Attraverso il D.P.C.M. 13 gennaio 2004 si è intervenuti in una materia che, oltre all’esigenza di maggiore puntualità del dettato normativo, richiedeva una definizione tecnica di alcune regole fondamentali che disciplinano un settore in cui la tecnologia rappresenta il nodo cruciale. L’utilizzo di apparati e dispositivi informatici sicuri, infatti, è un presupposto irrinunciabile per l’uso di tali sistemi e costituisce la condizione necessaria a garantire un utilizzo corretto e sicuro dei sistemi informatici.
L’art. 3 del D.P.C.M. in esame stabilisce che i prodotti di firma digitale e i dispositivi sicuri ex art. 29-sexies T.U. sulla documentazione amministrativa (D.P.R. 28 dicembre 2000, n. 445) devono essere conformi alle norme internazionali generalmente riconosciute o a quelle individuate dalla Commissione Europea. La medesima conformità viene inoltre richiamata dal comma 2, art. 3, in relazione agli algoritmi di generazione e di verifica delle firme digitali e delle funzioni di hash. In particolare, la funzione di hash serve per creare l’impronta del documento che verrà poi cifrata mediante la chiave privata (di sottoscrizione informatica), che consente, tecnicamente, l’apposizione della firma digitale. Infatti, l’art. 1 della disciplina in esame definisce la funzione di hash come funzione matematica che determina, a partire da una generica sequenza di simboli binari, una impronta che, in quanto tale, non può generare un’altra sequenza binaria per la quale la funzione crei impronte uguali.
E’ il caso di precisare che un documento informatico sottoscritto con firma digitale o altro tipo di firma elettronica avanzata basata su un certificato qualificato e generata mediante un dispositivo sicuro per la creazione di una firma, non produce gli effetti previsti dalla legge, se contiene codici che possano portare ad attivare funzioni per modificare dati contenuti nello stesso. Pertanto, ogni singolo soggetto può essere titolare di una coppia di chiavi asimmetriche unica nel suo genere.
L’art. 4, comma 4, precisa che le chiavi di generazione e di verifica della firma e i correlati servizi si distinguono in base alle tipologie fra:
– Chiavi di sottoscrizione;
– Chiavi di certificazione;
– Chiavi di marcatura temporale
Quanto alle chiavi di sottoscrizione, quelle contemplate per l’apposizione di firme digitali nel nostro sistema sono denominate “asimmetriche”; consistono, in particolare, di una coppia di chiavi, una pubblica, conoscibile da tutti, ed una privata che, invece, può essere utilizzata esclusivamente dal titolare attraverso la smart card in dotazione.
Se un soggetto volesse spedire un documento sottoscritto con firma digitale, innescherebbe un processo molto complesso che prevede vari passaggi, che in pratica risultano essere però molto rapidi in sede applicativa:
1) l’hardware e il software usato dal soggetto mittente creano una busta c.d. crittografica contenente il documento digitale, il certificato digitale del sottoscrittore e, chiaramente, la firma digitale.
La busta crittografica è in formato PKCS#7. Il documento che arriva ha una lunghezza pari a quella originaria con l’estensione del file.P7M relativo alla firma digitale.
2) Dopo la creazione del documento e della busta crittografica occorre la marca temporale. Il soggetto mittente, allora, prima della spedizione, manda l’impronta del documento firmato digitalmente al certificatore. Quest’ultimo, a sua volta, firma la marca temporale assicurando così che il cerificato digitale contenuto nella busta crittografica non sia stato revocato, sospeso e che non sia scaduto.
La disciplina delle chiavi di marcatura temporale è contenuta nell’art. 46 del D.P.C.M. 13 gennaio 2004; l’articolo 45 contiene, inoltre, l’elenco delle informazioni che deve contenere la marcatura temporale. La coppia di chiavi usata dal certificatore per la marcatura temporale deve essere associata univocamente ad un sistema di validazione temporale. Per limitare le marche temporali generate con la stessa coppia di chiavi, quest’ultime vanno sostituite insieme all’emissione di un nuovo certificato, dopo non più di un mese di utilizzo, indipendentemente dalla durata del loro periodo di validità. La sottoscrizione di certificati di marcatura temporale avviene con chiavi di certificazione create appositamente dal certificatore.
L’art. 51 prevede e disciplina la richiesta e la procedura di validazione temporale. Tutte le marche temporali vanno conservate in apposito archivio digitale per non meno di 5 anni o comunque per un periodo maggiore se richiesto dall’interessato, alle condizioni stabilite dal certificatore.
3) Il messaggio viene inviato dal mittente al destinatario.
4) Il destinatario, dopo aver ricevuto la busta crittografica, attiva il software di verifica che controlla che il certificato digitale provenga da un certificatore accreditato o notificato e che non sia revocato, sospeso o scaduto. A quest’ultimo fine fondamentale è per l’appunto la marca temporale disciplinata dal titolo IV del D.P.C.M. 13 gennaio 2004.
