Firma Digitale Remota: la FEQ senza smart card né chiavette

Cos'è la firma digitale remota, le differenze con la smart card, come si firma senza dispositivi e i rischi da gestire con credenziali e codici OTP

La firma digitale remota sposta la chiave privata dal portafoglio dell'utente al server del prestatore: il titolare non possiede più una smart card, ma credenziali personali e un codice monouso con cui autorizza ogni firma.

Il valore legale non cambia, perché la firma resta una firma elettronica qualificata, mentre cambiano la comodità d'uso e i rischi da gestire, che si spostano dalla custodia di un oggetto a quella delle credenziali.

Il confronto tra le diverse modalità di firma è ripreso nella guida su come si ottiene la firma.

Takeaways - Punti chiave dell'articolo

• Chiave nell'HSM: Il DPCM 22 febbraio 2013 definisce la firma remota come firma qualificata o digitale generata su HSM, con controllo esclusivo delle chiavi da parte del titolare.
• Stesso valore legale: Remota o su smart card, la FEQ ha per l'art. 25 eIDAS effetti equivalenti alla firma autografa: cambia solo dove è custodita la chiave.
• Due fattori: Per firmare da remoto servono credenziali personali e un codice OTP monouso, che nella firma remota arriva di solito sul telefono.
• Obbligo di custodia: L'art. 32 del CAD impone al titolare di custodire gli strumenti di autenticazione per la firma da remoto e di usarli personalmente.
• Revoca immediata: Revoca e sospensione hanno effetto dalla pubblicazione (art. 24, c. 4-bis, CAD): in caso di smarrimento del telefono vanno chieste subito.

Che differenza c'è tra Firma Remota e firma digitale?

Tra Firma Remota e firma digitale non c'è una differenza di natura: la firma remota è una firma digitale generata su un HSM del prestatore, cioè su un insieme di hardware e software che custodisce in modo sicuro le chiavi crittografiche.

Il DPCM 22 febbraio 2013 la definisce come una particolare procedura di firma elettronica qualificata o di firma digitale che garantisce il controllo esclusivo delle chiavi private da parte dei titolari.

Cambia solo il luogo in cui è custodita la chiave privata: il documento firmato da remoto ha lo stesso valore probatorio di una firma digitale apposta con una smart card.

Che differenza c'è tra smart card e firma digitale?

La smart card non è la firma digitale, ma il dispositivo che contiene la chiave privata e il certificato qualificato del titolare: la firma è il risultato che quel dispositivo produce sul documento.

Per firmare con la smart card servono un lettore, un software e il PIN della carta; il token USB riunisce carta e lettore in una chiavetta. Nella firma remota lo stesso ruolo lo svolge l'HSM del prestatore.

La scelta tra le due modalità dipende da quanto e da dove si firma, uno dei criteri per capire quale firma digitale conviene.

Come posso firmare digitalmente senza dispositivi?

Per firmare digitalmente senza dispositivi di firma si usa una firma remota: la chiave sta sul server del prestatore e il titolare autorizza ogni firma con credenziali e codice OTP, dal computer o dallo smartphone.

Con la firma remota cheFIRMA! di LetteraSenzaBusta non servono smart card, chiavette, lettori o software da installare: basta un telefono che riceva SMS. Si carica il file, si sceglie il formato e si conferma con il codice OTP ricevuto via SMS.

L'attivazione è gratuita con la CIE livello 3 oppure avviene con video riconoscimento a pagamento: tempi e passaggi sono nell'articolo sull'attivazione in pochi secondi con CIE, i documenti richiesti in quello sui documenti necessari per la firma.

Quali sono i rischi associati alla Firma Digitale Remota?

Il rischio principale della Firma Digitale Remota riguarda le credenziali e il telefono che riceve i codici OTP: chi se ne impossessa potrebbe tentare di firmare al posto del titolare.

Il rischio pesa anche sul piano legale, perché l'uso del dispositivo di firma si presume riconducibile al titolare, salvo prova contraria (art. 20, c. 1-ter, CAD), e il titolare deve custodire gli strumenti di autenticazione e usarli personalmente (art. 32 CAD).

Le precauzioni essenziali:

• Codici personali: credenziali e OTP non si comunicano a nessuno, nemmeno a chi si presenta come assistenza.
• Telefono smarrito: si chiede subito la sospensione o la revoca del certificato di firma, perché hanno effetto dalla pubblicazione (art. 24, c. 4-bis, CAD).
• Controllo dei documenti: si firma solo un file di cui si conosce il contenuto, perché la firma lo rende riconducibile al titolare.

Conclusione

La Firma Digitale Remota è una firma elettronica qualificata con la chiave custodita in un HSM del prestatore: ha lo stesso valore della firma su smart card e si usa con credenziali personali e un codice OTP, senza lettori né chiavette.

Il rischio si sposta sulla custodia di credenziali e telefono, da proteggere come un documento d'identità. Chi vuole firmare da computer o smartphone può attivare la firma digitale remota senza hardware di LetteraSenzaBusta, gratis con CIE livello 3.