Newsgroup: it.discussioni.commercialisti
Titolo: Il kit di firma digitale più economico

Premetto che ho già Googlato ma mi ê sembrato che i venditori facciano
a gara a chi dà le informazioni nel modo più oscuro...
Il punto e questo: facendo dei lavori (pochi) software da casa ad
aziende e liberi professionisti sparsi in tutta Italia talvolta ricevo
richieste di pagamento alla consegna e allora ho pensato che potrei
anche offrire a questi pagamento alla consegna se mi inviassero il
relativo ordine, dal quale inizio i lavori, firmato digitalmente con
firma digitale certificata.
La domanda è: a chi fosse totalmente sprowisto di dispositivo di firma
digitale certificata quale kit attualmente sul mercato consigliereste
di comprare? ad esempio secondo voi qual è il più economico e pratico
da ottenere?
I tre kit per firma digitale certificata più "di moda" sul mercato
attualmente mi sono sembrati questi:
http://www.poste.itlonline/postecertlinfokit.shtml
http://www.businesskey.it
http://www.card.infocamere.it
... ma all'atto pratico qualcuno sa come si ottengono? dove bisogna
andare ad identificarsi e con cosa? quanto costano (Iunico chiaro
sembra quello delle Poste...)? in quanto tempo mediamente si ottiene
il kit "finito" pronto per firmare?
Ne conoscete altri migliori e acquistabili in tutt'Italia?
Luca

Luca Villa wrote:

Guarda che secondo me, anche se non ho mai approfondito il problema, mi
sembrano tutti inutili. A lume di naso dovrebbe bastare il protocollo
S/MIME e un certificato personale (p.e. Verisign). Tutto il resto non serve
a nulla, se non a spillare soldi.
Non uso Win, ma Outlook mi pare abbia S/MIME, ne sono quasi certo. 
Avere il certificato sulla pen drive a che serve? E' molto meglio averlo sul
proprio computer, della cui sicurezza locale dobbiamo essere certi.
Basta cifrare l'hd.

 Luca
Mi perdoni ma per avere prova certa (anche giudiziale) della volontà
di un soggetto a voler concludere un contratto, sono sufficienti due/
tre validi scambi di email (proposta/accettazione).
Se il cliente vuole fare il furbo (non pagando o simil) non è la firma
digitale a salvarle la vita.
Cordialmente
Guglielmo Troiano

Ragazzi cerco di rimettere ordine alla discussione perchè vedo che si
sta facendo un minestrone... :)
La questione è questa: ricevo ordini da sconosciuti sparsi in
tutt'Italia e la soluzione deve permettergli di pagarmi il servizio
alla consegna al contempo garantendo la possibilità per il pignoratore
di rintracciarli nel caso questi non pagassero il mio servizio una
volta reso.
In caso di lite ci potrà essere conciliazione, arbitrato, decreto
ingiuntivo, causa ordinaria via GdP, via Tribunale, ecc..., sono
dettagli... L'importante è che si trovi *chi* è il debitore.
Le firme elettroniche (lo scambio di email puro e semplice) e le firme
digitali non certificate non vanno bene per ricevere ordini da
sconosciuti (come, ribadisco, è il mio caso tipico) perchè l'autore o
il proprietario della firma non è identificato per bene.
Le firme digitali certificate italiane invece sono molto più sicure
anche perchè presuppongono un identificazione fatta per bene del
proprietario della firma da parte del certificatore (azienda o ente
peraltro con requisiti molto stringenti). Secondo l'art. 29-bis della
norma il certificatore è infatti tenuto ad "identificare con certezza
la persona che fa richiesta della certificazione" e la prassi dei
certificatori mi sembra quella di identificare la persona facendola
presentare fisicamente con carta d'identità o equipollente. Così è
stato fatto a me molti anni fa quando dovetti prendere la mia smart
card da InfoCamere.
In secondo luogo i certificati qualificati devono contenere *nome,
cognome e codice fiscale* del titolare del certificato ed i
certificatori hanno forse tutti (forse per legge) un proprio sito dove
si possono ottenere questi tre dati da un documento firmato, ed è qui
che si chiude il cerchio.
Se Tizio di Caltanissetta mi mandasse l'ordine in un TXT con firma
digitale certificata, potrei ottenere il nome, cognome e codice
fiscale di Tizio verificando quel TXT sul sito del certificatore.
Avevo verificato questa cosa anni fa con un file che avevo firmato con
la mia firma digitale certificata su Smart Card InfoCamere.
Potendo provare di avergli reso il servizio avrei tutto l'occorrente
per mandare a giusto destino l'eventuale azione giudiziaria, con
pignoramento ecc...
Certo non affermo che Arsenio Lupen Hacker III non riuscirebbe a farla
franca ma mi sembra che il sistema sia ragionevolmente sicuro.
Obiezioni?


