Ciao a tutti, tempo fa in una casella PEC che si riempiva e che veniva consultata da più utenti, ho pensato di scaricarla in pop su una casella dedicata del nostro mailserver su cui faccio regolarmente il backup. Poi ho configurato thunderbird che si connetta in IMAP a questa casella e che invii la posta utilizzando invece il mailserver della PEC. Ora mi dicono che se scarico la PEC in pop questa non è più valida nel tempo perché quando scade
il certificato (quale certificato non l'ho capito) poi l'integrità del messaggio non può più essere garantita perché appunto verificata con un certificato non valido. A me a logica non torna, a voi? Come riferimento mi dicono di cercare "archiviazione PEC" ed in effetti si trovano un sacco di aziende che si offrono di archiviarle per te sottolineando che è il solo modo
per archiviarle mantenendo la loro validità legale.
Qualcuno è ferrato sull'argomento e mi può spiegare perché le copie in locale
nel tempo non sono più valide?
Grazie
Piviul
La archiviazione PEC è una archiviazione fatta allegando al messggio
una marca temporale gestita da una parte terza che certifica che al
momento della apposizione la firma era valida.
Per il resto che lo archivi sul tuo server (purché compelto) o sul
sewrver pec null'altro cambia.
il certificato che scade è il certificato di firma.
La conservazione delle Pec a norma di legge deve avvenire a cura di
appositi *soggetti qualificati*, muniti della qualifica di
«*Conservatore*» attribuita dall’AGID dopo aver accertato il possesso
dei necessari requisiti e standard tecnici.
Di regola, i /*provider* /autorizzati ad operare in Italia per la trasmissione, ricezione e gestione delle Pec sono Conservatori
autorizzati dall’AGID e sono, pertanto, in grado di “sigillare” i messaggi Pec attribuendo loro anche la certezza sull’epoca dell’invio
o di ricezione inserendovi un’apposita *marca temporale*.
In tutti i casi, come ricorda l’AGID, «al fine di garantire l’autenticità, l’integrità, l’affidabilità, la leggibilità e la reperibilità dei documenti, i fornitori di servizi di conservazioneQuindi quand'anche la mia casella POP sia conforme ai requisiti AGID di conservazione poi però per essere valida giuridicamente dobbiamo essere certificarti ISO 27001?
devono possedere requisiti di elevato livello in termini di qualità e sicurezza in aderenza allo *standard ISO/IEC 27001* (Information
security management systems -Requirements) del sistema di gestione
della sicurezza delle informazioni nel dominio logico, fisico e
organizzativo nel quale viene realizzato il processo di conservazione
e*ISO 14721 OAIS* (Open Archival Information System – Sistema
informativo aperto per l’archiviazione), e alle *raccomandazioni ETSI
TS 101 533-1 v. 1.2.1*, Requisiti per realizzare e gestire sistemi
sicuri e affidabili per la conservazione elettronica delle
informazioni».
Si, per i documenti con valore legale il nodo è sull'integrità e l' affidabilità che devi garantire verso terzi. Perché se per uso tuo personale sono soddisfacenti non è detto che lo siano, ad esempio,
anche per un tribunale. Perciò nei casi più complessi ci vuole la
garanzia di un' entità super partes.
Già, non è gran che ma i prezzi delle PEC, per quel che ne so, sono soggetti a qualche forma di controllo politico istituzionale e i
provider comunque hanno degli obblighi di conservazione anche in caso
di eliminazione dell'account ma questo va sicuramente approfondito in
caso di necessità.
D'altra parte tutta la digitalizzazione ha dei costi che il cittadino sostiene direttamente, non fosse altro che l'acquisto dei dispositivi;
ma servono anche connessioni e tempi per l'aggiornamento culturale che
non è proprio uno spasso; e dei costi indiretti che sono la parte di
tasse che paghiamo per l'adeguamento delle infrastrutture e del
personale che deve amministrare l'amministrazione digitale. Non è
proprio la passeggiata che immaginavamo all'inizio degli anni '90.
Il giorno ven 25 lug 2025 alle ore 10:15 Piviul <piviul@riminilug.it>
ha scritto:
Il 25/07/25 08:53, Luca Alzetta ha scritto:
> Si, per i documenti con valore legale il nodo è sull'integrità e l'
> affidabilità che devi garantire verso terzi. Perché se per uso tuo
> personale sono soddisfacenti non è detto che lo siano, ad esempio,
> anche per un tribunale. Perciò nei casi più complessi ci vuole la
> garanzia di un' entità super partes.
