la replica del prof. buccafurri

Con il più sincero ‘grazie’ al Prof. Buccafurri per l’interesse verso questo giovane blog e con l’autorizzazione dello stesso, riporto di seguito la replica agli articoli pubblicati su Interlex a firma di Manlio Cammarata e di Corrado Giustozzi (il brano peraltro è già on line sul sito dell’Università degli Studi Mediterranea di Reggio Calabria):

<…chiarisco da subito che l’attacco non riguarda la robustezza degli algoritmi e hash crittografici usati per la generazione e la verifica della firma. Riguarda invece sia le procedure attualmente utilizzate per “confezionare” la busta crittografica e verificare la validità della firma, che le informazioni incluse nella stessa busta crittografica.

A causa di recenti articoli apparsi sul Web, redatti sulla base di una cattiva interpretazione dei nostri risultati scientifici è opportuno, prima di presentare l’attacco, offrire i seguenti chiarimenti:

In riferimento all’articolo apparso su interlex , N. 376, del 26 giugno 2008, dal titolo “Un ‘baco’ che non c’è e una scorciatoia per i disonesti” di Manlio Cammarata

Cammarata scrive:

Il problema del documento che cambia contenuto non è nuovo. E’ stato sollevato nel lontano 2002, oggetto di approfondite discussioni su queste pagine.

E’ falso. Il problema era noto ben prima. Già la deliberazione AIPA 51/2000 introduce una serie di prescrizioni destinate alle PA sui formati da utilizzare, in riferimento alla non staticità dei documenti. Tuttavia, come osservato piu’ avanti, tale fattispecie è diversa da quella individuata nel nostro studio.

Cammarata scrive:

Il legislatore ha risolto da tempo il problema: per essere “valido e rilevante a tutti gli effetti di legge” e quindi equivalente al documento cartaceo con firma autografa, il documento informatico deve presentare una serie di requisiti. Prima di tutto “I documenti informatici devono essere presentati al titolare, prima dell’apposizione della firma, chiaramente e senza ambiguità” (CAD, art. 35, c. 2). Poi “Il documento informatico sottoscritto con firma digitale o altro tipo di firma elettronica avanzata basata su un certificato qualificato e generata mediante un dispositivo sicuro per la creazione di una firma non produce gli effetti di cui all’articolo 10, comma 3, del testo unico se contiene macroistruzioni o codici eseguibili, tali da attivare funzionalità che possano modificare gli atti, i fatti o i dati nello stesso rappresentati” (art. 3, comma 3 delle regole tecniche attualmente in vigore – DPCM 13 gennaio 2004).

I documenti utilizzati dai ricercatori calabresi non presentano questi requisiti. Quindi non possono essere validi ai sensi della normativa sulla firma digitale. Se qualcuno pensasse di servirsene per trarre qualcuno in inganno, potrebbe incorrere in uno dei reati di falso previsti e puniti dagli articoli 476 e seguenti del codice penale. Fine della questione.

Anche questo è falso. Relativamente a quanto prescritto dal CAD, art 35, comma 2, è sufficientemente evidente che un documento precostituito per l’attacco da noi documentato “si presentata al titolare, prima dell’apposizione della firma, chiaramente e senza ambiguità”.

Ma d’altra parte il comma 2 del suddetto art. 35 NON RIGUARDA IL FORMATO O LE PROPRIETA’ DEL DOCUMENTO, ma solo LE CARATTERISTICHE DEL DISPOSITIVO DI FIRMA E DEL SOFTWARE DI FIRMA. (Tra l’altro il comma 3 esclude da questa prescrizione le firme applicate mediante procedura automatica — ma questo non è di rilievo). Quindi nulla ha a che vedere con la materia oggetto di discussione.

Relativamente all’art. 3, comma 3 delle regole tecniche attualmente in vigore – DPCM 13 gennaio 2004, è anche qui facile rendersi conto che tale prescrizione, cosi’ come quella della (implicitamente abrogata?) deliberazione AIPA 51/2000, si riferisce alla possibile presenza di macro-codice o codice eseguibile nei documenti.

Il nostro attacco NON SI BASA SULL’INCLUSIONE DI MACRO-CODICE O CODICE ESEGUIBILE NEL DOCUMENTO, operando, per esempio, su un formato (come quello immagine – BMP) che non puo’ contenere tali istruzioni. Del resto il CNIPA, mi ha confermato senza ambiguità la non diretta applicazione del sopra citato art. 3, e la necessità di adeguare le norme tecniche.

Detto questo non è da escludere che in giudizio potrebbe anche essere adottata un’applicazione estensiva di tale prescrizione, “assimilando” il nostro attacco a quello basato su documenti contenenti macro-istruzioni, ma questa è un’altra faccenda.

