Tre strumenti sono nella lista finale, le demo sono andate bene, e le tabelle delle funzioni si somigliano abbastanza da far scivolare la decisione verso chi ha presentato meglio. Tutti promettono una prova: che un documento sia esistito, che non sia stato alterato, che qualcuno lo abbia firmato. Una sola domanda separa gli strumenti che reggono da quelli che non reggono, e non compare in nessuna tabella comparativa.
Eccola. Una persona che non ha alcun account presso il fornitore puo verificare la prova da sola, e funziona ancora se il fornitore scompare?
Cosa intende una pagina prodotto per prova, e cosa intende una controversia
Su una pagina prodotto, prova significa di solito che lo strumento ti mostra qualcosa: un segno verde, una traccia di controllo nel pannello del fornitore. E il fornitore che fa una dichiarazione sui propri registri. In una controversia il termine e piu stretto. Un terzo senza rapporti con te o con il fornitore, un arbitro o l'avvocato della controparte, deve guardare un artefatto e trarne una conclusione senza credere a nessuno sulla parola.
La falla emerge quando qualcuno chiede la prova, tu mandi un link, e quella persona finisce su una pagina di accesso.
Prima meta: puo verificarlo un estraneo
Poni a ogni fornitore lo stesso scenario con le stesse parole. Consegno il vostro artefatto a qualcuno con un portatile e nessun account. Cosa puo stabilire, e con quale software? Le risposte si dividono in tre gruppi.
- La verifica funziona solo dentro il prodotto, per utenti autenticati. La prova e il fornitore sono la stessa cosa, quindi la prova e disponibile quanto lo e l'account.
- La verifica passa da una pagina pubblica ospitata dal fornitore. Meglio, e utile ogni giorno, ma dipende ancora dal fatto che quel fornitore sia raggiungibile il giorno in cui qualcuno controlla.
- La verifica funziona offline con software standard. Il file porta con se il proprio materiale crittografico, e un comune lettore PDF o un'utility di verifica aperta lo confronta con certificati pubblicati da un'autorita di certificazione.
Solo la terza e indipendente nel senso inteso da un giurista. Chiedi un artefatto di esempio e aprilo su una macchina che non ha mai visto il software del fornitore.
Seconda meta: la prova sopravvive al fornitore
Una prova serve anni dopo. Deve sopravvivere a tre sparizioni distinte.
- L'abbonamento. Se la tua organizzazione smette di usare il servizio, gli artefatti gia creati restano verificabili, o la verifica finisce con l'account?
- Il fornitore. Le aziende vengono acquisite, cambiano rotta, chiudono. Se quei server si spegnessero domani, quali dei tuoi artefatti avrebbero ancora un significato?
- Il formato. Gli algoritmi si indeboliscono man mano che cresce la potenza di calcolo. Chiedi se la prova puo essere rinnovata, e se l'artefatto segue uno standard pubblico documentato invece di un contenitore che solo quel fornitore sa leggere.
Cosa viene davvero attestato
La parola prova comprime tre affermazioni diverse, e gli strumenti differiscono su quali di esse sostengono davvero.
| Affermazione | Cosa stabilisce | Cosa non stabilisce |
|---|---|---|
| Identita di un firmatario | Una persona verificata ha apposto una firma | Quando il contenuto e stato creato |
| Integrita di un file | Il contenuto non e cambiato dal momento del sigillo | Chi lo ha prodotto, ne se ne avesse diritto |
| Esistenza in un dato momento | Quel contenuto esatto esisteva non oltre quel momento | Chi ne e l'autore, se l'identita non e legata insieme |
| Tutte e tre, legate insieme | Una parte nominata deteneva quel contenuto in quel momento | Una controversia sui diritti sottostanti |
La combinazione che serve dipende dal problema. Un contratto richiede l'identita del firmatario. Un file di progetto o un manoscritto richiede piuttosto esistenza in un dato momento e integrita, perche secondo la Convenzione di Berna il diritto d'autore sorge automaticamente con la creazione dell'opera e non richiede alcuna registrazione per esistere. Quello che manca a un creatore raramente e una registrazione. E una traccia datata e verificabile di cosa esisteva, e quando.
Chi rilascia l'attestazione
C'e una differenza reale tra un fornitore che afferma qualcosa nei propri registri e un'attestazione rilasciata sotto un quadro giuridico vigilato. Secondo il regolamento (UE) n. 910/2014, noto come eIDAS, l'articolo 41 attribuisce alla validazione temporale elettronica qualificata la presunzione di accuratezza della data e dell'ora indicate e di integrita dei dati cui si riferisce. In Svizzera, ZertES disciplina i servizi di certificazione qualificati, e l'equivalenza con la firma autografa si trova nel Codice delle obbligazioni, all'art. 14 cpv. 2bis CO.
Per chi compra, questo sposta l'onere dell'argomentazione. Poni quindi due domande semplici: chi e il prestatore di servizi fiduciari dietro tutto questo, e sotto quale regime di vigilanza e iscritto? Un fornitore costruito su un prestatore accreditato lo nomina senza esitare.
Le domande da mandare per iscritto
Nulla di quanto detto in una demo e recuperabile sei mesi dopo. Manda queste domande via email e conserva la risposta.
- Inviate un artefatto di esempio che possiamo verificare offline, su una macchina senza alcun vostro software.
- Indicate il prestatore di servizi fiduciari dietro l'attestazione e il regime che lo vigila.
- Dichiarate cosa attesta ogni artefatto: identita, integrita, esistenza in un dato momento, o una combinazione.
- Descrivete cosa succede agli artefatti gia creati se il nostro account viene chiuso.
- Descrivete cosa puo verificare un terzo se il vostro servizio non e disponibile.
- Confermate che possiamo esportare tutti gli artefatti in blocco in un formato documentato, e dite se l'export contiene il materiale di verifica o solo un riepilogo.
- Spiegate come la prova puo essere rinnovata man mano che gli algoritmi invecchiano.
Applica questa lista a ogni candidato, compreso quello che gia preferisci. Swiss Trust Layer risponde a tutti e sette i punti: i suoi artefatti portano marche temporali e firme qualificate svizzere che si verificano in un normale software PDF senza account da nessuna parte, e la pagina sul funzionamento mostra quel percorso di verifica. La lista conta piu di qualunque singola risposta. Un fornitore che risponde a queste domande solo al telefono ti ha detto qualcosa di utile su come si comportera la prova il giorno in cui ti servira.
