Come certificare la data di un file a fini legali?

ant · 2024-12-29T21:00:26+00:00

Scrivo qui perché siete esperti e sempre disponibili alle risposte. Mi trovo a dover certificare la creazione di un file che mi servirà per motivi legali. Ho...

mark129

dueeventi no quella sentenza non dice che la pec può sostituire la firma digitale ma solo che chi l'ha ricevuta non può far finta di essere caduto dal pero.

Primo, è un'ordinanza e vabbe', non ciurliamo nel manico ma l'eccezione sollevata verteva sul fatto che Il documento allegato alla PEC dovesse necessariamente rivestire determinate forme per produrre determinati effetti. Trasponendo nel nostro caso, che avesse un formato con data certa che provasse l'adempimento dell'obbligazione.
Gli ermellini (per fare l'avvocato di provincia pomposo) hanno dichiarato che in ambito stragiudiziale (fuori dal processo) non era necessario che rivestisse le forme particolari ex D.lgs 82/05 (per cui un allegato non firmato era valido) perché il contenuto era genuino (non contestato) e riferibile alla parte (funzione svolta dalla PEC).
E siccome ant non è in tribunale lo stesso può dirsi per lui.
Ora, se non ti dispiace, l'accanno qui, che mettermi a lavorare il 30/12 alle 00:06 anche no.

dueeventi

mark129 E siccome ant non è in tribunale lo stesso può dirsi per lui.

si ma a lui credo che gli interessi di avere qualcosa di valido da impugnare se la cosa gli gira male... tanto che a parole il suo cliente gli farà storie comunque già lo sa.

Lorenzo1635 vengono cacciati dentro in base64

Per quanto ne so fino ad ora la versione universalmente accettata è che la pec non è sostituta della firma digitale e i documenti allegati non sono validati dalla stessa. Quindi se gli allega il file degli hash - pure se è un semplice file di testo gli può venire contestato in sede di giudizio. L'unica cosa che è incontestabile con una pec - al pari della vecchia raccomandata, a dirla tutta - è scrivere i valori nel corpo del messaggio, così come le raccomandate AR andrebbero mandate, appunto, alla francese.

rikyxxx

Avete ragione ovviamente, il file di testo che contiene l'hash non ha nulla più dell'hash stesso.

Non ci ho pensato, è tardi e la discussione è frenetica, un po' di comprensione 🙂

TJL73

rikyxxx

Sto crollando anch'io, tranquillo.

Ad esempio, con 7-Zip, con due click, puoi ottenere facilmente qualcosa del genere:

Nome: LibreOffice_24.8.4_Win_x86-64.msi
Dimensione: 363819008 byte : 346 MiB
CRC32: 8736DD78
CRC64: 7AEBA3927BA57BA3
SHA256: 76def06f2a8ecd5803dfbc63995e3963ae46b85e8c1c917541dedab81bd78169
SHA1: 9b6de48dfa9d50d0686fa82889547bd1b9002dee
BLAKE2sp: 6abaaa48b60eebabd87ebfa86148efedd4f34b1bad5e1da07e9c2d2aa830eefa
MD5: e7b40366e01f072bb5de899b708c9919
XXH64: 845F24D070E9CBD5
SHA384: 6f8735928af6d5c4d90a81c211ed5df0997226def23c17cef7af11113440cbb20b4386b603d5ee735521445ba932204f
SHA512: 859d5d69c6df103bf9ce39646766c3974bf9e6c5241feb0ea64c699dd4b0875ee17ba752bd11095ab4cfe99076dd35fe2ffe8356b186bf9fcad224039548ac10
SHA3-256: e19545b1c03d371fe6d10edd2c83c8dcfb063b4f8d4f9189f849738ef9919b1b

Solo e unicamente quel file binario, può generare quel risultato. Un solo bit di differenza e si ottiene un output completamente differente.

rikyxxx E' il modo in cui (per esempio) le immagini delle distro Linux vengono distribuite, non c'è da inventare nulla.

Esattamente e non solo. Insieme alla crittografia asimmetrica, è la base della firma digitale.

mark129

dueeventi si ma a lui credo che gli interessi di avere qualcosa di valido da impugnare se la cosa gli gira male...

