tra le rassicuranti novità in materia di digitalizzazione documentale, che fine fa la pec?

Già pubblicato su http://www.scint.it e su http://computerlaw.wordpress.com .

 di Andrea Lisi

Presidente dell’Associazione Nazionale Operatori e Responsabili della Conservazione digitale dei documenti (ANORC – www.anorc.it). Docente a contratto Università del Salento – Scuola Professioni Legali – Facoltà di Giurisprudenza. Coordinatore del Digital&Law Department – Studio Legale Lisi – www.studiolegalelisi.it

^^^^

La Camera approva il Disegno di Legge di conversione del Decreto “Anti-Crisi” e nel nuovo testo mette in discussione la Posta Elettronica Certificata e il ruolo dei notai nei processi d digitalizzazione documentale!

Poco più di un mese fa commentavamo in maniera solo parzialmente positiva la rivoluzione contenuta nel D.L. “anti-crisi” (D.L. 185/2008): nell’art. 16 del D.L., da una parte, la posta elettronica certificata continuava a essere imposta a suon di moniti e sanzioni e, dall’altra, si apriva la strada a una piena “dematerializzazione” degli originali analogici unici.

Alla Camera da poche ore è stata votata la fiducia, con 327 voti a favore e 252 contro, posta dal Governo sull’approvazione, senza emendamenti e articoli aggiuntivi, dell’articolo unico, nel testo delle Commissioni, del disegno di legge (C1972) di conversione del decreto-legge 29 novembre 2008, n. 185.

L’art. 16 del DL 185/2008 ha subìto delle modifiche rilevanti per il futuro sia della P.E.C. e sia delle strategie di digitalizzazione documentale. Si riportano alcuni commi dell’articolo nell’ultima versione passata alla Camera:

6. Le imprese costituite in forma societaria sono tenute a indicare il proprio indirizzo di posta elettronica certificata nella domanda di iscrizione al registro delle imprese o analogo indirizzo di posta elettronica basato su tecnologie che certifichino data e ora dell’invio e della ricezione delle comunicazioni e l’integrità del contenuto delle stesse, garantendo l’interoperabilità con analoghi sistemi internazionali. Entro tre anni dalla data di entrata in vigore del presente decreto tutte le imprese, già costituite in forma societaria alla medesima data di entrata in vigore, comunicano al registro delle imprese l’indirizzo di posta elettronica certificata. L’iscrizione dell’indirizzo di posta elettronica certificata nel registro delle imprese e le sue successive eventuali variazioni sono esenti dall’imposta di bollo e dai diritti di segreteria.

7. I professionisti iscritti in albi ed elenchi istituiti con legge dello Stato comunicano ai rispettivi ordini o collegi il proprio indirizzo di posta elettronica certificata o analogo indirizzo di posta elettronica di cui al comma 6 entro un anno dalla data di entrata in vigore del presente decreto. Gli ordini e i collegi pubblicano in un elenco riservato, consultabile in via telematica esclusivamente dalle pubbliche amministrazioni, i dati identificativi degli iscritti con il relativo indirizzo di posta elettronica certificata.
8. Le amministrazioni pubbliche di cui all’articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, e successive modificazioni, qualora non abbiano provveduto ai sensi dell’articolo 47, comma 3, lettera a), del Codice dell’Amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, istituiscono una casella di posta certificata o analogo indirizzo di posta elettronica di cui al comma 6 per ciascun registro di protocollo e ne danno comunicazione al Centro nazionale per l’informatica nella pubblica amministrazione, che provvede alla pubblicazione di tali caselle in un elenco consultabile per via telematica. Dall’attuazione del presente articolo non devono derivare nuovi o maggiori oneri a carico della finanza pubblica e si deve provvedere nell’ambito delle risorse disponibili.
9. Salvo quanto stabilito dall’articolo 47, commi 1 e 2, del codice dell’amministrazione digitale di cui al decreto legislativo 7 marzo 2005, n. 82, le comunicazioni tra i soggetti di cui ai commi 6, 7 e 8 del presente articolo, che abbiano provveduto agli adempimenti ivi previsti, possono essere inviate attraverso la posta elettronica certificata o analogo indirizzo di posta elettronica di cui al comma 6, senza che il destinatario debba dichiarare la propria disponibilità ad accettarne l’utilizzo.

Nell’articolo emendato dal Parlamento di fatto si rende possibile per pubbliche amministrazioni, società e professionisti l’utilizzo, accanto alla PEC, di altri sistemi di trasmissione elettronica dei messaggi che certifichino la data e l’ora dell’invio e della ricezione delle comunicazioni e garantiscano l’integrità del contenuto delle comunicazioni trasmesse e ricevute, assicurando l’interoperabilità con analoghi sistemi internazionali (interoperabilità non del tutto garantita – come si sa bene – dal nostro sistema, tutto italiano, di posta elettronica certificata).

Insomma, in nome della neutralità tecnologica, si è dovuto finalmente dare ragione a chi da tempo sostiene che il sistema di posta elettronica certificata (e non solo quello!) non poteva essere prescritto ex lege e la normativa che lo voleva imporre presentava al suo interno profili di contrasto con la legislazione comunitaria. E’ giusto riferire che la questione andrebbe affrontata con maggiore dettaglio e specificità in modo da far riferimento nella norma a precisi standard internazionali. Ma la strada seguita è quella giusta e allinea la normativa italiana a quella europea (anche in materia di trasmissione elettronica delle fatture).

Continuando l’analisi dell’art. 16, diamo uno sguardo ad alcuni commi aggiunti ex novo nell’ultima versione approvata alla Camera:

10-bis. Gli intermediari abilitati ai sensi dell’articolo 31, comma 2-quater, della legge 24 novembre 2000, n. 340, sono obbligati a richiedere per via telematica la registrazione degli atti di trasferimento delle partecipazioni di cui all’articolo 36, comma 1-bis, del decreto-legge 25 giugno 2008, n. 112, convertito, con modificazioni, dalla legge 6 agosto 2008, n. 133, nonché al contestuale pagamento telematico dell’imposta dagli stessi liquidata e sono altresì responsabili ai sensi dell’articolo 57, commi 1 e 2, del testo unico delle disposizioni concernenti l’imposta di registro, di cui al decreto del Presidente della Repubblica 26 aprile 1986, n. 131. In materia di imposta di bollo si applicano le disposizioni previste dall’articolo 1, comma 1-bis.1, numero 3), della tariffa, parte prima, del decreto del Presidente della Repubblica 26 ottobre 1972, n. 642, come sostituita dal decreto del Ministro delle finanze 20 agosto 1992, pubblicato nel supplemento ordinario alla Gazzetta Ufficiale n. 196 del 21 agosto 1992, e successive modificazioni.

