FIRMA DIGITALE. Manuale di informazione per il personale amministrativo delle Istituzioni scolastiche statali

Transcript

1 FIRMA DIGITALE Manuale di informazione per il personale amministrativo delle Istituzioni scolastiche statali Testo aggiornato con il D.Lgs N 82 del 07 Marzo 2005 recante : Codice dell Amministrazione Digitale Redatto a cura di : Studio AG.I.COM. S.r.l. unipersonale Via Guglielmo Marconi, MELEGNANO (MI) Tel Fax E mail info@agicomstudio.it

2 PREMESSA Il Codice dell Amministrazione Digitale (D.Lgs 82/2005) oltre all obbligo di trasmettere i documenti tramite posta elettronica prevede anche l obbligo, per tutti gli enti pubblici (scuole incluse), di accettare istanze dei cittadini presentate tramite posta elettronica o più in generale con strumenti informatici. Questo obbligo determina la indispensabilità (entro il 31 Dicembre 2007) di : 1) disporre della firma digitale per dare valore legale ai documenti informatici trasmessi, compresi quelli originariamente cartacei, ma necessariamente riprodotti con lo scanner per poterli spedire come allegati di posta elettronica 2) saper leggere un file ricevuto su cui sia stata apposta la firma digitale e quindi verificare se essa è valida (altrimenti i file firmati non si possono nemmeno aprire). per essere chiari, un ente pubblico (una scuola per esempio), potrebbe anche non utilizzare la firma digitale ma deve necessariamente disporre del software che gli consenta di aprire e leggere i documenti che quanto prima gli giungeranno dai superiori gerarchici (ministero, direzione scolastica regionale etc.) firmati digitalmente. COS E TECNICAMENTE LA FIRMA DIGITALE? La firma digitale è l esatto equivalente informatico della firma tradizionale apposta con la penna su carta a cui la legge attribuisce importanti conseguenze giuridiche. In particolare essa è basata su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro che consente al titolare, tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente di rendere manifesta l autenticità e di verificare la provenienza e l integrità di un documento informatico o di un insieme di documenti informatici. Non sfuggirà al lettore che, verificare provenienza ed assicurare l integrità di un documento possa appieno essere equiparato ad apporre la propria firma tradizionale sullo stesso, se questo fosse cartaceo. Il sistema della firma digitale si basa su un sistema di crittografia evoluto, basato su una coppia di chiavi asimmetriche, cioè una coppia di chiavi aventi, tra le altre, due caratteristiche: un documento cifrato dalla prima chiave della coppia può essere decifrato esclusivamente utilizzando la seconda; la conoscenza di una delle due chiavi non concede alcuna informazione utile alla ricostruzione dell altra. Le peculiarità della crittografia basata su chiavi asimmetriche sono state sfruttate per creare i sistemi di firma digitale, nei quali le due chiavi sono attribuite univocamente a un titolare: la chiave privata è a disposizione esclusiva del titolare, custodita all interno di una Smart Card (supporto informatico da collegare al PC) e protetta da un codice segreto conosciuto solo da lui; la chiave pubblica, anch essa associata al titolare, è invece contenuta in un Certificato Digitale (documento informatico) reso accessibile a tutti su Internet da particolari soggetti i Certificatori Accreditati. Da quanto esposto è evidente che la funzione della firma digitale non è più quella di rendere il testo comprensibile solo al destinatario (la chiave pubblica è accessibile a tutti!), bensì quella di verificarne la provenienza dal titolare della chiave privata. A cura di : Studio AG.I.COM. S.r.l. Pagina N 2

3 Per tale motivo, anziché cifrare l intero documento, è possibile utilizzare l impronta del documento: una sorta di riassunto costruito in modo da risultare diverso anche a seguito di variazioni in uno solo dei caratteri digitati nel documento di partenza, ma molto più leggero e veloce da cifrare e de cifrare. COME FUNZIONA? COME FACCIO A FIRMARE UN DOCUMENTO INFORMATICO? Il soggetto A appone la propria firma digitale su un documento da inviare al soggetto B. 1. Per prima cosa, A deve predisporre un documento informatico (file); a tal fine può: redigere il documento con un programma di videoscrittura (Word); oppure effettuare la scansione di un documento cartaceo, producendo un file con l immagine (Formato TIF); 2. A avvia il Software per la apposizione della firma digitale. Il software richiede di selezionare il documento da firmare (es. contratto.pdf) e di inserire il proprio codice PIN. 3. A questo punto, il software provvede in automatico a: creare l impronta del file; cifrarla tramite la chiave privata, ottenendo così la firma digitale del documento; associarla al documento originario, che conserva nome ed estensioni originali, ai quali viene però aggiunta l ulteriore estensione.p7m (es. contratto.pdf.p7m). 4. Infine, A invia al destinatario B (ad esempio,per e mail) il documento firmato. N.B. i file formato.p7m contengono anche il certificato con la chiave pubblica del sottoscrittore (comunque rinvenibile su Internet). COME FACCIO A VERIFICARE L AUTENTICITA DELLA FIRMA? Il soggetto B verifica l autenticità (integrità e paternità) del documento ricevuto dal soggetto A. 1. Ricevuta l e mail da A, il soggetto B apre il file firmato (anche chi non dispone della firma digitale può scaricare gratuitamente da Internet il software per la verifica). In automatico, il software: crea l impronta del file ricevuto; de cifra la firma digitale allegata utilizzando la chiave pubblica, ottenendo così l impronta del file originario; confronta le due impronte per verificare l integrità del documento (se l impronta del file ricevuto è identica a quella del file originario, è sicuro che il documento non ha subito manomissioni). A cura di : Studio AG.I.COM. S.r.l. Pagina N 3

