Firma elettronica, il ruolo dei verificatori: cosa fanno e quali sono i problemi

Bisogna garantire non solo il rispetto dei requisiti della firma elettronica, ma anche la loro immediata e intuitiva verifica. Per questo l’attività dei verificatori è cruciale, tuttavia non è esente da problematiche legate alla tecnologia e al rapporto con gli utenti, specie sul piano comunicativo. Una possibilità per superare questi fronti critici è quella di istituire un verificatore centrale a livello nazionale.

Perché servono i verificatori delle firme elettroniche qualificate

La normativa italiana ed europea richiedono entrambe, per la validità della firma elettronica qualificata, che la stessa sia apposta quando il certificato è valido (non ancora scaduto), di qui il problema della conservazione a norma dei documenti firmati digitalmente, in difetto una volta scaduto il certificato di firma dovremo affannarci a provare che la sottoscrizione è stata apposta in un momento in cui il certificato era ancora valido.

Se, quindi, una firma è basata su un certificato elettronico qualificato emesso da un certificatore accreditato non scaduto e rispetta i requisiti indicati, allora sarà validamente apposta. Il problema è che possono esistere differenze fra questi certificati (fermo il rispetto dei requisiti di legge) in quanto ogni certificatore è tenuto unicamente al rispetto di una serie di standard, ma il processo di firma non è del tutto vincolato.

Come si cura di precisare anche l’art. 63 co. 3 del D.P.C.M. 22 febbraio 2013, infatti: “Eventuali difformità nella generazione delle firme digitali, delle firme elettroniche qualificate, dei certificati qualificati e delle marche temporali, alle regole tecnologiche di cui al Titolo II, che non ne mettano a rischio la sicurezza, non ne inficiano la validità”.

Dunque, eventuali differenze fra i certificati di firma non hanno alcun impatto sulla validità della firma stessa, ma per trasferire il dettato normativo nella prassi è evidente come sia necessario che i vari certificati emessi dai singoli prestatori di servizi fiduciari qualificati debbano poter essere agevolmente verificati anche dall’utente non professionale in tempi rapidi e con sicurezza, così da consentire un utilizzo efficace e proficuo di queste firme digitali, senza incertezze.

Per orientarsi nell’intricato “mercato” dei verificatori sul sito AGID è presente un elenco (peraltro datato) di verificatori affidabili (che di solito coincidono con quelli messi a disposizione dai certificatori), alcuni online ed altri disponibili offline.

Cosa fa il verificatore UE

Tra i verificatori online spicca quello messo a disposizione dall’Unione Europea sul sito DSS Demonstration WebApp, che è in grado di verificare le varie firme digitali emesse nei vari stati membri dell’UE. Le verifiche dello strumento DSS possono dare tre esiti:

• Total-Passed: nel caso che i controlli crittografici (compresi i controlli delle impronte dei documenti a qualsiasi titolo calcolate sugli oggetti) abbiano esito positivo insieme alle politiche di convalida della firma.
• Total-Failed: nel caso i controlli precedenti falliscano ovvero il certificato digitale non è valido al momento della sottoscrizione o perché la firma non è conforme ai formati stabiliti negli standard di base per quanto attiene ai componenti di formazione dei formati stessi.
• Indeterminate: quando non ci si trova in nessuno degli stati precedenti.

Il sito effettua una serie di controlli, riguardo:

• la conformità della firma allo standard ETSI EN 319 102-1;
• il fatto che il certificato è stato rilasciato quale certificato qualificato di firma elettronica;
• il prestatore di servizi fiduciari qualificato che ha rilasciato i certificati qualificati;
• la nazionalità del certificatore;
• il nome del firmatario
• la validità del certificato;

e numerosi altri elementi (per un totale di quasi cento controlli). Il problema però è che utilizzando questo così come altri verificatori, possono apparire risultati non coerenti, nonostante gli sforzi per garantire un elevato livello di interoperabilità fra i dispositivi di firma e verifica da parte dei certificatori.

I problemi tecnologici

L’evoluzione tecnologica degli strumenti di firma, unitamente al fatto che gli stessi devono firmare formati di file in continua evoluzione, rende complesso ottenere firme sempre uguali e aggiornare i verificatori al fine di ottenere completa interoperabilità fra gli stessi.