Attiene alla giusta facoltà del Giudice di compensare, secondo il suo prudente apprezzamento e l’applicazione della giurisprudenza, eventuali vacanze, aporie logiche, contraddizioni, che possono esistere (come in questo caso) nella normativa vigente. Ciò tuttavia non solleva il legislatore dall’obbligo di ridurre più possibile tali incogruenze normative.

Infine, che sulla base dell’attacco possono essere realizzati reati (frode informatica, falso in scrittura privata, falso ideologico, etc.) è più che lapalissiano.

E’ il motivo per il quale ho ritenuto di dover divulgare più in fretta possibile questo studio, e di informare preventivamente (PRIMA DELLA PUBBLICAZIONE SCIENTIFICA) il CNIPA, quale organo di riferimento in questa materia.

In riferimento all’articolo apparso su interlex , N. 376, del 26 giugno 2008, dal titolo “La luna, il pozzo, la bufala” di Corrado Giustozzi

Giustozzi scrive:

Sembrava impossibile, eppure al giorno d’oggi c’è ancora qualcuno che ha il coraggio di sostenere di aver trovato il punto debole della firma digitale e di essere in grado di falsificarla. Ora, si trattasse di qualcuno che ha trovato un algoritmo efficiente di fattorizzazione, gli daremmo il premio Nobel (stiamo cercando tale algoritmo “solo” da duemilacinquecento anni, e la firma digitale si basa proprio sulla speranza che non esista…); si trattasse di qualcuno che ha trovato un modo di generare facilmente collisioni di tipo second preimage nelle funzioni hash tipo SHA-2 gli faremmo tanto di cappello; ma i trucchi da imbonitore, per carità, evitateceli. E soprattutto non spacciateli per “debolezze intrinseche” della firma digitale: sarebbe come dire che i tostapane non funzionano perché se ci metto dentro una trota non esce una fetta di pane tostato!

Non abbiamo mai affermato nella nostra ricerca che il nostro attacco si basi sulla “rottura” dell’algoritmo RSA o degli hash crittografici usati nella firma. Il riferimento di Giustozzi a questa fattispecie è del tutto fuori luogo. Per informazione, il premio Nobel non potrà mai essere preso da nessuno in questo campo, perchè il premio Nobel non è stato istituito nè per la matematica, nè per l’informatica, che è disciplina troppo giovane. Poteva fare riferimento invece al premio Turing, scienziato che Giustozzi dall’alto della sua esperienza sicuramente conoscerà, come conoscerà la sua teoria.

Giustozzi scrive:

Già. In realtà ciò che il pluringegneristico team di ricerca dell’Università Mediterranea ha scoperto, e persino documentato in un dottissimo paper disponibile in sola lingua inglese, non è ahimè una vulnerabilità “della firma digitale” tout court ma, banalmente, una nota ed annosa limitazione (pardon,“caratteristica”) di Windows. Tant’è che la proof of concept da essi illustrata a sostegno della propria tesi non funziona su nessun altro sistema operativo degno di questo nome. Ma di ciò i ricercatori calabresi si sono “dimenticati” di far menzione…

Vediamo dunque come stanno le cose. Dice il calabro ricercatore: “se prendo una immagine in formato BMP che dice una cosa, la violento trasformandola surrettiziamente in un documento HTML che ne dice un’altra, firmo il tutto, cambio nome al file da BMP in HTML, lo apro, allora perbacco! vedo il file HTML e non l’immagine BMP”.

Grande scoperta: lo sanno tutti che Windows decide cos’è un file non andandolo a guardare ma fidandosi di quello che dice il suo nome, o meglio l’estensione di tre lettere che segue il punto.

Così se prendo un file DOC e gli cambio estensione in BMP, e poi ci clicco sopra due volte, non partirà Word per aprirlo ma Paint, o il programma di grafica attivo per default; il quale oltretutto si arrabbierà moltissimo per non essere in grado di aprire il file, dato che il suo contenuto non corrisponde a quello previsto per un file BMP, e non saprà cosa fare per visualizzarlo. Naturalmente ciò vale anche per il viceversa, e per qualsiasi altra trasformazione da un’estensione ad un’altra. (Notiamo per inciso che tutti i sistemi operativi più seri quali Unix o Mac-OS non basano la loro decisione su una mera convenzione associata al nome del file, ma vanno a guardare cosa c’è effettivamente nel file stesso e lo riconoscono per quello che è il suo reale formato. Windows no, bontà sua).

