Firma PADES-BASIC: urgente una revisione dei Moduli!

Molti avvocati hanno riscontrato un problema con l’apposizione della firma digitale: il Modulo appare firmato anche in PADES-Basic sebbene Adobe Acrobat Reader DC sia stato impostato per l’apposizione della firma PADES-BES.

articolo in collaborazione con Stefano Baldoni di http://www.slpct.wordpress.com

Come noto, l’art. 12, co. 6 D.P.C.M. 40/2016 richiede che la firma digitale apposta al Modulo di deposito sia in formato PADES-BES.

Pertanto, per poter effettuare validamente i depositi telematici del PAT è necessario impostare Adobe Acrobat Reader DC perché apponga la firma PADES-BES con Algoritmo SHA-256.

In tal modo, sarà possibile apporre una firma digitale valida secondo le disposizioni della Delibera CNIPA 45/2009. Infatti, le firme digitali apposte con algoritmo SHA-1 (formato PADES Basic) sono valide solo se apposte anteriormente al 30 Giugno 2011, mentre dal 1 Luglio 2011 è necessario utilizzare una firma digitale generata con algoritmo SHA-256.

Gli avvocati, quindi, prima di predisporre il loro primo deposito telematico, dovranno impostare Adobe Acrobat Reader DC, di modo che l’associazione con il token di firma digitale permetta l’apposizione della stessa in formato PADES-BES.

Clicca qui per vedere le guide per impostare la firma PADES-BES

Con l’avvio del PAT, molti avvocati hanno riscontrato che, pur avendo correttamente eseguito le operazioni indicate per impostare la firma PADES-BES, nel Modulo di deposito risulta comunque presente anche una  firma in PADES Basic.

Quali conseguenze ha l’apposizione di tale firma digitale sul deposito?

L’apposizione della firma PADES Basic non invalida l’attività di deposito. Infatti, il SIGA riesce comunque a elaborare il deposito, che si perfeziona con il rilascio del messaggio di avvenuta protocollazione.

Tuttavia, il problema del PADES Basic rimane: sebbene il deposito si possa perfezionare da un punto di vista tecnico, la firma digitale apposta non risulterà comunque avere alcuna validità legale. Questo, da un doppio punto di vista.

In primo luogo, come visto, per l’espressa previsione del Regolamento PAT, che richiede unicamente il formato PADES-BES. In secondo luogo, perchè tale previsione non fa altro che richiamare quanto già previsto in via generale dalla Delibera CNIPA 45/2009, per la quale le firme digitali apposte con algoritmo SHA-1 dopo il 30 Giugno 2011 non hanno alcuna validità legale.

Per tale motivo, ci si chiede se l’apposizione di una firma digitale PADES Basic si presti ad eccezioni future sull’invalidità della firma apposta. In tale evenienza, è determinante individuare da subito quale sia la causa del problema.

Ad oggi, infatti, moltissimi hanno segnalato all’Help Desk della Giustizia Amministrativa di aver più volte impostato correttamente la firma PADES-BES e che, ciononostante, il Modulo risulta anche firmato con algoritmo SHA-1 (PADES Basic).

L’Help Desk, peraltro, ha più volte segnalato che il problema persiste e che si stanno adottando tutte le indagini necessarie per individuare la fonte del problema.

Per tale motivo PAT il Blog e SLPCT.wordpress.com hanno analizzato i Moduli di deposito per individuare un possibile bug. Ci siamo chiesti, infatti, se l’apposizione della firma PADES Basic sia imputabile all’avvocato che non abbia correttamente impostato Adob Acrobat Reader DC, o se si tratti, invece, di un errore del software.

In primo luogo, abbiamo operato la verifica della firma digitale di alcuni Moduli di deposito firmati con Acrobat DC previa configurazione dello stesso per la firma in PAdes-BES.  Per la verifica sono stati utilizzati: Dike 6, ArubaSign,  FirmaCerta e l’utilità On Line di Infocert. Il risultato è stato che  il Modulo risultava firmato sia in PADES BES (con data coincidente a quella della compilazione e firma del Modulo), sia con PADES Basic (recante, tuttavia, data anteriore) e da “soggetto” non identificabile.

cattura3

Sembrerebbe, quindi, che l’operazione di verifica accerti la presenza di una firma digitale preesistente nel Modulo di deposito, la quale sarebbe generata con algoritmo SHA-1 (ovvero in PADES Basic).

cattura1
Primo risultato di verifica su Modulo di deposito firmato in data 11/01/2017.Presenza di firma digitale SHA1, preesistente e apposta in data 23/12/2016.
cattura2
Secondo risultato di verifica su Modulo di deposito firmato. Presenza di firma digitale SHA256 riferita alla firma apposta dal difensore in data 11/01/2017. Contraddizione con la voce “formato firma” che rileva il formato PADES Basic.

