Nel mondo “paperless” di oggi, i dispositivi mobili sono diventati i principali strumenti per la sottoscrizione di documenti. Dagli smartphone ai tablet utilizzati negli sportelli bancari, la firma non è più solo inchiostro su carta.
Tuttavia, per un esperto di Mobile Forensics o per un consulente tecnico, la confusione terminologica può essere fatale. Confondere una “firma digitalizzata” con una “firma digitale” può compromettere l’esito di una perizia o la validità di un contratto.
In questo articolo analizzeremo le differenze tecniche e giuridiche tra le varie tipologie di firma e il loro impatto sulle indagini digitali.
1. Il caos delle definizioni: Facciamo chiarezza
Spesso i termini vengono usati come sinonimi, ma tecnicamente (e legalmente) sono mondi opposti. Ecco la gerarchia:
A. Firma Autografa (La tradizione)
È la classica firma apposta manualmente con penna su un supporto cartaceo.
- Caratteristiche: Analizzabile tramite perizia calligrafica tradizionale (pressione, tratto, velocità).
- Contesto: Mondo analogico.
B. Firma Digitalizzata (L’inganno visivo)
Questa è la trappola più comune. Si tratta della semplice scansione o fotografia di una firma autografa, poi incollata come immagine (es. .jpg o .png) su un documento elettronico (Word, PDF).
- Natura: È una semplice rappresentazione grafica.
- Problema Forense: Non contiene metadati crittografici che legano univocamente l’autore al documento. È facilmente falsificabile con un semplice “copia-incolla” (Photoshop).
C. Firma Elettronica Avanzata (FEA) e Grafometrica
Qui entriamo nel territorio della Mobile Forensics. Spesso realizzata su tablet o pad specifici (es. in banca o dai corrieri), questa firma rileva i dati biometrici del firmatario.
- Dati acquisiti: Ritmo, velocità, pressione, accelerazione e coordinate spaziali.
- Sicurezza: I dati biometrici vengono solitamente cifrati e inglobati nel documento.
D. Firma Digitale (Il “Gold Standard”)
Nota legalmente come Firma Elettronica Qualificata (FEQ). Non riguarda la “grafia” del nome, ma è un processo matematico basato su crittografia asimmetrica (chiave pubblica e privata), spesso utilizzando token USB, Smart Card o sistemi OTP remoti.
- Garanzie: Autenticità, Integrità (il documento non è stato modificato dopo la firma) e Non ripudio.
2. La Validità Legale in Italia (CAD e eIDAS)
In ambito forense, la domanda cruciale è: “Quanto vale questa firma davanti a un giudice?”. Il riferimento è il CAD (Codice dell’Amministrazione Digitale) e il regolamento europeo eIDAS.
| Tipo di Firma | Valore Probatorio |
|---|---|
| Firma Digitalizzata (Semplice) | Debole. È liberamente valutabile dal giudice. In caso di disconoscimento, spetta a chi la presenta provare che è autentica (inversione dell’onere della prova a svantaggio del presentatore). |
| Firma Autografa | Forte. Fa piena prova fino a querela di falso. |
| Firma Elettronica Avanzata (Grafometrica) | Forte. Ha l’efficacia della scrittura privata (art. 2702 c.c.). L’onere della prova è a carico di chi vuole disconoscerla. |
| Firma Digitale (Qualificata) | Massimo. Presunzione di riconducibilità al titolare. Equivale (e supera) la firma autografa con autentica notarile in termini di sicurezza informatica. |
3. L’approccio della Mobile Forensics
Perché questo argomento è cruciale per chi si occupa di analisi forense su dispositivi mobili? Poiché sempre più contratti vengono “firmati” su smartphone o tablet, il perito forense deve saper distinguere cosa ha davanti.
Analisi dei Metadati
Di fronte a un PDF estratto da uno smartphone, il forensic examiner non deve limitarsi a guardare l’aspetto visivo. Deve analizzare la struttura del file:
- Hash del file: Per verificare l’integrità.
- Certificati: Verificare se il documento è firmato con un certificato valido, revocato o scaduto.
- Biometria (nel caso di FEA): Se si ha accesso al dato grezzo (spesso protetto), si possono analizzare i vettori di pressione e velocità, richiedendo strumenti specifici di grafometria forense.
Il rischio della “Firma Digitalizzata” sui Mobile
Molte app per smartphone permettono di “disegnare” la firma con il dito sullo schermo o di incollare una foto della firma.
Il Protocollo Operativo: Le Best Practices
In ambito di Mobile Forensics, quando un perito si trova a dover analizzare un documento firmato su un dispositivo, deve seguire un rigoroso protocollo tecnico:
1. Acquisizione e Catena di Custodia
Prima ancora di analizzare la firma, il perito deve garantire che il reperto digitale non venga alterato.
- Bit-Stream Image: Si lavora sempre su una “copia forense” (bit-a-bit) del file o del dispositivo, mai sull’originale.
- Calcolo dell’Hash: Appena acquisito il documento (es. PDF, XML, P7M), si calcola l’impronta digitale del file (MD5, SHA-256).
2. Analisi Tecnica: Distinguere per Certificare
Il metodo di analisi cambia radicalmente in base alla tipologia di firma identificata.
A. Validazione della Firma Digitale (FEQ)
Se il documento presenta una Firma Digitale, il perito esegue una Verifica Crittografica:
- Verifica della CA (Certification Authority): Si controlla che l’ente emittente sia nella Trusted List europea.
- Controllo Revoche (OCSP/CRL): Si verifica se il certificato fosse valido al momento della firma.
- Verifica di Integrità: Si conferma che l’hash del documento non sia cambiato anche di un solo bit.
B. Analisi della Firma Digitalizzata (Immagine Semplice)
Nel caso di una semplice scansione incollata, l’analisi si sposta sulla Image Forensics:
- Analisi dei Metadati (Exif/XMP): Si cerca traccia del software che ha generato il file (es. “Photoshop”, “CamScanner”).
- ELA (Error Level Analysis): Si analizza il livello di compressione dei pixel per scovare manipolazioni.
3. La Relazione Tecnica
Al termine, il perito redige una relazione che esprime certezze tecniche:
- Il documento è integro? (Verifica Hash)
- L’identità del firmatario è garantita da un certificato qualificato?
- I dati biometrici (se presenti) sono compatibili con il saggio grafico dell’autore?
Conclusione
La differenza tra una firma valida e carta straccia digitale risiede nella tecnologia sottostante, non nell’aspetto grafico.
Per i professionisti della Mobile Forensics, la sfida è duplice:
- Acquisire correttamente il documento digitale dal dispositivo senza alterarne i metadati.
- Classificare correttamente la tipologia di firma per fornire al legale o al giudice un quadro chiaro del valore probatorio dell’evidenza.
Non basta che ci sia scritto un nome: bisogna validare la catena di fiducia crittografica o biometrica che lo sostiene.