Un certificato è l'equivalente digitale di una carta d'identità. Così come per diversi motivi si possono avere diversi documenti quali la patente automobilistica, il tesserino di dipendente aziendale, o una carta di credito, allo stesso modo si possono avere diversi certificati digitali per essere identificati per diversi scopi.
Questa sezione descrive come effettuare le operazioni relative all'uso dei certificati.
In questa sezione: Ottenere il proprio certificato Controllare la sicurezza di una pagina web Gestire le smart card e altri dispositivi di sicurezza |
Similmente ad una carta di credito o alla patente di guida, un certificato è una forma di identificazione che si può utilizzare per essere identificati su Internet e su altre reti. Come gli altri documenti personali normalmente utilizzati, di solito un certificato viene emesso da una organizzazione che abbia un'autorità riconosciuta per poter emettere tale documento. Un'organizzazione che emette certificati viene chiamata una certificate authority (CA), o Autorità di Certificazione.
Si possono ottenere certificati identificativi da CA pubbliche, da amministratori di sistema o da CA speciali all'interno della propria organizzazione, o da siti web che offrano servizi specializzati che richiedano modalità di identificazione più affidabili di una semplice combinazione nome utente e password.
Proprio come le caratteristiche necessarie per poter ottenere una patente di guida cambiano a seconda del tipo di veicolo che si vuole guidare, le richieste per ottenere un certificato variano a seconda dell'uso che se ne dovrà fare. In alcuni casi ottenere un certificato può essere semplice come andare su un sito web, inserire alcune informazioni personali, e scaricare automaticamente il certificato con il proprio browser. In altri casi, può essere necessario effettuare procedure più complicate.
È possibile ottenere già da oggi un certificato visitando il sito di una Autorità di Certificazione e seguendo le istruzioni a video. Per un elenco di autorità di certificazione, consultare il documento on line Client Certificates.
Una volta ottenuto un certificato, viene memorizzato automaticamente in un dispositivo di sicurezza. Mozilla viene fornito di un proprio Dispositivo Software di Sicurezza interno. Una dispositivo di sicurezza può anche essere una apposita periferica hardware, come una smart card.
Come la patente di guida o una carta di credito, un certificato è una forma di identificazione di un certo valore con la quale si possono effettuare degli abusi se finisce nelle mani sbagliate. Una volta ottenuto un certificato che vi identifica, deve essere protetto in due modi: facendone una copia di sicurezza e impostando una password principale.
Quando si ottiene un certificato, può essere richiesto di effettuarne una copia di sicurezza. Se non si è ancora impostata una password principale, verrà richiesto di crearne una.
Per maggiori informazioni su come fare copie di sicurezza di un certificato e impostare la password principale, vedere I propri certificati.
[ Torna all'inizio della sezione ]
Quando si visita una qualsiasi pagina web, l'icona del lucchetto vicina all'angolo inferiore destro della finestra informa se tutto il contenuto della pagina è stato protetto attraverso la cifratura mentre lo si stava ricevendo:
![]() | Un lucchetto chiuso significa che quella pagina è stata protetta da cifratura quando è stata ricevuta. | |
![]() | Un lucchetto aperto indica che la pagina non è stata protetta da cifratura quando è stata ricevuta. | |
![]() | Un lucchetto spezzato indica che alcuni o tutti gli elementi della pagina non sono stati protetti da cifratura quando sono stati ricevuti, anche se la pagina web che li contiene è stata cifrata. |
Per maggiori dettagli riguardo lo stato della cifratura di una pagina quando viene ricevuta, fare clic sull'icona del lucchetto (o aprire il menu Visualizza, scegliere Info Pagina, e fare clic sull'etichetta Sicurezza).
La scheda Sicurezza nel pannello delle Info della Pagina fornisce due tipi di informazione:
Importante: L'icona a forma di lucchetto descrive solo lo stato della cifratura della pagina durante il caricamento dalla rete. Per essere avvisati prima che si invii o si ricevano informazioni senza che siano cifrate, seleziona le opportune opzioni dei messaggi di avviso SSL. Vedere Preferenze - Privacy e sicurezza - SSL per i dettagli.
[ Torna all'inizio della sezione ]
Si può usare il pannello Certificati per gestire i certificati che si hanno a disposizione. I certificati possono essere memorizzati nel proprio disco fisso, su smart card o altre dispositivi di sicurezza collegate al proprio computer.
