Firma digitale remota: chi controlla davvero PIN e OTP
Quando PIN e codice OTP passano tra collaboratori, la firma qualificata smette di provare chi ha firmato.
In molti studi la firma digitale remota ha sostituito la smart card. Il certificato qualificato e la chiave privata restano in un HSM del prestatore di servizi fiduciari qualificato, che funziona da dispositivo per la creazione di una firma qualificata (QSCD); il titolare autorizza ogni operazione con il PIN e un codice OTP generato da un’app, da un token o ricevuto via SMS. Il modello è solido finché regge un presupposto: quelle due credenziali sono sotto il controllo esclusivo del titolare.
Cosa dicono eIDAS e CAD sulla firma digitale remota
Il Regolamento (UE) 910/2014 (eIDAS), all’articolo 26, richiede che la firma avanzata sia creata con dati che il firmatario può utilizzare, con un elevato livello di sicurezza, sotto il proprio esclusivo controllo. Il Codice dell’amministrazione digitale (D.Lgs. 82/2005) aggiunge due punti che pesano sullo studio: l’articolo 20, comma 1-ter, presume che l’uso del dispositivo di firma sia riconducibile al titolare, salvo prova contraria; l’articolo 32 obbliga il titolare a custodire il dispositivo e a utilizzarlo personalmente.
Tradotto: se il PIN circola in segreteria, una firma apposta da altri resta in prima battuta attribuita al professionista, e dimostrare il contrario è difficile proprio perché le credenziali erano condivise.
Dove si rompe nella pratica
- Il professionista detta PIN e OTP al telefono alla segreteria per chiudere un deposito in scadenza.
- L’app OTP viene installata sul telefono di un collaboratore, o il seed TOTP viene salvato in un gestore condiviso.
- Il PIN resta memorizzato nel browser o nel software di firma di un PC usato da più persone.
- L’OTP arriva via SMS su una SIM aziendale che passa di mano, esposta anche allo scambio fraudolento della SIM.
In tutti questi casi un accesso abusivo a quel PC o a quella casella, magari ottenuto con un furto di sessione sulla posta, diventa la possibilità di firmare atti a nome del titolare.
Le regole minime
OTP generato su un dispositivo personale del titolare, con blocco schermo e senza backup del seed in chiaro. PIN mai memorizzato né comunicato. Le attività delegate passano da strumenti che lasciano traccia: il collaboratore firma con il proprio certificato dove la norma lo consente, oppure prepara il documento e il titolare firma. Per volumi elevati esistono modalità di firma automatica, che vanno attivate con il prestatore come scelta esplicita e non simulate condividendo le credenziali.
Se il telefono si perde o c’è il sospetto di una compromissione, la sospensione del certificato si chiede subito al prestatore, che può anche fornire il registro delle operazioni di firma. In una contestazione quel registro è una prova digitale da acquisire con metodo, ed è il terreno di una perizia informatica.
