il problema è :
1 - le firme digtali (digitali e qualificate) sono basate su certificati digitali che hanno una durata limitata (in Italia 3 anni) e che possono essere revocati.
2 - al ricevimento o alla produzione di un file , il responsabile del procedimento può verificare la validità, ma ottiene una conferma valida in quel momento. Già pochi secondi dopo il certificato potrebbe essere revocato, sospeso, scaduto, compromesso.
3 - E' obbligatorio validare definitivamente i documenti (fimati e non) con una marca temporale che fornisce una data certa al procedimento. Tale marca temporale in genere viene applicata al momento della produzione dei supporti sostitutivi.
DUBBIO
Cosa succede e come ci si deve comportare se tra la fase di ricevimento o produzione del documento e la fase di conservazione il certificato viene
- a - revocato
- b - scade
- c - risulta non più affidabile (c.a. emittente compromessa)
va precisato che tra gli attributi di firma vi è anche la data che viene acquisita dal sistema su cui si esegue la procedura , non si tratta quindi di una data certa certificata da terzi, anche se, volendo, tramite policy di rete si può impedire agli utenti di modificare tale valore comunque rimane una data e ora attribuita dall'utente ma c'è.
A questa data si aggiunge la data propria del file che ottieniamo dal file system, ma anche questa potrebbe non essere vera. Esiste la possibilità che il file contenga anche nei metadati interni una data, infine vi è il sistema di Archiviazione , cioè quel sistema che le norme lasciano alla discrezione dei responsabili dei vari procedimenti, che a sua volta può avere altre date (anche queste attribuite arbitrarimente dall'utente)
L'unica data certa rimane quella fornita dalla marca temporale perchè rilasciata da un terza parte attraverso un procedimento certificato e riconoscibile.
