Riferimenti normativi e standard
Ogni affermazione tecnica di Probatio poggia su una norma o su uno standard pubblico. Qui ci sono tutti, nell'ordine in cui si applicano: prima il diritto dell'Unione, poi quello italiano, infine gli standard tecnici internazionali.
Nota. Questa pagina è una mappa delle fonti, non una consulenza legale. Le norme cambiano; i riferimenti vanno sempre verificati sul testo vigente. Dove una guida di questo sito fa un'affermazione giuridica, il riferimento puntuale è qui.
UE Unione Europea
eIDAS — identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno
La norma madre. Art. 3 (definizioni), art. 22 (elenchi di fiducia), art. 25 (effetti giuridici delle firme: al § 2 la firma qualificata ha «effetti giuridici equivalenti a quelli di una firma autografa»), art. 41 (al § 2 la marca temporale qualificata gode della presunzione di accuratezza di data e ora e di integrità dei dati associati).
eIDAS 2 — quadro europeo dell'identità digitale (portafoglio EUDI)
In vigore dal 20 maggio 2024, modifica il regolamento 910/2014. Non altera la disciplina delle firme e delle marche descritta nelle guide, ma introduce il portafoglio europeo di identità digitale e nuovi servizi fiduciari.
Formati di firma e sigillo elettronico avanzati che gli organismi del settore pubblico devono riconoscere
Adottata in attuazione dell'art. 27, § 5, e dell'art. 37, § 5, del regolamento eIDAS. All'art. 1 impone agli organismi del settore pubblico che richiedono una firma elettronica avanzata, anche basata su certificato qualificato, di riconoscere le firme XAdES, CAdES e PAdES ai livelli di conformità B, T o LT, ovvero i corrispondenti contenitori di firma associata ASiC, purché conformi alle specifiche tecniche ETSI elencate in allegato. L'obbligo di riconoscimento è pertanto identico per tutti i formati indicati.
Specifiche tecniche degli elenchi di fiducia (trusted list)
Definisce come gli Stati membri pubblicano l'elenco dei prestatori di servizi fiduciari qualificati previsto dall'art. 22 eIDAS. È la radice della catena di fiducia che Probatio ricostruisce.
GDPR — protezione delle persone fisiche con riguardo al trattamento dei dati personali
Rileva quando un'acquisizione contiene dati personali. Nota tecnica non banale: una marca temporale RFC 3161 trasmette alla TSA la sola impronta, non il documento — quindi non comunica dati personali a un terzo.
IT Italia
Definizioni
Prima delle norme sulla firma e sulla marca vengono le definizioni: che cosa è, per l'ordinamento, l'oggetto su cui si lavora. La distinzione fra duplicato e copia informatica, in particolare, è quella su cui poggia il valore giuridico di un'acquisizione forense.
(ratificata con L. 48/2008)
Dati informatici
«Qualunque rappresentazione di fatti, informazioni o concetti in forma idonea al trattamento in un sistema informatico, incluso un programma in grado di consentire a un sistema informatico di svolgere una funzione.» È la definizione più ampia dell'ordinamento, e quella rilevante nel processo penale: comprende il programma, non solo il contenuto.
Documento informatico
«Il documento elettronico che contiene la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti.» Si raccorda alla nozione di documento elettronico dell'art. 3, n. 35, del regolamento eIDAS.
efficacia: art. 23-bis, c. 1
Duplicato informatico
«Il documento informatico ottenuto mediante la memorizzazione, sulla stessa o su diversa fonte, della medesima sequenza di valori binari del documento originario.» Ai sensi dell'art. 23-bis, c. 1, i duplicati informatici hanno il medesimo valore giuridico, ad ogni effetto di legge, del documento da cui sono tratti, se prodotti in conformità alle regole tecniche di cui all'art. 71. È la nozione in cui ricade la copia forense bit-a-bit, ed è la ragione per cui l'identità della sequenza binaria — dimostrata dall'impronta — è giuridicamente decisiva.
efficacia: art. 23-bis, c. 2
Copia informatica di documento informatico
«Il documento informatico avente contenuto identico a quello del documento da cui è tratto su supporto informatico con diversa sequenza di valori binari.» Distinzione tutt'altro che teorica: la copia ha lo stesso contenuto ma un'impronta diversa, e la sua conformità all'originale va attestata. Il duplicato, no.
Dato personale
«Qualsiasi informazione riguardante una persona fisica identificata o identificabile.» Un dato informatico può essere, al contempo, un dato personale: le due qualificazioni si sovrappongono e rispondono a discipline diverse.