10-ter. Con provvedimento del Direttore dell’Agenzia delle entrate sono stabiliti i termini e le modalità di esecuzione per via telematica degli adempimenti di cui al comma 10-bis.

Questi commi, sull’onda della semplificazione, confermano la rivoluzione già avviata con la “manovra di Fine Estate” (DL 112/2008, poi convertito con modifiche nella Legge 6 agosto 2008, n. 133), secondo la quale è consentito il trasferimento di quote di S.r.l. anche attraverso un semplice documento informatico provvisto di firma digitale, senza prevedere l’utilizzo della sottoscrizione autenticata dal notaio (come invece previsto nell’art. 2470 c.c. II comma).

Proseguiamo con le novità. Rimane inalterato il comma 12:

12. I commi 4 e 5 dell’articolo 23 del decreto legislativo 7 marzo 2005, n. 82, recante «Codice dell’amministrazione digitale», sono sostituiti dai seguenti:
«4. Le copie su supporto informatico di qualsiasi tipologia di documenti analogici originali, formati in origine su supporto cartaceo o su altro supporto non informatico, sostituiscono ad ogni effetto di legge gli originali da cui sono tratte se la loro conformità all’originale è assicurata da chi lo detiene mediante l’utilizzo della propria firma digitale e nel rispetto delle regole tecniche di cui all’articolo 71.
5. Con decreto del Presidente del Consiglio dei Ministri possono essere individuate particolari tipologie di documenti analogici originali unici per le quali, in ragione di esigenze di natura pubblicistica, permane l’obbligo della conservazione dell’originale analogico oppure, in caso di conservazione ottica sostitutiva, la loro conformità all’originale deve essere autenticata da un notaio o da altro pubblico ufficiale a ciò autorizzato con dichiarazione da questi firmata digitalmente ed allegata al documento informatico.».

Nel comma 12 dell’art. 16 si rende possibile una conservazione sostitutiva degli originali analogici unici a cura del “detentore” del documento cartaceo (o comunque a cura del responsabile della conservazione da lui nominato), il quale semplicemente apporrà la sua firma digitale (e assicurerà la validazione temporale a chiusura del processo), salvo eccezioni che saranno indicate con successivo decreto ministeriale finalizzato a individuare solo specifiche categorie documentali per le quali esigenze pubblicistiche determinino un obbligo di conservazione dell’originale analogico o comunque rendano indispensabile una sostituzione “certificata” del documento analogico unico con la sua copia conforme digitale, a cura di un pubblico ufficiale.

Insomma, la presenza del notaio diventa un’eccezione nei processi di dematerializzazione degli originali analogici unici e ci saranno rilevanti, positive conseguenze per i processi di digitalizzazione di contratti, documenti privacy, polizze assicurative e altre tipologie documentali per le quali ancora si nutrivano (immotivati) dubbi in merito alla loro possibile sostituibilità in digitale.

La soluzione prospettata dal legislatore appare certamente apprezzabile e in linea con quanto sostenuto dal Consiglio di Stato in un suo autorevole parere del 7 febbraio 2005, secondo il quale “non si comprende perché l’attestazione di conformità non possa essere fatta da chi ha formato l’atto o chi lo riceve“. Pur apprezzando l’intenzione del legislatore di conferire un forte impulso alle politiche di dematerializzazione, soprattutto nel settore privato, appare comunque doveroso riferire che la riforma contenuta nel D.L. (e non toccata nel D.L. approvato dalla Camera) desta qualche perplessità. Prima di tutto il concetto di “detentore” rimane piuttosto indefinito. Chi è costui? Il legittimo titolare dei documenti originali unici? O il semplice possessore di questi documenti? Anche la forma utilizzata nel definire la fattispecie non è particolarmente felice, infatti, si spiega nell’articolo che le copie su supporto informatico di qualsiasi tipologia di documenti analogici originali, formati in origine su supporto cartaceo o su altro supporto non informatico, sostituiscono ad ogni effetto di legge gli originali da cui sono tratte se la loro conformità all’originale è assicurata da chi lo detiene (non sarebbe stato più corretto scrivere “li detiene” o quanto meno “da chi detiene legittimamente l’originale del documento”?). E, ancora, perchè si è voluto eliminare dal comma 4 dell’art. 23 del CAD il richiamo alla figura fondamentale del “Responsabile della conservazione sostitutiva”? Quel comma costituiva l’unica fonte primaria in cui veniva fatto espresso riferimento a tale figura, che adesso risulta ricavabile solo dalla deliberazione CNIPA n 11/2004 e da una lettura interpretativa dell’art. 44 del CAD…un po’ troppo poco, considerata la rilevanza della figura nelle strategie di dematerializzazione!

Infine, un’altra rilevante novità è contenuta nel DL approvato alla Camera. Viene introdotto un nuovo comma, il 12bis che inserisce un nuovo articolo nel nostro codice civile:

12-bis. Dopo l’articolo 2215 del codice civile è inserito il seguente:
«Art. 2215-bis. – (Documentazione informatica). – I libri, i repertori, le scritture e la documentazione la cui tenuta è obbligatoria per disposizione di legge o di regolamento o che sono richiesti dalla natura o dalle dimensioni dell’impresa possono essere formati e tenuti con strumenti informatici.

Le registrazioni contenute nei documenti di cui al primo comma debbono essere rese consultabili in ogni momento con i mezzi messi a disposizione dal soggetto tenutario e costituiscono informazione primaria e originale da cui è possibile effettuare, su diversi tipi di supporto, riproduzioni e copie per gli usi consentiti dalla legge.

Gli obblighi di numerazione progressiva, vidimazione e gli altri obblighi previsti dalle disposizioni di legge o di regolamento per la tenuta dei libri, repertori e scritture, ivi compreso quello di regolare tenuta dei medesimi, sono assolti, in caso di tenuta con strumenti informatici, mediante apposizione, ogni tre mesi a far data dalla messa in opera, della marcatura temporale e della firma digitale dell’imprenditore, o di altro soggetto dal medesimo delegato, inerenti al documento contenente le registrazioni relative ai tre mesi precedenti.

Qualora per tre mesi non siano state eseguite registrazioni, la firma digitale e la marcatura temporale devono essere apposte all’atto di una nuova registrazione, e da tale apposizione decorre il periodo trimestrale di cui al terzo comma.

