Una dichiarazione di validità della marcatura temporale è un attestato, rilasciato da un soggetto competente o da un controllore, che certifica che una marcatura temporale è autentica, integra e riconducibile a un’autorità di marcatura temporale valida in un momento preciso. Serve a dimostrare che un dato o un documento esisteva in una determinata istanza temporale e a conservare il suo valore probatorio nel tempo, supportando la verifica dell’integrità dei dati e la validità di firme digitali o processi di conservazione sostitutiva.
Come scrivere una dichiarazione validità marcatura temporale
In una dichiarazione di validità di una marcatura temporale occorre fornire tutti gli elementi tecnici e le evidenze che permettano a un terzo di ricostruire la verifica e di giudicare in modo motivato la correttezza e la conformità della marcatura stessa. La dichiarazione deve innanzitutto identificare in maniera univoca il token di marcatura temporale oggetto della verifica: il contenuto del Time‑Stamp Token (TST) o del file di marcatura, il suo serial number e, se presente, l’OID di policy applicata dal Time Stamping Authority (TSA). Deve essere riportata la data/ora di generazione dichiarata dal token (genTime) accompagnata dall’indicazione della precisione o dell’accuratezza dichiarata dalla TSA, e ogni informazione aggiuntiva presente nel TST come il nonce, lo status di “ordering” o eventuali attributi firmati che influiscono sull’univocità o sulla ripetibilità della marcatura. È essenziale specificare l’impronta (message imprint) contenuta nel token, cioè l’algoritmo di hash utilizzato e il valore dell’hash stesso, e poi confrontarla esplicitamente con l’impronta calcolata sul documento o sui dati effettivamente marcati: la dichiarazione deve attestare se il valore dell’hash del documento coincide o meno con quello registrato nel TST e indicare chiaramente le modalità e gli strumenti con cui tale hash è stato ricalcolato, specificando la codifica dei dati originali se rilevante (es. formato del file, canonicalizzazione eventualmente applicata).
La verifica della firma del TST va descritta con precisione: bisogna indicare l’algoritmo di firma usato per proteggere il token (inclusi, se disponibili, gli identificatori OID degli algoritmi), l’esito della verifica crittografica della firma e ogni dettaglio tecnico significativo come la lunghezza della chiave pubblica usata e eventuali parametri algoritmici rilevanti. La dichiarazione deve includere tutte le informazioni pertinenti sui certificati utilizzati per la verifica della firma del TST: il certificato della TSA (con soggetto, issuer, numero di serie, periodo di validità), l’intera catena di certificazione presentata con il token e la descrizione del trust anchor adottato in fase di verifica. Occorre documentare lo stato di validità dei certificati al momento della generazione del token (non solo al momento della verifica): la dichiarazione dovrebbe chiarire se la catena è stata valutata come valida rispetto al trust anchor scelto, quali certificati sono stati usati come intermedi e quale certificato è considerato il certificato di firma del token.
La gestione dello stato di revoca è un punto cruciale: nella dichiarazione vanno riportate le prove di verifica dello stato di revoca dei certificati coinvolti, specificando se è stata usata una CRL, una risposta OCSP o altra fonte di revoca, il valore e la validità temporale di tali risposte e l’istante rispetto al quale lo stato di revoca è stato verificato. Poiché la correttezza della marcatura dipende spesso dallo stato del certificato al momento di generazione del token, la dichiarazione deve esplicitare se la verifica dello stato di revoca è stata fatta “al genTime” (quando possibile) oppure solo al momento della verifica, e qual è la prova che giustifica l’affermazione che il certificato era valido al genTime (per esempio CRL/OCSP con date coerenti o altre evidenze fornite dal TSA). Se sono state rilevate incongruenze temporali o mancanze nelle evidenze di revoca, la dichiarazione deve descriverle e chiarire l’impatto sull’esito complessivo.
Va dato conto anche della conformità formale del token agli standard applicabili: la dichiarazione deve menzionare se il TST è strutturalmente conforme a RFC 3161 o ad eventuali profili ETSI adottati, e se i campi obbligatori sono presenti e coerenti (ad esempio presenza della policy OID, di genTime, di messageImprint, del serial number). Nel caso in cui la verifica includa controlli aggiuntivi di conformità normativa (per esempio requisiti nazionali o di settore), bisogna descrivere quali controlli sono stati eseguiti e con quale esito, indicando le regole o le norme di riferimento utilizzate per valutare la conformità.
