Email e posta certificata

Un messaggio di posta porta scritto dentro di sé quasi tutto il percorso che ha fatto. È la ragione per cui, fra le prove digitali, è una delle poche che può reggere da sola — a condizione di averla acquisita nella forma giusta e di saperla leggere.

Il messaggio non è quello che si vede

Ciò che un programma di posta mostra — mittente, oggetto, data — è la parte cosmetica. Sotto c'è il messaggio vero, un file di testo che contiene decine di righe di intestazione aggiunte da ciascun sistema che lo ha maneggiato. Il campo «Da:» è fra le più facili da falsificare: è scritto da chi spedisce, esattamente come il mittente sul retro di una busta.

Le righe che contano sono altre, e la prima conseguenza pratica è procedurale: un'email stampata o inoltrata perde tutto questo. Se il messaggio serve come prova va conservato ed esportato nel suo formato originale, con le intestazioni integre. Un inoltro non è il messaggio: è un nuovo messaggio che ne cita il testo.

Che cosa si legge negli header

Il percorso

Ogni server che riceve il messaggio aggiunge in cima una riga Received con il proprio nome, l'indirizzo di chi glielo ha consegnato e l'ora. Leggendole dal basso verso l'alto si ricostruisce il tragitto. Va tenuto presente che ciascuna riga è affidabile quanto lo è il server che l'ha scritta: le righe aggiunte dai sistemi del destinatario sono attendibili, quelle più «in basso» possono essere state fabbricate insieme al resto del messaggio. Distinguere le une dalle altre è il cuore dell'analisi.

Le verifiche del mittente

Tre meccanismi, oggi diffusi su quasi tutti i domini seri, lasciano tracce verificabili nelle intestazioni.

• SPF dichiara nel DNS del dominio quali server sono autorizzati a spedire per suo conto. Il server ricevente registra l'esito del controllo. Un esito negativo su un messaggio che dice di provenire da quel dominio è un elemento di sospetto rilevante.
• DKIM è una firma crittografica apposta dal server mittente su una porzione definita del messaggio. È l'elemento più forte: se la firma verifica, quel contenuto è transitato per un server autorizzato da quel dominio e non è stato alterato nelle parti coperte. Se non verifica, o il messaggio è stato modificato, o la firma non c'era.
• DMARC lega i due precedenti al dominio visibile all'utente e dice al ricevente che cosa fare quando non tornano.

Attenzione a un limite che viene spesso trascurato: la verifica di DKIM si può rifare anche a distanza di tempo, ma solo finché il dominio pubblica la chiave con cui è stata apposta. Le chiavi vengono ruotate, e i domini cambiano gestione: una firma non verificabile oggi non prova che il messaggio sia falso. È un'altra ragione per acquisire presto.

La posta elettronica certificata

La PEC è un sistema diverso e va trattato con le sue regole. Il valore probatorio non sta nel messaggio ma nelle ricevute che i gestori generano e firmano: la ricevuta di accettazione, che attesta che il gestore del mittente ha preso in carico il messaggio, e la ricevuta di consegna, che attesta che il messaggio è stato depositato nella casella del destinatario.

Le distinzioni che contano nella pratica:

• La consegna attesta il deposito nella casella, non la lettura da parte del destinatario. È un punto che ricorre nelle eccezioni sulle notifiche.
• Le ricevute sono firmate dal gestore: la loro firma è verificabile, e la verifica è la prima cosa da fare quando l'autenticità è contestata.
• Una PEC che scrive a una casella ordinaria perde le garanzie sul versante del destinatario; il contrario, allo stesso modo.
• Il messaggio originale viaggia allegato alla busta di trasporto: è da lì che va estratto per l'analisi, non dalla visualizzazione del client.

Il quadro normativo è dato dal d.P.R. 68 del 2005 e dal Codice dell'amministrazione digitale, e va tenuto presente che il sistema sta evolvendo verso il modello europeo dei recapiti certificati previsto dal regolamento eIDAS.

Le domande a cui rispondo

• Questo messaggio è stato spedito dal dominio da cui dice di provenire?
• Il contenuto è quello originale o è stato modificato dopo la spedizione?
• La data indicata è compatibile con le marche temporali dei server attraversati?
• La ricevuta di consegna è autentica e a quale messaggio si riferisce esattamente?
• L'allegato è quello che è stato realmente spedito?

Approfondimento: come si contesta l'autenticità di una email →