Distinzione tra i diversi tipi di firme e contrassegni elettronici, Dispense di Diritto

Scarica Distinzione tra i diversi tipi di firme e contrassegni elettronici e più Dispense in PDF di Diritto solo su Docsity!

Scienze della comunicazione

a.a. 2016-

LA FIRMA DIGITALE

Tesina del corso di:

“ Fondamenti di diritto della

comunicazione elettronica ”

a cura di:

MATTEO CHILANTE

Indice

1. Prime apparizioni in Europa e in Italia

1.1 - A livello europeo 1.2 - A livello italiano

2. Distinzione tra i diversi tipi di contrassegni e firme elettroniche

2.1 - Timbro digitale 2.2 - Firma elettronica qualificata 2.3 - Firma digitale 2.4 - Firma elettronica avanzata Come autenticare una firma elettronica?

3. Validità di firme e documenti elettronici

3.1 Dove è obbligatorio il loro utilizzo

4. Primo caso di frode in Italia

4.1 - La vicenda 4.2 - Le “colpe” 4.3 - Le accuse

5. Il “controverso” caso di Phil Zimmermann

l’intento di creare norme uniformi tramite lo studio e la formulazione di politiche sociali ed economiche. Essa fu determinante anche in tema di firma digitale.

1.2 - A livello italiano

In Italia la prima disposizione dell’ordinamento che si riferì alla firma digitale fu l’art. 15, comma 2, della cd. 7 Bassanini-Uno^8 (legge 59/1997) con cui venne introdotto il concetto di “contratti stipulati informaticamente” e disponeva che “Gli atti, dati e documenti formati dalla pubblica amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi e rilevanti a tutti gli effetti di legge […]”. Organizzazione particolarmente importante, nata nel 1993 9 e soppressa nel 2002, fu l’AIPA 10 che nel 1996 rese online sul proprio sito web una prima bozza di questa disciplina: “Atti e documenti in forma elettronica”. Il progetto subì principalmente due critiche: la prima critica fu mossa da parte del CERT-IT 11 , il quale accusò che non fosse mantenuta la privacy^12 ; la seconda critica fu mossa da alcuni forum sulla base dell’eccessiva burocratizzazione per la certificazione delle chiavi e per ammettere un computer in rete. L’AIPA accolse le critiche e pubblicò una seconda bozza. Sullo schema di quest’ultima, una commissione incaricata e coadiuvata dall’intervento dei cittadini, che poterono partecipare direttamente alla redazione del testo tramite Internet 13 , fu impostato il d.p.r.^14 513/1997 15 che, a sua volta, fu inglobato nel d.p.r. 445/2000 16 (testo unico sulla documentazione amministrativa). Un’ulteriore modifica fu introdotta dal D. lgs. 10/2002 17 che mise in vigore la Direttiva europea 1999/93. Con l’entrata in vigore del d. lgs. 82/2005 (CAD-Decreto Legislativo 7 marzo 2005, n. 82^18 ) e del d. lgs. 235/2010 19 diventano operative le modifiche e le integrazioni predisposte dal Ministero per la Pubblica Amministrazione e l’Innovazione 20. Il CAD (Codice dell’Amministrazione Digitale) era ispirato da due obiettivi: 1-Essere un codice adeguato al velocissimo sviluppo tecnologico 2-Dare maggiore importanza a disposizioni fino a quel momento non osservate. Un ulteriore obiettivo del Codice dell’Amministrazione Digitale fu quello di regolare i rapporti sia tra i pubblici che tra i privati. (^7) Cosiddetta (^8) In Gazzetta Ufficiale n. 63 del 17 marzo 1997 (^9) Istituita con d. lgs. n. 39/ (^10) Autorità per l’Informatica nella Pubblica Amministrazione (^11) Computer Emergency Response - Team italiano (^12) Questo sistema si basava sul key escrow : “è un sistema di cifratura con capacità di decifratura che permette a persone autorizzate ( utenti, funzionari di una organizzazione, e funzionari del governo), sotto certe condizioni prestabilite di decifrare testi cifrati con l'aiuto di informazioni fornite da uno o più parti fidate che mantengono speciali chiavi di recupero dei dati ” [http://www.di.unisa.it/~ads/corso-security/www/CORSO-9900/keyescrow/index.htm] (^13) Esempio della cosiddetta “democrazia informatica” (^14) d.p.r.: decreto del presidente della Repubblica (^15) In G. U. 13 marzo 1998, n. 60) (^16) Nell’articolo 1 venne ridefinito il documento informatico come: “la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti” (http://www.parlamento.it/parlam/leggi/deleghe/00443dla.htm). In GU. 20 febbraio 2001 n. 42 (^17) In G.U. 15 febbraio 2002, n. 39 (^18) http://archivio.digitpa.gov.it/amministrazione-digitale/CAD-testo-vigente Entrato in vigore il primo gennaio del 2006 (^19) In G.U. 10 gennaio 2011, n. 6 (^20) Elena Bassoli, Fondamenti di Diritto della Comunicazione Elettronica, Amon, 2014, p.1 80

