Dopo anni dall'introduzione della firma digitale con valore legale, gli uffici della Pubblica amministrazione si erano finalmente adeguati a questo nuovo modo di lavorare. Anni di formazione, prima dei tecnici, poi dei dirigenti, poi dei dipendenti amministrativi ma alla fine persino il più restio alla materia sapeva che un file con estensione p7m significava file firmato digitalmente. Troppo bello per continuare e infatti il meccanismo si è rotto. In nome di una presenta pluralità, da un paio d'anni, il formato cosiddetto PAdES è stato affiancato al "vecchio" CAdES tra i formati di documenti firmati digitalmente con pieno valore legale. Chi ne trarrà vantaggio, beh, è ovvio, l'ennesima big, quell'Adobe che forse stava perdendo "potere" con l'esclusione del suo Flash da ogni dove. Perché allo stato attuale (Roberto correggimi), non mi risulta che ci sia un prodotto alternativo che gestisca le firme digitali PAdES in modo completo al di fuori di Acrobat. Già me li vedo i dipendenti pubblici alle prese con file che (a loro giudizio) non sono firmati digitalmente in quanto non hanno l'estensione .p7m (queste novità mica fanno presa subito, ci vorrà del tempo anche stavolta) e li rifirmano in CAdES facendo andare in tilt i software di verifica, causando, ancora una volta disagi tra P.A. e cittadini.
...prima dei dirigenti, poi dei dipendenti amministrativi... nella mia esperienza l'ordine non è stato quello! A parte questo, senza entrare nel merito della qualità della firma, certo che vedere a colpo d'occhio se il file è firmato o meno è più comodo. Io sono in grado di effettuare le verifiche, ma doversi andare a cercare la firma tutte le volte è sicuramente una seccatura, senza però parlare di caos Buona giornata a tutti D. ________________________________ From: nexa <nexa-bounces@server-nexa.polito.it> on behalf of Antonio Iacono <antiac@gmail.com> Sent: Friday, September 11, 2020 8:57 AM To: Nexa <nexa@server-nexa.polito.it> Subject: [nexa] PAdES, la P.A. nel caos Dopo anni dall'introduzione della firma digitale con valore legale, gli uffici della Pubblica amministrazione si erano finalmente adeguati a questo nuovo modo di lavorare. Anni di formazione, prima dei tecnici, poi dei dirigenti, poi dei dipendenti amministrativi ma alla fine persino il più restio alla materia sapeva che un file con estensione p7m significava file firmato digitalmente. Troppo bello per continuare e infatti il meccanismo si è rotto. In nome di una presenta pluralità, da un paio d'anni, il formato cosiddetto PAdES è stato affiancato al "vecchio" CAdES tra i formati di documenti firmati digitalmente con pieno valore legale. Chi ne trarrà vantaggio, beh, è ovvio, l'ennesima big, quell'Adobe che forse stava perdendo "potere" con l'esclusione del suo Flash da ogni dove. Perché allo stato attuale (Roberto correggimi), non mi risulta che ci sia un prodotto alternativo che gestisca le firme digitali PAdES in modo completo al di fuori di Acrobat. Già me li vedo i dipendenti pubblici alle prese con file che (a loro giudizio) non sono firmati digitalmente in quanto non hanno l'estensione .p7m (queste novità mica fanno presa subito, ci vorrà del tempo anche stavolta) e li rifirmano in CAdES facendo andare in tilt i software di verifica, causando, ancora una volta disagi tra P.A. e cittadini. _______________________________________________ nexa mailing list nexa@server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa
... certo che vedere a colpo d'occhio se il file è firmato o meno è più comodo.
Senz'altro, e su quello punteranno fino allo sfinimento, i fautori del PAdES. Ma i vantaggi finiscono lì. Il PAdES, ad esempio, non gestisce le firme multiple in parallelo. Le firme multiple sono "controfirme", cioè i firmatari successivi al primo controfirmano il documento precedentemente firmato. Il PAdES, è ovvio, prevede un solo tipo di file, il PDF, quando invece con il CAdES si può firmare qualsiasi tipo di file. In un colpo solo fuorilegge tutti i formati (se un domani la P.A., per "comodità", dovesse scegliere esclusivamente il PAdES)
Buongiorno Antonio, Antonio Iacono <antiac@gmail.com> writes: [...]
Il PAdES, ad esempio, non gestisce le firme multiple in parallelo. Le firme multiple sono "controfirme", cioè i firmatari successivi al primo controfirmano il documento precedentemente firmato.