I libri, i repertori e le scritture tenuti con strumenti informatici, secondo quanto previsto dal presente articolo, hanno l’efficacia probatoria di cui agli articoli 2709 e 2710 del codice civile».

Questa novità desta non poche perplessità. Infatti, pur se si ritiene più che opportuno inserire nel nostro codice civile norme che legittimino finalmente i documenti informatici, si sta di fatto introducendo nel codice uno strumento tecnico (come la marca temporale, la quale ha anche un costo…) che tra qualche anno potrebbe essere superato. Ad avviso di chi scrive, in un codice civile sarebbe stato più opportuno e preferibile utilizzare una formula più generica e astratta, che rinvii eventualmente a specificazioni tecniche contenute in normative di dettaglio.

Infine, per quanto riguarda i libri contabili (libri giornale, registri IVA ecc.) il termine di tre mesi ha poco senso e soprattutto appare evidente una disparità di trattamento con i libri analogici. Non si vuole procedere con una forte spinta legislativa verso la semplificazione? Perché allora complicare le cose a chi vuole finalmente marciare in modo digitale?

carta d’identità elettronica e carta dei servizi: mille e non più mille (proroghe)

Il Consiglio dei Ministri approverà domani 18 dicembre 2008 il decreto “milleproroghe”.

Tra “mille”, secondo quanto riferisce Il Sole 24 Ore, da notare quella al 31 dicembre 2009 della scadenza per l’accesso ai servizi online della Pubblica Amministrazione esclusivamente attraverso la carta d’identità elettronica e la carta nazionale dei servizi.

Si ricordi che già con il d.l. “milleproroghe” n. 148/2007 il termine di cui all’art. 64, comma 3, del d.lgs. n. 82 del 2005 (Codice dell’Amministrazione Digitale) era stato differito al 31 dicembre 2008.

Guardandosi intorno, proroga tutt’altro che inaspettata e tutt’altro che inopportuna.

L’art. 5 del Codice dell’Amministrazione Digitale e il diritto ai pagamenti elettronici possono attendere e sperare nella buona volontà.

pec e dematerializzazione, inizia la rivoluzione?

PEC e dematerializzazione nel decreto legge “anti-crisi” n. 185 del 29 novembre 2008: sarà vera rivoluzione?

Secondo l’autorevole e condivisibile opinione dell’avv. Andrea Lisi, se ne è consentita una prudente quanto rispettosa interpretazione, sì, almeno in parte e almeno in teoria, in fiduciosa attesa dell’attuazione delle nuove misure. E non solo di quelle nuove.

Certamente rivoluzionario è quanto stabilito dai commi 6 e 7 dell’art. 16, in riferimento all’obbligo per le imprese in forma societaria e per i professionisti di dotarsi di un indirizzo di Posta Elettronica Certificata. Ancor di più lo è il comma 12, che sostituisce i commi 4 e 5 dell’art. 23 del Codice dell’Amministrazione Digitale, rendendo possibile, fatte salve eccezioni dettate da esigenze pubblicistiche, la conservazione sostitutiva di copie su supporto informatico di documenti analogici originali, da parte di chi li detiene e apposta la firma digitale.

A uno sguardo appena superficiale, poi, esaurito l’entusiasmo delle prime ore, meno rivoluzionario o semplicemente più realista appare il testo dei commi 8 e 9, secondo cui, tra l’altro: “Le amministrazioni pubbliche …, qualora non abbiano provveduto ai sensi dell’articolo 47, comma 3 lettera a), del Codice dell’Amministrazione digitale …, istituiscono una casella di posta certificata … . Salvo quanto stabilito dall’articolo 47, commi 1 e 2, del codice dell’amministrazione digitale di cui al decreto legislativo 7 marzo 2005, n. 82, le comunicazioni tra i soggetti di cui al comma 8 del presente articolo, che abbiano provveduto agli adempimenti ivi previsti, possono essere inviate attraverso la posta elettronica certificata, senza che il destinatario debba dichiarare la propria disponibilità ad accettarne l’utilizzo.”.

Se l’ultimo inciso del comma 9 rappresenta senza dubbio una svolta sul piano culturale e concettuale, più ancora che normativo, il comma 8 non può non indurre in prima battuta a una riflessione: l’amministrazione rimasta inerte nonostante il dettato dell’articolo 47, comma 3, lettera a) del Cad (“…entro otto mesi dalla data di entrata in vigore del presente codice le pubbliche amministrazioni centrali provvedono a … istituire almeno una casella di posta elettronica istituzionale ed una casella di posta elettronica certificata…”), non avendo provveduto subisce come sanzione quella di dover… provvedere.

“Le norme inserite nel decreto anti-crisi si allineano a quanto già contenuto in altri precedenti articoli contenuti nella legge finanziaria 2008 e mirano a diffondere, a suon di moniti e sanzioni, uno strumento che purtroppo è nato monco, seppur nei suoi intenti poteva avere una evidente utilità”: quanto può considerarsi rivoluzionario, sembra invitare a chiedersi l’avv. Lisi, continuare a muoversi nel solco di una tradizione non esattamente di successo?

Il dibattito sulla sanzione dell’inerzia della Pubblica Amministrazione in materia di innovazione e applicazione del Cad è antico almeno quanto quest’ultimo. Non basta, lo dice la storia, prevedere la responsabilità dirigenziale. Non è sufficiente fissare dei termini, saggiamente non riproposti dal piano “anti-crisi”. Non ci si può accontentare degli esempi virtuosi, che pure esistono in molte realtà centrali e periferiche e in alcuni ambiti specifici più o meno ampi. E’ dunque col decreto legge “anti-crisi” che la rivoluzione-innovazione nei rapporti tra cittadino-impresa e Pubblica Amministrazione può dirsi avviata e a buon punto?

O ai più pazienti tra coloro che cercano il conforto della concreta applicazione, non resta forse che attendere l’approvazione del disegno di legge n. 1082 (Camera n. 1441 bis), attualmente al vaglio delle Commissioni del Senato, e poi l’attuazione “entro diciotto mesi dalla data di entrata in vigore” delle deleghe contenute all’art. 23 e già oggetto di attenzione e commento la scorsa estate (sulla firma digitale, notevoli le osservazioni dell’avv. Marco Scialdone)?

Forse sì, forse no. Eccedere in pessimismo rallenta l’innovazione. Ma anche cullarsi sugli allori, tanti o pochi che essi siano.

