Come apporre la firma digitale
Nella sua accezione originale, la firma digitale, altresì nota come firma elettronica qualificata, è uno strumento attraverso il quale privati cittadini, aziende, professionisti ed enti operativi possono attribuire valore legale certo ai documenti elettronici. Per poter produrre una firma di questo tipo, bisogna acquistare un apposito pacchetto da un ente certificatore accreditato (in gergo, prestatore di servizi) ed eseguire alcune procedure di convalida, al fine di autenticare, al di là di ogni lecito e legale dubbio, i propri file.
All’atto pratico, però, c’è un po’ di confusione in materia: molto spesso, si tende a confondere la firma digitale con la firma elettronica semplice, ossia con quel meccanismo tramite il quale si attesta la semplice presa visione di un documento, apponendo la propria firma “grafica” o le proprie iniziali su di un file elettronico — esattamente come si farebbe su un qualsiasi foglio di carta.
Tema di questa mia guida sarà, per l’appunto, chiarire la differenza tra le varie tipologie di firma elettronica e spiegarti, in maniera semplice ma precisa, come apporre la firma digitale usando gli strumenti giusti. Sono certo che, al termine della lettura di questa guida, tutto ti sarà più chiaro, così da permetterti di scegliere la modalità di convalida più adatta a quelle che sono le tue esigenze. Detto ciò, a me non resta altro da fare, se non augurarti buona lettura.
Indice
- Informazioni preliminari: tipi di firma elettronica
- Come apporre la firma digitale su un documento: FEQ — kit di firma
- Come apporre la firma elettronica olografa
Informazioni preliminari: tipi di firma elettronica
Prima di entrare nel vivo di questa guida e di spiegarti, nel dettaglio, come apporre la firma digitale, è bene fare un po’ di chiarezza sulla definizione tecnica di questo strumento, e sulle varie modalità di validazione applicabili ai documenti elettronici.
Iniziamo dallo strumento più semplice, la firma olografa: essa prevede che il firmatario disegni la propria firma autografa (la stessa che utilizzerebbe su un foglio di carta) nell’apposito campo, con l’ausilio di un tablet con pennino digitale, di una tavoletta grafica, del mouse, del trackpad o di qualsiasi altro strumento di disegno.
In caso di difficoltà, l’utente può altresì scegliere di tracciare la firma autografa su un foglio di carta, di effettuarne la digitalizzazione scansionandola o fotografandola, per poi scontornarla e “incollarla” nel punto preposto del documento da firmare.
Questo tipo di firma è solitamente usata per validare documenti destinati alla stampa su carta e non ha valore legale certo; se apposta in presenza di un addetto d’ufficio, la firma olografa attesta la presa visione e l’accettazione del documento firmato. Ad ogni modo, i termini e i limiti di utilizzo sono descritti e concordati di volta in volta tra le parti coinvolte.
In caso di necessità, la l’autenticità della firma olografa può essere validata da un giudice, con la consulenza di un perito calligrafo, esattamente come succede con la firma autografa.
In altre parole, se ti stai chiedendo come apporre la firma digitale su un documento PDF che serve, per esempio, ad attivare un nuovo contratto telefonico, quello appena descritto potrebbe essere il sistema da preferire.
Un gradino più in alto c’è la firma elettronica avanzata, o FEA: si tratta di una firma generata con mezzi sui quali il firmatario ha un controllo diretto, esclusivo e accertabile.
Per farti qualche esempio, un sistema di FEA potrebbe essere quello ottenibile con lo SPID o, in alternativa, mediante un tablet associato univocamente alla propria persona, a patto che l’hardware e il software siano in grado di acquisire non soltanto il tratto della firma olografa, ma anche altri aspetti biometrici potenzialmente univoci (pressione/inclinazione della penna, velocità/accelerazione in fase di scrittura, ritmo del tratto e così via); in quest’ultimo caso, si parla di firma grafometrica.
Per applicare la FEA, non è richiesto l’uso di chiavi di autenticazione fisiche, o virtuali. L’autenticità e la validità della firma vengono attestate dall’identity provider (o IdP) che fornisce il sistema di autenticazione, e dal fornitore di servizi (SP) che eroga il documento, grazie a una combinazione di chiavi di sicurezza ospitate sui server stessi.
La firma elettronica avanzata rispetta i principi di autenticità, integrità e non ripudio e gode di pieno valore legale per tutte le categorie di documenti, fatta eccezione per quelle che riguardano contratti o accordi immobiliari.
Infine, c’è la firma elettronica qualificata o FEQ, comunemente nota come firma digitale: si tratta del tipo di firma elettronica più sicuro e forte. La convalida dei documenti firmati è delegata a un ente accreditato, denominato prestatore di servizi, e implementata con l’ausilio di token fisici o virtuali, a uso esclusivo del firmatario.
