Come dotarsi di firma digitale

Hai mai sentito parlare della firma digitale? Si tratta di uno strumento che permette di dare valore legale ai documenti in formato elettronico. Può essere usata per convalidare documenti digitali, comunicare con la Pubblica Amministrazione e informatizzare le comunicazioni aziendali.

È adatta sia ai privati cittadini che alle aziende e oggi vedremo insieme come ottenerne una. Se anche tu sei interessato all’argomento e vuoi sapere come dotarsi di firma digitale, non ti resta che leggere questo tutorial e scegliere la soluzione più adatta alle tue esigenze. Ti anticipo già che si tratta di uno strumento alla portata di tutti: ottenerla non costa molto (contrariamente a quanto possa pensare qualcuno) e, come se ciò non bastasse, è anche semplice da utilizzare.

Allora, si può sapere che ci fai ancora lì impalato? Coraggio: mettiti bello comodo, prenditi tutto il tempo di cui hai bisogno per concentrarti sulla lettura dei prossimi paragrafi e, cosa ancora più importante, cerca di mettere in pratica le indicazioni che ti darò. Sono convinto che, al termine di questa lettura, non avrai più alcun dubbio su come munirsi di firma digitale. Buona lettura!

Indice

• Tipologie di firma digitale
• Kit di firma digitale
• Come si fa per dotarsi di firma digitale
• Come usare la firma digitale

Tipologie di firma digitale

Prima di addentrarci nel cuore di questa guida e illustrarti come firmare digitalmente un file, ritengo opportuno darti qualche precisazione aggiuntival riguardo alle varie tipologie di autenticazione elettronica applicabili, così da offrirti una panoramica ancora più ampia e chiara sull’argomento.

Per evitare inutili confusioni, tralascerò gli aspetti tecnici specifici di ciascun metodo di identificazione, concentrandomi invece sulle modalità d’uso e sulla relativa validità giuridica.

• Firma olografa — rappresenta la forma di firma più basilare, che prevede che il firmatario riproduca la propria firma autografa (cioè quella normalmente apposta su carta) utilizzando una tavoletta grafica, un mouse, un pennino per tablet o un dispositivo analogo; in alternativa, è possibile scannerizzare la firma da un documento cartaceo e inserirla nel file digitale. Questo tipo di firma non possiede valore legale, e viene impiegato solitamente per validare documenti destinati alla stampa. Se eseguita alla presenza di un incaricato d’ufficio, la firma olografa raccolta tramite tablet attesta la presa visione e l’accettazione del documento. Come per la firma autografa su carta, la validità della firma olografa può essere riconosciuta soltanto da un giudice con l’aiuto di un perito calligrafico.
• Firma elettronica avanzata — FEA — è una tipologia di firma elettronica generata mediante strumenti digitali dei quali il firmatario ha pieno e esclusivo controllo (ad esempio una combinazione di identità e password usa e getta, identità SPID e simili). L’autenticità viene garantita dall’identity provider che gestisce il sistema di autenticazione del firmatario (IdP) e dal servizio che fornisce il documento (SP), senza richiedere chiavi fisiche/virtuali o enti certificatori dedicati. La FEA possiede valore legale per la maggior parte dei documenti, a eccezione di quelli relativi a contratti immobiliari.
• Firma elettronica qualificata o firma digitale — FEQ — costituisce la forma più robusta e sicura di firma elettronica. La validazione del documento avviene tramite un certificato rilasciato da un ente accreditato e applicato attraverso token fisici o virtuali destinati esclusivamente al firmatario. Per verificare l’autenticità di un documento firmato con FEQ, si ricorre a un insieme di certificati crittografici asimmetrici con una lunga durata (generalmente fino a vent’anni), mentre per mantenere la validità legale anche dopo la scadenza dei certificati, vengono impiegati sigilli o marche temporali. La firma digitale garantisce pieno e indiscutibile valore legale per qualsiasi tipo di documento.

Se hai ancora qualche incertezzal riguardo alle differenze tra le varie modalità di firma elettronica, ti suggerisco di consultare la guida in cui ti spiego come apporre la firma digitale, nella quale ho affrontato l’argomento in maniera dettagliata.

Kit di firma digitale

Adesso, è arrivato il momento di scoprire come procurarsi la propria firma elettronica qualificata (o, più semplicemente, firma digitale), ovvero la forma di sigillo elettronico più affidabile, dotata di pieno valore legale e applicabile a qualunque tipologia di documento.

Come prima cosa, devi rivolgerti a uno dei prestatori di servizi fiduciari qualificati riconosciuti dall’AgID e acquistare un kit per la firma digitale. Di norma, il prezzo di un kit si aggira attorno ai 50-60 euro, cifra che può aumentare qualora optassi per servizi aggiuntivi, come quello relativo alla marca temporale.

Gli enti in questione mettono a disposizione varie soluzioni sicure, che permettono all’utente di certificare i propri documenti nel modo più affidabile possibile: un key/token USB con card integrata; un lettore di schede con smart card incorporata, spesso utilizzabile anche come CNS; oppure kit per la firma digitale remota, perfetti per l’uso da smartphone o tablet, che non richiedono alcun dispositivo fisico e consentono la validazione tramite smart card virtuale e codici monouso generati in sicurezza al momento.

