Il problema: dimostrare la data
Avete scritto un documento, progettato un prototipo, redatto un contratto. Sapete quando lo avete fatto. Ma come dimostrarlo a terzi?
La data di creazione di un file sul vostro computer non costituisce una prova. Può essere modificata, il file può essere copiato, il file system non garantisce nulla. In caso di controversia sull'anteriorità di una creazione, di un brevetto o di un contratto, serve una prova indipendente e verificabile.
È esattamente ciò che fa la marca temporale certificata.
Come funziona la marca temporale RFC 3161
Lo standard RFC 3161, pubblicato dall'IETF, definisce un protocollo di marca temporale fidata (TSP = Time-Stamp Protocol). Il principio è semplice:
- Il vostro documento viene sottoposto a hash localmente (SHA-256). Solo questa impronta digitale viene inviata, il vostro file non lascia mai il vostro dispositivo.
- L'autorità di marca temporale (TSA = Time-Stamping Authority) riceve questa impronta, aggiunge data e ora precise, poi firma il tutto con la propria chiave privata.
- Ricevete un token di marca temporale (.tst) che lega crittograficamente il vostro documento a un istante preciso.
Questo token è verificabile da chiunque disponga del certificato dell'autorità. È infalsificabile: qualsiasi modifica al documento o alla data invalida la firma.
Fonti di tempo e fiducia
L'affidabilità di una marca temporale dipende dalla precisione dell'orologio dell'autorità. I server Sigalion utilizzano il protocollo NTS (Network Time Security), la versione sicura e autenticata di NTP, con fonti di tempo europee certificate:
- PTB (Physikalisch-Technische Bundesanstalt) in Germania, orologio atomico di riferimento
- Netnod in Svezia, infrastruttura di tempo distribuita
NTS garantisce che le risposte temporali non possano essere falsificate né riprodotte in transito, a differenza del NTP classico.
Marca temporale qualificata eIDAS
Il regolamento europeo eIDAS (910/2014) stabilisce un quadro giuridico per i servizi fiduciari digitali. Una marca temporale qualificata ai sensi di eIDAS gode di una presunzione legale di esattezza della data e di integrità dei dati (articolo 41).
La norma tecnica applicabile è l'ETSI EN 319 421, che definisce i requisiti per i prestatori di servizi di marca temporale qualificati.
Sigalion offre due livelli di marca temporale:
- Sigalion TSA, marca temporale RFC 3161 gratuita e illimitata, gestita sui nostri server (ospitati in Francia)
- Certigna eIDAS, marca temporale qualificata eIDAS, rilasciata da Certigna (Gruppo Tessi), prestatore di servizi fiduciari qualificato iscritto nella lista di fiducia europea
Le buste ASiC-S: documento e prova riuniti
Un token di marca temporale da solo dimostra che un'impronta esisteva in un dato istante. Ma per costituire una prova completa, occorre associare il documento originale e il suo token in un formato standardizzato.
Questo è il ruolo della busta ASiC-S (Associated Signature Container - Simple), definita dalla norma ETSI EN 319 162. Si tratta di un archivio ZIP contenente:
- Il documento originale
- Il token di marca temporale (.tst) corrispondente
Questa busta riunisce documento e prova in un formato verificabile offline, senza dover ricontattare il server di marca temporale. La verifica si basa sulla catena di fiducia del certificato dell'autorità, come per qualsiasi certificato X.509. Il formato è interoperabile con gli strumenti di verifica conformi alle norme ETSI.
L'associazione con Sigalion Vault
Sigalion Vault permette di cifrare i vostri documenti con una password o un certificato X.509. Scegliendo il formato di uscita ASiC-S, ogni file cifrato viene automaticamente marcato temporalmente e integrato in una busta normalizzata.
Il risultato: un file .asics che contiene sia il vostro documento cifrato sia la prova della sua data di creazione. Potete conservarlo, trasmetterlo, archiviarlo... la prova viaggia con il documento.
Alla decifratura, Vault visualizza le informazioni di marca temporale: data, autorità, validità della firma, corrispondenza dell'impronta.
Verifica indipendente
La verifica di un token di marca temporale non richiede software proprietario. Il servizio online horodatage.sigalion.fr permette di verificare gratuitamente qualsiasi token RFC 3161 (.tst, .tsr) o qualsiasi busta ASiC-S, indipendentemente dal fornitore di origine. Le marche temporali qualificate eIDAS sono anche verificabili dagli strumenti di validazione europei conformi alle norme ETSI.
La verifica controlla tre elementi:
- La firma crittografica del token (catena di fiducia)
- La corrispondenza tra l'impronta del token e quella del documento originale (se fornito)
- L'integrità della busta ASiC-S (se applicabile)
Nella pratica
La marca temporale si rivolge a tutti coloro che devono dimostrare una data:
- Creatori e inventori: prova di anteriorità per disegni, modelli, concetti, codice sorgente
- Giuristi: data certa per contratti, diffide, verbali
- Ricercatori: anteriorità dei risultati, quaderni di laboratorio digitali
- Imprese: conformità normativa, archiviazione probatoria, tracciabilità
I servizi di marca temporale sono disponibili su horodatage.sigalion.fr : creazione di token, verifica e buste ASiC-S.