Newsgroup: it.diritto.internet
Titolo: PEC: domanda da niubbo

Salve a tutti... vi chiedo un piccolo chiarimento sugli obblighi di 
legge riguardanti l'adozione della posta certificata: ï¿œ possibile 
soddisfarli utilizzando, in alternativa, un programma per la firma 
elettronica della corrispondenza, tipo PGP per intenderci?
Saluti

 elettronica della corrispondenza, tipo PGP per intenderci?
PGP non certifica i flussi di consegna/accettazione delle email
certificate, ma si limita a autentica il mittente. Per cui no.
m.

 m.
PGP ï¿œ una cagata che non certifica nï¿œ autentica un cazzo!
Al masimo puoi definire PGP come un "auto-certificazione" che puï¿œ avere 
un senso per un piccolo gruppo di utenti (universitï¿œ, uso interno 
aziendale, gruppo di amici/ricercatori ecc..) ma nessun senso per un 
utilizzo pubblico dove le parti in causa (mittente/destinatario) non 
hanno rapporti di conoscenza diretta tra loro.
PGP si basa sul "web of trust", PEC e "firma qualificata" si basano su 
certificati emessi da una CA riconosciuta da ambedue le parti.
Firmando una mail con PGP non ï¿œ previsto il "non ripudio" della firma.

 PGP è una cagata che non certifica nè autentica un cazzo!
[cut]
Non volevo dirlo così apertamente per riguardo a chi faceva
una domanda innocente :D
m.

 una domanda innocente :D
Grazie ^_^

 PGP ï¿œ una cagata che non certifica nï¿œ autentica un cazzo!
Ne prendo atto. :)
Ma, in sostanza, la domanda era: e' possibile autocertificare le proprie 
mail tramite un qualche sofware di autenticazione anziche' utilizzare 
una casella di posta certificata?
PGP era solo un esempio a caso.
E comunque, ho come la _vaghissima_ senzazione che la risposta sia NO.
Tnx

 una casella di posta certificata?
Ribadisco, no.
Perché i flussi di accettazione e consegna delle email devono essere
certificati da un CA terza, accreditata nell'elenco tenuto dal CNIPA.
m.

PGP è una cagata che non certifica nè autentica un cazzo!
Wow!  Tu sì che te ne intendi :)

Dr. Dimm ha scritto:

Yes, per certificare una mail puoi utilizzare la cosiddetta "firma 
qualificata" contenuta nella CNS (Carta Nazionale dei Servizi) o 
equivalente token USB disponibile presso uno qualsiasi dei certificatori 
accreditati dal CNIPA a patto che il tuo client mail supporti la firma 
elettronica attraverso un dispositivo di sicurezza (Thunderbird lo fa).
Nota che con la suddetta ï¿œ anche possibile firmare il singolo file e 
inviarlo come allegato in formato .p7m

usenet ha scritto:

Si, ma a che pro?
Anche seguendo la giustissima procedura descritta, il destinatario 
potrebbe semplicemente non riconoscere l'invio della mail...
E' proprio per questo che nasce la PEC, per dare un valore legale 
all'invio di una email...

Barabba ha scritto:

Esattamente, io rispondevo alla domanda sul come certificare le proprie 
mail, che non ha nulla a che vedere con la "ricevuta di ritorno" per cui 
ï¿œ stata creata la PEC.
L'ideale infatti ï¿œ utilizzarle entrambe (PEC + Firma Qualificata) in 
questo modo si certifica siï¿œ l'identitï¿œ del mittente (FQ) sia 
l'effettivo invio (PEC) questo per dare la garanzia ad entrambe le 
parti, il ricevente ha la certezza che la mail proviene dal mittente 
(firmatario) ed il mittente ha la prova legale d'aver inviato la mail 
nei tempi certificati dalla TSA.

