Architettura di sicurezza delle firme elettroniche
Le firme elettroniche (e-signature) vanno dalla semplice clickwrap alle firme digitali avanzate. La sicurezza dipende dal livello di implementazione.
Tre livelli (eIDAS / ESIGN / UETA)
| Livello | Esempio | Livello di sicurezza | Peso legale |
|---|
| Semplice (SES) | Clicca "Accetto", nome digitato, firma scansionata | Basso — nessuna verifica identità | Ammissibile, ma contestabile |
| Avanzato (AdES) | DocuSign, Adobe Sign con autenticazione email | Medio — univoco al firmatario, manomissione rilevabile | Presunzione più forte |
| Qualificato (QES) | PKI certificato + dispositivo qualificato (eIDAS) | Alto — equivalente a firma autografa (UE) | Più alto; non ripudio |
Meccanismi di sicurezza principali
- Crittografia (AES-256, TLS 1.2+): protegge il documento in transito/storage.
- Hashing (SHA-256): crea impronta digitale unica del documento; qualsiasi modifica altera l'hash.
- Crittografia asimmetrica (RSA/ECDSA): la chiave privata del firmatario cripta l'hash → firma. La chiave pubblica verifica.
- Certificati digitali (X.509): legano la chiave pubblica a identità verificata (rilasciati da CA).
- Traccia di controllo: log con timestamp di visualizzazioni, firme, IP, geolocalizzazione — a prova di manomissione.
- Non ripudio: il firmatario non può negare di aver firmato — solo lui possiede la chiave privata.
Vulnerabilità e mitigazioni
| Rischio | Mitigazione |
|---|
| Acquisizione account (credenziali di phishing) | 2FA/MFA sulla piattaforma e-sign; SSO/SAML |
| Manomissione documento pre-firma | Verifica hash; "quello che vedi è quello che firmi" (WYSIWYS) |
| Debole prova identità | QES / autenticazione basata su conoscenza (KBA) / biometrica |
| Malware sul dispositivo del firmatario | Protezione endpoint; ambienti di firma isolati |
| Validazione a lungo termine (LTV) | Marcatura temporale (RFC 3161); archiviazione con OCSP/CRL |
Best practice
- Usa provider AdES/QES (DocuSign, Adobe Sign, OneSpan, GlobalSign, servizi fiduciari qualificati locali).
- Richiedi MFA per tutti i firmatari.
- Abilita marcatura temporale LTV per archiviazione.
- Verifica catena di certificati prima di fare affidamento.
- Conserva traccia di controllo secondo policy di retention.
