IL DOCUMENTO INFORMATICO IN ITALIA
Dal marzo 1997, l’Italia ha una legge che introduce per la prima volta il documento informatico: la legge 15 marzo 1997, n° 59 (legge "Bassanini").
Tale legge prevede un apposito Regolamento attuativo, che è stato emanato con Decreto del Presidente della Repubblica il 10 novembre 1997, n° 513.
L'articolo 2 del DPR 513/97 contiene la vera "rivoluzione informatica", dando validità legale ai documenti informatici e alle transazioni su essi basate:
Art.2 - Il documento informatico da chiunque formato, l'archiviazione su supporto informatico e la trasmissione con strumenti telematici, sono validi e rilevanti a tutti gli effetti di legge se conformi alle disposizioni del presente regolamento.
Il regolamento stabilisce poi le norme generali per la validità
della firma digitale.
L’articolo 3 a sua volta prevede un allegato tecnico per definire le norme e gli standard da usare, definito a cura dell’AIPA (Autorità per l’Informatica nella Pubblica Amministrazione – sito Web: www.aipa.it).
Tale allegato è stato emesso l' 8/2/1999 sotto forma di Decreto del Presidente del Consiglio dei Ministri.
IL DPR 513/97: definizioni (articolo 1)
documento informatico: la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti.
firma digitale: il risultato della procedura informatica (validazione) basata su un sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che consente al sottoscrittore tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici.
sistema di validazione: il sistema informatico e crittografico in grado di generare ed apporre la firma digitale o di verificarne la validità.
chiavi asimmetriche: la coppia di chiavi ...
chiave privata: l'elemento della coppia di chiavi ...
chiave pubblica: l'elemento della coppia di chiavi ...
certificazione: il risultato della procedura informatica, applicata alla chiave pubblica e rilevabile dai sistemi di validazione, mediante la quale si garantisce la corrispondenza biunivoca tra chiave pubblica e soggetto titolare cui essa appartiene, si identifica quest'ultimo e si attesta il periodo di validità della predetta chiave ed il termine di scadenza del relativo certificato, in ogni caso non superiore a tre anni
IL DPR 513/97: definizioni (articolo 1) (II)
certificatore: il soggetto pubblico o privato che effettua la certificazione, rilascia il certificato della chiave pubblica, lo pubblica unitamente a quest'ultima, pubblica ed aggiorna gli elenchi dei certificati sospesi e revocati
revoca del certificato: l'operazione con cui il certificatore annulla la validità del certificato da un dato momento, non retroattivo, in poi
sospensione del certificato: l'operazione con cui il certificatore sospende la validità del certificato per un determinato periodo di tempo
validità del certificato: l'efficacia, e l'opponibilità al titolare della chiave pubblica, dei dati in esso contenuti
validazione temporale: il risultato della procedura informatica, con cui si attribuiscono, ad uno o più documenti informatici, una data ed un orario opponibili ai terzi
indirizzo elettronico: l'identificatore di una risorsa fisica o logica in grado di ricevere e registrare documenti informatici
IL DPR 513/97: articoli principali
Art.4
Il documento informatico munito dei requisiti previsti dal presente regolamento soddisfa il requisito legale della forma scritta.
Art. 5
1. Il documento informatico, sottoscritto con firma digitale
(...) ha efficacia di scrittura privata ai sensi
dell'articolo 2702 del codice civile
2. Il documento informatico (...) ha l’efficacia probatoria prevista dall'articolo 2712 del codice civile e soddisfa l’obbligo previsto dagli articoli 2214 e seguenti del codice civile e da ogni altra analoga disposizione.
Art. 6
1. I duplicati, le copie, gli estratti del documento
informatico, anche se riprodotti su diversi tipi di supporto,
sono validi e rilevanti a tutti gli effetti di legge se
conformi alle disposizioni del presente regolamento.
2. I documenti informatici contenenti copia o riproduzione di atti pubblici, scritture private e documenti in genere, compresi gli atti e documenti amministrativi di ogni tipo, spediti o rilasciati dai depositari pubblici autorizzati e dai pubblici ufficiali, hanno piena efficacia, ai sensi degli articoli 2714 e 2715 del codice civile, se ad essi è apposta o associata la firma digitale di colui che li spedisce o rilascia, secondo le disposizioni del presente regolamento.
