SPID for dummies: note essenziali sul nuovo Servizio Pubblico di Identità Digitale

Per capire il contesto e la problematica all’interno della quale SPID si inserisce, permetteteci un excursus.

Oggi, quasi tutti i sistemi informatici che erogano servizi, hanno ciascuno un loro proprio sistema di gestione delle Identità degli utenti. La nostra quotidiana esperienza ci ha abituati a dover gestire decine (per quanto mi riguarda centinaia!) di credenziali di accesso diverse.

E’ facile comprendere come questo stato di cose determini un serio problema di sicurezza: se in qualche modo un malintenzionato riesce a scoprire la password che utilizzo per accedere ad un certo servizio, verosimilmente, con la stessa password, potrà avere accesso con la mia identità, a diversi altri servizi online.

Per contrastare questo rischio, supportando nel contempo l’utente nell’impresa di dover gestire le credenziali di accesso a molteplici sistemi informatici, oggi si utilizzano fondamentalmente due tipi di strategie:

Nella seconda strategia, quella che coinvolge come Identity Providers, Facebook, Google o simili, il fornitore del servizio online, che ha deciso di andare incontro all’utente consentendogli di utilizzare una sua identità digitale esterna per accedere ai servizi che offre, non avrà accesso dai propri sistemi alle credenziali di autenticazione usate: inoltrerà la richiesta di autenticazione all’Identity Provider in base ad un protocollo che questo mette a disposizione per lo scopo; l’utente si accrediterà presso l’Identity Provider esterno, e il fornitore del servizio chiamante otterrà da Facebook o Google conferma o meno dell’identità dell’utente che chiede di accedere al proprio servizio.

Ora vi starete chiedendo: perché per parlare di SPID ci troviamo ad mettere a tema Identity Providers quali Facebook e Google? Semplicemente perché SPID realizza in modo normato e standardizzato una strategia per molti versi identica.

La normativa che introduce SPID non promuove però questo ruolo di Identity Provider in un’ottica centralizzata (e questo ci sembra decisamente un bene); promuove piuttosto la possibilità che attori pubblici o privati -sottostando a principi di competenza e solidità fissati dalla legge- si possano accreditare per svolgere questo ruolo in concorrenza tra loro.

 I servizi accreditati dovranno rispettare standard tecnici e protocolli di funzionamento (rif. specifiche OASIS SAML v2.0) a garanzia del fatto che un qualunque servizio compatibile con l’autenticazione SPID possa riconoscere l’identità di utenti registrati su un qualunque Identity Provider accreditato SPID.

RISPOSTA 1: Ci sono 5 motivi principali per cui si preferisce avvalersi di IdP piuttosto che svolgere questo compito all’interno di strutture governative o equipollenti:

1. Principio della libertà di scelta dell’utente. Ogni cittadino potrà scegliere l’IdP che vorrà e smettere di usare un provider se lo desidera.
2. Nessuna banca dati centralizzata delle identità. Per proteggere la privacy degli utenti, ogni IdP sarà responsabile dello svolgimento in modo sicuro delle attività connesse, mentre ogni service provider – pubblico o privato – avrà accesso solo ai dati di cui ha bisogno per erogare il servizio.
3. Sicurezza. Utilizzando diversi IdP il sistema è più sicuro e meno vulnerabile; non esiste un singolo elemento che possa interrompere il servizio e nessun servizio unico che disponga di tutti i dati in un unico luogo.
4. Sviluppo di un mercato. Gli IdP hanno la libertà di progettare servizi per soddisfare le norme dettate dal governo. Ciò consentirà loro di sviluppare servizi che possono essere utilizzati sia dal settore pubblico che privato, con conseguente riduzione dei costi.
5. Sfruttare al massimo la tecnologia disponibile. La tecnologia e i metodi per la verifica delle identità sono in continua evoluzione. Le organizzazioni del settore privato, operando già in questo ambito, sono in una posizione migliore rispetto a qualunque pubblica amministrazione per tenere il passo con gli sviluppi di mercato.

 

DOMANDA 2: Non bastava il documento digitale unificato (DDU) per provare l’identità digitale?

RISPOSTA 2: SPID realizza un modello federato adatto a vari scenari (tecnologici, organizzativi e di business), anche in mobilità, nel quale oltre alle identità personali sono gestiti i ruoli, i titoli e le qualifiche professionali, non gestiti con il DDU. Inoltre, il DDU e ogni altro supporto plastificato equivalente richiede un lettore di carte, al contrario, SPID è tecnologicamente neutrale e indipendente da qualunque specifico device.

[…]

DOMANDA 7: Il cittadino sarà comunque obbligato a usare sempre e comunque lo strumento di autenticazione scelto, così come è obbligato ad usare sempre una carta elettronica?

RISPOSTA 7: No, il cittadino potrà dotarsi di diversi strumenti (e quindi diverse identità SPID, eventualmente con livelli diversi di sicurezza) ed utilizzare quello più comodo nella singola occasione.

[…]