2. Distinzione tra i diversi tipi di contrassegni e firme elettroniche Il concetto di firma elettronica è molto ampio ma può essere riassunto nella seguente definizione: “tutte le tecniche utilizzate per identificare una persona in un ambiente elettronico” 21. Per firma elettronica, ai sensi dell’art. 1 co. 1 q), del Codice dell’Amministrazione Digitale si intende: “firma elettronica: l'insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di autenticazione informatica” modificato dal D. Lgs. 159/2006^22 con la seguente variazione: “la parola: «autenticazione» e' sostituita dalla seguente: «identificazione»”. Si possono distinguere vari tipi di firma e contrassegni in formato elettronico, cercherò di trattarli mettendo in evidenza le loro funzioni principali e peculiarità.

2.1 - Timbro digitale

Il timbro digitale è un particolare tipo di contrassegno generato elettronicamente e apposto in fase di stampa che consente la verifica automatica della conformità del documento digitale a quello analogico^23. Sul Timbro Digitale il CNIPA 24 effettuò uno specifico studio, ma “per il suo utilizzo sarà comunque necessario attendere l’emanazione di apposite regole stabilite ai sensi dell’art. 71 del CAD 25 ”. Il timbro digitale si basa, fondamentalmente, su un sistema di codifica/decodifica open source dei dati documentali digitali denominato PDF 417 26. Dal punto di vista grafico il timbro digitale è un codice grafico a barre bidimensionali. Il suo scopo è quello di poter permettere la verifica dell’autenticità e l’integrità del documento, su cui è stato apposto, a una terza parte. Infatti tramite un dispositivo che permetta la scansione e un apposito software è possibile riprodurre il documento cartaceo su un computer e controllare che esso non sia stato modificato. (^21) Elena Bassoli, Fondamenti di Diritto della Comunicazione Elettronica, Amon, 2014, p.18 4 (^22) In G.U. n.99 del 29 aprile 2006 (^23) Elena Bassoli, Fondamenti di Diritto della Comunicazione Elettronica, Amon, 2014, p.1 84 (^24) Centro Nazionale per l'Informatica nella Pubblica Amministrazione (^25) Elena Bassoli, Fondamenti di Diritto della Comunicazione Elettronica, Amon, 2014, p.184, nota n. 65 (^26) Portable Data File, in cui vi sono 17 moduli contenenti ciascuno 4 barre e spazi. Un codice PDF 417 può contenere fino a 2500 caratteri, permettendo inoltre anche la codifica di dati binari e quindi di foto. Esempio di documento con timbro digitale

privata per apporre la firma, ed essa viene verificata all’unanimità con la sua chiave pubblica. La firma digitale è riferita univocamente ad un solo soggetto e al documento a cui essa viene associata.

