Newsgroup: it.lavoro.informatica
Titolo: Disquisizione informatico/legale

Scusate se sono un po OT, sottopongo sta cosa.
Se firmo ed invio una lettera dove dichiaro che i file richiesti e che 
quindi ti passo hanno quella chiave hash, i file dovrebbero essere 
validi già in formato digitale (senza bisogno di firma digitale).
Cosa dite ?

 Cosa dite ?
Non è che le email non hanno valore legale, tutte le email come
qualunque altra forma di comunicazione lo ha. Ma il loro valore legare
in caso di dibattimento è sottoposto al giudizio del giudice.
Tu invii una email, poi dopo 2 anni ti fanno causa e chi la riceve
dice che non gliela hai mai inviata o che gliela hai inviata un mese
dopo. Che prove hai di avergliela inviata ? Il log del tuo provider...
forse.. ma non è comunque una prova che LUI l'abbia ricevuta e
quando.. ecc.. mentre con una email certificata queste cose  sono
certe e certificate.
Certo se lui ti risponde e magari ti paga pure la fattura e i file li
usa per fare qualcosa che lascia tracce ecc.. è molto più difficile
confutare di averla ricevuta.

 confutare di averla ricevuta.
Concordo e grazie.
Perň non parlavo di e-mail, parlavo di lettera cartacea.

 Però non parlavo di e-mail, parlavo di lettera cartacea.
Ma scusa tu gli mandi una lettera di carta dove c'è scritto che gli
hai dato i file e che quello è l'hash ? Perfetto ma questo ha valore
eventualmente per il cliente per fare causa  a te se i file con
quell'hash non vanno bene o gli creano un danno.

 Cosa dite ?
vediamo se ho capito (scusa ma la domanda mi pare formulata con i
piedi): tu avresti inviato dei file, contestualmente una lettera
cartacea con su stampato l'hash md5 (o quello che è), e chiedi se
questo vale come "certificazione" dei file senza dovergli firmare
digitalmente, giusto?


Che dovresti dimostrare di aver inviato quella lettera e che sia stata 
ricevuta dall'interessato.
Un metodo un po' paranoico poterbbe essere stampare la lettera, su un 
unico foglio, ripiegarala si se stessa (ovviamente lo scritto va dentro) 
e la spedisci con avviso di riscossione.
"Sembra" che la ricevuta sia valida solo per la parte "certificata da 
timbri), teoricamente potrebbero sostenere che la busta gli sia arrivata 
vuota (anche se la giurisprudenza sembra tenere poco conto di questa 
ipotesi) oppure sostenere che dentro ci fosse una altra comunicazione 
(magari ti ripropongono una nota che gli hai scritto in altra circostanza).
Ciao
M.
-- 
Nessun Bit e' stato maltrattato o ucciso
per scrivere questo messaggio
http://www.qtp.it/gallery/thumbnails.php?album=lastupby&uid=2311

 M.
Grazie per la risposta,
incentravo il discorso sulla validità dei file assmuendo che non vi sono 
problemi né di invio né di ricezione.
Mettiamo ad esempio che la consegno a mano e mi lascia una ricevuta 
della lettera e del cd con il file; anzi aggiungiamo che il destinatario 
verifica che l'hash del file coincide e mi certifica pure quello.


Con in mano la ricevuta che ho consegnato la lettera e che l'hash del 
file coincide, sarebbero quindi da considerarsi validi.
Poi se il contenuto riporta informazioni errate mi fa causa.
Ma se invece il cliente sostiene che il file consegnato è un altro 
(diverso da quello effettivamente consegnato) ?

 validi gi in formato digitale (senza bisogno di firma digitale).
Hashing e firma digitale sono tecniche in parte sovrapponibili. Il
punto è capire cosa intendi per "validi" e che cosa vuoi certificare.
Ammesso che tu faccia riferimento ad un algoritmo appropriato e che
permetta di identificare correttamente e univocamente i file, una
lettera come quella che citi potrebbe essere utilizzata per dimostrare
se necessario la non alterazione dei file in questione; se hai a
disposizione materialmente i file, una implementazione dell'algoritmo,
e gli hash (in forma digitale o stampata, ovviamente, non cambia
niente) puoi sempre verificare che tutto corrisponda. Una firma
digitale pero' può certificare anche altre cose (l'autore e la data di
creazione, per esempio).
Inoltre, c'e' da considerare l'utilizzabilità della tecnica in sede
legale, se c'e' la possibilità di finire in lite: alcuni schemi di
firma digitale sono ormai standardizzati e conosciuti anche in ambito
giuridico, e quindi garantiscono una certa autorevolezza, mentre
soluzioni più "autarchiche" potrebbero essere soggette a perizie,
controperizie, ecc.
bye!