 PGP è una cagata che non certifica nè autentica un cazzo!
Ma non diciamo assurdità.
E' semplicemente basato su un modello di trust differente da
quello che certi cartelli tanto amano.

 certificati da un CA terza
Qindi bastano certificati X509 firmati da un'autorità riconosciuta, in
sintesi.

 è stata creata la PEC.
Beh, cosa impedisce di configurare un MTA per implementare anche
le funzioni di "ricevuta di ritorno"?
Le RFC relative ci sono, in fondo...

whiplash ha scritto:

Scusa, ma tu il passaporto, la carta d'identità o la patente te li fai 
rilasciare rispettivamente da questura, comune, motorizzazione o te li 
stampi in casa per evitare i cartelli?
Ti sembra sensato che qualcuno possa auto-certificarsi facendosi 
accreditare dall'amico..
Certo tanto in Italia siamo tutti bravi, belli, buoni e onesti, la mafia 
non esiste..
Quindi secondo te una firma PGP può avere lo stesso valore legale di una 
firma qualificata rilasciata "esclusivamente" su token o smart-card?

 firma qualificata rilasciata "esclusivamente" su token o smart-card?
Dico che un modello di trust è un modello di trust e che affermazioni
apodittiche come "PGP non certifica né autentica un cazzo" sono
fuori luogo.
E' questione di contesto innanzitutto.

 accreditare dall'amico..
Veramente ci son casi in cui basta portare 2 testimoni e il documento ti 
viene rilasciato (se non sbaglio la C.I. al rinnovo).
Inoltre il sistema di trust per un certificato digitale non prevede "amici", 
ma 1) avvocato o 2) notaio o 3) funzionario di banca.
Quindi sinceramente non vedo tanta differenza...
G.

 fuori luogo.
Per� descrivono perfettamente lo stato delle cose.
-- 
 Candido

Però descrivono perfettamente lo stato delle cose.
Mah.  La frase è apodittica e priva di significato perché manca il
contesto.  E che manchi non è casuale, mi pare: a me infatti non sembra
un tentativo di comunicare qualcosa, ma solo di iniziare una polemica.

 Quindi sinceramente non vedo tanta differenza...
Stai uscendo un tantino dal seminato..
i riferimenti sono chiari,
1) Certificato di firma/autenticazione rilasciato da una CA accreditata 
CNIPA (non ripudiabile)
2) PGP accreditato dall'amico Fritz & Co. (nessun valore legale di 
nessun genere, quindi ripudiabile)
Ora, paragonare i 2 sistemi significa evidentemente non haver compreso 
come funzionano le leggi internazionali, nazionali, e l'intero sistema 
messo in piedi per far funzionare una CA accreditata CNIPA, tutta la 
documentazione peraltro è facilmente reperibile in rete, basterebbe 
prendersi la briga di leggerla..
Quindi, non ci sono testimoni che tengano, se privo della documentazione 
necessaria la RA (Registration Autority anche noti come CDRL Centri di 
Registrazione Locale) ovvero l'omino che fisicamente rilascia i 
certificati su token non può (per legge) emettere il certificato, pena 
grane legali per violazione degli impegni contrattuali con la CA (vedere 
il Manuale Operativo)
Per cui stiamo parlando da un lato di un sistema "legale" riconosciuto 
dallo Stato, dall'altro di "aria fritta", che in nessun caso, 
indipendentemente dal credo politico/religioso di qualche sviluppatore 
potranno mai essere integrati in alcun sistema legalmente riconosciuto 
dallo Stato o da altri stati appartenenti all'UE.

