Firma digitale nella pratica: certificati, PEC, SPID e file .p7m

In questo video continuiamo il percorso sulla firma digitale e passiamo dalla teoria alla pratica.

Nel primo video abbiamo visto il meccanismo tecnico di base: documento, hash, chiave privata, chiave pubblica e verifica. Abbiamo capito perché la firma digitale non è una firma scannerizzata e perché, se il documento viene modificato dopo la firma, la verifica non torna più.

In questo secondo episodio facciamo un passo avanti.

La domanda centrale diventa: chi garantisce che una certa chiave pubblica appartenga davvero a una persona, a un professionista, a un’azienda o a un ente?

Qui entrano in gioco i certificati digitali, le Certification Authority, la protezione della chiave privata e gli strumenti reali che usiamo quando firmiamo o verifichiamo un documento digitale.

Vediamo anche perché firma digitale, PEC, SPID e CIE non sono la stessa cosa.

Sono tutti strumenti importanti nella vita digitale, ma rispondono a domande diverse:

• la firma digitale serve a firmare un documento;
• la PEC serve a inviare comunicazioni con valore legale sulla trasmissione;
• SPID e CIE servono a identificarsi verso servizi digitali.

Nel video vediamo:

• perché una chiave pubblica deve essere collegata a un’identità reale;
• che cos’è un certificato digitale;
• perché il certificato è una sorta di carta d’identità tecnica;
• che ruolo hanno le Certification Authority;
• perché un software di verifica non controlla solo la firma, ma anche il certificato;
• cosa significa controllare validità, scadenza, revoca e catena di fiducia;
• perché la chiave privata è il punto più delicato della firma digitale;
• come può essere protetta una chiave privata;
• perché smart card, token USB, firma remota, PIN e password servono a proteggere l’uso della chiave;
• quali sono i formati più comuni dei documenti firmati;
• che differenza c’è tra un PDF firmato e un file .p7m;
• perché un file .p7m non è un PDF normale;
• perché bisogna sempre verificare la firma, non limitarsi ad aprire il file;
• che differenza c’è tra firma digitale, PEC, SPID e CIE;
• perché inviare una PEC non significa automaticamente firmare digitalmente un documento;
• perché avere SPID non significa automaticamente avere una firma digitale qualificata;
• cosa succede in un caso concreto, come l’invio di un contratto firmato;
• perché una firma scannerizzata è debole dal punto di vista tecnico;
• perché la firma digitale collega documento, firmatario e certificato;
• qual è il ciclo completo della firma digitale;
• dove entrano strumenti come sha256sum, openssl, GPG e Kleopatra;
• perché una demo con OpenSSL mostra il principio tecnico, ma non sostituisce una firma digitale qualificata;
• come firmare un file da terminale con OpenSSL;
• come verificare una firma con una chiave pubblica;
• cosa succede se il documento viene modificato dopo la firma;
• quali sono i limiti della firma digitale;
• perché una firma valida non garantisce che il contenuto sia vero, conveniente o letto con attenzione;
• perché la firma digitale non rende automaticamente segreto un file;
• perché firmare e cifrare restano due operazioni diverse.

Durante il video facciamo anche una demo tecnica con openssl.

Generiamo una chiave privata, ricaviamo la chiave pubblica, creiamo un file di esempio, lo firmiamo e poi verifichiamo la firma.

Poi modifichiamo il documento e riproviamo la verifica.

Il risultato è il punto centrale del video: se il contenuto cambia dopo la firma, la verifica fallisce.

Questa non è una firma digitale qualificata da usare per firmare un contratto reale. È una demo didattica per vedere il principio tecnico: chiave privata per firmare, chiave pubblica per verificare.

Il messaggio da ricordare è semplice:

la firma digitale non è una decorazione del documento, ma un legame tecnico tra identità e contenuto.

Non dice “sembra firmato”.

Dice: la verifica è coerente con questo documento, con questa chiave e con questo certificato.

Capitoli

• 00:00 Introduzione
• 01:35 Il ruolo del certificato digitale
• 03:19 La chiave privata va protetta
• 05:04 Come appare un documento firmato
• 06:51 Non confondiamo gli strumenti
• 08:33 Una situazione concreta
• 10:16 Il ciclo completo
• 11:40 Strumenti utili per capire
• 13:19 Demo: firmare un file da terminale
• 16:29 Demo: cosa succede se modifico il contenuto del file
• 17:57 La firma digitale lega identità e contenuto
• 19:20 Limiti da capire bene
• 20:54 Perché è importante capirla
• 22:23 Nei prossimi video