Caccia all'errore: le domande di un lettore perplesso

05.02.04

...da anni seguo con attenzione i dibattiti sulle diverse tematiche intelligentemente portate avanti da InterLex.
Leggendo la sentenza... non posso fare a meno di condividere con voi le mie perplessità.
Cosa ne pensate?
Mi sembrava di aver capito una serie di cose, ma forse non è così...!?
Frustrante!

Ed ecco il primo errore: il documento dal quale parte la polemica non è una sentenza, ma un ricorso per decreto ingiuntivo. Cioè l' atto di una parte (non di un giudice) che in nessun caso può costituire un precedente e che di solito non vale neanche la pena di commentare.
Infatti, se l'articolo di commento fosse stato inviato a InterLex, sarebbe stato scartato senza esitazioni, come spesso accade. E non perché esprima opinioni diverse da quelle che sostiene la rivista, ma in quanto privo di un serio fondamento. D'altra parte è capitato diverse volte che articoli bocciati dal nostro comitato scientifico siano stati poi pubblicati da altri, e in particolare da Punto informatico. Il vasto seguito di cui gode, a buon diritto, il quotidiano telematico ha determinato lo scatenarsi di quella che abbiamo chiamato "la polemica sul nulla".

C'è da dire (anzi, da ripetere) che se le norme fossero più chiare e coerenti non ci sarebbero questi problemi di interpretazione. L'ipotesi che anche un messaggio e-mail possa costituire una prova valida in giudizio circola da qualche tempo: la nostra prima risposta in merito risale al 2 ottobre dello scorso anno!
Sul numero della scorsa settimana abbiamo trattato diffusamente il tema e oggi pubblichiamo una serie di approfondimenti. Qui cerchiamo di mettere a fuoco i pochi punti essenziali, seguendo il messaggio di un lettore dal quale risultano con molta chiarezza gli errori di fondo che sono all'origine delle false interpretazioni delle norme. Scrive Francesco Cotroneo da Settimo Torinese (i neretti sono nostri):

Ho letto con interesse il testo del ricorso al tribunale di Cuneo ed il vostro relativo articolo "un messaggio e-mail non è prova scritta", su InterLex, all'indirizzo http://www.interlex.it/docdigit/provascritta.htm.
Ho trovato convincenti le argomentazioni sul fatto che, nel caso in oggetto, userid e password non possono essere considerati come firma elettronica, mancando una evidente associazione al documento.
Però non sono sicuro che la questione sia limitata al tema del nome utente e della password.
E' indubbio che questi sono dei dati in forma elettronica utilizzati come metodo di autenticazione informatica, cioè per identificarne l'autore. Ma dovrebbe anche essere vero che il testo elettronico che contiene le generalità di una persona (nome e cognome ed eventualmente altre informazioni) può essere definito come dati in forma elettronica idonei ad identificarne l'autore. L'unica differenza è il livello di sicurezza rispetto alle possibili falsificazioni.

Ecco il secondo errore, che deriva dall'erronea traduzione dell'inglese authentication nell'italiano "autenticazione". La authentication (validazione) dei dati si ottiene solo quando c'è una "connessione logica", ottenuta con calcoli matematici,  tra il testo validato e la firma che lo valida. I dati in forma elettronica che contengono le generalità di una persona non sono idonei a "identificare" nessuno. Esempio: "Io sono Giuseppe Garibaldi". Chi ci crede? Eppure per caricare questa pagina sul server che ospita InterLex ho dovuto inserire username e password.

Nel primo caso chi falsifica deve appropriarsi di una informazione accessibile (il nome utente) e di una riservata (la password) ed utilizzarle per "falsificare" questo sistema di autenticazione. Nel secondo caso deve invece appropriarsi solo di informazioni accessibili (nome, cognome ed altri eventuali dati) per falsificare il sistema di autenticazione rappresentato dall'indicazione chiara del mittente di una email.

Terzo errore. L'indicazione chiara del mittente non è un sistema di "autenticazione": è solo una stringa scritta dal mittente stesso.