Fonti
Codice dell'amministrazione digitale
Art. 20, comma 1-bis: il documento sottoscritto con firma digitale, qualificata o avanzata soddisfa il requisito della forma scritta e ha l'efficacia dell'art. 2702 c.c. — anche la firma avanzata, dunque. L'uso del dispositivo di firma qualificata o digitale si presume riconducibile al titolare, salvo prova contraria. Art. 24: firma digitale.
Artt. 1350, 2702, 2712
Art. 2702: efficacia della scrittura privata — il rinvio dell'art. 20 CAD. Art. 1350, nn. 1-12: atti che richiedono la forma scritta a pena di nullità; per questi serve la firma qualificata o digitale, non basta l'avanzata. Art. 2712: efficacia delle riproduzioni meccaniche, se non disconosciute.
Ratifica della Convenzione di Budapest sulla criminalità informatica (2001) e adeguamento del codice di procedura penale
Introduce nel processo penale l'obbligo di adottare misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l'alterazione: artt. 244 c. 2, 247 c. 1-bis, 254-bis, 260 c. 2, 354 c. 2 c.p.p. È la base giuridica dell'hash e della copia forense. Artt. 359 e 360 c.p.p. per gli accertamenti tecnici, ripetibili e non.
Regole tecniche su certificati, firme, sigilli e validazioni temporali qualificate (determinazione 157/2020); linee guida sul documento informatico
Fonte tecnica vigente in Italia. AgID pubblica e mantiene l'elenco di fiducia nazionale, che confluisce nella lista europea.
Equivalenza delle firme digitali CAdES e PAdES
Le Sezioni Unite hanno affermato che le firme CAdES (.p7m) e PAdES (.pdf) sono entrambe valide ed equivalenti, anche nel processo civile telematico. Non c'è un formato preferibile in diritto: c'è quello che il destinatario o la procedura richiedono.
Norme superate, ancora spesso citate
Compaiono ancora in relazioni e capitolati. Citarle come diritto vigente è un errore: la materia è oggi regolata da eIDAS, dal CAD e dalle linee guida AgID.
- Deliberazione CNIPA 45/2009 — Regole tecniche sulla firma digitale — superata
- DPCM 22 febbraio 2013 — Regole tecniche su firme elettroniche avanzate, qualificate e digitali — superato
INT Standard internazionali
Questi documenti non sono norme giuridiche: sono le specifiche tecniche a cui le norme rinviano, e che chiunque può leggere e implementare. È la ragione per cui un fascicolo prodotto con Probatio si verifica anche senza Probatio.
RFC — IETF
Time-Stamp Protocol (TSP)
Il protocollo della marca temporale: TimeStampReq, TimeStampToken, genTime, accuracy.
ESSCertIDv2 Update for RFC 3161
Aggiornamento che consente identificatori di certificato basati su SHA-2 nei token di marca.
Cryptographic Message Syntax (CMS)
La busta che sta dentro ogni .p7m, ogni PAdES e ogni .tsr. Erede di PKCS#7 (RFC 2315).
Internet X.509 Public Key Infrastructure — Certificate and CRL Profile
Struttura dei certificati, estensioni (keyUsage, AIA, QCStatements), costruzione e validazione della catena.
Online Certificate Status Protocol (OCSP)
Il controllo di revoca che Probatio effettua. Le CRL, previste dalla RFC 5280, non sono implementate.
PKCS #1 v2.2 — RSA Cryptography Specifications
RSA PKCS#1 v1.5 e RSA-PSS, i due schemi di firma RSA verificati.
Edwards-Curve Digital Signature Algorithm (EdDSA)
Ed25519: usato nella firma dei bundle CERTO/LOCUS e verificato nelle buste CMS.
The BagIt File Packaging Format (V1.0)
data/, manifest-<algo>.txt, tagmanifest-*, bag-info.txt, Payload-Oxum.
JSON Web Signature (JWS)
La base su cui poggia il profilo JAdES.
The Base16, Base32, and Base64 Data Encodings
base64url, usato nei token JWS e nelle impronte XAdES.
MD5 Message-Digest Algorithm · US Secure Hash Algorithm 1 (SHA-1)
Gli algoritmi memorizzati dentro le immagini forensi E01, e presenti negli hashset storici.
Security Considerations per MD5 e per SHA-1
Le fonti da citare quando in relazione si scrive che MD5 e SHA-1 non resistono alle collisioni — e solo a quelle.
US Secure Hash Algorithms (SHA and SHA-based HMAC and HKDF)
La famiglia SHA-2.
