LA FIRMA DIGITALE IN PILLOLE

Transcript

1 LA FIRMA DIGITALE IN PILLOLE Che cos'è la firma digitale e che cosa garantisce? La firma digitale è, in sostanza, l equivalente elettronico di una tradizionale firma apposta su carta, assumendone lo stesso valore legale. La firma digitale garantisce: l'autenticità del documento (sicurezza della paternità), l'integrità del documento (certezza che non sia stato alterato), la sua validità. Non va confusa, però, con altre modalità di firma "elettronica", come ad esempio la firma autografa scannerizzata e conservata come immagine. Dal punto di vista tecnico, la firma digitale è un sistema di crittografia a due chiavi asimmetriche - una privata, l'altra pubblica - applicata all'impronta di un file-documento inteso in senso lato, come una lettera, un atto, un messaggio o, in generale, qualunque file di dati (testo, immagini, musica, ecc.). La sicurezza del sistema sta nel fatto che, conoscendo un elemento della coppia (chiave pubblica), non è possibile dedurre l'elemento corrispondente (chiave privata). La chiave privata, infatti, è l'elemento della coppia di chiavi destinato ad essere conosciuto dal solo soggetto titolare che appone la firma digitale sulle pratiche telematiche. La chiave pubblica, invece, è l'elemento della coppia di chiavi destinato ad essere conosciuto dagli interessati e con il quale si verifica la firma digitale del titolare della coppia di chiavi. Questa chiave (pubblica) è a disposizione di tutti, in quanto resa nota dall'ente Certificatore all'interno del "Registro dei Certificati". Un archivio pubblico, quest'ultimo, che ogni Ente Certificatore è obbligato a rendere disponibile sul proprio sito Internet. Il Registro di InfoCamere è consultabile al seguente indirizzo: Che cos'e' la smart-card? E' lo strumento che permette di firmare il documento elettronico. In pratica, la smart card è una tesserina plastificata - simile ad un comune bancomat - che, mediante un apposito lettore ed un software di firma, consente al titolare di firmare digitalmente la pratica telematica e gli permette altresì di farla circolare con la massima sicurezza. La smart-card, in quanto dispositivo di firma, è strettamente personale: essa è infatti abilitata, al momento della registrazione, attraverso un codice (PIN) inserito direttamente dal titolare e che solo Lui conosce. La smart-card opera attraverso un microchip che, a sua volta, contiene alcuni dati fondamentali: la chiave privata dell'utente; il certificato digitale rilasciato al titolare. Tuttocamere La firma digitale in pillole Ottobre Pag. 1/9

2 Quali sono le caratteristiche della Smart Card? Gli Uffici di registrazione, come abbiamo visto, hanno il compito principale della distribuzione delle Smart Card. La Smart Card (carta intelligente) è il dispositivo di firma digitale, cioè l apparato elettronico che, oltre conservare in luogo protetto la chiave privata, serve anche per generare la firma digitale. Si tratta di una carta simile ad una carta di credito, dotata però di un microprocessore, nel quale vengono scritti una serie di dati significativi. La smart card custodisce e rende inaccessibile dall esterno la chiave privata. Rispetto ad una carta di credito, che è dotata di una semplice banda magnetica, la smart-card memorizza una grande quantità di dati ed è in grado di svolgere all interno del chip delle elaborazioni. Su un lato della smart card è riportato un numero di serie chiamato identificativo della smart-card 1. A chi viene rilasciata la smart card? Le Smart Card verranno rilasciate a tutte quelle persone fisiche che, a titolo personale o per conto di una impresa (amministratori, soci, sindaci), si presentano presso un Ufficio di registrazione. Quali certificati si possono avere nella smart-card? Attualmente si possono avare solo due certificati digitali: il certificato di sottoscrizione e il certificato di autenticazione. Che cos'e' il certificato di sottoscrizione? 1 Si ricorda che le smart card a 32K hanno il numero seriale che inizia per 1202.; mentre le smart card a 16K hanno il numero seriale che inizia per Tuttocamere La firma digitale in pillole Ottobre Pag. 2/9

