l’email è utilizzata come username dello SPID, quindi il problema è nello SPID che ha permesso di registrare due persone con la stessa email.
Ti sbagli, l’email serve solamente per ricevere i documenti, notifice ecc., Aruba ti crea username e password per accedere al loro sito e poi successivamente ti crea username e password spid, inoltre il mio spid è con poste e quello di mio padre è con Aruba appunto
SPID poste
come vedi dall’immagine l’username è l’email,
vedo che aruba invece genera un altro tipo di username,
ma resta il fatto che, secondo me, l’app IO ha usato l’email per identificare la persona
2 Mi Piace
La pista della mail rimane la migliore per risolvere il grave mistero. Il sistema SPID è fatto in modo tale da permettere alla stessa persona di avere più SPID, quindi è possibile che un provider oppure IO diano per scontato che se due SPID usano uno stesso indirizzo mail (anche se solo nella fase iniziale della registrazione e poi cambiato) si riferiscano alla stessa persona.
Non fa una grinza neanche il fatto che la cosa sia venuta fuori solo ora che SPID e IO ce l’hanno milioni di persone e che la novità delle carte di pagamento rende il problema visibile, dato che è raro che una stessa mail sia usata per più persone (nei rarissimi casi di persone che condividono un indirizzo mail o, appunto, di un figlio con più dimestichezza con la tecnologia che usa temporaneamente la propria mail come primo step per la SPID del genitore).
Il problema diventa allora che questa assunzione è sicuramente sbagliata e pericolossisima. Sembra lapalissiano anche ai non addetti ai lavori che lo step di controllo per verificare se due SPID si riferiscano alla stessa persona dovrebbe essere semmai il codice fiscale, che è sicuramente unico.
Dubito che il problema sia IO, che semplicemente usa la SPID per identificare le persone. Probabilmente il problema è uno dei due provider, che forse ha fatto una assunzione illegale associando alla stessa persona la seconda SPID solo perché la mail iniziale era già nota a un altro provider con una SPID (anche se continuo a ritenere la cosa sostanzialmente incredibile, data la pletora di linee guida e regole che i provider SPID devono rispettare).
Se il problema davvero esiste, va risolto per assicurare la sopravvivenza e la sostenibilità dell’intero sistema SPID.
@Fabio_Riggio: se continuano a non rispondere potrebbe provare una associazione dei consumatori. Alcune hanno avvocati, e possono essere estremamente efficienti.
Salve a tutti,
ricordo bene che PagoPA mappa gli utenti in base all’indirizzo email (galeotta fu la mail…). Ma non trovo la fonte…
Io ho subìto il caso esattamente inverso al segnalatore @Fabio_Riggio. Confermerebbe la regola.
Provo a farla brevissima: utilizzo diverse caselle su dominio mio personale example.org.
Risultato: non posso vedere i pagamenti degli anni passati poiché nel 2020 sono riuscito finalmente a usare l’indirizzo spid@example.org piuttosto che un-altro-indirizzo@example.org.
Credo sia questo il problema, ma non riesco a trovare l’esatta pagina/schermata in cui si afferma chiaramente che i pagamenti PagoPA sono univocamente associati alla mail.
Deduco che la scelta di PagoPA di visualizzare i pagamenti ed i metodi in base alla mail piuttosto che al codice fiscale possa essere galeotta, se fosse confermata.
Il codice fiscale è praticamente l’unico dato immutabile nella vita di una persona (fisica o giuridica, visto che la partita IVA può cambiare), AdE assegna gli omocodici all’atto dell’iscrizione quindi l’unicità è garantita. La mail, lo abbiamo visto, può essere condivisa tra genitori e figli per milioni di motivi. Citerei anche che fino a qualche manciata di anni fa gli Internet Service Provider italiani fornivano una casella mail gratuita ai clienti per la sola durata del contratto (cambi telefono? cambi mail!).
Mi aggregherei anche io a segnalare direttamente a PagoPA, citando esplicitamente ed in privato gli esatti codici fiscali, indirizzi email e finali delle carte di pagamento, per far fare una verifica approfondita ai tecnici.
1 Mi Piace
Ciao, io non credo che sia andata così.
I provider non si parlano tra loro, non possono (e non dovrebbero essere tenuti) a fare controlli incrociati nel merito. Personalmente io potrei citare una esperienza personale in cui lo stesso provider (l’ho già scritta su questo forum, e comunque trattavasi di Aruba) ha segato due account perché erano due CF ma con stesso cellulare e stessa mail. Ma due provider SPID, e te lo dico perché li ho io, non ti dicono nulla se usi mail diverse.