Nel frattempo, quindi, e forse già da tempo, la rivoluzione, che delle evoluzioni normative pur si alimenta, prenda le mosse dal basso: dal cittadino-impresa e dalle opportunità offerte dall’art. 3 del Cad, informazione permettendo (puntuali le recenti considerazioni espresse dall’avv. Ernesto Belisario); dai professionisti, dagli imprenditori e dalla prassi; dall’iniziativa privata e volontaria per la diffusione della cultura dell’innovazione, come avviene in tema di conservazione sostitutiva e dematerializzazione e in settori professionali e dell’amministrazione che segnano il passo; dalla sperimentazione, dalla fantasia e dalla provocazione che ogni giurista, utente per mestiere e per passione dell’informatica, ha gli strumenti per porre in essere.

Questo sì, è l’inizio di una rivoluzione. Non solo in parte e non più in teoria.

più pec per tutti, e non solo

Il Consiglio dei Ministri ha varato ieri, 28 novembre 2008, l’atteso decreto legge “anti-crisi”. Tra le misure per la riduzione dei costi amministrativi a carico delle imprese, importanti modifiche al Codice dell’Amministrazione Digitale (D. Lgs. n. 82/2005) e al Regolamento per l’utilizzo della Posta Elettronica Certificata (D.P.R. n. 68/2005).

Ecco cosa prevede l’art. 16 ai commi 6 e seguenti:

6. Le imprese costituite in forma societaria sono tenute a indicare il proprio indirizzo di posta elettronica certificata nella domanda di iscrizione al registro delle imprese. Entro tre anni dalla data di entrata in vigore della presente legge tutte le imprese, già costituite in forma societaria alla medesima data di entrata in vigore, comunicano al registro delle imprese l’indirizzo di posta elettronica certificata. L’iscrizione dell’indirizzo di posta elettronica certificata nel registro delle imprese e le sue successive eventuali variazioni sono esenti dall’imposta di bollo e dai diritti di segreteria.

7. I professionisti iscritti in albi ed elenchi istituiti con legge dello Stato comunicano ai rispettivi ordini o collegi il proprio indirizzo di posta elettronica certificata entro un anno dalla data di entrata in vigore della presente legge. Gli ordini e i collegi pubblicano in un elenco consultabile in via telematica i dati identificativi degli iscritti con il relativo indirizzo di posta elettronica certificata.

8. Le amministrazioni pubbliche di cui all’articolo 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, e successive modificazioni, qualora non abbiano provveduto ai sensi dell’articolo 47, comma 3 lettera a), del Codice dell’Amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, istituiscono una casella di posta certificata per ciascun registro di protocollo e ne danno comunicazione al Centro nazionale per l’informatica nella pubblica amministrazione, che provvede alla pubblicazione di tali caselle in un elenco consultabile per via telematica. Dall’attuazione del presente articolo non devono derivare nuovi o maggiori oneri a carico della finanza pubblica e si deve provvedere nell’ambito delle risorse disponibili.

9. Salvo quanto stabilito dall’articolo 47, commi 1 e 2, del codice dell’amministrazione digitale di cui al decreto legislativo 7 marzo 2005, n. 82, le comunicazioni tra i soggetti di cui al comma 8 del presente articolo, che abbiano provveduto agli adempimenti ivi previsti, possono essere inviate attraverso la posta elettronica certificata, senza che il destinatario debba dichiarare la propria disponibilità ad accettarne l’utilizzo.

10. La consultazione per via telematica dei singoli indirizzi di posta elettronica certificata nel registro delle imprese o negli albi o elenchi costituiti al sensi del esente articolo avviene liberamente e senza oneri. L’estrazione di elenchi di indirizzi è consentita alle sole pubbliche amministrazioni per le comunicazioni relative agli adempimenti amministrativi di loro competenza.

11. I commi 4, 5, 6 e 7 dell’articolo 4 del decreto del Presidente della Repubblica 11 febbraio 2005, n. 68, sono abrogati.

12. I commi 4 e 5 dell’articolo 23 del decreto legislativo 7 marzo 2005, n. 82, recante “Codice dell’amministrazione digitale”, sono sostituiti dai seguenti:

“4. Le copie su supporto informatico di qualsiasi tipologia di documenti analogici originali, formati in origine su supporto cartaceo o su altro supporto non informatico, sostituiscono ad ogni effetto di legge gli originali da cui sono tratte se la loro conformità all’originale è assicurata da chi lo detiene mediante l’utilizzo della propria firma digitale e nel rispetto delle regole tecniche di cui all’ articolo 71.

5. Con decreto del Presidente del Consiglio dei Ministri possono essere individuate particolari tipologie di documenti analogici originali unici per le quali, in ragione di esigenze di natura pubblicistica, permane l’obbligo della conservazione dell’originale analogico oppure, in caso di conservazione ottica sostitutiva, la loro conformità all’originale deve essere autenticata da un notaio o da altro pubblico ufficiale a ciò autorizzato con dichiarazione da questi firmata digitalmente ed allegata al documento informatico.”.

attacco alla firma digitale: caso chiuso, forse

Caso risolto, forse.

L’acceso confronto sull’attacco alla firma digitale, che ha appassionato per giorni tecnici e giuristi naturalmente e in gran parte spettatori interessati, sembra essere giunto quantomeno a una tregua.

Alle prime osservazioni di Manlio Cammarata e Corrado Giustozzi e alla replica del docente reggino, già pubblicata sul sito dell’Università Mediterranea, poi su questo blog, e ora anche su Interlex, hanno fatto seguito da un lato le controrepliche degli stessi Cammarata e Giustozzi e dall’altro la risposta del Prof. Buccafurri al Presidente del CNIPA, che in una lettera del 25 giugno 2008 indirizzata al periodico Panorama aveva lamentato, sia consentita la brutale sintesi, l’equivocità del titolo dell’articolo che per primo ha diffuso la notizia.

Le ultime precisazioni sembrano ora, o forse solo per ora, sospendere la querelle.

E’ il momento dunque di giungere a qualche considerazione, modestamente generica, necessariamente parziale e senza la pretesa di andare molto oltre lo spunto e il punto di domanda.

Quel che è certo è che la firma digitale, allo stato della norma e della tecnica, non è falsificabile.

Ma è anche certo che nessuno, a Reggio Calabria, ha mai dichiarato di averla falsificata.

Una prima riflessione, forse la più importante e la più condivisa, quindi per nulla originale, non può non vertere allora sul ruolo dell’informazione in questa vicenda e sulla qualità generale della comunicazione in tema di informatica e di diritto dell’informatica; qualità da intendersi come puntualità anche formale e che dovrebbe essere tanto maggiore quanto pubblicamente e socialmente rilevanti sono, e lo saranno sempre più, gli argomenti trattati.

