta Certificata gestito dal CNIPA.
Questo però dice che ogni fornitore di servizio deve implementare un proprio indice-copia locale.
Per l'installazione e configurazione di OpenLdap vedi il dcocumento INSTALL.ldap allegato alla distribuzione.
Per consultare l'indice per la Posta Certificata del CNIPA sono previste due modalità:
- tramite protocollo LDAP, con opportune query da sistemi ed applicazioni presenti su RUPA e/o da Internet, con i seguenti parametri:
URI: indicepa.gov.it, porta 389 (LDAP standard), base DN c=it;
- tramite interfaccia WEB per utenti delle PA accreditate e/o presenti su RUPA e per l’utente generico da Internet, al seguente indirizzo:
http://indicepa.gov.it/

Q. Una volta installato OpenPec il mio sistema di posta è certificato?

A. No. OpenPec è solo un elemento abilitante.
OpenPec è un modulo agganciabile (plug-in) ad un sistema di posta esistente (MTA) per adesso tramite protocollo SMTP/LMTP ed ha lo scopo di mettere in condizioni di essere certificato il sistema di posta sul quale viene installato.

Q. Quando viene emessa una patch o una nuova release la certificazione continua ad esistere? O meglio, c'è un grado evolutivo del codice al di sotto del quale la certificazione continua a valere (es. se una patch o una nuova release risolve un baco e non introduce nessuna novità di rilievo)?

A. In generale è difficile trovare una linea di confine definita (in termini di modifiche al codice) al di sotto della quale la certifica è mantenuta quindi, in generale, ad ogni nuova patch/release deve corrispondere una nuova certifica. Detto questo facciamo intervenire il buon senso: visto che la certifica è mirata all'interoperabilità dei sistemi se la patch comprende modifiche tipo variazioni nel testo di una ricevuta non ci sono problemi.

Q. Come faccio ad installare OpenSSL 0.9.7d sulla Fedora Core 1?

A. Poiché non esistono i rpm della 0.9.7d per la Fedora Core 1, usiamo quelli di Turbolinux, effettuando prima questi passi:
- creazione di un nuovo symlink per perl:
ln -s `which perl` /bin/perl5

- creazione dei symlink per le librerie necessarie:
ln -s /usr/lib/libcrypto.so /usr/lib/libcrypto.so.4
ln -s /usr/lib/libssl.so /usr/lib/libssl.so.4

a questo punto è possibile installare le 0.9.7d:
rpm -Uvh --nodeps --force openssl-0.9.7d.rpm openssl-devel-0.9.7d.rpm

i pacchetti rpm possono essere scaricati da www.rpmfind.net

Q. Quali sono i certificati che occorrono per una infrastruttura di PEC?

A. Occorrono 2 tipologie di certificati:

. uno o piu' certificati per le connessioni TLS (IMAPS, POPS, SMTPS e HTTPS)
. un certificato tipo x509 (S/MIME) per ogni dominio di PEC

Per le connessioni TLS e' sufficiente un certificato a 40bit per la crittografia (quelli comunemente usati per l'e-commerce).

Per firmare le mail occorre un certificato x509, generalmente usato dai singoli utenti per firmare le mail in uscita (Certificati Digitali per persone).

Q. In questo caso il certificato x509 non fa riferimento ad un individuo ma ad un server quindi ci sono implicazioni?

A. No, quello che serve e' un certificato x509 di classe 1 (in cui viene verificata solo l'esistenza dell'indirizzo email che da Allegato Tecnico e' posta-certificata@): nella sottoscrizione del contratto al posto dell'individuo verra' indicato chi fornisce il servizio di PEC (un'azienda per esempio).

Q. Richiedendo un solo certificato per le connessioni TLS siamo costretti a implementare tutti i servizi su un'unica macchina?

A. In generale, per le architetture bilanciate, si utilizza un solo certificato relativo al host+dominio del bilanciatore copiato su tutte le macchine bilanciate;
dal punto di vista legale è necessario l'acquisto di un certificato ed un numero di licenze pari al numero delle macchine bilanciate.

Per HTTPS è necessario che sui webserver delle macchine bilanciate siano configurati dei virualhost in modo che al browser del client arrivi sempre lo stesso host+dominio.

Per SMTPS-IMAPS-POPS è sufficiente che host+dominio del certificato sia lo stesso di quello impostato sul MUA quindi nessun problema di alias qualunque sia la macchina su cui è installato il certificato.

Q. Come sono gestiti gli indirizzi in BCC?

A. Le mail in arrivo al punto di accettazione contenenti indirizzi in BCC vengono semplicemente scartate visto che non soddisfano i "Controlli formali sui messaggi in ingresso" (Cap 6.3.1 dell'Allegato Tecnico).
Gli indirizzi posti in BCC sul client di posta sono presenti solo nell'envelop della transazione SMTP e non nell'header del messaggio (altrimenti sarebbero visibili ai destinatari) e questo crea una discrepanza fra envelop e header richiesta dalle norme CNIPA.