Source: http://docplayer.it/13577719-Estratto-da-3-firma-digitale-posta-elettronica-certificata-e-dematerializzazione-daniela-redolfi.html
Timestamp: 2018-11-14 10:00:03+00:00

Document:
(estratto da) 3. Firma digitale, posta elettronica certificata e dematerializzazione Daniela Redolfi - PDF
Download "(estratto da) 3. Firma digitale, posta elettronica certificata e dematerializzazione Daniela Redolfi"
Martino Buono
1 (estratto da) 3. Firma digitale, posta elettronica certificata e dematerializzazione Daniela Redolfi (...) 3.2 Elementi della tecnologia e aspetti legali Il documento cartaceo sottoscritto possiede alcuni requisiti da cui il legislatore, riconoscendo al documento informatico valore analogo a quello cartaceo, non poteva prescindere. I requisiti, di seguito elencati, sono il risultato di una serie di condizioni che attengono alla natura del supporto cartaceo, alla prassi che l uso millenario di tale supporto ha codificato e allo stesso ordinamento giuridico che ha attribuito a determinati usi conseguenze legali. I requisiti sono: - integrità Il supporto cartaceo è tale che una lesione alla sua integrità come un abrasione o una cancellatura risulta di immediata evidenza. Nel caso, poi, di documenti composti da più pagine la prassi ha individuato modalità (come l apposizione di un timbro alla congiunzione dei fogli) per evitare che la sottrazione di una pagina o la sua sostituzione passino inosservate. - provenienza La sottoscrizione in calce al documento comporta l assunzione che il documento provenga da chi l ha sottoscritto, o quanto meno che quest ultimo ne conosca il contenuto o lo faccia proprio. - paternità La firma autografa è tale che essa è attribuibile ad una e una sola persona identificabile mediante tecniche che la prassi ha individuato e che l ordinamento ha codificato. Riconoscendo valore giuridico al documento informatico si dovevano, quindi, creare le condizioni perchè: - fosse impedita la modificazione dello stesso o quanto meno tale modificazione risultasse evidente; - fosse assicurata la provenienza del documento, ed infine - fosse possibile identificare il sottoscrittore. Prevedendo il ricorso alla firma digitale, il legislatore ha ottenuto il risultato di garantire i requisiti suddetti, facendo leva su una soluzione che poggia su scelte tecnologiche e organizzative. Sul fronte tecnologico la firma digitale ricorre a tecniche di crittografia asimmetrica per garantire l integrità e l identificazione della provenienza del documento mentre, sul fronte organizzativo, si avvale di registri affidati ad autorità esterne (le cosiddette autorità di certificazione) per assicurare la verifica dell identità del sottoscrittore la crittografia asimmetrica La crittografia studia le tecniche per rendere comprensibile un documento solo alle persone autorizzate a leggerlo. Con la crittografia asimmetrica ciò avviene mediante il ricorso ad una doppia coppia di chiavi, una pubblica (conoscibile da chiunque) e una privata (che conosce solo la persona a cui la coppia di chiavi è attribuita).