anche dopo le spiegazioni che fornisce, torno ad affermare che nel suo
caso la firma digit NON fa differenza
lei non ha bisogno di assicurarsi CHI le fa l'ordine ma DOVE andarlo a
"beccare" dopo in caso di problemi e questo la firma digitale NON
glielo potrà mai garantire
tanto vale farsi inviare la carta d'identità scannerizzata o per fax
voglio dire, se il cliente fosse andato a farsi rilasciare firma
digitale presentando una CI con riferimenti vecchi?
che differenza farebbe? non lo troverebbe più comunque
per lei sarebbe anche peggio perchè, confidando nell'attendibilità
della firmna dig, consegnerebbe anche prodotti di valore elevato
rischiando di più

 Obiezioni?
Si, quando parlavo della Verisign, che è il leader mondiale in questo campo,
avendo comprato la Twathe, dicevo bene, perchè la sua affiliata italiana,
Trust Italia, è nell'elenco dei certificatori del CNIPA:
http://www.cnipa.gov.it/site/it-IT/Attivit%c3%a0/Certificatori_accreditati/Elenco_certificatori_di_firma_digitale/
Non può esistere una firma digitale con S/MIME non certificata, perchè
l'identità della persona a cui si rilascia il certificato deve sempre
essere accertata (al contrario della firma digitale con OpenPGP, che
infatti non ha valore legale).

 digitale presentando una CI con riferimenti vecchi?
Questa non l'ho capita. I dati personali contenuti nella firma
digitale certificata sono il nome, il cognome ed il codice fiscale.
Mi sembra trascurabile la possibilità che una persona cambi nome,
cognome o codice fiscale, per di più nel corso di validità del
certificato della firma digitale cert. (mi pare 2 anni), e poi secondo
me sarebbe pure un reato fare firme digitali cert. in scritture
private con nome, cognome o codice fiscale non più veritieri e il
reato mi aprirebbe la strada al rintraccio della persona a mezzo FdO.
Luca

 Luca
in ogni caso:
se fossi in lei mi farei dare gli estremi di un conto corrente e farei
(tramite la mia banca) fare una verifica di liquidità
certo, può anche accadere che il giorno dopo il conto venga
prosciugato
non credo che ad oggi esista una soluzione a problemi come questi
altrimenti il "recupero crediti" non esisterebbe
ma perchè non farsi dare un fondo spese prima di dare esecuzione al
contratto o addirittura farsi pagare in anticipo e non dopo?
un cliente onesto non si fa problemi a pagare in anticipo qualcosa che
vuole davvero

 vuole davvero
Ma chi tutela il cliente onesto sul fatto che il lavoro commissionato 
risponda poi alle effettive sue richieste?
Comunque sia e' giusto che anche il cliente sia tutelato da questo punto di 
vista, non per questo nella prassi si paga a lavoro ultimato e anche 
collaudato. Noi lavoriamo alle volte per commissione e nessuno ci ha mai 
pagato in anticipo.
-- 
Gugu
OIBABOI! (Tutti insiem OiBaBoi)

> Obiezioni?
Noi proteggiamo sempre il nostro lavoro con un periodo di licenza dopo il 
quale se il cliente ci ha pagato gli inviamo dei codici per sbloccare il 
software a tempo indeterminato, diversamente se il cliente non paga dopo un 
po' il software smette di funzionare. Ti posso assicurare che funziona 
meglio di qualunque altra cosa ti puoi inventare per tutelarti.
Da parte tua significa investire un po' del tuo tempo per ingegnarti un 
sistema di protezione simile (se non vuoi spendere soldi nelle nmila 
soluzioni gia' disponibili solo da acquistare).
In questo modo ti tuteli anche da quelli che prendono il software e poi 
inventano mille cavilli per non pagartelo inventando scuse assurde, pero' 
intanto loro il software lo usano...


 vuole davvero
Credo che siano statisticamente significativi quelli che si fanno
problemi...

 pagato in anticipo.
Dimentichi sicuramente di specificare che nei casi di cui tratti chi
fa il lavoro non lo fa a sconosciuti oppure fa lavori in qualche modo
"protetti" come da post Gugu.
Luca

 meglio di qualunque altra cosa ti puoi inventare per tutelarti.
Ne sono convinto anch'io però per esperienza una buona parte dei
lavori che faccio nono sono proteggibili, ad esempio filmati flash o
programmi PHP o Perl dove non puoi che consegnare il codice sorgente
perchè c'è solo quello...

