Profilo dei certificati qualificati¶

Per la generazione dei certificati qualificati, sono indicate le seguenti raccomandazioni:

1. Conformità con quanto stabilito nella specifica RFC 5280 e nelle norme ETSI EN 319-412-1 versione 1.1.1, EN 319-412-2 versione 2.1.1, EN 319-412-3 versione 1.1.1, EN 319-412-4 versione 1.1.1 e EN 319-412-2 versione 2.1.1.
2. L’estensione KeyUsage è presente e marcata critica. Il solo KeyUsage ammesso per i certificati qualificati di firma elettronica è il “Type A,” come descritto nella citata norma ETSI EN 319-412-2.
3. Al fine di ottemperare a quanto prescritto negli allegati I (lettera h), III (lettera h) e IV (lettera i) del regolamento eIDAS, è utilizzato l’accessMethod id-ad-caIssuers, con accessLocation uniformResourceIdentifier.
4. L’estensione authorityKeyIdentifier (ᴏɪᴅ 2.5.29.35) contiene almeno il campo keyIdentifier, non marcata critica.
5. Il campo SubjectDN (dati identificativi del titolare) è caratterizzato da:
   1. Il serialNumber (ᴏɪᴅ 2.5.4.5) - nei certificati di firma elettronica e autenticazione di siti web rilasciati a persone fisiche - contiene il codice fiscale del titolare indicato con il prefisso TIN, come prescritto dalla norma ETSI EN 319-412-1 (es. TINIT-CCCNNN64T30H501H). Esclusivamente nel caso in cui al titolare non sia stato assegnato un codice fiscale dall’autorità italiana è possibile indicare analogo numero di identificazione fiscale rilasciato da altra autorità dell’Unione utilizzando il prefisso TIN ovvero gli estremi di un documento di riconoscimento utilizzando i prefissi IDC o PAS ovvero un numero di registrazione nazionale utilizzando il prefisso PNO, come prescritto dalla norma EN 319-412-1. Nel caso in cui il titolare sia una persona fisica non dotata di codice fiscale o carta di identità italiana, ma dotata di permesso di soggiorno, si applica quanto previsto dal punto 6 del paragrafo 5.1.3 della norma EN 319-412-1 utilizzando il prefisso RP. Nei casi in cui la legge dello Stato di residenza della persona fisica non consenta l’utilizzo di nessuno dei precedenti codici, si applica quanto previsto dal punto 6 del paragrafo 5.1.3 della norma EN 319-412-1 utilizzando il prefisso NS per identificare lo schema nazionale. In tale evenienza, il pre- statore di servizi fiduciari deve inserire un codice univoco, eventualmente derivato da uno dei predetti.
   2. L’organizationName (ᴏɪᴅ 2.5.4.10) dei certificati di firma elettronica, eventual- mente utilizzato per indicare l’appartenenza o l’affiliazione del titolare all’organiz- zazione e esclusivamente nel caso in cui il prestatore di servizi fiduciari abbia avuto e conservi prova della volontà dell’organizzazione medesima a tale uso e che la stessa si assuma l’obbligo di richiedere la revoca del certificato nel caso in cui il titolare del certificato lasci l’organizzazione. Nel caso in cui l’organizationName sia presente, i medesimi vincoli si applicano anche all’eventuale codifica dell’attributo title. L’attributo title, se presente, contiene il ruolo del titolare in linguaggio naturale e, facoltativamente, una seconda parte costituita da un codice numerico derivato dai codici delle professioni pubblicati da ISTAT. Nel caso in cui sia presente, il codice ISTAT della professione è preceduto dalla stringa :: (esadecimale 0x3A3A, e title=descrizioneInLinguaggioNaturale::codiceNumerico). L’organizationName non è utilizzato nel caso in cui il titolare sia un semplice cliente dell’organizzazione.
   3. Il dnQualifier (ᴏɪᴅ 2.5.4.46) che contiene il codice identificativo del titolare presso il prestatore del servizio. Tale codice è univoco nell’ambito del prestatore del servizio.
   4. La possibilità di inserire nell’attributo description (ᴏɪᴅ 2.5.4.13) il codice EORI (Economic Operator Registration and Identification) di cui al Regolamento (UE) №312/2009 del 16 aprile 2009 e successive modificazioni. In tal caso il codice stesso è preceduto dal testo EORI e dal carattere “:” (esadecimale 0x3A).
6. Al fine di normalizzare l’uso della sintassi dall’identificatore ‘legal person semantics identifier’ descritto nel paragrafo 5.1.4 della norma ETSI EN 319-412-1, nel caso di organizzazioni non dotate né di partita IVA né di NTR, ma solamente del codice fiscale, è possibile utilizzare la modalità descritta al numero 3 del paragrafo 5.1.4, utilizzando i due caratteri “CF” (esempio: CF:IT-97735020584).
7. Salvo quanto disposto nelle citate norme ETSI, eventuali ulteriori limiti d’uso sono inseriti nell’attributo explicitText del campo userNotice dell’estensione certificatePolicies. Sul sito istituzionale dell’Agenzia sono pubblicati i testi e le codifiche delle limitazioni d’uso che è auspicabile siano garantite agli utenti.
8. È fortemente sconsigliato l’utilizzo dei caratteri wildcard come * (esadecimale 0x2A) in tutti i nomi di dominio nei certificati qualificati di autenticazione di siti web.
9. Ulteriori estensioni possono essere inserite nel certificato purché conformi agli standard citati nel presente provvedimento e non marcate critiche.