 PGP ï¿œ una cagata che non certifica nï¿œ autentica un cazzo!
PGP ï¿œ firma elettronica ex art.1, lett.q dlgs 82 del 2005, ergo ha 
validitï¿œ ex art.21 comma 1 del citato dlgs.
-- 
Parsifal

 validità ex art.21 comma 1 del citato dlgs.
si.
ma un altro requisito della PEC è la tracciabilità ( e pare che nessuno 
qui se ne ricordi).
Qualcuno deve garantire che tale mail è partita il giorno X all'ora Y e 
consegnata all'ora Z del giorno W, deve certificare i log, consernarli 
per congruo tempo.

 qui se ne ricordi).
PGP ï¿œ firma elettronica, stop. La PEC posta certificata, stop. Si tratta 
di tutt'altra cosa.
Con la PEC non puoi dimostrare che Tizio ti ha inviato un'e-mail, ma solo 
che ti ï¿œ arrivata la suddetta e-mail. Giuridicamente La PEC riguarda la 
presunzione di conoscenza (1335 c.c.) mentre la firma elettronica 
riguarda la paternitï¿œ (e la non repudiabilitï¿œ) del documento. DObbiamo 
tenere i due aspetti ben distinti, al pari di quanto avviene con l 
documentazione cartacea.
-- 
Parsifal

 avviene con l documentazione cartacea.
Te lo appoggio.
Stavo sottolineando anche io la differenza dei due strumenti.
Con la pec puoi anche dimostrare che hai inviato la mail, comunque, al 
pari delle raccomandate A/R cartacee.
Altrimenti non servirebbe ad una cippa.


domandina..
La raccomandata certifica solo l'invio e quindi è cosa buona e giusta 
inviare direttamente il plico senza busta (altrimenti chiunque potrebbe 
comunque dire che è arrivata una busta vuota).
La PEC come si configura?
E' implicita nel protocollo il controllo sul testo?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 E' implicita nel protocollo il controllo sul testo?
Assolutamente no; ma a mio avviso (di non tecnico informatico)
sarà più difficile disconoscere il contenuto di un'email certificata
(anche se non firmato digitalmente) rispetto a quanto, in astratto,
potrebbe farsi per il contenuto di una lettera raccomandata.
Qualche tecnico mi conforti o mi smentisca...
m.

 E' implicita nel protocollo il controllo sul testo?
Ho fatto una prova con la mia PEC, (molto veloce e mio su mio, quindi da 
prendere con le molle) ed ho appurato che la ricevuta di consegna ï¿œ un 
messaggio con firma digitale e contenente in allegato il messaggio 
originale. Ora questo *dovrebbe* dimostrare che l'allegato non ï¿œ stato 
modificato dato che la firma digitale dell'e-mail dovrebbe comprendere 
anche l'allegato (o sbaglio?).
-- 
Parsifal

anche l'allegato (o sbaglio?).
Sei corretto, infatti si pone il problema del contenuto perch� la
legislazione impone la conservazione della sola firma per il gestore
della PEC.
Qu� si apre un altro tema sul fatto di come non � banale conservare un
messaggio di PEC. Va conservato elettronicamente ed integro.
AndreA

Andrea ha scritto:

http://www.pec.it/GuideFilmate.aspx#
Vedere "Backup Messaggio" per il proprio client di posta.

 validità ex art.21 comma 1 del citato dlgs.
???????????
q. 	  firma elettronica: l'insieme dei dati in forma elettronica, 
allegati oppure connessi tramite associazione logica ad altri dati 
elettronici, utilizzati come metodo di identificazione informatica;
Praticamente un hash MD5/SHA1
Forse intendevi dire "firma digitale".. peccato che la definizione sia
s.	 firma digitale: un particolare tipo di firma elettronica qualificata 
basata su un sistema di chiavi crittografiche, una pubblica e una 
privata, correlate tra loro, che consente al titolare tramite la chiave 
privata e al destinatario tramite la chiave pubblica,
rispettivamente, di rendere manifesta e di verificare la provenienza e 
l'integrità di un documento informatico o di un insieme di documenti 
informatici;
Ma faccio notare che è ben chiaro il termine "qualificata" ch efa 
riferimento a:
r.	 firma elettronica qualificata: la firma elettronica ottenuta 
attraverso una procedura informatica che garantisce la connessione 
univoca al firmatario, creata con mezzi sui quali il firmatario può 
conservare un controllo esclusivo e collegata ai dati ai quali si
riferisce in modo da consentire di rilevare se i dati stessi siano stati 
successivamente modificati, che sia basata su un certificato qualificato 
e realizzata mediante un dispositivo sicuro per la creazione della firma;
Ergo: PGP è una cagata che non certifica nè autentica un cazzo!