IL DPR 513/97: articoli principali (II)
Art. 6 (segue)
3. Le copie su supporto informatico di documenti, formati
in origine su supporto cartaceo o, comunque, non
informatico, sostituiscono, ad ogni effetto di legge, gli
originali da cui sono tratte se la loro conformità
all'originale è autenticata da un notaio o da altro pubblico
ufficiale a ciò autorizzato, con dichiarazione allegata al
documento informatico e asseverata con le modalità indicate dal
decreto di cui al comma 1 dell'articolo 3.
4. La spedizione o il rilascio di copie di atti e documenti di cui al comma 2 esonera dalla produzione e dalla esibizione dell'originale formato su supporto cartaceo quando richieste ad ogni effetto di legge.
5. Gli obblighi di conservazione e di esibizione di documenti previsti dalla legislazione vigente si intendono soddisfatti a tutti gli effetti di legge a mezzo di documenti informatici, se le procedure utilizzate sono conformi alle regole tecniche dettate dall'articolo 3.
Art. 7
1. Il titolare della coppia di chiavi asimmetriche può
ottenere il deposito in forma segreta della chiave privata
presso un notaio o altro pubblico depositario autorizzato.
IL DPR 513/97: articoli principali (III)
Art. 8
1. Chiunque intenda utilizzare un sistema di chiavi
asimmetriche di cifratura (...) deve munirsi di una idonea coppia
di chiavi e rendere pubblica una di esse mediante la procedura
di certificazione.
2. Le chiavi pubbliche di cifratura sono custodite per un periodo non inferiore a dieci anni a cura del certificatore e, dal momento iniziale della loro validità, sono consultabili in forma telematica.
3. Salvo quanto previsto dall'articolo 17, le attività di certificazione sono effettuate da certificatori inclusi in apposito elenco pubblico consultabile in via telematica, predisposto tenuto e aggiornato a cura dell’AIPA e dotati dei seguenti requisiti (...)
4. La procedura di certificazione di cui al comma 1 può essere svolta anche da un certificatore operante sulla base di licenza o autorizzazione rilasciata da altro Stato membro dell'Unione europea o dello Spazio economico europeo, sulla base di equivalenti requisiti.
Art. 10
1. A ciascun documento informatico, o a un gruppo di
documenti informatici, nonché al duplicato o copia di essi, può
essere apposta, o associata con separata evidenza informatica,
una firma digitale.
2. L'apposizione o l'associazione della firma digitale al documento informatico equivale alla sottoscrizione prevista per gli atti e documenti in forma scritta su supporto cartaceo. (...)
IL DPR 513/97: articoli principali (IV)
Art. 10 (segue)
4. Per la generazione della firma digitale deve usarsi una chiave
privata la cui corrispondente chiave pubblica non risulti
scaduta di validità ovvero non risulti revocata o sospesa
ad opera del soggetto pubblico o privato che l'ha certificata.
(...)
6. L’apposizione di firma digitale integra e sostituisce, ad ogni fine previsto dalla normativa vigente, l’apposizione di sigilli, punzoni, timbri, contrassegni e marchi di qualsiasi genere.
7. Attraverso la firma digitale devono potersi rilevare, nei modi e con le tecniche definiti con il decreto di cui all'articolo 3, gli elementi identificativi del soggetto titolare della firma, del soggetto che l'ha certificata e del registro su cui essa è pubblicata per la consultazione.
Art. 11
1. I contratti stipulati con strumenti informatici o per
via telematica mediante l'uso della firma digitale secondo le
disposizioni del presente regolamento sono validi e rilevanti
a tutti gli effetti di legge. (...)
Art. 12
1. Il documento informatico trasmesso per via telematica si intende inviato e pervenuto al destinatario se trasmesso all'indirizzo elettronico da lui dichiarato.
2. La data e l’ora di formazione, di trasmissione o di ricezione di un documento informatico (...) sono opponibili a terzi.
