Glossario

Cachet firma documenti PDF in blocco. Può apporre tre tipi di segno: una firma crittografica realizzata con la sua carta eID belga (beid), una firma crittografica realizzata con il suo certificato personale custodito in Azure Key Vault (azure), oppure una semplice immagine incollata priva di valore legale (image). Per le due modalità crittografiche segue lo standard europeo PAdES e, dopo la firma, ricontrolla ogni file e le dice esattamente che cosa è stato ottenuto. I termini seguenti spiegano il significato di quei controlli e di quelle etichette.

Firma elettronica

• Un modo giuridicamente riconosciuto di firmare un documento per via elettronica. A differenza di una firma autografa scansionata, una firma elettronica crittografica prova anche CHI ha firmato e che il file non è cambiato da allora.

SES / AES / QES

• I tre gradi eIDAS, dal più debole al più forte. La SES (semplice) è soltanto «un segno elettronico». La AES (avanzata) è legata in modo univoco al firmatario e rileva ogni modifica successiva. La QES (qualificata) è una AES realizzata con un certificato qualificato e un dispositivo sicuro, ed equivale per legge a una firma autografa. eID = QES, Azure = AES, image = nessuna.

eIDAS

• Il regolamento dell'UE che definisce le firme elettroniche, i servizi fiduciari e i gradi SES/AES/QES, così che una firma apposta in un paese dell'UE sia riconosciuta negli altri.

PAdES

• «PDF Advanced Electronic Signatures» — lo standard ETSI (EN 319 142-1) per incorporare le firme nei file PDF. Cachet scrive firme PAdES, così qualsiasi lettore conforme (per esempio Adobe) può verificarle.

CMS

• Il formato contenitore di basso livello (Cryptographic Message Syntax) che contiene materialmente i byte della firma, i certificati e le marche temporali dentro il PDF. PAdES è un profilo specifico per PDF costruito sopra CMS.

Impronta / hash

• Una breve impronta di lunghezza fissa calcolata a partire dal documento. Basta cambiare un byte perché l'impronta cambi del tutto. La firma è apposta su questa impronta: per questo ad Azure viene inviata solo l'impronta e mai il file intero.

Certificato

• Una carta d'identità elettronica per una chiave crittografica: lega una chiave pubblica a una persona o a un servizio ed è a sua volta firmata da un'autorità di certificazione. Il suo prova che la firma proviene davvero da lei.

CA / catena di certificati

• Un'autorità di certificazione (CA) emette i certificati. Verificare una firma significa risalire la catena dal suo certificato attraverso una o più CA fino a una radice attendibile. Se l'intera catena regge, la firma è considerata attendibile.

eID / certificato di non ripudio

• Una carta eID belga porta due certificati; Cachet usa quello di «non ripudio», riservato alle firme giuridicamente vincolanti (a differenza del certificato di «autenticazione», usato solo per accedere).

NRN

• Il numero di registro nazionale belga. È incorporato in ogni firma eID. Chiunque riceva un PDF firmato può leggerlo: condivida i file firmati con attenzione.

PKCS#11

• L'interfaccia software standard con cui Cachet dialoga con la carta eID attraverso il middleware del lettore. Consente all'applicazione di usare la chiave della carta senza che la chiave lasci mai la carta.

PIN

• Il codice segreto che sblocca la chiave di firma della sua carta eID. La carta non rivela mai la chiave; firma soltanto quando il PIN è corretto. In modalità beid Cachet lo chiede una volta PER DOCUMENTO.

Azure Key Vault

• Un servizio cloud di Microsoft che custodisce il suo certificato e la sua chiave personali in modo che la chiave non possa essere esportata. La firma avviene dentro il caveau: vi viene inviata solo l'impronta del documento e ne torna il risultato firmato.

Microsoft Entra ID

• Il servizio di identità e accesso di Microsoft (già Azure Active Directory). In modalità azure effettua l'accesso una volta PER BLOCCO per dimostrare di poter usare la sua chiave nel caveau.

UPN

• User Principal Name — la sua identità di accesso in Entra ID, di solito nella forma nome@organizzazione. È così che l'applicazione sa quale account del caveau è il suo.

Marca temporale RFC 3161 / TSA

• Un timbro datato e attendibile che prova l'esistenza della firma in un dato momento. Proviene via rete da un'autorità di marcatura temporale (TSA) e protegge la firma anche dopo la successiva scadenza del certificato di firma.

Marca temporale qualificata o gratuita

• Una marca gratuita (quella predefinita di Cachet, di DigiCert) è tecnicamente valida e ampiamente riconosciuta. Una marca qualificata proviene da una TSA qualificata ai sensi di eIDAS e ha un peso giuridico maggiore. Entrambe provano il «quando»; solo la seconda è «qualificata».

LTV

• Long-Term Validation, convalida a lungo termine — nel PDF viene conservata prova sufficiente perché possa ancora essere verificato anni dopo, anche quando i certificati sono scaduti o la CA emittente non è più raggiungibile.

DSS

• Il Document Security Store — l'area interna al PDF in cui sono conservate le prove per la LTV (certificati e dati di revoca), così che il file sia autosufficiente.

OCSP

• Una verifica in linea, in tempo reale, che chiede alla CA «questo certificato è ancora valido adesso, oppure è stato revocato?». La risposta viene salvata nel DSS per la LTV.

CRL

• Certificate Revocation List, elenco dei certificati revocati — un elenco pubblicato dei certificati annullati dalla CA. Un'alternativa a OCSP per dimostrare che un certificato era ancora valido al momento dell'uso; anch'esso conservato per la LTV.

Elenco di fiducia dell'UE (LOTL)

• L'elenco ufficiale dell'UE dei prestatori qualificati attendibili (la List of Trusted Lists). La fiducia dell'eID (QES) risale in ultima analisi fin qui. Azure (AES) NO: è resa attendibile invece dalla CA interna della sua organizzazione.

CA interna

• L'autorità di certificazione della sua organizzazione. In modalità azure la fiducia e la LTV sono ancorate a questa catena di CA interna (un file PEM che fornisce lei), non all'elenco di fiducia dell'UE.

Vignetta

• Il piccolo timbro visibile che Cachet disegna sulla pagina nelle modalità eID e Azure: la fotografia del titolare (solo eID), «Firmato da:», il nome e la data. È il volto leggibile di una firma crittografica altrimenti invisibile. Ne sceglie la posizione facendo clic sull'anteprima della pagina; senza clic finisce in basso a destra sull'ultima pagina.

Convalida su modello

• Un controllo di sicurezza — prima della firma ogni PDF in ingresso viene confrontato con un modello («template») e deve avere lo stesso numero di pagine e dimensioni di pagina identiche. Questo garantisce che la firma finisca nel punto giusto su ogni file del blocco. Quando alcuni file hanno un numero di pagine DIVERSO (per esempio perché sono stati aggiunti allegati digitalizzati), al passo di convalida e in cima al passo di posizionamento compare un selettore prima/ultima pagina: ciascuno di quei file viene allora firmato sulla propria prima o ultima pagina — quella pagina deve comunque avere esattamente le dimensioni della pagina del modello, così la posizione scelta ci sta con certezza.

Rinnovo B-LTA

• Il B-LTA (il livello predefinito) aggiunge una catena di marche temporali di conservazione, perché la prova resti dimostrabile per decenni. «Rinnovo» significa che ogni pochi anni va aggiunta una nuova marca di conservazione, prima che la protezione della precedente si indebolisca.