Per concludere l’acquisto del kit, la cui validità è solitamente di due o tre anni, è necessario certificare in maniera univoca la propria identità tramite un sistema di riconoscimento accreditato, come l’identità SPID, la Carta d’Identità Elettronica o la Tessera Sanitaria abilitata CNS; in alternativa, puoi recarti fisicamente presso un ufficio accreditato o un Pubblico Ufficiale, mostrando, all’occorrenza, la proposta contrattuale fornita dal prestatore di servizi e un documento d’identità valido.

Una volta completato l’acquisto e ricevuti gli strumenti, bisogna procedere con l’attivazione del kit di firma: generalmente, bisogna visitare il sito Web del prestatore, inserire il proprio codice fiscale e, se richiesto, il numero di serie della Smart Card (fisica o virtuale) collegata al kit; infine, occorre confermare la propria identità inserendo il codice di attivazione personale comunicato dal prestatore, insieme ai vari PIN/codici OTP generati al momento.

Per firmare un documento digitale, dopo aver attivato il kit, devi installare i driver del token fisico fornito e collegare il dispositivo al computer; successivamente, dovrai installare anche il software di firma suggerito dal prestatore. Se invece hai scelto un kit per firma digitale remota, sarà sufficiente installare l’app o il programma proprietario del servizio.

A questo punto, dopo aver avviato il software, devi selezionare il documento da firmare tramite l’apposita funzione e premere il pulsante dedicato alla firma; successivamente, potresti dover scegliere il formato di firma tra quelli disponibili, che sono principalmente i seguenti.

• CAdES (CMS Advanced Eletronic Signatures) — può essere applicato a qualunque tipo di file digitale, indipendentemente dalla sua estensione. Il documento firmato viene inglobato, con le informazioni di convalida, all’interno di un file con estensione P7M.
• PAdES (PDF Advanced Electronic Signatures) — può essere applicato esclusivamente ai file PDF. Il sigillo viene incluso nel documento PDF (esportato con profilo PDF/A), in forma invisibile oppure tramite un “bollino” grafico che indica prestatore di servizi e iniziali del firmatario.
• XAdES (XML Advanced Electronic Signatures) — come suggerisce il nome, si tratta di un formato pensato appositamente per documenti in XML.
• ASiC-E (Associated SIgnature Containers ASiC simple) — è un formato pensato per firmare più documenti contemporaneamente, racchiusi in un file .ZIP contenente i vari file firmati e i relativi certificati di firma.

Scelto il metodo di incapsulamento, non dovrai far altro che premere il pulsante per procedere con la firma e seguire le istruzioni mostrate, autenticandoti tramite il kit fornito oppure tramite l’app ufficiale del prestatore.

Come puoi immaginare, costi e modalità di utilizzo dei vari kit cambiano a seconda del prestatore di servizi scelto. Per questo motivo, lascia che ti dia qualche dettaglio aggiuntivo sui principali protagonisti del settore.

• Come dotarsi di firma digitale con Namirial — il prestatore Namirial offre sia il kit per Firma Digitale Remota, dal costo di 59 euro+IVA e privo di dispositivi fisici, sia il kit di firma con dispositivo, al prezzo di 25 euro+IVA, che prevede l’uso di lettore smart card USB, token USB o token Bluetooth. Entrambi durano 3 anni, supportano tutti i formati citati e funzionano tramite l’app gratuita Namirial Sign, utilizzabile da computer, smartphone/tablet Android, iPhone/iPad e anche tramite interfaccia Web. Disponibile anche una versione premium (49 euro+IVA/anno), che permette di firmare più documenti insieme, caricare file sul cloud sicuro e convertire PDF in PDF/A. Maggiori info qui.
• Come dotarsi di firma digitale con Aruba — la soluzione proposta da Aruba, anch’essa della durata di tre anni, presenta costi diversi in base ai dispositivi selezionati. Per esempio, il kit con Aruba key USB + CNS costa 68,90 euro+IVA, quello con Smart card/CNS + lettore costa 51,90 euro+IVA, mentre il kit remoto con marca temporale costa 45,90 euro+IVA con validazione via app, oppure 48,90 euro+IVA con dispositivo OTP dotato di display. La spedizione dei dispositivi fisici (Aruba Key, lettore o OTP) richiede un contributo extra di 10 euro. Per firmare, è necessario utilizzare Aruba Sign/Aruba Key su PC, ArubaSign Online oppure l’app Aruba Firma Digitale, disponibile per Android, iPhone/iPad. Maggiori info qui.
• Come dotarsi di firma digitale con Poste Italiane — attualmente, il servizio propone esclusivamente la firma digitale remota, della durata di tre anni e con un costo di partenza pari a 45,75 euro+IVA (oppure 55,51 euro IVA inclusa se si aggiunge la Marca Temporale). La firma dei documenti richiede unicamente il software FirmaOK!, compatibile con Windows, macOS e Linux, con supporto ai formati CAdES, PAdES e XAdES. Maggiori info qui.