3 E' il certificato di firma (o di sottoscrizione) contenuto nel microchip della smart-card. Esso contiene una serie di informazioni che definiscono con certezza la corrispondenza tra il soggetto certificato e la sua chiave pubblica: dati relativi all'ente Certificatore che lo ha emesso, il periodo di tempo in cui può essere utilizzato (validità), altri dati che permettono di individuarne il titolare (cognome e nome, luogo e data di nascita, codice fiscale). Che cos'e' il certificato di autenticazione? Oltre il certificato di sottoscrizione, è ora possibile avere nel microchip della smart-card anche il certificato di autenticazione. Il certificato digitale di autenticazione, anche se non ha il valore giuridico del certificato di sottoscrizione che sta alla base della firma digitale, permette di firmare i messaggi di posta elettronica e di essere autenticati in un sito Internet. Quando il certificato di autenticazione viene usato per accedere ad un indirizzo web, non solo il browser si accerta dell'identità del server ma consente anche al server di accertare l'identità della persona che utilizza il browser. In base a tale conoscenza il server consentirà l'accesso ad aree di informazioni riservate piuttosto che ad altre. I dati scambiati sono cifrati. Quando il certificato di autenticazione viene usato per firmare un messaggio di posta elettronica, esso risulta associato al messaggio stesso arricchendolo di informazioni anagrafiche sul mittente (IUT, cognome, nome) che permettono di stabilirne con certezza la provenienza. Il certificato di autenticazione, infatti, abbina i dati del mittente ad un indirizzo di posta elettronica nonché ai dati dell'ente Certificatore che lo ha rilasciato e specifica che viene utilizzato per i protocolli di posta S/MIME e per i protocolli di accesso sicuro SSL. Il certificato di autenticazione può, inoltre, sostituire, nelle applicazioni predisposte, l accesso tramite user-id e password con quello più sicuro mediante smart-card. Per ottenere questo certificato è necessario essere in possesso di un indirizzo di posta elettronica. Che cos è la marcatura temporale? La marcatura temporale di un documento informatico consiste nella generazione, da parte di una terza parte fidata, di una firma digitale del documento (anche aggiuntiva rispetto a quella del sottoscrittore) cui è associata l'informazione relativa ad una data e ad un'ora certa. Un file marcato temporalmente ha estensione.m7m: al suo interno contiene il documento del quale si è chiesta la validazione temporale e la marca emessa dall'ente Certificatore InfoCamere. Il tempo, cui fanno riferimento le marche temporali di InfoCamere, è riferito al Tempo Universale Coordinato, ed è assicurato da un ricevitore radio sintonizzato con il segnale emesso dall'istituto Elettronico Nazionale Galileo Ferraris. La marcatura temporale di un documento informatico può essere effettuata utilizzando DìKe, il software di firma/verifica fornito da InfoCamere, che Tuttocamere La firma digitale in pillole Ottobre Pag. 3/9

4 consente di eseguirne anche un immediato controllo. Il titolare può, inoltre, accedere al servizio di marcatura temporale via Web: in questo dovrà richiedere ad InfoCamere un'abilitazione al servizio. Che cos è il PIN? Tutti i dispositivi di firma digitale (smart-card) sono protetti da un PIN (Personal Identification Number) segreto, conosciuto solo dal titolare del dispositivo stesso. Il PIN è fondamentale per la sicurezza della propria chiave privata; va gestito, conservato e custodito esattamente come quello del proprio Bancomat. Le attuali Smart Card a 32K sono protette da un PIN, che dovrà essere rigorosamente NUMERICO e di lunghezza tra i 6 e gli 8 caratteri. Insieme alla Smart Card viene consegnata una busta contenente l Identificativo del codice di revoca. All interno della busta è contenuto un codice segreto, conosciuto esclusivamente dal proprietario del dispositivo di firma. Nel caso il rilascio della smart card avvenga con procedura post-card, il PIN dell utente sarà costituito dalle ultime 5 (cinque) cifre del codice di revoca, contenuto all interno della busta. Una volta che il titolare è entrato in possesso della smart-card, la prima operazione che dovrà compiere sarà il cambio del PIN, portandolo ad almeno SEI cifre. Il cambio del PIN potrà essere effettuato attraverso il programma Di.Ke (strumenti / cambio PIN). E bene ricordare, infine, che nel caso non si ricordi il proprio PIN, il numero massimo dei tentativi errati possibili sono SETTE (per le smart-card il cui numero seriale inizia con 1201.; TRE (per le smart-card il cui numero seriale inizia con 1202.). Chi e' l'ente Certificatore? L architettura su cui è basata la firma digitale richiede l assoluta certezza relativa all identità dei soggetti che operano nel settore. A tal fine, sono stati previsti dei soggetti esterni, che si trovano in posizione di neutralità rispetto agli utilizzatori della firma digitale, chiamati Enti certificatori (CA Certification Authority). Questi Enti sono iscritti in un apposito elenco tenuto dall AIPA (Autorità per l informatica nella pubblica amministrazione). L elenco pubblico dei certificatori, previsto dall'articolo 27 comma 3 del DPR 28 dicembre 2000 n. 445 e specificato nel DPCM 8 febbraio 1999, viene reso disponibile per via telematica attraverso la rete Internet. L'Ente Certificatore (per le Camere di Commercio è InfoCamere) è il soggetto che garantisce l'associazione di una coppia di chiavi o di un certificato ad una persona fisica. Svolge numerose funzioni, sia nei confronti del possessore di un dispositivo di firma digitale, sia verso il pubblico. Tra queste, quella di consentire a chiunque di verificare la validità di una firma digitale attraverso l'accesso online al Registro dei Certificati. In particolare, dal Registro è possibile sapere se un certificato sia stato effettivamente emesso dall'ente e in favore di Tuttocamere La firma digitale in pillole Ottobre Pag. 4/9

5 chi, se sia ancora valido e quando scadrà. Altre funzioni riguardano la richiesta, la sospensione e la revoca dei certificati emessi. Quanto sono oggi gli Enti certificatori accreditati dal CNIPA (ez AIPA)? Ad oggi, gli enti certificatori iscritti nell elenco tenuto dal CNIPA (ex AIPA), Centro nazionale per l informatica nella Pubblica Amministrazione sono i seguenti: S.I.A. S.p.A. (dal 27/01/2000) (cessata attività dal 01/01/ certificatore sostitutivo Actalis) SSB S.p.A. (dal 24/02/2000) (cessata attività dal 01/01/ certificatore sostitutivo Actalis) BNL Multiservizi S.p.A. (dal 30/03/2000) Infocamere SC.p.A. (dal 06/04/2000) Finital S.p.A. (dal 13/04/2000) Saritel S.p.A. (dal 20/04/2000) (società fusa per incorporazione nella I.T. Telecom S.p.A.) Postecom S.p.A. (dal 20/04/2000) Seceti S.p.A. (dal 06/07/2000) (cessata attività dal 31/07/ certificatore sostitutivo Actalis) Centro Tecnico per la RUPA (dal 15/03/2001) In.Te.S.A. S.p.A. (dal 22/03/2001) ENEL.IT S.p.A. (dal 17/05/2001) Trust Italia S.p.A. (dal 07/06/2001) Cedacrinord S.p.A. (dal 15/11/ Società soggetta a cambio di denominazione sociale; ora Cedacri S.p.A.) Cedacri S.p.A. (dal 15/11/ Nuova denominazione sociale della Cedacrinord S.p.A.) Actalis S.p.A. (dal 28/03/2002) Consiglio Nazionale del Notariato (dal 12/09/2002) I.T. Telecom S.p.A. (dal 06/02/ già Saritel S.p.A.) Comando C4 - IEW (dal 10/04/2003) L elenco pubblico dei certificatori, previsto dall'articolo 27 comma 3 del DPR 28 dicembre 2000 n. 445 e specificato nel DPCM 8 febbraio 1999, viene mantenuto dall'autorità e viene reso disponibile per via telematica attraverso la rete Internet. Che cos'e' l'ufficio di registrazione? Tra i compiti principali dell ente certificatore c è quello del rilascio del dispositivo di firma digitale. Per tale rilascio l ente certificatore si avvale degli Uffici di registrazione. Gli Uffici di registrazione sono strutture ubicate nel territorio che hanno il compito principale della distribuzione delle smart-card. Tuttocamere La firma digitale in pillole Ottobre Pag. 5/9

6 Gli Uffici di registrazione eseguono le operazioni di identificazione, raccolta e conservazione dei dati relativi ai richiedenti i certificati. Gli Uffici di registrazione svolgono, in sostanza, tutte le attività di interfaccia tra il Certificatore e l utente titolare della firma. L operatore dell Ufficio di registrazione viene chiamato RAO. L Ufficio di registrazione rappresenta, dunque, lo "sportello", sul territorio, di InfoCamere: l'ufficio cioè che, per conto del Certificatore, accoglie gli utenti che richiedono il servizio di certificazione digitale, garantisce il riconoscimento del soggetto, esegue le operazioni di raccolta dati, attiva la procedura di emissione dei certificati digitali, distribuisce i dispositivi di firma (smart card) contenenti le chiavi private e i certificati digitali degli utenti titolari. Come si ottiene la smart-card? Per ottenere il dispositivo di firma è necessario rivolgersi, esibendo un valido documento di identità o di riconoscimento: a) direttamente ad uno qualsiasi degli Uffici di registrazione camerali sopra riportati; oppure b) ad un Ufficio di registrazione esterno alla Camera di commercio, situato presso un professionista / società di consulenza / Agenzia, ecc, che si servano, al riguardo, di una delle Convenzioni stipulate tra InfoCamere e gli Ordini professionali o Associazioni di categoria; oppure c) ad un incaricato della sola Registrazione per conto dell Ufficio di registrazione della Camera di commercio (Studio notarile, Commercialista, Associazione di categoria, Agenzia, ecc.) che abbia sottoscritto un apposito mandato con la Camera di commercio. In tutti e tre i casi, la richiesta di registrazione e certificazione va compilata per iscritto, debitamente sottoscritta dal richiedente, e consegnata per la relativa archiviazione prevista per legge. Al termine della richiesta viene stampato un modulo di registrazione, che l utente dovrà sottoscrivere. Il modulo viene stampato almeno in tre copie, di cui una copia rimane all Ufficio di registrazione, una copia viene spedita all Ente di certificazione da parte dell Ufficio di registrazione e una viene consegnata all utente. Attualmente sono possibili due procedure di rilascio delle smart card: a) con modalità ready-card, b) con modalità post-card. La prima modalità si riscontra quando l utente si presenta direttamente ad uno sportello di registrazione per richiedere personalmente la smart-card; la seconda modalità si ha, invece, quando un terza persona (in genere un professionista: commercialista, notaio, agenzia, ecc.), previa sottoscrizione di un apposito mandato con la Camera di Commercio, richiede i dispositivi di firma per i propri clienti, compilando, per ognuno, un apposita scheda di registrazione. Che cos'e' il Post Card? Tuttocamere La firma digitale in pillole Ottobre Pag. 6/9

