{"id":11383,"date":"2019-04-06T19:01:21","date_gmt":"2019-04-06T17:01:21","guid":{"rendered":"https:\/\/avvocatotelematico.wordpress.com\/?p=11383"},"modified":"2019-04-06T19:01:21","modified_gmt":"2019-04-06T17:01:21","slug":"la-verifica-delle-pec-con-certificati-scaduti-falsi-miti-sfatati","status":"publish","type":"post","link":"https:\/\/avvocatotelematico.studiolegalearcella.it\/public_html\/2019\/04\/06\/la-verifica-delle-pec-con-certificati-scaduti-falsi-miti-sfatati\/","title":{"rendered":"La verifica delle PEC con certificati scaduti: falsi miti sfatati"},"content":{"rendered":"

1. Il falso mito<\/h2>\n

Uno dei (falsi) miti in circolazione da tempo attiene al fatto che i messaggi e le ricevute PEC, muniti di firma del gestore soggetta a scadenza, non sarebbero pi\u00f9 attendibili una volta maturata la scadenza del relativo certificato.<\/p>\n

2. Come si esamina, in generale, una PEC con Thunderbird e con Ms Outlook<\/h2>\n

Tutti sappiamo che \u00e8 possibile esaminare i dettagli del certificato associato alla firma elettronica avanzata del messaggio PEC e visualizzare il relativo periodo di validit\u00e0. Tale operazione si compie su Thunderbird cliccando sulla bustina in alto a destra del messaggio e quindi su “mostra certificato della firma<\/strong><\/em>” ed apparir\u00e0 una finestra di questo tipo, nella quale \u00e8 possibile leggere agevolmente il range<\/em> di validit\u00e0 del certificato:<\/p>\n

\"Certificato<\/p>\n

Con MS-Outlook tale operazione si compie invece cliccando sulla “coccarda” (o sul triangolo giallo, se il certificato \u00e8 scaduto) posta in alto a destra, quindi su “dettagli”, ancora sulla riga relativa al firmatario e nuovamente su “dettagli” .<\/p>\n

Finch\u00e9 il certificato \u00e8 valido, se la pec \u00e8 integra, la verifica dar\u00e0 responso positivo, rappresentato in Thunderbird dalla “bustina” intonsa in alto a destra della finestra del messaggio:<\/p>\n

\"Cattura.JPG\"
\ned in MS-Outlook rappresentato, invece, dalla “coccarda”:
\n\"Cattura.JPG\"<\/p>\n

Poich\u00e9, per\u00f2, la firma non contiene il riferimento temporale relativo al momento in cui essa \u00e8 stata apposta, l\u2019operazione di verifica utilizza la data del sistema (il PC o il MAC sul quale si sta esaminando il messaggio) e le operazioni di verifica, effettuate al di fuori del periodo di validit\u00e0 del certificato, riporteranno che il certificato non \u00e8 valido.<\/p>\n

Questo significa che, decorso il termine ultimo di validit\u00e0 del certificato, Thunderbird presenter\u00e0 l’immagine di una “X” rossa sulla bustina ed Outlook, invece, un “triangolino giallo” con l’avvertenza che “sono stati rilevati problemi per la firma”. <\/em><\/p>\n

\"Cattura.JPG\"<\/p>\n

Ovviamente \u00e8 possibile cliccare sui dettagli e verificare se la firma sia stata apposta nel <\/strong>range <\/em><\/strong>temporale di validit\u00e0 del certificato<\/strong>. Ma – come costantemente evidenziato da molti – la verifica anzidetta non consente di distinguere un messaggio o una ricevuta pec il cui certificato sia semplicemente scaduto da un’ipotesi di manipolazione (con conseguente perdita dell’integrit\u00e0 e dell’autenticit\u00e0) della PEC. Nell’esempio sotto riportato, la seconda PEC \u00e8 stata volutamente da noi alterata nella data:<\/p>\n

\"2\"<\/p>\n

3. La conservazione come unica via d’uscita?<\/h2>\n

In tali ipotesi, da pi\u00f9 parti si suggerisce (quasi che fosse l’unico modo per garantire la verificabilit\u00e0 dei certificati sine die<\/em>) di mettere i messaggi e le ricevute PEC in conservazione “a norma”: il che non \u00e8 sicuramente sbagliato, perch\u00e9 attraverso la conservazione si ottiene la garanzia di una costante verifica dell’immodificabilit\u00e0 , dell’autenticit\u00e0 , della reperibilit\u00e0 , della leggibilit\u00e0 e dell’integrit\u00e0 <\/strong>dei nostri documenti a lungo termine. Ci\u00f2 che non riteniamo corretto, giova ripeterlo, \u00e8 affermare che se il messaggio o la ricevuta PEC non \u00e8 conservata a norma, una volta scaduto il periodo di validit\u00e0 del certificato, essa “<\/em>perde la sua efficacia di prova assoluta<\/a><\/em>” <\/em>oppure che “le <\/em>PEC<\/strong><\/em>, per continuare ad avere valore legale, <\/em>devono essere conservate a norma<\/strong><\/em> con un certificato valido e aggiornato. Punto. Una volta scaduto il certificato la PEC sar\u00e0 equivalente ad una normale email, con ovvie conseguenze giuridiche in caso di contenzioso” <\/em>(achab.it<\/a>): opinioni queste che non sono affatto isolate!<\/p>\n

Lo si ripete ancora una volta: mettere in conservazione le PEC, come qualsiasi altro documento rilevante dell’azienda o dello studio professionale \u00e8 sicuramente prassi buona e giusta, che pu\u00f2 costituire talvolta adempimento di un obbligo di legge specifico o, pi\u00f9 in generale, dovere di diligenza ex art. 1176 cod. civ., per garantire il mantenimento delle caratteristiche di immodificabilit\u00e0, leggibilit\u00e0, integrit\u00e0 ed autenticit\u00e0 nel tempo. Ma la conservazione a norma NON \u00e8 affatto l’unica via d’uscita per superare il problema della validit\u00e0 a termine dei certificati di firma.<\/p>\n

Se cos\u00ec non fosse, non si spiegherebbe, del resto, una norma come l’art. 41, comma 4, lett c) del dpcm del 22 Febbraio 2013, secondo cui “il riferimento temporale ottenuto attraverso l\u2019utilizzo di posta elettronica certificata ai sensi dell\u2019art. 48 del Codice<\/em>” (C.A.D.) costituisce validazione temporale: una simile disposizione non avrebbe senso alcuno<\/span> se fosse vero che la garanzia della data certa dipendesse dalla scadenza o meno del certificato della firma apposta ad una busta PEC!<\/p>\n

Dov’\u00e8 allora la soluzione?<\/p>\n

4. La soluzione (a portata di tutti)<\/h2>\n

Consideriamo tre dati: a)<\/strong> la verifica della firma elettronica avanzata delle PEC viene sempre fatta all’attualit\u00e0; b)<\/strong> come gi\u00e0 detto, la firma non contiene il riferimento temporale relativo al momento in cui la firma \u00e8 stata apposta; c)<\/strong> La verifica di una firma va eseguita alla data della relativa apposizione (argomentando dall’art. 24, comma 4 bis del CAD). Quando un client di posta effettua una verifica della firma apposta ad una busta PEC lo fa semplicemente partendo dalla data del sistema. La soluzione \u00e8 quindi un po’ come un uovo di colombo: eseguire una “verifica alla data” (del messaggio PEC).<\/p>\n

Per fare ci\u00f2, senza ricorrere a software o installazioni esterne e men che meno a siti web vari, \u00e8 sufficiente porre mano alla data del sistema del nostro PC, collocandola alla data del messaggio PEC che si vuole esaminare: in MS-Windows basta entrare nelle impostazioni del sistema e cercare la funzione “modifica data e ora<\/em><\/strong><\/span>“, disattivare l’impostazione automatica ed inserire la data desiderata:<\/p>\n

\"FOTO00164\"
\nRiaprendo il client di posta, si avr\u00e0 modo di constatare che il messaggio oggetto della nostra indagine (nella specie una RdAC) \u00e8 tornato verificabile.<\/p>\n

5. La controprova<\/h2>\n

Per avere una controprova, abbiamo modificato la stessa ricevuta esaminata (nella realt\u00e0 datata 10.10.2017, il cui certificato di firma \u00e8 ormai scaduto, retrodatandola di un mese (10.09.2017), avendo cura di apportare la modifica non solo nell’header<\/em> (che non \u00e8 protetto dalla firma) ma anche nel corpo del messaggio che, invece, viene protetto dalla firma .<\/em>p7s<\/strong><\/em> che contiene l’impronta del “body” e degli allegati, dopo la relativa codifica in Base64.<\/em><\/p>\n

Di seguito le immagini del nostro esperimento:
\n\"2\"<\/p>\n

Come si pu\u00f2 vedere, il messaggio in basso (“modificata<\/span>“), cos\u00ec come quello in alto (“originale”)<\/span> non recano visibili differenze ad una verifica fatta alla data odierna: tutt’e due le firme non risultano verificabili: occorrerebbe adoperare un software come OpenSSL (che adopera con righe di comando e non \u00e8 perci\u00f2 comodissimo):<\/p>\n

\"photo_2019-04-06_09-49-22.jpg\"<\/p>\n

Se per\u00f2 ante datiamo la data del nostro PC collocandola nel range<\/em> temporale di validit\u00e0 del certificato, anche il semplice client<\/em> di posta riesce comodamente a verificare se una pec sia integra o meno:<\/p>\n

\"1\"<\/p>\n

L’esperimento non ha controindicazioni: provate <\/span>pure, ma ricordate, al termine, di ripristinare l’impostazione automatica della data.<\/span><\/p>\n

Grazie a Stefano Baldoni per la preziosa collaborazione.<\/p>\n","protected":false},"excerpt":{"rendered":"

1. Il falso mito Uno dei (falsi) miti in circolazione da tempo attiene al fatto che i messaggi e le ricevute PEC, muniti di firma del gestore soggetta a scadenza, non sarebbero pi\u00f9 attendibili una volta maturata la scadenza del relativo certificato. 2. Come si esamina, in generale, una PEC con Thunderbird e con Ms<\/p>\n

Leggi tutto<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"sfsi_plus_gutenberg_text_before_share":"","sfsi_plus_gutenberg_show_text_before_share":"","sfsi_plus_gutenberg_icon_type":"","sfsi_plus_gutenberg_icon_alignemt":"","sfsi_plus_gutenburg_max_per_row":"","_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_feature_clip_id":0,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":false,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2},"jetpack_post_was_ever_published":false},"categories":[4],"tags":[],"class_list":["post-11383","post","type-post","status-publish","format-standard","hentry","category-avvisi"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t