Ora, è perfettamente possibile pensare di riuscire a costruire un file che risponda contemporaneamente alle specifiche tecniche di due formati differenti. Si tratta di una situazione patologica ma sicuramente realizzabile, magari sfruttando ad arte qualche bug di qualche diffuso programma di interpretazione di specifici formati (quello che si chiama genericamente parser). Ad esempio, come hanno fatto i ricercatori calabresi, si può accodare ad una immagine BMP un pezzo di testo HTML (confidando che il parser delle immagini non protesti per questi dati extra!) e quindi modificare i primi byte dell’immagine BMP (sempre confidando che il medesimo parser sia di bocca buona…) per far sì che l’immagine stessa appaia ad un interprete di codice HTML come un “commento” da ignorare.

 

Ora, questo abominio digitale è l’equivalente di quelle immagini ambivalenti di cui vanno tanto fieri gli psicologi cognitivi: ad esempio i due famosi profili affacciati che visti in altro modo diventano una coppa, o la vecchia signora che vista in altro modo diventa una giovane ragazza. Un bieco trucco, insomma, nel quale il file “taroccato” può essere aperto sia da un parser per immagini (che “vede” la sola parte BMP ed ignora quella HTML) che da un parser per HTML (che viceversa “vede” la sola parte HTML ed ignora quella BMP), con contenuti ovviamente assai diversi tra l’uno e l’altro caso.

La miopia di Windows fa sì che questa insana ambivalenza interpretativa possa essere “pilotata” a piacere semplicemente modificando l’estensione del file: se questa è BMP allora il doppio clic lo farà automaticamente aprire da un visualizzatore di immagini, mentre se è HTML da un browser. I risultati saranno ovviamente diversi, perché ciascun programma “vedrà” solo la parte di file che è in grado di interpretare e, se non è troppo schizzinoso, non si lamenterà per non riuscire ad interpretare l’altra parte. Ciò però vuol dire che il file è cambiato da una visualizzazione all’altra? Ovviamente no: semplicemente, l’automatismo fa sì che se ne veda una parte oppure un’altra, a scelta. Ma il file è sempre quello, nella sua immutabile interezza, a prescindere da quale parte si decida di vederne.

Il fatto che i file prodotti secondo la tecnica da noi mostrata siano “polimorfi” è un fatto intrinseco. Non dipende dal Sistema Operativo usato.

La cosa attiene ad un principio basilare, noto a chiunque sia competente in informatica, circa il fatto che il significato di una sequenza di bit puo’ essere definito quando è definita la codifica che essi rappresentano, e quindi il modo con cui questi bit devono essere intepretati.

L’aggravante dei sistemi operativi che, come Windows, effettuano associazioni automatiche tra file ed applicazioni in base al’estensione, rende il problema significativo dal punto di vista pratico, circa il modo con cui la firma è utilizzata, considerato che la stragrande maggioranza dei documenti (ivi compresi quelli firmati) sono elaborati e mantenuti su piattaforma Microsoft (piaccia o non piaccia).

Giustozzi scrive:

E allora dov’è il tanto sbandierato bug della firma digitale? Ci dice ancora il professore: “se io firmo il file, e poi cambio estensione al file firmato, visualizzo di fatto un documento non conforme a quello che mi aspettavo, eppure la firma digitale risulta sempre verificata.”.

Ma che grande scoperta! Il file non è stato modificato, e dunque è ovvio che la firma digitale risulti verificata. Il fatto che il trucco dell’estensione continui a funzionare sul file firmato è un problema che riguarda la miopia di Windows, non la firma digitale in sé: la quale, come noto, riguarda solo ed esclusivamente il contenuto di un file e non, per amor di Dio, i suoi metadati.

Il motivo che la firma non rilevi il problema, è certamente evidente, per come funziona la firma e per come è usata la busta crittografica. Il problema sta proprio nel fatto che i metadati non vengono firmati. Questo è proprio la debolezza su cui si basa l’attacco. Come il CNIPA mi ha confermato, circa l’ipotesi di soluzione da noi ipotizzata (inclusione del nome — in particolare l’estensione — del file in un campo della busta sottoposto a firma), sarebbe una soluzione da “consigliare ai certificatori” (anche se, probabilmente, di difficile attuazione — aggiungo io)

Giustozzi scrive:

In altre parole: nella formazione della firma digitale non concorrono cose quali il nome del file, la sua data di creazione, la lunghezza, l’attributo di sola lettura e via dicendo, com’è giusto che sia. Perché infatti il nome di un documento dovrebbe essere significativo rispetto al suo contenuto? Sarebbe come se il nome attribuito ad un faldone nel quale sono riposti degli atti fosse importante ai fini del contenuto degli atti ivi riposti, col risultato che l’eventuale modifica del nome del faldone dovrebbe inficiare la validità (e la firma) degli atti stessi!

