Quali sono i formati di firma accettati dalla PA?

Può succedere che qualche utente chieda di presentare documenti in formati diversi da quelli accettati dallo Sportello telematico™.

Come rispondergli? Eccovi un breve vademecum sui formati di firma.

Com’è fatta una firma elettronica?

Busta crittograficaPrima di affrontare il tema dei formati della firma elettronica può essere utile, senza pretendere di inoltrarci in aspetti tecnici complessi, rinfrescarci la memoria sui concetti che stanno alla base della firma elettronica.

Apporre una firma usando un certificato elettronico significa creare un file, chiamato busta crittografica, nella quale sono inseriti:

  • il documento originale
  • l’impronta del documento criptata usando la chiave privata del sottoscrittore
  • il certificato elettronico del sottoscrittore.

Il certificato elettronico contiene i dati identificativi del sottoscrittore e la sua chiave pubblica. L’autenticità del certificato è garantita dal fatto che è firmato da una terza parte fidata: una Certification Authority inclusa nell’elenco ufficiale pubblicato da AgID sul proprio sito Internet, come previsto dall’articolo 29 del CAD.

Per verificare l’integrità del documento:

  • si decripta l’impronta contenuta nella busta usando la chiave pubblica del sottoscrittore
  • si calcola l’impronta del documento
  • si confrontano i risultati: se coincidono significa che il documento è integro.

Quali sono i formati delle buste crittografiche?

Gli standard europei prevedono tre formati di busta crittografica identificati dagli acronimi CAdES, PAdES e XAdES.
Gli stessi formati sono stati recepiti in Italia dalle Regole tecniche in materia di generazione, apposizione e verifica delle firme elettroniche avanzate, qualificate e digitali che prevedono che i formati e le caratteristiche della firma elettronica qualificata e della firma digitale siano definiti, anche ai fini del riconoscimento e della verifica del documento informatico, con provvedimenti dell’Agenzia. Nelle more dell’emanazione di tali provvedimenti continua ad applicarsi la deliberazione del Centro nazionale per l’informatica nella pubblica amministrazione n. 45 del 21 maggio 2009 e successive modificazioni.

Ecco le differenze tra i vari formati di busta crittografica:

  • la busta crittografica in formato CAdES è un file con estensione .p7m, che può essere aperto da una delle applicazioni di verifica elencate sul sito di AgID. Il file può avere anche più di una estensione .p7m, se sono apposte più firme (ma di questo parleremo in un prossimo articolo)
  • la busta crittografica in formato PAdES è un file con estensione .pdf che può essere aperto da qualsiasi software in grado di leggere il formato PDF
  • la busta crittografica in formato XAdES è un file con estensione .xml: questo formato ha avuto scarsa fortuna e diffusione, ma può essere aperto da una delle applicazioni di verifica elencate sul sito di AgID.

Quali formati deve accettare la PA?

Di fronte alla possibilità di utilizzare diversi formati, come deve comportarsi la pubblica amministrazione?

Ferma restando la validità giuridica di tutti i formati previsti dalle regole tecniche, l’articolo 21, comma 11 della deliberazione CNIPA 45/2009 ci dice che le pubbliche amministrazioni devono garantire la gestione del formato CAdES mentre possono, a loro discrezione, accettare i formati PAdES e XAdES.

L’accettazione dei formati alternativi al CAdES deve essere menzionata nel manuale di gestione documentale dell’Amministrazione e segnalata a AgID (ex CNIPA).

Per questi motivi Sportello telematico™ gestisce il solo formato CAdES.