4 2. Inoltre, sempre in automatico, il software: procede alla verifica dell autenticità del documento, verificando che il certificato sia stato emesso (e, di conseguenza, che l identità del titolare sia stata accertata) da un Certificatore accreditato; verifica la validità del certificato sulla base delle liste di sospensione e revoca dei certificati (CRL), messe online dai Certificatori. Per completare correttamente quest ultima fase è necessario essere collegati a Internet. 3. A seguito di tutte le operazioni effettuate dal software e descritte nei punti precedenti, l unica cosa che l utente visualizza è un report con l esito della verifica. Verificata la firma del mittente B può, ove necessario, procedere a sua volta all apposizione della propria firma digitale, direttamente sul file firmato da A (quello con estensione.p7m ). VALIDITÀ TEMPORALE DELLA FIRMA Nella maggior parte dei documenti destinati a produrre effetti giuridicamente rilevanti è necessaria anche l indicazione del momento in cui il documento è stato sottoscritto; invece la firma digitale certifica l'identità di chi ha formato o trasmesso il documento e l'integrità del documento stesso, ma non offre un'indicazione sicura del momento in cui è stato firmato. Inoltre, mentre la firma autografa su un documento cartaceo vale all infinito, la firma digitale determina gli effetti che le sono propri solo fino alla scadenza del certificato. Ciò è dovuto al fatto che la sicurezza di qualsiasi sistema di cifratura non è assoluta, ma relativa al tempo necessario a terzi per risalire alla chiave segreta con la tecnologia attualmente disponibile: tempo molto maggiore di quello che si attribuisce come periodo di validità del certificato e delle chiavi. Per indicare con certezza il momento della firma del documento in maniera che sia opponibile a terzi e prolungarne la validità, è necessario ricorrere a ulteriori accorgimenti, quali (a titolo non esaustivo): Richiedere al Certificatore il servizio di marcatura temporale (una diversa firma digitale apposta dal Certificatore sulla firma digitale del sottoscrittore, che ne attesta data e ora di generazione); Adottare un sistema di protocollo informatico (che assicura la registrazione, in maniera non rimovibile, di tutte le informazioni utilizzate per il protocollo); Utilizzare sistemi di posta elettronica certificata. A cura di : Studio AG.I.COM. S.r.l. Pagina N 4

5 CARATTERISTICHE E VANTAGGI Di seguito si riportano le principali caratteristiche della firma digitale e le differenze rispetto alla tradizionale firma autografa apposta su documento cartaceo: Documento cartaceo con firma autografa Documento informatico con firma digitale La provenienza è garantita dalla firma autografa L integrità è garantita dal supporto cartaceo (assenza di cancellazioni o abrasioni) Vale per tutta la vita del supporto cartaceo Il documento originale è sempre distinto dalla copia La provenienza e l integrità sono garantite dalla firma digitale Ha valore solo fino alla scadenza del certificato della chiave pubblica (a meno che non si utilizzi una marca temporale o altro accorgimento idoneo) Non esiste il concetto di copia: il documento informatico ( file ) con firma digitale è sempre un originale e può essere duplicato in un numero indefinito di file indistinguibili gli uni dagli altri Le caratteristiche della firma digitale garantiscono al documento su cui è apposta: certezza di autenticità (provenienza dal firmatario) e integrità (assenza di alterazioni dopo la sottoscrizione); pieno valore legale ha lo stesso valore legale di un documento cartaceo con firma autografa. Inoltre, il suo utilizzo consente: eliminazione di documenti cartacei grazie all archiviazione su supporti informatici, anche dei documenti firmati da conservare in originale; tempestività rende possibile la stipulazione, giuridicamente vincolante, di rapporti contrattuali anche a grandi distanze, senza necessità di spostamenti di persone o di spedizioni di materiale; eliminazione di timbri e simili nei casi in cui hanno valore di firma, integra e sostituisce l apposizione di sigilli, punzoni, timbri, contrassegni e marchi di qualsiasi genere (DPR 445/00, art. 23) A cura di : Studio AG.I.COM. S.r.l. Pagina N 5

