Informatica documentale

Convalida di una firma digitale

La convalida di una firma digitale apposta a un documento informatico prevede prima l’accertamento dell’integrità e immodificabilità del contenuto (verifica tecnica) e poi il controllo del rispetto dei requisiti giuridici. Riguardo alla verifica tecnica, il processo si compone delle seguenti fasi:

• Attivazione del software di firma, che avviene automaticamente all’apertura del file contenente il documento firmato.
• Applicazione della funzione di HASH alla rappresentazione digitale del documento che si trova all’interno del file firmato, con conseguente generazione della sua impronta digitale di 256 bit.
• Decodifica della firma digitale con l’algoritmo crittografico RSA utilizzando la chiave pubblica presente nel certificato qualificato incluso nel file formato. Il risultato è l’impronta di 256 bit che corrisponde alla firma digitale apposta al documento.
• Le due impronte digitali, quella che corrisponde al testo del documento e l’altra che corrisponde alla firma digitale, vengono confrontate: se sono uguali allora il documento non è stato modificato dopo la sottoscrizione e si presume che il sottoscrittore sia il titolare del certificato qualificato dal quale è stata prelevata la chiave pubblica utilizzata per la decodifica della firma.
• Il testo del documento viene visualizzato a video insieme a dati identificativi del firmatario contenuti nel certificato elettronico qualificato incluso nel file formato.

30/10/2023 Facilitatore digitale lezione 20

SPID e CIE

SPID (Sistema Pubblico di Identità Digitale) è un’identità digitale composta da una coppia di credenziali (username e password). Ci permette di accedere ai servizi online delle Pubbliche Amministrazioni.

CIE è la carta d’identità elettronica che permette l’accertamento dell’identità del possessore e l’accesso ai servizi online delle pubbliche amministrazioni e dei privati. Tutti i cittadini possono richiedere la Carta di Identità elettronica. Le credenziali di sicurezza di CIE di livello 1 e 2 devono essere necessariamente attivate online.

6/11/2023

Efficacia giuridica di una firma digitale

La firma digitale ha piena validità in Europa e a livello internazionale per la produzione di documenti informatici. Noi ce l’abbiamo dal 1997. L’Europa spinge molto sulla firma avanzata rispetto a quella qualificata perché è più facile da generare. Si sta riscrivendo il regolamento eIdas.

Il valore giuridico è stabilito nell’articolo 20 c.1 bis) del CAD: il documento informatico soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’articolo 2702 del Codice Civile quando vi è apposta una firma digitale, altro tipo di firma elettronica qualificata o una firma elettronica avanzata.

L’utilizzo del dispositivo di una firma digitale si presume riconducibile al titolare di firma elettronica, salvo che questi dia prova contraria. La firma digitale è utilizzata per firmare gli atti giuridicamente più rilevanti nell’art. 1350 del Codice civile.

Il buon esito della verifica tecnica di una firma digitale apposta a un documento informatico è una condizione necessaria, ma non sufficiente per attribuirgli la stessa efficacia giuridica di una firma autografa. In altre parole, per potergli attribuire tale efficacia occorre verificare altre condizioni.

In primo luogo, il firmatario deve aver utilizzato:

• Un certificato qualificato di firma elettronica rilasciato da un prestatore di servizi fiduciari qualificato in conformità ai requisiti di cui all’allegato I del Regolamento eIdas.
• Un dispositivo di firma sicuro, cioè conforme alle specifiche tecniche fissate nell’allegato II del Regolamento eIDas.

Per avere certezza che quella che ho davanti è una firma digitale ai sensi del regolamento, devo leggere il certificato del sottoscrittore, dove c’è scritto da chi è stato rilasciato e che è conforme al regolamento eIdas.

Inoltre, la firma digitale non deve essere stata apposta a un documento che eccede i limiti di uso o di valore dichiarati nel certificato qualificato di firma elettronica del firmatario.

• Ad esempio, nel caso di un contratto che determina un impegno economico di una certa identità, occorre verificare che non sia sottoscritto con una firma digitale a cui corrisponde un certificato qualificato il cui utilizzo è limitato a rapporti giuridici di importo inferiore.

Ad ogni certificato qualificato messo è associata una data di scadenza per prevenire l’obsolescenza tecnologica (normalmente il periodo di validità è 3 anni), ma il titolare può richiederne la sospensione o la revoca in qualsiasi momento qualora ritenga che sia stata in qualche modo compromessa la sicurezza.

La data del documento, Macerata 3/11/2023, ma revocato il 4 e ricevuto il 6, non è più valido. Data opponibile a terzi = certa.

Validazione temporale elettronica

Il regolamento eIDAS utilizza il termine validazione temporale elettronica per identificare i dati in forma elettronica che collegano altri dati in forma elettronica a una particolare ora e data, così da provare che quest’ultimi esistevano in quel momento, e obbliga gli Stati membri a non negarle gli effetti giuridici e l’ammissibilità come prova in procedimenti giudiziali per il solo motivo della sua forma elettronica. Se tale validazione elettronica:

• Collega data e ora ai dati in modo da escludere modifiche.
• Si basa su una fonte accurata di misurazione del tempo collegata all’UTC.
• È apposta mediante una firma elettronica avanzata, o sigillata con un sigillo elettronico avanzato dal prestatore di servizi fiduciari qualificato.

