La conservazione digitale delle firme elettroniche

L’art. 3, primo comma, numero 16, del Regolamento (UE) n. 910/2014, meglio conosciuto come regolamento eIDAS, riporta che è un servizio fiduciario la “conservazione di firme, sigilli o certificati elettronici”.

Da rilevare poi che l’art.34 del suddetto regolamento eIDAS riporta testualmente, che “Un servizio di conservazione qualificato delle firme elettroniche qualificate può essere prestato soltanto da un prestatore di servizi fiduciari qualificato che utilizza procedure e tecnologie in grado di estendere l’affidabilità della firma elettronica qualificata oltre il periodo di validità tecnologica”.

Da aggiungere poi che la FAQ n.4 pubblicata in data 29 febbraio 2016 sul sito istituzionale della Commissione europea, riportava che “In other words, electronic archiving of documents and preservation of electronic signatures and electronic seals are different in nature, are based on different technical solutions (attached to the document or to the electronic signature/electronic seal) and differ in their finality (conservation of the document vs preservation of electronic signature/electronic seal)”.

Con riguardo invece alla conservazione dei documenti informatici, l’allegato 1 delle recenti “Linee Guida sulla formazione, gestione e conservazione dei documenti informatici”, riporta che con il termine conservazione si intende un “Insieme delle attività finalizzate a definire ed attuare le politiche complessive del sistema di conservazione e a governarne la gestione in relazione al modello organizzativo adottato, garantendo nel tempo le caratteristiche di autenticità, integrità, leggibilità, reperibilità dei documenti”.

Mentre quindi la conservazione digitale dei documenti informatici ha l’obiettivo di preservare negli anni i bit che compongono i documenti, garantendone la loro autenticità, integrità, leggibilità, reperibilità, la conservazione delle firme, ha l’obiettivo di preservare negli anni la validità delle firme o dei sigilli elettronici, rilevando che questi possono essere inclusi oppure staccati rispetto ai documenti.

Con la circolare tecnica n.5 del 16 marzo 2020, Accredia aveva elencato le norme applicabili ai diversi servizi fiduciari  di cui al  Regolamento (UE) n. 910/2014 (eIDAS), rilevando che per i servizi di conservazione di firme e sigilli elettronici qualificati sarebbe stato necessario utilizzare la specifica ETSI TS 119 511.

La specifica tecnica ETSI TS 119 511 V1.1.1 (2019-06), ad oggetto “Electronic Signatures and Infrastructures (ESI);Policy and security requirements for trust service providers providing long-term preservation of digital signatures or general data using digital signature techniques”, così come si evince nello stesso documento, ha l’obiettivo di indicare  politiche e requisiti di sicurezza per i provider di servizi fiduciari che forniscono la conservazione a lungo termine di firme digitali e di dati in generale, cioè dati firmati oppure dati non firmati, utilizzando tecniche di firma digitale. In particolare, lo standard definisce la conservazione a lungo termine (long-term preservation) come l’estensione della validità di una firma digitale per lunghi periodi di tempo e/o l’estensione della prova dell’esistenza di dati per lunghi periodi di tempo, malgrado l’obsolescenza della tecnica crittografica, come gli algoritmi crittografici, le dimensioni delle chiavi o le funzioni di hash, la compromissione delle chiavi o la perdita della capacità di verificare la validità dei certificati a chiave pubblica.

Lo standard prevede due diversi casi:

1) la conservazione per lunghi periodi di tempo, utilizzando tecniche di firma digitale, la capacità di validare una firma digitale, la capacità di mantenere il suo stato di validità e di proporre una prova dell’esistenza dei dati firmati associati così come erano al tempo in cui erano stati inviati al servizio di conservazione, anche se successivamente la chiave di firma è diventata compromessa, il certificato scade, o diventano fattibili attacchi crittografici all’algoritmo di firma o alla funzione di hash usati per generare la firma;

2) la fornitura di una prova dell’esistenza di oggetti digitali, sia che siano firmati che non firmati,  usando tecniche di firma digitale (firme digitali, marche temporali, registrazione delle prove, etc).

Con riguardo invece al modello operativo nel fornire il servizio di conservazione, lo standard ne contempla tre:

1) Servizio di conservazione con storage

In questo caso i dati da conservare sono memorizzati ad opera del servizio di conservazione, e le prove e i dati conservati vengono inviati, previa richiesta, al cliente da parte del servizio di conservazione. Il servizio di conservazione memorizza i dati originali forniti dal cliente, i dati prodotti dal servizio di conservazione, e le associate evidenze prodotte dal servizio di conservazione utili a comprovare la corretta conservazione digitale, generate per esempio tramite l’impiego di marche temporali e la verifica dei certificati qualificati. I dati prodotti dal servizio di conservazione sono derivati dai dati originali forniti dal cliente tramite costruzione di un contenitore che raccoglie i dati ed eventualmente i relativi metadati;

 2) Servizio di conservazione con storage temporaneo

In questo caso i dati da conservare sono memorizzati ad opera del cliente, ed il servizio di conservazione trattiene i dati oppure l’hash dei dati che devono essere conservati, solo temporaneamente, almeno fino a che non vengono prodotte le evidenze. Le evidenze, generate per esempio tramite l’impiego di marche temporali e la verifica dei certificati qualificati, sono quindi generate in modo asincrono, ed una volta prodotte sono memorizzate per il periodo necessario per consentire al cliente di recuperarle, dopodichè vengono cancellate. Un esempio potrebbe essere la memorizzazione giornaliera degli hash dei dati da conservare, che sono stati inviati durante le 24 ore.

3) Servizio di conservazione senza storage

In questo caso i dati da conservare sono memorizzati ad opera del cliente, ed il servizio di conservazione non memorizza né i dati originali forniti dal cliente né le evidenze della conservazione, le quali sono generate in modo sincrono e sono incluse nella risposta inviata praticamente in tempo reale. Anche in questo caso le evidenze sono generate tramite per esempio l’impiego di marche temporali e la verifica dei certificati qualificati, ed il servizio di conservazione tiene traccia delle proprie azioni al fine di fornire le registrazioni delle proprie attività.