Un'organizzazione che rilascia certificati ha un problema che di solito scopre solo quando lo trova qualcun altro. Il certificato esce come PDF e da quel momento l'emittente non ha piu alcun controllo su di esso.
Perche un certificato PDF prova poco
Un PDF ordinario non porta alcuna prova della propria origine. Il sigillo, la firma scansionata e il numero di riferimento sono solo pixel. Il contenuto puo essere alterato, la data spostata, e l'emittente non e legato crittograficamente al documento.
Cosa rende verificabile un certificato
Un certificato verificabile porta con se la propria prova. Un hash crittografico garantisce l'integrita: se cambia un carattere, la verifica fallisce. Una marca temporale qualificata emessa da un'autorita accreditata stabilisce il momento e gode di presunzione legale ai sensi del regolamento eIDAS. Un sigillo elettronico qualificato lega il documento all'organizzazione anziche a una persona.
Il fondamento giuridico
In Svizzera la ZertES (RS 943.03) disciplina i certificati qualificati e i prestatori accreditati. Inoltre i materiali didattici e i contenuti di valutazione sono protetti automaticamente come opere ai sensi della Convenzione di Berna. Dimostrare che una versione specifica esisteva a una certa data resta un problema distinto, risolto da un documento sigillato e marcato temporalmente.