Tecnicamente è parecchio limitante e formalmente si discosta parecchio dall'equivalenza con un documento cartaceo, ma dal punto di vista pratico che differenza fa?
Il PAdES, è ovvio, prevede un solo tipo di file, il PDF, quando invece con il CAdES si può firmare qualsiasi tipo di file.
Sì questa è la cosa più limitante… ma *comunque* la P.A. impone delle limitazioni sui formati, per sempio io dubito fortemente di poter inviare alla P.A. (ma anche a un privato) un documento djvu.
In un colpo solo fuorilegge tutti i formati (se un domani la P.A., per "comodità", dovesse scegliere esclusivamente il PAdES)
Ma la PA non può escludere nessun sistema di firma compatibile eIDAS, quindi **deve** accettare tutte le firme elettroniche di tipo AdES, quindi anche XAdES e CAdES: sbaglio? Che poi questo proliferare di formati e di relativi strumenti per firmare/verificare generi confusione fuori e dentro la P.A. purtroppo è un fatto… io egoisticamente però mi "accontento" di poter firmare digitalmente i documenti usando solo ed esclusivamente software libero. Dovrebbe farlo anche la P.A. ma purtroppo tutti i buoni propositi vengono sempre mortificati per via di altri interessi. Grazie, Giovanni. -- Giovanni Biscuolo
Tecnicamente è parecchio limitante e formalmente si discosta parecchio dall'equivalenza con un documento cartaceo, ma dal punto di vista pratico che differenza fa?
Una differenza enorme. Provo a spiegarlo con un esempio. Il pdf, semplificando, funziona a "layer", ogni firma che si aggiunge alla prima è un layer. Un pdf firmato da tre persone ha tre layer. Se, con un software di manipolazione dei pdf togli il terzo layer tu hai un documento perfettamente valido ma firmato da DUE persone.
Il PAdES, è ovvio, prevede un solo tipo di file, il PDF, quando invece con il CAdES si può firmare qualsiasi tipo di file.
Sì questa è la cosa più limitante… ma *comunque* la P.A. impone delle limitazioni sui formati, per esempio io dubito fortemente di poter inviare alla P.A. (ma anche a un privato) un documento djvu.
Perchè il pdf sta diventando, ahimè, un formato de-facto, ma mai a farlo diventare formato de-jure, perchè a quel punto sarebbe irreversibile. Attualmente la legge [1] prevede questi formati ai fini della conservazione: PDF - PDF/A TIFF JPG Office Open XML (OOXML) Open Document Format XML TXT Formati Messaggi di posta elettronica [1] https://www.agid.gov.it/sites/default/files/repository_files/leggi_decreti_d...
Antonio Iacono <antiac@gmail.com> writes:
Tecnicamente è parecchio limitante e formalmente si discosta parecchio dall'equivalenza con un documento cartaceo, ma dal punto di vista pratico che differenza fa?
Una differenza enorme. Provo a spiegarlo con un esempio. Il pdf, semplificando, funziona a "layer", ogni firma che si aggiunge alla prima è un layer.
Urca che brutta roba: un layer per ogni firma?!? :-O OK tutto chiaro, grazie! [...]
Sì questa è la cosa più limitante… ma *comunque* la P.A. impone delle limitazioni sui formati, per esempio io dubito fortemente di poter inviare alla P.A. (ma anche a un privato) un documento djvu.
Perchè il pdf sta diventando, ahimè, un formato de-facto, ma mai a farlo diventare formato de-jure, perchè a quel punto sarebbe irreversibile.
Attualmente la legge [1] prevede questi formati ai fini della conservazione:
[...]
TXT
Ottimo, così nessuna P.A. potrà mai rifiutare un mio documento in Markdown o meglio in RsT :-D (ovviamente rigorosamente con estensione TXT) Rimane il fatto che la P.A. è fatta di persone che al volte decidono di abusare della loro posizione per rifiutare ai cittadini l'invio dei documenti in uno dei formati accettati per la conservazione legale. O mi sbaglio? [...] Grazie mille per i riferimenti. Saluti, Giovanni.
[1] https://www.agid.gov.it/sites/default/files/repository_files/leggi_decreti_d...
-- Giovanni Biscuolo
Rimane il fatto che la P.A. è fatta di persone che a volte decidono di abusare della loro posizione per rifiutare ai cittadini l'invio dei documenti in uno dei formati accettati per la conservazione legale. O mi sbaglio?