Aggiungerei che non solo è unico, ma non varia mai appunto.
In ogni caso il flusso di autenticazione SPID, il flusso SAML 2.0 per intenderci, trasmette tra i parametri il codice fiscale nella forma del TIN (Tax Identification Number europeo), che se non vado errato è compatibile con la normativa FATCA/CRS per contenere il prefisso nazionale e garantire unicità europea.
(Fonte)
Approfitto per segnalare un aspetto ulteriore, che ricorda i vari casini accaduti ai gate di imbarco aerei (“Signore, non possiamo imbarcarla perché il nome sul biglietto non coincide col nome sul suo passaporto”, c’è una letteratura in merito).
Eviterei di affidarmi al nome ed al cognome come trasmessi dal sistema SPID, perché due provider potrebbero (dico potrebbero…) riportare il nominativo dell’utente in maniera tipograficamente diversa tra loro, specie per quanto riguarda apostrofi, accenti e diacritici vari.
1 Mi Piace
Ringrazio tutti per le risposte, il dubbio però rimane sull’utilizzo dell’indirizzo email per la visualizzazione dello storico dei pagamenti, come scritto in precedenza ho provveduto a modificare l’indirizzo email dal portale Aruba per lo spid di mio padre, successivamente nella sua applicazione ho effettuato logout e successivamente un nuovo login ma continuo a visualizzare lo storico da lui e non da me dove l’indirizzo email è rimasto invariato.
Sono ancora in attesa dei tecnici di IO sperando in una risposta a breve, eventualmente solleciterò per avere chiarimenti.
1 Mi Piace
Ciao,
a mio personale avviso lo storico è corretto che sia associato alle email. Per il valore legale che ha una ricevuta di pagamento, e per il fatto che un pagamento di un tributo può essere anche fatto da terzi, ed anonimamente più in generale, la scelta dell’indirizzo email si presta.
Fattore storico: prima dell’introduzione di IO era consentito pagare pseudonimamente gli avvisi PagoPA. L’ho fatto io stesso. Veniva solo chiesto l’indirizzo email e reindirizzati al sistema di pagamento. Senza che fosse necessaria alcuna verifica dell’identità, senza che un indirizzo email avesse legale validità identificante.
Naturalmente ciò che ho detto riguarda solo lo storico pagamenti, non la lista carte.
Purtroppo sei troppo ottimista sul fronte dell’unicità del codice fiscale, @djechelon, ci sono diversi casi in Anagrafe tributaria che dimostrano il contrario (rilevazione di casi di omocodia non sempre così tempestivi, con collegamento del vecchio codice equivoco al nuovo inequivoco; cambi di nome ex art. 36 Reg.St.Civ. che impattino sulla traslitterazione di cognome+nome; questioni relativi al patronimico di stranieri/e che pure impattano; dal vecchio al nuovo non vengono sempre aggiornate tutte le banche-dati pubbliche, ecc…). Anni fa, parlo del 2006/07, c’era un progetto di Agenzia delle Entrate / SO.GE.I. per trasformare il codice fiscale come lo conosciamo in un numerico progressivo realmente univoco assegnato alla nascita o al primo contatto con lo Stato italiano (simile al numero di previdenza sociale USA), purtroppo non se n’è fatto niente: magari si poteva pensare ad una combinazione alfanumerica per minimizzari gli errori di trascrizione/digitazione…
In effetti stasera tornando a casa mi venivano in mente le persone transgender, o l’ipotetico caso di una donna che si sposa negli USA ed è costretta a cambiare cognome, ecc. ecc. ecc. ecc.
1 Mi Piace
A mia sorella è capitata la stessa cosa con suo marito: carta di credito di lei visibile da lui, cancellata da lui si cancellava anche da lei, ecc. Anche nel loro caso l’indirizzo e-mail di registrazione dello SPiD è lo stesso, per cui si confermerebbe il bug, comunque assurdo perché l’identificazione a mio parere dovrebbe essere fatta sulla base del codice fiscale e non dell’indirizzo e-mail.
Poi è capitato qualcosa di simile tra me e mia moglie, cioè lei vede la mia carta di credito. In questo caso l’indirizzo e-mail è diverso e non abbiamo provato a cancellare la carta da lei per vedere se si cancellava da me. In questo caso è possibile che sia dovuto al fatto che in passato ho pagato con la mia carta alcuni avvisi PagoPA intestati a lei.
