2002, la firma digitale adesso è obbligatoria
I documenti cartacei non sono più accettati. Tra polemiche, dubbi tecnologici e denunce. Windows unico sistema operativo supportato
E’ ora di fare i conti con la firma digitale, obbligatoria da gennaio per la trasmissione di bilanci e pratiche al Registro Imprese. E’ uno strumento che dà valore legale ai documenti elettronici, consente la certezza dell’identità del mittente e non è ripudiabile. Inoltre, i certificati digitali consentono agli utenti di scambiarsi corrispondenza crittografata in modo semplice e sicuro.
La firma elettronica ha indubbiamente molti vantaggi, ma non è priva di zone d’ombra. Soprattutto riguardo alla piena interoperabilità dgli strumenti di firma e dei certificati rilasciati dai 13 certificatori iscritti all’Aipa e al fatto che, almeno per il momento, l’unico ambiente operativo possibile è windows, tagliando fuori sia Macintosh sia l’open source.
Dopo l’approvazione della legge 340, che impone la firma elettronica per i rapporti tra aziende e camere di commercio, è scoppiata la prima scaramuccia per il controllo di questo ricco mercato che vede contrapposte Comped e Infocamere.

Diventa obbligatoria la firma digitale
D’ora in poi per legge i documenti che le imprese depositano presso il registro delle aziende dovranno essere digitali, siglati con la firma elettronica dei propri legali rappresentanti. Una vera rivoluzione, che ha sollevato polemiche giuridiche e lascia dubbi tecnici ancora irrisolti.
La legge 340 del 24-11-2000 (art.31 comma 2) obbliga, a partire dal 9 dicembre 2001, tutte le imprese non individuali a trasmettere al Registro delle imprese bilanci e pratiche per via telematica. In pratica, i documenti devono essere redatti in formato pdf e firmati digitalmente dagli amministratori, e non saranno più accettati i documenti cartacei.
Le norme impongono che almeno un amministratore per ogni impresa iscritta alla Camera di commercio si doti di firma digitale.
Come tutte le novità, anche la firma elettronica ha sollevato una quantità di polemiche. In molti rimproverano alla legge 340 di aver fatto “piazza pulita” della carta in modi eccessivamente draconiano, imponendo a tutti e da subito il ricorso ai documenti elettronici.
E’ una situazione che potrà provocare qualche intoppo ma era una strada obbligata; i processi misti, manuali e automatici per gli stessi adempimenti si sono sempre rivelati inefficaci.
Anche sul piano tecnico ci sono dubbi, per esempio, il fatto che oggi l’unico sistema operativo supportato sia Windows. C’è poi il sospetto che i certificatori non possano garantire la piena interoperabilità degli strumenti di firma.
Tra firma autografa e digitale c’è una grande differenza. La prima è legata all’identità di chi la appone, la seconda al contenuto del documento firmato
La firma elettronica è il risultato finale di un algoritmo matematico basato sulla crittografia a doppia chiave, pubblica e privata.
In particolare, la firma digitale consente di:
•	Sottoscrivere un documento informatico
•	Verificare l’identità di chi ha firmato
•	Avere la sicurezza della provenienza e della ricezione del documento
•	Mantenere il segreto sul contenuto del documento

Sequenza alfanumerica
Tra firma tradizionale e digitale c’è una differenza importante. La prima certifica che la appone. La firma autografa è sempre la stessa, quale che sia il documento che viene firmato, e un buon falsario è in grado di trasferirla su qualsiasi documento. La firma digitale invece è legata al contenuto del documento, è impossibile trasferirla. Esteriormente, il “segno” della firma digitale – che si chiama digest  o hash – è una sequenza alfanumerica di lunghezza fissa. Se anche un solo carattere del documento viene modificato, il digest sarà una sequenza completamente diversa. La lunghezza del digest dipende dal metodo usato per calcolarlo; i più diffusi sono Sha1 (Secure hash algorithm), che genera digest da 160 bit, o Md5 (Message digest 5) che produce stringhe da 128 bit.

Terze parti fidate
Il digest non è altro che una compressione estrema del documento, con perdita totale dell’informazione. La firma elettronica non è ripudiabile, nel senso che una volta apposta sul documento informatico non potrà essere disconosciuta. Inoltre chi invia non potrà negare di aver inviato, e chi riceve non potrà negare di aver ricevuto; esattamente come accade con la raccomandata Ar. La firma elettronica richiede il riconoscimento dell’identità di chi firma. Si rende dunque necessario il ricorso alle cosiddette “terze parti fidate”, neutrali rispetto agli utilizzatori della firma digitale. Strutture che in Italia si chiamano “Certificatori”, e oltreoceano Certification Autorithy o Ca. in Italia, al 1° gennaio 2002 sono in attività 13 certificatori, che sono tenuti a verificare e ad attestare, attraverso il rilascio di un certificato elettronico, l’identità del titolare della firma digitale. In più, i certificatorieseguono una serie di operazioni di manutenzione, come stabilire i termini di scadenza dei certificati. A loro è affidata la gestione dei database che contengono i certificati sospesi (Csl) o revocati (Crl) e sono tenuti a pubblicare certificati e chiave pubblica (di solito accessibili attraverso il protocollo Ldap) in modo che gli interessati possano avere la sicurezza dell’avvenuta certificazione. L’elenco è pubblicato sul sito dell’Aipa, l’autorità per l’Informatica nella pubblica amministrazione (www.aipa.it), secondo quanto stabilito dalla legge. I certificatori devono essere società per azioni, con capitale sociale noneinferiore a quello necessario ai fini dell’autorizzazione all’attività bancaria. Anche la pubbliche amministrazioni possono diventare certificatori, limitatamente al proprio ordinamento e per le chiavi pubbliche di propria competenza. In altre parole, le pubbliche amministrazioni non possono certificare soggetti estranei alla Pa stessa.

