Firma Remota - Configurazioni

PkBox è un prodotto altamente flessibile e può essere configurato in modo da soddisfare pienamente i requisiti del cliente, sia in termini di capacità di carico e di credenziali, sia per quanto riguarda l’architettura complessiva del sistema.

Nella definizione di una configurazione PkBox, i gradi di libertà sono:
  • Sistema operativo ospite (sono supportati Windows e Linux)
  • Dispositivo crittografico (Pkcs#11 sw, Smartcard/Token in pool, HSM, netHSM)
  • Set di funzioni di firma abilitate (Cades, Pades, Xades, Full, Opzioni)
  • Nr. Server in produzione (Fault Tolerance e Bilanciamento del Carico)
  • Eventuale architettura COD con credenziali sul database (Oracle, MySQL)
  • Nr. Server per altri ambienti (DR, Collaudo, Test, Sviluppo)
  • Sistema di Strong Authentication
  • Nr. Server Intermedi per trattamento documenti (configurazioni a tre livelli)
In base al dispositivo crittografico scelto variano i valori risultanti di:
  • Numero credenziali installabili sul server PkBox
  • Numero di operazioni di firma nell’unità di tempo

Con una smartcard o un token USB è possibile raggiungere un ritmo di circa 3/4 mila firme l’ora. Con un HSM si possono trattare anche centinaia/migliaia di firme al secondo. Chiaramente le dimensioni dei documenti da firmare influenzano notevolmente il tempo necessario all’operazione di firma data la necessità del calcolo dell’impronta.
Installando più server in parallelo è possibile distribuire le richieste di firma sulle macchine disponibili aumentando quindi in modo proporzionale la capacità complessiva del sistema.

Il modulo PkBox Client, da utilizzare come libreria di interfaccia delle applicazioni con i PkBox Server, è in grado di indirizzare i server distribuendo le richieste senza richiedere componenti addizionali quali bilanciatori hardware o software.
Gli apparati di bilanciamento possono comunque essere utilizzati sia in situazioni in cui si è fatta la scelta di adottarli, sia nel caso in cui non si utilizzi il modulo PkBox Client e si preferiscano a questo le interfacce Web Services.

Adottando la configurazione COD, PkBox è in grado di gestire le credenziali di firma su un database esterno all’HSM. La coppia di chiavi viene generata all’interno del dispositivo crittografico, viene quindi cifrata con una chiave master e il risultato può essere portato fuori della scheda di sicurezza senza correre il rischio di un suo utilizzo fraudolento.
Grazie alla struttura COD, si superano i limiti imposti dall’HSM sul numero complessivo di credenziali gestibili da un singolo sistema di sicurezza. Intesi Group ha realizzato configurazioni in grado di gestire milioni di certificati di firma remota e automatica.
Agganciando più PkBox ad un database comune è possibile ottimizzare il numero di certificati da emettere, evitando le duplicazioni dei certificati per ogni HSM, e minimizzare il tempo di ripristino di un server di firma a seguito di un guasto hardware. L’unica informazione da riportare sul nuovo HSM è infatti la chiave master (che può essere trasferita in modo sicuro usando un set di smartcard).

La configurazione COD richiede l’uso di uno specifico dispositivo HSM, Thales nCipher nShield in quanto, per garantire la necessaria sicurezza, le operazioni di crittografia ed esportazione delle credenziali vengono eseguite tramite chiamate a specifiche API del prodotto indicato.

Nei casi in cui esista una separazione geografica o logica tra i server di firma e le applicazioni che gestiscono i documenti da firmare, è possibile creare una configurazione a tre livelli in cui il server PkBox si suddivide in due macchine specializzate:
  • PkBox HSM (che gestisce il dispositivo crittografico)
  • PkBox Remote (che gestisce il trattamento dei documenti, lato applicazioni)

I meccanismi di colloquio tra i PkBox Client, HSM e Remote permettono di effettuare il bilanciamento del carico a tutti i livelli. E’ permesso quindi di avere ad esempio tre PkBox HSM e due Remote. L’applicazione vedrà, tramite PkBox Client i due PkBox Remote e ognuno dei Remote vedrà in pool i tre PkBox HSM.

Il numero di PkBox Remote può essere deciso sia in base alla dimensione e al numero di documenti da trattare, sia considerando il numero di applicazioni e le diverse sedi geografiche da supportare.

Il numero di PkBox HSM dipende invece unicamente dal carico di transazioni di firma che si desidera sostenere.

Il dimensionamento di una soluzione senza Remote deve invece considerare che tutto il lavoro di trattamento del documento e di firma sul dispositivo deve essere svolto dalla stessa macchina.

Copyright © 2017 INTESI GROUP S.p.A
|
|
|
Via Torino, 48 - 20123 Milano - Italia
P.IVA 02780480964
|
Capitale soc.: Euro 600.000,00 i.v. - REA: Milano - 1562415
|