L’ordinanza della Corte di Cassazione n. 27379 depositata in data 19 settembre 2022 manifesta una persistente confusione ed impreparazione degli operatori del diritto (nel caso di specie della difesa del ricorrente) in materia di tecnologie informatiche e da l’occasione per effettuare un approfondimento sulle modalità di analisi di un duplicato informatico di un documento digitale.

Nel caso di specie si eccepiva la radicale inesistenza della sentenza notificata ai fini dei termini per l’appello in quanto mancante della “coccardina” attestante la firma del magistrato, con ciò assumendo che tale atto fosse mancante di firma ed, in ogni caso, diverso da analogo atto presente nel fascicolo informatico. Ma la copia notificata era una attestazione di conformità della sentenza e quindi il legale si era assunto la responsabilità di certificare l’identità di contenuto dell’atto e non l’identità della sequenza di bit. Insomma, una gran confusione concettuale.

Tentiamo un apporfondimento.

Sappiamo che nel PCT vengono considerati tre livelli dei documenti.

Sulla base del supporto, vengono divisi i documenti analogici (su carta) da quelli informatici (su file).

Quanto al documento informatico si distingue la copia informatica dal duplicato informatico. Riguardo a quest’ultimo, la lett. i-quinquies), dell'art. 1 del CAD - inserita dall'art. 1, comma 1, lett. c), del d.Lgs. 30 dicembre 2010, n. 235 -, nel definire il «duplicato informatico» parla di «documento informatico ottenuto mediante la memorizzazione, sullo stesso dispositivo o su dispositivi diversi, della medesima sequenza di valori binari del documento originario».

In negativo ne ricaviamo che la semplice copia informatica non rappresenta la medesima sequenza di bit ma costituisce comunque una analoga (identica) rappresentazione del contenuto sostanziale dell’atto originale.

Quando il legale certifica che l’atto digitale prodotto è una copia del documento originale, che sia quest’ultimo analogico o digitale, egli certifica che il contenuto verbale dell’atto (le parole scritte, quelle che si possono leggere quando viene aperto dall’apposito programma, ma anche le immagini, ecc.) sono le medesime parole, immagini, ecc., che sono presenti nell’atto originale.

Ovviamente il tipo di file, la sequenza di bit, non c’entra nulla e i file possono essere sostanzialmente diversi, anzi saranno senz’altro diversi.

Tornando al provvedimento in commento, ivi si legge “... come si evince dagli artt. 1 lett. i-quinques e 16-bis, co. 9-bis D.L 179/12 (codice dell’amministrazione digitale), il duplicato informatico è il documento informatico ottenuto mediante la memorizzazione, sullo stesso dispositivo o su dispositivi diversi, della medesima sequenza di valori binari del documento originario (che si misurano in bit)”.

Tuttavia aggiunge una ulteriore precisazione che va esaminata attentamente. Scrive: “... ne consegue che la corrispondenza del duplicato informatico (in ogni singolo bit) al documento originario non emerge (come, invece, nelle copie informatiche) dall’uso di segni grafici – la firma digitale è, infatti, una sottoscrizione in “bit”, una firma elettronica, il cui segno, restando nel file, è invisibile sull’atto analogico, ovvero sulla carta - ma dall’uso di programmi di algoritmi, che consentano di verificare e confrontare l’impronta del file originario con il duplicato (esattamente come affermato dalla Corte d’Appello)”.

L’osservazione è sostanzialmente corretta, salvo un legittimo dubbio sulla identità di file con o senza coccardina.

 

Come verificare il duplicato informatico del documento

Se ci si chiede come si possa verificare se l’atto prodotto come copia sia un duplicato dell’originale documento informatico, beh, la soluzione unica al quesito viene fornita, correttamente, dalla menzione poc’anzi effettuata dalla Corte, vale a dire “... dall’uso di programmi di algoritmi, che consentano di verificare e confrontare l’impronta del file originario con il duplicato”.

