Certificati digitali di firma

[Sleepers]

[x/post it.diritto, it.diritto.internet - f/up eventuale da impostare]

Che validità hanno i certificati digitali di firma creati con Windows?
Per capirci, quelli che, una volta creati, si trovano aprendo
l'applicazione "%systemroot%\system32\mmc.exe certmgr.msc" (Win7).

Nella fattispecie, un medico dovrebbe refertare degli esami in pdf,
apponendo come ultimo passaggio una firma digitale (non in formato
"busta crittografica" .p7m, è sufficiente che il file pdf contenga la
firma digitale).
Potrebbe essere fattibile in maniera semplice con un lettore di smart
card USB e la sua smart card personale (Carta Nazionale dei Servizi con
dispositivo di firma digitale), ma purtroppo il tutto deve avvenire da
remoto (il medico si collegherà da casa con LogMeIn/TeamViewer/simile al
PC che contiene i pdf da refertare) e non può lasciare la sua smart card
personale attaccata al lettore del PC remoto.

Pensavo di creargli un certificato digitale di firma con Windows, ma non
so quanto possa essere valido; l'alternativa potrebbe essere acquistare
una nuova smart card tipo queste https://www.pec.it/FirmaDigitale.aspx
da dedicare unicamente a questo scopo.

Voi cosa ne pensate?
Grazie.

[Max max]

Post by Sleepers
Che validità hanno i certificati digitali di firma creati con Windows?

Non sono certificati qualificati, quindi le firme saranno firme elettroniche
semplici a meno che non possano considerarsi avanzate ma ho dei dubbi sul
controllo esclusivo: "firma elettronica avanzata: insieme di dati in forma
elettronica allegati oppure connessi a un documento informatico che
consentono l'identificazione del firmatario del documento e garantiscono la
connessione univoca al firmatario, creati con mezzi sui quali il firmatario
può conservare un controllo esclusivo, collegati ai dati ai quali detta
firma si riferisce in modo da consentire di rilevare se i dati stessi siano
stati successivamente modificati"

Post by Sleepers
Nella fattispecie, un medico dovrebbe refertare degli esami in pdf,
apponendo come ultimo passaggio una firma digitale

La firma digitale è un tipo di firma elettronica qualificata per cui se è
richiesta la firma digitale (dipende a cosa serve quel documento o se siamo
nell'ambito della p.a.) non va bene.

[Sleepers]

Post by Max max

Post by Sleepers
Che validità hanno i certificati digitali di firma creati con Windows?

Non sono certificati qualificati, quindi le firme saranno firme elettroniche
semplici a meno che non possano considerarsi avanzate ma ho dei dubbi sul
controllo esclusivo

Immaginavo giusto, quindi.

Post by Max max
La firma digitale è un tipo di firma elettronica qualificata per cui se è
richiesta la firma digitale (dipende a cosa serve quel documento o se siamo
nell'ambito della p.a.) non va bene.

OK, ripiego sulla smart card classica.
Grazie.

[Max max]

Post by Sleepers
OK, ripiego sulla smart card classica.

Per la firma digitale (tipo di firma elettronica qualificata, al momento il
solo tipo) si usa appunto in più della firma elettronica avanzata un
certificato qualificato ed un dispositivo di firma sicuro (allo stato un
microchip contenuto in una smart card o altro dispositivo hardware).
E' possibile anche la firma da remoto se il dispositivo sicuro è in remoto
ed il processo di firma avviene con un pin che consente al titolare di
autorizzare in via esclusiva il dispositivo di firma sicuro a firmare il
documento.

[Sleepers]

Post by Max max
E' possibile anche la firma da remoto se il dispositivo sicuro è in remoto
ed il processo di firma avviene con un pin che consente al titolare di
autorizzare in via esclusiva il dispositivo di firma sicuro a firmare il
documento.

Sì, andrò a predisporre proprio qualcosa del genere.

La smartcard rimarrà collegata al PC dove risiedono i dati, e il medico
ne prenderà possesso da casa sua; per firmare digitalmente dovrà
inserire il PIN, che conoscerà solo lui (o al limite anche io come
amministratore di sistema addetto alle prove).

[Max max]

Post by Sleepers
(o al limite anche io come
amministratore di sistema addetto alle prove).

Il problema vero della firma digitale è che non ci si rende conto di quanto
tutto l'ambaradam sia legato al comportamento concreto del titolare.
Se per la firma tradizionale, entro certi limiti, è possibile provare una
falsificazione anche autorizzata, il concetto di falsificazione in tal senso
non sussiste per quella digitale.
E prima o poi la giurisprudenza dovrà cimentarsi con queste problematiche,
anche se poi alla fine si dovranno temperare i vari principi (non ripudio,
affidamento incolpevole, etc.)
Altri problemi ci saranno per i limiti temporali e di conservazione dei
certificati ma anche dopo xx anni un documento informatico sottoscritto sarà
valido ma sarà solo più difficile provarne l'autenticità in caso di
contestazioni (per questo in alcuni settori ci sono sistemi di conservazione
che mirano a ridurre questi problemi ma sono alquanto onerosi per usi
generalizzati).

[Macs]

Ciao

Post by Sleepers
Sì, andrò a predisporre proprio qualcosa del genere.

Oppure puoi optare - a seconda dello scenario - anche tra :
==
1. Configurare solo l'accesso protetto (e.g. VPN) ai file remoti +
utilizzo del dispositivo fisico + applicazione di firma in locale.

2. Configurare solo l'accesso protetto (e.g. VPN) ai file remoti +
applicazione di firma P7M/PDF da remoto mediante l'utilizzo di OTP
(SMS, token HW o token virtuale ved. app su mobile), ved. :
==
- Infocert LegalCert Remote Sign http://tinyurl.com/infocertrs
- PosteItaliane Postemailbox http://tinyurl.com/posteitrs
- Aruba Firma Digitale Remota http://tinyurl.com/arubars

L'opzione 2 torna p.es. utile qualora il dottore abbia esigenza/urgenza
di poter firmare da remoto anche da postazioni diverse dalla sua
domestica.