Firma digitale remota: senza smart card né chiavette

Dove risiede la chiave quando non c'è un dispositivo fisico, che differenza fa rispetto alla smart card e quali sono i rischi reali.

Per anni firmare digitalmente ha voluto dire avere un oggetto: una tessera con un lettore da collegare al computer, oppure una chiavetta da inserire nella porta USB, con i programmi da installare e i problemi che ne derivavano quando si cambiava computer.

La firma remota toglie l'oggetto dall'equazione. La chiave privata non sta più in mano al titolare ma dentro un apparato sicuro custodito dal prestatore qualificato, e viene azionata solo quando il titolare lo autorizza con un codice che riceve sul telefono.

Il valore legale non cambia di una virgola: è la stessa firma digitale qualificata, con la stessa efficacia.

Takeaways - Punti chiave dell'articolo

• La chiave non è in tasca: Risiede in un apparato sicuro del prestatore qualificato: non si perde, non si rompe e non si può duplicare.
• Servono sempre 2 fattori: Le credenziali di accesso più il codice usa e getta: nessuna firma parte senza la conferma sul telefono.
• Niente hardware: Nessun lettore, nessuna chiavetta e nessun programma da installare: è il motivo per cui ha sostituito le tessere nell'uso quotidiano.
• Il valore legale è lo stesso: Remota o su dispositivo, la firma qualificata è identica per la legge: cambia solo dove è custodita la chiave privata.
• Il rischio vero è il telefono: Se si smarrisce si sospende il certificato, esattamente come si blocca una carta di pagamento.

Che differenza c'è tra Firma Remota e firma digitale?

Non sono due cose diverse: la firma remota è una firma digitale, cioè una firma elettronica qualificata a tutti gli effetti. La parola remota indica soltanto dove si trova la chiave privata, non un livello inferiore di firma.

Nella modalità tradizionale la chiave sta dentro una tessera o una chiavetta che il titolare custodisce; in quella remota sta dentro un apparato sicuro del prestatore, che la aziona solo su autorizzazione del titolare. In entrambi i casi il certificato è qualificato e il dispositivo che genera la firma risponde ai requisiti europei.

Il documento firmato è identico e nessuno, guardandolo, può dire con quale delle due modalità sia stato prodotto. Chi lo riceve verifica la firma allo stesso modo, e il valore probatorio non cambia.

Che differenza c'è tra smart card e firma digitale?

La smart card non è la firma: è uno dei supporti su cui la chiave può essere custodita. Confonderli porta a pensare che senza tessera non si possa firmare, il che non è vero da anni.

Il confronto fra i due modi di custodire la chiave.

Come posso firmare digitalmente senza dispositivi?

Si accede al servizio dal browser, si carica il documento, si sceglie il formato e si conferma con il codice ricevuto sul telefono: il file firmato si scarica subito dopo. Non c'è niente da collegare e niente da installare, e la stessa procedura funziona da computer, tablet e telefono.

Questo risolve i due problemi che rendevano faticosa la firma su supporto fisico: dover avere l'oggetto con sé nel momento in cui serve firmare, e dover reinstallare i programmi ogni volta che si cambia computer o si aggiorna il sistema.

Chi ha già una firma su tessera può continuare a usarla: le due modalità coesistono e producono documenti equivalenti. Chi la attiva adesso, invece, difficilmente ha ragioni per scegliere il supporto fisico.

Quali sono i rischi associati alla Firma Digitale Remota?

Il primo dubbio che viene a chi la conosce è proprio quello: se la chiave sta da un'altra parte, chi mi assicura che nessuno la usi? La risposta sta nell'apparato che la custodisce, che è un dispositivo certificato progettato perché la chiave non possa uscirne, e nel fatto che ogni firma richiede l'autorizzazione del titolare con un codice usa e getta.

Il rischio concreto quindi non è il server, è il telefono: chi entrasse in possesso delle credenziali e insieme del dispositivo su cui arrivano i codici potrebbe firmare. È lo stesso rischio di una carta di pagamento con il suo codice, e si affronta allo stesso modo, cioè non condividendo le credenziali e segnalando subito lo smarrimento.

In caso di smarrimento si sospende il certificato, e da quel momento nessuna firma può più essere apposta. È una possibilità prevista e va usata senza esitare: sospendere è reversibile, una firma apposta da altri non lo è.

Conclusione

La firma remota è la stessa firma qualificata di sempre, con la chiave custodita in un apparato sicuro invece che in una tessera. Da questo derivano i suoi vantaggi pratici: si firma da pc, tablet o smartphone, senza hardware e senza programmi.