Esistono software che compiono l’analisi dei files andando a verificare l’identità di sequenza di bit.

Tuttavia, esiste un metodo ancora più pratico che era quello individuato a suo tempo dalla normativa che imponeva l’accompagnamento di un file contenente l’hash dell’originale.

Estrapolare un hash è il metodo più semplice a disposizione.

L’hash è una impronta univoca della sequenza di bit. Ovviamente non è la sequenza di bit (altrimenti avremmo di nuovo il file) ma un condensato univoco (elaborato attraverso sofisticati programmi) di quella sequenza di bit. L’impronta digitale del file originario.

Vediamo di seguito

1) come estrapolare un hash

2) come verificare l’identità di due file attraverso l’hash.

 

Come estrapolare un hash

Da una breve ricerca in rete si scoprirà che esistono varie tipologie di hash, dalla più semplice (che produce una impronta di pochi caratteri) a quelle più complesse (che producono impronte più lunghe, con più caratteri).

Una semplice e antica è l’hash generato dall’algoritmo MD5, che produce una impronta di 32 caratteri, mentre diffusa è SHA256 che produce una stringa di 64 caratteri (anche se va detto che non è tanto la lunghezza dell’impronta hash a dover essere considerato ma la completezza dell’algoritmo). Ai nostri fini, vale a dire l’analisi dell’identità di un banale file .pdf, possiamo dire che ogni algoritmo a disposizione va più che bene.

Abbiamo elaborato una apposito procedura in questo sito che permette di verificare l'identità di due file in modo semplice. La semplicità è data dalla possibilità di trascinare (drag and drop) i due file con il mouse, senza scrivere alcunché. Trovi questa utility in questa pagina: "Verifica duplicato informatico".

Ci si può chiedere, come mi sono chiesto, cosa cambi in un file quando si cambia la collocazione (spostando da una cartella ad un’altra) o cambiando il nome o addirittura l’estensione.

Ho fatto delle prove con i risultati che seguono:

questo è l’hash prodotto dal file originale dall’algoritmo SHA-256

16ecb202b50257de3dde5e746471087ec3e3f8953e91fc0354d8be9053628d81

 

Ho copiato il file e l’ho posto in altra cartella e ho modificato il nome. Di questo nuovo file l’impronta è la medesima:

16ecb202b50257de3dde5e746471087ec3e3f8953e91fc0354d8be9053628d81

 

Ho copiato il file originario l’ho posto in altra cartella e ho modificato sia il nome che l’estensione (da .pdf a .txt). Di questo nuovo file, ancora una volta, l’impronta è la medesima:

16ecb202b50257de3dde5e746471087ec3e3f8953e91fc0354d8be9053628d81

Cosa significa? Che il nome del file, la sua estensione e la sua collocazione, sono tutti elementi che non sono inseriti nella sequenza di bit del file stesso. Ed in effetti essi sono elementi del registro dei file del disco fisso (i file system possono essere diversi e sono solitamente FAT, HPFS o NTFS, il cui funzionamento sostanziale è lo stesso). E’ il sistema operativo che sa dove si trova il file (quella sequenza di bit) e gli da un nome.

 

Infine ho creato una copia del file con nome ed estensione identici ma, con programma che permette la modifica in esadecimale dei bit, sono andato a cambiare due caratteri all'interno del file (la modifica di 16 bit). Ne ricavo il seguente hash, completamente diverso dall'originale:
a428e23502aaa094e1bec44299a70ef2c060982897b6ea7a60fde63bc2c306fd

La cosa incredibile è che una volta aperto il file pdf (con i due caratteri modificati) con il solito reader, il file è ancora leggibile nel suo contenuto "umano". Ma non è più un duplicato!

 

Seguono prove che danno risultati significativi.

