PDF, firme digitali e marche temporali

1. Avvertenza preliminare

Le procedure descritte in questo capitolo devono essere eseguite solo su documenti PDF, file firmati, allegati, PEC, email, supporti, backup o archivi ricevuti lecitamente, con incarico professionale, autorizzazione dell’avente diritto, richiesta del cliente, incarico difensivo, aziendale o tecnico-peritale.

Questo capitolo non fornisce consulenza legale e non sostituisce il lavoro dell’avvocato. Il compito del perito informatico è tecnico: acquisire, conservare, verificare, documentare e spiegare gli elementi digitali del documento.

Questo capitolo non fornisce istruzioni per:

[ ] falsificare PDF;
[ ] alterare firme digitali;
[ ] rimuovere firme;
[ ] generare documenti falsi;
[ ] aggirare validazioni;
[ ] modificare ricevute o allegati;
[ ] creare firme simulate;
[ ] manipolare metadati per ingannare;
[ ] sostituire allegati PEC;
[ ] violare caselle email o PEC;
[ ] usare file firmati di terzi senza autorizzazione.

La regola fondamentale è:

2. Perché i PDF sono così importanti nelle perizie informatiche?

Il PDF è uno dei formati più usati in ambito professionale, giudiziario, commerciale, amministrativo e aziendale.

In una perizia informatica a Roma, un PDF può riguardare:

[ ] contratti;
[ ] diffide;
[ ] fatture;
[ ] ricevute;
[ ] documenti allegati a PEC;
[ ] relazioni tecniche;
[ ] preventivi;
[ ] ordini;
[ ] procure;
[ ] deleghe;
[ ] copie di documenti d’identità;
[ ] verbali;
[ ] comunicazioni aziendali;
[ ] scansioni;
[ ] documenti firmati digitalmente;
[ ] documenti marcati temporalmente;
[ ] PDF prodotti in giudizio;
[ ] allegati email;
[ ] allegati WhatsApp, Telegram o Signal;
[ ] documenti scaricati da cloud.

Il problema è che un PDF può essere:

[ ] originale;
[ ] copiato;
[ ] stampato e riscansionato;
[ ] firmato digitalmente;
[ ] firmato in formato PAdES;
[ ] firmato in formato CAdES come .p7m;
[ ] marcato temporalmente;
[ ] modificato dopo la firma;
[ ] esportato da Word;
[ ] generato da scanner;
[ ] creato da app mobile;
[ ] compresso;
[ ] alterato;
[ ] contenente allegati;
[ ] contenente JavaScript;
[ ] contenente moduli;
[ ] contenente immagini;
[ ] conforme o non conforme a PDF/A;
[ ] apparentemente identico ad altro file ma tecnicamente diverso.

Per questo il PDF deve essere trattato come documento informatico strutturato, non come semplice “foglio digitale”.

3. Documento informatico, firma digitale e valore tecnico

Il Codice dell’Amministrazione Digitale stabilisce che il documento informatico soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’art. 2702 c.c. quando vi è apposta una firma digitale, una firma elettronica qualificata, una firma elettronica avanzata o quando è formato con processo avente requisiti AgID tali da garantire sicurezza, integrità, immodificabilità e riconducibilità all’autore. Approfondisci nel CAD, art. 20.

In ambito europeo, l’art. 25 del Regolamento eIDAS prevede che una firma elettronica non possa essere privata di effetti giuridici e ammissibilità come prova solo perché è elettronica, e che una firma elettronica qualificata abbia effetto giuridico equivalente a una firma autografa. Consulta eIDAS, art. 25.

Il perito informatico non deve però trasformare questi riferimenti in promesse. La formula corretta è:

La verifica tecnica della firma digitale riguarda integrità, certificato, stato della firma, eventuale marca temporale, formato e output degli strumenti di verifica. La valutazione giuridica finale resta distinta dall’analisi tecnica.

4. Tipi di documenti che il cliente può consegnare

Quando un cliente arriva allo Studio Quaranta a Roma con “un PDF”, il perito deve prima capire che cosa ha davvero in mano.

4.1 Possibili materiali consegnati

[ ] file PDF semplice;
[ ] PDF firmato PAdES;
[ ] PDF.p7m firmato CAdES;
[ ] file .p7m contenente PDF;
[ ] file PDF con marca temporale;
[ ] file .tsd;
[ ] file .tsr;
[ ] file PDF/A;
[ ] PDF allegato a PEC;
[ ] PDF allegato a email ordinaria;
[ ] PDF scaricato da cloud;
[ ] PDF ricevuto via WhatsApp;
[ ] PDF ricevuto via Telegram o Signal;
[ ] stampa cartacea di un PDF;
[ ] screenshot di un PDF;
[ ] PDF ottenuto da scansione;
[ ] PDF esportato da Word;
[ ] PDF modificato da software di editing;
[ ] PDF con firma grafica/incollata;
[ ] PDF con firma digitale vera;
[ ] report di verifica firma;
[ ] file firmato e file estratto separatamente.

4.2 Tabella di valore tecnico iniziale

5. Differenza tra firma grafica, firma elettronica e firma digitale

Molti clienti confondono “firma” con “immagine della firma”.

5.1 Firma grafica incollata

È una firma visibile come immagine dentro il PDF.

Esempio:

una scansione della firma autografa incollata in fondo al PDF

Dal punto di vista tecnico:

[ ] non è automaticamente firma digitale;
[ ] non contiene certificato;
[ ] non contiene verifica crittografica;
[ ] può essere copiata;
[ ] può essere incorporata come immagine;
[ ] va trattata come elemento visivo.

5.2 Firma digitale

È una firma basata su certificato e meccanismi crittografici, verificabile con software dedicati.

Può essere:

[ ] PAdES, se incorporata nel PDF;
[ ] CAdES, se produce file .p7m;
[ ] XAdES, se applicata a documenti XML;
[ ] associata a marca temporale;
[ ] qualificata o non qualificata secondo contesto e certificato.

5.3 Formula tecnica

La presenza di una firma grafica visibile sul documento non equivale alla presenza di una firma digitale verificabile. La verifica tecnica richiede esame del file, del certificato, del formato di firma e dell’esito degli strumenti di validazione.

6. PAdES, CAdES e XAdES: differenze operative

6.1 PAdES

PAdES è il formato di firma digitale usato per i PDF. Lo standard ETSI EN 319 142-1 specifica le firme digitali PAdES, costruite sulle firme PDF e con profili baseline per interoperabilità e validità nel tempo. Consulta ETSI EN 319 142-1.

Nel caso pratico:

documento.pdf

Il PDF rimane PDF e la firma è incorporata nel documento.

6.2 CAdES

CAdES è usato spesso in Italia per i file .p7m. Lo standard ETSI EN 319 122-1 specifica i formati CAdES baseline signatures per casi d’uso business e governativi, con livelli progressivi di requisiti. Consulta ETSI EN 319 122-1.

Nel caso pratico:

documento.pdf.p7m

Il documento originale viene racchiuso in un contenitore firmato.

6.3 XAdES

XAdES riguarda firme digitali XML. Lo standard ETSI EN 319 132-1 specifica firme XAdES costruite sulle XML digital signatures con proprietà qualificate firmate e non firmate. Consulta ETSI EN 319 132-1.

Nel caso pratico:

fattura.xml
documento.xml
file XML firmato

6.4 Tabella operativa

6.5 Formula

Il documento è stato classificato in base al formato tecnico della firma: PAdES per firma integrata nel PDF, CAdES per contenitore .p7m, XAdES per firme XML. Ogni formato richiede strumenti e controlli specifici.