Quindi un utente che ha una casella PEC presso un provider
configurata
in pop togliendo il flag "lascia i messaggi sul server" si ritrova
con
una pec senza valore legale (o almeno non legale dopo che sono
passati i
30 mesi di obbligo del provider di tenere i logs dei messaggi
inviati)?
Mi sembra incredibile...
Piviul
Quindi un utente che ha una casella PEC presso un provider configurata in pop togliendo il flag "lascia i messaggi sul server" si ritrova con una pec senza valore legale (o almeno non legale dopo che sono passati i 30 mesi di obbligo del provider di tenere i logs dei messaggi inviati)?
On Fri, 25 Jul 2025, Piviul wrote:ho ancora parecchi dubbi... parliamo di firma o del certificato
Quindi un utente che ha una casella PEC presso un provider
configurata in pop togliendo il flag "lascia i messaggi sul server"
si ritrova con una pec senza valore legale (o almeno non legale dopo
che sono passati i 30 mesi di obbligo del provider di tenere i logs
dei messaggi inviati)?
Il problema è di tipo diverso: la firma del provider come tutte le
firme digitali non è valida all'infinito ma ha una scadenza,
tipicamante questa
scadenza è di 3 anni. e questa scade comunque, dovunque sia il documento. Quello che vogliono venderti, a pagamento è la marca temporale, che è
un tipo di controfirma che da una parte valida anche il momento in cui
vien apposta e dall'altro usa un certificato di livello superiore,. conservato da più oraganizzazioni, di durata di 20 anni.
Una volta che il file è marcato temporalmente (e nella marca sono
indicate anche le verifiche di validità delle firme) acquista la
validità maggiore, dovunque si trovi.
On Fri, 25 Jul 2025, Piviul wrote:
Quindi un utente che ha una casella PEC presso un provider
configurata in pop togliendo il flag "lascia i messaggi sul server"
si ritrova con una pec senza valore legale (o almeno non legale dopo
che sono passati i 30 mesi di obbligo del provider di tenere i logs
dei messaggi inviati)?
Il problema è di tipo diverso: la firma del provider come tutte le
firme digitali non è valida all'infinito ma ha una scadenza,
tipicamante questa
scadenza è di 3 anni. e questa scade comunque, dovunque sia il documento.
Quello che vogliono venderti, a pagamento è la marca temporale, che è
un tipo di controfirma che da una parte valida anche il momento in cui
vien apposta e dall'altro usa un certificato di livello superiore,. conservato da più oraganizzazioni, di durata di 20 anni.
Una volta che il file è marcato temporalmente (e nella marca sono
indicate anche le verifiche di validità delle firme) acquista la
validità maggiore, dovunque si trovi.
Leonardo BoselliLuciano
Firenze, Toscana, Europa
http://i.trail.it
Qualcuno è ferrato sull'argomento e mi può spiegare perché le copie in locale nel tempo non sono più valide?
Il 25/07/2025 22:38, Leonardo Boselli ha scritto:A questo punto sono ancora più confuso. Quindi dov'è l'inghippo, perché
On Fri, 25 Jul 2025, Piviul wrote:
Quindi un utente che ha una casella PEC presso un provider
configurata in pop togliendo il flag "lascia i messaggi sul server"
si ritrova con una pec senza valore legale (o almeno non legale dopo
che sono passati i 30 mesi di obbligo del provider di tenere i logs
dei messaggi inviati)?
Il problema è di tipo diverso: la firma del provider come tutte le
firme digitali non è valida all'infinito ma ha una scadenza,
tipicamante questa
scadenza è di 3 anni. e questa scade comunque, dovunque sia il
documento.
Hmmm... per questo non saprei. I tre anni dal rilascio dovrebbero
essere il periodo in cui certificati sono idonei a firmare, poi
scadono e se non ne ottieni di nuovi non puoi firmare più niente. Ma i documenti, firmati con quei certificati, contengono comunque una firma
che, al momento in cui cui è stata apposta, era perfettamente valida e quindi non credo possano essere disconosciuti.
Infatti, se vado a verificare alcuni documenti firmati nel 2021,
ottengo le seguenti informazioni:
1) Fima di "Nome Firmatario". Certificato del firmatario scaduto.
Verifica firma alla data di apposizione 22/12/2021 22:12:20
2) Firmato da "Nome Firmatario" La firma è stata verificata
corretamente. Verifica della firma effettuata in data 22/12/2021 22:12:20
E. ovviamente, contengono anche la data della firma in quanto la firma apposta senza una data certa, o comunque accertabile, non crerdo sia
valida, secondo il Codice civile.
Quello che vogliono venderti, a pagamento è la marca temporale, che è
un tipo di controfirma che da una parte valida anche il momento in
cui vien apposta e dall'altro usa un certificato di livello
superiore,. conservato da più oraganizzazioni, di durata di 20 anni.
