Firma digitale

Introduzione alla firma digitale

La firma digitale, come definita nello stesso Codice dell’Amministrazione Digitale (D.Lgs. 82/2005 e succ. mod., di seguito CAD) all’art. 1) lettera s), è “un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l’integrità di un documento informatico o di un insieme di documenti informatici“.

La firma digitale è un tipo particolare di firma elettronica che si inserisce nel quadro normativo europeo definito dal Regolamento UE 910/2014  (eIDAS) che annovera all’articolo 3 (definizioni)le seguenti tipologie:

•  «firma elettronica», dati in forma elettronica, acclusi oppure connessi tramite associazione logica ad altri dati elettronici e utilizzati dal firmatario per firmare;
•  «firma elettronica avanzata», una firma elettronica che soddisfi i requisiti di cui all’articolo 26;
•  «firma elettronica qualificata», una firma elettronica avanzata creata da un dispositivo per la creazione di una firma elettronica qualificata e basata su un certificato qualificato per firme elettroniche.

Tali definizioni sostituiscono quelle previste dal Codice dell’Amministrazione Digitale, art.1 lettera q, q-bis ed r, abrogate dal  D.lgs 179/2016, che ha recepito il Regolamento eIDAS.

Secondo l’art. 26 di eIDAS,una firma elettronica avanzata soddisfa i seguenti requisiti:

a) è connessa unicamente al firmatario;

b) è idonea a identificare il firmatario;

c) è creata mediante dati per la creazione di una firma elettronica che il firmatario può, con un elevato livello di sicurezza, utilizzare sotto il proprio esclusivo controllo;

d) è collegata ai dati sottoscritti in modo da consentire l’identificazione di ogni successiva modifica di tali dati.

La firma digitale è pertanto un tipo particolare di firma elettronica avanzata, basata su certificati qualificati che aggiunge una maggiore sicurezza nel suo utilizzo, grazie all’utilizzo di chiavi asimmetriche, di cui una privata ed una pubblica.

Nei dispositivi fisici quali smartcard oppure token USB è in genere presente oltre alla certificato di firma (o sottoscrizione) anche un certificato di autenticazione CNS (Carta Nazionale dei Servizi), che consente di autenticarsi ed accedere in modalità sicura ai servizi online delle P.A. come PST, INPS, Agenzia Entrate, etc

La firma digitale remota

Il certificato di firma può essere svincolato da un dispositivo fisico su cui è salvato, si tratta della firma digitale remota, che risiede virtualmente sui server dell’ente certificatore. Nessun rischio quindi di dimenticare o danneggiare accidentalmente il token di firma. E’ possibile firmare digitalmente un qualsiasi documento anche da smartphone e tablet, è sufficiente una connessione internet. La sicurezza è garantita dalla necessità di apporre oltre al PIN di firma un codice aggiuntivo OTP (one time password) utilizzabile solo per la singola operazione di firma generato su proprio smartphone o inviato tramite sms.

Lo scopo della firma digitale

In breve la funzione della firma digitale è quella di dare valore legale ad un documento informatico, garantendone la paternità, cioè la provenienza, nonché l’immodificabilità. Ogni modifica fatta, anche di un singolo carattere, al file firmato digitalmente risulterà al momento della verifica in modo inequivocabile.

Gli artt. 20 e 21 del CAD prevedono infatti che Il documento informatico sottoscritto con FIRMA ELETTRONICA AVANZATA (qualificata o digitale) è VALIDO fino a QUERELA di FALSO (comporta l’inversione dell’onere della prova per il suo disconoscimento).

I formati di firma

Il regolamento europeo eIDAS prevede 3 formati per la sottoscrizione di documenti informatici, che richiamano quanto previsto dagli standard internazionali ETSI:

• CAdES, busta crittografica di firma con estensione P7M;
• PAdES, firma integrata all’interno di file di tipo Portable Document Format (PDF) secondo lo standard ISO/IEC 32000;
• XAdES, ancora poco diffuso in Italia, prevede la sottoscrizione in linguaggio XML.

La firma CAdES

Il formato di firma CAdES (CMS Adavanced Electronic Signatures) è basato tecnicamente sulle estensioni dello standard internet elaborate da IETF (Internet Engineering Task Force) per la crittografia dei messaggi protetti (Cryptographic Message Syntax), ed a sua volta basato sulle specifiche standard crittografiche PKCS#7.

E’ possibile firmare qualsiasi tipologia di file in CAdES, non essendoci particolari restrizioni di formato (sono ammessi documenti PDF, doc, xls, immagini, eseguibili, file di testo e binari di qualsivoglia tipo), tuttavia, per leggerne il contenuto, una volta firmato, è necessario utilizzare specifici software in grado di estrarre dalla busta crittografica il documento sottoscritto.