The BLAKE2 Cryptographic Hash and MAC
BLAKE2b e BLAKE2s, fra i dodici algoritmi ammessi nei manifest BagIt.
ETSI
CAdES digital signatures — Building blocks and CAdES baseline signatures
Definisce i livelli baseline B-B, B-T, B-LT, B-LTA. Le vecchie sigle -BES e -T vengono dalla TS 101 733.
PAdES digital signatures
Firma dentro il PDF: /ByteRange, /Contents, incremental update. Il predecessore è la TS 102 778.
XAdES digital signatures
Firma XML, con la canonicalizzazione che la rende possibile.
JAdES digital signatures
Profilo AdES su JWS.
Associated Signature Containers (ASiC)
Contenitore ZIP di documenti e firme. Non supportato da Probatio: un .asice va scompattato prima.
Procedures for Creation and Validation of AdES Digital Signatures
Da qui viene la nozione di best-signature-time, l'istante rispetto al quale si valutano scadenza e revoca.
Trusted Lists
Formato degli elenchi di fiducia previsti dall'art. 22 eIDAS.
Policy per i prestatori di marcatura temporale · Profilo del protocollo di marcatura
Cosa deve garantire una TSA qualificata, e come parla.
NIST — FIPS e pubblicazioni speciali
Secure Hash Standard (SHA-1, SHA-2)
Definizione normativa di SHA-1, SHA-224/256/384/512 e delle varianti troncate SHA-512/224 e SHA-512/256.
SHA-3 Standard — Permutation-Based Hash and Extendable-Output Functions
La costruzione a spugna (Keccak), strutturalmente diversa da SHA-2: è ciò che rende sensato calcolare SHA-256 e SHA3-256.
Digital Signature Standard (DSS)
ECDSA ed EdDSA, fra gli algoritmi di firma verificati.
Guide to Integrating Forensic Techniques into Incident Response
Prassi di riferimento su acquisizione, integrità e catena di custodia.
ISO/IEC
Identificazione, raccolta, acquisizione e conservazione delle prove digitali
Lo standard che la giurisprudenza italiana richiama più spesso in materia di prova digitale.
Idoneità e adeguatezza dei metodi di indagine
Come si dimostra che il metodo usato era adeguato allo scopo.
Analisi e interpretazione delle prove digitali
Come si passa da un indizio tecnico a una conclusione difendibile.
Principi e processi di investigazione
Il ciclo dell'indagine, dalla preparazione alla presentazione.
W3C, OASIS, ontologie e prassi
XML Signature Syntax and Processing · Canonical XML 1.0 · Exclusive C14N · XPath Filter 2.0
La canonicalizzazione, senza la quale una firma XAdES sarebbe fragilissima: lo stesso XML può essere scritto in modi diversi ma logicamente identici.
Cryptographic Token Interface Standard
L'interfaccia con cui il software chiede alla smartcard di firmare un'impronta — C_Sign — senza mai vedere la chiave privata.
CSC API Specification
Il protocollo della firma remota: la chiave vive presso il prestatore, viaggia comunque la sola impronta.
Cyber-investigation Analysis Standard Expression · Unified Cyber Ontology
L'ontologia JSON-LD con cui i bundle CERTO/LOCUS descrivono formalmente cosa è stato acquisito, quando e con quale strumento.
Coalition for Content Provenance and Authenticity — Specification
Le Content Credentials lette nell'analisi immagini. Provano una catena di provenienza, non la veridicità del contenuto.
Best practices statunitensi ed europee per l'esame forense digitale
Prassi, non norme: utili a motivare le scelte metodologiche in relazione.
Expert Witness Compression Format
Non è uno standard pubblico. La documentazione disponibile deriva dal lavoro di reverse engineering del progetto libewf. Da tenere presente quando in relazione si parla di «formato standard».
Letteratura scientifica
How to Break MD5 and Other Hash Functions (EUROCRYPT)
La collisione pratica su MD5. Attacco di collisione, non di preimmagine.
The First Collision for Full SHA-1 (CRYPTO) — «SHAttered»
Due PDF diversi con lo stesso digest SHA-1. Entrambi costruiti dagli autori.
Identifying almost identical files using context triggered piecewise hashing (DFRWS)
Il paper che introduce ssdeep e il CTPH.
Exposing Digital Forgeries from JPEG Ghosts (IEEE TIFS)
La tecnica dei JPEG ghost implementata nell'analisi immagini.
Le guide spiegano come questi standard si traducono in operazioni concrete: calcolare una batteria di hash, verificare una firma, leggere una marca temporale, validare un bag.