Per aprire il pannello Certificati:
In questa sezione: Gestire i certificati personali che vi identificano Gestire i certificati che identificano i siti web Gestire i certificati che identificano le Autorità di certificazione |
Inizialmente quando si apre il pannello Gestione Certificati, si noterà che vi sono diverse schede con le loro etichette nella parte alta della finestra. La prima etichetta è chiamata Certificati personali, e visualizza i certificati che il browser ha disponibili perché voi siate identificati. I vostri certificati vengono elencati sotto i nomi delle organizzazioni che li hanno emessi.
Per effettuare una operazione su uno o più Certificati, fare clic sulla voce del certificato (o Control-clic per selezionarne più di uno), e poi fare clic sui pulsanti Visualizza, Archivia o Cancella. Ognuno di questi pulsanti vi porterà ad un altra finestra che vi consentirà di effettuare l'azione. Fare clic sul pulsante Guida in qualunque finestra per ottenere maggiori informazioni riguardo l'uso della finestra stessa.
I seguenti pulsanti all'interno della scheda Certificati personali non richiedono che si selezioni un certificato. Utilizzarli per effettuare le seguenti azioni:
I certificati sulle smart cards non possono essere archiviati. Sia che si selezionino alcuni dei propri certificati e si faccia clic su Archivia, o si faccia clic su Archivia tutti, il file con le copie di sicurezza non conterrà i certificati che siano memorizzati su smart card o altri dispositivi di sicurezza. Si possono fare copie di sicurezza solo di certificati che siano memorizzati sul dispositivo software di sicurezza interno al browser.
Per maggiori dettagli riguardo uno qualunque di questi argomenti, consultare Gestione Certificati.
[ Torna all'inizio della sezione ]
Quando si scrive un email, si può scegliere se inserirvi la propria firma digitale. Una firma digitale consente ai destinatari del messaggio di verificare che il messaggio provenga effettivamente da voi e che non sia stato modificato dopo il suo invio.
Ogni volta che inviate un messaggio firmato digitalmente, il vostro certificato di cifratura viene inserito automaticamente nel messaggio. Questo certificato consente al destinatario del messaggio di inviarvi un messaggio criptato.
Uno dei modi più facili per ottenere il certificato di cifratura di qualcuno, è che quella persona vi invii un messaggio con firma digitale. Gestione Certificati automaticamente memorizza i certificati delle persone ogni volta che vengono ricevuti in questo modo.
Per vedere tutti i certificati di identificazione di altre persone che sono disponibili in Gestione Certificati, fare clic sull'etichetta Certificati Altrui nella parte superiore della finestra di Gestione Certificati. Si può inviare messaggi cifrati a uno qualunque dei soggetti elencati con un certificato valido. I certificati vengono elencati sotto il nome delle organizzazioni che li hanno emessi.
Per effettuare un'azione su uno o più certificati, far clic sulla voce di quel certificato (o Control-clic per selezionarne più di uno), poi fare clic sul pulsante Visualizza o Elimina. Ognuno di questi pulsanti porterà ad un'altra finestra che consentirà di effettuare l'azione. Fare clic sul pulsante Guida in una qualsiasi delle finestre per ottenere maggiori informazioni sull'uso della finestra stessa.
Per maggiori dettagli, consultare Certificati altrui.
[ Torna all'inizio della sezione ]
Alcuni siti web utilizzano i certificati per essere identificati. Tale identificazione è richiesta prima che il sito web possa cifrare le informazioni trasferite tra il sito e il proprio computer (o vice versa), in modo che nessuno possa leggere i dati mentre vengono trasmessi.
Se l'indirizzo (URL) di un sito web inizia con https://, il sito web ha un certificato. Se si visita uno di questi siti e il suo certificato è stato emesso da una CA che Gestione Certificati non conosce o che non considera affidabile, verrà chiesto se si vuole accettare il certificato del sito web. Quando si accetta un nuovo certificato di un sito web, Gestione Certificati lo aggiunge alla sua lista di Certificati dei siti web.
Per vedere tutti i Certificati dei siti web disponibili nel proprio browser, fare clic sull'etichetta Siti Web nella parte alta della finestra di Gestione Certificati.
Per effettuare un'azione su uno o più certificati dei siti web, fare clic sulla voce del certificato (o Shift-clic per selezionarne più di uno), e poi fare clic sui pulsanti Visualizza, Modifica, o Elimina. Ognuno di questi pulsanti porta ad un'altra finestra che consente di effettuare le azioni relative a quella voce.
Il pulsante Modifica consente di specificare se il proprio browser in futuro deve considerare affidabile il certificato del sito web specificato.
Per maggiori dettagli, consultare Certificati dei Siti Web.
