[Gfoss] WMS Ufficiale Agenzia delle Entrate

[a.furieri a lqt.it]

On Mon, 27 Nov 2017 02:57:14 -0700 (MST), pigreco wrote:
> geodrinx wrote
>> Domanda:  ma a voi funziona, questo WMS ?
>
> Ho fatto varie prove su QGIS 2.18,
> il wms : 
> https://wms.cartografia.agenziaentrate.gov.it/inspire/wms/ows01.php
> funziona, inizialmente da un errore ma basta ignorarlo.
>

ho fatto alcune prove, ed ho scoperto che neppure il WMS di RasterLite2
riesce ad accedere al servizio perche' c'e' un errore bloccante nella
catena  delle Certification Authorities che autenticano il certificato
X.509 utilizzato dal server del catasto:

CURL error: Peer certificate cannot be authenticated with given CA 
certificates

la cosa strana e' che invece (anche su Linux) Firefox non rileva
alcun errore o criticita' quando accede direttamente questa URL:

https://wms.cartografia.agenziaentrate.gov.it/inspire/wms/ows01.php?&service=WMS&request=GetCapabilities

andando a scavare viene fuori che il certificato X.509
incriminato e' rilasciato da DigiCert, una azienda strettamente
legata a Microsoft.
pare proprio che CURL incontri diversi problemi nel riconoscere
come valida la CA di DigiCert, come parrebbe testimoniare
questo lungo thread su StackExchange:

https://stackoverflow.com/questions/20941808/curl-not-correctly-applying-ca-certificate-file

conclusione: non possiamo certo dire che la CA scelta da
Sogei per conto del Catasto sia "open source friendly".

purtroppo l'uso del protocollo HTTP (non cifrato) non e'
supportato, e quindi in ultima analisi l'accesso al WMS
del catasto implica per tutti coloro che usasno free sw
di fidarsi di una catena di autenticazione farlocca e non
verificabile; non e' proprio il top per la sicurezza
informatica :-P

ultima stravaganza: il certificato del sito del catasto
scade a Novembre 2020, cioe' tra ben tre anni :-)

in genere si ritiene che la sicurezza dei certificati si
basa essenzialmente sul loro continuo rinnovo con frequenze
molto ravvicinate.
giusto per dire, la ben nota CA open source Let's Encrypt
rilascia esclusivamente certificati server con validita'
di tre mesi, altro che tre anni :-D

ciao Sandro