Allora è considerata qualificata.

La Commissione europea può stabilire, mediante atti di esecuzione, le norme applicabili al collegamento della data e ora ai dati e alle fonti accurate di misurazione del tempo, al fine di assicurare che una validazione temporale elettronica rilasciata in uno Stato membro sia riconosciuta come validazione temporale elettronica qualificata in tutti gli Stati dell’UE.

Generazione di una marca temporale

La marca temporale è una data e un’ora rilasciata dal certificatore (da un orologio di un server che non si può modificare e quindi opponibile a terzi). Questo sistema è in grado di mantenere la data e l’ora in modo che non si discostino per più di un minuto dalla scala del tempo coordinato universale (UTC). Si compone di 3 parti: l’impronta del documento, la data e l’ora, firma digitale del sistema di validazione temporale + certificato rilasciato al server. Queste 4 parti formano la Marca temporale.

Perché la marca temporale viene firmata dal sistema? Per un’ulteriore garanzia e perché così non si può modificare.

La validificazione temporale elettronica è qualificata se:

• Collega la data e l’ora ai dati in modo da escludere ragionevolmente la possibilità di modifiche non rilevate dei dati.
• Si basa su una fonte accurata di misurazione del tempo collegata al tempo universale coordinato.
• È apposta mediante una firma elettronica avanzata, oppure è sigillata con un sigillo elettronico avanzato del prestatore di servizi fiduciari qualificato o con un metodo equivalente.

La marca temporale non è gratis, costa circa 0,25 euro a firma.

Riferimenti temporali opponibili a terzi

Ai sensi dell’art. 41 del dpcm 22 febbraio 2013, oltre alla marca temporale, costituiscono validazione temporale:

• Il riferimento temporale contenuto nella segnatura di protocollo.
• Il riferimento temporale ottenuto attraverso la procedura di conservazione dei documenti, ad opera di un pubblico ufficiale o di una pubblica amministrazione.
• Il riferimento temporale ottenuto attraverso l’utilizzo del servizio di posta elettronica certificata.
• Il riferimento temporale ottenuto attraverso l’utilizzo della marcatura postale elettronica (convenzione postale universale).

La data delle ricevute della pec è opponibile a terzi.

Efficacia di una firma digitale

L’art.4 del dpcm 22 febbraio 2013 dichiara che il documento informatico sottoscritto con firma digitale non ha l’efficacia giuridica di una scrittura privata se contiene macroistruzioni o codici eseguibili, tali da attivare funzionalità che possano modificare gli atti, i fatti o i dati nello stesso rappresentati. Per evitare questo rischio, per la produzione di documenti informatici si consiglia l’uso di formati elettronici che non contemplano la presenza di macroistruzioni (es. pdf) o almeno garantiscono la disponibilità di strumenti capaci di rilevarne la presenza con sufficiente sicurezza. Il contenuto del documento cambia nel tempo ma la firma digitale è sempre valida, blocca l’istruzione. Su Word bisogna sempre disabilitare le MACRO.

Sigillo elettronico

È come una firma elettronica, ma viene generato da una macchina e non da una persona. Il sigillo è definito dal Regolamento eIDas come "dati in forma elettronica, acclusi oppure connessi tramite associazione logica ad altri dati in forma elettronica per garantire l’origine e l’integrità di questi ultimi". Il sigillo elettronico si differenzia dalla firma elettronica in quanto la sua finalità non è identificare il firmatario, bensì dar garanzia dell’origine e integrità dei dati.

Concretamente, il sigillo elettronico è lo strumento da utilizzare per certificare la qualità e l’affidabilità dei dati gestiti da una persona giuridica e rilasciati a un cittadino, un’impresa con i meccanismi dell’interoperabilità e cooperazione applicativa. Esso può essere avanzato se soddisfa gli stessi requisiti specificati per la FEA, oppure qualificato se è anche creato con un dispositivo per la creazione di un sigillo elettronico qualificato basato su un certificato qualificato di sigillo elettronico.

Sigillo elettronico qualificato

Il sigillo elettronico qualificato è un certificato di sigillo elettronico rilasciato da un prestatore di servizi fiduciari qualificato e conforme ai requisiti di cui all’allegato III. Un sigillo elettronico qualificato può essere revocato o sospeso. La commissione può, mediante atti di esecuzione, stabilire i numeri di riferimento delle norme applicabili ai certificati qualificati di sigilli elettronici.

Servizio elettronico di recapito certificato

EIDAS nel 2014, ma entrato in vigore dal 2016, l’Italia dal 2005. Il servizio elettronico è quasi la stessa cosa della pec italiana. L’Europa ci dà la possibilità di avere la pec o un servizio elettronico di recapito certificato, che...