Proviamo a rispondere con ordine alle osservazioni portate dalla rivista online Interlex e, prima ancora, dall'anonimo lettore della mailing list ml@sikurezza.org.
Il software "FirmaeCifra 1.0" permette la gestione dell'archivio locale attraverso l'inserimento di certificati (di utenti e certificatori) che l'utente stesso reputa attendibili. L'aggiornamento dei certificati dei Certificatori Accreditati avviene, invece, "puntando" ad un apposito elenco firmato. Lo scopo di tale archivio non è - neppure può essere - quello di contenere solo i certificati dei Certificatori Accreditati (come pure erroneamente viene riportato nell'articolo "Il certificato di Arsène Lupin" che tradisce, in verità, un particolare approccio applicativo). Se così fosse come potrebbe l'utente verificare un documento firmato con un certificato rilasciato da un altro Certificatore europeo?
In merito a semplici applicativi con scopi più limitati, evidenziamo come l'applicativo gratuito di sola verifica "FirmaOK", avendo uno scopo circoscritto al contesto dei Certificatori Accreditati, non permetta l'aggiunta di ulteriori certificati di Autorità di Certificazione oltre quelli dell'Elenco Pubblico, restituendo a seguito della verifica oltre l'esito sull'integrità del documento e sul suo firmatario anche, in una apposita maschera, l'informazione che il certificato stesso è non credibile, non essendo emesso da un Ente Certificatore Accreditato.
La scelta a suo tempo fatta nella progettazione di "FirmaeCifra" è stata quella (considerato l'allora limitato numero di certificati per chiavi di certificazione) di consentire l'importazione automatica della catena dei certificati. La presenza dell'ulteriore certificato dell'Autorità di Certificazione poteva essere visivamente riscontrato dall'utente, anche in virtù dell'apposita icona; tale approccio era giustificato dalla, allora, limitata presenza di certificati relativi ad Autorità di Certificazione.
Tuttavia, oggi, anche alla luce dell'aumentato numero di certificati presenti nell'Elenco Pubblico, tale verifica appare, in effetti, maggiormente complessa ed un utente comune potrebbe, in questo caso, essere indotto in errore. Per questa ragione, Postecom ha predisposto un apposito aggiornamento del prodotto "FirmaeCifra" che impedisce l'importazione automatica dei certificati delle Autorità di Certificazione, pur permettendo comunque l'inserimento di tali certificati (anche esterni ai Certificatori Accreditati) attraverso una azione più chiaramente riconducibile alla volontà dell'utente.
Siamo convinti che l'applicativo, sia pure con modalità più esplicite per l'utente, debba ancora consentire di verificare i documenti firmati attraverso certificati emessi da un Certificatore commerciale che l'utente ha deciso di reputare fidato attraverso una azione consapevole di inserimento.
Nel merito poi del requisito dell'articolo 10, comma 1 delle regole tecniche di cui al DPCM 8 febbraio 1999, segnaliamo come l'applicativo richieda sempre ed esplicitamente all'utente, attraverso due distinte schermate successive, la volontà di visualizzare il contenuto del documento e di apporre la firma. Ci troviamo in questo caso (evidentemente) di fronte al diverso approccio applicativo dei vari fornitori di software: in sostanza il firmatario deve essere obbligato ogni volta a visualizzare il documento oppure il software deve sempre consentire la visualizzazione del documento, lasciando all'utente la scelta caso per caso, in funzione dell'importanza del documento che sta firmando?
La firma digitale non è la "bacchetta magica" che risolve tutti i problemi costruendo un improbabile mondo "virtuoso" oltre che "virtuale", ma può essere, se aiutata a diffondersi, uno strumento in grado di aumentare l'efficienza delle lavorazioni amministrative e la qualità dei servizi offerti al cittadino: in quest'ottica, forse, non va mai perso di vista il confronto con il "mondo reale".
Nella gestione tradizionale dei documenti, infatti, l'apposizione della firma viene generalmente effettuata rispettando un insieme di cautele legate all'importanza del documento che si sta firmando. Così pure, vengono conservati al sicuro, rispetto a possibili appropriazioni di terzi, gli strumenti come timbri, punzoni, carta intestata e quant'altro contribuisce alla formazione del documento e quindi al convincimento del destinatario. Analogamente, opportune regole di attenzione e sicurezza vanno sempre tenute in considerazione nel caso della postazione e dell'esecuzione del processo di firma o di verifica del documento informatico. Tale attenzione che viene utilizzata per la Firma Digitale di un documento elettronico è evidentemente in relazione all'importanza stessa del documento.
Nel ribadire la nostra attenzione a tutti i soggetti ed alle segnalazioni che permettano il miglioramento degli strumenti e lo sviluppo della firma digitale non possiamo non concordare pienamente con quanto detto a chiosa del contributo anonimo, nella stessa valida mailing list, da Igor Falcomatà: "In generale, pur essendo questa mailing list pienamente 'full disclosure', gradirei che i vendor venissero sempre contattati preventivamente riguardo a problematiche qui segnalate & co, secondo i principi di quella che potremmo chiamare 'responsable disclosure'". Questo, almeno, se lo scopo è quello di analizzare e risolvere eventuali problematiche, favorendo la diffusione della Firma Digitale.

Roberto Palombo
Postecom S.p.A. Direzione CA e Sicurezza