Firma CAdES: leggere una busta P7M: procedura passo dopo passo
- Apri il documento firmato.
- Leggi i dati dei firmatari e l’esito del controllo crittografico.
- Per una validazione completa usa un verificatore che controlli fiducia, revoche e informazioni temporali.
Firma digitale CAdES e integrità del contenuto
Il controllo crittografico confronta i dati del documento con quelli protetti dalla firma. Un esito positivo indica una corrispondenza tecnica con la chiave del certificato incluso; non stabilisce da solo che il certificato appartenga a un prestatore qualificato.
Firma digitale CAdES: certificati e riferimenti temporali
Il certificato contiene una chiave pubblica, attributi del soggetto ed estremi di validità. La data dichiarata dal firmatario non è equivalente a una marca temporale validata. Per valutare lo stato della firma a una data precisa servono controlli ulteriori.
Firma digitale CAdES: perché la data dichiarata non basta
L’attributo signingTime è una dichiarazione del firmatario. Non equivale a una marca temporale verificata emessa da un servizio fiduciario. Non è quindi corretto concludere automaticamente che una firma sia valida perché quella data precede la scadenza.
Conservare le evidenze
Mantieni il P7M originale e le eventuali evidenze di conservazione, marche temporali o ricevute rilevanti. Il PDF estratto serve alla lettura ma non conserva da solo tutti gli elementi della busta CAdES.
Firme parallele
Una busta SignedData può contenere più SignerInfo. Il lettore controlla separatamente i firmatari presenti e non estende l’esito positivo di uno agli altri.
Buste annidate e controfirme
Le buste annidate vengono aperte fino a otto livelli. Le controfirme CMS sono controllate rispetto ai byte della firma precedente, con esiti separati per integrità, fiducia, revoca e marche temporali. La profondità massima delle controfirme è quattro livelli.
Firma digitale CAdES: cosa protegge la sottoscrizione
Una firma digitale CAdES collega crittograficamente una firma al contenuto che è stato sottoscritto. Quando il documento cambia, la corrispondenza attesa può venire meno. Il controllo non consiste nel cercare sul foglio un’immagine della firma o il nome del sottoscrittore: utilizza le informazioni della busta e la chiave pubblica associata al certificato.
Questo spiega perché conservare gli originali è importante. Un PDF estratto può essere perfettamente leggibile, ma la busta esterna contiene informazioni che non vengono trasferite automaticamente nel PDF. Anche una copia successivamente modificata deve essere distinta dal contenuto firmato. Prima di consegnare un documento a un destinatario, verifica quale formato richiede e se vuole la busta originale, il contenuto estratto o un documento sottoscritto con un altro formato.
Come leggere certificato e catena di fiducia
Il certificato riporta attributi del soggetto e dell’emittente, una chiave pubblica e un periodo di validità. Leggere questi campi è utile per riconoscere il contesto, ma la presenza di un nome non basta a completare una verifica. Il percorso di fiducia deve collegare crittograficamente il certificato a un riferimento autorizzato e pertinente alla data del controllo.
Una lista di fiducia non è semplicemente un elenco di marchi riconoscibili. Prima di utilizzare i certificati pubblicati nella lista, occorre autenticarne la provenienza e verificarne la firma. Anche lo stato del servizio e gli intervalli temporali devono essere considerati. Per l’utente, il risultato pratico è una voce separata sulla catena: non va dedotta soltanto dal fatto che il certificato nomini un ente noto o che il file sia stato scaricato da un sito istituzionale.
Revoca e tempo nella firma digitale CAdES
Il periodo di validità stampato nel certificato non è l’unica informazione temporale da considerare. Un certificato può essere revocato e le prove disponibili devono essere pertinenti al controllo che stai facendo. Le risposte OCSP e le CRL hanno un proprio intervallo di validità: usare una risposta vecchia o riferita a un altro certificato non consente di concludere che tutto sia regolare.
Per le firme più vecchie, una marca temporale può fornire informazioni aggiuntive, ma va verificata a sua volta. Il lettore distingue l’ora dichiarata dal firmatario da una marca RFC 3161 sulla firma. Quando mancano prove storiche sufficienti, un esito non determinabile è più corretto di una deduzione automatica basata soltanto sulla data scritta nel documento. Conserva gli elementi ricevuti e consulta separatamente i risultati di integrità, fiducia, revoca e marcatura.
Domande frequenti: firma cades: leggere una busta p7m
Posso firmare un documento qui?
Questo sito apre e analizza documenti già firmati. Non appone nuove firme.
CAdES e PAdES sono la stessa cosa?
No. PAdES integra la firma nel PDF; CAdES può racchiudere documenti di diversi formati.
Posso scaricare il contenuto?
Sì, se la busta è leggibile. L’estrazione non rinnova o modifica il certificato.
Il sito rinnova la firma?
No. Per nuove firme o rinnovi devi rivolgerti al tuo prestatore.
Uno stato positivo vale per tutte le firme?
No. Ogni risultato si riferisce solo al firmatario e alla busta indicati.
Quale documento viene scaricato?
Il contenuto raggiunto dopo l’apertura delle buste supportate. Conserva anche il P7M originale.
Firma digitale CAdES e controfirma proteggono la stessa cosa?
Una firma sul documento e una controfirma non hanno necessariamente lo stesso oggetto. La controfirma CMS riguarda i byte della firma precedente, mentre più firme parallele possono riferirsi allo stesso contenuto. Per questo il lettore presenta i risultati dei controfirmatari separatamente. Prima di interpretare una sequenza, guarda quale firma o busta è indicata e non estendere automaticamente il risultato positivo di una verifica a tutte le altre.
Perché un documento CAdES può avere un risultato non determinabile?
Può mancare un certificato intermedio, una lista di fiducia pertinente o una risposta di revoca utilizzabile. Un formato o un algoritmo può anche richiedere controlli non disponibili nello strumento. Il messaggio non deve essere trasformato né in una conferma di validità né in un’accusa di falsificazione. Leggi il motivo specifico, conserva l’originale e valuta se ripetere la verifica o utilizzare uno strumento adatto al requisito della tua procedura.
Il riepilogo di verifica sostituisce il documento CAdES?
No. Il riepilogo descrive una verifica eseguita in un momento preciso e può essere utile per documentare i risultati ottenuti. La busta originale rimane il file su cui si possono ripetere i controlli e dal quale si può estrarre il contenuto. Conservare soltanto il rapporto eliminerebbe quel riferimento. Quando condividi i risultati con un destinatario, tieni distinti il documento firmato, le copie leggibili e la descrizione tecnica della verifica.
Approfondimento ufficiale: firma elettronica qualificata — AgID.