[ Torna all'inizio della sezione ]
Come altre forme di documenti comunemente utilizzati, un certificato viene emesso da una organizzazione con l'autorità riconosciuta per poter emettere tale certificato di identificazione. Una organizzazione che emette certificati viene chiamata una Autorità di Certificazione (CA). Un certificato che identifica una CA viene chiamato certificato della CA.
Gestione certificati normalmente ha molti certificati delle CA su file. Questi certificati delle CA consentono a Gestione certificati di riconoscere e lavorare con i certificati emessi dalle corrispondenti CA. In ogni caso, la presenza di un certificato della CA in questa lista non garantisce che i certificati che questa CA emette possano essere considerati affidabili. Voi o il vostro amministratore di sistema dovete prendere la decisione riguardo su quali tipi di certificati ci si possa fidare a seconda delle proprie necessità di sicurezza.
Per visualizzare tutti i certificati delle CA disponibili sul proprio browser, fare clic sull'etichetta Autorità nella parte superiore della finestra del pannello Gestione certificati.
Per effettuare un'azione su uno o più Certificati delle CA, fare clic sulla voce di quel certificato (o Control-clic per selezionarne più di uno), poi fare clic sui pulsanti Visualizza, Modifica, o Elimina. Ognuno di questi pulsanti porta ad un'altra finestra con i relativi parametri che consentono di effettuare l'azione scelta. Fare clic sul pulsante Guida in qualunque finestra per avere maggiori informazioni riguardo l'uso delle opzioni della finestra stessa.
Il pulsante Modifica consente di visualizzare e gestire le impostazioni sull'affidabilità di ogni certificato. Le impostazioni di affidabilità per un certificato della CA consentono di specificare quale tipo certificati emessi da una specifica CA si desidera considerare affidabili.
Per maggiori dettagli, consultare Autorità.
[ Torna all'inizio della sezione ]
Una smart card è una piccola unità, generalmente della dimensione di una carta di credito, che contiene un microprocessore ed è capace di memorizzare informazioni relative all'identità del suo possessore (come la propria chiave privata e i certificati) ed effettuare operazioni di cifratura.
Per utilizzare una smart card, normalmente si ha bisogno di un lettore di smart card (una apposita periferica hardware) collegata al proprio computer, e di un software sul proprio computer che gestisca il lettore.
Una smart card è solo uno dei possibili tipi di dispositivi di sicurezza. Un dispositivo di sicurezza (a volte indicato come token) è una unità hardware o software che fornisce servizi di cifratura e memorizza informazioni sulla propria identità. Utilizzare Gestione dispositivi di sicurezza per operare con le smart card e altre unità di sicurezza.
In questa sezione: Moduli e dispositivi di sicurezza Utilizzare i dispositivi di sicurezza |
La Gestione dispositivi di sicurezza visualizza una finestra con l'elenco dei dispositivi di sicurezza disponibili. Si può utilizzare Gestione dispositivi di sicurezza per gestire qualunque dispositivo di sicurezza, comprese le smart card, che soddisfano PKCS #11, ovvero lo standard n.11 per la cifratura tramite chiave pubblica (Public Key Cryptography Standard #11).
Un modulo PKCS #11 (a volte indicato come un modulo di sicurezza) controlla uno o più dispositivi di sicurezza allo stesso modo con cui un driver software controlla una periferica esterna quale stampanti o modem. Se si sta installando una smart card, oltre a collegare il lettore di smart card è necessario installare il modulo PKCS #11 per la smart card sul proprio computer.
Inizialmente, la Gestione dispositivi di sicurezza controlla due moduli PKCS #11 interni che gestiscono tre dispositivi di sicurezza:
[ Torna all'inizio della sezione ]
La Gestione dispositivi di sicurezza consente di effettuare le operazioni sui dispositivi di sicurezza. Per aprire Gestione dispositivi di sicurezza, eseguire questa procedura:
La Gestione dispositivi di sicurezza elenca tutti i moduli PKCS #11 disponibili, e sotto il loro nome l'elenco dei relativi dispositivi di sicurezza gestiti.
Quando si seleziona un dispositivo di sicurezza, nella zona centrale della finestra Gestione dispositivi di sicurezza appaiono le informazioni relative, e alcuni dei pulsanti alla destra della finestra diventano cliccabili. Per esempio, se si seleziona Dispositivo software di sicurezza, si possono eseguire le seguenti azioni:
Si possono effettuare queste operazioni sulla maggior parte dei dispositivi di sicurezza. Non si possono però effettuare su Builtin Object Token o su Generic Crypto Services, che sono delle unità speciali che normalmente devono essere sempre disponibili.