7. Marca temporale: che cos’è

La marca temporale è un’evidenza tecnica che associa un riferimento temporale a un documento o a una firma, tramite un servizio di marcatura temporale.

Nel lavoro forense, la marca temporale è importante perché può aiutare a documentare:

[ ] esistenza del documento a una certa data;
[ ] firma entro un certo momento;
[ ] validazione nel tempo;
[ ] anteriorità rispetto a eventi successivi;
[ ] conservazione di prova temporale.

Attenzione:

Data modifica file ≠ marca temporale.
Data visibile sul documento ≠ marca temporale.
Data di invio PEC ≠ marca temporale interna del documento.

7.1 Tipi pratici

[ ] marca temporale incorporata nella firma;
[ ] file .tsd;
[ ] file .tsr;
[ ] firma con timestamp;
[ ] report di verifica che indica timestamp;
[ ] validazione LTV del PDF;
[ ] riferimento temporale PEC, che però è cosa diversa dalla marca temporale del documento.

7.2 Formula tecnica

La marca temporale è stata verificata come elemento tecnico distinto dalla data di modifica del file e dalla data visibile nel documento. L’analisi ha considerato formato, esito di verifica, certificato TSA e relazione con il documento o la firma.

8. PDF/A: conservazione non significa autenticità

PDF/A è un profilo pensato per conservazione a lungo termine del documento. veraPDF è un validatore open source dedicato a PDF/A e PDF/UA, con profili di validazione per le diverse parti e livelli di conformità. Consulta veraPDF.

Ma attenzione:

PDF/A conforme ≠ contenuto vero.
PDF/A conforme ≠ firma valida.
PDF/A conforme ≠ documento non manipolato prima della conversione.

PDF/A serve a valutare conformità tecnica del formato di archiviazione, non automaticamente la verità sostanziale del documento.

8.1 Formula

La conformità PDF/A è stata verificata come requisito tecnico di formato e conservazione. Tale conformità non equivale, da sola, a prova dell’autenticità sostanziale del contenuto del documento.

9. Triage iniziale del PDF

Il triage PDF è una fase specifica del triage iniziale della prova digitale.

9.1 Domande da fare al cliente

Da dove proviene il PDF?
È stato ricevuto via PEC?
È stato ricevuto via email?
È stato scaricato da un portale?
È stato ricevuto via WhatsApp o Telegram?
È un allegato firmato?
È un PDF.p7m?
È una scansione?
È stato modificato?
È stato stampato e riscansionato?
È disponibile il file originale?
È disponibile la PEC o email di provenienza?
È disponibile il report di verifica firma?
È disponibile la marca temporale?
È stato aperto o modificato con Acrobat, Word o app mobile?
È collegato a una controversia?
Quale parte del documento è contestata?

9.2 Cosa dire al cliente

Non rinominare il file originale.
Non convertirlo.
Non stamparlo e riscansionarlo.
Non aprirlo con editor PDF se non necessario.
Non firmarlo nuovamente.
Non estrarre allegati senza conservare il file originale.
Non separare il PDF dalla PEC o email di provenienza.
Non inviarlo più volte via chat.
Conserva file originale, PEC, ricevute, email e allegati.

9.3 Formula di triage

Il documento PDF viene ricevuto per valutazione tecnica preliminare. In questa fase si identifica fonte, formato, presenza di firma digitale, eventuale marca temporale, metadati, allegati, struttura PDF e collegamento con PEC, email, cloud o chat di provenienza.

10. Scheda tecnica del documento PDF

Ogni PDF deve avere una scheda.

SCHEDA TECNICA DOCUMENTO PDF

Codice caso:
Codice reperto:
Nome file:
Estensione:
Dimensione:
Hash SHA-256:
Fonte dichiarata:
[ ] PEC
[ ] email
[ ] cloud
[ ] WhatsApp
[ ] Telegram/Signal
[ ] supporto fisico
[ ] consegna diretta
[ ] altro

Tipo documento:
[ ] PDF semplice
[ ] PDF firmato PAdES
[ ] PDF.p7m CAdES
[ ] PDF/A
[ ] scansione
[ ] PDF con allegati
[ ] PDF con moduli
[ ] PDF con JavaScript
[ ] PDF marcato temporalmente
[ ] altro

Firma digitale:
[ ] presente
[ ] assente
[ ] da verificare

Marca temporale:
[ ] presente
[ ] assente
[ ] da verificare

Strumenti usati:
Output prodotti:
Limiti:
Note:

11. Cartella di caso per analisi PDF

MQ-2026-0053_PDF_Firme_Marche_Roma/
│
├── 00_incarico_e_verbali/
├── 01_pdf_originali/
├── 02_pdf_firmati_pades/
├── 03_p7m_cades/
├── 04_marche_temporali/
├── 05_pdf_estratti_da_p7m/
├── 06_hash/
├── 07_verifica_firma/
│   ├── Adobe_Acrobat/
│   ├── Dike_GoSign/
│   ├── ArubaSign/
│   ├── Namirial/
│   └── OpenSSL/
├── 08_metadati_exiftool/
├── 09_qpdf/
├── 10_verapdf_pdfa/
├── 11_pdfid_pdfparser/
├── 12_allegati_pdf/
├── 13_confronto_versioni/
├── 14_timeline/
├── 15_screenshot_documentativi/
├── 16_note_analisi/
├── 17_relazione/
└── 18_allegati_relazione/

12. Catena di custodia del PDF

La catena di custodia deve documentare:

[ ] chi consegna il PDF;
[ ] quando viene consegnato;
[ ] in che forma viene consegnato;
[ ] fonte dichiarata;
[ ] nome file originale;
[ ] dimensione;
[ ] hash;
[ ] eventuale PEC/email di provenienza;
[ ] eventuale firma digitale;
[ ] eventuale marca temporale;
[ ] strumenti usati;
[ ] output prodotti;
[ ] report di verifica;
[ ] limiti.

12.1 Registro minimo

REGISTRO CATENA DI CUSTODIA PDF

Data/Ora:
Operatore:
Reperto:
Fonte:
Formato:
Azione:
Strumento:
Output:
Hash:
Note:

12.2 Formula

Il documento PDF è stato acquisito come reperto digitale autonomo, conservato nel formato ricevuto, sottoposto a calcolo hash e analizzato su copia di lavoro.

13. Hash del PDF e degli allegati

Prima di qualsiasi analisi, calcolare hash.

13.1 Linux/macOS

sha256sum documento.pdf > 06_hash/documento_pdf_sha256.txt
sha256sum documento.pdf.p7m > 06_hash/documento_pdf_p7m_sha256.txt

13.2 Windows PowerShell

Get-FileHash ".\documento.pdf" -Algorithm SHA256
Get-FileHash ".\documento.pdf.p7m" -Algorithm SHA256

13.3 Manifest completo

Get-ChildItem "D:\Caso\PDF" -Recurse -File |
Get-FileHash -Algorithm SHA256 |
Export-Csv "D:\Caso\06_hash\manifest_pdf_sha256.csv" -NoTypeInformation

13.4 Formula

Il documento e gli eventuali allegati, firme, marche temporali e report di verifica sono stati sottoposti a calcolo hash SHA-256 al momento dell’acquisizione.