La metafora del faldone non regge. Il fatto che il nome diventi significativo nel nostro caso dipende da un fatto tecnico.

Di fatti si parla dell’estensione e non del nome, in quanto essa (per la quasi totalità dei casi reali — windows è il piu’ diffuso SO al mondo), è un metadato che DESCRIVE IL FORMATO DEL DOCUMENTO.

Allora la metafora giusta dovrebbe essere legata ad una domanda del tipo:

“Avrebbe efficacia probatoria, in merito alla funzione dichiarativa, una firma autografa apposta su un documento codificato in un linguaggio coniato ad hoc, dal sottoscrittore, non noto a nessuno, senza che il documento stesso abbia al suo interno “i metadati” necessari a poter intepretare il contenuto?”

Il valore probatorio sarebbe nullo.

Semplicemente perchè quel pezzo di carta non sarebbe un documento secondo l’accezione giuridica del termine (in quanto non è la rappresentazione di atti e fatti giuridicamente rilevanti, ma soltanto una sequenza inintellegibile di caratteri).

Giustozzi scrive:

Con l’occasione notiamo che i nostri prodi ricercatori, senza dover necessariamente stuprare un’immagine BMP, potevano produrre un effetto similare in vari modi alternativi. Prendiamo ad esempio il formato ZIP, comunemente usato per archiviare tanti file comprimendoli in uno solo: oramai molte applicazioni di uso comune producono i loro file in questo formato standard, ma hanno cura di dotarli di estensioni differenti per fare in modo che non vengano aperti per errore da altre applicazioni. Il formato ODT per i documenti OpenOffice ed il formato JAR usato per distribuire classi Java e metadati associati sono due esempi comuni di tale diffusa pratica. Se dunque fate doppio clic su un file ODT esso verrà aperto da OpenOffice come se fosse un documento (ed in effetti lo è), mentre se gli cambiate nome in ZIP e poi gli fate doppio clic verrà aperto da WinZip come se fosse un archivio (ed in effetti è anche questo!). Anche in questo caso la semantica dell’azione innescata dal doppio clic viene decisa dall’estensione associata al nome del file, e ciascuna applicazione lanciata lo vedrà in modo diverso: ma la sostanza del file rimane sempre la medesima, ossia quella di un insieme di byte unico ed immutabile.

Anche in questo caso, dunque, funzionerebbe il trucco del professore calabrese: ma cosa c’entra la firma digitale?

Ciò che dice Giustozzi su Zip e ODT è privo di significato. Il nostro attacco è basato sulla capacità di un documento di presentarsi in modo diverso con diversi contenuti informativi entrambi intellegibili. Per questo ha significatività pratica. Non è il caso a cui Giustozzi si riferisce.

Giustozzi scrive:

Per concludere: non scherziamo con la firma digitale e soprattutto non scomodiamola invano. Già ha avuto tanti problemi nel corso degli anni, ed ha dovuto subire denigrazioni e sconfessioni da parte di personaggi ed istituzioni a dir poco insospettabili. Se c’è tuttavia una cosa che funziona bene sono i suoi meccanismi tecnici, e quelli non è possibile metterli in discussione con trucchi da prestigiatore. Una cosa di cui assolutamente non abbiamo bisogno è quella di ingenerare nella gente comune ulteriore confusione e sospetto nei riguardi delle tecnologie digitali.

Se vogliamo alzare il livello di alfabetizzazione e pretendere che tutti inizino a partecipare alla vita della Società digitale non possiamo continuare impunemente a fare disinformazione terroristica sulla valenza delle tecnologie abilitanti su cui essa si fonda. Quando si scoprirà l’algoritmo di fattorizzazione veloce o quello di collisione degli hash ci preoccuperemo, ma sino ad allora, per carità, non alimentiamo falsi spettri con minacce inesistenti.

Mi fa piacere che Giustozzi sia così tranquillo e scettico rispetto alla necessità di adottare strategie per evitare l’uso fraudolento della debolezza da noi individuata. Si sa che l’ansia non fa bene alla salute.

Vedo infatti che ha perso l’atteggiamento ansioso che invece aveva nel settembre del 2002, quando (con almeno 2 anni di ritardo — in quanto la cosa era ampiamente regolata dalla normativa vigente in forza della deliberazione AIPA 51/2000), nell’articolo “Funziona o non funziona? L’aspetto tecnico” (http://www.interlex.it/docdigit/corrado8.htm) propagandava come scoop il fatto che alcuni formati comunemente usati (es. Word, ed Excel) potessero includere macro-istruzioni, e i relativi rischi di falsi informatici, senza neppure citare che l’organo competente (AIPA) aveva già considerato approfonditamente il problema e introdotto restrizioni nell’ambito della PA relative ai formati utilizzabili (sopra citata deliberazione AIPA 51/2000).