Nessuna smentita ha poi ricevuto l’affermazione del Prof. Buccafurri, secondo cui il tipo di attacco portato dal suo gruppo non è mai stato documentato, a fronte di diverse e concordi opinioni che ritengono il problema noto da tempo e l’esperimento già variamente attuato e rappresentato.

Non ci si può allora non chiedere, tralasciando volutamente il problema tutto accademico della primogenitura che pure si è posto, se e in quali termini l’ipotesi su cui si fonda l’attacco delle scorse settimane, ovvero l’ambiguità del documento, sia in effetti, o almeno negli effetti, assimilabile ad altra ipotesi, questa sì all’origine di questioni certamente già affrontate e risolte dal legislatore, quale la presenza di macro-istruzioni.

E, di conseguenza, se sia il caso di porre rimedio a una falla del sistema, che non riguarda la firma in sé ma che c’è, o non piuttosto di affidarsi alla chiarezza, se tale è e tale è destinata a permanere, della definizione giuridica di documento informatico valido agli effetti di legge, oltre che alle norme sul falso e quindi in ultima istanza al giudice, della cui presenza troppo spesso, anche tra i giuristi, complice la mistica della prevenzione informatica, ci si dimentica.

La verità, per quel che concerne e coinvolge l’ambito prettamente giuridico, non sta nel mezzo, ma forse un pò per volta in tutte le posizioni fin qui espresse.

la replica del prof. buccafurri

Con il più sincero ‘grazie’ al Prof. Buccafurri per l’interesse verso questo giovane blog e con l’autorizzazione dello stesso, riporto di seguito la replica agli articoli pubblicati su Interlex a firma di Manlio Cammarata e di Corrado Giustozzi (il brano peraltro è già on line sul sito dell’Università degli Studi Mediterranea di Reggio Calabria):

<…chiarisco da subito che l’attacco non riguarda la robustezza degli algoritmi e hash crittografici usati per la generazione e la verifica della firma. Riguarda invece sia le procedure attualmente utilizzate per “confezionare” la busta crittografica e verificare la validità della firma, che le informazioni incluse nella stessa busta crittografica.

A causa di recenti articoli apparsi sul Web, redatti sulla base di una cattiva interpretazione dei nostri risultati scientifici è opportuno, prima di presentare l’attacco, offrire i seguenti chiarimenti:

In riferimento all’articolo apparso su interlex , N. 376, del 26 giugno 2008, dal titolo “Un ‘baco’ che non c’è e una scorciatoia per i disonesti” di Manlio Cammarata

Cammarata scrive:

Il problema del documento che cambia contenuto non è nuovo. E’ stato sollevato nel lontano 2002, oggetto di approfondite discussioni su queste pagine.

E’ falso. Il problema era noto ben prima. Già la deliberazione AIPA 51/2000 introduce una serie di prescrizioni destinate alle PA sui formati da utilizzare, in riferimento alla non staticità dei documenti. Tuttavia, come osservato piu’ avanti, tale fattispecie è diversa da quella individuata nel nostro studio.

Cammarata scrive:

Il legislatore ha risolto da tempo il problema: per essere “valido e rilevante a tutti gli effetti di legge” e quindi equivalente al documento cartaceo con firma autografa, il documento informatico deve presentare una serie di requisiti. Prima di tutto “I documenti informatici devono essere presentati al titolare, prima dell’apposizione della firma, chiaramente e senza ambiguità” (CAD, art. 35, c. 2). Poi “Il documento informatico sottoscritto con firma digitale o altro tipo di firma elettronica avanzata basata su un certificato qualificato e generata mediante un dispositivo sicuro per la creazione di una firma non produce gli effetti di cui all’articolo 10, comma 3, del testo unico se contiene macroistruzioni o codici eseguibili, tali da attivare funzionalità che possano modificare gli atti, i fatti o i dati nello stesso rappresentati” (art. 3, comma 3 delle regole tecniche attualmente in vigore – DPCM 13 gennaio 2004).

I documenti utilizzati dai ricercatori calabresi non presentano questi requisiti. Quindi non possono essere validi ai sensi della normativa sulla firma digitale. Se qualcuno pensasse di servirsene per trarre qualcuno in inganno, potrebbe incorrere in uno dei reati di falso previsti e puniti dagli articoli 476 e seguenti del codice penale. Fine della questione.

Anche questo è falso. Relativamente a quanto prescritto dal CAD, art 35, comma 2, è sufficientemente evidente che un documento precostituito per l’attacco da noi documentato “si presentata al titolare, prima dell’apposizione della firma, chiaramente e senza ambiguità”.

Ma d’altra parte il comma 2 del suddetto art. 35 NON RIGUARDA IL FORMATO O LE PROPRIETA’ DEL DOCUMENTO, ma solo LE CARATTERISTICHE DEL DISPOSITIVO DI FIRMA E DEL SOFTWARE DI FIRMA. (Tra l’altro il comma 3 esclude da questa prescrizione le firme applicate mediante procedura automatica — ma questo non è di rilievo). Quindi nulla ha a che vedere con la materia oggetto di discussione.

Relativamente all’art. 3, comma 3 delle regole tecniche attualmente in vigore – DPCM 13 gennaio 2004, è anche qui facile rendersi conto che tale prescrizione, cosi’ come quella della (implicitamente abrogata?) deliberazione AIPA 51/2000, si riferisce alla possibile presenza di macro-codice o codice eseguibile nei documenti.

Il nostro attacco NON SI BASA SULL’INCLUSIONE DI MACRO-CODICE O CODICE ESEGUIBILE NEL DOCUMENTO, operando, per esempio, su un formato (come quello immagine – BMP) che non puo’ contenere tali istruzioni. Del resto il CNIPA, mi ha confermato senza ambiguità la non diretta applicazione del sopra citato art. 3, e la necessità di adeguare le norme tecniche.

Detto questo non è da escludere che in giudizio potrebbe anche essere adottata un’applicazione estensiva di tale prescrizione, “assimilando” il nostro attacco a quello basato su documenti contenenti macro-istruzioni, ma questa è un’altra faccenda.

Attiene alla giusta facoltà del Giudice di compensare, secondo il suo prudente apprezzamento e l’applicazione della giurisprudenza, eventuali vacanze, aporie logiche, contraddizioni, che possono esistere (come in questo caso) nella normativa vigente. Ciò tuttavia non solleva il legislatore dall’obbligo di ridurre più possibile tali incogruenze normative.