14. Prima identificazione del file

14.1 Cosa verificare

[ ] estensione reale;
[ ] MIME type;
[ ] dimensione;
[ ] nome file;
[ ] magic bytes;
[ ] file firmato o non firmato;
[ ] PDF valido o corrotto;
[ ] PDF cifrato;
[ ] PDF/A;
[ ] presenza di contenuti attivi;
[ ] presenza di allegati.

14.2 Comando file

Su Linux/macOS:

file documento.pdf
file documento.pdf.p7m

14.3 Formula

È stata eseguita identificazione preliminare del formato file, distinguendo estensione dichiarata, tipo effettivo, dimensione, hash e presenza di eventuale contenitore firmato.

15. Analisi metadati con ExifTool

ExifTool è una libreria e applicazione a riga di comando multipiattaforma per leggere, scrivere e modificare metadati in numerosi formati; in ambito forense si usa in modalità di lettura, salvando l’output senza alterare il file. Consulta ExifTool.

15.1 Comando base

exiftool documento.pdf > 08_metadati_exiftool/documento_pdf_exiftool.txt

15.2 Output dettagliato

exiftool -a -G1 -s documento.pdf > 08_metadati_exiftool/documento_pdf_exiftool_dettaglio.txt

15.3 Output JSON

exiftool -json -a -G1 -s documento.pdf > 08_metadati_exiftool/documento_pdf_exiftool.json

15.4 Cosa osservare

[ ] PDFVersion;
[ ] Linearized;
[ ] PageCount;
[ ] Creator;
[ ] Producer;
[ ] CreateDate;
[ ] ModifyDate;
[ ] MetadataDate;
[ ] Author;
[ ] Title;
[ ] Subject;
[ ] Keywords;
[ ] XMP;
[ ] Trapped;
[ ] Tagged PDF;
[ ] document ID;
[ ] encryption;
[ ] warnings.

15.5 Attenzione ai metadati

I metadati non sono verità assoluta.

Possono essere:

[ ] assenti;
[ ] modificati;
[ ] incoerenti;
[ ] ereditati da un modello;
[ ] generati da software;
[ ] cambiati da esportazione;
[ ] persi da stampa/scansione;
[ ] alterati da conversione;
[ ] non rappresentativi della data reale del contenuto.

15.6 Formula

I metadati del PDF sono stati acquisiti con ExifTool in sola lettura. Tali informazioni sono state valutate come indicatori tecnici e non come prova autonoma dell’autenticità del documento.

16. Analisi strutturale con qpdf

qpdf è uno strumento a riga di comando e libreria C++ per trasformazioni PDF che preservano il contenuto; supporta, tra l’altro, ispezione, linearizzazione, cifratura e controllo di struttura del file. Consulta qpdf.

16.1 Controllo base

qpdf --check documento.pdf > 09_qpdf/documento_pdf_qpdf_check.txt 2>&1

La documentazione qpdf indica che --check controlla struttura del file, encryption, linearization e codifica degli stream, e che un exit status 0 indica correttezza sintattica del PDF. Leggi la documentazione qpdf.

16.2 Informazioni cifratura

qpdf --show-encryption documento.pdf > 09_qpdf/documento_pdf_encryption.txt

16.3 Output JSON

qpdf --json documento.pdf > 09_qpdf/documento_pdf_qpdf.json

16.4 Regola forense

qpdf può anche creare nuovi PDF trasformati, ma nella fase di analisi:

[ ] non modificare l’originale;
[ ] non sovrascrivere il file;
[ ] salvare output testuali;
[ ] lavorare su copia;
[ ] dichiarare se viene generato un file derivato.

16.5 Formula

La struttura del PDF è stata esaminata con qpdf, salvando l’output di controllo e distinguendo il file originale da eventuali copie o output derivati.

17. Verifica PDF/A con veraPDF

veraPDF è un validatore dedicato PDF/A e PDF/UA, pensato per verificare conformità a profili di validazione delle varie parti e livelli di PDF/A e PDF/UA. Consulta la documentazione veraPDF.

17.1 Comando base

verapdf documento.pdf > 10_verapdf_pdfa/documento_pdf_verapdf.txt

17.2 Output XML

verapdf --format xml documento.pdf > 10_verapdf_pdfa/documento_pdf_verapdf.xml

17.3 Cosa documentare

[ ] profilo PDF/A dichiarato;
[ ] esito validazione;
[ ] errori;
[ ] warning;
[ ] versione veraPDF;
[ ] file analizzato;
[ ] hash file;
[ ] output report.

17.4 Formula

La conformità PDF/A è stata verificata con veraPDF. L’esito riguarda la conformità tecnica al profilo PDF/A e non costituisce, da solo, prova dell’autenticità sostanziale del contenuto.

18. Triage sicurezza con PDFiD

PDFiD è uno strumento di triage che cerca parole chiave PDF indicative di possibili contenuti attivi, come JavaScript o azioni automatiche; Didier Stevens precisa che PDFiD non è un parser PDF, ma uno strumento di scansione per individuare keyword sospette e orientare analisi successive con pdf-parser. Consulta Didier Stevens PDF Tools.

18.1 Comando base

pdfid.py documento.pdf > 11_pdfid_pdfparser/documento_pdf_pdfid.txt

18.2 Cosa cercare

/JavaScript
/JS
/OpenAction
/AA
/Launch
/EmbeddedFile
/AcroForm
/XFA
/ObjStm
/Encrypt

18.3 Attenzione

La presenza di una keyword non prova automaticamente malevolenza.

La sua assenza non garantisce sicurezza assoluta.

18.4 Formula

PDFiD è stato usato come strumento di triage per individuare keyword PDF potenzialmente rilevanti. I risultati sono stati interpretati come indicatori preliminari e non come conclusioni definitive.

19. Analisi con pdf-parser

pdf-parser.py consente di analizzare oggetti PDF, cercare stringhe, oggetti, stream e strutture interne. La documentazione del tool indica che pdf-parser serve a identificare elementi fondamentali del file PDF, con opzioni per cercare testo in oggetti indiretti. Consulta PDF Tools su COPTR.

19.1 Comando statistico

pdf-parser.py -a documento.pdf > 11_pdfid_pdfparser/documento_pdf_pdfparser_stats.txt

19.2 Cercare JavaScript

pdf-parser.py -s /JavaScript documento.pdf > 11_pdfid_pdfparser/documento_pdf_javascript.txt

19.3 Cercare allegati

pdf-parser.py -s /EmbeddedFile documento.pdf > 11_pdfid_pdfparser/documento_pdf_embeddedfile.txt

19.4 Regola forense

[ ] salvare output;
[ ] documentare comandi;
[ ] non modificare originale;
[ ] interpretare con prudenza;
[ ] usare con altri strumenti.

19.5 Formula

pdf-parser è stato utilizzato per esaminare oggetti e strutture interne del PDF, con particolare attenzione a elementi potenzialmente rilevanti come JavaScript, azioni automatiche, allegati e oggetti incorporati.

20. Verifica firma PAdES con Adobe Acrobat

Adobe spiega che, in Acrobat, per validare firme digitali si apre il PDF, si usa il pannello Signatures, si seleziona Validate Signatures e poi si esaminano i dettagli di validazione e il certificato del firmatario. Consulta la guida Adobe.

20.1 Procedura

1. Copiare il PDF firmato nella cartella di lavoro.
2. Calcolare hash.
3. Aprire il PDF in Adobe Acrobat Reader/Acrobat.
4. Aprire pannello Firme.
5. Selezionare la firma.
6. Usare Validate Signatures.
7. Aprire Signature Properties.
8. Verificare certificato del firmatario.
9. Verificare se il documento è stato modificato dopo la firma.
10. Verificare eventuale timestamp.
11. Salvare report o screenshot documentativo.
12. Annotare versione software.