Una volta che il file è marcato temporalmente (e nella marca sono
indicate anche le verifiche di validità delle firme) acquista la
validità maggiore, dovunque si trovi.
La Pec è stata introdotta nel 2005 e quindi sarebbero a 20 anni. Le
vecchie Pec, in qualsiasi modo siano marcate, dovrebbero iniziare, progressivamente, a perdere di validità. Possibile?
2) Firmato da "Nome Firmatario" La firma è stata verificata corretamente. >> Verifica della firma effettuata in data 22/12/2021 22:12:20>
E. ovviamente, contengono anche la data della firma in quanto la firma
apposta senza una data certa, o comunque accertabile, non crerdo sia
valida, secondo il Codice civile.
La Pec è stata introdotta nel 2005 e quindi sarebbero a 20 anni. Le vecchie >> Pec, in qualsiasi modo siano marcate, dovrebbero iniziare,
progressivamente, a perdere di validità. Possibile?
A questo punto sono ancora più confuso. Quindi dov'è l'inghippo, perché una
copia POP della mia casella PEC dovrebbe invalidarsi legalmente nel tempo? Forse perché la marca temporale in realtà noi non l'abbiamo e la possiede solo colui che ce la conserva?
Mandi! PiviulE come? Perché un documento firmato con un certificato scaduto potrebbe
In chel di` si favelave...
Qualcuno è ferrato sull'argomento e mi può spiegare perché le copie inIANAL.
locale nel tempo non sono più valide?
A quanto ho capito il sistema (che, rammento, è una invenzione tutta italiana...) funziona con certificati che hanno una durata di tre anni, ovvero la durata consigliata normalmente per i certificati.
A quanto ho capito, durante una causa legale qualcuno ha giustamente fatto notare che una ricevuta firmata con un certificato più vecchio di tre anni, potrebbe essere stata falsificata.
I fornitori hanno quindi:A che pro?
1) iniziato a rinnovare i certificati con una finestra più breve, per
limitare i periodi finestra; quindi AFAIK rinnovano il certificato ogni
3 mesi, sempre di durata di 3 anni.
[...]Uno strano mondo quello della giurisprudenza...
sempre e solo IANAL.
On Sat, 26 Jul 2025, Piviul wrote:Il processo di verifica di un documento digitalmente firmato mi comunica
2) Firmato da "Nome Firmatario" La firma è stata verificata
corretamente. Verifica della firma effettuata in data 22/12/2021
22:12:20> E. ovviamente, contengono anche la data della firma in
quanto la firma apposta senza una data certa, o comunque
accertabile, non crerdo sia valida, secondo il Codice civile.
l'inghippo è qui: come fai a essere certo della data in cui è stata
apposta la firma, se non sulla dichiarazione del firmatario ?
Da qui la marca temporale dove una terza parte certifica che un certo documento esisteva in una certa data (ma non può ovviamante
certificare da quanto esistesse)
La Pec è stata introdotta nel 2005 e quindi sarebbero a 20 anni. Le
vecchie Pec, in qualsiasi modo siano marcate, dovrebbero iniziare,
progressivamente, a perdere di validità. Possibile?
i 20 anni sono perché è il termine di prescrizione generale.
A questo punto sono ancora più confuso. Quindi dov'è l'inghippo,
perché una copia POP della mia casella PEC dovrebbe invalidarsi
legalmente nel tempo? Forse perché la marca temporale in realtà noi
non l'abbiamo e la possiede solo colui che ce la conserva?
no, la marca è allegata al documento.
questa che la copia del documento diventi non valida nel temposa
seconda dio voe è conservata mi viene uova. peraltro, tranne casi particolari la PEC non certifica la autenticità del documento ma solo
che è statao trasferito da una casella a un altra.
Il documento in se deve essere firmato digitalmente. in modo autonomo.
--
Leonardo Boselli
Firenze, Toscana, Europa
http://i.trail.it
On 25/07/25 13:31, Marco Gaiarin wrote:+1
Mandi! PiviulE come? Perché un documento firmato con un certificato scaduto (ma
In chel di` si favelave...
Qualcuno è ferrato sull'argomento e mi può spiegare perché le copie in >>> locale nel tempo non sono più valide?IANAL.
A quanto ho capito il sistema (che, rammento, è una invenzione tutta
italiana...) funziona con certificati che hanno una durata di tre anni,
ovvero la durata consigliata normalmente per i certificati.