In entrambi i casi, comunque, non è una bella cosa, perché se i rapporti tra i coniugi non fossero buoni la situazione si presterebbe ad abusi…
Certo queste storie fanno cadere le braccia. Anni e anni di preparazione di questi sistemi, standard SAML o SAML2, compatibilità con EIDAS, lotte fra partiti e fra ministeri per prendersi i meriti, svariati informatici che si sono succeduti, centinaia di issues corrette fra GitHub e Slack, attese infinite per le varie opinioni del Garante della Privacy, e poi vengono fuori questi bug (se di bug si tratta).
Aspettiamo e sentiremo…
Bhe anche ora: basta stampare l’avviso e andare alle poste, oppure in banca, o alla coop, o in Sisal… non ti chiedono nemmeno la mail.
Amara considerazione e profondo stupore.
Rispetto alla prima direi “È proprio vero che non perdiamo occasione per buttarci, per di più da soli; delle badilate di fango addosso”
Sulla seconda copio incollo quanto scritto in altra discussione “…ma quelli che fanno le App che funzionano sono piccolini, con tante zampette, antennine sulla testa…tutti verdi?..”
Ormai è diventato chiaro quel che in tanti avevamo sospettato, cioè che “quelli che fanno le App” non sono affatto verdi o con antennine, ma persone ragionevoli e normalissime, che sono però state messe sotto pressione e hanno dovuto eseguire ordini irragionevoli da parte di dirigenti (politici o di nomina politica) che non volevano sentire ragioni. Lo confermano molti articoli come questo (si legga sotto “Cosa serve per far funzionare bene le tecnologie pubbliche”). Mi spiace di non ritrovare ora un articolo più recente in cui un dirigente dice chiaramente che si è tentato di far funzionare in venti giorni una cosa che normalmente richiede mesi (e non sono stati certo i tecnici a volerlo fare).
Anzi: non solo il cashback è stato fatto con troppa fretta, ma non doveva assolutamente neanche essere fatto con IO. È stato inserito di forza in una roadmap che sarebbe dovuta durare anni e non avrebbe dovuto affatto includere mai un progetto pericoloso di questo tipo. Se un ingegnere progetta un’automobile e dice che per metterla sul mercato occorrono cinque anni, e dopo DUE anni un dirigente gli dice che non solo deve metterla sul mercato fra un mese, ma deve anche volare fino alla luna e andare ad acqua anziché a benzina (quindi una cosa addirittura svariati ordini di grandezza più ambiziosa e meno realistica del progetto originario), mi pare assolutamente ovvio che la colpa non sia dell’ingegnere. Purtroppo vedo in giro che nessuno si rende conto del fatto che questa è una buona metafora di quel che è accaduto.
Mi fa molto male vedere che tutti accusino gli sviluppatori. Nonostante lavori in un altro settore, riconosco un meccanismo di accuse ingiuste e immeritate che vedo accadere in tutti gli altri settori della società. Non ci vuole molto per capire di chi è la colpa, eppure guardiamo regolarmente il dito e non la luna.
3 Mi Piace
Si può anche rispondere SIGNOR-NO!
Perché la colpa, parte della colpa, è anche negli eterni Yes-men. Questo nulla toglie all’evidente speculazione politica presente dietro (davanti, di sotto e pure di sopra) l’operazione Cashback.
Non dimentichiamoci però che si è sempre in due; quello che ordina e quello che dice si!
Comunque, oltre alla polemica che non mi appartiene e non intendo portare oltre, mi pare che un mese di rodaggio sul campo non sia poi così breve come periodo di prova eppure per molti versi questa cosa funziona a singhiozzo. Io personalmente ho scritto ad Infocert ID per avere chiarimenti rispetto al fatto che non riesco più nemmeno ad accedere alla App pur avendo anche aggiornato IO all’ultima versione. La 1.16.0.1.
Si questo è’ capitato anche a me ed era stato inserito il flag su “ricorda questa modalità di pagamento”.
Al primo accesso su IO con le mie credenziali, ho trovato già registrato il metodo di pagamento di mio padre. L’ho semplicemente lasciato.
Mio padre, configurando la sua app IO e accedendo con le proprie credenziali, ha inserito il medesimo metodo di pagamento e lo ha registrato per il cashback .
Fabio, ho letto la storia. Innanzitutto, al momento, ti sconsiglio azioni primo perché è poco chiara l’origine del bug, secondo perché non c’è danno economico.
Certo che il bug potrebbe dipendere da una illogica associazione della mail ma potrebbe anche dipendere da una anagrafica contestata in una banca o poste. Oppure da tutti e due i motivi letti da chissà quale algoritmo presente nei circuiti della PA dove IO legge i dati.