menu di navigazione del network

Verifica Marca da Bollo Digitale


(Luca Gargiulo) #1

Fra i compiti assegnati alle PA c’è quello di verificare la corrispondenza fra marca da bollo digitale e documento. La verifica richiede ovviamente anche la verifica della firma digitale apposta dal PSP (al momento l’unico sembra essere Infocamere) sul documento XML che contiene i dati relativi al bollo. La verifica completa della firma richiede anche la verifica della catena di certificazione del certificato digitale usato per la firma. Nel caso in esame il certificato usato da Infocamere è a sua volta firmato da una CA identificata come CA Bollo Digitale dell’Agenzia delle Entrate, che suppongo sia una Root Ca e come tale andrebbe inserita fra i Root Certificate. Non ho trovato però da nessuna parte tale certificato, pertanto non è possibile eseguire una verifica attendibile se non inserendo fra i certificati attendibili quello di Infocamere.
Da dove è possibile recuperare il certificato che AdE usa per autorizzare i PSP?


(Mauro Bracalari) #2

PagoPA esegue il controllo della firma apposta dal PSP, disponendo del certificato che completa la catena di trust.

Se la PA vuole ridondare il controllo dovrebbe richiedere lo stesso certificato all’Agenzia delle Entrate.


(Luca Gargiulo) #3

Non ho dubbi circa il fatto che i bolli rilasciati tramite PagoPA siano corretti.
Il problema si presenta quando una PA riceve un documento con allegata una marca da bollo digitale e deve verificare che sia valida.
Lo scenario di cui parlavo è quello in cui un cittadino deve consegnare ad una PA un documento, già in suo possesso o fornito da un terzo, ad esempio un professionista, e a cui viene richiesto di presentare il documento con allegata una marca da bollo digitale.
Bollo e documento vengono consegnati alla PA, tramite upload su un portale della PA o via PEC.
A questo punto l’operatore della PA DEVE necessariamente verificare che il bollo sia correttamente associato al documento. Se non posso controllare la catena di certificazione il bollo può essere falsificato, l’unico metodo che ho è censire e trustare tutti i certificati di firma di tutti i concessionari autorizzati da AdE a vendere bolli digitali. Al momento c’è solo Infocamere, ma immagino e spero che nei prossimi anni il numero di concessionari aumenterà. Di fatto la corretta verifica della firma digitale richiede la verifica di tutta la catena di certificazione, e tutti i certificati della catena dovrebbero essere pubblici. Mi aspettavo di trovare la CA Bollo Telematico dell’AdE nell’elenco delle Certification Authorities accreditate da AGID, ma così non è.