D:  Le chiedo una precisazione in ordine alla Traccia HASH.
Superando ogni questione circa l’applicazione o meno di detta norma tecnica ed in particolare nel caso della notifica a mezzo pec: dando per scontato che per precauzione appare opportuno applicare tale normativa.
Ciò che non mi è chiaro è il momento in cui la traccia hash debba essere estratta.
Infatti, alcuni siti riferiscono che l’impronta debba essere calcolata dopo aver firmato digitalmente la copia informatica del file di cui si deve attestare la conformità in relata di notifica e che sarà oggetto della notifica stessa.
Tuttavia questa posizione non mi persuade: così facendo  mi sembra che si attesti la conformità di un file firmato digitalmente da me (e per l’effetto modificato) ad un file estratto dal sistema informatico che in origine non è firmato digitalmente .
Non sarebbe più corretto estrarre la traccia Hash della copia informatica prima di firmare digitalmente il medesimo file (estraendo così la traccia dello stesso file che ho “scaricato” dal fascicolo informatico).
Attestare la conformità del file non ancora firmato in relata di notifica
e procedere alla notifica allegando sia il file pdf estratto sia il medesimo file firmato digitalmente (come da Lei suggerito in alcune risposte nel blog): a mio avviso garantirebbe la possibilità al ricevente sia di verificare, una volta ricevuta la mail di notifica e decriptato il file ricevuto:
1) verificata l’identità del mittente;
2) la conformità del file ricevuto a quello presente nel fascicolo informatico da cui è tratto (sia perchè può confrontare i due file presenti nella mail sia perchè potrà estrarre poi il file dal fascicolo informatico).
La ringrazio

R: Rispondo sinteticamente:

Sia l’art. 4 (per le copie digitali di documenti analogici) che l’art. 6 (copie digitali i documenti digitali) del dpcm 13.11.2014 prevedono, entrambi al comma 2, che sia quantomeno possibile firmare digitalmente un atto oggetto di attestazione di conformità (“…puo’ essere sottoscritta con firma digitale…”).

Avuto riguardo alla funzione dell’impronta del file (che Tu chiami “traccia“, ma che in realtà si chiama proprio “impronta“), essa deve garantire che l’attestazione di conformità si riferisca al documento attestato conforme. Posto che l’apposizione di una firma digitale ad un file genera un documento nuovo di cui muta “la sequenza di bit”, è chiaro che dopo la firma l’impronta del file risulterà diversa da quella del documento non firmato.  E’ quindi logico che l’impronta vada calcolata inevitabilmente dopo l’apposizione della firma digitale.

Per anticipare l’obiezione di chi sottolinea che, in realtà sarebbe possibile estrarre da un documento firmato in CAdES l’atto firmato (rimuovendo la busta di firma), evidenzio che: a) intanto stai notificando un atto firmato e quindi devi attestare la conformità di ciò che stai notificando, non dell’atto qual era in precedenza; b) se qualcosa si può fare per la firma CAdES, non è invece “reversibile” la firma PAdES, nel senso che questa viene aggiunta “all’interno” delle righe del file pdf, di tal che non è agevolmente tornare allo stesso file prima della firma e con la stessa sequenza di bit.

Annunci