Come si verifica una firma elettronica? Una guida semplice ai validatori.

Una firma autografa Le chiede di fidarsi. Una firma elettronica Le permette di verificare. Tutta la differenza sta qui, ed è per questo che ogni firma elettronica seria porta con sé tutto ciò che serve a un estraneo per controllarla, senza dover chiedere al firmatario, al mittente o al fornitore che l’ha creata.

Mi serve un software a pagamento? No. Verificare una firma è gratuito. A costare è la firma, perché un prestatore di servizi fiduciari deve verificare le identità e rispondere dei propri certificati. La verifica si limita a leggere ciò che è già nel file.

Mi serve Adobe Acrobat? No. Il gratuito Adobe Acrobat Reader verifica le firme in modo affidabile ed è una possibilità fra tante. Un validatore web funziona in qualsiasi browser, su qualsiasi dispositivo, e molti spiegano ogni controllo con parole semplici.

Ha quindi tre strade, dalla più rapida alla più formale:

• Un validatore online. Carichi il PDF e legga il rapporto. Il nostro è la verifica della firma PDF gratuita: nessun account, e il file non viene conservato.
• Adobe Acrobat Reader. Apra il PDF e guardi il pannello Firme. Spieghiamo ogni passaggio in Verificare una firma in Adobe Reader.
• Un servizio di validazione qualificato. Quando Le serve un risultato che abbia a sua volta valore legale, per un tribunale o un’autorità, alcuni prestatori di servizi fiduciari offrono la validazione come servizio qualificato ai sensi di eIDAS.

Una firma si può verificare solo se porta con sé le proprie prove. Pensi a un sigillo di ceralacca su una lettera, con allegata una copia autenticata del documento d’identità del mittente e un timbro postale che ne attesta la data. Una firma elettronica moderna ha tutti e tre, in forma digitale:

1. 1
   Un’impronta del documento

   Il software di firma calcola innanzitutto un hash: un valore breve ricavato da ogni singolo byte del file. Basta cambiare una virgola e l’impronta cambia completamente.

2. 2
   Un sigillo su quell’impronta

   L’impronta viene poi sigillata con la chiave privata del firmatario, una chiave che controlla solo lui. Chiunque può aprire il sigillo con la chiave pubblica corrispondente, ma nessuno può falsificarlo senza quella privata.

3. 3
   Un certificato che identifica il firmatario

   La chiave pubblica viaggia dentro un certificato: una carta d’identità digitale rilasciata da un prestatore di servizi fiduciari dopo averne verificato l’identità. Il prestatore firma a sua volta il certificato, così lo si può ricondurre alla sua origine.

4. 4
   Una marca temporale da un orologio indipendente

   Un’autorità di marcatura temporale conferma quando la firma esisteva. Senza, l’ora proviene dal computer del firmatario, che chiunque può impostare su qualsiasi data.

5. 5
   La prova per il futuro

   Con la validazione a lungo termine (LTV), il file conserva anche i certificati e le risposte sulla revoca valide al momento della firma: così la firma resta verificabile anche quando quei certificati sono scaduti da tempo.

In un PDF tutto questo si trova all’interno del file stesso, secondo uno standard europeo aperto chiamato PAdES. Per questo qualsiasi validatore è in grado di leggerlo: non dipende dal software, e nemmeno dall’azienda, che ha creato la firma.

Un validatore è un programma che legge le prove contenute nel file e le mette alla prova una per una. Non si fida di ciò che il documento afferma di sé: ricalcola, ricostruisce e chiede. Nell’ordine in cui lavora un buon validatore:

1. 1
   Ricalcolare l’impronta

   Il validatore calcola di nuovo l’hash del documento e lo confronta con quello contenuto nella firma. Se coincidono, dalla firma non è cambiato nemmeno un bit.

2. 2
   Aprire il sigillo

   Con la chiave pubblica del certificato controlla che il sigillo sia stato davvero creato con la chiave privata corrispondente.

3. 3
   Seguire la catena dei certificati

   Risale dal certificato ai suoi emittenti fino a una radice di cui si fida, di solito una presente negli elenchi di fiducia dell’UE o nella AATL di Adobe.

4. 4
   Chiedere della revoca

   Domanda all’emittente se il certificato era stato revocato e confronta la risposta con il momento della firma.

5. 5
   Confermare l’ora

   Controlla la marca temporale, così la domanda «valida quando?» ha una risposta che non dipende dalla parola di nessuno.

