Newsgroup: it.lavoro.informatica
Titolo: Re: Firma digitale: ipotetici rischi

 indietro l'orologio del PC), a quel punto la firma sarebbe autentica.
 
Non sono un esperto in materia, ma se puoi dimostrare che hai revocato 
le chiavi, puoi probabilmente impugnare legalmente quella richiesta 
(anche se vale sempre il principio del non-repudation). Fare un backdate 
della firma digitale non credo sia possibile, per cui dovrebbe essere 
qualcuno che ha usato la tua chiave dal momento in cui ti e` stata 
rubata, al momento in cui l'hai revocata.

 Una soluzione potrebbe essere la marca temporale 
 
esatto. 
la marca temporale garantisce che la firma sia valida anche dopo la 
revoca del certificato. se non c'è, la data non è certa quindi la firma 
può essere disconosciuta.
 

 entro certi limiti (*) non può saperlo.
 
Se e` di trusted timestamping che si sta parlando, immagino debba essere 
coinvolta una Trusted Third Party, quindi non puo` essere una firma offline.

 si sta parlando di firma digitale senza marca temporale.
 
No, si stava parlando di firma digitale *con* marca temporale quale 
soluzione al problema che presentavi.
 
Dicevi: "Una soluzione potrebbe essere la marca temporale".
 
La marca temporale e` una soluzione, se a fornire il trusted timestamp 
e` una TTP authority contattabile. Se sei offline, la marca temporale 
non puo` essere trusted, immagino.


In altre parole, come riportato dal RFC 3161 (Time-Stamp Protocol):
 
"Non-repudiation services require the ability to establish the existence 
of data before specified times. This protocol may be used
as a building block to support such services. An example of how to
prove that a digital signature was generated during the validity
period of a public key certificate is given in an annex."
 
"In order to associate a datum with a particular point in time, a Time 
Stamp Authority (TSA) may need to be used. This Trusted Third Party 
provides a "proof-of-existence" for this particular datum at an instant 
in time.
 
The TSA's role is to time-stamp a datum to establish evidence indicating 
that a datum existed before a particular time.  This can then be used, 
for example, to verify that a digital signature was applied to a message 
before the corresponding certificate was revoked thus allowing a revoked 
public key certificate to be used for verifying signatures created prior 
to the time of revocation."
 
https://datatracker.ietf.org/doc/html/rfc3161
 
 
Mi sembra che quanto su risponda alla tua domanda. Se la tua chiave 
privata viene rubata e qualcuno la usa per firmare documenti oltre la 
data di revoca del tuo certificato, non gli sara` possibile marcare 
temporalmente il documento in modo da rendere non ripudiabile la firma.
 
Legalmente, sei quindi autorizzato a ripudiare la firma.
 
 

 e firma retrodatato senza marca temporale?
 
Da quel che ho compreso, in quel caso, la tua firma non e` non 
ripudiabile, quindi se qualcuno ti vuole obbligare ad ottemperare ad una 
firma senza marca temporale, la legge ti tutela perche` puoi ripudiarla.
 
In sostanza, e` come se qualcuno ti volesse obbligare a rispettare un 
contratto sul quale c'e` la tua firma ma non la data.

 e firma retrodatato senza marca temporale?
 
eh come ti tuteli... rubare l'identità digitale e cercare di trarne 
vantaggio configura almeno un paio di reati, vorrà dire che ad un certo 
punto le cose scaleranno su un altro piano.
la firma digitale certo ha efficacia giuridica, a patto però che non sia 
illecita...

 Il problema è di chi è l'onere della prova. 
 
se fossero così temerari da andare fino in fondo sarebbe la loro parola 
contro la tua. d'altra parte se vogliono far valere l'efficacia giuridica 
devono farlo, ma a quel punto sarà lavoro per avvocati.
ma bisogna essere parecchio temerari per andare fino in tribunale a 
esigere l'esecuzione di una truffa... 
 
 

 qualunque momento allora non serve a niente
 
Per lo stesso principio, potresti disconoscere un qualunque documento su 
cui c'e` la tua firma, semplicemente perche` qualcuno potrebbe averla 
riprodotta. Non lo fai pero`, perche` non hai motivo di farlo.
 
Che io sappia, perche` la firma digitale sia non-ripudiabile, e` sempre 
richiesta la marca temporale sicura.