Infine, che sulla base dell’attacco possono essere realizzati reati (frode informatica, falso in scrittura privata, falso ideologico, etc.) è più che lapalissiano.

E’ il motivo per il quale ho ritenuto di dover divulgare più in fretta possibile questo studio, e di informare preventivamente (PRIMA DELLA PUBBLICAZIONE SCIENTIFICA) il CNIPA, quale organo di riferimento in questa materia.

In riferimento all’articolo apparso su interlex , N. 376, del 26 giugno 2008, dal titolo “La luna, il pozzo, la bufala” di Corrado Giustozzi

Giustozzi scrive:

Sembrava impossibile, eppure al giorno d’oggi c’è ancora qualcuno che ha il coraggio di sostenere di aver trovato il punto debole della firma digitale e di essere in grado di falsificarla. Ora, si trattasse di qualcuno che ha trovato un algoritmo efficiente di fattorizzazione, gli daremmo il premio Nobel (stiamo cercando tale algoritmo “solo” da duemilacinquecento anni, e la firma digitale si basa proprio sulla speranza che non esista…); si trattasse di qualcuno che ha trovato un modo di generare facilmente collisioni di tipo second preimage nelle funzioni hash tipo SHA-2 gli faremmo tanto di cappello; ma i trucchi da imbonitore, per carità, evitateceli. E soprattutto non spacciateli per “debolezze intrinseche” della firma digitale: sarebbe come dire che i tostapane non funzionano perché se ci metto dentro una trota non esce una fetta di pane tostato!

Non abbiamo mai affermato nella nostra ricerca che il nostro attacco si basi sulla “rottura” dell’algoritmo RSA o degli hash crittografici usati nella firma. Il riferimento di Giustozzi a questa fattispecie è del tutto fuori luogo. Per informazione, il premio Nobel non potrà mai essere preso da nessuno in questo campo, perchè il premio Nobel non è stato istituito nè per la matematica, nè per l’informatica, che è disciplina troppo giovane. Poteva fare riferimento invece al premio Turing, scienziato che Giustozzi dall’alto della sua esperienza sicuramente conoscerà, come conoscerà la sua teoria.

Giustozzi scrive:

Già. In realtà ciò che il pluringegneristico team di ricerca dell’Università Mediterranea ha scoperto, e persino documentato in un dottissimo paper disponibile in sola lingua inglese, non è ahimè una vulnerabilità “della firma digitale” tout court ma, banalmente, una nota ed annosa limitazione (pardon,“caratteristica”) di Windows. Tant’è che la proof of concept da essi illustrata a sostegno della propria tesi non funziona su nessun altro sistema operativo degno di questo nome. Ma di ciò i ricercatori calabresi si sono “dimenticati” di far menzione…

Vediamo dunque come stanno le cose. Dice il calabro ricercatore: “se prendo una immagine in formato BMP che dice una cosa, la violento trasformandola surrettiziamente in un documento HTML che ne dice un’altra, firmo il tutto, cambio nome al file da BMP in HTML, lo apro, allora perbacco! vedo il file HTML e non l’immagine BMP”.

Grande scoperta: lo sanno tutti che Windows decide cos’è un file non andandolo a guardare ma fidandosi di quello che dice il suo nome, o meglio l’estensione di tre lettere che segue il punto.

Così se prendo un file DOC e gli cambio estensione in BMP, e poi ci clicco sopra due volte, non partirà Word per aprirlo ma Paint, o il programma di grafica attivo per default; il quale oltretutto si arrabbierà moltissimo per non essere in grado di aprire il file, dato che il suo contenuto non corrisponde a quello previsto per un file BMP, e non saprà cosa fare per visualizzarlo. Naturalmente ciò vale anche per il viceversa, e per qualsiasi altra trasformazione da un’estensione ad un’altra. (Notiamo per inciso che tutti i sistemi operativi più seri quali Unix o Mac-OS non basano la loro decisione su una mera convenzione associata al nome del file, ma vanno a guardare cosa c’è effettivamente nel file stesso e lo riconoscono per quello che è il suo reale formato. Windows no, bontà sua).

Ora, è perfettamente possibile pensare di riuscire a costruire un file che risponda contemporaneamente alle specifiche tecniche di due formati differenti. Si tratta di una situazione patologica ma sicuramente realizzabile, magari sfruttando ad arte qualche bug di qualche diffuso programma di interpretazione di specifici formati (quello che si chiama genericamente parser). Ad esempio, come hanno fatto i ricercatori calabresi, si può accodare ad una immagine BMP un pezzo di testo HTML (confidando che il parser delle immagini non protesti per questi dati extra!) e quindi modificare i primi byte dell’immagine BMP (sempre confidando che il medesimo parser sia di bocca buona…) per far sì che l’immagine stessa appaia ad un interprete di codice HTML come un “commento” da ignorare.

 

Ora, questo abominio digitale è l’equivalente di quelle immagini ambivalenti di cui vanno tanto fieri gli psicologi cognitivi: ad esempio i due famosi profili affacciati che visti in altro modo diventano una coppa, o la vecchia signora che vista in altro modo diventa una giovane ragazza. Un bieco trucco, insomma, nel quale il file “taroccato” può essere aperto sia da un parser per immagini (che “vede” la sola parte BMP ed ignora quella HTML) che da un parser per HTML (che viceversa “vede” la sola parte HTML ed ignora quella BMP), con contenuti ovviamente assai diversi tra l’uno e l’altro caso.

La miopia di Windows fa sì che questa insana ambivalenza interpretativa possa essere “pilotata” a piacere semplicemente modificando l’estensione del file: se questa è BMP allora il doppio clic lo farà automaticamente aprire da un visualizzatore di immagini, mentre se è HTML da un browser. I risultati saranno ovviamente diversi, perché ciascun programma “vedrà” solo la parte di file che è in grado di interpretare e, se non è troppo schizzinoso, non si lamenterà per non riuscire ad interpretare l’altra parte. Ciò però vuol dire che il file è cambiato da una visualizzazione all’altra? Ovviamente no: semplicemente, l’automatismo fa sì che se ne veda una parte oppure un’altra, a scelta. Ma il file è sempre quello, nella sua immutabile interezza, a prescindere da quale parte si decida di vederne.

Il fatto che i file prodotti secondo la tecnica da noi mostrata siano “polimorfi” è un fatto intrinseco. Non dipende dal Sistema Operativo usato.

