I Vantaggi sono molto rilevanti: operatività a distanza, diritto di segreteria ridotto per effetto dell'abolizione dei documenti cartacei, ampliamento degli orari di utilizzo dei servizi della Camera di Commercio.

COSA DICE LA LEGGE

In senso tecnico la firma digitale è il risultato di una particolare procedura di applicazione della chiave segreta di un cifrario asimmetrico al documento da firmare. Il suo valore è legato sostanzialmente alla serietà del certificatore (Certification Authority nel linguaggio dell'internet) che pubblica l'altra chiave della coppia - detta appunto "chiave pubblica" - testimoniando l'identità del soggetto al quale essa è attribuita.

In senso legale, oggi in Italia, la firma digitale è quella che rispetta la normativa in vigore, cioè il DPR 513/97 e le regole tecniche stabilite con il DPCM 8 febbraio 1999. Questa firma serve a rendere un documento informatico "valido e rilevante a tutti gli effetti di legge" e la sua validità deriva dalla pubblicazione del certificato della corrispondente chiave pubblica da parte di un certificatore iscritto in un apposito elenco tenuto dall'Autorità per l'informatica nella pubblica amministrazione. Dal punto di vista sostanziale è una firma digitale esattamente come quella descritta prima, ma è generata e certificata secondo procedure molto severe che offrono un livello di sicurezza estremamente elevato contro possibili contraffazioni.
Solo questa firma conferisce validità legale al documento informatico, nel senso che sostituisce tutto l'armamentario di firme, timbri, filigrane e quant'altro è stato inventato nei secoli per testimoniare l'autenticità di un documento. Inoltre offre una serie di indicazioni certe sull'autore del medesimo, come si legge nell'articolo 10 delle regole tecniche:

Art. 10 - Firma digitale

2. L'apposizione o l'associazione della firma digitale al documento informatico equivale alla sottoscrizione prevista per gli atti e documenti in forma scritta su supporto cartaceo.

6. L’apposizione di firma digitale integra e sostituisce, ad ogni fine previsto dalla normativa vigente, l’apposizione di sigilli, punzoni, timbri, contrassegni e marchi di qualsiasi genere.

7. Attraverso la firma digitale devono potersi rilevare, nei modi e con le tecniche definiti con il decreto di cui all'articolo 3, gli elementi identificativi del soggetto titolare della firma, del soggetto che l'ha certificata e del registro su cui essa è pubblicata per la consultazione.

LACUNE  E CRITICHE AL SISTEMA 

Le norme e le regole tecniche prescrivono che attraverso la firma digitale si deve poter verificare, oltre che la provenienza, l'integrità del documento informatico. Il che può non verificarsi quando c'è un "contenuto dinamico" nell' evidenza informatica, cioè il file firmato, come si spiega più in dettaglio nell'articolo Decreto legislativo 23 gennaio 2002, n. 10 - Attuazione della direttiva 1999/93/CE relativa ad un quadro comunitario per le firme elettroniche. Non tutti i formati per documenti sembrano essere così sicuri, alcuni si possono manomettere. ( come su www.interlex.it, dove vengono esposti alcuni casi.   )

Premesso che il dispositivo di firma non è un documento di identità, la situazione è molto dubbia e lacunosa in diversi casi. 

Gli enti certificatori non utilizzano gli stessi software e non vi è un'unica rete, che permette di visualizzare e rendere possibile l'autenticità della firma. Infatti l'unico standard al quale si sono uniformati i certificatori è il formato della "busta" che contiene il documento, l'impronta cifrata e il certificato, secondo le specifiche PKCS#7. Questo consentirebbe di verificare qualsiasi firma con un software che sia in grado di collegarsi al sito dell'AIPA per il riscontro della chiave di certificazione, ovvero al sito del proprio certificatore per verificare la chiave di un altro certificatore, nel caso che tra i due sia stato stipulato un accordo di cross certification. Che purtroppo la normativa "consente", invece di renderlo obbligatorio.
Inoltre dovrebbe essere possibile accedere alle liste di sospensione e revoca (CRL) di tutti i certificatori.

Invece con molte applicazioni distribuite dai certificatori tutto questo non è possibile, o comunque è molto difficile. Anche per le smart card e i relativi terminali ci sono diversi standard che è difficile far andare d'accordo, come è difficile (se non impossibile, in qualche caso) usare un terminale diverso da quello per il quale è stata scritta l'applicazione.
Munirsi di diversi software e diversi terminali potrebbe essere la (assurda) soluzione, ma anche qui sorgono problemi a non finire. Per esempio, se si vuole installare un terminale Gemplus (BNL Multiservizi, Postecom) su una macchina sulla quale sia stato precedentemente installato un lettore Towitoko (CompEd-Finital), si verifica un conflitto di driver che praticamente blocca il sistema. Occorre "smanettare" un bel po' per riprendere il controllo del computer.

Con chi prendersela? Ovviamente con i certificatori e con la loro associazione. Che però non ha nemmeno un indirizzo e-mail a cui scrivere per chiedere spiegazioni.

Firma digitale e commercio elettronico: A questo punto ci chiediamo: serve la firma digitale ai sensi di legge per il commercio elettronico? La risposta è un "no" secco e senza riserve. Tutto le transazioni che si svolgono in rete, in tutto il mondo, con piena soddisfazioni di venditori, acquirenti e banche, fanno a meno della firma ditale "legale" (cioè non sono basate su documenti informatici validi e rilevanti a tutti gli effetti di legge), per il semplice motivo che l'Italia è stato il primo paese al mondo a darsi queste regole, per di più ancora non operanti.
Eppure tutto funziona bene e le operazione fraudolente sono inesistenti. Perché?
Perché il commercio elettronico, ameno quello più serio, si svolge attraverso l'uso di "canali sicuri". Un "canale sicuro" di fatto è un parente stretto della firma digitale, perché funziona con gli stessi principi di crittografia, ma ha solo lo scopo di evitare che qualcuno possa intercettare le informazioni che passano sulla rete (in particolare il numero della carta di credito) o di alterare il contenuto dell'ordine.
Dell'identificazione certa del compratore non importa nulla a nessuno. Al venditore interessa solo incassare il corrispettivo, e questo gli è garantito dalla banca alla quale si appoggia (o, più esattamente, dall'emittente della carta di credito). Al compratore interessa che nessuno possa intercettare il numero della sua carta, e questo è garantito appunto dal "canale sicuro". Solo all'emittente della carta interessa l'identità di chi la usa, e questa è testimoniata dalla banca attraverso la quale la carta è stata rilasciata.

1. Ai fini del presente decreto si intende:

g) per chiave biometrica, la sequenza di codici informatici utilizzati nell’ambito di meccanismi di sicurezza che impiegano metodi di verifica dell’identità personale basati su specifiche caratteristiche fisiche dell’utente.

Dunque si tratta di meccanismi di sicurezza che servono a verificare l'identità personale. Non è da escludere che, in futuro, la chiave biometrica possa far parte delle procedure di identificazione del titolare adottate dai certificatori. Ma, per ora, la chiave biometrica è entrata nella normativa sul documento informatico perché può essere adottata nell'ambito delle procedure si sicurezza interne dei certificatori.

Bibliografia e fonti: www.interlex.it; www.mi-camcom.it