Newsgroup: it.comp.sicurezza.pgp
Titolo: la firma ha voalore legale?

un semplice quesito......
La firma digitale di pgp ha valore legale?
Cioč:  se qualcuno manomette il file posso dimostrarlo con la mia
firma digitale che mi risponde bad?
THX
MASSIMO DEMARIA ->
http://www.madeart.net
 -> Il contenitore digitale
DSS Fingerprint: 84E8 F22D 1752 EB7A E126  80C4 B473 2715 6D4C 7292
PGP encrypted and signed email are welcome!
--->Togli NOSPAM dall'e-mail!

La firma digitale di pgp ha valore legale?
È assai complicato. Se vuoi approfondire leggi gli articoli su
www.interlex.it
, o ancora meglio consulta un avvocato o un notaio
preparati sull'argomento.
-- 
ciao, | The Internet is full. Go away.  -- Joel Furr      | #156856496
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it
          | 
m...@jabber.linux.it

 firma digitale che mi risponde bad?
Bisognerebbe guardare bene la legge, pero' penso proprio di si'. Perche' la
legge parla di firma digitale e PGP la implementa con le caratteristiche
legali.
In effetti basterebbe un perito a provare quello che dici.
A presto... Raffa!!!
---
Fingerprint PGP Key: F924 135B 1B70 307E 4819  4A00 5356 D718 6D4B 9EB5
La tua privacy č qui => 
http://pgp.unito.it

legali.
Non è proprio così, le cose sono assai più complicate. In particolare se
non si usa una smart card non si tratta di una firma "forte".



No, perche' la firma elettronica effettuata con il PGP si configura come
firma elettronica avanzata e non come qualificata.
Antonio Magri'
in...@amagri.it
http://www.amagri.it

firma elettronica avanzata e non come qualificata.
Quindi se voglio darle anche valore legale come posso fare per
configurare pgp?
grazie



La firma deve rientrare all'interno di quanto previsto negli allegati III
della direttiva 1999/93/CE (essere stata creata con uno strumento di firma
sicura) e I della stessa direttiva (essere connessa ad un certificato
qualificato).


 configurare pgp?
Ma il sito che ti e` stato consigliato lo hai guardato?
-- 
"I don't know what I thought I was doing, but my brain was shutdown
when I decided to use LiveUpdate to flash my A7V board under XP"
(alt.comp.periphs.mainboard.asus)

 qualificato)
Quindi se non c'e' un certificato digitale di una CA non se ne fa nulla?
Be', non hanno neanche troppo torto...
Raffa!!!
---
Fingerprint PGP Key: F924 135B 1B70 307E 4819  4A00 5356 D718 6D4B 9EB5
La tua privacy è qui => 
http://pgp.unito.it

 firma digitale che mi risponde bad?
In base alla disciplina contenuta nel tu 445/2000 no. la firma creata con
pgp (mera firma elettronica e cosa ben diversa dalla firma digitale) non
poteva avere valore legale.
la nuova discipina (d.lgs. 10/2002) emanata in attuaizne della normativa
europea, dispone che non possa escludersi rilievo giuridico ad una firma
elettronica solo perché diversa dalla digitale. questo però non significa
che la tua firma creata con pgp dia idonee garanzie di sicurezza, ma solo
che toccherà al giudice valutare caso per caso
ciao

toccherà al giudice valutare caso per caso
Ricapitolando : 
- la firma con PGP di un documento, come nel caso del quesito 
  di Massimo, non viene riconosciuta come legalmente valida;
- un documento firmato con PGP che viene rinvenuto, per esempio, 
  nel corso di indagini, può acquistare valore giuridico di prova.
Cioè, in sintesi: a mio favore _sicuramente_ non vale, ma a mio 
danno _probabilmente_ sì. 
Ho capito bene? 
(d'ora in poi, per non sbagliare, non firmo più nulla!   :-)   )
Saluti
Renato
renatozcc(at)yahoo(dot)com
 