In particolare, il prestatore di servizi opera nel pieno rispetto della delle normative in materia di Firma Digitale e delle regole tecniche emanate dall’AgID, avvalendosi di certificati crittografici asimmetrici di durata estesa nel tempo (mediamente vent’anni). Al bisogno, è altresì possibile conferire valore legale al documento anche alla scadenza dei certificati, applicandovi una marca temporale.
A prescindere dalla presenza o meno di quest’ultimo, la firma digitale garantisce il rispetto dei principi di autenticità, integrità e non ripudio, ha pieno valore legale per qualsivoglia tipo di documento (inclusi quelli inerenti questioni immobiliari), sia sul territorio italiano, che su quello Europeo.
Ad ogni modo, se qualcosa non ti è chiaro e hai bisogno di qualche delucidazione in più sulla natura dei vari tipi di firma elettronica/digitale, consulta senza esitare l’approfondimento dedicato, presente sul mio sito.
Come apporre la firma digitale su un documento: FEQ — kit di firma
Fatte tutte le doverose precisazioni del caso, è giunto il momento di approfondire il tema e di spiegarti, per iniziare, cosa serve per poter applicare la firma elettronica qualificata, o meglio, la firma digitale riconosciuta legalmente.
Come già accennato in precedenza, devi innanzitutto rivolgerti a un prestatore di servizi fiduciari qualificati riconosciuto dall’AgID, al fine di acquistare un kit per la firma digitale.
Generalmente, esso è composto da un dispositivo hardware da collegare al computer, quale potrebbe essere un lettore di smart card o una chiavetta USB, che va usato in abbinata a un software specifico, in grado di usarle le chiavi di cifratura e i certificati concessi dal prestatore di servizi per convalidare la propria firma.
La validazione concreta può essere applicata usando una smart card fisica o virtuale, anch’essa fornita in abbinata al kit di firma, associata univocamente al firmatario e dotata di PIN specifico d’accesso. Molto spesso, le card fisiche possono essere utilizzate anche come Carta Nazionale dei Servizi, al fine di effettuare l’accesso ai servizi della Pubblica Amministrazione e ad altri portali che supportano il login con CNS.
Alcuni prestatori di servizi, poi, mettono a disposizione i kit di firma digitale remota: in questo caso, le chiavi e i certificati necessari per la convalida della firma sono ospitati sui server sicuri del prestatore di servizi e, di conseguenza, accessibili anche senza l’ausilio di smart card o altri apparecchi che contengono fisicamente i dati.
Quando si utilizza un kit di firma digitale, la convalida del certificato avviene inserendo un codice OTP ricevuto tramite SMS su un numero di cellulare convalidato, generato tramite l’app ufficiale fornita dal prestatore di servizi o tramite un dispositivo OTP fisico, che lavora in maniera del tutto indipendente da altri device, e serve unicamente per la generazione dei codici.
Altro aspetto al quale prestare importanza è il formato di firma supportato dal programma o dall’app proprietari del prestatore di servizi, ossia il modo in cui la firma viene integrata nel file originale. Nel momento in cui scrivo, i formati più diffusi sono i seguenti.
- CAdES (o CMS Advanced Electronic Signatures): il formato CAdES è applicabile a qualsiasi documento elettronico, a prescindere dalla sua estensione. L’elemento firmato, insieme alle informazioni sulla convalida, viene incapsulato in un file con estensione P7M.
- ASiC-E (Associated SIgnature Containers ASiC simple): è un formato adatto a chi ha bisogno di firmare e distribuire più documenti in simultanea, a prescindere dalle rispettive estensioni. I file firmati, unitamente alle informazioni di convalida, vengono racchiusi in un particolare archivio in formato .ZIP.
- PAdES (o PDF Advanced Electronic Signatures): è un formato applicabile ai soli documenti PDF. Il sigillo di firma viene incluso all’interno del file PDF stesso, spesso ri-esportato con profilo sicuro PDF/A, in maniera invisibile o tramite un “bollino” che include il logo del prestatore di servizi, e le iniziali del firmatario.
- XAdES (o XML Advanced Electronic Signatures): funziona in maniera simile al formato PAdES, ma può essere applicato ai soli documenti con estensione XML.
Dopo aver scelto il kit di firma più adatto alle proprie esigenze, bisogna finalizzarne l’acquisto autenticando la propria persona tramite un sistema di identificazione sicuro (identità SPID, Carta d’Identità Elettronica o TS-CNS abilitate per l’uso dei servizi online) o, in alternativa, recandosi fisicamente presso un ufficio accreditato o un Pubblico Ufficiale.
In quest’ultimo caso, su esplicita richiesta dell’operatore, bisogna necessariamente esibire la proposta contrattuale erogata dal prestatore di servizi e un documento d’identità non scaduto.