6. 6
   Stabilire il livello

   In base al certificato e agli elenchi di fiducia Le dice se la firma è qualificata (QES), avanzata (AdES) o nessuna delle due.

Gli elenchi di fiducia dell’UE meritano una parola in più. Ogni Stato membro pubblica un elenco ufficiale e firmato dei prestatori di servizi fiduciari che vigila, e la Commissione europea li collega tutti in un unico elenco degli elenchi. Quando un validatore dice «qualificata», è lì che l’ha verificato: non nel materiale promozionale del fornitore, ma in un registro tenuto dalle autorità di vigilanza.

Un certificato può essere annullato prima della scadenza, un po’ come una carta bancaria di cui si denuncia lo smarrimento. Magari una chiave è stata compromessa, una persona ha lasciato l’azienda o i dati nel certificato erano sbagliati. L’emittente allora lo revoca, e da quel momento non dovrebbe più essere usato per firmare.

I validatori lo scoprono in uno di due modi:

• Una lista di revoca (CRL). L’emittente pubblica regolarmente un elenco firmato di tutti i certificati che ha revocato. Il validatore lo scarica e cerca il certificato in questione.
• Un’interrogazione in tempo reale (OCSP). Il validatore chiede direttamente all’emittente notizie su un singolo certificato e riceve una risposta firmata: valido, revocato o sconosciuto. Se è revocato, la risposta indica anche quando.

È quel «quando» a contare. Un certificato revocato dopo la firma non la annulla: il giorno della firma il certificato era in regola. Un certificato revocato prima è un’altra storia. Proprio per questo la marca temporale è così preziosa: senza un’ora affidabile, nessuno può dire da quale parte della revoca cada la firma.

La maggior parte dei validatori riassume le proprie verifiche in una di tre risposte. Ognuna dice qualcosa di preciso, e qualcosa che non dice:

Un limite vale per ogni validatore: verifica la firma, non l’affare. «Valida» Le dice chi ha firmato, che cosa e quando. Non Le dice se il contenuto è vero, né se il firmatario aveva il potere di impegnare la propria azienda. Questa parte resta a Lei, o al Suo avvocato.

Si è tentati di vedere la firma elettronica come la comoda copia di quella vera. Dal punto di vista tecnico è il contrario. Una firma a inchiostro dimostra sorprendentemente poco, e per dimostrare anche solo quel poco serve un perito.

Il diritto ne ha tratto le conseguenze. Ai sensi dell’articolo 25, paragrafo 2, del Regolamento eIDAS, una firma elettronica qualificata ha in ogni Stato membro dell’UE lo stesso effetto giuridico di una firma autografa. Nella pratica è la più forte delle due: più facile da verificare e molto più difficile da contestare.

Tutti i buoni validatori esaminano le stesse prove. Si distinguono per gli elenchi di fiducia che consultano, per come spiegano il risultato e per ciò che accade al Suo file:

• Verifica della firma PDF di swipesign: gratuita, senza account, il file viene elaborato in memoria e non conservato. Verifica sulla base degli elenchi di fiducia dell’UE e della AATL di Adobe, compresi revoca, marche temporali e livello di qualificazione, con un rapporto in linguaggio semplice.
• Verifica delle firme della RTR (Austria): l’autorità di vigilanza austriaca è tenuta per legge a offrire un servizio gratuito di validazione delle firme e dei sigilli qualificati. Una scelta naturale per documenti firmati con un certificato austriaco o con una firma ufficiale.
• Demo DSS della Commissione europea: basata sulla libreria di validazione open source della Commissione, con rapporti molto dettagliati. La Commissione la presenta come una dimostrazione a scopo di test, quindi eviti di caricare documenti riservati.
• Adobe Acrobat Reader: gratuito, offline, già installato su molti computer. Mostra il risultato nel pannello Firme, con i dettagli nelle proprietà di ciascuna firma.
• Swisscom Validator: per le firme secondo la legge svizzera sulla firma elettronica (ZertES), il posto giusto per verificarle.

Qualunque scelga, una verifica richiede meno di un minuto. Se un documento firmato Le sta a cuore, lo verifichi. La firma esiste proprio per questo.

Adobe, Acrobat e Reader sono marchi o marchi registrati di Adobe Inc. negli Stati Uniti e/o in altri paesi. swipesign non è affiliata ad Adobe né da essa approvata.