Documento finale sicuro

Il file che esce alla fine non è il PDF entrato con delle immagini incollate sopra. È un documento sigillato crittograficamente, con la cronologia di ogni revisione verificabile, e con il materiale necessario per validarlo anche tra molti anni — senza la piattaforma, senza connessione a internet e senza la nostra collaborazione.

Questa pagina descrive, livello per livello, che cosa contiene.

I livelli, tutti insieme

Livello	Quando viene applicato	Che cosa garantisce
Sigillo di certificazione della piattaforma (AATL, DocMDP=3)	All’invio, prima che qualcuno firmi	Integrità: il contenuto delle pagine resta bloccato
Firme grafiche (annotazioni)	Man mano che ciascun firmatario firma	Aspetto e paternità visibile, senza rompere il sigillo
Firma qualificata CMD	Se il firmatario firma con la Chave Móvel Digital	QES — equivalenza alla firma autografa
Sigilli SCAP	Quando sono inclusi gli attributi professionali	La qualifica professionale, attestata dall’ente certificatore
Materiale LTV + marca temporale di archivio	Alla sigillatura e al completamento	Verificabilità a lungo termine, offline
Sigillo del Report di completamento (AATL, DocMDP=1)	Al completamento, sul report — non sul documento	Il report delle prove non ammette alcuna modifica

Il sigillo di certificazione, applicato prima di qualsiasi firma

I documenti pubblicati con la procedura guidata vengono sigillati al momento dell’invio, prima che il primo firmatario li tocchi — tranne quelli che arrivano già firmati: un PDF caricato con firme al suo interno non riceve il sigillo, perché il sigillo dovrebbe essere la prima firma del file, e accetta solo la co-firma con la Chave Móvel Digital. Il sigillo è una firma di certificazione invisibile, applicata sul server.

Certificato	Sectigo AATL Document Signing (rmb-aatl-signing)
Rilasciato a	RMB - SISTEMAS DE INFORMACAO LDA — la società che gestisce AssinaJá
Chiave privata	Azure Key Vault Premium HSM, chiave non esportabile — non esce mai dal modulo
Livello eIDAS	AES (Art. 26)
Profilo PAdES	PAdES-BES, oppure PAdES-LTV con la marca temporale di archivio (ETSI TS 102 778). Non è un profilo baseline della EN 319 142-1 — veda più sotto

AATL è la Adobe Approved Trust List. Adobe Reader la considera attendibile per impostazione predefinita, ed è per questo che il documento si apre con la spunta verde senza che il lettore debba installare o configurare alcunché.

Che cosa consente e vieta il DocMDP=3

Il sigillo scrive /Perms/DocMDP con /P 3. Da quel momento il PDF accetta soltanto tre cose: compilazione dei campi modulo, firme aggiuntive e annotazioni. Qualsiasi modifica al contenuto delle pagine invalida il sigillo, e il lettore PDF mostra il documento come modificato.

Adobe Reader lo segnala con un messaggio di questo tipo:

L’autore ha specificato che in questo documento sono consentite la compilazione dei moduli, le firme e i commenti. Non sono consentite altre modifiche.

Perché conta anche in un documento con firme semplici

Un documento firmato solo con firme grafiche esce comunque come PDF sigillato crittograficamente, con marca temporale qualificata e rilevamento delle modifiche. La firma del firmatario resta SES — ciò che cambia è che il documento non può più essere alterato senza che si veda.

Le firme grafiche entrano come annotazioni

Ogni firma grafica — immagine della firma o della sigla, nome, data — viene scritta come annotazione con un proprio flusso di aspetto, e non disegnata sulla pagina.

Il motivo è la regola appena vista: con DocMDP=3 le annotazioni sono una modifica consentita, il contenuto delle pagine no. Scrivere la firma sulla pagina invaliderebbe il sigillo della piattaforma; scriverla come annotazione lo lascia intatto.

Ogni firma viene aggiunta in una revisione incrementale: nulla di ciò che era già scritto viene riscritto. È per questo che più firmatari qualificati in sequenza funzionano — la firma di chi firma per terzo non tocca l’intervallo di byte coperto da quella del primo.

Se Adobe segnala “annotazioni modificate”

Ogni firma grafica ha un proprio identificativo, e Adobe non la segnala. Un documento più vecchio può ancora mostrare “annotazioni modificate”: è una nota informativa, non un’invalidazione — il contenuto firmato resta identico byte per byte, e il /P 3 consente di aggiungere firme.