2 Se A vuole trasmettere a B un messaggio riservato e quindi conoscibile solo da quest ultimo, critta il messaggio con la chiave pubblica di B (che B gli ha trasmesso o che ha rinvenuto presso un terzo o che ha ottenuto presso un registro etc.) e lo trasmette a B, il quale per leggere il messaggio dovrà decrittarlo attraverso la propria chiave privata. La coppia di chiavi è, infatti, tale per cui l informazione cifrata con una delle chiavi (pubblica o privata che sia) potrà essere decifrata solo usando l altra chiave. Un altra persona, non disponendo della chiave privata di B, non potrà decrittare il messaggio. Al contrario se A vuole trasmettere a B un messaggio dando assicurazione che proviene proprio da A stesso, critta il messaggio con la propria chiave privata e lo trasmette a B che lo decritta con la chiave pubblica di A. Se B riesce a decrittare il messaggio con la chiave pubblica di A vuol dire che A l ha crittato con la propria chiave privata che solo A conosce la firma digitale La firma digitale poggia su un sistema di crittografia asimmetrica, ma non costituisce una mera applicazione di tale sistema. La firma digitale prevede, infatti, il ricorso ad una funzione di hash da cui si ricava l'impronta digitale del documento (il cosiddetto message digest), un file di dimensioni relativamente piccole che contiene una sorta di codice di controllo relativo al documento stesso. La funzione hash, è fatta in modo da: - rendere minima la probabilità che da testi diversi si possa ottenere il medesimo valore dell'impronta. Ad un documento corrisponde di fatto un unica impronta; - rendere impossibile ottenere dall impronta il testo originario. L applicazione della funzione di hash è, quindi, tale da garantire l integrità del documento: infatti, una volta prodotta l impronta digitale da un determinato documento, se tale documento viene modificato, produrrà una nuova impronta diversa dalla prima. L impronta digitale viene poi cifrata dal sottoscrittore con la propria chiave privata. In questo modo viene garantita la provenienza del documento: solo il sottoscrittore, infatti, dispone della chiave privata che potrà essere verificata ricorrendo alla corrispondente chiave pubblica. La firma digitale è, quindi, costituita dall impronta digitale cifrata con la chiave privata di chi firma. Essa non si appone in calce al documento come avviene nella sottoscrizione autografa ma costitusce un file diverso dal documento (allegato a quest ultimo) la cui correlazione al documento è costituita dall impronta digitale. Inoltre, diversamente, dalla firma autografa, la firma digitale essendo costituita dall impronta del documento, è ogni volta diversa. Chi intende verificare la firma, decifra la firma del documento con la chiave pubblica di chi ha sottoscritto, ottenendo l'impronta digitale del documento, e quindi confronta
3 quest'ultima con quella che si ottiene applicando la funzione di hash al documento ricevuto. La verifica della chiave accerta la provenienza del documento e la verifica dell hash prova l integrità dello stesso.
4 Processo di sottoscrizione mediante apposizione di firma digitale 1) Documento da sottoscrivere 2) Produzione dell impronta 3) Applicazione della chiave segreta all impronta del documento 4) Documento sottoscritto Processo di verifica della sottoscrizione 1) Documento da verificare 2) Verifica che l impronta corrisponda al documento in modo da accertare che il documento non sia stato modificato 3) Applicazione della chiave pubblica del sottoscrittore in modo da verificare se il documento sia stato firmato proprio da lui con la sua chiave segreta Con i software attualmente in commercio, le varie operazioni di sottoscrizione e verifica della firma digitale vengono effettuate in modo automatico senza che l utente debba seguire i diversi passaggi.
5 3.2.3 le autorità di certificazione e il certificato digitale L applicazione delle tecniche di crittografia asimmetrica della firma digitale garantisce la provenienza del documento dando contezza che il documento proviene da chi ha crittato il file con la propria chiave privata, ma non consente di identificare a chi effettivamente corrisponda quella coppia di chiavi. Per fare ciò è necessario ricorrere ad una soluzione organizzativa che prevede l istituzione di autorità di certificazione a cui è affidato il compito di garantire l associazione tra la chiave pubblica e un determinato soggetto identificato a cui la coppia di chiavi è stata assegnata. A tale scopo le autorità