 problemi...
immagino

 Obiezioni?
Potresti usare la PEC che per i tuoi scopi funziona bene e costa un
nulla, ma il vero problema, a mio avviso, è farla usare a loro..
-- 
 Candido

 una sorta di anticipo
Eh, sì, infatti la mia norma è chiedere un anticipo di 30/50%.
Però credo di perdere una fetta significativa di clienti che non si
fidano e vorrebbero pagarmi alla consegna del servizio, magari perchè
temono sulla qualità del mio servizio non potendo contare una mia fama
(perchè manca).
Vorrei proporre per questi l'alternativa del pagamento alla consegna
con la sola condizione dell'ordine con firma digitale e residenza, di
modo che siamo entrambi tutelati.

 nulla, ma il vero problema, a mio avviso, è farla usare a loro..
Come da discussione con Guglielmo, il problema principale rimanente è
quello di conoscere la residenza dei clienti che firmano digitalmente,
pur usando la PEC.
I motivi principali sono due:
- per convenirli in giudizio o nelle altre sedi (es. d'arbitrato) ove
si può ottenere un titolo esecutivo di pagamento del loro debito
servono almeno la residenza, il domicilio o la dimora di loro
- chi esegue il pignoramento è bene che sappia dove hanno le loro
sostanze idonee al pignoramento, e la residenza ne sarebbe una buona
indicazione
Luca

 cortesia...
figurati, la mia banca fa solo il dovuto e nulla di più
quando gli ho chiesto come potessi fare a sapere se un assegno di tot
euro potesse essere coperto, hanno detto loro "facile, basta sapere il
numero di conto, intestatario e banca e chiamiamo noi" e l'hanno fatto
seduta stante


 pur usando la PEC.
Per avere la pec devi fornire un documento, però.
-- 
 Candido

Candido ha scritto:

Per la firma digitale in sé deve fornire un documento ma come già
detto la firma digitale incorpora (e rende da me verificabili) solo
nome, cognome e codice fiscale. Tutti gli altri dati presenti su quel
documento, come foto e residenza, mancano.
Anche se può sembrare paradossale, non è ammessa una causa civile
contro una persona identificata solo con nome, cognome e codice
fiscale.
Ho io l'onere di trovare e fornire anche "la residenza o il domicilio
o la dimora" del convenuto.
Conosci un modo universale ed economico per ottenere la residenza di
una persona dato il suo nome, cognome e codice fiscale?

 una persona dato il suo nome, cognome e codice fiscale?
Uhm, mi hai incuriosito. M'informo e ti faccio sapere. :-)
-- 
 Candido

 
Il codice fiscale è derivato da cognome, nome, data di nascita,  sesso, 
comune di nascita (o stato estero).
L'unico archivio legalmente accessibile che io conosco, l'elenco 
telefonico, non è né universale né consente identificazione sicura; 
comunque serve un'indicazione della residenza.
Senza accedere ad altri archivi basati sul codice fiscale (INPS, Fisco, 
Comuni e simili) - in modo universale può essere fatto solo illegalmente 
- non vedo soluzione.
Se mi sbaglio, sono anch'io curioso di conoscere gli archivi dati in cui 
potrei essere "schedato".
-- 
Ciao, Adriano
----------------------------------
Togli "rosso" per contatto privato

 indicazione
scusa ma nel post originale dicevi:
"facendo dei lavori (pochi) software da casa ad aziende e liberi 
professionisti sparsi in tutta Italia"
ma non basta:
- per aziende e artigiani fare la visura camerale?
- per i professionisti verificare la P.Iva all'ag.entrate o farsi 
mandare fax del certificato di residenza?
Poi, senza essere polemico, ponendomi dalla parte di chi volesse 
acquistare i tuoi servizi, non e' che stai mettendo troppi paletti ai 
clienti onesti per pararti contro pochi farabutti?
Richiedere l'acqusto di un servizio di PEC solo per poter acquistare i 
tuoi lavori mi pare "un po'" esagerato, dal punto di vista 
"dell'usabilita" (e dell'appetibilita) non sarebbe meglio semplicemente 
fare prezzi molto piu alti a chi non vuole usare metodi sicuri di 
identificazione....
ciao
Luca

 comunque serve un'indicazione della residenza.
Infatti... senza un'indicazione della residenza ne puoi solo ottenere
un elenco spesso di decine di persone aventi lo stesso nome e cognome
in tutt'Italia per di più senza quelle non intestatarie di una linea
telefonica o non concedenti la pubblicazione del loro contatto sulla
guida telefonica.
Luca

 seduta stante
Oggi sono andato allo sportello della mia banca (Banca Intesa) a
chiedere se potevo sapere se un tizio, dati i suoi estremi di conto
corrente, ha disponibile una certa somma. La risposta è stata
immediatamente no, per questione di privacy e di responsabilità che
non si vogliono assumere nel dirmi "sì, il conto è coperto" (con
l'argomentazione fallace del "e se poi un momento dopo non lo fosse
più, continuando lei a confidare nella copertura?". A nulla è valsa la
mia spiegazione che non ne sarebbero comunque responsabili, anche
perchè letteralmente la loro affermazione è al verbo presente, non
futuro.)
Ho inteso bene che tu invece sostieni che la tua banca non solo lo può
fare ma gli è anche "dovuto"?
Luca