La firma qualificata con la Chave Móvel Digital

Quando un firmatario firma con la Chave Móvel Digital, nel PDF resta una firma QES prodotta con un certificato qualificato emesso dall’ARTE (già AMA), prestatore di servizi fiduciari qualificato iscritto nella EU Trust List portoghese. La chiave privata risiede in un HSM dell’ARTE — mai sul cellulare del firmatario né su AssinaJá.

Tecnicamente è un contenitore CAdES-BES (ETSI.CAdES.detached, con gli attributi firmati content-type, message-digest e signing-certificate-v2, in SHA-256) sigillato con una marca temporale qualificata. Il validatore DSS della Commissione europea classifica il risultato come QESig / TOTAL_PASSED, nel profilo PAdES-BASELINE-T.

Veda Firma qualificata con CMD.

I sigilli SCAP, quando sono inclusi gli attributi

Con gli attributi professionali (SCAP), il documento riceve una firma aggiuntiva per ciascun ente certificatore, che attesta la qualità in cui il firmatario ha firmato. Che cosa prova, e che cosa viene scritto nel timbro, è spiegato in CMD e CMD con attributi professionali.

Il Report di completamento ha il proprio sigillo

Il report delle prove viene sigillato con lo stesso certificato AATL, ma in DocMDP=1 — non ammette alcuna modifica, mentre il documento mantiene il DocMDP=3 descritto sopra. Che cosa contiene è spiegato in Che cosa contiene il report di completamento.

Validazione a lungo termine (LTV)

Una firma si può validare solo se, al momento della verifica, è ancora possibile sapere che il certificato era valido quando è stato usato. Dopo qualche anno, i servizi che rispondono a questa domanda potrebbero non esistere più. È questo il problema che l’LTV risolve: conservare le risposte all’interno del file.

Alla sigillatura, AssinaJá raccoglie le risposte OCSP/CRL e i certificati della catena e li scrive nel PDF, in un Document Security Store (/DSS) con una voce per firma (/VRI). È questo materiale che fa mostrare ad Adobe la firma come abilitata per LTV.

Una nota onesta sul nome del profilo. Il validatore della Commissione europea (EU DSS) classifica il sigillo come PAdES-BES — o PAdES-LTV quando è presente la marca temporale di archivio — che sono profili della norma ETSI TS 102 778, e non come un profilo baseline (B-T, B-LT, B-LTA) della EN 319 142-1. Il materiale tecnico c’è; ciò che cambia è la classificazione. La politica di firma dice lo stesso.

Al completamento, viene aggiunta una marca temporale di archivio che copre l’intero file, compreso quel materiale di validazione. Il validatore la riporta quindi come PAdES-LTV, ed è anche ciò che fa sparire l’avviso di “modifiche dopo l’ultima firma”.

Le marche temporali provengono da autorità di marcatura temporale qualificate europee, interrogate in un ordine di priorità fisso, passando alla successiva se una non risponde — non è un elenco a rotazione. Per la marca di ciascuna firma la prima è la TSA del Cartão de Cidadão (la carta d’identità portoghese; IRN/AMA), seguita da IZENPE, dalla BOSA belga, da Sectigo Europe, da BalTstamp e da ACCV. Per la marca temporale di archivio la TSA del Cartão de Cidadão è esclusa di proposito: la sua marca non include la catena completa, e con essa Adobe mostra “Firmato da Sconosciuto”. Nessun documento resta senza marca temporale per l’indisponibilità di un servizio.

L’effetto pratico di tutto questo è uno solo: chi riceve il PDF lo valida con ciò che contiene. Non serve l’accesso a internet, né ad AssinaJá.

La firma CMD resta in B-T, non in B-LT. L’arricchimento LTV viene eseguito anche per la CMD, ma il certificato del Cartão de Cidadão non pubblica un punto di accesso alla revoca che consenta di incorporarla in modo affidabile. La firma è pienamente valida; ciò che diventa più difficile è verificarla molti anni dopo la scadenza del certificato, perché quella verifica dipende dal fatto che i servizi OCSP/CRL dell’epoca rispondano ancora.

Conservi la coppia. Per questo, archivi il PDF firmato e il Report di completamento, insieme — veda Validare un documento firmato.

I limiti, detti con chiarezza

I limiti legali — il sigillo della piattaforma è AES e non QES, e solo la Chave Móvel Digital produce una firma qualificata — sono descritti in Validità legale. Il limite tecnico di questa pagina è uno solo: la firma CMD resta in B-T, e per questo la coppia PDF + Report di completamento va conservata — veda Validazione a lungo termine (LTV).

Veda anche

• Convalidare un documento firmato — come verificare tutto questo senza AssinaJá
• Livelli di firma
• Firma qualificata con CMD
• Cronologia e audit
• Validità legale