di certificazione (o certificatori): - identificano i titolari della coppia di chiavi; - tengono il registro con gli identificativi dei titolari e la chiave pubblica a loro attribuita; - emettono un certificato digitale che attesta che la chiave pubblica è assegnata a quel determinato titolare. Il certificato digitale riporta le seguenti informazioni: o l autorità di certificazione che l ha emesso; o il periodo di validità; o gli identificativi del soggetto a cui è stata attribuita la coppia di chiavi; o la chiave pubblica. E prevista la possibilità di inserire nel certificato anche informazioni aggiuntive, quali ad esempio il ruolo rivestito dal sottoscrittore. Il certificato digitale viene allegato alla firma in modo tale da consentire la verifica dell identità del sottoscrittore. La firma digitale non è valida se, quando viene apposta, il certificato digitale è scaduto (sospeso o revocato) La validità nel tempo La scadenza del certificato, prevista per ragioni di sicurezza (ad oggi il periodo di validità è generalmente di due anni), solleva la questione della verifica della firma una volta che il certificato è scaduto (oppure sospeso o revocato). Per verificare la validità di una firma digitale apposta, ad esempio, su un atto amministrativo redatto e sottoscritto qualche anno prima, si ricorre al registro tenuto dall autorità di certificazione a cui la legge 1 impone di conservare tutte le informazioni relative al certificato dal momento della sua emissione per almeno venti anni. I certificati sono quindi conservati dall autorità di certificazione. Tuttavia, per poter individuare con certezza quello in vigore al momento della sottoscrizione è necessario disporre di una data certa. E così si prevede che la firma digitale, ancorchè sia scaduto, revocato o sospeso il relativo certificato qualificato del sottoscrittore, è valida se alla stessa è associabile un riferimento temporale opponibile ai terzi che colloca la 1 D.lgs. 82/05 art. 32 Obblighi del titolare e del certificatore (...) Il certificatore che rilascia, ai sensi dell art. 19, certificati qualificati deve inoltre: (...) j) tenere registrazione, anche elettronica, di tutte le informazioni relative al certificato qualificato dal momento della sua emissione almeno per venti anni anche al fine di fornire prova della certificazione in eventuali procedimenti giudiziari
6 generazione di detta firma digitale in un momento precedente alla sospensione, scadenza o revoca del suddetto certificato 2. I riferimenti temporali riconosciuti sono ad oggi 3 : 1. la marca temporale 4 ; 2. il riferimento temporale contenuto nella segnatura di protocollo 5 ; 3. il riferimento temporale ottenuto attraverso la procedura di conservazione dei documenti in conformità alle norme vigenti, ad opera di un pubblico ufficiale o di una pubblica amministrazione 6 ; 4.il riferimento temporale ottenuto attraverso l utilizzo di posta elettronica certificata 7 ; 5. il riferimento temporale ottenuto attraverso il servizio di marcatura postale elettronica delle amministrazioni postali secondo il Regolamento dell unione postale universale 8. Alla firma va quindi associato un riferimento temporale in modo che essa possa essere verificata con certezza anche al venir meno della validità del certificato il dispositivo di firma La coppia di chiavi e il certificato digitale risiedono su un dispositivo di firma nel controllo esclusivo del titolare, generalmente una smart card o una chiave usb, protetti da codici di accesso. Quindi, anche se comunemente viene detta firma digitale, la smart card è solamente il supporto su cui risiedono gli strumenti per firmare. Se il ricorso a dispositivi di firma nella disponibilità del titolare, come smart card e chiavi usb, costituiscono la modalità più frequente per dare attuazione all esclusività del controllo da parte del titolare richiesto dalla legge, non è escluso che si possa ricorrere anche a soluzioni hardware. Tali soluzioni vengono spesso utilizzate nel caso di procedure automatiche di firma, generalmente quando i documenti da sottoscrivere sono in numero consistente (le cosiddette firme massive). In questo caso, la legge, che impone che i documenti informatici debbano essere presentati al titolare chiedendo conferma della volontà di generare la firma, prevede 2 D.P.C.M. 30 marzo 2009 Regole tecniche in materia di generazione, apposizione e verifica delle firme digitali e validazione temporale dei documenti informatici. Art D.P.C.M. 30 marzo 2009 Regole tecniche