Glossario firma digitale e P7M: 28 termini spiegati

Tipi di firma

1. Firma elettronica

Nell’ambito eIDAS sono dati elettronici associati ad altri dati, usati dal firmatario per firmare. È una categoria ampia. Non identifica da sola uno specifico formato o un livello di garanzia. Per gli effetti delle diverse firme vedi il quadro eIDAS e CAD.

2. Firma elettronica avanzata — FEA

Firma che soddisfa requisiti ulteriori: legame univoco con il firmatario, identificazione, controllo sui dati di creazione e rilevabilità delle modifiche successive. Non basta chiamare “avanzato” un servizio perché il processo rispetti quei requisiti.

3. Firma elettronica qualificata — FEQ

Firma avanzata creata con un dispositivo qualificato e basata su un certificato qualificato. “Qualificata” descrive requisiti specifici, non l’aspetto della firma sullo schermo o l’estensione del file.

4. Firma digitale

Nel contesto italiano è una particolare firma qualificata basata su chiavi crittografiche correlate. Il controllo usa la chiave pubblica; la chiave privata serve a firmare. La guida CAdES distingue il meccanismo dal formato della busta.

Formati e contenuto del file

5. P7M

Estensione comunemente usata per una busta crittografica firmata che può contenere PDF, XML o altri dati. Non è un tipo di pagina stampabile. Il nome fattura.xml.p7m suggerisce una struttura, da confermare leggendo il file: vedi che cosa contiene un P7M.

6. CMS e PKCS#7

CMS, Cryptographic Message Syntax, descrive strutture per firme, cifratura e altri servizi crittografici. Deriva da PKCS#7. Non tutte le strutture CMS contengono un documento estraibile: un lettore deve riconoscere anche i casi non supportati.

7. CAdES

Famiglia di profili di firma costruiti sulle strutture CMS. Incontrata spesso nei file P7M. Il formato non dimostra da solo la qualifica del certificato o la riuscita di tutti i controlli: approfondisci come funziona CAdES.

8. PAdES

Famiglia di profili per firme incorporate nel PDF. Il file può rimanere .pdf e contenere più revisioni firmate. Serve un verificatore che supporti le firme PDF: segui la guida PAdES. Il lettore P7MGratis non le verifica.

9. XAdES

Famiglia di profili per firme basate su XML. Un XML leggibile può quindi contenere informazioni di firma. P7MGratis non esegue la verifica XML/XAdES; presentare una fattura XML non equivale a validarne un’eventuale firma interna.

10. P7S

Estensione spesso associata a dati di firma separati. Non garantisce da sola l’esatta struttura del file. Se il contenuto non è incluso, occorre anche il documento originale: vedi i campi detached nella guida al VOL.

11. Firma con contenuto incluso — attached

Il documento è racchiuso nella struttura che contiene le informazioni di firma. Il lettore può provare a estrarlo dalla busta supportata. L’estrazione non richiede di modificare quel documento.

12. Firma separata — detached

La struttura di firma non include il contenuto a cui si riferisce. Occorrono firma e documento esatto: due PDF apparentemente uguali possono avere byte diversi. P7MGratis non ricostruisce il documento mancante e non verifica firme detached.

Certificati, fiducia e scadenza

13. Certificato X.509

Struttura che associa una chiave pubblica a dati di un titolare e di un emittente, con periodo di validità e altre informazioni. Leggere un nome nel certificato non completa la verifica dell’identità o della fiducia.

14. Catena fiduciaria

Percorso fra il certificato del firmatario e un riferimento ritenuto attendibile, con i controlli previsti dalla politica di validazione. Un certificato incluso nel P7M può essere utilizzabile per la matematica della firma senza che la catena sia stata verificata.

15. Trusted list ed elenchi dei prestatori

Fonti che descrivono prestatori e servizi fiduciari con il relativo stato. La presenza di un nome aziendale nel certificato non sostituisce il controllo del servizio e del periodo pertinente negli elenchi applicabili.

16. Scadenza del certificato

Fine del periodo di validità dichiarato nel certificato. La scadenza di oggi e la validità al momento della sottoscrizione sono informazioni diverse. La guida alla firma scaduta mostra come distinguerle con un esempio.

17. Revoca e sospensione

Stati che possono incidere sull’utilizzo del certificato anche prima della scadenza. Non si deducono dalla data finale né dalla corrispondenza matematica della firma. Un controllo che non consulta lo stato non dimostra l’assenza di revoca.

18. CRL e OCSP

Meccanismi per ottenere informazioni sullo stato dei certificati: una lista di revoca oppure risposte di un servizio di stato. P7MGratis non li consulta. L’eventuale disponibilità delle informazioni storiche è rilevante per le verifiche riferite al passato.

Integrità e tempo

19. Hash o impronta

Valore calcolato dai byte con una funzione crittografica. Aiuta a confrontare contenuti e partecipa ai meccanismi di firma. Un hash pubblicato da solo non dimostra chi abbia prodotto il documento o quando lo abbia fatto.

20. Integrità crittografica

Corrispondenza verificata fra contenuto, firma e chiave usati nel controllo supportato. Nel lettore l’esito è distinto dalle verifiche non eseguite. Per interpretare “verificata”, “non verificata” e “non disponibile” consulta i risultati della firma.

21. Data dichiarata di firma — signingTime

Informazione temporale inserita nella firma, quando presente. Non è automaticamente un’attestazione indipendente dell’ora reale. Va distinta dal periodo del certificato e da una marca temporale verificata.

22. Marca temporale

Evidenza che lega dati e tempo secondo un servizio di validazione temporale. Un token può riferirsi all’impronta di un dato o a evidenze di firma. Prima di trarne conclusioni occorre verificarne integrità, fiducia e legame con l’oggetto pertinente. Il lettore non svolge questi controlli.

Più firme, estrazione e conservazione

23. Firme parallele

Più firme principali riferite al contenuto nella stessa busta. Ogni firma ha un proprio risultato: il successo della prima non vale per tutte. Puoi vedere un campione nella guida sulle firme multiple.

24. Buste annidate

Una busta racchiude un’altra busta firmata. Per arrivare al documento si attraversano più livelli. Il numero di buste non dimostra da solo il numero di persone distinte che hanno firmato.

25. Controfirma

Firma che può riguardare il valore di un’altra firma, anziché il documento principale. Non è equivalente a una firma parallela. P7MGratis ne segnala la presenza riconosciuta ma non ne esegue la verifica.

26. Estrazione

Recupero dei byte del contenuto dalla busta. Se il contenuto è un PDF, il download originale non è una ristampa: vedi convertire P7M in PDF. Le evidenze esterne della firma restano nel P7M.

27. Anteprima o rappresentazione leggibile

Visualizzazione dei dati, per esempio le pagine PDF o il prospetto di una fattura XML. Serve a leggere. Un prospetto stampato in PDF non coincide con l’XML originario né dimostra la validità delle firme. Approfondisci come leggere un P7M.

28. Conservazione del documento informatico

Insieme di attività e regole per mantenere nel tempo documenti e relative caratteristiche. Non coincide con scaricare un file, creare uno ZIP o salvarlo in una cartella. Gli obblighi dipendono dal documento e dal contesto: per i riferimenti generali vedi valore legale e originali.