Progetto di sistemi di autorizzazione: un caso di studio per la Pubblica Amministrazione

 5 
Capitolo 3 
Problematiche di autorizzazione: 
Infrastrutture per la gestione dei privilegi (PMI) 
 
 
Nel recente passato, molto lavoro è stato svolto nello sviluppare le infrastrutture a 
chiave pubblica (Public Key Infrastructure) per le applicazioni in cui fosse necessario 
autenticare i due pari di una comunicazione in un ambiente pubblico quale internet. Lo 
scopo principale di una PKI è quello di produrre una base di dati di identità che sia 
altamente scalabile e distribuita. Per risolvere il problema dell’autorizzazione utilizzando 
le PKI, è  possibile utilizzare le estensioni dei PKC per memorizzare gli attributi 
dell’identità certificata dal PKC stesso. Questo approccio risulta poco flessibile e difficile 
da gestire in quanto le informazioni rilevanti per l’autorizzazione, contenute nel 
certificato, dovrebbero essere costanti nel tempo (un PKC può avere un tempo di vita di 
alcuni anni), e non dovrebbe essere richiesta una alta granularità nelle decisioni di 
controllo degli accessi.  
Se si vuole realizzare un sistema di controllo degli accessi dinamico e a grana fine, 
sono richieste altre tecnologie complementari. Le organizzazioni ISO e ITU-T, che hanno 
sviluppato gli standard per i certificati a chiave pubblica e le PKI, hanno recentemente 
presentato la nuova versione di X.509 [X.509v4], in cui si definisce una infrastruttura per 
la gestione dei privilegi (Privilege Management Infrastructure, PMI). Una PMI è un 
insieme di processi necessari per fornire i servizi di autorizzazione: definisce una 
architettura per ottenere e rendere credibili gli attributi di una entità, con lo scopo di 
determinare se questa è autorizzata o meno ad accedere alle risorse. Per permettere che 
gli attributi di una identità siano trasportati in modo sicuro, si utilizzano i certificati di 
attributo (Attribute Certificate, in seguito AC).  Il formato degli AC permette a qualsiasi 
tipo di informazione aggiuntiva di essere corrisposta ad un PKC includendo, in una