A tale firma digitale preesistente l’avvocato aggiunge, quindi, la propria firma digitale al Modulo. Di conseguenza, i software di verifica non possono che restituire un doppio risultato, ovvero segnalare sia la presenza di una firma PADES Basic, che la presenza di una firma digitale apposta con algoritmo SHA-256 (PADES-BES).

Tale circostanza è confermata dalla verifica di un Modulo non compilato, così come estratto dal sito della Giustizia Amministrativa: il Modulo risulta firmato digitalmente al suo interno solamente con algoritmo SHA-1, dunque non valido, e non appartenente all’avvocato depositante.

verfica-modulo-vergine
Verifica del modulodepositoricorso così come estratto dal sito web della Giustizia Amministrativa (versione 2.0)

Questa indagine di PAT il Blog si presta, quindi, a tutelare i difensori che abbiano finora eseguito depositi telematici con firma digitale PADES Basic. La firma apposta dal difensore è, correttamente, una firma digitale PADES-BES, mentre la firma PADES Basic rilevata dai software di verifica è imputabile al Modulo stesso.

Pertanto, l’eventuale invalidità del Modulo, da un punto di vista della firma digitale apposta, non potrà essere imputata all’avvocato, che non ha alcuna alternativa: i Moduli sono direttamente forniti sul sito della Giustizia Amministrativa.

E’ in ogni caso auspicabile un comunicato sul punto da parte della Giustizia Amministrativa, oltre ad una revisione dei Moduli di deposito che si rende necessaria per svolgere correttamente le attività di deposito.

La nostra indagine verrà comunicata all’Help Desk in un’ottica di collaborazione, per permettere una soluzione più veloce del problema.

Annunci

16 pensieri su “Firma PADES-BASIC: urgente una revisione dei Moduli!

  1. Preg.MO Avv. Elia Barbuiani,

    se eseguo il “controllo firma” con la pennetta Aruba (sign e/o Key) del modulo pdf scaricato dal sito, per eseguire un deposito di un ricorso (PAT), (quindi trascinando il file sul simbolo di verifica firma):
    risulta che il file non è firmato;

    se invece eseguo il medesimo controllo con un programma on line, p.es., infocert, allora, risulta precedentemente firmato digitalmente usando però il vecchio algoritmo;

    perchè questa differenza ? …

    si ringrazia per al risposta

    nuovamente complimenti a VOI e al Collega Avv. Boldoni, per l’articolo che precede

    Fondi 20/01/17
    francesco fusco

    Mi piace

  2. Domanda: é possibile firmare gli atti che si allegano ai moduli utilizzando l’opzione “certificati” disponibile negli strumenti di Acrobat DC?

    Mi piace

        1. Grazie! Adobe era impostato, naturalmente!

          A proposito dell’articolo: non é sufficiente, una volta firmato il modulo, verificare i dettagli della firma?

          Mi piace

  3. Buongiorno, una domanda, in merito alle notifiche a mezzo pec prima della compilazione di un modulo PAT, gli allegati delle stesse devono esser firmati in p7m oppure sempre in pades?
    Grazie mille

    Mi piace

Commenta

Inserisci i tuoi dati qui sotto o clicca su un'icona per effettuare l'accesso:

Logo WordPress.com

Stai commentando usando il tuo account WordPress.com. Chiudi sessione / Modifica )

Foto Twitter

Stai commentando usando il tuo account Twitter. Chiudi sessione / Modifica )

Foto di Facebook

Stai commentando usando il tuo account Facebook. Chiudi sessione / Modifica )

Google+ photo

Stai commentando usando il tuo account Google+. Chiudi sessione / Modifica )

Connessione a %s...