20.2 Cosa controllare

[ ] firma valida/non valida;
[ ] identità firmatario;
[ ] certificato;
[ ] autorità di certificazione;
[ ] data firma;
[ ] timestamp;
[ ] stato revoca;
[ ] modifica dopo firma;
[ ] copertura della firma;
[ ] eventuali firme multiple;
[ ] LTV;
[ ] warning.

20.3 Formula

La firma PAdES integrata nel PDF è stata verificata mediante Adobe Acrobat, esaminando esito della firma, certificato, eventuale marca temporale, stato di revoca e presenza di modifiche successive.

21. Verifica con Dike / GoSign / InfoCert Sign

InfoCert indica che la verifica consente di controllare la validità di una firma digitale o di una marca temporale associata a un documento, caricando il file e ottenendo l’esito di verifica e il report. Consulta InfoCert verifica firma.

21.1 Procedura

1. Aprire Dike / GoSign / InfoCert Sign.
2. Caricare PDF, PDF.p7m, .p7m, .tsd o file marcato.
3. Avviare verifica.
4. Esaminare esito.
5. Esaminare firmatario.
6. Esaminare certificato.
7. Esaminare timestamp, se presente.
8. Salvare report.
9. Salvare screenshot tecnico.
10. Calcolare hash del report.
11. Annotare versione software.

21.2 Formula

Il documento firmato è stato verificato mediante software InfoCert/Dike/GoSign, salvando esito e report di verifica come allegati tecnici della relazione.

22. Verifica con ArubaSign

Le guide Aruba indicano che per verificare file firmati si apre ArubaSign, si va nella sezione Verifica, si trascina o seleziona il file e si consulta l’esito della verifica. Consulta ArubaSign.

22.1 Procedura

1. Aprire ArubaSign.
2. Selezionare sezione Verifica.
3. Caricare il file firmato.
4. Verificare esito.
5. Consultare dettagli firmatario.
6. Consultare certificato.
7. Verificare eventuale marca temporale.
8. Salvare report.
9. Annotare versione.
10. Conservare output.

22.2 Formula

La verifica del file firmato è stata eseguita anche mediante ArubaSign, documentando esito, firmatario, certificato, timestamp e report generato.

23. Verifica CAdES / PDF.p7m

Un file .p7m contiene il documento firmato in un contenitore CAdES.

23.1 Regola

Non lavorare soltanto sul PDF estratto. Conservare sempre:

[ ] file .p7m originale;
[ ] hash del .p7m;
[ ] report di verifica;
[ ] eventuale contenuto estratto;
[ ] hash del contenuto estratto;
[ ] relazione tra contenitore e contenuto.

23.2 Procedura

1. Ricevere file documento.pdf.p7m.
2. Calcolare hash del .p7m.
3. Verificare firma con Dike/GoSign/ArubaSign/Namirial.
4. Salvare report.
5. Estrarre il contenuto firmato, se necessario.
6. Calcolare hash del PDF estratto.
7. Analizzare PDF estratto separatamente.
8. Non confondere validità della firma CAdES con autenticità sostanziale del contenuto.

23.3 Formula

Il file .p7m è stato conservato come reperto principale, verificato come contenitore CAdES e analizzato distinguendo il contenitore firmato dal documento PDF estratto.

24. Verifica CAdES / P7M con OpenSSL

OpenSSL include comandi per gestire CMS e S/MIME; openssl cms può gestire dati in formato CMS, inclusa verifica, firma, cifratura e stampa di strutture CMS. Consulta OpenSSL CMS.

24.1 Avvertenza

OpenSSL è uno strumento tecnico. L’esito va interpretato con competenza e non sostituisce necessariamente un report di verifica di software qualificato.

24.2 Esempio di verifica CMS

openssl cms -verify -inform DER -in documento.pdf.p7m -noverify -out 05_pdf_estratti_da_p7m/documento_estratto.pdf

24.3 Verifica con certificati

openssl cms -verify -inform DER -in documento.pdf.p7m -CAfile ca_certificati.pem -out 05_pdf_estratti_da_p7m/documento_estratto.pdf

24.4 Stampare informazioni CMS

openssl cms -cmsout -print -inform DER -in documento.pdf.p7m > 07_verifica_firma/OpenSSL/documento_p7m_cms_print.txt

24.5 Formula

È stata eseguita analisi tecnica del contenitore CAdES mediante OpenSSL, documentando comando, versione, file di input, output prodotto, eventuali errori e limiti interpretativi.

25. Firme multiple

Un PDF o un file firmato può avere più firme.

25.1 Scenari

[ ] più firmatari;
[ ] firma del primo soggetto;
[ ] controfirma;
[ ] firma successiva;
[ ] approvazione;
[ ] sigillo elettronico;
[ ] marca temporale;
[ ] firma dopo modifica consentita;
[ ] firma dopo modifica non consentita.

25.2 Cosa controllare

[ ] ordine delle firme;
[ ] data e ora;
[ ] certificati;
[ ] copertura di ciascuna firma;
[ ] revisioni del PDF;
[ ] modifiche tra una firma e l’altra;
[ ] validità di ciascuna firma;
[ ] eventuali warning.

25.3 Formula

Il documento presenta firme multiple. Ogni firma è stata analizzata separatamente per esito, firmatario, certificato, data, copertura e relazione con eventuali modifiche successive.

26. Modifiche dopo la firma

Uno dei quesiti più importanti:

Il PDF è stato modificato dopo la firma?

26.1 Cosa verificare

[ ] esito del software di verifica;
[ ] revisione firmata;
[ ] modifiche incrementali;
[ ] campi modulo;
[ ] annotazioni;
[ ] firme successive;
[ ] allegati aggiunti;
[ ] pagine aggiunte;
[ ] metadati modificati;
[ ] avvisi Acrobat;
[ ] oggetti PDF successivi alla firma.

26.2 Formula

È stata verificata la presenza di modifiche successive alla firma, distinguendo tra modifiche consentite dal tipo di firma e modifiche potenzialmente incidenti sull’integrità del documento firmato.

27. Incremental update nel PDF

Il PDF può salvare modifiche in modo incrementale, aggiungendo nuove revisioni al file senza riscrivere tutto.

27.1 Perché interessa

Gli incremental update possono documentare:

[ ] firma digitale;
[ ] annotazioni aggiunte;
[ ] campi compilati;
[ ] modifiche successive;
[ ] versioni interne;
[ ] salvataggi successivi;
[ ] possibili manipolazioni.

27.2 Cosa fare

1. verificare esito firma;
2. controllare qpdf;
3. esaminare struttura oggetti;
4. usare pdf-parser se necessario;
5. confrontare versioni;
6. documentare eventuali revisioni.

27.3 Formula

La struttura PDF è stata esaminata per individuare eventuali aggiornamenti incrementali e revisioni successive, da correlare con firme digitali, metadati e output degli strumenti di verifica.

28. PDF cifrato o protetto da password

Un PDF può essere cifrato o protetto.

28.1 Cosa controllare

[ ] password apertura;
[ ] restrizioni stampa;
[ ] restrizioni copia;
[ ] restrizioni modifica;
[ ] cifratura;
[ ] permessi;
[ ] utente/owner password;
[ ] compatibilità con firma.

