Non ho dubbi circa il fatto che i bolli rilasciati tramite PagoPA siano corretti.
Il problema si presenta quando una PA riceve un documento con allegata una marca da bollo digitale e deve verificare che sia valida.
Lo scenario di cui parlavo è quello in cui un cittadino deve consegnare ad una PA un documento, già in suo possesso o fornito da un terzo, ad esempio un professionista, e a cui viene richiesto di presentare il documento con allegata una marca da bollo digitale.
Bollo e documento vengono consegnati alla PA, tramite upload su un portale della PA o via PEC.
A questo punto l’operatore della PA DEVE necessariamente verificare che il bollo sia correttamente associato al documento. Se non posso controllare la catena di certificazione il bollo può essere falsificato, l’unico metodo che ho è censire e trustare tutti i certificati di firma di tutti i concessionari autorizzati da AdE a vendere bolli digitali. Al momento c’è solo Infocamere, ma immagino e spero che nei prossimi anni il numero di concessionari aumenterà. Di fatto la corretta verifica della firma digitale richiede la verifica di tutta la catena di certificazione, e tutti i certificati della catena dovrebbero essere pubblici. Mi aspettavo di trovare la CA Bollo Telematico dell’AdE nell’elenco delle Certification Authorities accreditate da AGID, ma così non è.