La “firma digitale” è il risultato di una procedura informatica basata su tecniche crittografiche che consente di associare in modo indissolubile
- la firma
- a un documento informatico,
ovvero ad un altro insieme di bit che rappresenta fatti, atti o dati giuridicamente rilevanti.
Tale struemnto é indispensabile per conferire validità legale ai documenti informatici in una serie di contesti come la sottoscrizione di contratti, di dichiarazioni o di atti amministrativi nel pubblico e nel privato.
In questo articolo vengono proposte alcune risposte su frequenti quesiti relativi alle firme digitali e alle loro applicazioni nella pubblica amministrazione e nel privato.
Cos’è la firma digitale e a cosa serve?
Il “Codice dell’amministrazione digitale” all’articolo 24, Dlgs 82/2005 indica che:
la firma digitale deve riferirsi in maniera univoca ad un solo soggetto ed al documento o all’insieme di documenti cui e’ apposta o associata. L’apposizione di firma digitale integra e sostituisce l’apposizione di sigilli, punzoni, timbri, contrassegni e marchi di qualsiasi genere ad ogni fine previsto dalla normativa vigente.
Tradotto “in un linguagio meno burocratico”, la firma digitale è una tipologia di firma elettronica che soddisfando requisiti particolarmente stringenti garantisce:
- autenticità,
- integrità,
- affidabilità,
- e validità legale
ai documenti. Ha lo stesso valore della firma autografa (caratteristica che invece non hanno altre tipologie di firma elettronica).
Come funziona la firma digitale?
La firma digitale è uno strumento che permette alle persone fisiche, per se o quali rappresentanti di soggetti giuridici, di firmare dei documenti facendoli diventare documenti con valore legale, ed è il risultato di un procedimento informatico che si basa sui concetti di:
- autenticità, per assicurare e garantire chi è che ha firmato il documento si è assunto anche la responsabilità del suo contenuto,
- integrità, condizione che serve a dimostrare dal momento in cui è stato firmato fino al momento in cui è utilizzato esso non è mai stato modificato,
- impossibilità di ripudio in quanto chi ha firmato il documento mediante la firma elettronica non può poi disconoscerlo.
Per ottenere questo risultato la firma elettronica si basa sull’utilizzo di strumenti crittografici. Quindi nel sistema della firma digitale ciascun titolare ha assegnate una coppia di chiavi (due numeri binari di lunghezza pari almeno a 2048 bit).
L’assegnazione è a carico di un soggetto istituzionalmente qualificato – in Italia dall’Agenzia per l’Italia Digitale – (il certificatore); che emette a favore del “titolare” un certificato digitale che associa il numero binario di 2048 bit alla sua identità. Questo identifica in modo certo il richiedente le credenziali di sottoscrizione.
Contemporaneamente a questa chiave, detta “pubblica” perché nota a tutti gli interessati, viene generata un’altra chiave di pari lunghezza che è “privata” ed a controllo esclusivo del titolare.
La chiave “privata” è installata in un ambiente sicuro (il microchip di una smart card ) e può essere utilizzata solamente tramite una password di sblocco che è nota come PIN (conosciuta solo al titolare).
Per le proprietà matematiche dell’algoritmo (il più diffuso si chiama RSA) quanto viene cifrato con la chiave privata è decifrato con la chiave pubblica e viceversa.
Per cui:
- il certificatore
- per ogni titolare
- rilascia la chiave “pubblica” e la trattiene per renderela pubblica;
- rilascia la chiave “privata” é la inserisce nel “chip” di una smart card coperta da PIN di accessa unicamente conosciouto dal titolare.
Per firmare,
- il titolare utilizza un software
- che attraverso una procedura di firma
- attraverso l’uso della “chiave pubblica” che identifica il titolare nonché delle caratteristiche del docuemnto, calcola, un “codice” definito “’impronta digitale del documento” della lunghezza di almeno 256 bit,
- di seguito, il software di sottoscrizione, invia “’l’impronta digitale del documento” all’ambiente sicuro dove è custodita la “chiave privata” (smart card / altro dispositivo di firma), ma l’uso della “chaiva privata” é riservato al solo possesore del PIN inserito dal titolare;
- una volta che il software ha ricevuto l’autorizzazione all’uso della “chiave privata”, procede alla cifratura “dell’impronta del documento” con la chiave privata.
Il risultato dell’operazione è UN NUOVO FILE con le caratteristiche di:
- autenticità, in quanto identico al docuemtno originale,
- integrità, in quanto non modificabile,
Per verificare la firma, il destinatario:
- utilizza uno specifico software che estrae la chiave pubblica dal certificato del titolare,
- “sSpacchetta il file” con documento e firma,
- ricalcola “l’impronta del documento” decifrando con la chiave pubblica la firma del titolare
- verifica se l’impronta del mittente e quella ricalcolata dal destinatario sono identiche.
In caso positivo la firma è valida altriemnti “non è valida”.
Come leggere e verificare documenti firmati digitalmente?
Ci sono diversi servizi e software utilizzabili per verificare e (in qualche caso) leggere un documento pdf firmato digitalmente .p7m.
Con i servizi online Postecert e Infocert è possibile verificare la firma.
Invece la lettura (oltre che verifica) è possibile farla con il software Dyke di Infocert.