In quell’articolo Giustozzi era particolarmente preoccupato per l’attacco basato sulle macro-istruzioni, che, si noti bene, ha GLI STESSI POTENZIALI EFFETTI DELL’ATTACCO PRESENTATO NEL NOSTRO STUDIO. Infatti, nella sezione introduttiva dell’articolo scriveva:

“Tuttavia non si può evitare di affrontare la questione, liquidandola, come molti hanno fatto, con un’alzata di spalle: il problema c’è davvero ed è anche dannatamente serio, come vedremo. Ed è anche, purtroppo, di difficilissima soluzione, perché non è un problema (solo) tecnico. Siamo nella classica situazione in cui bisogna cercare di salvare capra e cavoli; questa volta però non è detto che ci si riesca, forse occorrerà sacrificare qualche cavolo. “

Ma, in relazione alla mutevolezza delle dotte valutazioni di Giustozzi, è davvero singolare la parte finale di quell’articolo che recita:

“Quale può essere infine la conclusione di questa vicenda? La risposta non è facile. Il buon senso suggerirebbe di risolvere il problema limitando il novero dei documenti firmabili digitalmente ai soli formati “puri”, non programmabili, immutabili ed assoluti. Ossia ai veri documenti, e non ai meta-documenti come sono quelli di Word o di Excel [...]“.

Ciò dimostra che un mondo ideale in cui sono ammessi formati che non includono macro-istruzioni o codice eseguibile l’avrebbe tranquillizzato.

Oggi Giustozzi scopre che anche in questo mondo ideale (il nostro attacco agisce infatti su un formato – quello immagine – che assolutamente non può includere macro-istruzioni), i pericoli a cui fa riferimento in quell’articolo esisterebbero comunque, ma non si preoccupa per nulla.

Le mie congratulazioni, significa che ha migliorato di molto il suo self-control.

Buona navigazione

Francesco Buccafurri>

il baco, c’è o non c’è? (2)

Come previsto, il dibattito sull’attacco alla firma digitale si fa alto e intenso col passare dei giorni e delle ore, al pari di un confronto di idee tanto animoso quanto affascinante per i risvolti tecnici, e si arricchisce di contributi e opinioni di esperti, operatori e appassionati (si segnalano tra gli ultimi: “Firma digitale falsificata? E’ falsa solo la notizia” di Diego Zanga su Punto Informatico e “Firma digitale falsificata in Italia? La notizia non trova conferme, ma un piccolo bug esiste” a cura della Redazione di Webmaster Point).

Un interessante spunto di riflessione proviene da Mr. Webmaster: …il passaparola non sempre efficentissimo della Rete ha presto trasformato la già non troppo rassicurante parola “attacco” in “falsificazione”….

il baco, c’è o non c’è?

Si anima il dibattito tra giuristi e tecnici informatici sull’ormai celebre “attacco alla firma digitale”, portato da un gruppo di ricercatori dell’Università degli Studi Mediterranea di Reggio Calabria.

Nella prospettiva giuridica è interessante, oltre che autorevole, l’opinione di Manlio Cammarata, direttore di Interlex, in “Un ‘baco’ che non c’è e una scorciatoia per i disonesti”.

Il passaggio sul falso, in particolare, dimostra come spesso, davanti alle incertezze e agli allarmi sull’uso delle nuove tecnologie, le norme vigenti, quand’anche concepite in altra epoca, e la loro interpretazione possano offrire al cittadino e all’operatore un approdo sicuro, atteso che prevenire e prevedere tutto è impossibile e forse anche poco auspicabile.

Non sarebbe la prima volta, d’altronde, che il diritto arriva prima e magari meglio della tecnologia.

Sotto un profilo tecnico, agli esperti contemporanei e ai posteri l’ardua sentenza.

Intanto, ecco la risposta di Corrado Giustozzi al gruppo di ricerca del Prof. Buccafurri in “La luna, il pozzo, la bufala”, ancora su Interlex.

amleto, il capitano bellodi e le zone franche urbane

Perchè rivolgersi a tutti meno che i Comuni, che come previsto dal Cipe sono invece gli unici a poter individuare e proporre una Zona Franca Urbana sul proprio territorio? Mi ci romperò la testa.