Non tutti sono pronti
Per prima cosa, occorre ottenere il certificato digitale, facendosi riconoscere da uno dei tredici operatori accreditati dall’Aipa. Va subito detto che non tutti gli operatori sono già pronti, anzi; al momento, moltissimi sono ancora in fase di test. Per fare un esempio, chi sfrutterà Postecert, il servizio delle poste italiane (non ancora disponibile, ma atteso a brevissimo) dovrà recarsi all’ufficio postale con un documento valido e non scaduto. Oppure, ci sono pacchetti “off the shelf” che permettono di farsi identificare tramite un bonifico bancario, come Digital Sign 2.0 di Comped (cfr WEEK.it n.39-2001, pag.37). Dopo di che, bisogna dotarsi di quello che nel linguaggio burocratico è definito “un apparato elettronico programmabile solo all’origine, facendo parte del sistema di validazione, in grado almeno di conservare in modo protetto le chiavi private e generare al suo interno firme digitali”. Per gli amici, si tratta di un lettore smart card che – di solito – verrà fornito dallo stesso certificatore, corredato dal software necessario. A questo punto, si è pronti per firmare, “con un solo clic”, i propri documenti digitali. Con un po’ di pratica, l’uso è semplice, anche se talvolta non del tutto intuitivo, e alla base del tutto ci sono le “chiavi pubbliche e private”. Per firmare digitalmente un documento, si usa sempre e solo la propria chiave privata. Chi riceve il messaggio, e vuole accertarsi dell’effettiva identità del mittente, dovrà scaricare da Internet la chiave pubblica di quest’ultimo e usarla per verificare l’autenticità e l’integrità della firma digitale. Ovvio che la chiave pubblica, essendo a disposizione di tutti, non può essere usata solo per firmare alcunché, ma solo per verificare la validità dei documenti firmati che si ricevono.

Messaggi cifrati
Per semplificare la vita di chi riceve, nella quasi totalità dei casi la chiave pubblica viene inviata insieme al messaggio firmato. Meglio ancora si invia (di solito come allegato email) l’intero certificato digitale, che oltre alla chiave pubblica contiene i dati anagrafici del sottoscrittore. Un corollario della crittografia a doppia chiave della firma elettronica è che si possono anche mandare messaggi cifrati, leggibili solo dal destinatario. Per far ciò, è sufficiente cifrare il testo con la chiave pubblica di chi lo riceverà (lo si può estrarre dal suo certificato digitale). Il messaggio sarà decodificabile solo da chi è in possesso della chiave privata del destinatario stesso.
E’ iniziata la stagione delle polemiche
Si annuncia intensa la contesa per la leadership nella firma digitale
In una denuncia di Comped si ipotizza che Infocamere abbia abusato del suo rapporto privilegiato con le Camere di commercio
La legge impone che il deposito di documenti presso  il Registro delle imprese avvenga tramite documenti digitali debitamente firmati. Il Registro delle imprese è gestito dalle Camere di commercio, ed esistono altri decreti ministeriali che parlano di firma elettronica in relazione al deposito dei bilanci e l’accesso al Registro informatico dei protesti, strutture gestite anch’esse dalle Camere di commercio. Insomma, l’esordio della firma elettronica in Italia è strettamente connesso con le Camere, e non stupisce che le stesse siano coinvolte nell’attività di certificazione.
In particolare, Infocamere (www.infocamere.it), la società che si occupa delle applicazioni informatiche del sistema camerale italiano) è certificatore iscritto all’Aipa dal giugno 2000.

Camere troppo “vicine”?
Vista la sua natura di infrastruttura informativa per le Camere di commercio, Infocamere ha avviato un progetto per distribuire smart card (dispositivi di firma) contenenti certificati digitali a tutti i legali rappresentanti, e presidenti dei collegi sindacali, di circa due milioni tra società di capitale e di persone esistenti in Italia, allo scopo di “consentire alle imprese iscritte alle Camere di commercio di inviare agli uffici del Registro delle imprese documenti informatici legalmente validi”. Decisioni che l’ha portata in rotta di collisione con Comped, pioniere italiano delle soluzioni di firma digitale, che vede il business in pericolo vista la particolare situazione di “vicinanza” tra Infocamere e il sistema camerale italiano, sbocco naturale (e finora pressoché unico) della firma elettronica in Italia.
In particolare, Comped (www.comped.it) contesta a Infocamere una politica di “predatory pricing”, sia per quanto riguarda il software di firma digitale, che è distribuito gratuitamente agli utenti finali e alle software house, sia per la distribuzione gratuita di smart card e ceritifcati di firma digitale ai rappresentanti legali delle imprese. Inoltre, sempre secondo Comped, Infocamere “ha reso di fatto molto più semplice utilizzare i propri prodotti per l’invio telematico alle Camere di commercio, che non i prodotti concorrenti”, creando così una barriera all’interoperabilità del software, dei sistemi informatici e dei servizi gestiti per conto delle Camere di commercio, con i prodotti informatici progettati da soggetti terzi. E infine, di abusare degli stretti rapporti con le Camere di commercio e il ministro delle Attività produttive, anche con riguardo alle attività di comunicazione”.
Situazione che ha portato Comped a denunciare Infocamere e le Camere di commercio all’Autorità garante della concorrenza e del mercato, per azioni lesive della concorrenza e abuso di posizione dominante Infocamere si difende affermando che la distribuzione gratuita del proprio software è necessaria per favorire la diffusione e l’utilizzo della firma digitale.