in materia di generazione, apposizione e verifica delle firme digitali e validazione temporale dei documenti informatici. Art D.P.C.M. 30 marzo 2009 Regole tecniche in materia di generazione, apposizione e verifica delle firme digitali e validazione temporale dei documenti informatici. Art D.P.C.M. 31 ottobre 2000 Regole tecniche per il protocollo informatico di cui al D.P.R. 20 ottobre 1998, n. 428 art. 9 6 D.lgs. 82/05 Codice dell amministrazione digitale art. 44 e delibera CNIPA 11/04 7 D.lgs. 82/05 Codice dell amministrazione digitale art D.p.r. 18/07 Regolamento di esecuzione delle decisioni adottate dal XXIII Congresso dell'unione postale universale - UPU - recanti modifiche al settimo Protocollo addizionale della Costituzione dell'upu, al Regolamento generale dell'unione postale universale, alla Convenzione postale universale ed al Protocollo finale e all'accordo relativo ai servizi di pagamento della posta, tenutosi a Bucarest il 5 ottobre 2004
7 un eccezione: l'apposizione di firme con procedura automatica è valida se apposta previo consenso del titolare all adozione della procedura medesima Valore giuridico del documento informatico, della sua trasmissione e conservazione nel tempo Validità ed efficacia probatoria del documento sottoscritto con firma digitale Come accennato nella parte introduttiva, l attuale disciplina recependo la normativa comunitaria, riconosce gradi diversi di validità ed efficacia probatoria a seconda che il documento sia sottoscritto con firma elettronica semplice o con firma elettronica avanzata. Per la verità, la norma riconosce validità ed efficacia probatoria anche al documento privo di firma (ad esempio una semplice e.mail), stabilendo che essi sono liberamente valutabili in giudizio tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità ed immodificabilità. Rimandando alle considerazioni del capitolo 1 per un quadro sinottico del valore e degli effetti sul piano probatorio dei vari tipi di documento informatico, qui preme riprendere quanto previsto dalla legge per il documento sottoscritto con firma digitale. L art. 21 del d.lgs. 82/05 stabilisce che: 1. l utilizzo del dispositivo di firma si presume riconducibile al titolare salvo che questi ne dia prova contraria; 2. il documento ha l efficacia probatoria prevista dall art del codice civile; 3. il documento soddisfa il requisito della forma scritta nei casi previsti dall art del codice civile. Forma ed efficacia del documento informatico sono garantite a condizione che il documento si preservi sul supporto informatico. La stampa del documento non gode evidentemente degli stessi requisiti di forma ed efficacia probatoria visto che, una volta su supporto cartaceo, non sono più possibili i riscontri previsti dalla firma digitale 10. Per questa ragione la legge 11 prescrive che Le copie su supporto analogico di documento informatico, anche sottoscritto con firma elettronica avanzata, qualificata o digitale, hanno la stessa efficacia probatoria dell'originale da cui sono tratte se la loro 9 D.lgs. 82/05 Codice dell amministrazione digitale art L art. 23-ter comma 5 del d.lgs. 82/05, come modificato dal d.lgs. 235/10, prevede che al fine di assicurare la provenienza e la conformità all originale, sulle copie analogiche di documenti informatici, è apposto a stampa un contrassegno generato elettronicamente tale da consentire la verifica automatica della conformità del documento analogico a quello informatico. L articolo in questione rimanda a tale scopo alle regole tecniche che dovranno essere emanate entro dodici mesi dall entrata in vigore del decreto. 11 D.lgs. 82/05 art. 23 comma comma 1. Al comma 2 si aggiunge che Le copie e gli estratti su supporto analogico del documento informatico, conformi alle vigenti regole tecniche, hanno la stessa efficacia probatoria dell originale se la loro conformità non è espressamente disconosciuta. Resta fermo, ove previsto, l obbligo di conservazione dell orginale informatico.
8 conformità all'originale in tutte le sue componenti è attestata da un pubblico ufficiale a ciò autorizzato. (...)
Il Documento Informatico. Le diverse forme di sottoscrizione e trasmissione. Riflessi sull attività della Pubblica Amministrazione
Il Documento Informatico. Le diverse forme di sottoscrizione e trasmissione. Riflessi sull attività della Pubblica Amministrazione Edizione maggio 2013 Pubblicazione realizzata da INAIL Avvocatura Generale

References: art. 32
 art. 19
 art. 9
 art. 44
 art. 21
 art. 23
 art. 23