(rif. Primapaginamolise.it, “D’Ambrosio: la zona industriale di Campobasso diventi zona franca urbana”)

(rif. Polo elettronico, “Finmek e sitindustrie: proposte della Pezzopane”)

“attacco” alla firma digitale

Per saperne di più: “Un nuovo attacco alla firma digitale“, dal sito dell’Università degli Studi Mediterranea di Reggio Calabria.

firma digitale “falsificabile”?

da Strill.it, sabato 21 giugno 2008:

C’è una falla nel sistema: firma digitale falsificabile. Lo scopre un ricercatore reggino.

da Panorama del 26/06/08 

A prima vista sembra il quadro di un donna sola in una stanza. Ma, osservando bene, appare il profilo di un uomo con barba e baffi.

È un’opera intitolata “L’immagine scompare”, dove Salvador Dalí applica una tecnica steganografica, nascondendo il suo volto nel quadro.

Fatte le debite differenze, si tratta di un sistema che nel mondo dell’informatica ha rivelato un punto debole nella firma digitale, usata da imprenditori e funzionari pubblici per siglare documenti inviati via internet: 35 milioni nel 2005. A scoprire la falla (teorica, per ora) è stato il gruppo di Francesco Buccafurri, docente di sistemi di elaborazione dell’informazione all’Università Mediterranea di Reggio Calabria.

Qual è il tallone d’Achille della firma digitale? Immaginiamo che un dipendente voglia gonfiare un rimborso alterando l’email inviata dal suo capo, e certificata con firma digitale. Deve agire in due fasi: prima altera il contenuto del documento, inserendo la cifra maggiorata.

La variazione, se nascosta nel codice, è invisibile (come il profilo di Dalí). Il capo, ignaro, controlla e aggiunge la firma digitale. Al dipendente non resta che cambiare la tipologia di file sostituendo tre lettere (per i più esperti: si tratta dell’estensione da .bmp a .htm).

Rimedi? «Basterebbe che la firma digitale agisse anche sul nome del file» suggerisce Buccafurri. Nel frattempo il Cnipa, Centro per l’informatica nella pubblica amministrazione, dopo essere stato allertato da Buccafurri sta valutando quali provvedimenti adottare.

zone franche urbane: a che punto siamo?

Pro memoria, cose da fare per l’attuazione del dispositivo sulle Zone Franche Urbane:

1) Cipe: delibera ai sensi dell’art. 1 comma 342 della L. n. 296/2006, come sostituito dall’art. 2 comma 563 della L. n. 244/2007 (fatto, pubblicata il 6 giugno 2008);

2) Ministero dello Sviluppo Economico: dopo la pubblicazione della delibera del Cipe (vedi punto precedente), definizione delle procedure di presentazione delle proposte da parte delle amministrazioni coinvolte, ai sensi del paragrafo 2 della delibera n 5/2008 del Cipe (da fare, urgente);

3) Comuni interessati: presentazione delle proposte alle Regioni, ai sensi della delibera n. 5/2008 del Cipe (attendere prego, vedi punto precedente);

4) Ministero dello Sviluppo Economico e Dipartimento per le Politiche di Sviluppo in collaborazione con le Regioni: entro 60 giorni dalla pubblicazione della delibera del Cipe, individuazione delle Zfu da proporre al Cipe per l’ammissione a finanziamento, ai sensi del paragrafo 2 della delibera n 5/2008 del Cipe (attendere prego, 5 agosto 2008) ;

5) Ministero dell’Economia e delle Finanze: decreto su limiti, modalità e condizioni delle esenzioni fiscali in Zona Franca Urbana, ai sensi dell’art. 1 comma 341 quater della L. n. 296/2006, introdotto dall’art. 2 comma 562 della L. n. 244/2007, entro 30 giorni dall’entrata in vigore della disposizione (da fare, importante);

6) Ministero del Lavoro e della Previdenza Sociale: decreto su limiti di massimale di retribuzione entro cui applicare l’esonero dal versamento dei contributi sulle retribuzioni da lavoro dipendente previsto dall’art. 1 comma 341 lett. d) della L. n. 296/2006, come sostituito dall’art. 2 comma 562 della L. n. 244/2007, ai sensi dello stesso (da fare, importante);

7) Cipe: delibera recante individuazione e perimetrazione delle Zone Franche Urbane e allocazione delle risorse, ai sensi dell’art. 1 comma 342 della L. n. 296/2006, come sostituito dall’art. 2 comma 563 della L. n. 244/2007, e della delibera n. 5/2008 dello stesso Cipe (attendere prego, vedi punto 4);

8) Commissione Europea: autorizzazione delle misure e del dispositivo ex art. 88 par. 3 del Trattato istitutivo della Comunità Europea, ai sensi dell’art. 1 comma342 della L. n. 296/2006, come sostituito dall’art. 2 comma 563 della L. n. 244/2007 (attendere prego, decisivo).

post lapalissiano n. 3

IMHO, se la delibera del CIPE n. 5/2008 prevede che sia il singolo Comune interessato e che ne abbia i requisiti ad assumere l’iniziativa di individuare e proporre formalmente con apposito progetto una Zona Franca Urbana in uno dei suoi quartieri, si fa esattamente l’opposto quando più Comuni a prescindere dai requisiti si rivolgono insieme ad altre istituzioni affinchè siano queste a individuare una Zona Franca Urbana su un’area che non è urbana e che li ricomprende tutti.

