Informatica documentale

CONVALIDA DI UNA FIRMA DIGITALE

La convalida di una firma digitale apposta a un documento informatico prevede prima

l’accertamento dell’integrità e immodificabilità del contenuto (verifica tecnica) e poi il controllo del

rispetto dei requisiti giuridici. Riguardo alla verifica tecnica, il processo si compone delle seguenti

fasi:

- Attivazione del software di firma, che avviene automaticamente all’apertura dle file

contenente il documento firmato;

- Applicazione della funzione di HASH alla rappresentazione digitale del documento che si

trova all’interno del file firmato, con conseguente generazione della sua impronta digitale di

256 bit;

- Decodifica della firma digitale con l’algoritmo crittografico RSA utilizzando la chiave

pubblica presente nel certificato qualificato incluso nel file formato. Il risultato è l’impronta

di 256 bit che corrisponde alla firma digitale apposta al documento;

- Le due impronte digitali, quella che corrisponde al testo del documento e l’altra che

corrisponde alla firma digitale, vengono confrontate: se sono uguali allora il documento non

è stato modificato dopo la sottoscrizione e si presume che il sottoscrittore sia il titolare del

certificato qualificato dal quale è stata prelevata la chiave pubblica utilizzata per la

decodifica della firma;

- Il testo del documento viene visualizzato a video insieme a dati identificativi del firmatario

contenuti nel certificato elettronico qualificato incluso nel file formato.

30/10/2023

Facilitatore digitale lezione 20

SPID (Sistema Pubblico di Identità digitale) è un’identità digitale composta da una coppia di credenziali (username e password).

Ci permette di accedere ai servizi online delle Pubbliche Amministrazion.

CIE è la carta d’identità elettronicam permette l’accertamento dell’identità del possessore e l’accesso ai servizi online delle pubbliche amministrazioni

e dei privati.

Tutti i cittadini possono richiedere la Carta di Identità elettronica.

Le credenziali d sicurezza di CIE di livello 1 e 2 devono essere necessariamente attivate online.

6/11/2023

EFFICACIA GIURIDICA DI UNA FIRMA DIGITALE

La firma digitale ha piena validità in Europa e a livello internazionale per la produzione di

documenti informatici.

Noi ce l’abbiamo dal 1997. L’Europa spinge molto sulla firma avanzata rispetto a quella qualificata

perché è più facile da generare. Si sta riscrivendo il regolamento eIdas.

Il valore giuridico è stabilito nell’articolo 20 c.1 bis) del CAD: il documento informatico soddisfa il

requisito della forma scritta e ha l’efficacia prevista dall’articolo 2702 del Codice Civile quando vi

è apposta una firma digitale, altro tipo di firma elettronica qualificata o una firma elettronica

avanzata.

L’utilizzo del dispositivo di una firma digitale si presume riconducibile al titolare di firma

elettronica, salvo che questi dia prova contraria.

La firma digitale è utilizzata per firmare gli atti giuridicamente più rilevanti nell’art. 1350 del

Codice civile.

Il buon esito della verifica tecnica di una firma digitale apposta a un documento informatico è una

condizione necessaria, ma non sufficiente per attribuirgli la stessa efficacia giuridica di una firma

autografa.

in altre parole, per potergli attribuire tale efficacia occorre verificare altre condizioni.

In primo luogo, il firmatario deve aver utilizzato:

-Un certificato qualificato di firma elettronica rilasciato da un prestatore di servizi fiduciari

qualificato in conformità ai requisiti di cui all’allegato I del Regolamento Eidas

- Un dispositivo di firma sicuro, cioè conforme alle specifiche tecniche fissate nell’allegato II del

Regolamento eIDas.

Per avere certezza che quella che ho davanti è una firma digitale ai sensi del regolamento, devo

leggere il certificato del sottoscrittore, dove c’è scritto da chi è stato rilasciato e che è conforme al

regolamento eidas.

Inoltre, la firma digitale non deve essere stata apposta a un documento che eccede i limiti di uso o di

valore dichiarati nel certificato qualificato di firma elettronica del firmatario.

- Ad esempio, nel caso di un contratto che determina un impegno economico di una certa identità,

occorre verificare che non sia sottoscritto con una firma digitale a cui corrisponde un certificato

qualificato il cui utilizzo è limitato a rapporti giuridici di importo inferiore.

Ad ogni certificato qualificato messo è associata una data di scadenza per prevenire l’obsolescenza

tecnologica (normalmente il periodo di validità è 3 anni), ma il titolare può richiederne la

sospensione o la revoca in qualsiasi momento qualora ritenga che sia stata in qualche modo

compromessa la sicurezza. 21

La data del documento, Macerata 3/11/2023 ma revocato il 4 e ricevuto il 6, non è più valido.