La cosa attiene ad un principio basilare, noto a chiunque sia competente in informatica, circa il fatto che il significato di una sequenza di bit puo’ essere definito quando è definita la codifica che essi rappresentano, e quindi il modo con cui questi bit devono essere intepretati.

L’aggravante dei sistemi operativi che, come Windows, effettuano associazioni automatiche tra file ed applicazioni in base al’estensione, rende il problema significativo dal punto di vista pratico, circa il modo con cui la firma è utilizzata, considerato che la stragrande maggioranza dei documenti (ivi compresi quelli firmati) sono elaborati e mantenuti su piattaforma Microsoft (piaccia o non piaccia).

Giustozzi scrive:

E allora dov’è il tanto sbandierato bug della firma digitale? Ci dice ancora il professore: “se io firmo il file, e poi cambio estensione al file firmato, visualizzo di fatto un documento non conforme a quello che mi aspettavo, eppure la firma digitale risulta sempre verificata.”.

Ma che grande scoperta! Il file non è stato modificato, e dunque è ovvio che la firma digitale risulti verificata. Il fatto che il trucco dell’estensione continui a funzionare sul file firmato è un problema che riguarda la miopia di Windows, non la firma digitale in sé: la quale, come noto, riguarda solo ed esclusivamente il contenuto di un file e non, per amor di Dio, i suoi metadati.

Il motivo che la firma non rilevi il problema, è certamente evidente, per come funziona la firma e per come è usata la busta crittografica. Il problema sta proprio nel fatto che i metadati non vengono firmati. Questo è proprio la debolezza su cui si basa l’attacco. Come il CNIPA mi ha confermato, circa l’ipotesi di soluzione da noi ipotizzata (inclusione del nome — in particolare l’estensione — del file in un campo della busta sottoposto a firma), sarebbe una soluzione da “consigliare ai certificatori” (anche se, probabilmente, di difficile attuazione — aggiungo io)

Giustozzi scrive:

In altre parole: nella formazione della firma digitale non concorrono cose quali il nome del file, la sua data di creazione, la lunghezza, l’attributo di sola lettura e via dicendo, com’è giusto che sia. Perché infatti il nome di un documento dovrebbe essere significativo rispetto al suo contenuto? Sarebbe come se il nome attribuito ad un faldone nel quale sono riposti degli atti fosse importante ai fini del contenuto degli atti ivi riposti, col risultato che l’eventuale modifica del nome del faldone dovrebbe inficiare la validità (e la firma) degli atti stessi!

La metafora del faldone non regge. Il fatto che il nome diventi significativo nel nostro caso dipende da un fatto tecnico.

Di fatti si parla dell’estensione e non del nome, in quanto essa (per la quasi totalità dei casi reali — windows è il piu’ diffuso SO al mondo), è un metadato che DESCRIVE IL FORMATO DEL DOCUMENTO.

Allora la metafora giusta dovrebbe essere legata ad una domanda del tipo:

“Avrebbe efficacia probatoria, in merito alla funzione dichiarativa, una firma autografa apposta su un documento codificato in un linguaggio coniato ad hoc, dal sottoscrittore, non noto a nessuno, senza che il documento stesso abbia al suo interno “i metadati” necessari a poter intepretare il contenuto?”

Il valore probatorio sarebbe nullo.

Semplicemente perchè quel pezzo di carta non sarebbe un documento secondo l’accezione giuridica del termine (in quanto non è la rappresentazione di atti e fatti giuridicamente rilevanti, ma soltanto una sequenza inintellegibile di caratteri).

Giustozzi scrive:

Con l’occasione notiamo che i nostri prodi ricercatori, senza dover necessariamente stuprare un’immagine BMP, potevano produrre un effetto similare in vari modi alternativi. Prendiamo ad esempio il formato ZIP, comunemente usato per archiviare tanti file comprimendoli in uno solo: oramai molte applicazioni di uso comune producono i loro file in questo formato standard, ma hanno cura di dotarli di estensioni differenti per fare in modo che non vengano aperti per errore da altre applicazioni. Il formato ODT per i documenti OpenOffice ed il formato JAR usato per distribuire classi Java e metadati associati sono due esempi comuni di tale diffusa pratica. Se dunque fate doppio clic su un file ODT esso verrà aperto da OpenOffice come se fosse un documento (ed in effetti lo è), mentre se gli cambiate nome in ZIP e poi gli fate doppio clic verrà aperto da WinZip come se fosse un archivio (ed in effetti è anche questo!). Anche in questo caso la semantica dell’azione innescata dal doppio clic viene decisa dall’estensione associata al nome del file, e ciascuna applicazione lanciata lo vedrà in modo diverso: ma la sostanza del file rimane sempre la medesima, ossia quella di un insieme di byte unico ed immutabile.

Anche in questo caso, dunque, funzionerebbe il trucco del professore calabrese: ma cosa c’entra la firma digitale?

Ciò che dice Giustozzi su Zip e ODT è privo di significato. Il nostro attacco è basato sulla capacità di un documento di presentarsi in modo diverso con diversi contenuti informativi entrambi intellegibili. Per questo ha significatività pratica. Non è il caso a cui Giustozzi si riferisce.

Giustozzi scrive:

Per concludere: non scherziamo con la firma digitale e soprattutto non scomodiamola invano. Già ha avuto tanti problemi nel corso degli anni, ed ha dovuto subire denigrazioni e sconfessioni da parte di personaggi ed istituzioni a dir poco insospettabili. Se c’è tuttavia una cosa che funziona bene sono i suoi meccanismi tecnici, e quelli non è possibile metterli in discussione con trucchi da prestigiatore. Una cosa di cui assolutamente non abbiamo bisogno è quella di ingenerare nella gente comune ulteriore confusione e sospetto nei riguardi delle tecnologie digitali.

Se vogliamo alzare il livello di alfabetizzazione e pretendere che tutti inizino a partecipare alla vita della Società digitale non possiamo continuare impunemente a fare disinformazione terroristica sulla valenza delle tecnologie abilitanti su cui essa si fonda. Quando si scoprirà l’algoritmo di fattorizzazione veloce o quello di collisione degli hash ci preoccuperemo, ma sino ad allora, per carità, non alimentiamo falsi spettri con minacce inesistenti.

Mi fa piacere che Giustozzi sia così tranquillo e scettico rispetto alla necessità di adottare strategie per evitare l’uso fraudolento della debolezza da noi individuata. Si sa che l’ansia non fa bene alla salute.