Uno dei problemi nasce ad esempio dall’ingresso nel settore delle firme digitali di un colosso come Adobe, che gestisce attraverso i suoi software le firme digitali apposte in formato PAdES, anche se lo fa secondo logiche globali e non nazionali/comunitarie.

Alcuni verificatori ad esempio percepiscono come “alterato” un documento controfirmato quando il primo firmatario ha “bloccato” il documento e restituiscono un risultato di verifica negativo (ad esempio in sede di firma in Acrobat Reader è possibile selezionare l’opzione: “Blocca documento dopo la firma”, campo che blocca il campo firma e che andrebbe selezionato solo se si è l’ultimo soggetto a firmare il documento).

È però evidente come in questo, come in altri casi, la firma sia perfettamente valida e l’unico requisito a non essere rispettato è il “desiderio” del primo firmatario di non veder ulteriormente controfirmato il documento (requisito che di certo non può inficiare la validità delle sottoscrizioni). In altri casi non è chiaro il motivo della diversa “reazione” dei vari verificatori rispetto ad un file firmato digitalmente. Questo problema, sebbene non si presenti con frequenza, è comunque potenzialmente in grado di minare l’utilizzo della firma digitale come evoluzione della firma autografa.

Esempi pratici

Mentre il rodato processo di firma autografa consente una relativa “tranquillità” nell’utilizzo, presidiato da un procedimento di verificazione giudiziale a rischio e pericolo del contestatore, il processo di firma digitale presenta due ostacoli che apparentemente rendono meno “sicura” la firma digitale, il primo è la scadenza dei certificati di firma, problema dietro l’angolo che costringe a “mettere al sicuro” la firma in scadenza (sia la nostra che quella di una controparte che ad esempio sottoscrive digitalmente una transazione o una promessa di pagamento) dietro una validazione temporale (la firma digitale, come noto, non fornisce una data al documento, ma si limita a recepire la data del dispositivo da cui si firma, il che prova ben poco circa l momento della sottoscrizione), il secondo è appunto quello che deriva dalle possibili “sorprese” in sede di verifica della firma digitale, che potrebbero mettere in dubbio la validità di una firma pur regolarmente apposta (almeno in apparenza).

A ciò si aggiunge il fatto che l’evoluzione tecnologica coinvolge anche gli algoritmi di firma, che impongono ai verificatori, da un certo punto in avanti, di evidenziare come non conforme una firma che fino ad allora era invece rispettosa della normativa. Ad esempio, con l’entrata in vigore della Decisione di Esecuzione 2016/650 lo standard delle chiavi di firma è passato da 1024 a 2048 bit ma, come si cura di precisare lo stesso eIDAS (all’art. 51), i certificati emessi secondo gli standard precedenti conservano validità fino alla loro scadenza.

Ma i verificatori nel frattempo si adeguano ai nuovi standard, con il risultato che alcune non conformità possono derivare da un eccesso di zelo nell’adeguamento tecnologico degli strumenti di verifica, specie se consideriamo il fatto che la validazione (salvo sia possibile settarla per impostazione del verificatore a una data diversa da quella presente) non è ancorata a un momento preciso e dimostrabile nel tempo, salvo alla stessa sia fornita data certa. Ancora, qual è la sorte dei certificati la cui validità viene estesa nel tempo attraverso un processo di marcatura temporale? È evidente che gli stessi non verranno accreditati dai verificatori, anche perché oltre ad avere un certificato ormai scaduto, presentano un deficit tecnologico rispetto ai certificati attualmente in uso.

Ancora, sussiste un problema nella verifica delle firme in relazione agli standard ETSI, con alcuni verificatori “nostrani” che riportano un avviso di errore per la firma validamente apposta in sede nazionale, che però non sarebbe conforme agli standard europei, peccato che poi il verificatore DSS riporti sui medesimi file esito “total passed” senza incertezze.

È chiaro che tutti questi problemi possono essere risolti con l’intervento di un tecnico, ma laddove la verifica di una firma digitale necessita una convalida da parte di un perito, il processo di firma informatica ha già fallito nel suo intento di semplificazione e dematerializzazione.