28.2 qpdf

qpdf --show-encryption documento.pdf > 09_qpdf/documento_pdf_encryption.txt

28.3 Formula

Il PDF presenta meccanismi di cifratura o restrizione. L’analisi è stata condotta nei limiti delle credenziali fornite e senza attività di aggiramento non autorizzato.

29. PDF con allegati incorporati

Un PDF può contenere file allegati.

29.1 Cosa cercare

[ ] /EmbeddedFile;
[ ] allegati visibili in Acrobat;
[ ] file incorporati;
[ ] nomi file;
[ ] hash;
[ ] metadati;
[ ] data incorporamento;
[ ] eventuale firma del PDF;
[ ] eventuale modifica dopo aggiunta allegato.

29.2 Strumenti

[ ] Adobe Acrobat;
[ ] qpdf;
[ ] pdf-parser;
[ ] PDFiD;
[ ] ExifTool;

29.3 Formula

Il PDF è stato esaminato per individuare eventuali allegati incorporati, documentandone nome, formato, dimensione, hash e relazione con la firma digitale o con la struttura del file.

30. PDF con JavaScript, moduli e contenuti attivi

I PDF possono contenere elementi attivi.

30.1 Cosa può esserci

[ ] JavaScript;
[ ] OpenAction;
[ ] AcroForm;
[ ] XFA;
[ ] Launch;
[ ] EmbeddedFile;
[ ] azioni automatiche;
[ ] link;
[ ] script.

30.2 Perché interessa

Questi elementi possono essere:

[ ] normali in moduli;
[ ] sospetti in documenti ricevuti via email;
[ ] rilevanti in phishing;
[ ] indicativi di potenziale malware;
[ ] da analizzare in ambiente controllato.

30.3 Collegamenti interni

• Analisi forense di email e header
• Truffe online, bonifici fraudolenti e financial cybercrime
• Incident response forense e ransomware

30.4 Formula

Il PDF è stato sottoposto a triage per individuare eventuali contenuti attivi, quali JavaScript, OpenAction, moduli, allegati incorporati o azioni automatiche, senza eseguire il documento in ambiente non controllato.

31. PDF generato da scansione

Molti PDF sono semplici scansioni.

31.1 Segni tipici

[ ] ogni pagina è immagine;
[ ] assenza testo selezionabile;
[ ] metadati scanner;
[ ] software di acquisizione;
[ ] OCR;
[ ] dimensione elevata;
[ ] compressione immagini;
[ ] assenza firma digitale;
[ ] firme grafiche visibili.

31.2 Formula

Il documento risulta compatibile con un PDF generato da scansione, nel quale il contenuto testuale è rappresentato principalmente come immagine. Eventuali firme visibili devono essere distinte da firme digitali verificabili.

32. PDF esportato da Word o altro software

Un PDF può contenere metadati del software che lo ha prodotto.

32.1 Cosa cercare

[ ] Creator;
[ ] Producer;
[ ] Author;
[ ] CreateDate;
[ ] ModifyDate;
[ ] template;
[ ] nome utente;
[ ] software;
[ ] versione;
[ ] XMP;
[ ] struttura del testo;
[ ] font;

32.2 Formula

I metadati del PDF indicano il software dichiarato come generatore del documento. Tali informazioni sono state trattate come indicatori tecnici, da valutare con prudenza e in correlazione con ulteriori elementi.

33. PDF ricevuto via PEC

Se il PDF arriva via PEC, non analizzare solo il PDF.

Bisogna collegarlo a:

[ ] messaggio PEC;
[ ] ricevuta accettazione;
[ ] ricevuta consegna;
[ ] busta trasporto;
[ ] postacert.eml;
[ ] daticert.xml;
[ ] allegato originale;
[ ] hash;
[ ] firme;
[ ] timeline PEC.

Collegamento: PEC, ricevute, allegati e prova digitale

Formula

Il PDF allegato alla PEC è stato analizzato sia come documento autonomo sia come allegato collegato alla trasmissione PEC, verificando ricevute, busta, hash e metadati.

34. PDF ricevuto via email ordinaria

Se il PDF arriva via email ordinaria, bisogna collegarlo a:

[ ] EML/MSG originale;
[ ] header;
[ ] allegato;
[ ] Message-ID;
[ ] Received;
[ ] SPF/DKIM/DMARC;
[ ] link;
[ ] hash;
[ ] timeline.

Collegamento: analisi forense di email e header

Formula

Il PDF allegato a email ordinaria è stato analizzato in relazione al messaggio originale, agli header, agli allegati e agli elementi di autenticazione disponibili.

35. PDF ricevuto via WhatsApp, Telegram o Signal

Se il PDF arriva da chat, occorre collegarlo al contesto della conversazione.

Collegamenti:

• Perizia WhatsApp
• Telegram, Signal e app di messaggistica

35.1 Cosa verificare

[ ] messaggio associato;
[ ] mittente;
[ ] data e ora;
[ ] file originale;
[ ] nome file;
[ ] hash;
[ ] eventuale rinomina;
[ ] eventuale inoltro;
[ ] eventuale copia compressa;
[ ] metadati;
[ ] differenza tra documento e screenshot.

35.2 Formula

Il PDF ricevuto tramite applicazione di messaggistica è stato analizzato come allegato della conversazione, distinguendo il file acquisito dal contesto della chat, dal mittente apparente e dal metodo di acquisizione.

36. PDF scaricato da cloud

Se il PDF proviene da Google Drive, OneDrive, Dropbox, iCloud o altro servizio, bisogna verificare:

[ ] link;
[ ] account;
[ ] proprietario;
[ ] data caricamento;
[ ] data modifica;
[ ] versioni precedenti;
[ ] condivisioni;
[ ] permessi;
[ ] log;
[ ] hash;
[ ] copia locale;
[ ] sincronizzazione.

Collegamento: cloud forensics: Google, Microsoft, Dropbox e backup

Formula

Il PDF proveniente da servizio cloud è stato valutato considerando file scaricato, metadati cloud, versioni, permessi, condivisioni e disponibilità di log o cronologia.

37. Confronto tra due PDF

Spesso il quesito è:

Questi due PDF sono uguali?
Uno dei due è stato modificato?

37.1 Procedura

1. Calcolare hash di entrambi.
2. Confrontare dimensione.
3. Confrontare metadati.
4. Confrontare numero pagine.
5. Confrontare testo visibile.
6. Confrontare immagini.
7. Confrontare struttura PDF.
8. Confrontare firme.
9. Confrontare oggetti e revisioni.
10. Redigere tabella differenze.

37.2 Comandi utili

sha256sum documento_A.pdf documento_B.pdf
exiftool -a -G1 -s documento_A.pdf > A_exiftool.txt
exiftool -a -G1 -s documento_B.pdf > B_exiftool.txt
qpdf --check documento_A.pdf > A_qpdf.txt
qpdf --check documento_B.pdf > B_qpdf.txt

37.3 Formula

I due PDF sono stati confrontati mediante hash, metadati, struttura, numero di pagine, contenuto visibile, eventuali firme e output degli strumenti di analisi. Differenze tecniche sono riportate in apposita tabella.

38. PDF modificato: indicatori possibili

38.1 Indicatori

[ ] ModifyDate successiva a CreateDate;
[ ] Producer diverso dal Creator;
[ ] incremental update;
[ ] firma non valida;
[ ] firma valida ma con modifiche successive;
[ ] pagine aggiunte;
[ ] oggetti aggiunti;
[ ] metadati incoerenti;
[ ] OCR successivo;
[ ] scansione dopo stampa;
[ ] allegati aggiunti;
[ ] annotazioni;
[ ] moduli compilati;
[ ] differenze tra hash;
[ ] incongruenze tra PDF e PEC/email.