 (magari ti ripropongono una nota che gli hai scritto in altra circostanza).
Raccomandate alla francese, Quando vivevo nella Repubblica Italiana,
le raccomandate con ricevuta di ritorno le mandavo solo così :)
--
ale
http://ale.riolo.co.uk

 digitalmente, giusto?
Esatto
Non voglio ottenere che il file da solo mi dice chi l'ha prodotto, ma 
bensě che il file allegato č esattamente quello che voleva consegnare il 
destinatario.
Un esempio puň essere un progetto allegato ad un preventivo o ad domanda 
di contributo.
Considera:
1-che il destinatario mi da la ricevuta di ricezione cartacea con anche 
che il file ha proprio quell'hash
2-Che al destinatario non impongo nulla, anche a lui la cosa va bene

 bye!
A tal proposito ho due contributi/elementi da porre:
1) Nella firma digitale la conferma che il messaggio destinazione 
coincide con quello originale è relegata alla verifica dei digest 
generati dalla hash (le firme non vengono coinvolte)
2) La tecnica di utilizzare come sola comprova la coincidenza dei soli 
digest hash è già utilizzata nell'ambito dell'informatica forense (voce 
"integrità dei dati" sulla sezione dedicata in wikipedia) ed è a 
garanzia sull'inalterabilità dei dati.

Cosa dite ?
Che chi riceve la lettera può dirti di aver ricevuto la busta vuota.
Hanno inventato la firma digitale e la marcatura temporale apposta eh...

(magari ti ripropongono una nota che gli hai scritto in altra circostanza).
Proprio per questo le posta hanno una tariffa specifica "con
spillatura" dove il foglio ripiegato su se stesso viene tenuto chiuso
da due punti metallici e il foglio stesso con la comunicazione fa
anche da busta timbrata.
-- 
Living in Barbaropoli
http://www.barbaropoli.com

 destinatario.
non sta in piedi tecnicamente ancor prima che legalmente.
questo sistema presuppone la buona fede di mittente e destinatario,
non la garantisce. niente vieta a te di inviare un documento con
l'hash di un altro, o al destinatario di disconoscere il documento che
hai mandato, visto che il "sistema" non prevede alcun meccanismo di
controllo di integrità dell'insieme documento+firma. è come se tu
invece di firmare un documento alleghi al documento la firma fatta su
un post-it, non è la stessa cosa no?

 (diverso da quello effettivamente consegnato) ?
Boh, secondo me non regge, chi dice che l'algoritmo di hash è giusto ?
Chi lo certifica ? E comunque quello è solo un foglio di carta con dei
codici sopra senza basi giuridiche. Ti voglio vedere a spiegare tutta
questa storia ad un giudice... comprati una firma elettronica e hai
risolto il problema ;-)

 creazione, per esempio).
domanda da ignorante: la data di creazione come fa? a occhio l'unico
modo è che la ca ponga lei direttamente la firma sul documento, un po'
come fa l'impiegato delle poste quando mette il timbro. se lo fa il
mittente qualunque sia il metodo manca la "chain of trust" che valida
l'informazione...


Si lo sò che c'è la firma digitale io difatti metto sul piatto un'altra 
questione.
La questione della marca temporale la risolve come già avviene tutti i 
giorni con il timbro della posta, ma mettiamo per comodità che consegno 
a mano ed ottengo una ricevuta con tutti i crismi con anche la convalida 
sul file e sull'hash dichiarato..


le questioni legate alle date sono già supportate dal mezzo tradizionale 
posta, si escludano per comodità tutte le questioni che possono già 
emergere in questo ambito.
- mi ha mandato una lettera vuota
- non mi è mai arrivata la lettera
- la lettera arrivata era un'altra
mettiamo che l'ho consegnata a mano ed ho la ricevuta che conferma anche 
la corretezza dell'hash

 un post-it, non è la stessa cosa no?
In questo caso il documento è però firmato, la firma manca eventualmente 
sul file.
Il file non è associato fisicamente a nessuno.
Ma ad un certo punto si dichiara che quel file, esattamente quello e non 
altri, è allegato informatico parte integrante ad una specifica 
richiesta (può essere un progetto o un preventivo).
Ti ringrazio intanto del contributo

 risolto il problema ;-)
Riguardo le basi giuridiche:


 l'informazione...
Sì, certo, mi riferivo ad una marcatura temporale applicata da una CA
terza. E per essere precisi, ovviamente non garantisce la data di
creazione, ma solo che è precedente alla data di firma :^)
bye!

 tutti i crismi con anche la convalida sul file e sull'hash dichiarato.
Sì, OK. Ma qui stiamo continuando a dibattere sulla tua soluzione, e
ancora non ci hai detto qual'e' il problema che vuoi risolvere. Come
si può giudicare se la soluzione è adatta o no? Leggendo tra le righe
intuisco che il punto è che c'e' una mancanza di buona fede di base
per cui si sospetta che di fronte ad un obbligo di fornitura vengano
consegnati dei file farlocchi per veri, il che non è comunque un buon
punto di partenza: di fronte all'eventualità di finire per avvocati le
soluzioni puramente tecniche restano marginali.
bye!