Quanto a prezzi, i kit di firma digitale presentano costi a partire da 50-60 euro, e hanno una validità minima di tre anni; quest’ultima non va confusa con la validità del certificato di firma, pari solitamente a un ventennio.
Al bisogno, è possibile prolungare la durata del kit di firma già in fase di attivazione, acquistando annualità aggiuntive, oppure abbinare servizi supplementari, come quello per la marca temporale. Chiaramente, il prezzo è destinato ad aumentare, in base alla durata e al quantitativo di servizi scelti.
Ad ogni modo, una volta attivato il kit di firma e preso possesso degli strumenti di autenticazione, è necessario installare i driver del token fisico di autenticazione, unitamente al programma di firma suggerito dal prestatore di servizi. Nel caso dei kit per firma digitale remota, è sufficiente installare soltanto il programma o l’applicazione segnalati.
Per firmare un documento, è sufficiente aprire il programma o l’app forniti dal prestatore di servizi, scegliere il file da firmare mediante l’apposita funzionalità e selezionare, ove richiesto, il tipo di incapsulamento da applicare (ad es. CAdES, PAdES o XAdES).
Fatto ciò, bisogna premere sul pulsante per firmare il documento e autenticare la propria persona usando il token fisico ricevuto in dotazione, oppure generando un codice OTP tramite app o generatore indipendente.
Come puoi facilmente immaginare, i costi dei vari kit di firma, così come le modalità d’impiego dei software dedicati, variano in base al prestatore di servizi scelti. A titolo di esempio, lascia che ti illustri, a grandi linee, le caratteristiche dei servizi offerti da alcuni ben noti protagonisti del settore.
Come apporre la firma digitale con Aruba
Iniziamo da Aruba. Nel momento in cui scrivo, Aruba propone diverse soluzioni, che presentano costi variabili in base alla modalità di convalida prevista, e sono le seguenti.
- Kit di firma con Aruba Key USB + CNS: è un kit di firma digitale che include un token USB da collegare al computer e una smart card in formato ridotto da inserire al suo interno. Il kit presenta un costo pari a 68,90 euro+IVA, ai quali vanno aggiunti 10 euro per la spedizione degli apparati.
- Kit di firma con Smart card + CNS: è un kit di firma che include un lettore di smart card da collegare al computer, e una tessera in formato regolare da inserire al suo interno. Il kit presenta un costo di 51,90 euro+IVA, ai quali vanno aggiunti 10 euro per la spedizione degli apparati.
- Kit di firma digitale remota con marca temporale: è un kit di firma digitale remota, che consente di firmare i documenti tramite un codice OTP generato tramite app. Presenta un costo di 45,90 euro+IVA.
- Kit di firma digitale remota con marca temporale e USB OTP: è un kit di firma digitale remota, che consente di firmare i documenti tramite un codice OTP generato da dispositivo con display. Presenta un costo di 48,90 euro+IVA, ai quali vanno aggiunti 10 euro per la spedizione dell’apparato.
Tutti i kit di firma proposti da Aruba hanno una durata temporale di base pari a 3 anni; per firmare, è necessario affidarsi ai software Aruba Sign o Aruba Key per computer, a seconda del tipo di lettore scelto, al servizio ArubaSign Online oppure all’app Aruba Firma Digitale disponibile per Android, iPhone e iPad, nel caso di Firma digitale remota. Per maggiori informazioni, consulta il mio approfondimento dedicato, nello specifico, alla firma digitale Aruba.
Come apporre la firma digitale con Poste Italiane
Adesso, passiamo al kit offerto da Poste Italiane. Attualmente, il prestatore di servizi mette a disposizione un kit per la firma digitale remota, che può essere acquistato al prezzo di 45,75 euro IVA inclusa, con durata ventennale del certificato di firma, oppure a 55,51 euro IVA inclusa, con Marca Temporale.
Il kit di firma ha una durata iniziale pari a 3 anni, che può essere estesa fin da subito oppure a ridosso della scadenza del kit, corrispondendo un importo aggiuntivo.
Per firmare i documenti, occorre scaricare, installare e configurare il software FirmaOK!, disponibile per Windows, macOS e Linux; il codice OTP per apporre la firma viene generato in tempo reale, e inviato tramite SMS al numero di cellulare convalidato in fase di attivazione del kit.
I sistemi di incapsulamento supportati dal software FirmaOK! di Poste Italiane sono CAdES, PAdES e XAdES, almeno nel momento in cui scrivo questa guida; per saperne di più, prendi visione della guida in cui ti spiego, nel dettaglio, come fare la firma digitale con Poste Italiane.
Come apporre la firma digitale con Namirial
In ultima, ma soltanto in ordine di elenco, c’è Namirial. Nel momento in cui scrivo, sono diverse le proposte del prestatore di servizi, e sono le seguenti.