38.2 Attenzione

Un indicatore non basta.

Esempio:

ModifyDate successiva può dipendere da firma digitale, salvataggio, conversione o metadati aggiornati.

38.3 Formula prudente

Sono stati rilevati indicatori tecnici compatibili con modifiche successive, ma la loro interpretazione richiede correlazione con firma digitale, metadati, struttura del PDF, fonte di provenienza e cronologia documentale.

39. Firma valida ma contenuto falso?

Una firma valida dimostra determinati elementi tecnici:

[ ] chi ha firmato secondo certificato;
[ ] integrità del documento firmato;
[ ] eventuale data firma;
[ ] eventuale marca temporale;
[ ] stato del certificato;
[ ] assenza o presenza di modifiche successive.

Non dimostra automaticamente:

[ ] che il contenuto sia vero;
[ ] che il firmatario abbia letto tutto;
[ ] che i fatti descritti siano reali;
[ ] che gli allegati citati esistano altrove;
[ ] che il documento non sia stato creato con dati falsi prima della firma.

Formula

La firma digitale valida documenta integrità e sottoscrizione tecnica del documento firmato, ma non attesta automaticamente la verità sostanziale delle dichiarazioni contenute nel documento.

40. Firma non valida: cosa significa?

Una firma può risultare non valida per vari motivi.

40.1 Cause possibili

[ ] documento modificato dopo firma;
[ ] certificato scaduto;
[ ] certificato revocato;
[ ] catena certificati non disponibile;
[ ] assenza di connessione per CRL/OCSP;
[ ] software non aggiornato;
[ ] formato non supportato;
[ ] file corrotto;
[ ] timestamp mancante;
[ ] errore di trust store;
[ ] firma danneggiata.

40.2 Formula prudente

L’esito negativo della verifica della firma è stato documentato indicando strumento, versione, messaggio di errore e possibili cause tecniche. L’interpretazione richiede valutazione del certificato, della catena di fiducia, dello stato di revoca e di eventuali modifiche al documento.

41. Verifica dello stato di revoca

Per valutare una firma può essere necessario verificare:

[ ] CRL;
[ ] OCSP;
[ ] catena certificati;
[ ] certificato scaduto;
[ ] certificato revocato;
[ ] stato al momento della firma;
[ ] marca temporale;
[ ] LTV;

Formula

Lo stato di revoca del certificato è stato considerato in relazione al momento della firma e all’eventuale presenza di marca temporale o informazioni di validazione a lungo termine.

42. LTV e validazione a lungo termine

Un PDF firmato può contenere informazioni utili alla validazione nel tempo, come:

[ ] certificati;
[ ] OCSP;
[ ] CRL;
[ ] timestamp;
[ ] DSS;
[ ] VRI;
[ ] LTV enabled.

PAdES prevede profili e attributi per supportare l’interoperabilità e la validità nel tempo delle firme PDF. Consulta ETSI EN 319 142-1.

Formula

È stata valutata la presenza di informazioni di validazione a lungo termine, quali certificati, OCSP, CRL, timestamp e strutture DSS/VRI, quando disponibili nel PDF firmato.

43. Marca temporale su PDF

43.1 Cosa controllare

[ ] presenza di timestamp;
[ ] autorità di marcatura temporale;
[ ] certificato TSA;
[ ] data e ora;
[ ] algoritmo;
[ ] relazione con la firma;
[ ] report verifica;
[ ] validità;
[ ] eventuale file .tsd o .tsr.

43.2 Formula

La marca temporale è stata verificata come elemento tecnico distinto dalla firma e dalla data file system, documentando autorità di marcatura, data, certificato, esito della verifica e relazione con il documento.

44. Estrazione contenuto da P7M: attenzione

Quando si estrae un PDF da un .p7m, bisogna ricordare:

il file .p7m è il contenitore firmato;
il PDF estratto è il contenuto;
il PDF estratto non sostituisce il p7m originale;
la verifica deve riguardare prima il p7m.

Formula

Il contenuto PDF estratto dal file .p7m è stato analizzato come documento derivato dal contenitore firmato. Il file .p7m originale resta il reperto principale per la verifica della firma CAdES.

45. PDF e OCR

Un PDF può contenere testo OCR sovrapposto a immagini.

45.1 Cosa verificare

[ ] testo selezionabile;
[ ] immagini pagina;
[ ] layer OCR;
[ ] software OCR;
[ ] data OCR;
[ ] differenze tra immagine e testo OCR;
[ ] errori di riconoscimento;
[ ] testo nascosto;
[ ] allegati;

45.2 Formula

Il documento presenta elementi compatibili con OCR. Il testo selezionabile deve essere distinto dall’immagine della pagina, perché eventuali errori di riconoscimento possono incidere sulla lettura automatica del contenuto.

46. PDF e testo nascosto

In alcuni PDF possono esserci livelli, oggetti o testi non immediatamente visibili.

46.1 Possibili elementi

[ ] testo nascosto;
[ ] layer;
[ ] annotazioni;
[ ] commenti;
[ ] campi modulo;
[ ] contenuto fuori pagina;
[ ] trasparenze;
[ ] oggetti incorporati;

46.2 Formula

La struttura del PDF è stata esaminata anche per individuare eventuali contenuti non immediatamente visibili, quali annotazioni, campi modulo, layer, allegati incorporati o oggetti esterni alla visualizzazione ordinaria.

47. PDF e immagini AI o manipolate

Un PDF può contenere immagini generate o manipolate.

Collegamenti:

• Immagini, fotografie manipolate e contenuti generati con AI
• Metadati, EXIF, XMP, C2PA e provenienza dei file

Formula

Le immagini contenute nel PDF sono state considerate come elementi incorporati nel documento. La verifica della loro autenticità o possibile generazione/manipolazione richiede analisi image forensics separata.

48. PDF e audio/video allegati

Un PDF può contenere o linkare contenuti audio/video.

Collegamenti:

• Autenticità audio
• Autenticità video
• Analisi video deepfake

Formula

Eventuali file audio o video collegati al PDF sono stati trattati come reperti autonomi, con hash, metadati e analisi dedicata.

49. Procedura completa passo passo

49.1 Fase 1 — Ricezione

1. Ricevere PDF o PDF.p7m.
2. Annotare fonte.
3. Separare PEC/email/chat/cloud di provenienza.
4. Assegnare codice reperto.
5. Conservare file originale.
6. Calcolare hash.

49.2 Fase 2 — Classificazione

1. PDF semplice?
2. PDF firmato PAdES?
3. PDF.p7m CAdES?
4. PDF/A?
5. PDF cifrato?
6. PDF con allegati?
7. PDF con JavaScript?
8. PDF con marca temporale?
9. PDF da scansione?
10. PDF da export Word?

49.3 Fase 3 — Analisi metadati e struttura

1. ExifTool.
2. qpdf --check.
3. qpdf --show-encryption.
4. PDFiD.
5. pdf-parser, se necessario.
6. veraPDF, se PDF/A.

49.4 Fase 4 — Verifica firme

1. Adobe Acrobat per PAdES.
2. Dike/GoSign.
3. ArubaSign.
4. Namirial, se disponibile.
5. OpenSSL per controlli tecnici.
6. Salvataggio report.
7. Screenshot documentativi.