 richiesta (può essere un progetto o un preventivo).
ma mandare il disegno su supporto worm (cd, dvd) etichettato e/o
siglato con un pennarello indelebile, come si è sempre fatto?

 garanzia sull'inalterabilità dei dati.
Si, ma anche il tal caso è verificata da un perito  "trusted" non
direttamente dalle parti che poi emette un documento di certificazione
(perizia giurata) e ne è responsabile penalmente.
In generale il tuo esempio funzionerebbe come una firma digitale se  :
- Un perito facesse l'hash dei file e conseguentemente consegnasse una
dichiarazione giurata con i file dentro un contenitore con sigilli.
- Un notaio certificasse l'apposizione delle vostre firme e la data di
apposizione su quel documento.
Dopo di che avresti un documento inattaccabile come la firma digitale.


Il caso dell'informatica forense l'ho citato per mostrare che esistono 
comunque dei casi giuridici dove viene coinvolta proprio questa tecnica.
Io centravo il discorso sul fatto che l'hash è già in uso, non che si 
debba fare come fanno i periti giudiziari per farla applicare...
comunque grazie per il contributo

Ti ringrazio intanto del contributo
Scusa la domanda banale, ma non puoi fare cosi?
- consegni i files e un elenco cartaceo con gli hash
- ti siedi alla scrivania col destinatario
- gli fai controllare gli hash
- firmate il CD
- gli fai firmare l'elenco come accettazione in triplice copia
1 copia a lui
1 copia a te
1 copia al notaRo


 siglato con un pennarello indelebile, come si è sempre fatto?
mi è percorso un brivido giuridico sulla schiena :)
oggi vale solo la carta o se coinvolgi la procedura per la firma digitale.

 Ciononostante la cosa funziona e la posta è normalmente usata.
nessuno mette in discussione che la posta (raccomandata) funzioni nel
suo scopo. ma tu la posta la usi solo per trasferire la checksum
mentre il documento segue altre strade. quindi in questo caso non può
funzionare.


Non ho afferrato esattamente.
Ma per semplificare lascinao perdere intanto poste & affini mettiamo per 
buono che la consegna del documento e dei file avviene a mano e 
contestualmente alla consegna mi fanno la ricevuta che comprende la 
correttezza del digest hash del file rispetto quanto dichiarato.


Premesso che l'elenco dei file è sottoscritto assieme alla dichiarazione 
del contesto di consegna degli stessi.
Si, la procedura che hai definito è corretta, per semplificare dicevo 
appunto che consegni la roba e ti fanno la ricevuta di consegna compresa 
dell'OK sulla coincidenza del digest hash tra dichiarato e riscontrato.
La copia a lui vada ma non serve perchè ha l'originale, la firma sul CD 
vada ma purtroppo non è utile, il coinvolgimento del notaio, seppur 
utile e forse definitiva, lo troverei eccessiva.

 correttezza del digest hash del file rispetto quanto dichiarato.
Premesso che una certificazione simile è superiore a molti sistemi di
trasferimento flussi dove gli importi in gioco sono magari centinaia
di migliaia di euro e si usa un normalissimo ftps.
Detto questo tutta sta storia serve a cosa ? Perché se serve ad
evitare una causa e cioè ad avere una pezza di appoggio per dire io te
li ho dati e quelli sono va benissimo il modo che hai identificato. Ma
il fatto che invece di un normalissimo CD ( gli consegni il supporto e
se non ti fidi proprio lo firmi sopra e sei a posto ) e di una
normalissima ricevuta tu voglia anche l'hash presuppone che tu voglia
una protezione maggiore.
Perché un normalissimo verbale di consegna è più che sufficiente nella
stragrande maggioranza dei casi, ma appunto è una pezza d'appoggio che
in caso di causa non è che non vale niente, ma vale come una lettera,
una testimonianza ecc... e questo è quello che imho ottieni anche con
l'hash.
Se invece vuoi una prova inoppugnabile, come può essere un contratto
registrato (non si può poi dire il contratto non l'ho firmato o
conteneva altre clausole se è firmato), allora ci sono altri strumenti
ed imho questo tuo modo non è equivalente ad una firma digitale
qualificata con la marca temporale.
Quindi dipende da cosa vuoi. Se ci devi consegnare un file con gli
unico di 50 persone per inviarle telematicamente non va bene, se ci
devi consegnare il gestionalino è pure troppo.

utile e forse definitiva, lo troverei eccessiva.
Proprio a volerle pensarle tutte, le firme sul CD servono ad evitare
che dopo che te ne sei andato se ne masterizzino uno uguale ma con
files diversi e poi ti vengano a contestare la cosa a posteriori
adducendo una svista.
E di CD ne servirebbero almeno due.
Sul notaio, dipende quanti soldi vuoi spendere.


 oggi vale solo la carta o se coinvolgi la procedura per la firma digitale.
mi indichi di preciso dove questo sarebbe sancito?


scusami,devo girare la domanda a te.
A me non risulta che firmare un CD comprovi qualcosa.
Anzi no, una cosa è certa: comprova che l'hai firmato.