- Firma digitale su token USB: è un kit di firma digitale che include un token USB utilizzabile su computer, unitamente a una SIM card da sfruttare come CNS. Il kit completo ha un costo di 79 euro+IVA e vale tre anni.
- Firma digitale su token Bluetooth: è un kit di firma digitale che include un token Bluetooth utilizzabile su computer, smartphone e tablet, unitamente a una CNS già integrata al suo interno. Il kit ha un costo di 99 euro+IVA e vale tre anni.
- Firma digitale su Smart Card: è un kit di firma digitale che include una Smart Card da usare come CNS e, in via opzionale, un lettore USB per smart card da collegare al computer. Il kit ha un costo di 79 euro+IVA (con lettore) o di 59 euro+IVA (senza lettore), e vale tre anni.
- Firma digitale remota: è un kit di firma digitale che non include dispositivi né smart card, la cui convalida dei documenti è delegata unicamente all’app Namirial Sign per Android, iPhone e iPad. Il kit ha un costo di 59 euro+IVA e vale tre anni.
- Kit GraphoSign: è un kit che include un tablet a 5 pollici con pennino e 3 anni di accesso all’app GraphoSign Lite per Windows. L’unione dell’hardware e del software consente di produrre una firma elettronica avanzata (FEA) come firma grafometrica. Il kit ha un costo di 279 euro+IVA.
Per poter apporre la firma digitale, una volta acquistato il kit dedicato, è possibile usare l’applicazione gratuita Namirial Sign per computer, smartphone/tablet Android, iPhone e iPad, oppure il servizio online omonimo. Esiste anche una versione a pagamento di Namirial Sign, denominata Pro, che costa 49 euro+IVA/anno e consente di caricare i documenti firmati in uno spazio cloud sicuro, di firmare più file contemporaneamente e di convertire i file PDF in PDF/A.
Qualora avessi invece optato per l’acquisto di un kit GraphoSign, per poter produrre una firma elettronica avanzata, devi necessariamente affidarti ai software GraphoSign Lite o GraphoSign Pro, entrambi disponibili per PC Windows.
Come apporre la firma digitale: altri prestatori di servizi
Chiaramente, quelli appena menzionati figurano sicuramente tra i migliori prestatori di servizi fiduciari qualificati agenti sul territorio nazionale, ma non sono gli unici. Per esempio, se stai cercando informazioni su come apporre la firma digitale con SPID, dovresti rivolgerti a Tinexta InfoCert, prestatore di servizi autorizzato dall’AgID, che promuove un servizio di questo tipo.
Ad ogni modo, se le soluzioni proposte poc’anzi non si adattano alle tue necessità o se, banalmente, volessi conoscere ancor più alternative da tenere in considerazione, leggi la mia guida ai migliori kit di firma digitale, nella quale ho trattato l’argomento con dovizia di particolari.
Come apporre la firma elettronica olografa
Come dici? Non ritieni utile l’impiego delle soluzioni proposte poc’anzi perché, in realtà, hai soltanto bisogno di firmare un documento elettronico esattamente come faresti su carta, apponendovi le tue iniziali o il tuo nome per esteso? Ebbene, se devi semplicemente applicare la tua firma olografa, gli step da percorrere potrebbero essere decisamente più semplici.
In primo luogo, a meno che tu non disponga di una tavoletta grafica, di un tablet con pennino oppure di uno strumento di precisione che ti consenta di tracciare la tua firma al volo, ti consiglio di trascrivere quest’ultima su un foglio di carta bianco, per poi digitalizzarla scattando una foto, o usando lo scanner.
Qualora l’area contenente la firma disegnata dovesse essere di colore diverso dal bianco, o “disturbata” da tratti od ombreggiature, potresti dover scontornare l’immagine ottenuta, così da conferirle ulteriore pulizia.
Fatto ciò, a seconda del caso, puoi applicare la firma ottenuta (o disegnata al volo) usando un programma per PDF che supporti questa funzionalità o, se il documento è invece disponibile in formato Word, realizzando al suo interno un campo di tipo firma oppure, semplicemente, incollando la digitalizzazione dove più ritieni opportuno.
Ad ogni modo, se hai bisogno di chiarimenti più specifici al riguardo, consulta le mie guide su come apporre la firma digitale su un PDF e come apporre la firma digitale su un documento Word: sono certo che ti torneranno molto utili.
Autore
Salvatore Aranzulla
Salvatore Aranzulla è il blogger e divulgatore informatico più letto in Italia. Noto per aver scoperto delle vulnerabilità nei siti di Google e Microsoft. Collabora con riviste di informatica e ha curato la rubrica tecnologica del quotidiano Il Messaggero. È il fondatore di Aranzulla.it, uno dei trenta siti più visitati d'Italia, nel quale risponde con semplicità a migliaia di dubbi di tipo informatico. Ha pubblicato per Mondadori e Mondadori Informatica.
