Si possono già trarre le prime conclusioni di questa spiacevole vicenda del "baco" nel software Firma&Cifra di PosteCom (vedi Una notizia ai limiti dell'incredibile).
Il problema esiste e il certificatore lo ha riconosciuto. Non è, come nel caso del "baco giuridico" segnalato nei mesi scorsi, un difetto comune alle applicazioni di diversi certificatori (vedi Tra i "bachi" delle norme e quelli dei programmi e i numerosi articoli successivi), ma riguarda solo il programma in questione.
Il che non significa che sia meno preoccupante: come spieghiamo in Il certificato di Arsène Lupin, si tratta di una svista grave, perché riguarda proprio l'area più critica del sistema di verifica.

Ma ancora più preoccupante è la reazione del certificatore. Secondo quanto riferisce Il Messaggero di sabato scorso, il direttore dell'ente di certificazione ha dichiarato che "La vulnerabilità di cui stiamo parlando è teorica, non ho mai sentito di nessuno che abbia lamentato un caso concreto e reale di alterazione della propria firma digitale certificata da PosteCom o da altri certificatori".
L'affermazione è stupefacente. Un rischio non può essere "teorico" o "pratico". Nel momento in cui cessa di essere "teorico" vuol dire che un danno si è verificato. Un rischio è un rischio: non a caso ogni volta che si devono adottare misure di sicurezza si parte proprio dall'analisi dei rischi e il lavoro consiste appunto nell'eliminare tutte le vulnerabilità che vengono identificate.

E una volta che il rischio è conosciuto, è necessario neutralizzarlo con la massima rapidità. Non si può dire "Stiamo adesso decidendo se distribuire questo programma attraverso il nostro sito Internet ai nostri clienti oppure se inviare a ciascuno un apposito cd rom": è necessario mettere subito sull'avviso gli utenti, con un messaggio diretto e urgentissimo. Nelle nuove regole tecniche, attualmente in corso di definizione, si dovrebbe introdurre una disposizione ad hoc.
I danni che possono essere causati con un uso truffaldino della firma digitale sono tali da giustificare la severa prescrizione dell'art. 28 del TU sulla documentazione amministrativa, che richiama l'art. 2050 del codice civile (vedi La responsabilità del certificatore nel sistema di firma digitale di Gianni Buonomo).

Ma evidentemente questo aspetto non preoccupa il certificatore PosteCom, così come tutti i certificatori non sembra che si siano preoccupati di porre rimedio al primo "baco", quello dei documenti con contenuti variabili. E' un atteggiamento difficile da capire. Hanno investito cifre ingenti per costruire bunker inespugnabili in cui alloggiare i server, hanno puntigliosamente preparato giganteschi manuali operativi che sembrano prevedere ogni possibile inconveniente, ma non si sono preoccupati di costruire applicazioni affidabili e di verificarne l'efficacia, né di controllare la rispondenza delle procedure alle prescrizioni normative. Per esempio, proprio il software Firma&Cifra consente di firmare e verificare la firma dei documenti senza aprirli, contravvenendo alla regola che Gli strumenti e le procedure utilizzate per la generazione, l’apposizione e la verifica delle firme digitali debbono presentare al sottoscrittore, chiaramente e senza ambiguità, i dati a cui la firma si riferisce (art. 10, comma 1, delle regole tecniche).

La firma digitale, nelle intenzioni dei suoi "inventori", è una cosa molto seria. Sul valore e sull'efficacia legale dei documenti informatici sarà prima o poi fondato l'intero sistema processuale civile, penale e amministrativo, per non parlare delle transazioni commerciali e del traffico documentale della pubblica amministrazione. Il sistema deve presentare la massima sicurezza possibile (perché accettiamo il fatto che la sicurezza assoluta è un traguardo irraggiungibile). Ed è necessario che gli utenti abbiano una ragionevole fiducia negli strumenti di validazione informatica: in caso contrario la "rivoluzione digitale" sarà rimandata alle calende greche.

"Ragionevole fiducia" significa che i cittadini devono essere "formati e informati" sul grado di certezza e sui rischi insiti in questi strumenti. Il Ministro per l'innovazione sta compiendo un lodevole sforzo per diffondere l'uso della firma digitale, ma deve fare i conti con una normativa che fa acqua da tutte le parti e soprattutto sul piano della chiarezza. Non basta far sapere che la firma digitale esiste. Occorre una campagna informativa che spieghi, nella forma più chiara possibile, che cos'è e come si usa la firma digitale. E' indispensabile, per esempio, far entrare nella testa dei cittadini che la firma digitale è una cosa personalissima, che la smart card e il PIN non devono essere affidati a nessuno, per nessun motivo.

Ma il problema resta la "diligenza" dei certificatori. Perché ad ogni "negligenza" che viene alla luce, la fiducia nel sistema diminuisce. Ed è molto difficile ricostruirla.