Ho firmato il file originario e raccolta l’impronta SHA-256 (firma grafica, coccardina). L’hash è molto diverso:

c2d0733e44b4dd6fb9df0ebf5f10af3656f04a183f72b964cc4f9f18bbaaefeb

La firma digitale è ovviamente contenuta nel file, e inserisce alcuni dati in una parte - verso la fine - della sequenza di bit del nostro pdf. I bit aggiunti non sono pochi e basta dare una occhiata alla dimensione del file firmato rispetto all’originale. E’ quindi chiaro che l’hash che ne risulta è diverso.

 

Ho firmato nuovamente il file originario, dopo pochi minuti. Sempre con firma grafica (coccardina) L’hash è molto diverso dalla precedente firma:

79031c30dc6b505c4341bc0b71cb605cbcc8c09a846c888093baa3c2fe2284fe

La firma registra anche l’ora (ora-minuti-secondi) e quindi i bit saranno diversi. Mi è venuto il sospetto che possa incidere anche la posizione della firma grafica. Per quanto uno tenti di essere preciso nella collocazione, non sarà mai esattamente allo stesso posto. Quindi ho fatto lo stesso esperimento con firme non grafiche. Questi i risultati.

copia dell’originale firmato con firma non grafica - senza coccardina:

a7a0248adee04e572fa829218a82ada1d640f16fb104c82d06ed51180e978fb1

 

copia dell’originale firmato con firma non grafica – senza coccardina – dopo pochi secondi:

dc2e51ffe6b1f5b9608e9ddfebd03e31fd24dc5fe75c41bd89fe909de4509545

Anche in questo caso i bit sono diversi per il cambio del tempo (data-ora-minuti-secondi) senza che incida alcuna presenza grafica della firma digitale.

 

Come verificare l’identità di due file attraverso l’hash.

Alla luce degli esperimenti illustrati è evidente che la verifica dell’identità di sequenza di bit si può fare creando l’hash del file originario, creando poi l’hash del duplicato informatico e confrontando i due hash. Se sono identici il duplicato è un vero duplicato informatico. Altrimenti potrà essere una copia informatica (da verificare andando a leggere il contenuto espresso in linguaggio umano e segni grafici).

In una notifica, il file originario da prendere a riferimento sarà quello presente nel fascicolo telematico che si dovrà scaricare in modalità duplicato informatico per poterne poi ricavarne l’hash con la procedura su indicata. E quello da verificare sarà quello allegato alla PEC di notifica.

 

Ora, se andiamo ad esaminare la motivazione data dalla Corte di Cassazione ove scrive: “... ne consegue che la corrispondenza del duplicato informatico … al documento originario non emerge … dall’uso di segni grafici … ma dall’uso di programmi di algoritmi, che consentano di verificare e confrontare l’impronta del file originario con il duplicato”, in unione con un secondo paragrafo della motivazione dove si aggiunge “l’assunto dei ricorrenti secondo cui il duplicato informatico della sentenza ... sarebbe privo delle firma digitale è frutto solo di un fraintendimento sul significato di duplicato informatico”, ricaviamo l’impressione vi sia anche qui un fraintendimento.

Duplicato e firma sono due cose diverse.

Il duplicato potrebbe essere di file non firmato. Una firma, inoltre, potrebbe essere presente nel file pdf (una sequenza di bit che costituiscono la chiave pubblica) ma in ogni caso va verificata. La verifica della firma digitale si ottiene attraverso un collegamento con la banca dati dell’autenticante (aruba – poste italiane – infocert – ecc. ) che l’ha rilasciata.

Quindi, il fatto che parte ricorrente lamenti la presenza della firma del magistrato sulla sentenza notificata non ha nulla a che fare con il fatto che si sia in presenza di un duplicato informatico.

Lascia basiti che a fronte di tante considerazioni nessuno si sia preso il disturbo di effettuare le verifiche (dell’hash dei files e della firma digitale) necessaria a risolvere in breve tempo l’arcano.

 

---------------------------------------

Di seguito il testo di

 

Corte di Cassazione Civile Sez. VI, Ordinanza n. 27379 dep. 19/09/2022