Data opponibile a terzi= certa

VALIDAZIONE TEMPORALE ELETTRONICA

Il regolamento eIDAS utilizza il termine validazione temporale elettronica per identificare i dati in

forma elettronica che collegano altri dati in forma elettronica a una particolare ora e data, così da

provare che quest’ultimi esistevano in quel momento, e obbliga gli Stati membri a non negarle gli

effetti giuridici e l’ammissibilità come prova in procedimenti giudiziali per il solo motivo della sua

forma elettronica. Se tale validazione elettronica:

- Collega data e ora ai dati in modo da escludere modifiche;

-Si basa su una fonte accurata di misurazione del tempo collegata all’UTC;

- è apposta mediante una firma elettronica avanzata, o sigillata con un sigillo elettronico avanzato

dal prestatore di servizi fiduciari qualificato;

Allora è considerata qualificata.

La Commissione europea può stabilire, mediante atti di esecuzione, le norme applicabili al

collegamento della data e ora ai dati e alle fonti accurate di misurazione del tempo, al fine di

assicurare che una validazione temporale elettronica rilasciata in uno Stato membro sia riconosciuta

come validazione temporale elettronica qualificata in tutti gli Stati dell’UE.

Generazione di una marca temporale

La marca temporale è una data e un’ora rilasciata dal certificatore (da un orologio di un

server che non si può modificare e quindi opponibile a terzi).

22

Server del prestatore

Questo sistema è in grado di mantenere la data e l’ora in modo che non si discostino per più di un

minuto dalla scala del tempo coordinato universale (UTC).

Si compone di 3 parti: l’impronta del documento, la data e l’ora, firma digitale del sistema di

validazione temporale.

+certificato rilasciato al server.

Queste 4 parti formano la Marca temporale.

Perché la marca temporale viene firmata dal sistema? Per un’ulteriore garanzia e perché così non si

può modificare.

La validificazione temporale elettronica è qualificata se:

- collega la data e l’ora ai dati in modo da escludere ragionevolmente la possibilità di modifiche non

rilevate dei dati;

- Si basa su una fonte accurata di misurazione del tempo collegata al tempo universale coordinati*-

è apposta mediante una firma elettronica avanzata, oppure è sigillata con un sigillo elettronico

avanzato del prestatore di servizi fiduciari qualificato o con un metodo equivalente.

La marca temporale non è gratis, costa circa 0,25 euro a firma.

Riferimenti temporali opponibili a terzi

Ai sensi dell’art. 41 del dpcm 22 febbraio 2013, oltre alla marca temporale, costituiscono

validazione temporale:

-il riferimento temporale contenuto nella segnatura di protocollo

-il riferimento temporale ottenuto attraverso la procedura di conservazione dei documenti, ad opera

di un pubblico ufficiale o di una pubblica amministrazione;

-Il riferimento temporale ottenuto attraverso l’utilizzo del servizio di posta eelttronica certificata

_ Il riferimento temporale ottenuto attraverso l’utilizzo della marcatura posteale elettronica

(convenzione postale universale) 23

La data delle ricevute della pec è opponibile a terzi.

Efficacia di una firma digitale

L’art.4 del dpcm 22 febbraio 2013 dichiara che il documento informatico sottoscritto con firma

digitale non ha l’efficacia giuridica di una scrittura privata se contiene macroistruzioni o codici

eseguibili, tali da attivare funzionalità che possano modifcare gli atti, i fatti o i dati nello stesso

rappresentati.

Per evitare questo rischio, per la produzione di documenti informatici si consiglia l’uso di formati

elettronici che non contemplano la presenza di macroistruzioni (es. pdf) o almeno garantiscono a

disponibilità di strumenti capaci di rilevarne la presenza con sufficiente sicurezza.

Il contenuto del documento cambia nel tempo ma la firma digitale è sempre valida, blocca

l’istruzione.

Su word bisogna sempre disabilitare le MACRO.

SIGILLO ELETTRONICO

è come una firma elettronica, ma viene generato da una macchina e non da una persona.

Il sigillo è definito dal Regolamento eIDas” dati in forma elettronica, acclusi oppure connessi

tramite associazione logica ad altri dati in forma elettronica per garantire l’origine e l’integrità di

questi ultimi,

Il sigillo elettronico si differenzia dalla firma elettronica in quanto la sua finalità non è identificare il

firmatario, bensì dar garanzia dell’origine e integrità dei dati.

Concretamente, il sigillo elettronico è lo strumento da utilizzare per certificare la qualità e

l’affidabilità dei dati gestiti da una persona giuridica e rilasciati a un cittadino, un’impresa con i

meccanismi dell’interoperabilità e cooperazione applicativa.

Esso può essere avanzato se soddisfa gli stessi requisiti specificati per la FEA, oppure qualificato se

è anche creato con un dispositivo per la creazione di un sigillo elettronico qualificato basato su un

certificato qualificato di sigillo elettronico.

sigillo elettronico qualificato

Il è un certificato di sigillo elettronico rilasciato da un prestatore

di servizi fiduciari qualificato e conforme ai requisiti di cui all’allegato III.

Un sigillo elettronico qualificato può essere revocato o sospeso.

La commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme

applicabili ai certificati qualificati di sigilli elettronici.

24

Servizio elettronico di recapito certificato

Eidas nel 2014, ma entrato in vigore dal 2016, l’Italia dal 2005. Il servizio elettronico è quasi la

stessa cosa della pec italiana.

L’Europa ci da la possibilità di avere la pec o un servizio elettronico di recapito certificato, che