Profilo dei certificati di certificazione e validazione temporale¶

1. Il profilo dei certificati di certificazione è conforme alla specifica RFC 5280.
2. Il profilo dei certificati di marcatura temporale è conforme alla norma ETSI EN 319-422 versione 1.1.1.
3. Per la codifica dei certificati deve essere utilizzato il formato ASN.1 – DER (ISO/IEC 8824, 8825) in rappresentazione binaria o alfanumerica, ottenuta applicando la trasformazione Base64 (RFC 1421 e successive modifiche); l’intestazione e la coda previsti in RFC 1421 possono essere assenti. Nel primo caso il file contenente il certificato deve assumere l’estensione cer o der, nel secondo caso b64.
4. I certificati di certificazione contengono le seguenti estensioni:
   1. keyUsage (ᴏɪᴅ 2.5.29.15) — contenente i valori keyCertSign e CRLSign (bit #5 e #6 impostati a 1); l’estensione è marcata critica;
   2. basicConstraints (ᴏɪᴅ 2.5.29.19) — contenente il valore CA=true; l’estensione è marcata critica;
   3. certificatePolicies (ᴏɪᴅ 2.5.29.32) — contenente uno o più identificativi delle PolicyIdentifier:code e le URL dei relativi CPS. Può contenere l’OID geerico previsto dall’\ :RFC:`5280 (2.5.29.32.0)); l’estensione non è marcata critica;
   4. subjectKeyIdentifier (ᴏɪᴅ 2.5.29.14) — contenente il valore keyIdentifier per identificare il certificato l’estensione non è marcata critica;
   5. Ulteriori estensioni possono essere inserite nel certificato purché conformi agli standard citati nel presente provvedimento e non marcate critiche.
5. I certificati di marcatura temporale contengono le seguenti estensioni:
   1. keyUsage (ᴏɪᴅ 2.5.29.15) — contenente il valore digitalSignature (bit #0 impostato a 1); l’estensione è marcata critica;
   2. extendedKeyUsage (ᴏɪᴅ 2.5.29.37) — contenente esclusivamente il campo keyPurposeId impostato su timeStamping; l’estensione è marcata critica;
   3. certificatePolicies (ᴏɪᴅ 2.5.29.32) — contenente uno o più identificativi delle PolicyIdentifier e le URL del relativo CPS; l’estensione non è marcata critica;
   4. authorityKeyIdentifier (ᴏɪᴅ 2.5.29.35) — contenente almeno il valore keyIdentifier corrispondente al :code:`subjectKeyIdentifier: del certificato di certificazione utilizzato per sottoscrivere il certificato di marcatura temporale; l’estensione non è marcata critica;
   5. subjectKeyIdentifier (ᴏɪᴅ 2.5.29.14) — contenente il valore keyIdentifier per identificare il certificato; l’estensione non è marcata critica;
   6. Ulteriori estensioni possono essere inserite nel certificato purché conformi agli standard citati nel presente provvedimento e non marcate critiche.

Formati di firme e sigilli elettronici qualificati¶

Nella realizzazione di servizi e applicazioni per la generazione di firme e sigilli elettronici qualificati, i prestatori di servizi fiduciari qualificati si attengono alle disposizioni emanate con la Decisione di Esecuzione (UE) № 1506/2015 dell’8 settembre 2015 e successive modificazioni.

Informazioni sullo stato dei certificati qualificati di firma e sigillo¶

Le informazioni afferenti lo stato del certificato preferibilmente sono rese disponibili attraverso il servizio OCSP ed eventualmente anche tramite liste di revoca (CRL). A tal fine i certificati qualificati contengono l’estensione authorityInfoAccess (ᴏɪᴅ 1.3.6.1.5.5.7.1.1) contenente il campo accessDescription con l’attributo accessMethod, che contiene l’identificativo id-ad-ocsp (ᴏɪᴅ 1.3.6.1.5.5.7.48.1) e l’attributo accessLocation, che contiene l’URI che punta all’OCSP Responder e, eventualmente, l’estensione CRLDistributionPoints (ᴏɪᴅ 2.5.29.31). Le estensioni non sono marcate critiche.

Le CRL contengono l’estensione ExpiredCertsOnCRL (ᴏɪᴅ 2.5.29.60), prevista dallo standard X.509.

Le informazioni sulla revoca e sospensione dei certificati sono liberamente accessibili in rete.