Il 06/02/22 14:50, ilario.quinson@e.email ha scritto:
Il 6 febbraio 2022 14:49:10 CET, Francesco Zanolin<francesco.zano...@ingv.it>
ha scritto:
Ti metto direttamente un link e ti suggerisco il sito di agid per i
dettagli.
https://www.aruba.it/magazine/firma-digitale/firma-elettronica-avanzata-e-firma-elettronica-qualificata-l-importanza-di-conoscere-le-differenze.aspx
Tengo a precisare che quanto scritto nella pagina in questione alla
voce: "Varianti della FEA e precisazioni importanti"
Non è interamente corretto è mancano riferimenti alle fonti. Innanzitutto:
Le firme apposte con CNS e Tessera Sanitaria possono essere qualificate
(FEQ o QES secondo l'acronimo EIdAS), se sono stati utilizzati
certificati qualificati (cioè emessi da CA incluse nell'elenco europeo
come emittenti di certificati QES). Una delle ragioni d'essere della CNS
era appunto essere equivalente alla CIE per scopi di identificazione
digitale, e ospitare ulteriori servizi (quale la firma, appunto).
Le Tessere Sanitarie della regione Lombardia potevano (non so se sia
ancora vero) ospitare opzionalmente anche i certificati di firma.
Tecnicamente, i certificati per firma qualificata si distinguono per
l'attributo keyUsage con unico flag attivo "nonRepudiation" e marcato
critico.
I certificati per identificazione (quelli ospitati in ogni caso su CIE e
CNS) hanno keyUsage con flag "digitalSignature", e nessun flag
"nonRepudiation". Sono facilmente distinguibili perchè nell'attributo
"Subject" il campo Common Name (CN) è del tipo:
<Codice Fiscale>/<numero seriale dispositivo>.<un hash codificato base 64>
e non riporta Nome e Cognome come nel caso dei certificati qualificati.
---
Il motivo per cui si usano coppie di chiavi diverse per identificazione
e firma digitale è che mnel primo caso vengono firmate quantità
randomiche generato nell'ambito di un processo informatico (es: TLS).
Mentre nel caso della firma si firmano quantità (documenti con valore
legale) su cui il firmatario impegna la propria identità accettando il
non disconoscimento (il "non repudiation" del campo keyUsage, appunto).
Imho l'uso di coppie di chiavi pensate per identificazione come chiavi
di firma digitale è del tutto improprio.
rob