L'abuso d'ufficio è un reato (art. 323 c.p.), non credo sia una "pratica" così diffusa. E' vero invece che il dipendente tende sempre a "pararsi il c." e quindi, pur di non correre il malaugurato rischio di accettare qualcosa di non valido e quindi di "andarci di mezzo" cerca tra le mille norme quella che gli dà il diritto, il "potere" di rifiutare. Il problema non è il dipendente (frase tipica: "ma chi me lo fare che poi la Corte dei Conti il danno lo chiede a me, io intanto la rifiuto, poi si vede"), il problema è che quella norma, quasi sempre la trova :( Certo poi ci sono i reati di corruzione, concussione, ecc. ma quelli, appunto, assieme all'abuso d'ufficio, sono reati perseguibili penalmente e fortunatamente la stragrande maggioranza dei dipendenti pubblici non ne commette. Antonio
Il 17/09/20 12:17, Giovanni Biscuolo ha scritto:
Antonio Iacono <antiac@gmail.com> writes:
Tecnicamente è parecchio limitante e formalmente si discosta parecchio dall'equivalenza con un documento cartaceo, ma dal punto di vista pratico che differenza fa?
Una differenza enorme. Provo a spiegarlo con un esempio. Il pdf, semplificando, funziona a "layer", ogni firma che si aggiunge alla prima è un layer.
Urca che brutta roba: un layer per ogni firma?!? :-O
OK tutto chiaro, grazie!
In realtà è molto peggio di così, in generale. Quello che Antonio dice è vero nel contesto di PAdES (come da specifica ETSI, per una pagina riassuntiva con puntatori alle specifiche vedere [a]), che è una specializzazione della specifica generale di firma PDF (come da ISO 32000-1). In realtà ogni firma all'interno di un PDF può avere un ambito arbitrario, definito da puntatori all'inizio inizio e alla fine del contenuto soggetto alla firma. Quindi gli ambiti delle varie firme possono essere disgiunti o meno. ETSI PAdES impone ad ogni firma di coprire l'intero documento di partenza, e quindi si arriva ai "layer" di cui parla Antonio.
[...]
Sì questa è la cosa più limitante… ma *comunque* la P.A. impone delle limitazioni sui formati, per esempio io dubito fortemente di poter inviare alla P.A. (ma anche a un privato) un documento djvu.
Diciamo che si tratta anche di buon senso, ma ha riportato Antonio le norme con qualche indicazione sui formati di partenza ci sono.
Perchè il pdf sta diventando, ahimè, un formato de-facto, ma mai a farlo diventare formato de-jure, perchè a quel punto sarebbe irreversibile.
Attualmente la legge [1] prevede questi formati ai fini della conservazione:
[...]
TXT
Ottimo, così nessuna P.A. potrà mai rifiutare un mio documento in Markdown o meglio in RsT :-D (ovviamente rigorosamente con estensione TXT)
Aggiungerei che un formato TXT leggibile senza troppi problemi è la cosa migliore, perchè permette di valutare il contenuto senza doversi per forza affidare ad un visualizzatore (magari proprietario, come quello più usato per i pdf). Data una sequenza di bit, un visualizzatore può mostrare qualsiasi cosa, e noi firmiamo la sequenza di bit, mentre invece in genere pensiamo di firmare la visualizzazione.
Rimane il fatto che la P.A. è fatta di persone che al volte decidono di abusare della loro posizione per rifiutare ai cittadini l'invio dei documenti in uno dei formati accettati per la conservazione legale. O mi sbaglio?
Se il documento di partenza è in uno dei formati adatti alla conservazione, credo sia molto difficile rifiutarlo.
[...]
Grazie mille per i riferimenti.
Saluti, Giovanni.
[1] https://www.agid.gov.it/sites/default/files/repository_files/leggi_decreti_d...
[a] https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/eSignature+Standards
Il 17/09/20 17:26, Roberto Resoli ha scritto:
Urca che brutta roba: un layer per ogni firma?!? :-O
OK tutto chiaro, grazie! In realtà è molto peggio di così, in generale. Quello che Antonio dice è vero nel contesto di PAdES (come da specifica ETSI, per una pagina riassuntiva con puntatori alle specifiche vedere [a]), che è una specializzazione della specifica generale di firma PDF (come da ISO 32000-1). In realtà ogni firma all'interno di un PDF può avere un ambito arbitrario, definito da puntatori all'inizio inizio e alla fine del contenuto soggetto alla firma. Quindi gli ambiti delle varie firme possono essere disgiunti o meno. ETSI PAdES impone ad ogni firma di coprire l'intero documento di partenza, e quindi si arriva ai "layer" di cui parla Antonio.
