Firma digitale — come funziona

Cos'è la firma digitale

Definizione

• Firma crittografica che garantisce:
  • Autenticità: chi ha firmato
  • Integrità: documento non modificato
  • Non ripudio: firmatario non può negare

Equivalenza giuridica

• Art. 24 CAD: equivale a scrittura privata
• Valore legale pieno
• In molti casi obbligatoria (vedi normativa)

Differenza da firma autografa

• Autografa: inchiostro, facile falsificare
• Digitale: matematica, molto sicura
• Verificabile elettronicamente

Funzionamento tecnico

Crittografia asimmetrica

• Chiave privata: segreta del firmatario (sul token/HSM)
• Chiave pubblica: nel certificato, distribuita
• Matematica: firmare con privata, verificare con pubblica

Processo

1. Hash del documento (riassunto univoco)
2. Cifra hash con chiave privata → firma
3. Allega firma al documento
4. Verifica: hash originale = hash decifrato con chiave pubblica

Certificato

• Documento digitale con:
  • Chi è il firmatario
  • Chiave pubblica
  • Emittente (CA)
  • Validità (2-3 anni tipici)
  • Campo uso (firma, autenticazione)

Certification Authority (CA)

Ruolo

• Emette certificati
• Verifica identità del richiedente
• Garanzia affidabilità

CA italiane accreditate AGID

• InfoCert
• Aruba PEC
• Namirial
• Poste
• Intesi Group
• Sielte
• TI Trust Technologies
• LRN

Qualifica

• Accreditamento AGID
• Qualifiche eIDAS UE
• Interoperabilità europea

Strumenti

Token USB

• Dispositivo fisico
• Chiave privata al suo interno (sicura)
• PIN per sbloccare
• Collegamento al PC

Smart card + lettore

• Tessera simile a bancomat
• Lettore USB
• Simili uso al token

Firma remota (HSM)

• Server remoto (cloud del provider)
• Certificato e chiave in HSM (Hardware Security Module)
• OTP per firmare (app o SMS)
• Non serve token fisico

Firma automatica

• Per atti seriali (fatture, ecc.)
• Dispositivo senza interazione utente per ogni firma
• Normativa specifica

Formati di firma

CAdES (CMS Advanced Electronic Signature)

• Standard: RFC 5652
• Estensione: .p7m (documento.pdf.p7m)
• Busta crittografica: contiene atto + firma
• Universale: qualsiasi tipo file

PAdES (PDF Advanced Electronic Signature)

• Per PDF specifico
• Firma incorporata nel PDF
• Estensione: .pdf (mantiene)
• Preferito per documenti visibili

XAdES (XML Advanced Electronic Signature)

• Per XML
• Raro in contesti ordinari
• Fatturazione elettronica (XML fatture)

Come firmare

Token/smart card

1. Collega token USB
2. Inserisci PIN
3. Software di firma (Aruba Sign, DikeIC, ecc.)
4. Seleziona documento
5. Scegli formato (PAdES o CAdES)
6. Firma
7. Salva file firmato

Firma remota

1. Login portale provider (web o app)
2. Carica documento
3. Firma con OTP
4. Scarica file firmato

Integrata in app

• Adobe Acrobat Pro: firma PAdES integrata
• Office 365: opzioni firma
• App specifiche: gestori firma

Verificare una firma digitale

Adobe Acrobat

• Apre PDF firmato
• Pannello firme: dettagli
• Valida: verde = OK
• Revocata/scaduta: segnalata

Software dedicato

• DikeIC, ArubaSign, Namirial Sign
• Carica documento
• Esito: valido/invalido + dettagli

Online

• firma.pdc.minambiente.it
• posta.enterprise.sielte.it
• Altri provider

Cosa verifica

• Integrità documento
• Certificato valido
• Firmatario identificato
• Non revocato
• Marca temporale (se presente)

Marca temporale

Cos'è

• Timbro digitale con data/ora certa
• Aggiunto alla firma

Perché serve

• Prova che il documento esisteva a quella data
• Rilevante quando validità certificato scade

Come

• Servizio fornito dalle CA
• Costo: pochi centesimi per marca
• Integrabile al momento della firma

Uso nella PA

Atti soggetti a firma digitale

• Provvedimenti dirigenziali
• Contratti
• Delibere (Giunta, Consiglio)
• Certificazioni
• Atti processuali (PCT)

Obbligo

• CAD art. 24
• D.lgs. 217/2017: obbligo per PA
• DM specifici settori

Conservazione

• Documenti firmati vanno conservati
• Validità firma nel tempo
• Conservatore accreditato AGID