Renato
r_e_...@hotmail.com
 

 Ho capito bene?
Vale a tuo favore così come vale a tuo sfavore. Dipende tutto dalle
caratteristiche di integrità e sicurezza che la firma offre.
Spero di essere stato chiare, anche se frettoloso :-)
ciao.
Mil

 corrispondente chiave privata.
OK, fin qui ci siamo. C'e' solo una cosa che non mi e' chiara. Se un ente
certificatore legalmente riconosciuto e iscritto all'albo firma la mia
chiave PGP per garantirne l'autenticita' (cosa tecnicamente fattibile),
che succede? Le firme effettuate con quella chiave pgp diventano "firme
digitali" a tutti gli effetti? 
-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

digitali" a tutti gli effetti? 
Dovresti anche farle con una smart card... Sarà possibile con una
prossima versione di GnuPG.


 digitali" a tutti gli effetti?
No. Per il rilascio della firma digitale ci sono precise regola tecniche
(DPCM " febbraio 1999).
E tra queste innanzitutto che la tua chiave sia contenuta in un dispositovo
smart card programmabile una sola volta il quale potrà essre letto dal pc
tramite un lettore smart card.
Il problema vero è che se io posseggo la tua firma digitlale posso fare un
sacco di cose in tua vece. Immagina che cosa potrei combinare se riuscissi a
trafugare la firma digitale di un personaggio ricco :--))))
Proprio per questo il legislatore ha voluto dare garanzie di certezza molto
elevate in ordine all'uso della firma.
Attualmente la tua chiave privata, generata con pgp e contuta all'interno
del portaciavi, quasi sempre situato sull HD del pc, può essre trafugata on
troppa semplicità da qualsiasi hacker malintenzionato che violi il tuo
domicilio informatico.
La stessa cosa non dovrebbe essere fttibile, invece, con la firma digitale
su smart card.
Spero di essere stato chiaro. Se non lo sono stato fammelo sapere.
Ciao.
Mil

 su smart card.
Non oso immaginare cosa capita se viene trafugata la smartcard. E poi
craccata!!!
Piu' grave che perdere la carta di credito. Non basterebbe bloccarla.
Andrebbero a perdere validità tutti i documenti firmati fino a quel
momento... O sbaglio?
(Facile spestare la data ed inventarsi documenti firmati da quella
persona)...
O no?


 O no?
Le mie, sono solo ipotesi _puramente tecniche_ e non legali...
Ciao,
TJL73 <tjl73ATdespammedDOTcom>
-- 
C'è una sola certezza nella vita...
E vorrei non esserne così sicuro.   :o(

certificata dal timestamp di un time server.
Ci sono apposta servizi di "marcatura temporale".


Spero di essere stato chiare, anche se frettoloso :-)
Sei stato più che chiaro: "esaustivo" (by Biscardi).
Mi hai anche dato lo spunto per approfondire l'argomento 
e mi sono documentato presso il sito dell'AIPA.
Ti ringrazio.
Saluti
Renato
renatozcc(at)yahoo(dot)com
 

 Ci sono apposta servizi di "marcatura temporale".
Ecco, proprio quello che intendevo io...   ;oP
Ciao,
TJL73 <tjl73ATdespammedDOTcom>
-- 
"Se voleste regalarmi del cioccolato, mandatemelo fondente.
Il cioccolato al latte, e` la morte del cacao..."

 Spero di essere stato chiaro. Se non lo sono stato fammelo sapere.
Chiarissimo, ti ringrazio!


 prossima versione di GnuPG.
Capito, ti ringrazio.
In quel caso sarebbe possibile portare la propria chiave pubblica GnuPG
alla CA per l'autenticazione? Oppure dovrebbe essere comunque la CA a
generare la coppia di chiavi e a rilasciartela? 
Dal punto di vista del legislatore credo che dovrebbe essere la CA a
rilasciarla, in modo da essere certi che la chiave sia stata generata
correttamente e con tutte le garanzie previste. Pero' in questo modo la CA
possiederebbe, sia pur per breve tempo, la mia coppia di chiavi. E, in tal
caso, "chi custodisce i custodi?"


generare la coppia di chiavi e a rilasciartela? 
Mi pare che secondo le norme AIPA la chiave segreta viene generata dalla
scheda e non ne esce mai.
In ogni caso alla CA daresti da firmare la chiave pubblica.


 dalla scheda e non ne esce mai.
Capito. Quindi in teoria anche io potrei generarmi con GnuPG una coppia
di chiavi a casa mia su una smartcard (avendo l'opportuna attrezzatura,
ovvio) e poi mandare la sola chiave pubblica alla CA per la firma.
Giusto?