La chiave c.d. privata è di solito a 2048 bit, in considerazione della sicurezza del sistema. Come si concilia, però, la sicurezza della chiave privata con la presenza della chiave pubblica? E’ il sistema tecnologico che garantisce ciò. Infatti, algoritmi per firma digitale tipo RIPEM D-160 o SHA-1 sono di tipo non biiettivo, cioè pur possedendo il codice identificativo di una firma digitale non si può dall’algoritmo arrivare alla chiave privata. La funzione della chiave privata è concepita in relazione alla chiave pubblica, che permette il riconoscimento certo del sottoscrittore digitale, ossia che una determinata chiave privata appartenga realmente al titolare che si dichiara mediante l’apposizione della firma digitale; è il certificatore a mediare questa relazione biunivoca.
I certificatori possono essere accreditati o notificati. I primi sono più sicuri e più controllati perché per loro sono previsti maggiori obblighi di legge. Infatti, gli articoli 11, 12, 13 e 14 del D.P.C.M. 13 gennaio 2004 stabiliscono obblighi di informazioni riguardanti i certificatori, i rapporti di questi con il Dipartimento per l’innovazione e le tecnologie della Presidenza del Consiglio dei Ministri (d’ora in poi semplicemente Dipartimento), la generazione delle chiavi di certificazione e la generazione dei certificati qualificati.
Gli articoli 32 e 33 si spingono oltre, dettando norme che incidono direttamente nella struttura organizzativa interna del soggetto certificatore. Inoltre il sistema di qualità dei certificatori deve essere formalmente dichiarato conforme alle norme ISO 9000 e successive evoluzioni; addirittura il manuale di qualità va depositato presso il Dipartimento.
Esiste un elenco pubblico dei certificatori accreditati, tenuto dal Dipartimento: questo elenco contiene, per ogni soggetto certificatore, una serie di notizie tassativamente elencate all’art. 41, comma 1, del D.P.C.M. 13 gennaio 2004; nei successivi commi è poi dettata la disciplina relativa alla tenuta e alla pubblicità dell’elenco.
Per comprendere a fondo tutte le tecnologie che ruotano attorno alla firma digitale, bisogna inoltre precisare anche la differenza che corre fra “chiave privata” e “chiave segreta”. La chiave segreta funziona con un sistema simmetrico diverso dal sistema a chiavi asimmetriche inversamente correlate utilizzato per l’apposizione di firma digitale. Le chiavi segrete sono usate per spedire messaggi crittografati con algoritmi. Se un terzo soggetto si intromettesse nella spedizione del messaggio intercettandolo, pur conoscendone l’algoritmo di creazione, non riuscirebbe a leggere il messaggio a causa della chiave segreta non in suo possesso. Chiaramente, sia il mittente, sia il destinatario devono possedere la chiave segreta che servirà loro, rispettivamente, per spedire e per leggere il documento elettronico inviato. La crittografia simmetrica consente però l’invio di files molto più ridotti rispetto a quelli che si possono spedire con il sistema delle chiavi asimmetriche; ciò essenzialmente per ragioni tecniche. Come ovviare allora all’inconveniente? Si usa la chiave pubblica di un soggetto per criptare un documento o un messaggio, e lo si invia; solamente l’unico possessore della corrispondente chiave privata sarà in grado di leggere il contenuto della busta crittografica. Cosa ben diversa è, ovviamente, inviare un documento elettronico crittografato e firmato con chiave privata, perché chiunque può, mediante la chiave pubblica, venire a conoscenza del suo contenuto: la chiave pubblica serve in questa situazione solo per accertarsi che la firma privata sia effettivamente di quel titolare.
Fondamentale, quando si parla di documento informatico, è, inoltre, l’opponibilità ai terzi, ossia il problema dell’efficacia giuridica e del valore probatorio del contenuto del documento stesso. La firma digitale soddisfa tali requisiti e garantisce altresì la non ripudiabilità, l’autenticità e soprattutto l’integrità del documento informatico; infatti, se si provasse ad alterarne il contenuto, la firma non sarebbe più verificabile e, pertanto, non avrebbe più alcuna utilità pratica.
Da un punto di vista applicativa, come è noto, esistono nella pubblica amministrazione situazioni in cui la firma digitale non è facilmente utilizzabile. Si consideri, a mero titolo esemplificativo, il caso dei registri di contabilità dei LL.PP.: questi vanno bollati e firmati; operazioni, queste, che, almeno al momento attuale dell’avoluzione tecnologica, non si possono compiere in versione elettronica. Già in passato, infatti, la delibera AIPA (ora CNIPA) n. 24 del 1998 sull’archiviazione ottica, aveva evidenziato difficoltà applicative di non poco conto.
Si rileva, infine, che, al momento, riguardo alle percentuali di diffusione della firma digitale a livello europeo, in Italia abbiamo 1.450.000 firme digitali o coppie di chiavi asimmetriche in uso a vari soggetti titolari; in Europa siamo giunti invece a quote molto minori se si esclude ovviamente l’Italia: circa 200.000 sono le firma digitali in uso; in Germania, per citare un paragone, il valore numerico scende a 60.000.