Funzionamento

Per la creazione di firme elettroniche conformi alla FiEle e quindi riconosciute, il firmante necessita di:

• una chiave di firma privata che si trova in un SSCD (Secure Signature Creation Device), quindi non riproducibile nel chip di una carta per la firma (smartcard) utilizzata in locale oppure archiviata in modo molto sicuro in un HSM (Hardware Security Module);
• un certificato, ovvero una struttura di dati elettronica collegata a una chiave di firma privata tramite un numero di serie, che include informazioni come:
  1. i dati personali del titolare della chiave privata;
  2. la chiave di firma pubblica corrispondente alla chiave privata;
  3. i dati sul periodo di validità del certificato;
  4. i dati del prestatore di servizi di certificazione che ha rilasciato il certificato e confermato la correttezza di tutte le informazioni della firma digitale.

Rilascio di un certificato

Per ottenere il rilascio di un certificato regolamentato o qualificato conforme alla FiEle, il richiedente deve recarsi personalmente dal prestatore di servizi di certificazione oppure presso uno degli uffici designati da quest’ultimo presentando il proprio passaporto o la propria carta di identità. I dati personali identificativi del richiedente, in particolare il contenuto del suo documento di identità, sono quindi rilevati sotto forma di fotocopia autenticata e archiviati per 11 anni presso l’organismo che rilascia il certificato, al fine di garantire la tracciabilità della procedura. Tale organismo assicura, mediante misure tecniche e organizzative certificate, che soltanto la persona richiedente possa utilizzare la chiave di firma privata collegata al certificato.

La Swiss Government PKI rilascia personalmente al richiedente i PIN, le password e i certificati di autenticazione e, se necessario, la chiave di firma privata (se figura sulla smartcard). Altri prestatori inviano queste informazioni e, se necessario, la smartcard, separatamente, in genere per raccomandata. Dopo la registrazione del richiedente, i prestatori privati offrono anche servizi di firma che producono certificati di breve durata da utilizzare soltanto per un processo di firma basato in un server.

Configurazione della firma elettronica

• Un programma di firma calcola l’impronta elettronica (hash) di un documento;
• l’hash è crittografato con la chiave di firma privata del firmante;
• viene aggiunta una marca temporale qualificata che stabilisce in modo inequivocabile il momento di apposizione della firma o del sigillo;
• in generale questi dati sono salvati nel documento stesso (PDF) o aggiunti a quest’ultimo sotto forma di file di firma distinto insieme al certificato del firmante, che contiene anche la chiave pubblica.

Il destinatario del documento può verificarlo tramite un programma specifico per la visualizzazione e la validazione di firme elettroniche. Il processo, interamente automatico, si svolge nelle seguenti fasi:

• il programma verifica la validità del certificato e l’appartenenza del certificato al prestatore di servizi di certificazione che l’ha emesso;
• il programma decifra l’hash crittografico nel documento con la chiave di firma pubblica contenuta nel certificato allegato e crea l’hash del documento;
• infine, il programma verifica se entrambi i valori di hash coincidono e se il certificato è valido; se sono soddisfatte entrambe le condizioni, stabilisce che il documento è stato firmato con certificato valido e che non è più stato modificato.

Il prestatore di servizi di certificazione pubblica anche una lista di tutti i certificati revocati a causa di un cambiamento del posto di lavoro, di decesso o di smarrimento, insieme alla data di revoca. Nel processo di validazione si controlla automaticamente se un certificato è ancora valido al momento della firma, ovvero se non è stato revocato. Per poter effettuare questi controlli, si esamina la marca temporale aggiunta dal programma per la firma durante la configurazione di una firma elettronica. La presenza di una marca temporale qualificata è una condizione di validità per le firme elettroniche qualificate, conformemente all’articolo 14 capoverso 2^bis del codice delle obbligazioni (CO; RS 220).

Tutti i prestatori di servizi di certificazione riconosciuti dalla FiEle offrono un servizio di marcatura temporale qualificato.

Consultare anche la lista dei prestatori di servizi di certificazione riconosciuti secondo la FiEle.