6 COME OTTENERE LA FIRMA DIGITALE Qualunque persona fisica dotata di capacità giuridica può richiedere, tramite il nostro Studio, la firma digitale ad uno dei Certificatori accreditati iscritti nell elenco dell AIPA ( Generalmente, l iter per il rilascio segue i seguenti passi: 1. Il soggetto interessato sceglie il Certificatore al quale presentare richiesta 2. Il Certificatore accerta l identità del richiedente (che deve recarsi di persona presso il punto di registrazione indicatogli) e fornisce il kit contenente: Smart Card (supporto simile a una carta di credito, in cui si conservano la chiave privata e copia del certificato digitale contenente la chiave pubblica); Lettore di Smart Card (da collegare al PC per procedere all apposizione della firma su di un file); Software per l apposizione della firma (da installare sul PC). 3. Il Certificatore provvede a pubblicare il certificato nell apposito registro consultabile su Internet. 4. Il richiedente collega il lettore di Smart Card al proprio Personal Computer,attraverso l apposita porta USB o seriale (per i PC portatili, anche PCMCIA)... installa il software sul PC, inserisce la Smart Card nel lettore (digitando il codice PIN), ed esegue i comandi suggeriti dal software per procedere all apposizione della firma. In prossimità della scadenza (o a seguito di eventi particolari), il titolare dovrà richiedere un nuovo certificato. Su richiesta, e con il consenso di eventuali terzi interessati, nel certificato è possibile specificare anche la sussistenza di poteri di rappresentanza o di altri titoli relativi all'attività professionale o a cariche rivestite A cura di : Studio AG.I.COM. S.r.l. Pagina N 6

7 RIFERIMENTI NORMATIVI L.59/1997 (L. Bassanini) Delega al Governo per il conferimento di funzioni e compiti alle regioni ed enti locali, per la riforma della Pubblica Amministrazione e per la semplificazione amministrativa. In previsione della realizzazione della RUPA (Rete Unitaria della Pubblica Amministrazione) e dello scambio di dati che questa consentirà tra Uffici pubblici, e tra questi e i cittadini, ha sancito che: Art.15, comma 2 Gli atti, dati e documenti formati dalla pubblica amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi e rilevanti a tutti gli effetti di legge. ( ) DPCM 8/2/1999 Regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici. CE 93/1999 Direttiva CE Relativa ad un quadro comunitario per le firme elettroniche. Introduce la distinzione tra diverse tipologie di firma elettronica, in base alla quale la firma digitale di cui ai precedenti atti normativi si configura come la versione più evoluta (firma elettronica qualificata con certificato rilasciato da Certificatore accreditato). DPR 445/2000 Testo Unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa. Ha stabilito che, per le istanze e le dichiarazioni inviate per via telematica alla Pubblica Amministrazione, dovrà essere utilizzata la firma digitale (non, quindi, una qualsiasi firma elettronica) e che nei documenti informatici delle Pubbliche Amministrazioni la firma autografa è sostituita unicamente dalla firma digitale. Art.25, comma 1: In tutti i documenti informatici delle pubbliche amministrazioni la firma autografa o la firma, comunque prevista, è sostituita dalla firma digitale ( ). Art.38, comma 1: Tutte le istanze e le dichiarazioni da presentare alla pubblica amministrazione o ai gestori o esercenti di pubblici servizi possono essere inviate anche per fax e via telematica. comma 2: Le istanze e le dichiarazioni inviate per via telematica sono valide se sottoscritte mediante la firma digitale ( ). D.Lgs. 10/2002 Recepimento della Direttiva 1999/93/CE sulla firma elettronica DPR 137/2003 Regolamento recante disposizioni di coordinamento in materia di firme elettroniche a norma dell'articolo 13 del decreto legislativo 23 gennaio 2002, n. 10. Hanno modificato ed integrato il T.U. assicurando, tra l altro, una speciale efficacia probatoria al documento informatico sottoscritto con firma digitale o con un altro tipo di firma elettronica avanzata: DPR 445/2000, Art.10, comma 3 Il documento informatico, quando è sottoscritto con firma digitale o con un altro tipo di firma elettronica avanzata, e la firma è basata su di un certificato qualificato ed è generata mediante un dispositivo per la creazione di una firma sicura, fa inoltre piena prova, fino a querela di falso, della provenienza delle dichiarazioni da chi l ha sottoscritto. A cura di : Studio AG.I.COM. S.r.l. Pagina N 7

8 RIFERIMENTI INTERNET Riporta l elenco pubblico dei Certificatori con link ai rispettivi siti Internet, la normativa di riferimento e le Circolari e Deliberazioni AIPA in materia (contenenti, tra l altro, i requisiti tecnici e le linee guida per l interoperabilità tra i Certificatori), un Manuale su tecnologie e standard per la firma elettronica. Consente, inoltre, il download dei Manuali Operativi dei Certificatori e della lista dei certificati. Sito del Centro Tecnico per la R.U.P.A. Rete Unitaria della Pubblica Amministrazione che svolge anche funzione di Certificatore accreditato; al suo interno è presente, tra l altro, una rivista con articoli di approfondimento sui temi della firma digitale, del protocollo informatico e dell e government. Riporta un documento di introduzione alla firma digitale, la normativa di riferimento, le regole tecniche, numerose FAQ e link a siti d interesse (molti quelli relativi all esperienza di altri Paesi). jus.it Sito dedicato al diritto applicato al commercio elettronico e ad Internet, con riferimenti normativi, dottrina e giurisprudenza in materia di documento informatico e firma digitale. A cura di : Studio AG.I.COM. S.r.l. Pagina N 8