(rif. Il blog di Antonio Bianco, “Crisi del tessile fortorino, i sindaci chiedono la zona franca”)

diffamazione on line e sequestro preventivo: il caso del blog di antonino monteleone

La notizia è già in rete da qualche giorno e continua ad alimentare polemiche, ma soprattutto solidarietà diffusa: il blog di Antonino Monteleone ( http://www.antoninomonteleone.it ), giovane e apprezzato giornalista e blogger, è stato posto sotto sequestro preventivo dalla Procura della Repubblica presso il Tribunale di Reggio Calabria per diffamazione ex art. 595.

Una riflessione s’impone, nel quadro di un antico e sempre vivo dibattito tra giuristi e tecnici sulla diffamazione on line, in merito alle modalità e alla procedura da adottare in questi casi e in casi analoghi, ormai numerosi e affrontati in maniera forse troppo varia e imprevedibile.

V’è da chiedersi, cioè, se non sia il caso di elevare a norma una pratica in realtà già comune e tecnicamente possibile: il sequestro del post o dei post (possibilmente con adeguata e tempestiva comunicazione e motivazione, a garanzia e tutela dei diritti dell’indagato) affinchè si interrompa l’iter criminoso e non prosegua la diffusione del messaggio ritenuto diffamatorio, in luogo dell’oscuramento totale di un mezzo di comunicazione ed espressione.

Se dall’oscuramento di un blog o di un sito dipende il rispetto delle esigenze osservate dal sequestro preventivo quando la querela verte sul contenuto di un singolo o di più singoli post, perchè a questo punto non tornare a procedere, come accadeva nel secolo scorso, a sequestri di server, hardware e di tutto ciò che può consentire l’aggravamento e la reiterazione del reato?

Può un singolo post o qualsiasi altro dato, diverso da quello a contenuto diffamatorio o presunto tale, essere considerato sempre e a prescindere da tutto anch’esso pertinente al reato?

E che dire della cache dei motori di ricerca, che consente di leggere molti contenuti del blog sequestrato, anche dopo il sequestro?

Sequestrare il singolo post, forse, oltre che più proporzionato, efficace e rispettoso della libertà di espressione, soprattutto di quella legittimamente esercitata e mai contestata per come esercitata negli altri post, sarebbe anche più realistico e segno di consapevolezza delle potenzialità di diffusione del mezzo.

le zone franche nel nuovo codice doganale e il caso di gioia tauro

E’ stato pubblicato in Gazzetta Ufficiale dell’Unione Europea, n. 145 Serie L del 4 giugno 2008, il Regolamento (CE) n. 450/2008 del Parlamento Europeo e del Consiglio, sottoscritto il 23 aprile 2008.

Il Regolamento istituisce un nuovo codice doganale comunitario, abrogando il precedente codice contenuto nel Regolamento (CEE) n. 2913/92 del Consiglio, del 12 ottobre 1992.

Il nuovo codice si è reso necessario, come si legge tra i considerando e nei documenti prodotti dagli organismi coinvolti nel corso del lungo iter di approvazione iniziato nel 2005, per rispondere a esigenze di adeguamento alle più recenti novità giuridiche, politiche ed economiche comunitarie e internazionali.

Tale risposta è all’insegna della semplificazione normativa e procedurale, della modernizzazione e dell’innovazione tecnologica e, naturalmente, della sicurezza.

Una delle modifiche più interessanti è quella concernente la configurazione giuridica delle Zone Franche, dove le merci non comunitarie, e a certe condizioni anche quelle comunitarie, possono essere depositate senza essere soggette ai dazi all’importazione, altri oneri e misure di politica commerciale.

All’interno delle Zone Franche doganali è possibile svolgere a condizioni evidentemente agevolate non solo il magazzinaggio ma anche attività industriali, commerciali e di servizi, soprattutto quelle di trasformazione delle merci che transitano lungo le rotte internazionali, grazie alla possibilità di vincolare queste ultime ad altri regimi doganali che consentono tali usi.

