6.1. La necessità della validazione temporale

Completiamo questa sintetica rassegna degli elementi essenziali del documento informatico nell'ordinamento italiano esaminando un elemento in genere poco considerato, ma essenziale per l'esistenza stessa del sistema: la validazione temporale.
Sappiamo che la firma digitale determina alcuni requisiti del documento:

• l'ascrivibilità certa al soggetto che lo ha sottoscritto;
• l'autenticità del contenuto, cioè la sua esatta corrispondenza a ciò che è stato sottoscritto;
• la "non ripudiabilità", cioè l'impossibilità per l'autore di disconoscere la sottoscrizione o il contenuto del documento.

Ma nella maggior parte dei documenti destinati a produrre effetti giuridicamente rilevanti è necessaria un'ulteriore indicazione: il momento in cui il documento è stato sottoscritto (o spedito, o ricevuto, a seconda dei casi). L'indicazione deve essere giuridicamente certa e deve quindi risultare dall'attestazione di un pubblico ufficiale o da un'altra indicazione alla quale viene attribuito valore legale, come la ricevuta della raccomandata o, in alcuni casi, del semplice timbro postale.

Nel documento informatico questo risultato si ottiene attraverso la generazione di una marca temporale (time stamping), che viene "applicata" al documento stesso ad opera di una "terza parte fidata", che nel nostro ordinamento è il certificatore, come si evince dal primo comma dell'articolo 58.
In pratica la marca temporale è costituita da una firma digitale generata a partire da una "struttura di dati", costituita da una serie di indicazioni, tassativamente elencate dall'articolo 53 delle Regole tecniche:

1. identificativo dell'emittente;
2. numero di serie della marca temporale;
3. algoritmo di sottoscrizione della marca temporale;
4. identificativo del certificato relativo alla chiave di verifica della marca;
5. data ed ora di generazione della marca;
6. identificatore dell'algoritmo di hash utilizzato per generare l'impronta dell'evidenza informatica sottoposta a validazione temporale;
7. valore dell'impronta dell'evidenza informatica.

Si tratta quindi di una specie di certificato, che presenta tutte le informazioni necessarie per la verifica.

6.2. Come funziona la marca temporale

La marca temporale viene applicata da un apposito "sistema elettronico sicuro" (articolo 52). In pratica l'utente invia il documento da "timbrare" a un indirizzo e con le modalità indicate dal certificatore nel manuale operativo. Il sistema appone la marca e restituisce il tutto al mittente.

Quando sarà possibile esaminare i manuali operativi dei certificatori iscritti nell'elenco dell'AIPA, sapremo se sarà possibile utilizzare il server del certificatore come lo sportello delle raccomandate nella posta tradizionale, per inviare il documento con la marca temporale all'indirizzo del destinatario. C'è da notare che nei sistemi di certificazione "liberi" raramente viene offerto il servizio di time stamping, sicché non è facile farsi un'idea di come funzionerà il sistema in pratica.

Un aspetto molto interessante è dato dalla possibilità, prevista dall'articolo 58, di sottoporre alla validazione temporale, invece del documento intero, soltanto la sua impronta, ottenuta con la funzione di hash (vedi I fondamenti della firma digitale). In questo modo si può proteggere il contenuto da sguardi indiscreti. Tuttavia la marca può contenere anche un identificativo dell'oggetto al quale si riferisce l'impronta. Inoltre il certificatore, su richiesta dell'interessato, può conservare copia del documento "al solo fine di assicurare l'associazione tra il documento informatico e le relative marche temporali".

La marca temporale svolge un'altra funzione molto importante: prolunga la validità del documento oltre la scadenza del certificato relativo alle chiavi di sottoscrizione, e la mantiene anche nel caso di compromissione della chiave privata, purché la marca stessa sia stata generata prima dell'evento che ha compromesso la chiave privata.
Apponendo di volta in volta una marca temporale prima della scadenza della marca precedente, si prolunga senza limite la validità di un documento. E qui si vede una differenza importante con la sottoscrizione autografa: questa vale all'infinito, mentre la firma digitale - in mancanza delle marche temporali che ne estendono la validità - determina gli effetti che le sono propri fino alla scadenza del certificato della chiave pubblica. Sarà interessante vedere quale valore verrà attribuito in futuro a documenti sottoscritti con una firma digitale il cui certificato sia scaduto dopo la generazione della firma stessa e magari anche dopo i dieci anni per i quali il certificatore è obbligato a custodire le chiavi pubbliche (secondo comma dell'articolo 8 del DPR 513/97).

6.3. Le ragioni della sicurezza

E' logico chiedersi perché la validità del certificato delle chiavi di sottoscrizione è limitata nel tempo. La risposta è semplice: la sicurezza di un cifrario non è assoluta, ma relativa al tempo necessario per romperlo. Inoltre il progresso tecnologico e il continuo aumento della potenza dei sistemi informatici rendono sempre più breve il tempo necessario per venire a capo di un algoritmo crittografico. Oggi si considerano sufficientemente robuste le chiavi a 1024 bit, tra due anni questa dimensione potrebbe essere pericolosa.

La violazione di una chiave è meno difficile se ci sono in circolazione molti documenti cifrati con quella chiave. E questa è un'altra ragione che ha spinto il legislatore italiano a dettare regole tanto severe per i servizi di certificazione, e in particolare per la validazione temporale.
Infatti gli articoli 54, 56 e 57 delle Regole tecniche specificano, fra l'altro, che:

• le chiavi di certificazione delle marche temporali devono essere diverse da quelle per la certificazione delle chiavi di sottoscrizione
• ogni sistema di validazione temporale deve avere la sua coppia di chiavi;
• le chiavi devono essere sostituite dopo solo un mese di uso;
• ogni sistema deve produrre automaticamente, su un supporto non riscrivibile, un registro delle marche generate e degli eventi anomali;
• gli eventi anomali, e i particolare quelli che possono alterare la precisione delle marche, devono causare il blocco del sistema, blocco che può essere rimosso solo da personale appositamente autorizzato.

Tutto questo si lega a un altro aspetto della validazione temporale: la precisione del sistema. Le Regole tecniche (articoli 55 e 58) specificano che l'ora assegnata a una marca deve essere riferita, con l'approssimazione massima di un secondo, alla scala del tempo internazionale UTC (tempo universale coordinato) e che tra la richiesta della validazione e la generazione della marca non deve trascorrere più di un minuto.

Tanta precisione può apparire eccessiva, ma se riflettiamo su alcuni impieghi del documento informatico ci rendiamo conto che anche la differenza di un minuto può avere effetti legali rilevanti, per esempio ai fini della determinazione del momento di conclusione di un contratto o tutte quelle volte in cui risulta necessario stabilire una priorità. Immaginiamo una ipotesi di aste on-line: due utenti presentano contemporaneamente per via telematica eguale offerta di acquisto dello stesso bene, passando attraverso due certificatori diversi. Le marche temporali presentano una differenza di trenta secondi, ma sappiamo che la tolleranza di generazione è di un minuto: chi è arrivato prima?

Nell'applicazione concreta il problema sarà risolto, con ogni probabilità, da una marca temporale apposta dal sistema ricevente, ma l'esempio è utile per capire che la severità del legislatore non deriva da burocratica pignoleria o da un'ossessione.

Questi aspetti saranno più chiari nel prossimo numero, quando cercheremo di rispondere a una domanda all'apparenza facile: a che serve realmente la firma digitale?