 Anzi no, una cosa certa: comprova che l'hai firmato.
guarda, ti faccio l'esempio del deposito opere alla siae:
http://www.siae.it/Olaf_doi.asp?click_level=1300.0300&link_page=Olaf_DOI_ComeDepositare.htm
leggi per intero il punto 2 poi ridiscutiamone.


Ottimo riferimento.
Questo iter pecca dal momento in cui il consegnatario contesta ad il 
contenuto di un supporto; la firma difatti non è a garanzia del contenuto.
Posso staccare e riattaccare l'etichetta adesiva.
Posso smontare un floppy e sostituirne il contenuto, idem per 
videocassetta, nastro magnetico e cassetta.
La SIAE ha stabilito un iter che va bene a lei, ma che però poi pecca in 
caso di contestazione.
Quanto da me presupposto era per evitare che in caso di contestazione 
sia possibile dimostrare la coerenza dei contenuti tra consegnato e 
ricevuto.
NB- Scusa un informazione, che newsgroup reader usi (c'è un opzione 
specifica per seguire i propri post) ?

 specifica per seguire i propri post) ?
google groups via web.

ricevuto.
Scusa, ma quando ti ho detto di firmare il supporto con un pennarello
secondo te cosa te l'ho suggerito a fare?


 secondo te cosa te l'ho suggerito a fare?
Per evitare che qualcuno scambi la confezione (cassetta, videocassetta, 
nastro magnetico e floppy) ma appunto come descritto prima NON il 
contenuto.
O in caso di CD/DVD/BR per evitare chee.. che.. no aspetta.
Per poter dire in qualsiasi momento che
- la firma sul CD è la tua
ma anche che:
- la firma sul CD è la tua ma il contenuto non ce l'hai messo te
- la firma sul CD è la tua ma la segretaria ha sbagliato file e 
d'altronde tu hai firmato un cd mica il suo contenuto
- la firma sul cd è tua ma i contenuti li disconosci, non li hai mai visti
- il cd contenga un programma che cancelli o modifichi il contenuto del 
cd o documenti con azioni di script che modificano il contenuto informativo
e tutte le varianti.
Per precisazione,
sostieni che firmando un supporto digitale ottico col pennerello:
- corrisponde a sottoscriverne tutti i contenuti
- corrisponde a definirne la paternità creativa dei contenuti
- corrisponde a definirne la proprietà del supporto
Ciò naturalmente non toglie che se due soggetti si accordano di fare 
così, non possano farlo; non voglio dire questo..
:)

CUT
Te lo riscrivo paro paro:
- consegni i files (su CD) e un elenco cartaceo con gli hash
- ti siedi alla scrivania col destinatario
- gli fai controllare gli hash (da CD)
- firmate il CD (col pennarello)
- gli fai firmare l'elenco come accettazione in triplice copia
1 copia a lui
1 copia a te
1 copia al notaRo
Adesso spiegami come fa questo cliente di merda, perche' dalle tue
innumerevoli premesse di un cliente di merda stiamo parlando, a dire
che si', il CD e' quello che avete firmato insieme, ma contiene film
porno invece che il software concordato.



eheh
bella tecnica.
Sono sicurissimo che gli operatori del diritto d'autore sanno ciò che fanno.
In questo modo sostieni che firmando un CD vuol dire che si dichiara di 
esserne l'autore.
Cioè commetto una cosa illegale se firmo un CD qualsiasi, potei essere 
condannato ?

 porno invece che il software concordato.
LOL  ! :)
Concordo su tutta la linea meno che
- la firma sul CD in quanto non indispensabile e forviante (sost. 
etichette etc)
- il coinvolgimento del notaro in quanto non indispensabile
- il fatto che l'hash lo debba calcolare da cd, (perchè se non è uguale 
anche una volta copiato c'è qualcosa che non funziona)
- che non siano stati determinati dei criteri sui formati da consegnare 
(ad esempio esclusivamente PDF-A o immagini ISO)
- che magari qualche foto soft ci stava bene :)

- che magari qualche foto soft ci stava bene :)
Quello sempre, ma il cliente non gradirebbe.



Grazie Freddy,
mi serviva ampliare il discorso, ottimo direi.