IL DPR 513/97: articoli principali (V)
Art. 12 (segue)
3. La trasmissione del documento informatico per via telematica, con modalità che assicurino l'avvenuta consegna, equivale alla notificazione per mezzo della posta nei casi consentiti dalla legge.
Art. 13
1. Gli addetti alle operazioni di trasmissione per via
telematica di atti, dati e documenti formati con strumenti
informatici non possono prendere cognizione della
corrispondenza telematica, duplicare con qualsiasi mezzo o cedere
a terzi a qualsiasi titolo informazioni anche in forma sintetica
o per estratto sull'esistenza o sul contenuto di
corrispondenza, comunicazioni o messaggi trasmessi per via
telematica, salvo che si tratti di informazioni per loro natura o
per espressa indicazione del mittente destinate ad essere rese
pubbliche.
(...)
Art. 14
1. Il trasferimento elettronico dei pagamenti tra
privati, pubbliche amministrazioni e tra queste e soggetti
privati è effettuato secondo le regole tecniche definite col
decreto di cui all'articolo 3.
Art.15
1. I libri, i repertori e le scritture di cui sia
obbligatoria la tenuta possono essere formati e conservati su
supporti informatici in conformità alle disposizioni del
presente regolamento (...)
IL DPR 513/97: articoli principali (VI)
Art.16
1. Si ha per riconosciuta, ai sensi dell'articolo 2703 del codice civile, la firma digitale, la cui apposizione è autenticata dal notaio o da altro pubblico ufficiale autorizzato.
2. L'autenticazione della firma digitale consiste nell'attestazione, da parte del pubblico ufficiale, che la firma digitale è stata apposta in sua presenza dal titolare, previo accertamento della sua identità personale, della validità della chiave utilizzata (...)
4. Se al documento informatico autenticato deve essere allegato altro documento formato in originale su altro tipo di supporto, il pubblico ufficiale può allegare copia informatica autenticata dell'originale, secondo le disposizioni dell'articolo 6.
5. (...) si considera apposta in presenza del dipendente addetto la firma digitale inserita nel documento informatico presentato o depositato presso pubbliche amministrazioni.
6. La presentazione o il deposito di un documento per via telematica o su supporto informatico ad una pubblica amministrazione sono validi a tutti gli effetti di legge se vi sono apposte la firma digitale e la validazione temporale a norma del presente regolamento.
IL DPR 513/97: articoli principali (VII)
Art. 17
1. Le pubbliche amministrazioni provvedono autonomamente,
con riferimento al proprio ordinamento, alla generazione,
alla conservazione, alla certificazione ed all'utilizzo
delle chiavi pubbliche di competenza. (...)
3. Le chiavi pubbliche dei pubblici ufficiali non appartenenti alla pubblica amministrazione sono certificate e pubblicate autonomamente, in conformità alle leggi e ai regolamenti che definiscono l'uso delle firme autografe nell'ambito dei rispettivi ordinamenti giuridici.
4. Le chiavi pubbliche di Ordini ed Albi professionali legalmente riconosciuti e dei loro legali rappresentanti sono certificate e pubblicate a cura del Ministro di Grazia e Giustizia o suoi delegati.
Art. 18
1. Gli atti formati con strumenti informatici, i dati e i
documenti informatici delle pubbliche amministrazioni, costituiscono
informazione primaria ed originale da cui è possibile
effettuare, su diversi tipi di supporto, riproduzioni e copie per
gli usi consentiti dalla legge. (...)
Art. 19
1. In tutti i documenti informatici delle pubbliche
amministrazioni la firma autografa, o la sottoscrizione
comunque prevista, è sostituita dalla firma digitale, in
conformità alle norme del presente regolamento.
2. L’uso della firma digitale integra e sostituisce ad ogni fine di legge la apposizione di sigilli, punzoni, timbri, contrassegni e marchi comunque previsti.
IL DPR 513/97: articoli principali (VIII)
Art. 20
1. Entro il 31 marzo 1998 le pubbliche amministrazioni
adottano un piano di sviluppo dei sistemi informativi automatizzati
(...)