Dal punto di vista probatorio e operativo, la dichiarazione dovrebbe dettagliare le evidenze raccolte e conservate: il token di marcatura temporale integrale (raw), il certificato o i certificati forniti con il token, le eventuali risposte OCSP o CRL scaricate al momento della verifica, il risultato del ricalcolo dell’hash e il log delle operazioni crittografiche eseguite, con indicazione degli strumenti e delle versioni software utilizzati. È importante specificare l’istante esatto della verifica, cioè la data e l’ora in cui chi redige la dichiarazione ha effettuato i controlli, perché ciò consente di comprendere la relazione temporale fra la generazione della marcatura e la verifica delle evidenze.
Infine la dichiarazione deve recare un giudizio espresso e motivato: l’esito complessivo della verifica (valida, parzialmente valida, non valida) deve essere accompagnato da una spiegazione tecnica delle ragioni che hanno condotto a tale conclusione, ad esempio se la firma del token è risultata corretta ma il certificato risultava revocato al genTime, oppure se l’impronta non corrisponde ai dati forniti, o ancora se sono mancanti le prove di revoca che impediscono una valutazione certa. Nel caso di esito negativo o incerto, la dichiarazione dovrebbe anche suggerire le azioni successive raccomandate, come l’ulteriore ricerca di evidenze, la richiesta di informazioni al TSA, o la ripetizione della marcatura con parametri più robusti. In tutti i casi la dichiarazione deve essere redatta in modo da permettere a un terzo qualificato di replicare i controlli partendo dalle medesime evidenze e, se pertinente, deve contenere i riferimenti alle norme tecniche o legali che sono state prese a riferimento per la valutazione.
Esempio dichiarazione validità marcatura temporale
DICHIARAZIONE DI VALIDITÀ DELLA MARCATURA TEMPORALE
Il/La sottoscritto/a ____________ (nome e cognome),
nato/a a ____________ il ____________,
codice fiscale ____________,
in qualità di ____________ presso ____________ (denominazione ente/organizzazione/impresa),
con sede legale in ____________,
referente per le operazioni di marcatura temporale: ____________,
PREMESSO CHE
– la marcatura temporale oggetto della presente dichiarazione è stata apposta al documento/oggetto identificato come: ____________;
– il fornitore del servizio di marcatura temporale (TSA) è: ____________;
– l’identificativo univoco della marcatura temporale (TST ID o equivalente) è: ____________;
DICHIARA
1. Che la marcatura temporale di cui sopra è stata emessa in data e ora (UTC) ____________ e riporta come riferimento temporale la misura fornita dalla TSA indicata;
2. Che l’hash del documento oggetto della marcatura temporale è: ____________ e l’algoritmo di hash utilizzato è: ____________;
3. Che il certificato digitale/chiave pubblica della TSA utilizzata è identificato da: ____________ (numero seriale, fingerprint o riferimento);
4. Che le procedure tecniche e operative impiegate per l’apposizione e la verifica della marcatura temporale sono conformi a: ____________ (norme, standard, regolamenti);
5. Che la verifica della marcatura temporale, effettuata mediante il seguente procedimento: ____________, ha prodotto il seguente esito: ____________ (es. valida / non valida / valida con riserva);
6. Che al momento della verifica non sono emerse anomalie relative all’integrità del documento marcato e alla corrispondenza tra hash e contenuto, salvo quanto eventualmente riportato in: ____________;
7. Che eventuali limitazioni o condizioni di validità sono: ____________;
DICHIARA INOLTRE
– di essere in possesso dei poteri e delle informazioni necessarie per rilasciare la presente dichiarazione;
– di assumersi la responsabilità delle dichiarazioni rese, nei limiti previsti dalla normativa vigente.
La presente dichiarazione è rilasciata per gli usi consentiti dalla legge e per attestare la validità della marcatura temporale sopra indicata.
Luogo: ____________
Data: ____________
Firma del dichiarante: ____________
Nome e qualifica: ____________
Contatti: ____________