Nel dicembre 2006 il CNIPA (1) ha pubblicato un interessante studio a firma di F.

Transcript

1 1

2 Nel dicembre 2006 il CNIPA (1) ha pubblicato un interessante studio a firma di F. Grasso e G. Santucciintitolato Il timbro digitale: una soluzione tecnologica per l autenticazione di documenti stampati. Lo studio parte dalla considerazione che la stampa di un documento informatico firmato digitalmente determina la perdita delle sue caratteristiche originali di integrità e provenienza certa in quanto le informazioni di firma vengono irrimediabilmente perse (o possono essere facilmente contraffatte). L autenticità dei documenti cartacei viene infatti garantita con tecnologie particolari come l uso di supporti e inchiostri speciali o con l apposizione di contrassegni difficilmente falsificabili (es. ologrammi). Lo studio conclude sottolineando la necessità -intorno alla quale sussistono pochi dubbi -di riprodurre su carta documenti originariamente digitali conservandone quanto più possibile le caratteristiche di autenticità. === (1) Il D.Lgs. 177 del 1/12/2009 ha disposto la trasformazione del Centro Nazionale per l'informatica nella Pubblica Amministrazione (CNIPA) in DigitPA - Ente nazionale per la digitalizzazione della pubblica amministrazione 2

3 Successivamente alla pubblicazione dello studio, l art. 16 c. 2 del D.Lgs. 30 dicembre 2010, n. 235 ha introdotto nel Codice dell Amministrazione Digitale (CAD) (1) l articolo 23-ter dove si prevede la possibilità di apporre a stampa sulle copie analogiche di documenti informatici un contrassegno elettronico tale da assicurare la provenienza e la conformità all'originale e consentire la verifica automatica della conformità del documento analogico a quello informatico. In pratica il contrassegno elettronico è rappresentato da un codice a barre bidimensionale che codifica le informazioni necessarie al raggiungimento degli obiettivi prefigurati nello studio CNIPA e nell art. 23-ter del CAD. === (1) D.Lgs n. 82 (G.U. 16 maggio 2005, n. 112, S.O.) 3

4 Lo studio CNIPA ipotizza due scenari di generazione delle copie analogiche. Nel primo caso il documento informatico originale viene trasmesso al cittadino o all impresa via e da questi stampato per essere poi utilizzato nei confronti di terzi 4

5 Nel secondo caso il documento originale viene stampato direttamente dall amministrazione e consegnato al cittadino o all impresa. 5

6 Il processo di generazione delle copie analogiche, comunque esso avvenga, non sembra presentare particolari criticità; lo stato dell arte delle tecnologie di stampa è sufficientemente avanzato da consentire una corretta generazione dei codici a barre anche senza utilizzare dispositivi particolarmente sofisticati (e costosi). Più critico appare il processo di verifica della copia analogica che -nello scenario ipotizzato dallo studio CNIPA, prevede la digitalizzazione a mezzo scanner del documento stampato e la ricostruzione del documento informatico originale (firmato digitalmente). Come vedremo questa seconda operazione è molto meno banale di quanto non possa apparire a prima vista. 6

7 Tutte le prove sono state effettuate utilizzando il sommario della G.U. n. 235 S.G. dell 8/10/2011 (1) -documento che viene autenticato con la tecnologia SecurePaper (TM) -e il programma di visualizzazione e verifica SecurePaperViewer ver della Land s.r.l., titolare dei diritti sulla tecnologia SecurePaper. === (1) Disponibile sul sito dell Istituto Poligrafico e Zecca dello Stato: 7

8 Il primo passo è stato ovviamente quello di verificare il documento originale così come ottenuto dal sito del Poligrafico; il risultato della verifica è stato -come prevedibile - positivo. 8

9 Il passo successivo è stato quello di generare un adeguato campione di copie analogiche del documento originale; tuttavia, per contenere al massimo i possibili errori introdotti da imperfezioni meccaniche dei dispositivi di stampa e digitalizzazione, la generazione delle copie analogiche e loro successiva digitalizzazione è stata simulato utilizzando il software PDF Creator. Questo software permette -in un solo passaggio perfettamente riproducibile -di generare un nuovo documento informatico ricampionandoquello originale ed applicando alcune trasformazioni accuratamente controllabili. In particolare il documento originale è stato ricampionatoa 150, 300 e 600 dpi, ridotto in scala al 99% e 95% del documento originale e ruotato di 1 in tutte le combinazioni possibili. La slide contiene un riepilogo delle prove effettuate: i nomi dei file indicano le trasformazioni cui i singoli documenti sono stati sottoposti. Ad es: SG png è un documento ottenuto dall originale ricampionandoa 300 dpi, riducendo al 95% e ruotando di 0. Si sottolinea che il processo utilizzato introduce meno errori di quello reale di stampa e digitalizzazione; di conseguenza il documento ottenuto dovrebbe permettere al software di verifica di operare in condizioni più favorevoli di quelle reali. I risultati mostrano che campionando a 150 dpi il processo di verifica fallisce, mentre ha successo per campionamenti di 300 e 600 dpi; peraltro le dimensioni dei file ottenuti in questi ultimi casi sono significativamente maggiori che nel primo (da 200KB a oltre 1MB), cosa che determina tempi di elaborazione significativamente più lunghi. 9