Per contro, CAdES è una "busta crittografica", che trasporta i metadati relativi alla firma, mantenendo intonso il documento al suo interno. Aggiungere una firma modifica solo la busta, e non il contenuto, che rimane identico. Se si vuole che la seconda firma abbia nozione della prima, si ricorre alla cosiddetta "controfirma", sempre e comunque all'interno della stessa busta crittografica. Ovviamente, è possibile farsi (e fare) del male, creando buste che contengono altre buste. Personalmente ho visto aberrazioni con 5 livelli di buste, ognuna con due o più firmatari. rob
...
In realtà è molto peggio di così, in generale ...
Grazie Roberto, non ti avrei tirato in ballo se non fossi stato certo della tua straordinaria competenza e pluriennale esperienza. L'altro giorno percorrevo in bici una stradina nel dintorni del mio paese. Ad un certo punto un bivio, a destra il percorso stretto e tortuoso che conoscevo già, a sinistra una strada molto larga che non avevo mai preso. Incuriosito su dove portasse quella strada a sinistra, l'ho imboccata. I primi dubbi mi sono balenati subito dopo i primi chilometri, nessun'auto, nessuna bici, nessuna presenza umana. Poco prima di affrontare una lunga discesa, con il sole che stava tramontando, assalito dal timore che la strada non portasse da nessuna parte e che fossi costretto a ripercorrerla al contrario, in salita, rischiando di arrivare a casa al buio, mi sono fermato. Ho preso lo smartphone e dalla mappa mi sono reso conto che era una strada senza uscita. Perché ho raccontato questa storiella personale? Cosa voglio intendere? Primo, che tu puoi anche prendere una strada nuova, ma devi avere buoni motivi per pensare di non dover tornare indietro (la mappa è perfetta come metafora perché è come uno sguardo dall'alto e uno sguardo dall'alto è come guardare più lontano da dove ci si trova). Secondo, che se ti viene il dubbio di avere imboccato la strada sbagliata è meglio tornare indietro subito perché dopo potrebbe essere più dura dell'andata. Con il PDF e PAdES l'Italia, secondo me, ha imboccato la strada larga, ma senza uscita. Prendiamo questo provvedimento dell'università di Foggia [1]. "Il documento amministrativo informatico deve essere redatto in modo tale che il suo contenuto risulti non alterabile durante le fasi di accesso e di conservazione e immutabile nel tempo, pertanto il file sarà in formato PDF/A, ovvero in uno dei formati previsti dalle regole tecniche inerenti la conservazione del documento informatico di cui all’Allegato 72 del D.P.C.M. 13 novembre 2014 [es. TIFF; JPG; Office Open XML (OOXML); Open Document Format; XML; TXT]" A parte il fatto che mettono PDF/A da una parte e il resto dei formati da un'altra, ma il bello viene nel punto successivo dove c'è scritto: "La firma digitale va apposta necessariamente all'interno del documento PDF (c.d. “firma grafica” o “firma invisibile”) e non come file esterno, all'interno dell'apposito riquadro predisposto per l'apposizione della firma, con l'indicazione della seguente dicitura: “Firma digitale ai sensi dell'art. 21 del D.Lgs. n. 82/2005" Ma come, prima scrivono che è possibile usare altri formati e subito dopo che la firma deve essere in formato PAdES? Per finire, prendo in prestito una frase dell'articolo [2] di Stefano Quintarelli e Paolo Coppola. "Non sono solo gli 'umani' che accedono alle applicazioni e poterle collegare tra di loro; automatizzare le interazioni tra sistemi informativi permette di produrre grandi benefici". Vi do una notizia, i PDF piacciono agli "umani" ma molto, molto meno alle macchine. Manipolare un PDF, estrarne i dati per la ricerca e il salvataggio, effettuare una semplice verifica delle firme, catalogarli, ecc. per un software è tutto molto più complesso che farlo su altri formati. Antonio [1] https://www.unifg.it/sites/default/files/allegatiparagrafo/12-10-2017/2016.1... [2] https://5ta.it/gl/7422
Buongiorno Antonio, Antonio Iacono <antiac@gmail.com> writes: [...]
Con il PDF e PAdES l'Italia, secondo me, ha imboccato la strada larga, ma senza uscita.
L'EU, perché PAdES fa parte delle firme normate da eIDAS; non credo che l'Italia possa fare diversamente.
Prendiamo questo provvedimento dell'università di Foggia [1].