Se questo è vero, una email non anonima, che abbia chiare indicazioni del mittente (nome e cognome ed altri dati identificativi inseriti nel corpo del messaggio e nel campo mittente) dovrebbe, ai sensi della normativa vigente, avere il valore di un documento firmato elettronicamente, con firma non qualificata, in quanto contiene dati in forma elettronica, questi dati sono chiaramente allegati ad altri dati elettronici, e sono idonei ad identificare l'utente.

E' ancora il secondo errore. Non basta che i dati siano "allegati". La norma dice che i dati devono essere allegati o connessi tramite associazione logica (che si ottiene con una procedura di calcolo) tra la firma e il testo. In ogni caso questa associazione serve, per la firma elettronica non qualificata, solo a validare il testo, in modo che sia possibile scoprire se è stato alterato. Solo la firma qualificata (e qui siamo al quarto errore) consente di identificare l'autore, perché la coppia di chiavi (che non sono userid e password) è basata su un certificato qualificato.

Il problema sta quindi tutto nella definizione di "metodo di autenticazione informatica".
Cosa significa questo termine in una norma? Esiste un testo che definisce in maniera non ambigua, come dovrebbe essere per ogni termine con valenza giuridica?

Domanda azzeccata! La cosiddetta "autenticazione informatica" è un'invenzione del legislatore italiano. La corretta definizione della firma digitale è quella del vecchio DPR 513/97: "il risultato della procedura informatica (validazione) basata su un sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che consente al sottoscrittore tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici".

Il sistema informatico autentica una sequenza di bit, nel senso di attribuirla ad un determinato mittente. Le definizioni più usate sono quindi "metodo per identificare un mittente" oppure "metodo per identificare con certezza un mittente".

Quinto errore. Il sistema informatico non autentica un bel nulla, ma si limita a riconoscere il codice di un abbonato. L'idea che un sistema informatico possa "identificare con certezza" un soggetto, è il sesto errore (vedi Che significa "identificare con certezza"? di Enrico Maccarone).

Ma la seconda non ha significato, in quanto la "certezza" non esiste. Esistono metodi più o meno sicuri. Io ricevo moltissime email "firmate" elettronicamente, nel senso che so chi me le ha inviate, anzi sono relativamente certo della loro provenienza, anche se non utilizzano sistemi "sicuri" (propri peraltro della cosiddetta firma elettronica avanzata). Se peraltro così non fosse non capirei i motivi che stanno alla base della distinzione della firma elettronica avanzata e della firma elettronica semplice.

Francesco Cotroneo, come chiunque altro, può essere relativamente certo della provenienza delle e-mail che riceve, ma un giudice deve essere ASSOLUTAMENTE CERTO di chi ha sottoscritto un documento, perché deve emettere una sentenza! Ecco perché le firme elettroniche che non sono basate su un certificato qualificato possono essere usate in gruppi chiusi, ma non possono avere valore di prova legale. Inoltre, come a questo punto dovremmo aver dimostrato, nella e-mail non c'è nemmeno una firma elettronica del livello più basso immaginabile, perché non c'è nessuna evidenza informatica che abbia un'associazione logica con il testo, e di conseguenza non ci può essere la certificazione qualificata dell'appartenenza di una chiave di sottoscrizione... perché non è stata usata!

Allora sul piano del diritto, con l'attuale legislazione, una e-mail non anonima va considerata come documento provvisto di firma elettronica non qualificata.

Il fatto è, come ci spiega Corrado Giustozzi nell'articolo richiamato qui sotto, che sull'internet tutte le e-mail sono, di fatto, anonime. Anche se recano l'indirizzo di un mittente.

(M. C.)

Per approfondire gli aspetti tecnici: Lettere anonime, in Rete è la regola di Corrado Giustozzi.
Per approfondire gli aspetti giuridici: Gli effetti probatori del documento informatico di Paolo Ricchiuto.
Per leggere l'opinione di un giudice molto esperto nella materia: Il magistrato: scritto e trascritto, ma non sottoscritto di Gianni Buonomo.