Sicurezza: la firma digitale e la legge

La firma digitale, nuova modalità di utilizzo delle tecniche di crittografia che, consentendo di raggiungere la completa sicurezza circa la provenienza di un determinato documento e la sua non ripudiabilità (cioè l'impossibilità di non riconoscerlo più come proprio una volta inviato), sono state riconosciute dal legislatore, come criterio valido per attribuire valore giuridico ai documenti gestiti attraverso il computer. Una volta reso operativo l'intero sistema, sarà quindi possibile, per esempio, farsi mandare un certificato dal Comune, senza bisogno di stamparlo su carta, con la sicurezza che sia proprio stato fatto e inviato dall'impiegato comunale che ha firmato digitalmente. Questo risultato si è raggiunto con una particolare applicazione della crittografia asimmetrica, quella cioè che usa una doppia chiave (una che viene resa pubblica, l'altra che rimane privata) per “chiudere" (cioè rendere illeggibile) e “aprire" (rendere cioè leggibile) un determinato documento elettronico: se chiuso con quella pubblica, può essere aperto solo da quella privata, e viceversa. In particolare quindi in questo sistema si parte dal presupposto tecnico che se si riesce ad aprire il testo con la chiave pubblica di Tizio, vuol dire che quel testo può essere stato chiuso solo dalla corrispondente chiave privata di Tizio, e quindi Tizio ne sarà anche stato l'autore. Di fondamentale importanza in un sistema così concepito è la sicurezza che si deve avere circa la corrispondenza tra chiave pubblica e titolare della stessa: si deve cioè essere certi che la chiave pubblica di Mario Rossi sia utilizzata effettivamente da Mario Rossi, e non da un altro soggetto che usa indebitamente il suo nome. Questa sicurezza si acquisisce attraverso l'intervento di un organismo esterno detto Certificatore, che rilascia concretamente certificati che attestano l'indicata corrispondenza. Individuato l’ultimo importante protagonista del sistema di firma digitale, utilizzato per dare valore giuridico al documento elettronico, vediamo ora come funzionerà in pratica l'intero meccanismo. Innanzitutto il soggetto deve predisporsi per l'utilizzo del sistema, e quindi dotarsi di una postazione operativa informatizzata (essenzialmente un computer collegato a Internet), oltre a munirsi dell'opportuno software per l'attività di firma. Questo, fornito (direttamente, oppure tramite il soggetto che erogherà un determinato servizio ai propri utenti) dallo stesso ente che successivamente svolgerà la fondamentale funzione di garantire l'associazione chiave-titolare, il cosiddetto certificatore, dovrà permettere la riduzione della coppia di chiavi, contenere la funzione di hash (funzione matematica che effettua una specie di riassunto di poche righe del testo, qualunque sia la sua lunghezza, rendendo più facile, sicura e veloce l'applicazione della chiave privata), consentire l'uso delle tecniche crittografiche, e quindi rendere possibile l'apposizione e la verifica delle firme digitali: probabilmente tali esigenze verranno soddisfatte da un sistema congiunto di software e smart card (tipo quelle della Sim dei cellulari), aggiungendo alla stazione operativa un lettore di carte elettroniche. Una volta creata la coppia di chiavi, l'utente dovrà renderne pubblica una attraverso la procedura di certificazione; tale procedura consiste nella richiesta presentata a uno dei soggetti che svolgono la funzione di certificatori delle chiavi pubbliche di attestare la corrispondenza chiave-titolare, di rilasciare quindi il relativo certificato (che dovrà essere allegato ogni volta in cui il soggetto appone la propria firma digitale), e di inserirlo insieme alla chiave pubblica dell'utente nell'elenco delle chiavi di sua gestione, elenco che sarà posto online a disposizione di chiunque voglia accertare la provenienza di un determinato documento elettronico firmato digitalmente. Terminata con questa operazione la fase preparatoria dell'uso del sistema di firma digitale, l'utente è pronto a sottoscrivere i propri documenti. Vediamo come.
Ipotizzando di voler inviare una determinata dichiarazione in forma elettronica a un altro soggetto e volendogli conferire la certezza di contenuto e provenienza, l'utente dovrà ricavare l'impronta della stessa, mediante la smart card, e quindi, sempre mediante questo dispositivo, applicare la propria chiave privata: ottenendo in questo modo la "generazione" della firma, cioè di quella determinata stringa che sarà il risultato dell'impronta di hash crittografata (con aggiunto il certificato), che potrà poi essere apposta in calce al testo oggetto del procedimento, oppure associata a questo. Chi riceverà il messaggio risultato dell'operazione di sottoscrizione elettronica procederà all'apertura e/o verifica dello stesso, mediante il proprio software per l'attività di firma. Agendo sul documento criptato, questo acquisirà dal certificato annesso al documento firmato la chiave pubblica del mittente e/o l'indirizzo del certificatore che lo ha emesso, nel caso abbia necessità di collegarsi alla risorsa telematica dello stesso (il suo sito Web su Internet, oppure il suo elaboratore attraverso una connessione diretta); a questo punto, applicando la chiave pubblica del mittente, "aprirà" la stringa della firma, ottenendo dunque l'impronta di hash; prenderà quindi il testo originario, calcolerà da quest'ultimo a sua volta l'impronta, e poi confronterà le due versioni: se coincidono sarà allora sicuro della provenienza e della genuinità del messaggio. E’ chiaro che quasi sicuramente la complessa procedura indicata verrà resa molto semplice per gli utenti dai software di firma digitale: anzi molto probabilmente tale requisito, la semplicità d'uso, sarà uno dei punti fondamentali per la riuscita dell'intero progetto (insieme, certamente, all'investimento in cultura delle nuove tecnologie). Così, una volta espletate le formalità iniziali relative alla procedura di certificazione, l'attività del soggetto che firma, come quella del soggetto che vuole verificare un documento "firmato", consisterà semplicemente nell'inserire la propria carta "intelligente" in un apposito lettore, che lavorerà poi insieme al software per la firma e ai programmi di videoscrittura o di gestione della posta per svolgere tutte le operazioni illustrate in precedenza.