[...]
Ma come, prima scrivono che è possibile usare altri formati e subito dopo che la firma deve essere in formato PAdES?
Quindi la mia considerazione: --8<---------------cut here---------------start------------->8--- Rimane il fatto che la P.A. è fatta di persone che al volte decidono di abusare della loro posizione per rifiutare ai cittadini l'invio dei documenti in uno dei formati accettati per la conservazione legale. O mi sbaglio? --8<---------------cut here---------------end--------------->8--- non è poi così campata per aria, no? Forse non mi sto sbagliado troppo a caratterizzare la situazione in quel modo. A qualcuno in lista risultano casi giudiziari conclusi o pendenti in cui si chiede conto ad un funzionario perché ha rifiutato un documento consentito o, peggio, abbia scritto nero su bianco un regolamento contrario alla norma di legge? [...] Saluti, Giovanni. -- Giovanni Biscuolo
L'EU, perché PAdES fa parte delle firme normate da eIDAS; non credo che l'Italia possa fare diversamente.
Semplificando e tralasciando il modo in cui si è arrivati a queste scelte, l'EU dice, io vi do tre scelte, decidete voi. Un paese attento, lungimirante, sceglierà non in base alle pressioni, alla "facilità" di una soluzione rispetto ad un'altra ma guarderà al futuro, quando, prima o poi i "sogni" di Stefano si avvereranno (perchè è questione di tempo ma si ci arriverà), ovvero quando i sistemi informativi dialogheranno tra di loro per il bene della cittadinanza (IA for good).
A qualcuno in lista risultano casi giudiziari conclusi o pendenti in cui si chiede conto ad un funzionario perché ha rifiutato un documento consentito o, peggio, abbia scritto nero su bianco un regolamento contrario alla norma di legge?
Non ha scritto un regolamento contrario alla norma di legge, ha "soltanto" preso dalle norme la parte che interessava loro. Non ha violato la legge dicendo di utilizzare PAdES. I dirigenti, i funzionari, difficilmente si fanno trovare in fallo riguardo al diritto. E' il loro lavoro e molto spesso sono affiancati da esperti legali, dentro e fuori dall'amministrazione. Se chiedi, lui o loro ti rispondono: "La legge lo permette e allora lo faccio, il mio reparto informatico ha detto che la soluzione con PAdES costa X, quella con XAdES costa 2X. Io sono un manager e scelgo la prima per far risparmiare il mio ente e beccarmi pure un bonus". Non gli puoi obiettare nulla. Antonio
Buongiorno Antonio, premetto che sono ancora piuttosto ignorante in tema di firma elettronica legalizzata e fino ad ora me la sono cavata supportando chi ne aveva bisogno nell'installazione di quel coso… come si chiama… ah sì: DIKE BTW ho deciso che a breve mi doterò anche io di tutto il necessario per firmare documenti conformi eIDAS (come al solito la parte più NOIOSA sarà capire quale hardware è utilizzabile senza blobbini o blobboni proprietari) così entro anche io in questo giochino, visto che così bisogna giocare secondo chi ha così deciso. Parlo quindi solo per quanto so "sulla carta". Antonio Iacono <antiac@gmail.com> writes: [...]
Troppo bello per continuare e infatti il meccanismo si è rotto. In nome di una presenta pluralità, da un paio d'anni, il formato cosiddetto PAdES è stato affiancato al "vecchio" CAdES tra i formati di documenti firmati digitalmente con pieno valore legale.
Questo non dipende dal fatto che eIDAS stabilisce che le firme digitali valide sono tutte quelle implementate attraverso il Ades Baseline Profiles (quindi XAdES, PAdES e CAdES) sviluppato da ETSI? [...]
Perché allo stato attuale (Roberto correggimi), non mi risulta che ci sia un prodotto alternativo che gestisca le firme digitali PAdES in modo completo al di fuori di Acrobat.
