Nel linguaggio comune "firma elettronica" e "firma digitale" vengono usate come sinonimi, ma in Europa esiste un quadro preciso che distingue diversi livelli di firma, con requisiti tecnici ed effetti differenti. Il riferimento è il regolamento (UE) n. 910/2014, noto come eIDAS, aggiornato nel 2024 da un nuovo regolamento che ha introdotto, tra l'altro, il portafoglio europeo di identità digitale. Questo articolo ne spiega i concetti dal punto di vista della crittografia, senza addentrarsi nei dettagli giuridici.
Perché un regolamento europeo
Prima di eIDAS ogni Stato aveva regole proprie, e una firma valida in un Paese poteva non essere riconosciuta in un altro. Il regolamento si applica direttamente in tutti gli Stati membri e fissa due principi di base:
- a una firma elettronica non possono essere negati effetti giuridici solo perché è in forma elettronica;
- una firma elettronica qualificata rilasciata in uno Stato membro è riconosciuta come tale in tutti gli altri.
Accanto alle firme, eIDAS disciplina altri servizi fiduciari: sigilli elettronici per le organizzazioni, marche temporali, servizi di recapito certificato e certificati per l'autenticazione dei siti web.
I tre livelli di firma
Firma elettronica semplice
È la categoria più ampia: qualsiasi dato in forma elettronica, collegato ad altri dati, che il firmatario usa per firmare. Rientrano qui, per esempio, il nome digitato in fondo a un'email, la casella "accetto" spuntata su un sito o l'immagine di una firma inserita in un PDF.
Dal punto di vista tecnico non c'è alcuna garanzia crittografica. Il valore probatorio dipende dalle circostanze e viene valutato caso per caso.
Firma elettronica avanzata
Per essere avanzata, una firma deve soddisfare quattro requisiti:
- essere connessa unicamente al firmatario;
- essere idonea a identificarlo;
- essere creata con dati che il firmatario può utilizzare sotto il proprio esclusivo controllo, con un elevato livello di sicurezza;
- essere collegata ai dati firmati in modo da consentire di rilevare ogni modifica successiva.
Questi requisiti descrivono esattamente ciò che offre una firma crittografica: una chiave privata controllata dal firmatario, legata alla sua identità, e una firma calcolata sull'hash del documento, che diventa invalida se il documento cambia. Rientrano tra le firme avanzate, se ben progettate, anche soluzioni come le firme grafometriche su tablet che registrano i dati biometrici del tratto e li legano crittograficamente al documento.
Firma elettronica qualificata
È una firma avanzata con due requisiti in più:
- è creata con un dispositivo qualificato per la creazione della firma, certificato secondo standard di sicurezza specifici: una smart card, un token USB o un modulo hardware remoto;
- si basa su un certificato qualificato, rilasciato da un prestatore di servizi fiduciari qualificato dopo una verifica rigorosa dell'identità del titolare.
La firma qualificata ha, per espressa previsione del regolamento, effetti giuridici equivalenti a quelli della firma autografa. In Italia la "firma digitale" è un tipo di firma qualificata.
Uno schema riassuntivo
| Livello | Garanzia tecnica | Esempio | Valore |
|---|---|---|---|
| Semplice | Nessuna specifica | Nome in calce a un'email | Valutato caso per caso |
| Avanzata | Chiave sotto controllo del firmatario, rilevazione delle modifiche | Firma crittografica con certificato non qualificato | Maggiore, ma da valutare |
| Qualificata | Avanzata + dispositivo qualificato + certificato qualificato | Smart card o firma remota di un prestatore qualificato | Equivalente alla firma autografa |
La firma remota
Per molto tempo la firma qualificata richiedeva una smart card e un lettore. Oggi è diffusa la firma remota: la chiave privata del titolare è custodita in un modulo hardware di sicurezza presso il prestatore, e il titolare la attiva autenticandosi con credenziali e un secondo fattore, per esempio un codice temporaneo sul telefono.
Dal punto di vista crittografico il principio non cambia: la chiave non lascia mai il dispositivo protetto e può essere usata solo dal titolare. Cambia la comodità, perché si può firmare da qualsiasi computer o smartphone.
Come verificare chi è un prestatore qualificato
Ogni Stato membro pubblica un elenco di fiducia (trusted list) con i prestatori di servizi fiduciari qualificati e i servizi che offrono. L'Unione europea mette a disposizione uno strumento per consultare insieme gli elenchi di tutti i Paesi. I software di verifica delle firme usano questi elenchi per stabilire se un certificato è qualificato.
Il sigillo elettronico
Il sigillo elettronico è l'equivalente della firma per le persone giuridiche: un'azienda o un ente lo applica per garantire l'origine e l'integrità di un documento, per esempio una fattura o un certificato emesso automaticamente. Tecnicamente funziona come una firma, ma il certificato è intestato all'organizzazione invece che a una persona fisica.
Consigli pratici
- Per contratti e atti importanti, preferisci una firma qualificata, il cui valore è stabilito in modo uniforme.
- Proteggi PIN e credenziali di firma come le chiavi di casa: ciò che firmi con essi viene attribuito a te.
- Verifica le firme ricevute con un software di verifica affidabile, non limitarti a guardare il documento.
- Ricorda la scadenza del certificato e valuta l'uso di marche temporali per i documenti da conservare a lungo.
In sintesi
- Il regolamento eIDAS distingue firma elettronica semplice, avanzata e qualificata.
- La firma avanzata richiede controllo esclusivo della chiave e rilevazione delle modifiche, come una firma crittografica.
- La firma qualificata aggiunge dispositivo e certificato qualificati e ha effetti equivalenti alla firma autografa.
- Gli elenchi di fiducia indicano quali prestatori e servizi sono qualificati.
- Il sigillo elettronico svolge per le organizzazioni il ruolo che la firma ha per le persone.