 Ergo: PGP ï¿œ una cagata che non certifica nï¿œ autentica un cazzo!
Ergo insisti nello sbagliare e per perseverare nell'errore facendo 
affermazioni apodittice, con l'aggravante di non aver nemmeno letto 
quello che ho scritto.
Se magari tu partissi dall'idea che uno ha qualche vaga idea di cosa stia 
parlando capiresti che se ho scritto che PGP ï¿œ una *FIRMA ELETTRONICA* 
intendevo proprio FIRMA ELETTRONICA altrimenti avrei scritto "FIRMA 
DIGITALE".
PGP ï¿œ un dispositivo di firma elettronica in quanto si tratta di un 
insieme dei dati in forma elettronica, allegati oppure connessi tramite 
associazione logica ad altri dati elettronici, utilizzati come metodo di 
identificazione informatica.
Certo, la definizione si puï¿œ applicare anche ad un hash, ma ciï¿œ non 
toglie che anche PGP sia una firma elettronica.
Questo significa che un documento firmato con PGP non sarï¿œ oggetto di 
valutazione ex art. 20 comma 1 ed 1 bis, ma ex art. 21 comma 1.
Detto in parole povere, se ho un documento ï¿œ firmato con PGP il giudice 
sarï¿œ tenuto a tenere conto delle sue caratteristiche di sicurezza, 
affidabilitï¿œ ed integritï¿œ nella valutazione del documento.
Se poi vuoi continuare a sostenere che un .txt nudo e crudo ha le stesse 
caratteristiche di sicurezza, affidabilitï¿œ ed integritï¿œ dello stesso .txt 
firmato con PGP accomodati pure, ma mi perdonerai se mi viene da ridere. 
-- 
Parsifal

 prendersi la briga di leggerla..
Saggio consiglio, direi di iniziare con il metterlo in pratica prima di 
fare affermazioni apodittiche basate sul nulla.
-- 
Parsifal

 firmato con PGP accomodati pure, ma mi perdonerai se mi viene da ridere. 
Ciï¿œ che ti sfugge ï¿œ il fatto che la "firma elettronica" ovvero l'hash 
non ha nulla a che fare con la "certificazione" sia che venga ottenuta 
con un bel "openssl dgst -sha1 nomefile.txt" o con altri metodi dimostra 
"SOLO" che il file in questione non ha subito alterazioni che ï¿œ molto 
diverso dal dimostrarne anche l'autenticitï¿œ (paternitï¿œ).
Un file completo di hash o firma PGP non dimostra che sia stato creato 
dall'utente X in quanto PGP non ha le caratteristiche di una firma 
qualificata (essendo basato sul Web of Trust), il chï¿œ si traduce che tu 
non puoi legalmente dimostrare che la "firma" apposta al file sia 
realmente la mia (e qui si ricade sul princio di non-ripudio), quindi sï¿œ 
dimostri che il file in questione ï¿œ un "originale" ma non puoi 
dimostrare chi lo ha realmente prodotto (autore) il chï¿œ ci riporta 
all'inutilitï¿œ di PGP.
In soldoni quindi non si puï¿œ sostituire la PEC con altro metodo d'invio 
per il semplice fatto che il "certificatore" deve essere 
obbligatoriamente un "ente-struttura" esterno che garantisce tutte le 
parti coinvolte nella comunicazione, e questo lo si puï¿œ ottenere 
esclusivamente con certificati di tipo x509 emessi da una CA unita a 
rigidissime regole di emissione e HSM/token/smart-card sulle quali 
inserire chiavi private e certificati, tutto il resto ï¿œ aria fritta.