Non capisco bene cosa significa "in modo completo": per favore puoi espandere? (anche solo un link va benissimo) Comunque da quello che leggo mi pare che LibreOffice sia in grado di firmare XAdES gli ODF e OOXML, PAdES i PDF. Non ho idea se supporta anche CAdES e se non lo supporta del perché. Per me firmare PDF generati con altri strumenti sarebbe l'unico utilizzo di LibreOffice :-D In alternativa, per firmare CAdES AFAIU gli utenti che volessero farlo con software libero su una distribuzione qualsiasi hanno a disposizione: 1. j4sign https://j4sign.sourceforge.io/ (grazie Roberto Resoli!) , che però non è "a portata di package manager" 2. OpenSSL ver. 3.0 https://www.openssl.org/ (grazie Blia.it! https://www.blia.it/firmadigitale/) che però ad oggi è ancora in versione Aplha 6 Ora, non vi è *assolutamente* alcun dubbio che il rilascio di OpenSSL ver. 3 renderà l'apposizione della firma CAdES e PAdES - https://www.blia.it/firmapdf/ - un gioco da ragazzi alla portata di qualsiasi script kiddie che voglia inventarsi laqualunque GUI o alla portata di TUTTI coloro che volessero aggiungere la funzione di firma digitale al proprio sistema di generazione dei documenti (io preferisco di gran lunga firmarli "a parte")… ma per adesso purtroppo è fuori dalla portata degli utenti (o almeno quelli che non sanno compilare o che non vogliono installare da Debian experimental). Una volta sistemato questo rimarrà "solo" da sistemare la possibilità di usare qualsiasi smartcard o chiavetta USB col kernel linux mainline e *solo* software libero in userspace… io speriamo che me la cavo. Una volta fatto questo finalmente la firma elettronica digitale sarà completamente liberata… tranne il piccolissimo dettaglio che tutto l'ambaradan di generazione delle chiavi per firmare ha dei buchi architetturali di sucurezza che consentono a chi ha suffciente potere di firmare digitalmente per conto di altri [1]. Che giochino complicato, però :-O
Già me li vedo i dipendenti pubblici alle prese con file che (a loro giudizio) non sono firmati digitalmente in quanto non hanno l'estensione .p7m (queste novità mica fanno presa subito, ci vorrà del tempo anche stavolta) e li rifirmano in CAdES facendo andare in tilt i software di verifica, causando, ancora una volta disagi tra P.A. e cittadini.
Sì capisco bene come questo possa causare disagi all'interno della P.A., questo dipende anche dal fatto che purtroppo cose complesse vengono inutilmente complicate. Per i cittadini cambia poco: sono già estremamente disagiati, al punto che si limitano a fare ciò che qualcuno gli "ordina", tipo installa 'sto coso possibilmente su MS Windows, inserisci la chiavetta USB e quando esce la finestrella inserisci il PIN; così ottieni un file che contiene la tua firma eseguita con la chiave privata che qualcun altro [2] ha generato per te e certificato essere tua. Ciao, Giovanni. [1] in modo perfettamente indistinguibile, digitalmente. [2] le *fidatissime* Certification Authority https://en.wikipedia.org/wiki/X.509#Problems_with_certificate_authorities -- Giovanni Biscuolo
Questo non dipende dal fatto che eIDAS stabilisce che le firme digitali valide sono tutte quelle implementate attraverso il Ades Baseline Profiles (quindi XAdES, PAdES e CAdES) sviluppato da ETSI?
E' una questione temporale, oggi è così, ma inizialmente (primo decennio 2000) le firme consentite erano solo quelle di tipo CAdES (in teoria anche XAdES anche se questo formato è stato ingiustamente messo da parte) e solo da pochi anni PAdES.
Non capisco bene cosa significa "in modo completo": per favore puoi espandere? (anche solo un link va benissimo)
Un esempio vale più di mille parole, vai qui [1], scarica l'esempio: "Multiple signatures on multiple pages." e aprilo sia con Acrobat Reader che con LibreOffice e poi mi dici. Antonio [1] https://www.tecxoft.com/samples.php
On 17/09/2020 12:53, Antonio Iacono wrote: >> Questo non dipende dal fatto che eIDAS stabilisce che le firme digitali >> valide sono tutte quelle implementate attraverso il Ades Baseline >> Profiles (quindi XAdES, PAdES e CAdES) sviluppato da ETSI? > E' una questione temporale, oggi è così, ma inizialmente (primo decennio > 2000) le firme consentite erano solo quelle di tipo CAdES (in teoria anche > XAdES anche se questo formato è stato ingiustamente messo da parte) > e solo da pochi anni PAdES. > >> Non capisco bene cosa significa "in modo completo": per favore puoi >> espandere? (anche solo un link va benissimo) > Un esempio vale più di mille parole, vai qui [1], scarica l'esempio: > "Multiple signatures on multiple pages." e aprilo sia con Acrobat Reader > che con LibreOffice e poi mi dici. > > Antonio > > [1] > https://www.tecxoft.com/samples.php Interessante. Ma concettualmente non sarebbe meglio che a validare la firma sia una applicazione diversa da quella che presenta il contenuto? Se conosco l'applicazione con cui viene aperto il documento posso costruirlo in modo tale che presenti un aspetto a video tale da ingannare chi lo legge e indurlo a pensare che il documento sia firmato anche se non lo è. Per esempio a riportare l'annotazione grafica fasulla "Signed by: Alice" Se a verificare la firma è invece un software ad hoc, questo spoof non è possibile. Ciao, Alberto
Ma concettualmente non sarebbe meglio che a validare la firma sia una applicazione diversa da quella che presenta il contenuto?