49.5 Fase 5 — Verifica allegati e timestamp

1. Estrarre allegati, se presenti.
2. Calcolare hash.
3. Verificare marca temporale.
4. Verificare PDF/A.
5. Verificare metadati allegati.
6. Collegare con PEC/email/chat.

49.6 Fase 6 — Relazione

1. Descrivere fonte.
2. Descrivere file.
3. Indicare hash.
4. Indicare strumenti.
5. Indicare esiti firma.
6. Indicare metadati rilevanti.
7. Indicare struttura e anomalie.
8. Indicare limiti.
9. Allegare report.

50. Caso pratico 1 — PDF.p7m allegato a PEC

Scenario

Un avvocato di Roma consegna una PEC contenente il file:

contratto.pdf.p7m

Procedura

1. Acquisire PEC e ricevute.
2. Salvare PDF.p7m originale.
3. Calcolare hash del .p7m.
4. Verificare firma CAdES.
5. Salvare report Dike/ArubaSign/GoSign.
6. Estrarre PDF contenuto.
7. Calcolare hash del PDF estratto.
8. Analizzare metadati PDF.
9. Verificare eventuale PDF/A.
10. Collegare documento alla PEC.
11. Redigere relazione.

Collegamenti

• PEC, ricevute, allegati e prova digitale
• Catena di custodia

Formula

Il documento PDF.p7m è stato analizzato come allegato PEC firmato in formato CAdES, distinguendo il contenitore firmato, il documento PDF estratto, la ricevuta PEC e gli allegati tecnici di verifica.

51. Caso pratico 2 — PDF firmato PAdES modificato dopo la firma

Scenario

Il cliente sostiene che un PDF firmato sia stato modificato.

Procedura

1. Ricevere PDF originale.
2. Calcolare hash.
3. Verificare firma con Acrobat.
4. Verificare con Dike/GoSign/ArubaSign.
5. Verificare messaggi “document modified after signing”.
6. Analizzare incremental update.
7. Usare qpdf.
8. Usare pdf-parser se necessario.
9. Redigere tabella esiti.

Formula

La firma PAdES è stata verificata per controllare se il documento risulta modificato dopo la firma, distinguendo eventuali modifiche consentite da modifiche incidenti sull’integrità del documento firmato.

52. Caso pratico 3 — Due versioni dello stesso contratto

Scenario

Due parti producono due PDF con lo stesso nome ma contenuto leggermente diverso.

Procedura

1. Calcolare hash di entrambi.
2. Confrontare dimensione.
3. Confrontare metadati.
4. Confrontare numero pagine.
5. Confrontare firme.
6. Confrontare testo visibile.
7. Confrontare struttura qpdf.
8. Confrontare allegati.
9. Creare tabella differenze.
10. Redigere conclusione prudente.

Formula

I due documenti sono stati confrontati sul piano tecnico mediante hash, dimensione, metadati, struttura, firme e contenuto visibile. Le differenze sono state riportate in tabella comparativa.

53. Caso pratico 4 — PDF scannerizzato con firma grafica

Scenario

Il cliente consegna un PDF con firma autografa visibile ma non firma digitale.

Procedura

1. Calcolare hash.
2. Verificare se firma digitale presente.
3. Analizzare metadati.
4. Verificare se il PDF è scansione.
5. Controllare OCR.
6. Verificare immagini.
7. Distinguere firma grafica da firma digitale.
8. Indicare limiti.

Formula

Il documento contiene una firma grafica visibile, ma non risultano elementi tecnici compatibili con una firma digitale verificabile. La valutazione grafologica o giuridica della firma autografa esula dall’analisi informatico-forense.

54. Caso pratico 5 — PDF con marca temporale

Scenario

Un documento è prodotto con marca temporale per dimostrare anteriorità.

Procedura

1. Acquisire PDF o file marcato.
2. Calcolare hash.
3. Verificare firma, se presente.
4. Verificare marca temporale.
5. Identificare TSA.
6. Verificare data/ora marca.
7. Verificare relazione documento-marca.
8. Salvare report.
9. Redigere timeline.

Formula

La marca temporale è stata verificata come evidenza tecnica associata al documento, distinguendola dalla data di creazione/modifica del file e dalla data visibile nel contenuto.

55. Caso pratico 6 — PDF sospetto ricevuto via email

Scenario

Un cliente riceve una email sospetta con allegato PDF.

Procedura

1. Acquisire EML originale.
2. Salvare allegato PDF.
3. Calcolare hash email e PDF.
4. Analizzare header email.
5. Analizzare PDF con PDFiD.
6. Analizzare qpdf.
7. Verificare allegati incorporati e JavaScript.
8. Non aprire in ambiente non controllato.
9. Collegare a phishing o truffa.

Collegamenti

• Analisi forense email e header
• Truffe online e financial cybercrime

Formula

Il PDF allegato a email sospetta è stato sottoposto a triage statico, senza esecuzione in ambiente non controllato, per individuare elementi strutturali, contenuti attivi o anomalie tecniche.

56. Errori da evitare

Errore 1 — Guardare solo il PDF aperto

Il contenuto visibile non basta.

Errore 2 — Confondere firma grafica e firma digitale

Sono cose diverse.

Errore 3 — Analizzare solo il PDF estratto da p7m

Il .p7m è il reperto principale.

Errore 4 — Non calcolare hash

Ogni file deve essere fissato.

Errore 5 — Modificare il PDF durante l’analisi

Mai sovrascrivere l’originale.

Errore 6 — Non salvare report di verifica

I report sono allegati tecnici fondamentali.

Errore 7 — Confondere PDF/A con autenticità

PDF/A è conformità, non verità sostanziale.

Errore 8 — Non collegare il PDF alla PEC o email

Il contesto di provenienza è spesso decisivo.

Errore 9 — Caricare documenti riservati su servizi online senza valutazione

Può creare problemi di riservatezza.

Errore 10 — Concludere troppo

Un indicatore tecnico non basta da solo.

57. Checklist operativa completa

57.1 Prima acquisizione

[ ] autorizzazione;
[ ] codice caso;
[ ] cartella caso;
[ ] scheda PDF;
[ ] strumenti pronti;
[ ] destinazione sicura;
[ ] procedura hash.

57.2 File da acquisire

[ ] PDF originale;
[ ] PDF.p7m;
[ ] file .tsd/.tsr;
[ ] report firma;
[ ] PEC/email di provenienza;
[ ] ricevute PEC;
[ ] allegati;
[ ] versioni precedenti;
[ ] screenshot solo come supporto.

57.3 Controlli tecnici

[ ] hash;
[ ] ExifTool;
[ ] qpdf;
[ ] veraPDF;
[ ] PDFiD;
[ ] pdf-parser;
[ ] Adobe Acrobat;
[ ] Dike/GoSign;
[ ] ArubaSign;
[ ] OpenSSL, se necessario;
[ ] metadati;
[ ] firma;
[ ] marca temporale;
[ ] allegati;
[ ] timeline.

57.4 Relazione

[ ] fonte;
[ ] formato;
[ ] hash;
[ ] metadati;
[ ] firma;
[ ] marca temporale;
[ ] struttura PDF;
[ ] allegati;
[ ] confronto versioni;
[ ] limiti;
[ ] conclusioni prudenti.

