Source: http://www.interlex.it/docdigit/regole2.htm
Timestamp: 2018-02-23 20:10:08+00:00

Document:
Le regole tecniche per la firma digitale - 2
La chiave di volta è il "dispositivo di firma"
di Manlio Cammarata - 22.03.99
Tutto il sistema tecnico-legale sul quale si fondano i documenti informatici "validi e rilevanti ad ogni effetto di legge" (DPR 513/97, art. 2) ruota intorno al "dispositivo di firma" previsto dalle "regole tecniche" contenute nel DPCM in attesa di pubblicazione sulla Gazzetta ufficiale.
Si deve ricordare che la definizione "validi e rilevanti ad ogni effetto di legge" non significa che documenti formati, trasmessi e archiviati con deversi sistemi di validazione non abbiano valore legale e, in particolare, valore probatorio in ambito processuale. Significa solo che il rispetto della normativa in esame conferisce ai documenti informatici una validità ex lege che regge fino alla prova contraria, esattamente come per i documenti tradizionali valgono le firme, i timbri, o particolari requisiti del supporto.
Vedremo più avanti le conseguenze di questa impostazione. Ora dobbiamo chiarire che cosa è e a che serve il dispositivo di firma, leggendo il regolamento. Il testo è abbastanza chiaro, ma in questa sede può essere utile esaminare le diverse disposizioni in un ordine più adatto alla comprensione sistematica dei diversi aspetti del sistema. Vediamo i passi più importanti.
Art. 10 Generazione e verifica delle firme
1. [Ai fini delle presenti regole tecniche... s'intende]:
d) per "dispositivo di firma", un apparato elettronico programmabile solo all'origine, facente parte del sistema di validazione, in grado almeno di conservare in modo protetto le chiavi private e generare al suo interno firme digitali;
Questi due passaggi costituiscono la chiave di volta del sistema: la generazione delle firme non può avvenire all'interno di qualsiasi sistema informatico provvisto del software opportuno, ma occorre un apparato dedicato specificamente a questa funzione (ricordiamo che la generazione della firma consiste nell'applicazione della procedura crittografica al testo da firmare).
Ma che cosa è, in pratica, un dispositivo di firma? Opportunamente il testo usa questa espressione molto generica per non porre limiti agli sviluppi futuri; oggi pensiamo subito alle carte a microprocessore (chip card), che incominciano a essere molto diffuse (per esempio, le "carte" dei telefoni cellulari GSM), ma sono già disponibili altri dispositivi: per esempio, le cryptobox, che sono scatole da collegare all'esterno del computer e provvedono alla cifratura e decifratura delle informazioni, le schede da inserire all'interno dei PC, che svolgono la stessa funzione, e anche le schede PCMCIA, particolarmente adatte all'uso con i computer portatili.
L'apparato deve essere "programmabile solo all'origine": se questa prescrizione fosse da prendere alla lettera, sarebbe impossibile la sua personalizzazione, descritta in seguito. Di fatto la norma si riferisce a una particolare caratteristica - del tutto comune nelle carte a microprocessore - che consente di scrivere, al termine della fabbricazione, alcune informazioni che non possono più essere modificate o cancellate. Accorgimenti simili si possono adottare per le schede interne e per i dispositivi esterni, perché in pratica si tratta di inserire un numero di matricola in un chip, come avviene normalmente nei telefoni cellulari e nei microprocessori (sono di questi giorni le polemiche sul codice identificativo dei Pentium III).
Della programmazione effettiva del dispositivo di firma si occupa in particolare l'articolo 26:
Art. 26 Personalizzazione del dispositivo di firma
Personalizzato il dispositivo, si passa alla generazione delle chiavi crittografiche, che di norma viene compiuta direttamente dal titolare:
Art. 6 Modalità di generazione delle chiavi
Art. 7 Generazione delle chiavi al di fuori del dispositivo di firma
l'impossibilità di intercettazione o recupero di qualsiasi informazione, anche temporanea, prodotta durante l'esecuzione della procedura;
il trasferimento della chiave privata, in condizioni di massima sicurezza, nel dispositivo di firma;
Qui si incomincia a vedere il motivo dominante delle regole tecniche, un'attenzione estrema per le procedure di sicurezza, che naturalmente riguarda anche la conservazione della chiave privata:
Art. 8 Conservazione delle chiavi
1. Le chiavi private sono conservate e custodite all'interno di un dispositivo di firma. È possibile utilizzare lo stesso dispositivo per conservare più chiavi.
conservare con la massima diligenza la chiave privata e il dispositivo che la contiene al fine di garantirne l'integrità e la massima riservatezza;
conservare le informazioni di abilitazione all'uso della chiave privata in luogo diverso dal dispositivo contenente la chiave;
Appare evidente, fin dalla prima lettura del testo, che l'impiego della firma digitale per la formazione di documenti "validi e rilevanti ad ogni effetto di legge" non è un obiettivo che può essere raggiunto in poco tempo da una massa rilevante di cittadini. Le consuete procedure in uso tra gli utenti dell'internet, dove tutto avviene all'interno dello stesso PC grazie al software di pubblico dominio, sono tassativamente escluse dalle norme tecniche.
La speranza che l'introduzione della firma digitale con regole identiche per la pubblica amministrazione e per i privati potesse favorire anche lo sviluppo del commercio elettronico, suscitata dall'articolo 15 della legge 59/97 e dalle prime indicazioni del DPR 513/97 è stata delusa (vedi "Una sola firma per il pubblico e per il privato: la carta vincente?" e "Pubblica amministrazione e commercio elettronico, il futuro non è dietro l'angolo").

References: art. 2

Art. 10

Art. 26

Art. 6

Art. 7

Art. 8