 Luca
a presto
guglielmo

 ripeto: i dati li fornisci tu, loro devono solo dirti si o no
Per la discreta conoscenza del codice privacy che ho, ritengo che il
fatto che i dati li fornisca tu verbalmente non dia di per sé alla
banca il potere di usarli. Sono necessari la documentazione per
iscritto e la previa informativa.
"Art. 23 - Consenso
[...]
2. Il consenso è validamente prestato solo [...] se è documentato per
iscritto, e se sono state rese all'interessato le informazioni di cui
all'articolo 13"
Art. 13 - Informativa
1. L'interessato o la persona presso la quale sono raccolti i dati
personali sono previamente informati oralmente o per iscritto circa:
a. le finalità e le modalità del trattamento cui sono destinati i
dati;
b. la natura obbligatoria o facoltativa del conferimento dei dati;
c. le conseguenze di un eventuale rifiuto di rispondere;
d. i soggetti o le categorie di soggetti ai quali i dati personali
possono essere comunicati o che possono venirne a conoscenza in
qualità di responsabili o incaricati, e l'ambito di diffusione dei
dati medesimi;
e. i diritti di cui all'articolo 7;
f. gli estremi identificativi del titolare e, se designati, del
rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e
del responsabile. [...]"
Inoltre, il fatto che loro ti dicano "sì" o "no" ho il sospetto che
sia un nuovo trattamento di dato personale, che dev'essere previamente
acconsentito da colui al quale è riferito per essere lecito.
Vedi le definizioni legali di "trattamento" e di "dato personale":
"trattamento: qualunque operazione o complesso di operazioni,
effettuati anche senza l'ausilio di strumenti elettronici, concernenti
la raccolta, la registrazione, l'organizzazione, la conservazione, la
consultazione, l'elaborazione, la modificazione, la selezione,
l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco,
la comunicazione, la diffusione, la cancellazione e la distruzione di
dati, anche se non registrati in una banca di dati"
"dato personale: qualunque informazione relativa a persona fisica,
persona giuridica, ente od associazione, identificati o
identificabili, anche indirettamente, mediante riferimento a qualsiasi
altra informazione, ivi compreso un numero di identificazione
personale"

 fiscale.
Allora, mi sono informato e la risposta era cosě evidente che mi era
sfuggita... :-P
Prima di concludere un contratto ci si scambiano i dati di fatturazione.
Quelli sono controllabili. Se si tratta di un privato si richiede almeno
un'utenza telefonica fissa.
Oltre non si va, c'č la paranoia e non val la pena fare l'imprenditore o
il libero professionista.
-- 
 Candido

 il libero professionista.
Certo ma il punto sta nel trovare il compromesso più conveniente.
Sono anche una persona molto avvezza al rischio ma qui in questo caso
ho ancora speranze di trovare una soluzione migliore.
Oggi ad esempio uno sportellista dell'Agenzie delle Entrate mi ha
detto che il Giudice di Pace ha accesso all'anagrafica nazionale e può
consultarla nel mio caso qualora mi mancasse l'indirizzo della
controparte.
Avere una conferma *sicura* di ciò la renderebbe una grande
scoperta :)
Luca

 Conosci di meglio?
Fa parte del rischio di impresa. Tutte queste paranoie servono solo a
perdere clienti, IMVHO.
-- 
 Candido


Secondo me invece tutti, presumo *tutti* fino a prova contraria, i
freelancer che lavorano via Internet con sconosciuti perdono ancora
più clienti perchè non propongono pagamento esclusivamente alla
consegna, punto, almeno per lavori oltre i 300 euro.
Poter soddisfare anche solo un terzo di questi loro mancati clienti
per me sarebbe già un ottimo traguardo, anche perchè non avrei
concorrenza sul fatto.
On a side note... prova a chiedere un prestito a una banca
esclusivamente via Internet, dandogli un indirizzo dove spedirti i
soldi (lontano ad es. 600KM dalla banca), ed alla loro eventuale (se
ti rispondono..) richiesta di qualche documento in originale prova a
dirgli "fa parte del rischio di impresa". Fammi sapere se ti
spediscono i soldi... ;)
Accettare il rischio di impresa non significa ignorarlo; significa
rendersi conto che a certe condizioni, stimate le probabilità di
successo ed insuccesso, vale la pena affrontarlo.
Luca