Per maggiori dettagli, consultare Gestione dispositivi di sicurezza.
[ Torna all'inizio della sezione ]
Se si vuole utilizzare una smart card o altri dispositivi di sicurezza esterni, deve essere prima installato il modulo software sul proprio computer e, se necessario, collegare l'eventuale hardware relativo. Seguire le istruzioni che vengono fornite insieme all'hardware.
Una volta che un nuovo modulo viene installato nel proprio computer, eseguire questa procedura per caricarlo:
Il nuovo modulo verrà visualizzato nell'elenco dei moduli con il nome che gli si è assegnato.
Per scaricare un modulo PKCS #11, selezionare il suo nome e premere il pulsante Scarica.
Federal Information Processing Standards Publications (FIPS PUBS) 140-1 è uno standard governativo americano per l'implementazione di moduli di cifratura—ovvero, hardware software che cifrano e decifrano dati o effettuano altre operazioni crittografiche (come creare o verificare firme digitali). Molti prodotti venduti al governo statunitense devono soddisfare uno o più standard FIPS.
Per abilitare la Modalità FIPS per il browser, utilizzare Gestione dispositivi di sicurezza:
Per disabilitare la Modalità FIPS, fare clic su Disabilita FIPS.
[ Torna all'inizio della sezione ]
Il protocollo SSL (Secure Sockets Layer) consente di trasferire le informazioni su Internet in modalità cifrata —ovvero, l'informazione viene codificata quando viene trasferita in modo che nessuno possa comprenderne il contenuto. SSL viene utilizzato anche per identificare i computer su Internet attraverso l'uso di certificati.
Il protocollo TLS (Transport Layer Security) è un nuovo standard basato sul protocollo SSL. Il browser gestisce automaticamente sia SSL che TLS. Questo dovrebbe andar bene per la maggior parte degli utenti, perché garantisce che il browser funzionerà praticamente con tutti gli altri software disponibili su Internet che utilizzano qualunque versione di SSL o TLS.
Comunque, in alcuni casi gli amministratori di sistema o altre persone competenti potrebbero voler effettuare delle impostazioni specifiche del protocollo SSL per una ottimizzazione o per esigenze particolari di sicurezza o per poter evitare dei difetti in vecchie versioni di programmi.
Non si devono modificare i parametri SSL del proprio browser a meno che non si sappia esattamente cosa si sta facendo o non si abbia l'assistenza di qualcuno con la opportuna competenza. Se si ha la necessità di effettuare tali impostazioni per qualche motivo particolare, eseguire questa procedura:
Per maggiori dettagli, consultare Impostazioni SSL.
[ Torna all'inizio della sezione ]
Come discusso precedentemente su Ottenere il proprio certificato, un certificato è una forma di identificazione che, come la patente di guida, può essere utilizzata per farsi riconoscere su Internet e su altre reti. Comunque, come la patente di guida, un certificato può scadere o essere invalidato per altri motivi. Di conseguenza, il proprio browser software ha necessità di verificare la validità di qualunque certificato in qualche modo prima di poterlo considerare affidabile ai fini della identificazione.
Questa sezione descrive come Gestione Certificati valida i Certificati e come controllare questa funzione. Per capirne il funzionamento, si deve avere qualche familiarità con la cifratura a chiave pubblica. Se non si ha familiarità con l'uso dei certificati, si dovrebbe consultare il proprio amministratore di sistema prima di tentare di cambiare una delle impostazioni della verifica dei certificati del proprio browser.
In questa sezione: |
Ogni volta che si usa o si consulta un certificato memorizzato da Gestione Certificati, vengono effettuate diverse operazioni per verificare il certificato. Come minimo, viene verificato che la firma digitale della CA sul certificato sia stata creata da una CA il cui certificato (1) sia elencato sia nella scheda dei Certificati CA (nella finestra principale di Gestione Certificati) e (2) contrassegnato come affidabile per emettere quel tipo di certificati che vengono verificati.
Se lo stesso certificato della CA non è disponibile, la catena dei certificati per il certificato della CA deve includere un certificato a più alto livello della CA che sia presente e correttamente riconosciuto come affidabile. Gestione Certificati conferma anche che il certificato che viene verificato sia correttamente contrassegnato come affidabile nella zona di memorizzazione del certificato. Se anche uno solo di questi controlli fallisce, Gestione Certificati contrassegna il certificato come non verificato e non riconoscerà l'identità che deve certificare.