A quanto ho capito, durante una causa legale qualcuno ha giustamente fatto >> notare che una ricevuta firmata con un certificato più vecchio di tre anni, >> potrebbe essere stata falsificata.
all'epoca valido) potrebbe essere stato falsificato? L'unico motivo
che mi viene in mente è che non si riesca con certezza a dimostrare
che quel certificato pubblico era proprio il certificato valido del firmatario in quella data, che non si tenga memoria della catena dei certificati pubblici validi del soggetto firmatario... una motivazione
un po' debole. Poi questo implicherebbe che un qualsiasi documento
firmato digitalmente da un certificato scaduto non sarebbe più valido. Questo sarebbe un vulnus che invaliderebbe tutta la firma digitale e
non solo la conservazione di messaggi PEC.
Che significa ogni tre mesi di durata di tre anni? Come fa unI fornitori hanno quindi:
1) iniziato a rinnovare i certificati con una finestra più breve, per
limitare i periodi finestra; quindi AFAIK rinnovano il certificato ogni >> 3 mesi, sempre di durata di 3 anni.
A che pro?
[...]Uno strano mondo quello della giurisprudenza...
sempre e solo IANAL.
Piviul
l'inghippo è qui: come fai a essere certo della data in cui è stata appostaIl processo di verifica di un documento digitalmente firmato mi comunica se la firma era valida all'epoca in cui è stata apposta e la data in cui è stata
la firma, se non sulla dichiarazione del firmatario ?
Da qui la marca temporale dove una terza parte certifica che un certo
documento esisteva in una certa data (ma non può ovviamante certificare da >> quanto esistesse)
apposta.
E come? Perché un documento firmato con un certificato scaduto potrebbe essere stato falsificato?
Mandi! Piviul
In chel di` si favelave...
E come? Perché un documento firmato con un certificato scaduto potrebbePerchè è computazionalmente possibile in tre anni (per brute force) ricavare
essere stato falsificato?
la chiave privata da quella pubblica. O meglio, non è escluso a priori, che per la legge significa che è possibile. ;-)
Quindi una volta ottenuto chiave privata e pubblica, possiamo fare quello
che vogliamo, compreso firmare oggi un documento come se fosse stato firmato tre anni fa...
Mandi! Piviulse fosse così tutte le firme elettroniche perderebbero la validità
In chel di` si favelave...
E come? Perché un documento firmato con un certificato scaduto potrebbePerchè è computazionalmente possibile in tre anni (per brute force) ricavare
essere stato falsificato?
la chiave privata da quella pubblica. O meglio, non è escluso a priori, che per la legge significa che è possibile. ;-)
Ogni certificato ha una scadenza anche perché, nel tempo, la chiave
segreta potrebbe venire compromessa.
Scenario "in un prossimo futuro": hai una PEC con la sua bella firma e
devi dimostrare che non ha subito alterazioni. Però il certificato
della chiave che la ha firmata è scaduto 5 anni fa. Nell'ultimo anno è diventato possibile crackare la chiave relativa a quel certificato. =>
La firma sulla PEC è inutile, in quanto non puoi convincere "nessuno"
che la firma non è stata apposta nell'ultimo anno.
Ora aggiungi un dettaglio: quando hai salvato la PEC (con la sua
firma) hai ottenuto anche una seconda "certificazione" con marca
temporale, e questa è tutt'ora valida => la PEC ha valore legale.
Quando poi si avvicina la scadenza del certificato della marca
temporale, puoi ripetere il gioco con una nuova marca temporale e così
via, creando una chain-of-trust. La cosa bella è che puoi anche usare
la marca temporale per "certificare" un intero archivio (p.e. tutte le
PEC di un anno).
se fosse così tutte le firme elettroniche perderebbero la validità legale seE come? Perché un documento firmato con un certificato scaduto potrebbe >>> essere stato falsificato?Perchè è computazionalmente possibile in tre anni (per brute force)
ricavare la chiave privata da quella pubblica. O meglio, non è escluso
a priori, che per la legge significa che è possibile. ;-)
non rinfrescate con una nuova firma ad ogni rinnovo del certificato... non ne ho mai sentito parlare.
Bah, non capisco proprio
Piviul
| Sysop: | Keyop |
|---|---|
| Location: | Huddersfield, West Yorkshire, UK |
| Users: | 546 |
| Nodes: | 16 (0 / 16) |
| Uptime: | 166:45:53 |
| Calls: | 10,385 |
| Calls today: | 2 |
| Files: | 14,057 |
| Messages: | 6,416,529 |
![https://s-install.avcdn.net/ipm/preview/icons/icon-envelope-tick-round-orange-animated-no-repeat-v1.gif"](https://s-install.avcdn.net/ipm/preview/icons/icon-envelope-tick-round-orange-animated-no-repeat-v1.gif"){kind=link}