Blockchain e firma elettronica: come funziona e perché rafforza la sicurezza

Riassunto in breve:

• Definizione: la blockchain è un registro distribuito che collega blocchi di dati tramite hash crittografici, rendendoli pressoché impossibili da modificare retroattivamente.
• Differenza chiave: la firma elettronica tradizionale si basa su un prestatore di servizi fiduciari qualificato, mentre la notarizzazione blockchain si appoggia su una rete decentralizzata.
• Sicurezza: hash del documento, crittografia a chiave pubblica/privata e immutabilità della catena rafforzano la tracciabilità delle modifiche.
• Quadro UE: eIDAS riconosce firma semplice, avanzata e qualificata; dal 2024 eIDAS 2 introduce anche il servizio fiduciario dei "registri elettronici", tecnologicamente neutro.
• Quadro italiano: l'art. 8-ter del D.L. 135/2018 attribuisce alla memorizzazione su registri distribuiti gli effetti della validazione temporale elettronica, ma subordinati a standard AgID non ancora adottati.
• Uso pratico: oggi la blockchain serve più a provare l'esistenza e l'integrità di un documento che a sostituire la firma elettronica qualificata.

La blockchain è una tecnologia di registro distribuito (distributed ledger) che registra informazioni in blocchi collegati tra loro tramite funzioni crittografiche di hash. Ogni blocco contiene l'impronta digitale del blocco precedente: modificare un'informazione già registrata significherebbe dover riscrivere tutta la catena successiva su migliaia di nodi contemporaneamente, un'operazione tecnicamente molto onerosa.

Questa caratteristica rende la blockchain particolarmente interessante per tutto ciò che richiede prova di esistenza e integrità nel tempo, inclusi i documenti firmati elettronicamente.

Quando si parla di "firma elettronica su blockchain", nella maggior parte dei casi non si tratta di una firma elettronica alternativa, ma di una notarizzazione blockchain che si aggiunge al processo di firma. In pratica:

• il documento firmato viene trasformato in un hash univoco;
• l'hash (non il documento stesso) viene registrato su una blockchain;
• chiunque può verificare in seguito che il documento non sia stato alterato, confrontando il suo hash con quello registrato.

Il documento originale resta protetto: solo la sua impronta digitale è resa pubblica sulla catena.

Comprendere questa differenza è il punto di partenza per qualunque scelta tecnica o legale.

Il regolamento (UE) n. 910/2014 distingue tre livelli di firma elettronica — semplice, avanzata e qualificata — ciascuno con un diverso livello di identificazione del firmatario e di valore probatorio. L'articolo 25, paragrafo 2, precisa che solo la firma elettronica qualificata ha effetti giuridici equivalenti a quelli di una firma autografa. Puoi approfondire queste differenze nel nostro articolo dedicato alla firma elettronica semplice, avanzata e qualificata.

In Italia, l'Agenzia per l'Italia Digitale indica la firma elettronica qualificata direttamente come "firma digitale", definendola come "il risultato di una procedura informatica, detta validazione, che garantisce l'autenticità, l'integrità e il non ripudio dei documenti informatici". Più precisamente, l'articolo 1, lettera s), del Codice dell'amministrazione digitale qualifica la firma digitale come un particolare tipo di firma qualificata basata su un sistema di chiavi crittografiche asimmetriche. Il nostro approfondimento su cos'è la firma digitale spiega nel dettaglio come funziona e quando è richiesta.

La notarizzazione blockchain non identifica necessariamente chi firma: il suo obiettivo principale è provare che un documento esisteva in una certa data e non è stato modificato da allora. È quindi complementare, e non sostitutiva, rispetto a una firma elettronica qualificata.

L'hash è una stringa alfanumerica unica generata a partire dal contenuto del documento. Secondo lo standard NIST FIPS 180-4 (Secure Hash Standard), "qualsiasi modifica a un messaggio produrrà, con altissima probabilità, un digest differente". Registrare questo hash su una blockchain crea quindi una prova verificabile da chiunque, senza dover divulgare il contenuto del documento.

La sicurezza della blockchain si basa sulla crittografia asimmetrica: una chiave privata, nota solo al proprietario, permette di firmare un'operazione, mentre una chiave pubblica permette a chiunque di verificarla. Lo stesso principio è già alla base dei certificati utilizzati dai prestatori di servizi fiduciari per la firma elettronica avanzata e qualificata: non è quindi un vantaggio esclusivo della blockchain.

La "multifirma" (multi-signature) è un meccanismo che richiede il consenso di più chiavi private prima che un'operazione venga convalidata. La specifica di riferimento, BIP-11 "M-of-N Standard Transactions", descrive ad esempio uno schema di escrow a tre parti in cui servono due firme su tre per sbloccare l'operazione. Applicata ai documenti aziendali, questa logica può rafforzare i processi di approvazione che già prevedono più firmatari.

Il regolamento eIDAS resta il riferimento principale per la firma elettronica nell'Unione europea. La sua revisione, nota come eIDAS 2, introduce novità rilevanti: il nostro articolo eIDAS 2.0: una panoramica completa ripercorre questi cambiamenti e il loro impatto sulle aziende italiane.