La busta crittografica, come visibile nell’immagine seguente, contiene al suo all’interno:

• il documento originale;
• l’impronta univoca del documento firmata, la firma, infatti, per questioni di rapidità non viene applicata all’intero documento ma solo all’impronta dello stesso (hash);
• il certificato dell’utente firmatario;
• il certificato della Certification Autority che lo ha rilasciato.

Può anche essere presente una marcatura temporale opzionale, il cui uso consente di associare una data ed ora certa e legalmente opponibile a terzi al documento informatico firmato digitalmente.

Struttura di un file CAdES

La firma viene apposta integralmente al file e non è possibile sottoscrivere parzialmente un documento, così come non è prevista, a differenza del formato PAdES, una gestione delle versioni tale da consentire di apportare al documento firmato delle modifiche o delle annotazioni, successivamente alla sottoscrizione dello stesso.

Il formato CAdES consente di apporre firme multiple sullo stesso documento da parte di soggetti differenti e può essere effettuata con due modalità distinte:

1. firma congiunta, associando alla stessa busta più certificati di firma, relativi ai singoli soggetti firmatari;
2. cosiddetta firma a cipolla, in cui l’intera busta crittografica sottoscritta dal primo firmatario viene firmata ed inserita in una ulteriore busta in una sorta di matrioska digitale.

La firma PAdES

Trattandosi di una estensione dello standard Portable Document Format, codificato con ISO/IEC 32000, il formato di firma PAdES (Pdf Advanced Electronic Signatures) ha come primo grande vantaggio la possibilità di visualizzare il documento sottoscritto con un qualsiasi lettore di file PDF, anche mobile (si veda la seguente pagina su Wikipedia per un elenco sicuramente non esaustivo:  http://en.wikipedia.org/wiki/List_of_PDF_software).

L’architettura del formato PAdES consente di gestire inoltre, all’interno dello stesso file, più versioni di uno stesso documento (versioning), consentendo quindi di poter inserire modifiche o annotazioni successivamente alla firma su una copia, senza andare ad inficiare la validità del documento firmato originariamente.

E’ possibile altresì firmare parzialmente il contenuto di documento PDF ed inserire una rappresentazione grafica della firma digitale apposta.

La gestione della firma multipla da parte di più soggetti sullo stesso documento è gestita secondo le modalità di versioning, ciò consente di individuare, tracciare e verificare eventuali modifiche apportati al documento sottoscritto dai successivi firmatari.

La verifica di un PDF firmato PAdES con Adobe Reader

Come già detto il PDF firmato può essere aperto e visualizzato da qualsiasi reader, tuttavia per la verifica effettiva delle firme digitali apposte è necessario utilizzare una versione recente di Adobe Reader su computer Windows, Mac o Linux.

La firma XAdES

Il formato XAdES (Xml Advanced Eletronic Signatures) è uno standard di firma elettronica avanzata definito dal World Wide Web Consortium (più noto come W3C) e basato sul linguaggio di marcatura XML.

Il formato XML, sempre più usato e diffuso con applicazioni specifiche in vari settori, tra cui il mondo Giustizia, come noto consente di creare e descrivere documenti strutturati. Giusto per fare un esempio, è grazie al linguaggio XML che è possibile gestire i dati strutturati presenti nei depositi telematici del Processo Civile Telematico, consentendone ai sistemi informatici un trattamento automatico.

La firma XAdES analogamente allo standard PaDES consente di leggere il documento informatico firmato digitalmente e di sottoscrivere solo parti dello stesso, garantisce maggiore flessibilità permettendo la ricerca all’interno dei dati strutturati contenuti nei tag XML.

L’uso pratico del formato XAdES è limitato a specifiche applicazioni come ad esempio l’apposizione della firma digitale sulle fatture elettroniche il cui formato nativo è appunto XML.

La firma digitale nei diversi processi telematici

Nel nostro ordinamento norme e regole tecniche differenti regolano i diversi processi telematici e variano di conseguenza anche i formati di firma digitale ammessi per la sottoscrizione di atti e documenti.

Nei processi civile, penale e tributario telematico possono essere utilizzati indistintamente i formati CAdES e PAdES, in ambito amministrativo è ammesso solo il formato PAdES.

Non vi sono limitazioni in relazione al tipo di dispositivo o all’ente certificatore che ha emesso il certificato di sottoscrizione, il formato di firma scelto può essere infatti scelto nel software di firma digitale o nell’applicativo utilizzato per il deposito telematico.