2. Le pubbliche amministrazioni provvedono, entro 5 anni, a partire dal 1° gennaio 1998, a realizzare o revisionare sistemi informativi finalizzati alla totale automazione delle fasi di produzione, gestione, diffusione ed utilizzazione dei propri dati, documenti, ed atti (...)
3. Entro il 31 dicembre 1998, le pubbliche amministrazioni valutano in termini di rapporto tra costi e benefici il recupero su supporto informatico dei documenti e degli atti cartacei dei quali sia opportuna o obbligatoria la conservazione e provvedono alla predisposizione dei conseguenti piani di sostituzione degli archivi cartacei con archivi informatici.
Art. 21
1. Entro il 31 dicembre 1998 le pubbliche amministrazioni
dispongono per la tenuta del protocollo amministrativo e
per la gestione dei documenti con procedura informatica al
fine di consentire il reperimento immediato, la disponibilità
degli atti archiviati e l'accesso ai documenti
amministrativi per via telematica (...)
Art. 22
1. Entro il 31 dicembre 1998 le pubbliche amministrazioni
provvedono a definire e a rendere disponibili per via
telematica moduli e formulari elettronici validi ad ogni effetto
di legge per l'interscambio dei dati nell'ambito della rete
unitaria e con i soggetti privati.
LE REGOLE TECNICHE: D.P.C.M. 8/2/1999
Il Decreto del Presidente del Consiglio dei Ministri dell'8/2/1999 definisce le regole tecniche.
Si tratta di un regolamento corposo (oltre 60 articoli).
Esso aggiunge due precisazioni importanti:
gli algoritmi adottati
1) Algoritmi di generazione e verifica delle firme digitali
2) Algoritmi di hash
La generazione dell’impronta si effettua impiegando una delle seguenti funzioni di hash( ISO/IEC 10118-3:1998):
ITSEC livello E3 e robustezza dei meccanismi HIGH (per la generazione chiavi e firme)
ITSEC livello E2 e robustezza
dei meccanismi HIGH
(per la verifica chiavi e firme)
LE CHIAVI
caratteristiche generali
Lunghezza minima delle chiavi: 1024 bit
Le chiavi ed i correlati servizi si distinguono in:
Non è consentito l’uso di una chiave per funzioni diverse da quelle previste dalla sua tipologia.
generazione delle chiavi
La generazione delle chiavi di certificazione e marcatura temporale può essere effettuata esclusivamente dal responsabile del servizio che utilizzerà le chiavi.
Le chiavi di sottoscrizione possono essere generate dal titolare o dal certificatore.
conservazione delle chiavi
Le chiavi private sono conservate e custodite all’interno di un dispositivo di firma.
È vietata la duplicazione della chiave privata o dei dispositivi che la contengono.
doveri del titolare
Il titolare delle chiavi deve:
firme digitali
Alla firma digitale deve essere allegato il certificato corrispondente alla chiave pubblica da utilizzare per la verifica.
Gli strumenti e le procedure utilizzate (...) devono presentare al sottoscrittore, chiaramente e senza ambiguità, i dati a cui la firma si riferisce e richiedere conferma della volontà di generare la firma.
Ciò non si applica alle firme apposte con procedura automatica, purché l’attivazione della procedura sia chiaramente riconducibile alla volontà del sottoscrittore.
La generazione della firma deve avvenire all’interno di un dispositivo di firma così che non sia possibile l’intercettazione del valore della chiave privata utilizzata.
Prima di procedere alla generazione della firma, il dispositivo di firma deve procedere all’identificazione del titolare.
certificati
I certificati e le liste di revoca devono essere conformi alla norma ISO/IEC 9594-8:1995 con le estensioni definite nella Variante 1, ovvero alla specifica pubblica PKCS#6 e PKCS#9.
I certificati devono contenere almeno:
Dal certificato deve potersi desumere in modo inequivocabile la tipologia delle chiavi.
I certificati relativi a una coppia di chiavi di sottoscrizione possono indicare anche:
I certificati di una coppia di chiavi di certificazione devono indicare anche l’uso delle chiavi per la certificazione.
I certificati relativi a una coppia di chiavi di marcatura temporale devono indicare anche:
regole per la certificazione delle chiavi
Al vertice della struttura di certificazione c’è l’AIPA.
