Firma digitale

La firma digitale è un metodo matematico teso a dimostrare l'autenticità di un documento digitale autenticando l'autore di un documento. In Italia, è regolata dall'articolo 24 del Codice dell'amministrazione digitale.

Apposizione

Per firmare digitalmente un documento occorre convertire il file da un formato modificabile (quale può essere quello risultante dall’utilizzo di un programma di scrittura per computer quale Word) a uno non immediatamente modificabile (come ad esempio il formato Acrobat PDF/A).

Il documento informatico da firmare digitalmente, infatti, deve essere redatto o previamente convertito in un formato statico (es. pdf, studiato appositamente per l’archiviazione nel lungo periodo di documenti elettronici).

Ad esempio, i documenti nei formati più diffusi come .doc (Word), .xls (Excel), .odt, .ods (Open Office), non sono idonei per essere firmati digitalmente in quanto sono modificabili anche dopo la sottoscrizione (quindi anche con l’estensione .p7m).

Una volta redatto o convertito il documento in formato statico, bisogna aprire il software di firma digitale del certificatore, caricare il file interessato e cliccare sul pulsante “firma documento”. Nella finestra che si apre, verrà richiesto la password o il pin del dispositivo (smart card o pennetta USB) che contiene il certificato di firma digitale.

Per firmare digitalmente un documento, infatti, è necessario avere:

smart card o dispositivo USB con certificato digitale di sottoscrizione rilasciato da un certificatore accreditato;

lettore di smart card;

software di firma digitale, generalmente dato al momento dell’acquisto della firma digitale, oppure scaricabile gratuitamente da internet dal sito del certificatore.

Il sistema dà la possibilità di selezionare il tipo di file che si intende ottenere: a seguito dell’apposizione della firma, infatti, il file caricato si “trasformerà” in altro di estensione diversa. Più precisamente:

formato p7m, contenente il documento originale e i file della firma digitale;

pdf, disponibile solo per i file in formato pdf, consente di ottenere un file pdf con la firma digitale inclusa. La firma può essere invisibile o grafica, cioè visibile;

xml, che crea un file in formato p7m.

Storia

Nel 1976, Whitfield Diffie e Martin Hellman descrissero per primi la nozione di schema di firma digitale, sebbene solamente ipotizzassero l’esistenza di tali schemi. Di lì a poco, Ronald Rivest, Adi Shamir e Leonard Adleman inventarono l’algoritmo RSA, che poteva essere utilizzato per produrre firme digitali primitive. Il primo pacchetto software ad avere un’ampia diffusione commerciale fu Lotus Notes 1.0, pubblicato nel 1989, che sfruttava l’algoritmo RSA.

In seguito furono sviluppati altri schemi di firma digitale, prime fra tutte le firme di Lamport, le firme di Merkle (conosciute anche come "alberi di Merkle" o, più semplicemente, "alberi hash") e le firme di Rabin.

Nel 1988, Shafi Goldwasser, Silvio Micali, e Ronald Rivest, per primi definirono con rigore i requisiti di sicurezza degli schemi di firma digitale, descrivendo una gerarchia di modelli di attacco per tali schemi. Inoltre presentarono lo schema di firma GMR, il primo a dimostrarsi sicuro contro gli attacchi chosen-plaintext.

La diffusione della firma digitale in Europa

Nell’ambito del F.E.S.A. (Forum of European Supervisor Authority), il cui scopo è far incontrare rappresentanti dei vari organismi di vigilanza nazionali in Europa per l’armonizzazione dei principi e delle tecniche fondamentali che regolano la materia nei rispettivi Stati, si è proceduto alla verifica della diffusione della firma digitale. Da questa analisi, (eseguita nell’ottobre 2002) è emerso che l’Italia era, con 500.000 certificati lo Stato con la maggiore diffusione di certificati, seguita dalla Norvegia con 32.000, e dalla Germania (26.000).

Nel primo trimestre 2004 il numero dei dispositivi distribuiti in Italia per la firma digitale ha superato 1.250.000 unità.

La firma digitale generata in qualunque Stato membro della Comunità deve, sulla base dei trattati comunitari, essere riconosciuta dagli altri Stati. Al fine di rendere agevole tale mutuo riconoscimento è indispensabile che le norme nazionali di recepimento della Direttiva europea 1999/93/CE sulle firme elettroniche nei rispettivi Stati, forniscano un insieme comune di garanzie e certezze. Anche a tale fine diversi organismi fra cui l’EESSI, la Commissione sancita dall’articolo 9 della citata Direttiva europea, l’ETSI, il FESA, stanno lavorando per affinare la Direttiva stessa e realizzare nel contempo degli standard la cui applicazione consenta appunto di raggiungere un adeguato livello di fiducia in tutta la Comunità.

La diffusione della firma digitale in Europa e il suo utilizzo fra gli Stati è una sfida non da poco.

Basti pensare quanto è stato complicato raggiungere l’interoperabilità, perlomeno nel processo di verifica, in Italia, dove si aveva comunque il grande vantaggio derivante dal fatto che tutti i protagonisti (certificatori e titolari) dovevano sottostare alle medesime norme.