 all'inutilitï¿œ di PGP.
Il problema ï¿œ che la disciplina non si ferma al solo principio del non 
ripudio, ma tiene conto di altre caratteristiche.
Che poi PGP non sia un sistema di firma digitale ï¿œ vero, ma questo 
nessuno l'ha mai affermato, ma d'altra parte un cardiochirurgo non ï¿œ, 
probabilmente, la persona piï¿œ adatta a cui richiedere un intervento di 
neurochirurgia, ma questo non significa non sia un medico o che sia, per 
utilizzare le tue parole, "una cagata che non certifica nï¿œ autentica un 
cazzo".
-- 
Parsifal

tutto il resto è aria fritta.
Sembra che tu ce l'abbia con qualcuno o qualcosa...

 E' implicita nel protocollo il controllo sul testo?
Il destinatario pu� controllare che non sia stato modificato, se �
questo che intendi.
-- 
 Candido

Francesco Potortì ha scritto:

Rispondo con una domanda..
Conosci il "mantra" dello sviluppatore Web (e di qualsiasi cosa abbia a 
che fare con la rete)..
"MAI fidarsi della rete, MAI fidarsi della rete, MAI fidarsi della rete"
Su cosa si basa PGP.. sul "Web of trust" ovvero sul creare una "rete di 
fiducia" tra gli utenti.
Il ché funziona benissimo fintanto che gli "utenti" si conoscono/fidano 
uno dell'altro, quindi funziona benissimo in un ambiente ristretto come 
un università, un azienda o un relativamente piccolo gruppo di "amici".
Quando si progetta un sistema che deve funzionare indipendntemente dalla 
conoscenza/fiducia reciproca tra le parti come un sistema PEC o di 
"firma qualificata" è ovvio che non è possibile utilizzare uno strumento 
simile.

simile.
Come ho scritto sopra: «credo sia ovvio a chiunque legge qui, né d'altra
parte è mai stato detto il contrario».

 un universit�, un azienda o un relativamente piccolo gruppo di "amici".
Ma potrebbe funzionare anche per un'isituzione come, ad esempio, un
ordine professionale.
-- 
 Candido

 un universit�, un azienda
Strano. Solitamente si apostrofano, erroneamente, termini maschili.
Ora succede il contrario. :) 

 >un università, un azienda o un relativamente piccolo gruppo di "amici".
 
Rispolvero questo tread/flame, per dire anche la mia su PGP: la soluzione sarebbe semplice; far si che nel "Web of trust" ci entri anche un'autorità pubblica. Prevedere una legge che ad esempio consenta la possibilità di recarsi all'ufficio anagrafe del comune per richiedere di farsi identificare, documento alla mano, e  certificare la propria chiave OpenPGP. Più magari un key server dove vengano depositate queste chiavi. Molto semplice e sicuramente meno oneroso per la comunità.


 Rispolvero questo tread/flame, per dire anche la mia su PGP: la soluzione sarebbe semplice; far si che nel "Web of trust" ci entri anche un'autorità pubblica. Prevedere una legge che ad esempio consenta la possibilità di recarsi all'ufficio anagrafe del comune per richiedere di farsi identificare, documento alla mano, e  certificare la propria chiave OpenPGP. Più magari un key server dove vengano depositate queste chiavi. Molto semplice e sicuramente meno oneroso per la comunità.
 
A distanza di un mese (soprattutto dopo un key signing party svolto 
sulle prealpi venete ;-) ), rispolvero anche io:
la soluzione proposta riporterebbe però a qualcosa di simile ad una CA 
gestita dallo stato, ritornando ad avere i "problemi" che si vorrebbero 
eliminare con la WoT.