Per ciascuna coppia di chiavi dell’AIPA, la Gazzetta Ufficiale pubblica uno o più codici identificativi idonei alla verifica del valore della chiave pubblica.
L’AIPA mantiene un elenco pubblico dei certificatori, sottoscritto dall’AIPA stessa
| N. | Elenco certificatori autorizzati al 13/01/2002 |
| 1) | SIA (Soc. Interbancaria per l'Automazione) S.p.A. |
| 2) | S.S.B. S.p.A. |
| 3) | BNL Multiservizi S.p.A. |
| 4) | Infocamere (Soc. Consortile Informatica delle Camere di Commercio) S.p.A. |
| 5) | FinItal (Finanziaria Italiana) S.p.A. |
| 6) | Saritel S.p.A. |
| 7) | PosteCom S.p.A. |
| 8) | Seceti S.p.A. |
| 9) | Centro Tecnico per la RUPA |
| 10) | In.Te.S.A S.p.A. |
| 11) | ENEL.IT S.p.A. |
| 12) | Trust Italia S.p.A. |
| 13) | Cedacrinord S.p.A. |
I certificatori possono definire accordi di certificazione fra loro (un certificatore emette a favore dell’altro un certificato relativo a ciascuna chiave di certificazione che viene riconosciuta nel proprio ambito).
registrazione dei titolari
Per ottenere la certificazione di una chiave pubblica, il titolare deve prima essere registrato dal certificatore.
La richiesta di registrazione deve essere redatta per iscritto e conservata dal certificatore per almeno 10 anni.
Al momento della registrazione il certificatore deve verificare l’identità del richiedente.
Il certificatore deve informare il richiedente:
Il certificatore deve attribuire a ciascun titolare registrato un codice identificativo di cui garantisce l’univocità nell’ambito dei propri utenti.
Al medesimo soggetto sono attribuiti codici identificativi distinti per ciascuno dei ruoli per i quali egli può firmare.
comunicazione fra certificatore e titolari
Il certificatore può fornire al titolare gli strumenti per realizzare un sistema di comunicazione sicuro che consenta (...) di effettuare per via telematica:
In assenza del sistema di comunicazione sicuro tali operazioni devono essere effettuate presso il certificatore.
generazione e pubblicazione dei certificati
Il certificato emesso dev’essere pubblicato nel registro dei certificati gestito dal certificatore.
Il momento della pubblicazione deve essere attestato mediante generazione di una marca temporale, da conservare fino alla scadenza della validità della chiavi.
Il certificato emesso e la relativa marca temporale devono essere inviati al titolare.
Per ciascun certificato emesso, il certificatore deve fornire al titolare un codice riservato, da utilizzare in caso di emergenza per l’autenticazione della eventuale richiesta di revoca del certificato.
revoca o sospensione dei certificati
Un certificato può essere revocato o sospeso su richiesta del titolare, del certificatore o di un terzo interessato (art. 9 DPR 513/97). La revoca è definitiva.
La revoca / sospensione si attua inserendo il certificato in una lista di certificati revocati (CRL) o, rispettivamente, di certificati sospesi (CSL) gestite dal certificatore.
sostituzione delle chiavi di certificazione
Almeno 90 giorni prima della scadenza del certificato relativo ad una chiave di certificazione, il certificatore deve avviare la procedura di sostituzione, generando una nuova coppia di chiavi.
Il certificatore deve inoltre generare:
I certificati sopra generati devono essere forniti all’AIPA, la quale provvede all’aggiornamento della lista dei certificati delle chiavi di certificazione ed al suo inoltro ai certificatori per la pubblicazione.
Per quanto attiene alla coppia di chiavi usate dall’AIPA per la sottoscrizione dell’elenco pubblico dei certificatori, l’AIPA provvede alla generazione e certificazione di una nuova coppia di chiavi almeno 90 giorni prima della scadenza.
Copia degli elementi contenuti nell’elenco pubblico dei certificatori viene sottoscritta con la nuova coppia di chiavi. La lista dei certificati delle chiavi di certificazione viene quindi inoltrata ai certificatori per la pubblicazione.