Lo so che non è semplicissimo da accettare ma ce l'ha.
Una volta ci si automandava una raccomandata oggi puoi automandarti una PEC.

dueeventi

TJL73 Esattamente e non solo. Insieme alla crittografia asimmetrica, è la base della firma digitale.

ma non fu nel 2015 che mint venne hackerata e se ne accorsero dopo qualche settimana che oltre alle immagini avevano alterato le firme? non lo prenderei come esempio di meccanismo efficace.

rikyxxx ma secondo me è più importante far capire al cliente che @ant può provare che il lavoro è stato fatto entro i termini.

assolutamente si, ma non è mai bello bluffare.

rikyxxx

Comunque qui ragioniamo già in "ottica tribunale", ma secondo me è più importante far capire al cliente che @ant può provare che il lavoro è stato fatto entro i termini.

E secondo me il suddetto cliente la parola "hash" non la capisce, ma capisce se gli viene detto che c'è un video "provante" caricato su una piattaforma prima del 31/12/24.

Ovviamente un video PRIVATO.
O ancora meglio protetto da password (VIMEO ha questa funzionalità), così il cliente stesso la parola pubblicazione non può nemmeno nominarla...

dueeventi

rikyxxx E secondo me il suddetto cliente la parola "hash" non la capisce, ma capisce se gli viene detto che c'è un video "provante" caricato su una piattaforma prima del 31/12/24.

l'una non esclude l'altra. Prima si organizza per essere inattaccabile poi pubblica uppa il video su piattaforma, video privato e lo fa pure vedere al cliente.

rikyxxx

dueeventi assolutamente si, ma non è mai bello bluffare.

Perchè bluffare?
Nulla vieta ad @ant caricare il video e al contempo di avere l'hash 🙂

TJL73

dueeventi

Non conosco i dettagli dell'evento (~~e si è fatto troppo tardi per andarmeli a spulciare ora~~ 😣 e niente è stato più forte di me: dice esattamente che, proprio grazie alla verifica degli hash, era possibile capire se era stata scaricata una ISO originale o hackerata), ma crittograficamente parlando, solo un input può produrre un determinato hash (a meno di collisioni). Cosa sia avvenuto nel dettaglio con Mint, non saprei, ma ci sarà sicuramente stata una sostituzione sia dei binari che degli hash. Per questo, oggi si utilizza la firma digitale dei binari tramite PGP. Per poterla contraffare, oltre alla sostituzione dei binari bisogna anche entrare in possesso delle chiavi private. In quel caso, la pastorizia è la corretta destinazione.

Solo quel file degli hash di prima, è verificato da questa firma PGP (apposta dal "LibreOffice Build Team"):

Premi per mostrare Premi per nascondere

00db Masterizza un cd non riscrivibile.

Mancherebbe comunque un timestamp certificato.

00db

Masterizza un cd non riscrivibile.

rikyxxx

TJL73 Mancherebbe comunque un timestamp certificato.

Fa una foto del CD con a fianco la prima pagina di un quotidiano, come negli anni '70 🤪

Ovviamente scherzo.

dueeventi

TJL73 Non conosco i dettagli dell'evento

molto sinteticamente: venne installato un trojan nelle iso di mint e per non farsi beccare vennero pure sostituiti i files con i vari hash, file che come ben sai sono dei semplici file di testo buttati li. Siccome poi il mirroring è automatico una buona fetta di mirror si ritrovarono con le iso corrotte e i files contraffatti e questo successe perché pensavano che nessuno sarebbe riuscito a corrompere anche i files degli hash. Sostanzialmente se ne accorsero perché ci furono dei mirror che non vennero sincronizzati. La notizia fece abbastanza scalpore proprio perché nessuno riteneva possibile potesse succedere una cosa simile.

TJL73 ma crittograficamente parlando, solo un input può produrre un determinato hash

NI perché lo sai meglio di me com'è la storia - vedi la battuta che ho fatto prima sull'attacco del compleanno. Non credo comunque che ant sarà l'eccezione che manderà a rotoli gli ultimi 40 anni di crittografia. A quella ci penseranno i computer quantistici tra 30-50 anni.