2.4 - Firma elettronica avanzata

La firma elettronica avanzata è ad oggi definita nel seguente modo: «q-bis)^36 firma elettronica avanzata: insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l'identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario puo' conservare un controllo esclusivo,collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati;». Semplificando con firma elettronica avanzata s’intende un insieme di dati (ad esempio i dati che identificano l’impronta digitale 37 ), che sfruttando diverse soluzioni tecnologiche permettono di identificare univocamente il firmatario. La firma elettronica avanzata, come la firma digitale e le firme elettroniche qualificate , ha lo stesso valore probatorio delle scritture private 38. La firma elettronica avanzata non può essere utilizzata per atti su beni immobili 39 , ma per questi atti può essere utilizzata solo la firma elettronica qualificata o la firma digitale 40. Con le modifiche all’art. 21 del CAD le tre firme vengono messe sullo stesso piano relativamente al loro valore giuridico, solo per le scritture private che “Devono farsi per atto pubblico o per scrittura privata, sotto pena di nullità”^41 è necessario ricorrere alla firma elettronica qualificata o alla firma digitale. (^36) Lettera integrata dalla lettera e) del comma 1 dell’art. 1, D Lgs. 30 dicembre 2010 (^37) L’impronta digitale (fingerprint) ed il suo riconoscimento, nell’ambito delle tecnologie biometriche, è il sistema che si è più diffuso; perché essa è: Immutabile (configurazione e dettagli sono permanenti) e Unica (non esistono due impronte simili) (^38) Art. 2702 codice civile (^39) Art. 1350 codice civile, nn. 1- (^40) Art. 21 comma 2-bis, CAD (^41) Art. 1350, co.1, numeri 1-12, c.c. Esempio di smart card acquistabili su Aruba Esempio di lettore biometrico

Come autenticare una firma elettronica?

“Si ha per riconosciuta, ai sensi dell'articolo 2703 del codice civile, la firma elettronica o qualsiasi altro tipo di firma elettronica avanzata autenticata dal notaio o da altro pubblico ufficiale a ciò autorizzato.”^42 L’articolo 25 prosegue definendo l’autenticazione. Una firma per poter essere autenticata ci deve essere un pubblico ufficiale che attesti: che è stata messa in sua presenza da parte del titolare, che vi sia stato un accertamento della sua identità e della validità del certificato elettronico e che il documento che viene sottoscritto non sia contro l’ordinamento giuridico.

3. Validità di firme e documenti elettronici L’articolo 21 del CAD, al comma 1, riferisce che “Il documento informatico, cui è apposta una firma elettronica, sul piano probatorio è liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità, sicurezza, integrità e immodificabilità”, mentre al comma 2 viene scritto che un documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale ha l'efficacia prevista dall'articolo 2702 del codice civile, aggiungendo che “L'utilizzo del dispositivo di firma elettronica qualificata o digitale si presume riconducibile al titolare, salvo che questi dia prova contraria”. Quando viene presentata una falsa scrittura o firma in formato cartaceo, colui contro il quale viene esibita può limitarsi a disconoscerla^43 poiché è colui che intende utilizzare la scrittura come prova che deve verificarne l’autenticità, nel caso in cui invece venga presentata una falsa scrittura o firma in formato elettronico invece è il soggetto che la vuole disconoscere che deve presentare le prove di non autenticità 44. Nel caso in cui venga apposta una chiave scaduta o non valida, incorrendo nel rischio di determinare danni al destinatario del documento o a soggetti terzi 45 , è loro compito verificare la validità della chiave prima di compiere un’operazione; in caso di inadempimento di ciò non si potranno avvalere in giudizio di una tutela risarcitoria. Qualora, inoltre, la firma digitale venga messa per mezzo di una chiave non valida essa viene ritenuta come non apposta^46 Inoltre “Il titolare del certificato di firma è tenuto ad assicurare la custodia del dispositivo di firma e ad adottare tutte le misure organizzative e tecniche idonee ad evitare danno ad altri; è altresì tenuto ad utilizzare personalmente il dispositivo di firma.” 47 ; ciò che viene legiferato è chiaro: il titolare è tenuto ad utilizzare e “proteggere” personalmente la propria chiave privata, nel caso in cui essa fosse ceduta a terzi^48 ne risponde comunque il titolare in quanto il titolare ha l’obbligo di non cedere il proprio dispositivo di firma.

3.1 Dove è obbligatorio il loro utilizzo

L’art.14 49 del cosiddetto “decreto del fare” stabilisce che per la comunicazione pubblica “È in ogni caso esclusa la trasmissione di documenti a mezzo fax”. Le comunicazioni devono avvenire per (^42) Art. 25 co. 1 Sezione II “Firme elettroniche e certificatori”, CAD (^43) Quando una scrittura in formato cartaceo viene disconosciuta si da luogo a una speciale procedura di verifica prevista dagli art. 214 ss. c.p.c (^44) Qui si assiste a “un’inversione dell’onere non giustificata”, si veda per approfondimento “Elena Bassoli, Fondamenti di Diritto della Comunicazione Elettronica, Amon, 2014, p.192-193” (^45) Elena Bassoli, Fondamenti di Diritto della Comunicazione Elettronica, Amon, 2014, p.1 94 (^46) Art. 21 comma 3, CAD (^47) Art. 32 “Obblighi del titolare e del certificatore.” co. 1, CAD (^48) Se ad esempio il titolare della firma digitale lascia ad un collaboratore la sua chiave privata per la sottoscrizione di documenti ed essa viene usata per altri scopi, ad esempio fraudolenti, ne risponde il titolare della chiave privata e non il collaboratore. (^49) Legge n. 98/2013 - Conversione, con modificazioni, del decreto-legge 21 giugno 2013, n. 69. Disposizioni urgenti per il rilancio dell'economia in G.U. n. 194 del 20 agosto 2013

