Cos'è la PKI e perché è importante per le firme digitali?

L'entità fidata che emette certificati digitali. La CA verifica l'identità dei richiedenti i certificati, emette certificati, mantiene un elenco di certificati validi e revoca i certificati quando vengono compromessi o scadono.

Un componente opzionale che gestisce la verifica dell'identità per conto della CA. La RA raccoglie e verifica i documenti di identità ma non emette certificati direttamente. In alcuni sistemi, la CA esegue entrambe le funzioni.

Quando un certificato viene compromesso o non più valido, deve essere revocabile. Le Liste di Revoca dei Certificati (CRL) sono elenchi periodici di certificati revocati. OCSP (Online Certificate Status Protocol) fornisce lo stato di revoca in tempo reale. Entrambi vengono verificati durante la validazione della firma.

Un certificato è fidato perché è emesso da una CA, che è fidata perché è accreditata da una CA radice o da un framework nazionale di fiducia. Questa catena di fiducia — CA radice → CA intermedia → certificato utente finale — è ciò che rende le firme basate su PKI verificabili da chiunque.

HSM (Hardware Security Module) di livello FIPS 140-2 3: $8.000-25.000 per unità. HSM cloud (AWS KMS, Azure Key Vault): $1-3 per chiave/mese + $0.03 per 10K operazioni. eSign.AI gestisce l'infrastruttura HSM in-house, eliminando questo costo per i clienti. Una distribuzione tipica di PKI aziendale richiede 2-4 HSM (produzione + DR + staging).

Firma RSA 2048 in HSM: 50-200 ms per operazione. Firma ECC P-256 in HSM: 5-30 ms. Verifica RSA 2048: 1-3 ms. Validazione della catena di certificati (3-livello): 10-50 ms inclusa la verifica della CRL. A 100 firme/secondo sostenute, RSA 2048 richiede 3-5 istanze di HSM; ECC P-256 richiede 1.

Il punto debole più debole della PKI è la gestione delle chiavi, non la crittografia. Fallimenti comuni: chiave privata archiviata nel software (non HSM), account di servizio condivisi con chiavi di firma, insufficiente rotazione delle chiavi e mancanza di controllo dual per le operazioni di chiave. eSign.AI impone lo stoccaggio delle chiavi solo in HSM e l'approvazione multi-partite per tutte le operazioni di firma superiori a $100K di valore.

Costruire una PKI in-house richiede: hardware HSM ($8K-25K per unità, 2-4 per produzione+DR), software CA (OpenSSL è gratuito, CA aziendale come Microsoft ADCS costa $3K-15K di licenza), competenze PKI (2-3 ingegneri di sicurezza a tempo pieno), sovraccarico di audit e conformità continuo. Adatto per grandi aziende con >100K firme/anno e requisiti rigorosi di sovranità dei dati. Non raccomandato per PMI — il costo totale di proprietà supera il prezzo dei servizi gestiti al di sotto di ~50K firme/anno.

Servizi gestiti come eSign.AI gestiscono HSM, CA, emissione di certificati, revoca, timestamping e tracce di audit come offerta confezionata. Vantaggi: nessun esborso iniziale, nessuna competenza PKI necessaria, distribuzione più rapida, conformità integrata con eIDAS/ETO/ETA. Svantaggi: meno controllo sulle politiche di gestione delle chiavi, potenziale blocco del fornitore, costi per transazione a volume elevato. La maggior parte delle aziende APAC sceglie servizi gestiti perché le partnership con CA locali (Singpass, iAM Smart, PSrE) sono difficili da replicare in-house.

Alcune aziende operano un modello ibrido: utilizzano un servizio gestito per la maggior parte delle firme, ma mantengono una CA locale per casi d'uso specifici (documenti classificati interni, presentazioni di documenti governativi che richiedono una CA domestica). eSign.AI supporta questo modello tramite la sua API — le organizzazioni possono utilizzare la loro CA per determinati tipi di documento mentre utilizzano le partnership gestite da eSign.AI per altri.