Il validatore di firme eGov della Confederazione (validatore) è stato sviluppato e messo a disposizione nel 2008 dall’Ufficio federale di giustizia, nel quadro dell’introduzione della firma elettronica per gli estratti del casellario giudiziale. L’obiettivo è rafforzare la fiducia nei documenti firmati elettronicamente, consentendo di verificare in modo semplice l’autenticità di tali documenti e la validità della firma sotto il profilo del diritto svizzero.
Il validatore verifica i documenti corredati di uno o più sigilli o firme elettronici conformemente alle disposizioni della legge sulla firma elettronica (FiEle; RS 943.03) e dell’ordinanza sulla realizzazione di atti pubblici e autenticazioni in forma elettronica (OAPuE; RS 211.435.1). La verifica di una firma elettronica, eseguibile anche mediante programmi come Adobe Acrobat Reader, include quindi il controllo di alcune caratteristiche della firma e dell’autenticità del documento. L’obiettivo del validatore è di dare la possibilità, anche ai non professionisti, di determinare in modo semplice e sicuro la validità di un documento e delle firme che contiene.
Il validatore è disponibile in due forme.
- Validatore web: il documento da validare può essere caricato e controllato con un browser web standard. Questa forma di applicazione è disponibile gratuitamente per tutti.
- Validatore discreto: viene stabilita una connessione protetta tra un’applicazione specifica e il validatore attraverso un client Java. Vengono tuttavia trasmessi solo il valore di hash del documento da validare e la/e firma/e elettronica/e estratta/e, ma non il documento vero e proprio. Per questa ragione è stato denominato validatore discreto.
Il validatore discreto serve unicamente a validare i documenti PDF ed è a disposizione sia dell’Amministrazione federale che dei Cantoni e dei Comuni. A tal fine questi ultimi concludono un accordo di utilizzo con eOperations Svizzera, che funge da «Single Point-of-Contact».
Il validatore discreto può anche essere utilizzato da imprese terze che gestiscono soluzioni software per conto dell’Amministrazione federale, dei Cantoni o dei Comuni.
Per quali documenti si utilizza il validatore?
Il validatore serve innanzitutto a verificare e validare i documenti firmati elettronicamente che le autorità svizzere elaborano o ricevono. Verifica i documenti corredati di uno o più sigilli o firme elettronici conformemente alle disposizioni della FiEle (RS 943.03) e dell’OAPuE (RS 211.435.1). Permette quindi di validare le firme elettroniche avanzate (FEA) della SG-PKI, le firme elettroniche qualificate (FEQ) svizzere e i sigilli elettronici regolamentati.
Il validatore di firme eGov verifica che un documento firmato elettronicamente sia autentico (il documento è stato firmato elettronicamente in modo valido?) e integro (dopo esser stato firmato, il documento è stato modificato nel suo contenuto?). Il validatore verifica inoltre se le firme contenute in un documento soddisfano i criteri determinanti per questo tipo di documento. I criteri possono riferirsi alla validità del documento nel suo complesso (p. es. estratto del casellario giudiziale valido) o di tutte le firme contenute (p. es. firme qualificate). Se il documento contiene firme o marche temporali che non sono compatibili con il tipo di documento identificato automaticamente, il rapporto dettagliato fornisce informazioni sulla firma in questione e sulle caratteristiche che pongono problemi. Per contro, in Adobe Acrobat Reader la verifica è effettuata direttamente a livello di firma.
I criteri seguenti sono verificati in funzione del tipo di documento:
- l’integrità del file firmato (sempre);
- la firma al momento dell’apposizione (sempre);
- lo statuto (revocato/non revocato) del certificato di firma (sempre);
- la validità della marca temporale secondo la FiEle;
- il certificato autorizzato (previsto) per questo tipo di documento.
Inoltre, può essere necessario:
- verificare che la firma sia valida per l’intero documento;
- emettere un avviso se per la firma è stato usato uno pseudonimo.