Un certificato può passare tutti questi test ed essere comunque in qualche modo compromesso; ad esempio, il certificato può essere stato revocato perché una persona non autorizzata è riuscita ad aver accesso alla chiave privata del certificato. Un certificato compromesso può consentire ad una persona non autorizzata (o ad un sito web) di far finta di essere il possessore del certificato.
Un modo di combattere questo pericolo da parte di Gestione Certificati è quello di controllare una CRL, o lista di certificati revocati (certificate revocation list) come parte del processo di verifica (vedere di seguito Gestire le CRL). Normalmente, si scarica una CRL nel proprio browser facendo clic su un collegamento. Se è presente una CRL, Gestione Certificati controlla che ogni certificato emesso dalla stessa CA nella lista come parte del processo di verifica.
L'affidabilità delle CRL dipende sia dalla frequenza con cui vengono aggiornate dal server sia dalla frequenza con cui vengono controllate dal client. Si può configurare le proprie Impostazioni di Aggiornamento automatico delle CRL in modo che una CRL venga aggiornata automaticamente ad intervalli regolari con la versione aggiornata disponibile sul server.
Un altro modo di combattere il pericolo dei certificati compromessi è quello di usare un server speciale che gestisce il protocollo OCSP (Online Certificate Status Protocol, protocollo per lo stato dei certificati on line). Tali server possono rispondere alle richieste dei client su singoli certificati (vedere Configurare OCSP, di seguito).
Il server, chiamato un OCSP responder, riceve periodicamente una CRL aggiornata dalla CA che emette i certificati che devono essere certificati. Si può impostare Gestione Certificati per inviare una richiesta di stato per un certificato all'OCSP responder, e l'OCSP responder conferma se il certificato sia valido.
Una CRL (certificate revocation list) è una lista di certificati revocati. Una CA potrebbe revocare un certificato, per esempio, se è stato compromesso in qualche modo —alla stessa maniera in cui una società che emette di carte di credito revoca una carta di credito quando il proprietario comunica che è stata rubata.
Questa sezione descrive come importare e gestire le CRL. Per informazioni di carattere generale, consultare Come Funziona la Convalida.
Per una descrizione dettagliata delle impostazioni che si possono modificare per le CRL, consultare Impostazioni di Convalida.
In questa sezione: |
Il browser utilizza le CRL che ha disponibili per controllare la validità dei certificati emessi dalla correspondente CA. Se un certificato viene visualizzato come revocato, il browser non lo accetterà come prova di identità.
Una CA normalmente pubblica una CRL aggiornata ad intervalli regolari. Ogni CRL include una data, specificata nel campo Next Update, nel quale la CA pubblicherà il prossimo aggiornamento di quella CRL. In generale, se la data nel campo Next Update è antecedente alla data corrente, si dovrebbe ottenere la versione più recente della CRL. Per visualizzare le informazioni della CRL e impostare l'aggiornamento automatico della CRL, consultare Visualizzare e gestire le CRL.
Alle CA è richiesto che producano una nuova CRL nella data specificata da Next Update. Comunque, l'assenza della CRL più recente di per se stessa non rende un certificato invalido. Per questo motivo, se la CRL più recente non è disponibile, un certificato può essere validato anche se la CRL viene visualizzata come scaduta. L'aggiornamento automatico della CRL può aiutare ad evitare questa situazione.
Si può importare la versione più recente della CRL dalla CA nel proprio browser. Per importare una CRL, eseguire questa procedura:
Appare la dialog box Import Status.
Si: Viene visualizzata la finestra con le opzioni per l'aggiornamento automatico della CRL. In questo caso, andare al punto 4.
No: La finestra dello Stato di Importazione viene chiusa. Se si cambia idea e si decide che si preferisce abilitare gli aggiornamenti automatici, consultare Visualizzare e gestire le CRL.
Si possono visualizzare e gestire le CRL disponibili nel proprio browser attraverso le opzioni di Convalida:
Per cancellare o aggiornare una CRL, selezionarla e fare clic sul pulsante corrispondente all'azione che si vuole effettuare.
Per impostare gli aggiornamenti automatici per una CRL, selezionare la CRL e fare clic su Impostazioni. Viene visualizzata la finestra di gestione delle Preferenze sull'Aggiornamento Automatico della CRL:
Le impostazioni che controllano OCSP fanno parte delle preferenze Convalida. Per visualizzare le perferenze di Convalida, eseguire questa procedura:
Per informazioni riguardo le opzioni OCSP disponibili, consultare OCSP.