Assolutamente sì, infatti si usano principalmente i servizi online, tipo quello del Notariato [1], per la verifica dei file firmati (sia in PAdES che CAdES). Era solo per far notare la differenza tra i due software (Acrobat e LibreOffice). Antonio [1] https://vol.ca.notariato.it/it
Il 17/09/20 14:41, Antonio Iacono ha scritto:
Ma concettualmente non sarebbe meglio che a validare la firma sia una applicazione diversa da quella che presenta il contenuto? Assolutamente sì, infatti si usano principalmente i servizi online, tipo quello del Notariato [1], per la verifica dei file firmati (sia in PAdES che CAdES). Era solo per far notare la differenza tra i due software (Acrobat e LibreOffice).
Antonio
Per la verifica (e anche per l'apposizione) della firma elettronica a norme *AdES esiste un'implementazione di riferimento in software libero, il progetto DSS: https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/DSS Con una istanza aggiornata qui: https://ec.europa.eu/cefdigital/DSS/webapp-demo/ Si tratta comunque di uno strumento tecnico, difficilmente proponibile alle persone non addette ai lavori. Personalmente ho sviluppato e mantengo questo servizio (che integra DSS per la parte di verifica delle liste dei certificatori di firma), per la verifica di soli file CAdES: https://webapps.comune.trento.it/verifica-firma/ A livello europeo gli sviluppatori di DSS mantengono anche un tool per l'esplorazione delle liste nazionali dei cosiddetti "Prestatori dei servizi fiduciari" (i certificatori). Qui si spiega di cosa si tratta e c'è il link per accedere al "Trusted List Browser": https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/eSignature+Trusted+L... Sempre a livello europeo viene mantenuta la LOTL (List Of The Lists) che è la sorgente di fiducia primaria (radicata nel provvedimento UE che elenca i firmatari della LOTL con relative impronte di certificato. Il provvedimento è quello citato nella pagina iniziale di "verifica-firma"). rob
Il 17/09/20 11:48, Giovanni Biscuolo ha scritto:
Buongiorno Antonio,
... rispondo alla parte successiva, per quanto posso.
Comunque da quello che leggo mi pare che LibreOffice sia in grado di firmare XAdES gli ODF e OOXML, PAdES i PDF. Non ho idea se supporta anche CAdES e se non lo supporta del perché.
perchè supporta il proprio formato primario (XML) e di recente, con un'ottima idea, la possibilità di esportare in PDF(/A preferibilmente) e firmare lo stesso. Non so se la firma attuale in LibO sia XAdES o (come qualche anno fa) solo una generica XML signature.
Per me firmare PDF generati con altri strumenti sarebbe l'unico utilizzo di LibreOffice :-D
In alternativa, per firmare CAdES AFAIU gli utenti che volessero farlo con software libero su una distribuzione qualsiasi hanno a disposizione:
1. j4sign https://j4sign.sourceforge.io/ (grazie Roberto Resoli!) , che però non è "a portata di package manager"
grazie Giovanni :-) j4sign è prima di tutto un'api (in senso antico, un qualcosa linkabile da un applicativo), ma anche un'applet/webstart application immersa in un semplice applicativo web (servizio REST in arrivo ...). Esiste anche l'applicazione standalone, che si chiama Freesigner ed ha un installer multipiattaforma. N.B.: Freesigner funziona solo fino a Java 1.8, e richiede l'installazione di un pacchetto opzionale per il supporto token PKCS11 (smartcard o altro). j4sign è comunque legato alla disponibilità di una libreria proprietaria che implementi il Secure Messaging[a] necessario ad accedere alle funzioni di firma sul proprio token
2. OpenSSL ver. 3.0 https://www.openssl.org/ (grazie Blia.it! https://www.blia.it/firmadigitale/) che però ad oggi è ancora in versione Aplha 6
Ora, non vi è *assolutamente* alcun dubbio che il rilascio di OpenSSL ver. 3 renderà l'apposizione della firma CAdES e PAdES - https://www.blia.it/firmapdf/ - un gioco da ragazzi alla portata di qualsiasi script kiddie che voglia inventarsi laqualunque GUI o alla portata di TUTTI coloro che volessero aggiungere la funzione di firma digitale al proprio sistema di generazione dei documenti (io preferisco di gran lunga firmarli "a parte")… ma per adesso purtroppo è fuori dalla portata degli utenti (o almeno quelli che non sanno compilare o che non vogliono installare da Debian experimental).https://cardwerk.com/iso-7816-4-annex-f-use-of-secure-messaging/
Una volta sistemato questo rimarrà "solo" da sistemare la possibilità di usare qualsiasi smartcard o chiavetta USB col kernel linux mainline e *solo* software libero in userspace… io speriamo che me la cavo.