Oltre a questi, esistono numerosi altri prestatori di servizi per firma elettronica qualificata: per un approfondimento completo, ti invito a consultare la mia guida sulle migliori firme digitali, dove ho analizzato il tema nel dettaglio.

Come si fa per dotarsi di firma digitale

Adesso è finalmente giunto il momento di capire come si fa per dotarsi di firma digitale. Ti anticipo già che riuscirci non è affatto complicato: basta acquistare il kit di firma digitale da uno degli enti certificatori riconosciuti in Italia e seguire le istruzioni fornite sul sito di quest’ultimo, in modo da concludere l’acquisto e verificare la propria identità.

Il primo passo che devi fare è, come già detto, quello di acquistare il kit di firma digitale che ti sembra più adatto alle tue esigenze. Per riuscirci, collegati al sito Web dell’ente certificatore a cui preferisci rivolgerti (es. Aruba, Poste Italiane, InfoCert, etc.) e scegli uno dei kit disponibili all’acquisto.

Nel caso in cui tu sia titolare di un’impresa, sappi che puoi richiedere un kit di firma digitale anche alla Camera di Commercio di competenza territoriale: per cercare la sede più vicina, ti consiglio di fare una ricerca su Google (o su un qualsiasi altro motore di ricerca), cercando “firma digitale camera commercio [nome della tua città]”.

Quando avrai finalmente scelto il kit da acquistare, devi procedere alla creazione di un account sul sito dell’ente certificatore scelto e completare l’acquisto fornendo uno dei metodi di pagamento accettati (es. carta di credito, PayPal, etc.), inserendo i tuoi dati personali nell’apposito modulo e, infine, caricando un documento d’identità in corso di validità.

Il secondo passo consiste nel procedere alla verifica della propria identità che può essere effettuata anche al momento dell’acquisto secondo una delle seguenti modalità.

• Identificazione de visu — prevede la verifica dell’identità di persona, presso un ufficio accreditato o davanti a un Pubblico Ufficiale, mostrando un documento d’identità valido.
• SPID — consente l’identificazione online tramite le credenziali del Sistema Pubblico di Identità Digitale. È uno dei metodi più rapidi e utilizzati.
• Carta d’Identità Elettronica (CIE) — permette il riconoscimento tramite il chip elettronico integrato nella carta, usando l’app ufficiale o un lettore NFC compatibile.
• Tessera Sanitaria abilitata CNS — tramite smart card e relativo PIN, consente l’autenticazione attraverso la Carta Nazionale dei Servizi.
• Video riconoscimento — in alcuni casi, i provider consentono l’identificazione tramite videochiamata guidata con un operatore qualificato.

Il terzo e ultimo passo, poi, riguarda l’attivazione del kit, che può essere fatta collegandosi al sito dell’ente certificatore dal quale è stato acquistato e fornendo i dati che vengono richiesti da quest’ultimo. Di solito, bisogna fornire il codice seriale della smart card, il codice fiscale e alcuni documenti per la verifica dell’identità, ma dal momento che la procedura può variare da un ente a un altro, ti esorto a seguire attentamente le istruzioni che ti verranno fornite sul sito di quest’ultimo per evitare problemi. Intesi?

Come usare la firma digitale

Dopo aver finalmente ottenuto e attivato il kit che hai acquistato e attivato, puoi apporre la firma digitale sui tuoi documenti. Per riuscirci, però, devi per prima cosa provvedere al download dei driver e dei software di firma necessari per dare valore legale ai documenti che hai bisogno di firmare (se hai acquistato un kit USB, non dovresti avere bisogno di farlo visto che i driver e i software di firma sono già inclusi).

Una volta fatto ciò, applicare la firma digitale è alquanto semplice. Di solito basta avviare il software di firma fornito dall’ente certificatore che ti ha fornito il kit, pigiare sul bottone Firma e selezionare i documenti che intendi autenticare (es. file PDF, documenti Word, etc.).

Per quanto riguarda il formato di output, ovvero il formato dei file che viene ottenuto dopo averli firmati, sappi che è possibile scegliere tra Busta crittografica P7M (un file in formato P7M che contiene al suo interno sia il documento originale che i file della firma), PDF (sul quale è possibile rendere la firma visibile o meno) o XML.

Per maggiori informazioni su come firmare digitalmente un documento e come apporre la firma digitale, ti consiglio di dare un’occhiata agli approfondimenti che ti ho appena linkato. Sicuramente ti saranno utili.

Autore

Salvatore Aranzulla

Salvatore Aranzulla è il blogger e divulgatore informatico più letto in Italia. Noto per aver scoperto delle vulnerabilità nei siti di Google e Microsoft. Collabora con riviste di informatica e ha curato la rubrica tecnologica del quotidiano Il Messaggero. È il fondatore di Aranzulla.it, uno dei trenta siti più visitati d'Italia, nel quale risponde con semplicità a migliaia di dubbi di tipo informatico. Ha pubblicato per Mondadori e Mondadori Informatica.