Il punto più rilevante per chi si occupa di blockchain è però un altro. Il regolamento (UE) 2024/1183 ha ampliato il quadro giuridico europeo includendovi, accanto a firme e validazioni temporali, anche i registri elettronici, definiti come "una sequenza di registrazioni di dati elettronici che garantisce l'integrità di tali registrazioni e l'accuratezza dell'ordine cronologico di tali registrazioni". Un registro elettronico fornito da un prestatore qualificato, conforme ai requisiti dell'articolo 45 terdecies, beneficia di una presunzione legale di integrità e di corretto ordine cronologico.

Attenzione a non confondere i piani: eIDAS 2 non crea un nuovo livello di firma elettronica basato su blockchain. Crea un servizio fiduciario distinto, tecnologicamente neutro, che può essere realizzato tanto con registri centralizzati quanto con registri distribuiti.

L'Italia si è mossa prima dell'Unione europea. L'articolo 8-ter del D.L. 14 dicembre 2018, n. 135, convertito dalla legge n. 12/2019, è la norma di riferimento in materia di "tecnologie basate su registri distribuiti e smart contract". Prevede tre elementi chiave:

• una definizione legale di DLT: tecnologie che usano "un registro condiviso, distribuito, replicabile, accessibile simultaneamente, architetturalmente decentralizzato su basi crittografiche";
• una definizione di smart contract: "un programma per elaboratore che opera su tecnologie basate su registri distribuiti e la cui esecuzione vincola automaticamente due o più parti sulla base di effetti predefiniti dalle stesse";
• soprattutto, al comma 3, il principio secondo cui "la memorizzazione di un documento informatico attraverso l'uso di tecnologie basate su registri distribuiti produce gli effetti giuridici della validazione temporale elettronica" di cui all'articolo 41 del regolamento eIDAS.

Si tratta di un riconoscimento importante, ma da leggere con due cautele. La prima: l'effetto riconosciuto è quello della marcatura temporale, non della firma. La seconda, decisiva: il comma 4 subordina la produzione di questi effetti all'individuazione, da parte di AgID, degli standard tecnici che le tecnologie DLT devono possedere — standard che a oggi non risultano adottati. Lo stesso vale per i requisiti di identificazione informatica necessari affinché uno smart contract soddisfi il requisito della forma scritta.

In pratica, un'azienda italiana che vuole usare la blockchain per i propri documenti deve comunque garantire che il processo di firma principale resti conforme a eIDAS, trattando la notarizzazione blockchain come un livello di sicurezza complementare.

Alcuni settori stanno già sperimentando concretamente questa tecnologia:

• Supply chain: tracciabilità di contratti e certificati lungo tutta la catena di fornitura.
• Pubblica amministrazione: archiviazione a prova di manomissione di atti e delibere.
• Settore legale: prova dell'esistenza di un documento a una data precisa, utile in caso di controversia.
• Smart contract: esecuzione automatica di clausole contrattuali quando le condizioni predefinite sono soddisfatte.

In quasi tutti questi casi, la blockchain non sostituisce la firma elettronica: la completa. In Italia esiste anche un altro strumento di fiducia digitale con un obiettivo simile di prova e tracciabilità: la PEC (posta elettronica certificata). Come precisa AgID, "l'invio di un messaggio da una casella di PEC ad un'altra casella di PEC ha lo stesso valore legale di una tradizionale raccomandata con avviso di ricevimento": il valore legale riguarda quindi lo scambio tra due caselle PEC, non ogni invio. Il nostro articolo dedicato alla PEC spiega come funziona e quando utilizzarla.

Scegliere tra firma elettronica tradizionale e soluzioni blockchain non dovrebbe essere un compromesso tra sicurezza e semplicità d'uso. Con Youtrust, puoi beneficiare di:

• firme elettroniche semplici, avanzate e qualificate pienamente conformi a eIDAS;
• un dossier di prova dettagliato per ogni documento firmato;
• processi di verifica dell'identità integrati per rafforzare la fiducia nei firmatari;
• un'infrastruttura europea pensata per la conformità normativa di PMI ed ETI.

La blockchain offre vantaggi concreti in termini di trasparenza e immutabilità, ma presenta anche limiti importanti da conoscere prima di adottarla.

Tra i vantaggi principali: maggiore resistenza alla falsificazione, tracciabilità decentralizzata e assenza di un singolo punto di guasto. Tra i limiti: un quadro normativo ancora in costruzione, con standard tecnici attesi sia a livello europeo sia a livello italiano, complessità tecnica per le PMI e necessità di combinare comunque la blockchain con un prestatore di servizi fiduciari per ottenere pieno valore legale.

La blockchain non sostituisce la firma elettronica, né la firma digitale, conforme a eIDAS: la rafforza, aggiungendo un livello supplementare di prova e tracciabilità. Il diritto italiano la riconosce già come strumento di marcatura temporale ed eIDAS 2 le apre la strada attraverso i registri elettronici, ma in entrambi i casi mancano ancora gli standard tecnici attuativi. Per la maggior parte delle aziende italiane, la priorità resta quindi scegliere un fornitore di fiducia digitale riconosciuto, prima di valutare un livello di sicurezza blockchain complementare per i documenti più sensibili.