7 E un servizio che consente all interessato di farsi riconoscere e chiedere il rilascio della smart card senza doversi recare all ufficio di registrazione camerale, bensì rivolgendosi ai soggetti convenzionati. Questi, in un secondo momento, provvederanno a consegnare la smart card ai richiedenti. L ente camerale, per agevolare l acquisizione della smart card, ha cercato di decentrare la fase del riconoscimento attraverso la collaborazione di soggetti terzi, firmatari di una convenzione chiamata POST CARD. Chi è l'incaricato alla Registrazione? È il soggetto firmatario della convenzione POST CARD, abilitato al riconoscimento ed alla richiesta di rilascio smart card per conto di un ufficio di registrazione. Che cosa è il manuale operativo? E' un documento, redatto dall'ente Certificatore, che contiene tutte le informazioni necessarie all'utilizzo dei dispositivi di firma digitale e dei certificati che l'ente emette, nonché le condizioni per il loro utilizzo. Per questo motivo, si consiglia di leggerlo attentamente prima di rivolgersi all'ufficio di Registrazione per richiedere un certificato di firma digitale. In esso è contenuta, tra l'altro, la descrizione dettagliata del modo in cui un Ente Certificatore implementa le procedure di gestione dei certificati. E' possibile scaricarlo dal sito di Infocamere ed in ogni caso viene consegnato all'utente al momento della registrazione. Perché usare la firma digitale? Da un punto di vista pratico, questa nuova metodologia di deposito consente all'utente di inviare in tutta sicurezza la pratica amministrativa dal proprio computer, evitando così di recarsi agli sportelli camerali. E' utile, inoltre, iniziare ad utilizzare questa nuova modalità di presentazione, visto che la legge 340/2000 all'art. 31, 2 comma impone alle società di capitali ed alle società di persone - a partire dal 9 dicembre di depositare al Registro Imprese domande, denunce e atti in via informatica (ossia su dischetto) o di inviarli in via telematica. In entrambi i casi, la pratica deve essere firmata digitalmente. Come si appone la firma digitale? Per firmare digitalmente un documento è necessario essere in possesso: a) di un particolare dispositivo, detto smart-card, delle dimensioni di una carta di credito, dotato di microchip e di codice segreto d accesso, rilasciato da un Ente Certificatore iscritto nell elenco tenuto dal CNIPA (Centro nazionale per l Informatizzazione della Pubblica Amministrazione) attraverso gli Uffici di Registrazione appositamente autorizzati; b) di un lettore di smart-card; c) di un programma di firma. Tuttocamere La firma digitale in pillole Ottobre Pag. 7/9

8 Attualmente si possono firmare digitalmente documenti di uno dei seguenti formati: doc, rtf, pdf, txt, tif, htm, xls, attribuendone così in maniera certa ed indissolubile la provenienza al sottoscrittore. I documenti firmati con la firma digitale assumeranno l estensione.p7m. Che cos'è e dove si trova il software di firma? L'indirizzo da cui è possibile scaricare gratuitamente sul proprio computer il software di firma (Di.ke.), sviluppato da InfoCamere e necessario per l'installazione locale dell'ambiente di firma digitale, è il seguente: Il software Di.Ke., allo stato attuale, permette di: apporre e/o verificare la firma digitale su documenti con estensione PDF, TIF e TXT; effettuare operazioni sulla smart-card (controllo e verifica, cambio PIN); controllare automaticamente sul sito dell'ente Certificatore la validità attuale del certificato digitale associato al documento. Ogni documento, una volta firmato, assumerà l'ulteriore estensione P7M, in osservanza della normativa AIPA in materia di firma digitale. E' importante verificare e scaricare periodicamente le versioni aggiornate del software di firma. Quanto costa la smart-card e il relativo lettore? La Camera di Commercio, come previsto dal D.M. 23 marzo 2000 del Ministero delle Attività produttive, rilascia gratuitamente la prima smart-card ad un legale rappresentante per ciascuna società con sede legale iscritta presso la competente Camera di Commercio. Per ogni rilascio successivo di smart-card, ad altri soggetti interni alla società o a persone diverse, l Ente certificatore camerale ha fissato il seguente listino prezzi: PRODOTTI PREZZO DI VENDITA KIT: cartellina, smart-card, certificati di sottoscrizione e di autenticazione (durata biennale) KIT: cartellina, smart-card con solo certificato di sottoscrizione (durata biennale) KIT: cartellina, smart-card con solo certificato di autenticazione (durata biennale) Certificato di sottoscrizione in aggiunta ad uno di autenticazione già rilasciato oppure per rinnovo Certificato di autenticazione in aggiunta ad uno di autenticazione già 6.00 Tuttocamere La firma digitale in pillole Ottobre Pag. 8/9

9 rilasciato oppure per rinnovo Rinnovo di entrambi i certificati scaduti Gli importi indicati sono comprensivi di IVA. È inoltre possibile acquistare il relativo lettore (con connessione seriale o USB) al costo di Euro 32,00. Si avverte che i prezzi indicati potrebbero subire delle variazioni da Camera a Camera. A fronte del pagamento da parte dell utente dell importo previsto, l addetto all Ufficio di registrazione rilascerà sempre e in ogni caso una regolare fattura. Tuttocamere La firma digitale in pillole Ottobre Pag. 9/9