5. Il “controverso” caso di Phil Zimmermann Phil Zimmermann^54 è un crittografo americano divenuto famoso al mondo per avere diffuso sotto forma di software libero 55 , nei primi anni ’90, il cosiddetto PGP^56 , un programma 57 ,basato sul sistema delle chiavi asimmetriche, che permette di codificare e decodificare qualsiasi tipo di informazione in formato digitale. Questo caso suscitò un forte interesse mediatico in quanto il suo creatore fu messo sotto indagine criminale dal Governo degli Stati Uniti per “violazione delle restrizioni alle esportazioni” 58 , in quanto il software si diffuse a macchia d’olio. La serietà con cui si adoperò il Governo fece percepire l’intento implicito di scoraggiare qualsiasi forma di crittografia non controllabile e facilmente decifrabile in favore di sistemi di comunicazione che garantissero, ad esso, il controllo totale del traffico digitale. Un’altra ragione, come scrisse Zimmermann nella prefazione del suo libro "PGP Source Code and Internals”, che attirò i mass media sul suo caso fu quella che se un cittadino americano sarebbe potuto essere incarcerato per la pubblicazione di materiale in formato elettronico negli Stati Uniti, anche gli stessi giornalisti, in futuro sempre più informatizzato, sarebbero stati in pericolo in caso di pubblicazioni su Internet. Come afferma Zimmermann, in un’intervista rilasciata a Repubblica.it 59 , le agenzie di intelligence dopo l’11 settembre 2001 hanno rafforzato i controlli sfruttando la rete internet raggiungendo un livello di sorveglianza attuale insostenibile. Sempre secondo il padre del PGP, l’aumento della sicurezza a scapito della privacy non è una soluzione convincente in quanto gli strumenti, di cui sono dotati i governi ad oggi, giustificati per la lotta al terrore, sarebbero in grado di fare molto di più: come ad esempio permettere il mantenimento del potere impedendo la creazione di qualsiasi opposizione politica contraria al governo. La sua vita è ruotata tutta intorno alla difesa della privacy e di questa causa se ne fa ambasciatore proponendo il suo slogan: “We have to push them back”, che riassume chiaramente la visione di questo personaggio tanto geniale quanto anticonformista. (^54) Nato a Camden in New Jersey il 12 febbraio 1954 (^55) Un programma è detto software libero se ha le seguenti proprietà: 1- Libertà di eseguire il programma come si desidera, per qualsiasi scopo. 2- Libertà di studiare come funziona il programma e di modificarlo in modo da adattarlo alle proprie necessità (L'accesso al codice sorgente ne è un prerequisito) 3-Libertà di ridistribuire copie in modo da aiutare il prossimo 4-Libertà di migliorare il programma e distribuirne pubblicamente i miglioramenti da voi apportati, in modo tale che tutta la comunità ne tragga beneficio. (per approfondimenti rimando al sito https://www.gnu.org) (^56) Acronimo di “Pretty Good Privacy” (^57) E’ possibile trovare il codice sorgente dell’intero pacchetto software PGP, in linguaggio C, nel libro "PGP Source Code and Internals”, The MIT Press, 1995 (^58) In quanto il Governo americano ha una lista di elementi che non possono essere esportati senza licenza, la maggior parte sono armi ma figura anche il software di crittografia. Inoltre il Governo difficilmente avrebbe concesso la licenza ad un software che utilizzasse delle tecniche di crittografia avanzata non facilmente decifrabili. (^59) Se si volesse consultare l’articolo per intero, rimando al sito: “http://www.repubblica.it/tecnologia/sicurezza/ 2015/02/15/news/intervista_zimmermann_padre_crittografia-107322766/“