Attualmente il validatore permette di verificare i seguenti tipi di documenti (firmati):
- gli atti notarili, ossia i documenti provvisti di una FEQ conforme alla FiEle apposta da un pubblico ufficiale e di un sigillo elettronico regolamentato del Registro svizzero dei pubblici ufficiali (conferma di ammissione al RegPU),
- i documenti provvisti di una o più FEQ con marca temporale qualificata, i cui certificati provengono da un prestatore di servizi di certificazione riconosciuto in Svizzera conformemente alla FiEle;
- i documenti provvisti di un sigillo elettronico regolamentato conforme alla FiEle;
- i documenti provvisti di firma e di marca temporale della SG-PKI;
- i documenti pubblicati sulla piattaforma della Confederazione (www.droitfederal.admin.ch) provvisti di un sigillo elettronico regolamentato conforme alla FiEle ed elaborato dal Centro delle pubblicazioni ufficiali della Cancelleria federale;
- i documenti e-dec dell’Ufficio federale della dogana e della sicurezza dei confini (UDSC) provvisti di una FEA della SG-PKI (classe C);
- i documenti concernenti le esecuzioni (e-LEF) provvisti di una FEA della SG-PKI (classe C);
- gli estratti del casellario giudiziale provvisti di un sigillo elettronico regolamentato conforme alla FiEle rilasciato dall’Ufficio federale di giustizia (classe A della SG-PKI);
- le pubblicazioni ufficiali del portale dei fogli ufficiali (eFUSC) provvisti di un sigillo elettronico regolamentato conforme alla FiEle;
- i documenti provenienti dalle autorità amministrative, dai Comuni e dal Tribunale amministrativo del Cantone di Zugo.
Il validatore non può verificare i documenti provvisti di firme elettroniche semplici (FES), di FEA rilasciate da prestatori di servizi diversi dalla SG-PKI o di firme di prestatori di servizi stranieri. Questi ultimi infatti non sono riconosciuti in Svizzera secondo la legge.
Contrariamente al validatore, Adobe Acrobat Reader verifica la validità di ogni singola firma, ma soltanto dal punto di vista tecnico. Il programma riconosce un gran numero di prestatori (o di radici) di certificati, ma non sa se i certificati sono considerati qualificati, regolamentati, avanzati, sicuri rispetto all’identità del titolare ecc. nel Paese che li ha emessi. Lo stesso vale per la loro marcatura temporale.
Adobe Acrobat Reader propone due elenchi di certificati attendibili («trustlist»): AATL (Adobe Approved Trustlist) et EUTL (European Union Trustlist). I due elenchi comprendono i certificati radice di Adobe che sono serviti per firmare i certificati utente utilizzati a loro volta per firmare i documenti. Al momento dell’installazione del programma entrambi gli elenchi sono attivi. In questo modo è possibile verificare, da un punto di vista puramente tecnico, ed eventualmente validare, le FES e le FEA non disciplinate dalla FiEle, numerose firme dell’UE e alcune firme extraeuropee. Tuttavia, questo tipo di verifica non consente di sapere se le firme corrispondenti sono qualificate o regolamentate (statuto giuridico), qual è il loro livello di sicurezza tecnica e se i certificati sono stati creati sulla base di una procedura affidabile d’identificazione del titolare.
Come funziona la versione web del validatore della Confederazione?
- L’utente apre la pagina del validatore,
- sceglie il tipo di documento da verificare,
- avvia il processo di validazione.
Con il nuovo validatore di firme eGov (versione 2.0) non è più necessario selezionare un tipo di documento specifico da un menu a tendina prima di caricare il documento. Infatti, il nuovo validatore è in grado di determinare automaticamente il tipo di documento tramite una convalida basata sul contesto e di convalidarlo conformemente alle regole memorizzate nel validatore stesso.
Il validatore mostra i risultati della verifica e, se necessario, genera un rapporto dettagliato che può essere consultato o scaricato.
Informazioni sulla protezione dei dati
Il sistema non salva a lungo termine i documenti caricati nel validatore ai fini della verifica e non registra in protocolli di sistema i contenuti e i metadati dei documenti validati.
Tutti i dati del processo di validazione automatica (documento caricato, certificato del firmante e rapporto di validazione) sono conservati o generati solo durante il processo di verifica nella memoria di lavoro volatile del validatore. Per accedere al contenuto del documento caricato bisognerebbe entrare nel validatore nel momento preciso dell’elaborazione aggirando importanti ostacoli tecnici e creare una copia della memoria di lavoro volatile. Tutti i dati trattati dal validatore sono trasmessi in modo crittografato (SSL) e possono dunque essere consultati da terzi.