TJL73 Mancherebbe comunque un timestamp certificato.

usiamo l'apposito pennarello per scrivere sui CD

mark129 Legalmente non è tenuto ad altro e qualunque contestazione sull'esistenza, la genuinità, la data la deve poi provare l'altra parte.

Legalmente parlando l'altra parte non dovrebbe nemmeno rompere le palle più di tanto e pagare il lavoro senza tante storie eppure se la cosa degenera è interesse della parte chiamata in causa far si che il fuoco si spenga prima che divampi - le spese processuali le paga la parte soccombente ma il tempo perso e le gastriti non hanno prezzo.

00db

TJL73 Mancherebbe comunque un timestamp certificato.

Non basta la data ed il nome del file?

mark129

Quanto avete voglia di cazzeggiare eh? Complicare il pane non serve.
Non è una questione principalmente tecnica ma principalmente legale perché all'OP in questo caso basta certificare che in un dato momento del tempo un determinato contenuto esiste ed è a lui riferibile.
Può firmare e marcare il file, può mandare una PEC, può fare entrambe le cose.
Alla peggio può depositare un CD da un notaio.
Legalmente non è tenuto ad altro e qualunque contestazione sull'esistenza, la genuinità, la data la deve poi provare l'altra parte.

TJL73

mark129 Non è una questione principalmente tecnica ma principalmente legale

Eh, ma io che non sono un legale, la affronto dal punto di vista tecnico.
La parte legale, poi, è compito tuo. 😜😜

mark129

dueeventi il tempo perso e le gastriti non hanno prezzo

Non è una cosa sotto il nostro controllo (in questo caso, dell'OP).

TJL73

dueeventi molto sinteticamente

Ho aggiornato il mio post precedente.

PGP rulez! 🤟🏽😎

dueeventi

mark129 Non è una cosa sotto il nostro controllo (in questo caso, dell'OP).

Non sono d'accordo: io - anche per rispetto nei confronti del mio legale - bisogna che mi metta nelle condizioni di dimostrare, con la minore fatica possibile da parte sua, che ho ottemperato al contratto. Non mi è mai capitato di arrivare in sede di giudizio ma abbiamo sempre fatto così e per ora ci è sempre andata bene. Insomma purtroppo lo sappiamo tutti che dal punto di vista dell'informatica forense la giurisprudenza non è esattamente un fulmine quando ci sono delle novità.

mark129

dueeventi

Pure quello non è sotto il nostro controllo.

Di recente a novembre ho subito lo smacco di una soccombenza: ci si è dovuti appellare perché un giudice di Torino ha ritenuto valida una PEC inviata MA SENZA la ricevuta di avvenuta consegna (avevano sbagliato il destinatario, l'indirizzo era inesistente per cui niente attestazione di consegna).

Vedi un po' tu se è possibile fare quello che pretenderesti...

dueeventi

mark129 Pure quello non è sotto il nostro controllo.

si lo so che può succedere anche questo - un mio conoscente, in bici, è stato investito da una macchina e nonostante il referto l'automobilista è stato assolto, credo sia l'unico caso in italia.

Però non dipendeva da te, noi qui stiamo consigliando metodi sicuramente corretti ma che comunque escono un pochino fuori dal sentiero: che bisogno c'era di inventare le marche temporali se basta usare una PEC + un qualunque programma che calcoli MD5-sum e SHA vari? o meglio: perché in caso di rogne non facilitare la cosa al mio avvocato? ovviamente nei limiti in cui mi è possibile farlo?

mark129

dueeventi che bisogno c'era di inventare le marche temporali se basta usare una PEC + un qualunque programma che calcoli MD5-sum e SHA vari?

Per tanti motivi che rispondono a bisogni / utilizzi / intensità diversi (non sono un crittografo ma con una firma / marca temporale tu garantisci anche che il contenuto non sia stato alterato da quando è stato creato, che non è l'utilizzo dell'OP) e non trascurerei, in ambito burocratico - legale, la tendenza agli svolazzi formali.
Se un cliente artatamente non paga, non devi fargli comunque causa per farti pagare? Ed in quel giudizio, tu cliente in malafede, riusciresti a provare che una casella PEC è stata manomessa perché faccia risultare di avere inviato o ricevuto qualcosa che originariamente non c'era?

« Pagina precedente Pagina successiva »

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈 🇵🇸
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile