I diversi formati di firma elettronica: una panoramica

In questo articolo ci occuperemo di definire due diversi tipi di formati di firma elettronica di documenti, il formato CAdES ed il formato PAdES.

Per apporre una firma elettronica su un documento, infatti, è necessario utilizzare uno di questi formati denominati formati di sottoscrizione elettronica. I formati di sottoscrizione elettronica sopra citati sono adottati anche in Italia, come definito dalla Commissione Europea 2011/130/EU (fonte: AgID). 

Ti ricordiamo che per definire una firma valida e legalmente riconosciuta, un emettitore di firma (come Yousign) deve essere in grado di fornire un certificato elettronico che ne attesti la veridicità e validità. 

Partendo dal fatto che la differenza tecnica tra una firma di tipo CAdES e una firma di tipo PAdES consiste nel modo in cui il nuovo file generato viene associato al documento originale prima della firma, nell’analisi che segue faremo chiarezza sulla loro definizione, il loro utilizzo nell’ambito della firma elettronica e le differenze che li caratterizzano.

-

[Sommario]

1- Il formato CAdES
2- Il formato PAdES
3- Yousign ed il formato PAdES 

-

L’acronimo CAdES che sta per CMS Advanced Electronic Signatures, si riferisce a un insieme di estensioni dello standard di firma Cryptographic Message Syntax (CMS). Questo, è un formato strettamente legato all’utilizzo della firma digitale su un documento.

La firma digitale, a differenza di quella elettronica, proposta da soluzioni come Yousign, è un tipologia di firma elettronica che viene definita dal Codice dell’Amministrazione Digitale come segue  (articolo 24, dlgs 82/2005): 

“La firma digitale deve riferirsi in maniera univoca ad un solo soggetto ed al documento o all’insieme di documenti cui è apposta o associata. L’apposizione di firma digitale integra e sostituisce l’apposizione di sigilli, punzoni, timbri, contrassegni e marchi di qualsiasi genere ad ogni fine previsto dalla normativa vigente.”

Si differenzia quindi dalla firma elettronica “classica” perché utilizza degli strumenti crittografici (chiavi crittografiche) che permettono di definirla come equivalente alla firma autografa.

Dopo aver firmato digitalmente un documento, un file definito “busta crittografica” viene generato automaticamente. Il file che ha un estensione .p7m, contiene al suo interno:

• il documento originale prima della firma digitale
• la prova in formato digitale della firma del documento
• la chiave crittografica per la verifica della firma

La chiave crittografica, che permette di verificare la validità e l’autenticità della firma, è integrata anche nel certificato emesso a favore del titolare dall’Agenzia per l’Italia Digitale. Ti ricordiamo che il certificato in questione permette di associare l’identità del titolare ad un numero binario di 2048 bit garantendo la validità assoluta delle sue credenziali (fonte: agendadigitale.eu).

Per visualizzare il contenuto della busta crittografica CAdES in formato .p7m si dovrà ricorrere all’utilizzo di specifici software in grado di decriptare il suo contenuto come, per esempio, Dike 6, ArubaSign, ecc.

Un’altra caratteristica di questo formato di firma elettronica è che permette di firmare dei documenti anche non in formato PDF. La modalità CAdES, infatti, permette ai suoi utilizzatori di firmare qualsiasi tipo di documento (.docx, .xlsx, ecc.) anche se la regola generale è di raccomandare sempre la firma di un file PDF in quanto questo formato impedisce la modifica del documento dopo l’apposizione della firma digitale.

I file che vengono firmati digitalmente tramite modalità CAdES hanno una seconda estensione in .p7m.Il nome di un documento firmato via CAdES, quindi, sarà modificato aggiungendo la dicitura del formato in .p7m come segue: se il documento test.xlsx verrà firmato digitalmente con la modalità CAdES, il suo nome dopo la firma sarà test.xlsx.p7m.

Uno dei limiti insiti all’uso di questo tipo di formato è che la versione del documento che può essere presente nella busta crittografica deve essere soltanto una. Non è possibile, infatti, avere più versioni dello stesso documento nella busta crittografica in quanto ciò causerebbe l’invalidità postuma di una o più firme presenti nello stesso. Se quindi fosse necessario modificare il documento dopo la firma, si dovrà esportare il file nel formato originale, non firmato, così da non incorrere in errori.

L’acronimo PAdES sta per PDF Advanced Electronic Signature; questo tipo di formato di firma elettronica, “basa sul formato PDF le modalità e le tecnologie per l’identificazione dell’autore del documento e per le informazioni contenute nel documento originale (secondo la norma ETSI TS 102 778 e lo standard ISO 32000-1)”. (fonte bucap.it)

In sostanza quindi, il formato di sottoscrizione elettronica PAdES è quello utilizzato da Yousign per la firma elettronica dei documenti in formato .pdf. 

La principale differenza con il formato CAdES è che, firmando un documento via PAdES, il file che contiene la firma elettronica viene incorporato direttamente nel documento stesso. Ti ricordiamo anche che il formato PAdES consente di firmare solo dei documenti il cui formato è esclusivamente il .pdf.

Per avere più dettagli riguardo le guidelines necessarie per garantire la conformità delle firme elettroniche PAdES non esitare a consultare la documentazione disponibile sul sito dell’ETSI.

Firmare un documento elettronicamente con la modalità PAdES è quindi più pratico. Questo perché il formato del documento non viene alterato ma conserva quindi tutte le caratteristiche di un PDF anche una volta firmato, come il suo nome e la sua estensione.

L’apposizione di una firma PAdES su un file .pdf genera una busta crittografica che si presenta come un nuovo file la cui estensione resta .pdf. Non sarà quindi necessario utilizzare software specifici per decriptare la busta PAdES, che contiene il documento firmato, in quanto sarà immediatamente leggibile con i reader PDF più comuni e disponibili gratuitamente sul mercato come Adobe Acrobat Reader.

Per avere più informazioni, ti invitiamo a consultare il nostro articolo dedicato alla verifica dell’autenticità di una firma tramite Adobe Acrobat Reader.

A differenza della firma via CAdES, un documento con estensione .pdf ci concede di avere e gestire più versioni dello stesso documento lasciando valide le firme elettroniche già apposte su di esso. Questo concetto prende il nome di “versioning”, ovvero gestione delle versioni, definito come segue dall’ AgID:

“Ogni versione (del documento) successiva alla prima, contiene la versione integrale, non modificata, del documento precedente (comprese le firme digitali). Ogni modifica al documento (ulteriore firma o aggiunta di testo o immagini) produce, infatti, una nuova versione che contiene la versione originale non modificata.” (fonte: AgID)

Su un documento PDF è possibile posizionare campi di testo e caselle di firma nella posizione desiderata oltre che a poter visualizzare una firma grafica in più a quella elettronica insita al documento in questione.

Come già riportato in precedenza, Yousign utilizza il formato PAdES per firmare elettronicamente i documenti. 

Ecco che cosa potrai fare utilizzando la nostra soluzione di firma elettronica:

• Firmare dei documenti in formato .pdf,
• Visualizzare e verificare i documenti firmati elettronicamente tramite Yousign con software di lettura come Adobe Acrobat Reader,
• Far firmare/approvare un documento in .pdf da più persone e firmatari diversi garantendone la validità e l’integrità,
• Visualizzare un’immagine di firma grafica sul documento.

Ricordati che disponi sempre della possibilità di verificare la validità di una firma elettonica PAdES Yousign in qualsiasi momento.

Quando si verifica un documento firmato tramite firma elettronica, è molto importante controllare tre punti fondamentali: la validità della firma, l’autenticità del documento e l’integrità del documento.

Come citato precedentemente esistono vari tipologie di software di firma elettronica, gratuite o meno, per verificare l’autenticità di una firma elettronica. Basterà caricare o aprire il documento in questione per avviare la sua analisi e la conseguente verifica di:

• Chi ha firmato il documento
• Quando il documento è stato firmato (data ed ora)
• Conformità al regolamento europeo eIDAS - 910/2014
• Tipologia di firma elettronica (busta CAdES, busta PAdES etc.) 
• Validità del certificato di firma associato alla firma elettronica
• L’integrità del documento

Per quanto riguarda la verifica di firme elettroniche a seconda del formato di firma utilizzato (PAdES o CAdES) possiamo disporre di diverse alternative.

Una di queste è lo strumento offerto dalla Commissione Europea per verificare i documenti, la DSS Demonstration WebApp, disponibile qui. 

In questo caso basterà caricare il documento da verificare e attendere il responso del sito riguardo la validità delle firme. La verifica di una firma elettronica è possibile anche tramite l’apertura del documento in questione con dei lettori PDF quali Adobe Reader.

---

Questo documento è fornito esclusivamente a scopo informativo. Non ne garantiamo la completezza, né che sia aggiornato rispetto alle normative vigenti. Questo documento non è fornito in sostituzione di una consulenza legale.