La firma digitale deve essere uno strumento fruibile senza incertezze di sorta da un cittadino, da un professionista, da un giudice, senza che ogni alert “sospetto” possa indurre a ritenere necessaria una verifica tecnica, che deve invece essere riservata ai casi davvero dubbi e non invece alle ambiguità generate da un flag derivante da qualche imperscrutabile non conformità a standard nemmeno rilevanti nel caso in esame.

La comunicazione agli utenti

Al di là di questi problemi tecnici, infatti, è proprio l’aridità linguistica di alcuni dei verificatori di firma disponibili online e offline a rendere più complicato districarsi fra i vari errori (alcuni innocui ed altri no) che possono accompagnare un formato di firma digitale. Alcuni verificatori ad esempio sono molto tecnici e mettono a disposizione un profluvio di informazioni in cui l’utente inesperto fatica a districarsi.

Altri verificatori invece cercano di rendere più facile il processo di verifica per l’utente e ricorrono ad esempio a rappresentazioni grafiche dell’esito del controllo, con “croci rosse” o “tick verdi” a segnalare un esito positivo o negativo. Il problema è capire quando una “croce rossa” sui vari singoli criteri sottoposti all’esame del verificatore, abbia importanza tale da comportare una “croce rossa” anche sull’esito generale della verifica nonché, comunque, capire come “spiegare” all’utente quanto questo segnale di errore abbia reale influenza sull’utilizzo della firma che allo stesso utente interessa.

Questi problemi, se non affrontati, sono destinati ad estendersi con la diffusione delle firme digitali tramite SPID, ovvero quando numerosi utenti “non professionali” si avvicineranno a questa tipologia di firma e dovranno testarne la validità, operazione che auspicabilmente dovrà essere effettuata senza possibili incertezze, anche terminologiche.

Ulteriore problema è quello che si incontra nel verificare la validità di una firma scaduta che, anche nel caso di datacertazione della stessa attraverso sistemi informatici, restituisce comunque una verifica di firma negativa, non essendo possibile, sulla stragrande maggioranza dei verificatori, “accoppiare” il file firmato con lo strumento di datacertazione così da ottenere una verifica positiva in quanto il file ha come unica “non conformità” la scadenza del certificato di firma, problematica però superata dalla marcatura temporale o dalla conservazione a norma.

Il punto sembra banale ma per un soggetto non avvezzo a questi strumenti (pensiamo ad esempio al caso in cui questo soggetto sia un giudice) quello della mancanza di un verificatore accreditato che si occupi di acclarare la validità di un file così firmato e conservato è un problema che si fa davvero sentire.

Infine, risulta problematica la verifica dei formati di firma dei gestori PEC, rilasciati in formato p7s e che vengono solitamente “controllati” solo online dai verificatori inseriti nei programmi webmail o nei software come Outlook e Thunderbird, con questi ultimi che però a volte non consentono nemmeno una visualizzazione completa delle stesse PEC.

Le possibili soluzioni

È quindi evidente l’esigenza di un verificatore affidabile e centrale a livello nazionale, che adotti un approccio user friendly, destinato a consentire all’utente non professionale di comprendere quando una firma è affidabile o meno, senza falsi allarmismi e superando così le divergenze fra i verificatori.

Essenziale a questo proposito, a parere di chi scrive, è distinguere fra un’ipotesi positiva “completa” in cui la firma è sicuramente valida, un’ipotesi positiva “incompleta” in cui la firma potrebbe essere valida con determinati distinguo (ad es. nel caso di firma scaduta o di firma rispettosa di standard non più in vigore o solo nazionali e non europei) e infine un’ipotesi negativa o indeterminata.

Lo strumento dovrebbe garantire sia un adeguato e dettagliato report tecnico, che un’adeguata trasposizione discorsiva, da disciplinare in formule standard a livello centrale per evitare le attuali divergenze fra i verificatori.

Lo stesso strumento dovrebbe consentire di giungere ad un esito “positivo” della verifica anche se il file che viene sottoposto al verificatore presenta una firma scaduta ma accorpa in sé o comunque dispone di uno strumento di validazione temporale (quantomeno nel caso della marcatura temporale). Lo stesso strumento, infine, dovrebbe essere in grado di verificare i formati di firma dei gestori PEC, secondo gli stessi criteri, così da evitare l’eccessiva parcellizzazione della verifica che oggi contraddistingue questo settore.