I certificati relativi alle chiavi dell’AIPA possono essere revocati solo in caso compromissione della chiave segreta o di guasto del dispositivo di firma.
In tal caso l’AIPA richiede a ciascun certificatore la revoca immediata del certificato ad essa rilasciato e provvede alla sostituzione della chiave.
il registro dei certificati
Nel registro dei certificati devono essere presenti:
Il certificatore può suddividere le liste dei certificati revocati e sospesi in più liste distinte. Può anche replicare il registro dei certificati su più siti, purché sia garantita la consistenza e l’integrità delle copie.
Il certificatore deve mantenere una copia di riferimento del registro dei certificati inaccessibile dall’esterno, allocata su un sistema sicuro istallato in locali protetti.
Il certificatore deve sistematicamente verificare la conformità tra la copia operativa e la copia di riferimento del registro dei certificati: qualsiasi discordanza deve essere immediatamente segnalata.
L’effettuazione delle operazioni che modificano il contenuto del registro dei certificati deve essere possibile solo per il personale espressamente autorizzato.
Almeno una copia di sicurezza della copia operativa e di quella di riferimento del registro dei certificati deve essere conservata in armadi di sicurezza distinti, situati in locali diversi.
requisiti di sicurezza
Il sistema operativo dei sistemi usati nelle attività di certificazione per la generazione delle chiavi, la generazione dei certificati e la gestione del registro dei certificati, deve essere conforme almeno alle specifiche della classe ITSEC F-C2/E2 o a quella C2 delle norme TCSEC.
Ciò non si applica al s.o. dei dispositivi di firma.
La generazione dei certificati deve avvenire su un sistema utilizzato esclusivamente per tale funzione, situato in locali adeguatamente protetti.
L’entrata e l’uscita dai locali protetti deve essere registrata sul giornale di controllo.
L’accesso ai sistemi di elaborazione deve essere consentito, limitatamente alle funzioni assegnate, esclusivamente al personale autorizzato, identificato attraverso un’opportuna procedura di riconoscimento da parte del sistema al momento di apertura di ciascuna sessione.
Il personale responsabile del certificatore è suddiviso per funzioni in 2 gruppi, incompatibili uno con l’altro:
Il personale responsabile deve avere una esperienza almeno quinquennale nella analisi, progettazione e conduzione di sistemi informatici.
Per ogni modifica al sistema di certificazione deve essere previsto un apposito corso di aggiornamento per il personale responsabile.
altre caratteristiche di sicurezza
validazione temporale dei documenti
Una evidenza informatica è sottoposta a validazione temporale con la generazione di una marca temporale che le si applichi.
Le marche temporali sono generate da un apposito sistema elettronico sicuro in grado di:
Una marca temporale deve contenere almeno:
La marca temporale può inoltre contenere un identificatore dell’oggetto a cui appartiene l’impronta.
La data e l’ora contenute nella marca sono specificate con riferimento al Tempo Universale Coordinato UTC.
L’ora assegnata ad una marca temporale deve corrispondere, con una differenza non superiore ad un minuto (...), al momento della sua generazione.
chiavi di validazione temporale
Ogni coppia di chiavi utilizzata per la validazione temporale deve essere univocamente associata ad un sistema di validazione temporale.
Al fine di limitare il numero di marche temporali generate con la medesima coppia di chiavi, le chiavi di marcatura temporale devono essere sostituite dopo non più di un mese di utilizzazione, indipendentemente dalla durata del loro periodo di validità e senza revocare il corrispondente certificato.
Per la sottoscrizione dei certificati relativi a chiavi di marcatura temporale devono essere utilizzate chiavi di certificazione diverse da quelle utilizzate per i certificati relativi alle normali chiavi di sottoscrizione.
Sicurezza:
validità del documento informatico
Al solo fine di assicurare l’associazione tra documento informatico e le relative marche temporali, il certificatore può conservare, dietro richiesta del soggetto interessato, copia del documento informatico cui la marca temporale si riferisce.
Estensione di validità:
regole per le pubbliche amministrazioni
norma transitoria