Quando la firma digitale non vale e come verificarla

Le cause che rendono non valida una firma digitale, i requisiti di una firma valida, come verificarne l'autenticità e cosa fare con una firma non valida

Una firma digitale può essere non valida per due motivi di fondo: il certificato non era valido quando è stata apposta, oppure il documento è cambiato dopo la firma. In entrambi i casi il file perde il valore di un documento firmato.

Saperlo evita due errori opposti: fidarsi di un file che la verifica segnala come alterato e scartare un contratto valido solo perché il certificato del firmatario è scaduto dopo la firma, cosa che non ne intacca il valore.

Il valore legale della firma e le sue condizioni sono inquadrati nella guida sul valore legale della firma digitale.

Takeaways - Punti chiave dell'articolo

• Certificato al momento della firma: Per l'art. 24, c. 4-bis, del CAD una firma con certificato scaduto, revocato o sospeso equivale a mancata sottoscrizione.
• Revoca dalla pubblicazione: Revoca e sospensione hanno effetto dalla pubblicazione (art. 24, c. 4-bis, CAD): le firme apposte prima restano valide.
• Modifiche rilevate: Qualsiasi modifica al documento dopo la firma viene rilevata in verifica e fa fallire il controllo di integrità della firma.
• 4 controlli di convalida: L'art. 32 eIDAS chiede di verificare certificato qualificato, prestatore qualificato, validità alla data della firma e integrità dei dati firmati.
• Verifica gratuita: AgID pubblica un elenco di software di verifica gratuiti, tra cui il servizio DSS della Commissione europea e Acrobat Reader.

Quali sono le firme digitali non più valide?

Le firme digitali non valide sono quelle apposte con un certificato che al momento della firma era scaduto, revocato o sospeso: per l'art. 24, c. 4-bis, del CAD equivalgono a mancata sottoscrizione, salvo che la sospensione sia stata annullata.

Non diventa invece invalida la firma apposta con un certificato poi scaduto: conta la validità nel momento della firma, come spiega l'articolo su durata e scadenza del certificato.

Anche la revoca non ha effetto retroattivo: per il CAD revoca e sospensione valgono dalla pubblicazione, salvo prova che tutte le parti interessate ne fossero già a conoscenza, e per l'art. 28 eIDAS il certificato revocato perde validità dal momento della revoca.

Gli effetti sulle firme già apposte sono descritti nell'articolo su come si revoca una firma digitale.

Quali requisiti rendono valida una firma digitale?

Una firma digitale è valida quando soddisfa i requisiti di convalida dell'art. 32 eIDAS:

• Certificato qualificato: il certificato che sostiene la firma è un certificato qualificato di firma elettronica.
• Prestatore qualificato: è stato rilasciato da un prestatore di servizi fiduciari qualificato.
• Validità alla data della firma: il certificato era valido quando il documento è stato firmato.
• Integrità: i dati firmati non sono stati modificati dopo la firma.

Il software di verifica fa questi controlli in automatico. Il prestatore si può riscontrare negli elenchi di fiducia, come spiega l'approfondimento su chi rilascia i certificati qualificati.

Come si verifica l'autenticità di una firma digitale?

L'autenticità di una firma digitale si verifica con un software o servizio di verifica, che legge il certificato, controlla la catena fino al prestatore qualificato e confronta l'impronta del file con quella firmata.

1. Si apre il file con uno strumento di verifica: Acrobat Reader per i PDF in formato PAdES, oppure uno dei software gratuiti elencati da AgID, come il servizio DSS della Commissione europea.
2. Si legge l'esito: nome del firmatario, prestatore che ha emesso il certificato, data e ora dichiarate della firma e integrità del documento.
3. Se l'esito segnala un problema, si guarda quale controllo non è andato a buon fine, perché certificato, integrità e stato di revoca sono verifiche distinte.

A distanza di anni la verifica può dare un esito incerto se i servizi del prestatore per controllare la revoca non sono più consultabili.

Cosa devo fare se la mia firma digitale non è valida?

Se la propria firma digitale non è valida, si individua la causa e si firma di nuovo il documento con un certificato valido: una firma non valida non si corregge, si sostituisce.

• Certificato scaduto: si rinnova o si attiva un nuovo certificato, poi si firma di nuovo il documento.
• Certificato revocato o sospeso: si attende la riattivazione, se si tratta di sospensione, oppure si ottiene un nuovo certificato.
• Documento modificato: si riparte dal file originale e lo si firma di nuovo, senza aprirlo e salvarlo di nuovo dopo la firma.

Con cheFIRMA! di LetteraSenzaBusta il rinnovo è gratuito, una nuova attivazione con CIE livello 3 è gratuita e immediata, e ogni nuova firma costa 7,99 €, IVA inclusa.

Per evitare esiti incerti a distanza di anni si può aggiungere la convalida LTV della firma, a 1,99 €: incorpora nel PDF due marche temporali qualificate, le risposte OCSP e le liste di revoca CRL.

Conclusione

La firma digitale non è valida se al momento della firma il certificato era scaduto, revocato o sospeso, o se il documento è stato modificato dopo: in quei casi equivale a mancata sottoscrizione.

Una firma valida resta tale anche dopo la scadenza del certificato. Quando va rifatta, la firma digitale remota con rinnovo gratuito permette di firmare di nuovo dal telefono, e dalla pagina di apposizione con convalida LTV la nuova firma resta verificabile per decenni.