58. Output minimo

Alla fine dell’analisi devono esistere:

1. verbale di ricezione;
2. scheda PDF;
3. file originale;
4. hash;
5. output ExifTool;
6. output qpdf;
7. output verifica firma;
8. report Dike/GoSign/ArubaSign/Adobe;
9. output veraPDF, se PDF/A;
10. output PDFiD/pdf-parser, se necessario;
11. allegati estratti, se presenti;
12. hash allegati;
13. timeline;
14. nota limiti;
15. relazione tecnica.

59. Modelli di frasi tecniche

59.1 PDF semplice

Il documento PDF è stato acquisito nel formato ricevuto, sottoposto a hash SHA-256 e analizzato per metadati, struttura e caratteristiche tecniche.

59.2 PAdES

Il documento presenta firma digitale integrata in formato PAdES, verificata mediante strumenti dedicati con salvataggio del relativo report tecnico.

59.3 CAdES

Il documento è contenuto in un file .p7m firmato in formato CAdES. Il contenitore firmato è stato conservato come reperto principale e verificato separatamente dal PDF estratto.

59.4 Marca temporale

La marca temporale è stata verificata come elemento tecnico distinto dalla data di creazione/modifica del file e dalla data visibile nel documento.

59.5 PDF/A

La conformità PDF/A è stata verificata come elemento di formato e conservazione, senza attribuirle valore automatico di autenticità sostanziale del contenuto.

59.6 Modifiche successive

Sono stati rilevati elementi compatibili con modifiche successive alla creazione/firma del documento. Tali elementi sono stati valutati in relazione a metadati, struttura PDF, firme e output degli strumenti.

59.7 Limiti

Le conclusioni sono formulate nei limiti del file disponibile, della fonte di provenienza, degli strumenti utilizzati, della presenza o assenza di firme, marche temporali, metadati e documentazione di contesto.

60. Foto e immagini da inserire nella futura pagina HTML

Figura 1 — Scheda tecnica PDF
Alt: Scheda tecnica per analisi forense di PDF, firme digitali e marche temporali a Roma

Figura 2 — Pannello firme Adobe Acrobat
Alt: Verifica di firma digitale PAdES in Adobe Acrobat

Figura 3 — Report verifica Dike o GoSign
Alt: Report tecnico di verifica firma digitale su PDF o PDF p7m

Figura 4 — Verifica ArubaSign
Alt: Esito verifica firma digitale con ArubaSign

Figura 5 — Output ExifTool PDF
Alt: Metadati PDF acquisiti con ExifTool

Figura 6 — qpdf check
Alt: Controllo struttura PDF con qpdf check

Figura 7 — veraPDF PDF/A
Alt: Validazione PDF/A con veraPDF

Figura 8 — PDFiD e pdf-parser
Alt: Triage statico di PDF con PDFiD e pdf-parser

Figura 9 — Confronto versioni PDF
Alt: Tabella comparativa tra due versioni di documento PDF

Figura 10 — Timeline PDF firmato e PEC
Alt: Timeline tra PEC, PDF allegato, firma digitale e marca temporale

61. Riferimenti tecnici esterni da inserire nella pagina

1. Codice dell’Amministrazione Digitale, art. 20 — documento informatico, firma digitale e requisiti di sicurezza, integrità e immodificabilità.
2. Regolamento eIDAS, art. 25 — effetti giuridici delle firme elettroniche e firma qualificata.
3. ETSI EN 319 142-1 — PAdES digital signatures.
4. ETSI EN 319 122-1 — CAdES baseline signatures.
5. ETSI EN 319 132-1 — XAdES digital signatures.
6. Adobe Acrobat — validate digital signatures — procedura di validazione firma e controllo certificato.
7. InfoCert — verifica firma digitale e marca temporale.
8. ArubaSign — verifica file firmati.
9. AgID — software di verifica firme elettroniche digitali.
10. OpenSSL CMS / S-MIME — gestione e verifica di strutture CMS/S/MIME.
11. ExifTool — lettura e scrittura metadati su molti formati.
12. qpdf — ispezione, check, trasformazioni e informazioni PDF.
13. veraPDF — validazione PDF/A e PDF/UA.
14. PDFiD / pdf-parser — Didier Stevens PDF Tools — triage e parsing statico di PDF.

62. Collegamenti interni consigliati

Capitoli precedenti

/triage-iniziale-prova-digitale-roma.html
/catena-custodia-hash-verbale-tecnico.html
/analisi-forense-email-header.html
/pec-ricevute-allegati-prova-digitale.html

Capitolo successivo

/metadati-exif-xmp-c2pa-provenienza-file.html

Capitoli correlati

/recupero-dati-cancellati-fini-probatori.html
/verifica-forense-screenshot-schermate.html
/acquisizione-pagine-web-social-contenuti-online.html
/cloud-forensics-google-microsoft-dropbox-backup.html
/timeline-forense-ricostruzione-cronologica-eventi.html
/autenticita-audio-tagli-montaggi-ricodifiche.html
/autenticita-video-frame-codec-tagli-montaggi.html
/immagini-fotografie-manipolate-generate-ai.html
/truffe-online-bonifici-fraudolenti-financial-cybercrime.html
/relazione-tecnica-ctp-contestazione-prove-digitali.html

Pagine servizio

/servizi/perizia-informatica-forense-roma/
/servizi/analisi-email-pec-documenti-digitali/
/servizi/verifica-screenshot-pagine-web-social/
/servizi/recupero-dati-probatori/
/servizi/consulente-tecnico-parte-informatico-roma/
/contatti/

63. Box commerciale finale

Devi verificare un PDF, una firma digitale o una marca temporale a Roma?

Se hai un documento PDF, un PDF.p7m, una firma digitale, una marca temporale, un allegato PEC, un contratto digitale, un PDF contestato o un documento che potrebbe essere stato modificato, non limitarti ad aprirlo e guardarlo.

Prima di produrlo o contestarlo, è opportuno verificare:

[ ] file originale;
[ ] hash;
[ ] fonte di provenienza;
[ ] PEC o email collegata;
[ ] firma PAdES;
[ ] firma CAdES;
[ ] eventuale marca temporale;
[ ] certificato;
[ ] stato revoca;
[ ] metadati;
[ ] struttura PDF;
[ ] eventuali modifiche successive;
[ ] conformità PDF/A;
[ ] allegati incorporati;
[ ] limiti tecnici.

Lo Studio Quaranta Digital Forensics a Roma può supportare privati, avvocati, aziende e professionisti in attività di:

[ ] verifica PDF;
[ ] verifica firme digitali PAdES e CAdES;
[ ] verifica file PDF.p7m;
[ ] analisi marche temporali;
[ ] verifica allegati PEC;
[ ] analisi metadati PDF;
[ ] confronto versioni PDF;
[ ] verifica PDF modificati;
[ ] analisi PDF sospetti;
[ ] relazione tecnica per uso giudiziario o stragiudiziale.

CTA consigliata

Richiedi una valutazione preliminare per PDF, firma digitale o marca temporale

64. Conclusione del capitolo

Il PDF è uno dei documenti digitali più comuni, ma anche uno dei più fraintesi.

Un PDF può essere:

[ ] documento semplice;
[ ] scansione;
[ ] documento firmato;
[ ] documento marcato;
[ ] allegato PEC;
[ ] PDF.p7m;
[ ] PDF/A;
[ ] documento modificato;
[ ] documento con allegati;
[ ] documento con metadati incoerenti;
[ ] documento sospetto.

La formula da ricordare è:

Nel prossimo capitolo il manuale entrerà nel cuore dell’analisi della provenienza digitale:

Capitolo 14 · Metadati, EXIF, XMP, C2PA e provenienza dei file