10 L insuccesso della verifica a 150 dpi risoluzione peraltro inferiore a quella richiesta dalle specifiche del software SecurePaper-è particolarmente fastidioso in quanto si tratta di una risoluzione corrispondente a quella delle trasmissioni fax di migliore qualità (144dpi) Come controprova il documento originale è stato trasmesso utilizzando due servizi disponibili sul web, FaxToMaile MessageNet; in entrambi i casi il documento ricevuto è risultato non verificabile. Si noti che i servizi on-line consentono di trasmettere fax senza utilizzare dispositivi elettromeccanici di scansione, quindi ancora una volta rappresentano una situazione migliore di quella riscontrabile nell uso normale. Di conseguenza possiamo affermare che le informazioni di autenticazione inserite nella copia analogica non sopravvivono alla trasmissione via fax. 10

11 L articolo 23-ter del CAD richiede che il contrassegno elettronico permetta di verificare automaticamente la provenienza e la conformità all'originale e la conformità del documento analogico a quello informatico. Il software SecurePaperesegue tali verifiche in due fasi: nella prima fase le informazioni di autenticazione vengono estratte dal contrassegno e il documento viene verificato, nella seconda le stesse informazioni vengono utilizzate per recuperare il documento originale on-line ed eseguire una collazione automatica dei due documenti (originale e copia analogica digitalizzata). Abbiamo pertanto eseguito la collazione automatica dei documenti analogici ricampionatia 300 e 600 dpi, mentre per quello a 150 la verifica è impossibile in quanto l estrazione delle informazioni dal contrassegno non va a buon fine. Le verifiche evidenziano 14 difformità per il documento campionato a 300 dpi e 18 per quello a 600 dpi, cosa del tutto sorprendente in quanto il documento analogico utilizzato è assolutamente identico a quello originale, non è stato manipolato ed ha subito solamente un ricampionamento in condizioni ideali (molto lontane da quelle che si realizzano in pratica). 11

12 Ancora più sorprendente è il fatto che le presunte difformità non sono localizzate, ma investono intere sezioni del documento, rendendo estremamente difficile l individuazione a vista. 12

13 Forti della precedente esperienza, ci siamo soffermati a riflettere sulla possibilità stessa di ricostruire un documento informatico partendo dalla copia analogica; per questo abbiamo realizzato, partendo dallo stesso file di testo, tre copie codificate in formato TXT, HTML e RTF. Come si può notare le tre rappresentazioni (TXT, HTML e RTF) sono diverse (fa fede l hash che è stato calcolato per ciascuno di esse). 13

14 Nonostante la diversità dei documenti informatici originali da cui provengono, le copie analogiche dei tre file sono assolutamente identiche. In altre parole: l informazione relativa alla codifica del file originale (TXT, HTML o RTF) viene irrimediabilmente persa nel processo di stampa, pertanto non può essere recuperata con la successiva digitalizzazione. Questo impedisce di effettuare una collazione automatica tra i contenuti testuali dei documenti (originale e copia digitalizzata), lasciando aperta la sola possibilità di un confronto di immagini con tutti i limiti visti nella precedente slide (difformità fantasma ). Ben più grave è il fatto che l eventuale firma digitale del documento originale, che viene effettuata sull hash del documento, non è più verificabile in alcun modo, in quanto l informazione su cui viene calcolata è stata irrimediabilmente persa nel processo di stampa. 14

15 Come ultima verifica abbiamo cercato di capire quantola presenza del contrassegno potesse essere considerata garanzia di autenticità nell indisponibilità del documento originale. A tal proposito il contrassegno della Gazzetta è stato copiato e incollato su un diverso file (il procedimento può ovviamente essere eseguito sia disponendo dell originale che della sola copia analogica stampata) 15

16 Lo stupefacente risultato è che il documento così contraffatto viene dichiarato certificato dal software di verifica, dimostrando in questo modo che il contrassegno non è in alcun modo collegato al contenuto della pagina e - in assenza dell originale non può offrire alcuna garanzia di autenticità e conformità. 16

17 Riassumendo La tecnologia esaminata -pur in condizioni sperimentali estremamente favorevoli -non consente di ottenere alcuno dei risultati che si prefigge e che sarebbero normativamente richiesti: 1 -il contrassegno non sopravvive alla trasmissione via fax, ma se è disponibile la posta elettronica non si capisce perché non trasmettere direttamente il documento originale firmato digitalmente e verificare la firma, processo senz altro più semplice e affidabile 2 -il contrassegno non è collegato all informazione presente nella pagina e -in assenza dell originale -non offre alcuna garanzia di autenticità. Al più può servire come mezzo per reperire l originale in rete, ma ancora una volta ci chiediamo perché non verificare direttamente l originale. 3 -Anche disponendo dell originale, la collazione automatica dei documenti dà risultati del tutto inutili in quanto individua difformità inesistenti, ovvero dovute alla sola differenza di immagini non percepibile da un essere umano. Questo potrebbe essere utilizzato per mascherare -in un documento contraffatto -le difformità artatamente introdotte da un malintenzionato. L unica conclusione possibile è ben espressa da Robert Laing, poeta, medico e padre dell antipsichiatria.. 17