Una volta fatto questo finalmente la firma elettronica digitale sarà completamente liberata… tranne il piccolissimo dettaglio che tutto l'ambaradan di generazione delle chiavi per firmare ha dei buchi architetturali di sucurezza che consentono a chi ha suffciente potere di firmare digitalmente per conto di altri [1].
Purtroppo non è così. Anche openssl dipenderà da un'implementazione pkcs11 che utilizzi il secure messaging per le funzioni di firma. In sostanza si tratta di una chiave (in Italia classicamente una 3DES inserita nel binario della libreria pkcs11) con cui vengono crittate le APDU che sostanziano la firma. Naturalmente le chiavi potrebbero essere negoziate, come si fa con TLS, ma è troppo comodo avere un'insicurissimo vendor lock-in a portata di mano ... Tieni conto che di questa cosa parlavamo già nel 2008 nella ConfSL a Trento. Ma già, adesso c'è la "firma con SPID" ... ciao, rob [a] https://cardwerk.com/smart-card-standard-iso7816-4-section-5-basic-organizat...
...
Tieni conto che di questa cosa parlavamo già nel 2008 nella ConfSL a Trento. Ma già, adesso c'è la "firma con SPID" ...
Visto che abbiamo aperto il libro dei ricordi, l'altro ieri il prof. Nardelli ha ricordato la "nascita" della CIE, tu la ConfSL del 2008, io scelgo una data in mezzo, il 2004. Con altri due "visionari", quali Bud Bruegger e Matteo Artuso ragionavamo (e nel contempo sviluppavamo) su soluzioni di "webfirma" o, come la chiamavamo allora, UPIServer [1] e [2]. E' inutile dire che la gente ci prendeva per matti. Non lo eravamo, solo in anticipo di quindici anni sui tempi. Una soluzione molto simile, adesso, la usano Actalis e altre importanti società del settore e si chiama Fortify [3]. Antonio [1] https://master.dl.sourceforge.net/project/opensignature/webfirma/0.0.4/upi-e... [2] https://sourceforge.net/projects/opensignature/files/webfirma/ [3] https://fortifyapp.com/
Il 17 settembre 2020 11:48:04 CEST, Giovanni Biscuolo <giovanni@biscuolo.net> ha scritto: ...
Una volta fatto questo finalmente la firma elettronica digitale sarà completamente liberata… tranne il piccolissimo dettaglio che tutto l'ambaradan di generazione delle chiavi per firmare ha dei buchi architetturali di sucurezza che consentono a chi ha suffciente potere di firmare digitalmente per conto di altri [1].
Beh, non serve compromettere una CA per questo. La cosiddetta "firma remota" è esattamente questo, ti tolgo l'impiccio di un token e firmo al posto tuo. (Dietro sicurissima indentificazione, a n fattori, certo). Certo, non è che una coppia di chiavi generata su un token (forse ...) non si sa come, sia granchè meglio. Come scrivi qui sotto: ...
Per i cittadini cambia poco: sono già estremamente disagiati, al punto che si limitano a fare ciò che qualcuno gli "ordina", tipo installa 'sto coso possibilmente su MS Windows, inserisci la chiavetta USB e quando esce la finestrella inserisci il PIN; così ottieni un file che contiene la tua firma eseguita con la chiave privata che qualcun altro [2] ha generato per te e certificato essere tua.
Ciao, Giovanni.
[1] in modo perfettamente indistinguibile, digitalmente.
[2] le *fidatissime* Certification Authority https://en.wikipedia.org/wiki/X.509#Problems_with_certificate_authorities
Ciao, rob
participants (5)
-
Alberto Cammozzo -
Antonio Iacono -
Diego Giorio -
Giovanni Biscuolo -
Roberto Resoli