Rinviando al testo ufficiale per ulteriori dettagli, si pone in evidenza rispetto al codice del 1992, nel quadro di una generale opera di semplificazione e nel contempo di migliore specificazione dei regimi doganali, l’eliminazione della distinzione tra Deposito Franco e Zona Franca, l’inserimento delle Zone Franche tra i regimi doganali speciali di deposito e non più tra le altre destinazioni doganali e, soprattutto, l’abolizione delle Zone Franche “non intercluse”, di cui all’art. 168 bis del previgente codice, infatti abrogato, che era stato introdotto dal Regolamento (CE) n. 2700/2000.

Le Zone Franche “non intercluse” rappresentavano una nuova tipologia, più integrata col territorio e connessa al tessuto sociale e imprenditoriale locale. Erano infatti concepite in modo da non essere gravate da recinzioni e punti di accesso posti dallo Stato, dalle formalità e dai controlli tipici delle Zone Franche tradizionali e che le disposizioni in materia di formalità e obbligazione doganale fossero semplificate e applicabili secondo le modalità del regime del deposito doganale (controlli di tipo II, secondo quanto stabilito dal Regolamento CE n. 993/2001).

Esse si inserivano allora a pieno titolo in un processo storico che vedeva e vede le Zone Franche tradizionali cadere lentamente in desuetudine (non a caso l’Unione Europea adotta ormai da anni un atteggiamento restrittivo e severo in materia), in un’epoca in cui, già dall’immediato secondo dopoguerra, l’esenzione dai dazi e le agevolazioni ai traffici internazionali sono affidate ai grandi accordi tariffari multilaterali, alle unioni doganali e alle aree di libero scambio, per lasciare spazio a una nuova idea di zona franca, più orientata a divenire strumento di attuazione di politiche territoriali, fiscali e del lavoro.

L’assunto si fondava sulla convinzione che l’eliminazione delle barriere materiali e la semplificazione delle procedure potessero influire positivamente sul territorio circostante l’area, per fictio juris extra-doganale, per esempio grazie a un maggior coinvolgimento dell’impresa locale e del settore dei servizi.

Di questa evoluzione concettuale possono essere considerate approdi recenti, sia pure con qualche forzatura teorica e tecnico-giuridica, le Zone Franche Urbane francesi, eredi delle Enterprise Zones e delle Empowerment Zones anglosassoni e statunitensi e con una ispirazione ben più marcatamente sociale, che tuttavia in nulla riguardano i commerci internazionali e l’ambito doganale ma che sono strumenti di attuazione di fiscalità di vantaggio e politiche urbane.

Sarà da verificare se la Zona Franca doganale, non più destinazione delle merci ma regime speciale di deposito, istituto in un certo senso ridimensionato nella sua eccezionalità e nelle sue potenzialità lato sensu economiche, a metà strada tra le Zone Franche tradizionali e le Zone Franche “non intercluse”, sia destinata o meno nella aggiornata configurazione a trovare nuova e più ampia applicazione.

Quel che però è facile prevedere è che i vantaggi, in termini di sicurezza da un lato e di semplificazione dall’altro, riguarderanno quasi esclusivamente gli operatori doganali e gli aspetti procedurali delle operazioni di magazzinaggio e trasformazione nei nodi, generalmente portuali, del commercio extra-comunitario.

In conclusione e a titolo di cronaca, la prima e unica Zona Franca “non interclusa” in Italia, istituita dall’Agenzia delle Dogane il 1° agosto 2003, era situata all’interno dell’area portuale di Gioia Tauro.

La Zona Franca di Gioia Tauro, però, non è mai stata oggetto di comunicazioni formali e definitive da parte delle autorità nazionali alla Commissione Europea (ai sensi dell’art. 802 del Regolamento CEE n. 2454/93, come sostituito dal Regolamento CE n. 993/2001) nè, di conseguenza, inserita nella lista periodicamente pubblicata in G.U.C.E., e dunque non è mai divenuta operativa.

Nonostante ciò, non sono mancati interventi e progetti e la Zona Franca continua a rivestire un ruolo centrale nelle strategie di sviluppo dell’Autorità Portuale, che all’aspetto gestionale e infrastrutturale ha dedicato ampio spazio negli ultimi Piani Operatrivi Triennali redatti.

E lo stesso Ministero dei Trasporti, nel gennaio 2008, ha con decreto destinato all’Autorità Portuale di Gioia Tauro 50 milioni di euro, la metà dei fondi complessivamente previsti dalla Legge Finanziaria 2008 per gli interventi strutturali nei porti italiani.

Parte di quei 50 milioni servirebbe ad incentivare proprio l’insediamento di attività produttive e di logistica in regime di zona franca.

Rimane ora da comprendere come le novità introdotte dal codice doganale aggiornato influiranno, se influiranno, nel caso di Gioia Tauro.