Vedo infatti che ha perso l’atteggiamento ansioso che invece aveva nel settembre del 2002, quando (con almeno 2 anni di ritardo — in quanto la cosa era ampiamente regolata dalla normativa vigente in forza della deliberazione AIPA 51/2000), nell’articolo “Funziona o non funziona? L’aspetto tecnico” (http://www.interlex.it/docdigit/corrado8.htm) propagandava come scoop il fatto che alcuni formati comunemente usati (es. Word, ed Excel) potessero includere macro-istruzioni, e i relativi rischi di falsi informatici, senza neppure citare che l’organo competente (AIPA) aveva già considerato approfonditamente il problema e introdotto restrizioni nell’ambito della PA relative ai formati utilizzabili (sopra citata deliberazione AIPA 51/2000).

In quell’articolo Giustozzi era particolarmente preoccupato per l’attacco basato sulle macro-istruzioni, che, si noti bene, ha GLI STESSI POTENZIALI EFFETTI DELL’ATTACCO PRESENTATO NEL NOSTRO STUDIO. Infatti, nella sezione introduttiva dell’articolo scriveva:

“Tuttavia non si può evitare di affrontare la questione, liquidandola, come molti hanno fatto, con un’alzata di spalle: il problema c’è davvero ed è anche dannatamente serio, come vedremo. Ed è anche, purtroppo, di difficilissima soluzione, perché non è un problema (solo) tecnico. Siamo nella classica situazione in cui bisogna cercare di salvare capra e cavoli; questa volta però non è detto che ci si riesca, forse occorrerà sacrificare qualche cavolo. “

Ma, in relazione alla mutevolezza delle dotte valutazioni di Giustozzi, è davvero singolare la parte finale di quell’articolo che recita:

“Quale può essere infine la conclusione di questa vicenda? La risposta non è facile. Il buon senso suggerirebbe di risolvere il problema limitando il novero dei documenti firmabili digitalmente ai soli formati “puri”, non programmabili, immutabili ed assoluti. Ossia ai veri documenti, e non ai meta-documenti come sono quelli di Word o di Excel [...]“.

Ciò dimostra che un mondo ideale in cui sono ammessi formati che non includono macro-istruzioni o codice eseguibile l’avrebbe tranquillizzato.

Oggi Giustozzi scopre che anche in questo mondo ideale (il nostro attacco agisce infatti su un formato – quello immagine – che assolutamente non può includere macro-istruzioni), i pericoli a cui fa riferimento in quell’articolo esisterebbero comunque, ma non si preoccupa per nulla.

Le mie congratulazioni, significa che ha migliorato di molto il suo self-control.

Buona navigazione

Francesco Buccafurri>

il baco, c’è o non c’è? (2)

Come previsto, il dibattito sull’attacco alla firma digitale si fa alto e intenso col passare dei giorni e delle ore, al pari di un confronto di idee tanto animoso quanto affascinante per i risvolti tecnici, e si arricchisce di contributi e opinioni di esperti, operatori e appassionati (si segnalano tra gli ultimi: “Firma digitale falsificata? E’ falsa solo la notizia” di Diego Zanga su Punto Informatico e “Firma digitale falsificata in Italia? La notizia non trova conferme, ma un piccolo bug esiste” a cura della Redazione di Webmaster Point).

Un interessante spunto di riflessione proviene da Mr. Webmaster: …il passaparola non sempre efficentissimo della Rete ha presto trasformato la già non troppo rassicurante parola “attacco” in “falsificazione”….

il baco, c’è o non c’è?

Si anima il dibattito tra giuristi e tecnici informatici sull’ormai celebre “attacco alla firma digitale”, portato da un gruppo di ricercatori dell’Università degli Studi Mediterranea di Reggio Calabria.

Nella prospettiva giuridica è interessante, oltre che autorevole, l’opinione di Manlio Cammarata, direttore di Interlex, in “Un ‘baco’ che non c’è e una scorciatoia per i disonesti”.

Il passaggio sul falso, in particolare, dimostra come spesso, davanti alle incertezze e agli allarmi sull’uso delle nuove tecnologie, le norme vigenti, quand’anche concepite in altra epoca, e la loro interpretazione possano offrire al cittadino e all’operatore un approdo sicuro, atteso che prevenire e prevedere tutto è impossibile e forse anche poco auspicabile.

Non sarebbe la prima volta, d’altronde, che il diritto arriva prima e magari meglio della tecnologia.

Sotto un profilo tecnico, agli esperti contemporanei e ai posteri l’ardua sentenza.

Intanto, ecco la risposta di Corrado Giustozzi al gruppo di ricerca del Prof. Buccafurri in “La luna, il pozzo, la bufala”, ancora su Interlex.

“attacco” alla firma digitale

Per saperne di più: “Un nuovo attacco alla firma digitale“, dal sito dell’Università degli Studi Mediterranea di Reggio Calabria.

firma digitale “falsificabile”?

da Strill.it, sabato 21 giugno 2008:

C’è una falla nel sistema: firma digitale falsificabile. Lo scopre un ricercatore reggino.

da Panorama del 26/06/08 

A prima vista sembra il quadro di un donna sola in una stanza. Ma, osservando bene, appare il profilo di un uomo con barba e baffi.

È un’opera intitolata “L’immagine scompare”, dove Salvador Dalí applica una tecnica steganografica, nascondendo il suo volto nel quadro.

Fatte le debite differenze, si tratta di un sistema che nel mondo dell’informatica ha rivelato un punto debole nella firma digitale, usata da imprenditori e funzionari pubblici per siglare documenti inviati via internet: 35 milioni nel 2005. A scoprire la falla (teorica, per ora) è stato il gruppo di Francesco Buccafurri, docente di sistemi di elaborazione dell’informazione all’Università Mediterranea di Reggio Calabria.

Qual è il tallone d’Achille della firma digitale? Immaginiamo che un dipendente voglia gonfiare un rimborso alterando l’email inviata dal suo capo, e certificata con firma digitale. Deve agire in due fasi: prima altera il contenuto del documento, inserendo la cifra maggiorata.

La variazione, se nascosta nel codice, è invisibile (come il profilo di Dalí). Il capo, ignaro, controlla e aggiunge la firma digitale. Al dipendente non resta che cambiare la tipologia di file sostituendo tre lettere (per i più esperti: si tratta dell’estensione da .bmp a .htm).

Rimedi? «Basterebbe che la firma digitale agisse anche sul nome del file» suggerisce Buccafurri. Nel frattempo il Cnipa, Centro per l’informatica nella pubblica amministrazione, dopo essere stato allertato da Buccafurri sta valutando quali provvedimenti adottare.