PCT e firma digitale

Processo Civile Telematico

• Avvocati: firma obbligatoria per atti depositati
• PAdES preferito
• Cass. accetta entrambi

Valenza

• Piena come scritta
• Tracciabilità completa
• Modifiche non possibili

Fatturazione elettronica

B2G (Business to Government)

• Obbligo dal 2014
• FPR/FPA: formati XML
• Firma XAdES: obbligatoria

B2B (Business to Business)

• Obbligo dal 2019
• Sistema di Interscambio (SdI)
• Firma XAdES o equivalente

Costi

Rilascio certificato

• Token USB + certificato: 30-50 €
• Validità 2-3 anni
• Rinnovo simile

Firma remota

• Attivazione: 20-40 €
• Firme incluse (es. 100/anno)
• Aggiuntive: costo per firma

Marche temporali

• Pacchetti (es. 100 marche = 5 €)

Validità nel tempo

Certificato scaduto

• Firma già apposta resta valida SE marca temporale entro scadenza
• Senza marca: validità incerta
• Rinnovo regolare consigliato

Certificato revocato

• Compromissione, furto, ecc.
• Firma dopo revoca invalida
• CRL (Certificate Revocation List)
• OCSP (verifica real-time)

Normativa

Nazionale

• CAD: D.lgs. 82/2005 (artt. 20-34)
• D.lgs. 217/2017: aggiornamento
• DPCM: attuazione tecnica
• AGID: regole tecniche

Europea

• eIDAS: Reg. UE 910/2014
• Firma qualificata riconosciuta UE
• Interoperabilità

Principali articoli CAD

• Art. 20: validità documento informatico
• Art. 21: firma elettronica
• Art. 24: firma digitale (qualificata)
• Art. 25: firma autenticata (notaio)

Tipi di firma elettronica

Firma elettronica semplice

• Poche garanzie
• Esempio: firma al touch screen corriere
• Valore limitato

Firma elettronica avanzata

• Identificazione univoca
• Valore legale medio

Firma elettronica qualificata (= firma digitale)

• Massimo livello
• Certificato qualificato
• Dispositivo sicuro
• Valore legale pieno

Firma grafometrica

Cos'è

• Firma su tablet con penna
• Registra dinamiche (pressione, velocità)
• Equiparata firma elettronica avanzata

Usi

• Banche, poste
• Contratti retail
• Non PA

Problemi comuni

Token non riconosciuto

• Driver: aggiornare
• Porta USB: cambiare
• PC: riavviare
• Middleware: reinstallare

PIN dimenticato

• PUK per reset
• Entrambi persi: nuovo token
• Contattare provider

Firma non valida

• Certificato scaduto
• Documento modificato dopo firma
• CRL: verificare

Documento troppo grande

• Chunk o compressione
• Firma multipla

Firma di gruppo

Principio

• Più firmatari in sequenza o parallelo
• Tutti devono firmare

PA

• Atto dirigenziale: firma dirigente + responsabile
• Catena firme (workflow)

Integrazione applicativi

PEC + firma

• Invio documento firmato via PEC
• Doppia valenza: notifica + firma

Conservazione

• Sistemi conservazione a norma
• Verifica firma nel tempo
• Rinnovo formati se necessario

PL e firma digitale

Uso tipico

• Comandante: atti dirigenziali, delibere
• Ufficiali: verbali specifici
• Responsabili: determinazioni

Verbali CDS

• Firma digitale nella maggior parte dei casi
• Archiviazione digitale
• Notifica PEC

Formazione

• Base sulla firma
• Uso specifico ruolo
• Aggiornamenti

Best practices

Sicurezza

• Custodia token/PIN
• Non condividere
• Segnalare smarrimento
• Aggiornamenti regolari

Qualità

• Verifica documento prima di firmare
• Formato corretto
• Marca temporale se rilevante

Archiviazione

• Conservazione a norma
• Backup
• Ripristino testato

Futuro

EUDI Wallet

• Portafoglio digitale UE
• Includerà firma
• Harmonization UE

Blockchain

• Firma su blockchain
• Immutabilità
• Prospettive

Biometric signing

• Biometria come chiave
• Password-less
• Sperimentazioni

Best practices PA

Policy

• Regolamento uso firma
• Formazione dirigenti
• Audit

Strumenti

• Soluzioni integrate
• Automazione firme massive
• Monitoraggio

Compliance

• GDPR per dati
• Conservazione a norma
• Responsabilità