Dimenticavo una osservazione. In ottica di cittadinanza europea, è lecito che ogni cittadino sia identificato univocamente mediante un identificatore composto da un prefisso di Stato e un identificatore univoco per ciascuno Stato.
Difficile che altri Stati membri non abbiano una qualche forma di identificazione univoca dei cittadini. Sarebbe interessante approfondire (ricordate che la Danimarca non rilascia carte di identità??)
Buongiorno @djechelon,
Le specifiche eIDAS (https://ec.europa.eu/cefdigital/wiki/download/attachments/82773108/eIDAS%20SAML%20Attribute%20Profile%20v1.2%20Final.pdf) prevedono il rilascio dell’attributo “personidentifier” che deve corrispondere a un “Unique Identifier” della persona, non della persona e del mezzo di autenticazione.
Il paragrafo 2.5 del documento entra più nel dettaglio relativamente all’utilizzo di “Unique Identifier”. E’ evidente che l’utilizzo del codice fiscale è sconsigliato:
As a baseline requirement the Unique Identifier should not include elements that directly identify the Principal.
This follows the requirement for a persistent name identifier in SAML-CORE-2.0, which states that persistent
identifiers “MUST be constructed using pseudo-random values that have no discernible correspondence with the
subject’s actual identifier (for example, username).”
Ma è altresì evidente che eIDAS si aspetta una certa “stabilità” del “personidentifier”:
Any service that consumes assertions of identity must assume that the Unique Identifier presented for a
particular person may change over time e.g. where the user’s digital identity is replaced or repaired.
Prevedendo che possa cambiare nel tempo…ma non che cambi perché un giorno l’utente si autentica con SPID e il giorno dopo con CIE. Si tratta probabilmente di una anomalia italiana, dove alla medesima persona possono essere associate fino a 10 differenti identità digitali.
E’ già previsto, il “personidentifier” prevede due prefissi che identificano il paese di provenienza e quello del servizio a cui l’utente ha richiesto di accedere, es.:
IT/ES/02635542Y
Angelo.
Spero caldamente che qualcuno di AGID legga questo thread. C’è modo di metterlo in evidenza, segnalarlo ecc?
Personalmente, all’inizio avevo contattato direttamente AGID per segnalare il problema, citando anche questa discussione: mi era stato risposto che erano a conoscenza del fatto che l’identificatore fosse diverso e che si sarebbero dovuti usare altri attributi per l’identificazione univoca…
Non so che altro dire… 
Stando a quanto leggo al capitolo 2.5 è raccomandato utilizzare un identificatore opaco che non rimanda alla persona e suggeriscono, ma non obbligano, di ricorrere ad esempio all’hashing.
Secondo me è il nodo italiano che deve garantire questo e non può fidarsi degli identificativi che utilizzano i service provider (che potrebbero essere parlanti perché magari abbinano il codice fiscale). IMHO dovrebbe essere il nodo a generare un identificativo (al capitolo 2.5 suggeriscono ad esempio di ricorrere allo hashing). Al momento, nel caso di Europass, vedo che come Unique Identifier viene passato lo UID del service provider apponendo come prefisso il codice del paese/servizio il che, concordo rischia di creare duplicati e comportamenti che per gli utenti non sono desiderabili.
Secondo me è il nodo che deve farsi garante, in autonomia della generazione dello Unique Identifier e non può dipendere dagli identificativi passati dagli IdP.
Mi ero perso questo argomento, molto interessante!
Ho letto un po’ velocemente e butto li’ due suggestioni.
ora non ricordo dove, se nel CAD ,in qualche decreto, in quale linea guida o altrove, si parlava a proposito di ANPR di una cosa dal nome simile al codice identificativo unico che sembrerebbe proprio fatto all’uopo… (magari qualcuno si ricorda dove)
meno rilevante: ma anche il CF come identificativo univoco ha i suoi limiti. In ambito sanitario infatti è emerso che alcuni cittadini stranieri cambiano l’omologo del codice fiscale italiano durante l’arco della loro vita (a memoria mi pare fosse una “feature” delle donne rumene quando si sposano) e quindi alcuni sistemi informativi sanitari regionali associano a ogni individuo un ulteriore identificativo unico.
Anche le persone transgender rettificano nome e codice fiscale, se non erro. Solo l’atto di nascita non viene rettificato.
Sì, in ANPR è presente il cosiddetto “Codice Identificativo ANPR” (lo si può anche consultare dalla propria area personale). È introdotto a partire dall’Art. 62, c. 3 del CAD:
L’ANPR attribuisce a ciascun cittadino un codice identificativo univoco per garantire la circolarità dei dati anagrafici e l’interoperabilità con le altre banche dati delle pubbliche amministrazioni e dei gestori di servizi pubblici di cui all’articolo 2, comma 2, lettere a) e b).
Non ho visto altre specifiche tecniche, ma il codice sembra essere univoco ed immutabile per una persona, quindi sarebbe davvero quanto richiesto e necessario!
Calcolando che le modifiche dei dati personali transitano necessariamente per l’anagrafe, credo che ANPR sia lo strumento più adatto ad garantire l’identificazione univoca di una persona, anche negli eventuali cambiamenti che ne concernono.
Una volta che ANPR sarà completamente a regime sia in termini di diffusione che di possibilità di accesso da parte di PA e fornitori di pubblici servizi, il Codice ANPR potrebbe essere il vero sostituto del Codice Fiscale in materia di accesso ai servizi e ANPR legata a doppio filo agli IdP e ai SP!
Speriamo sia questa la strada che verrà percorsa. 
Eh. al momento ANPR e SPID sono due mondi diversi e non comunicanti.
Logica vorrebbe che, se proprio non possono essere la stessa cosa, almeno che fossero molto molto vicini e comunicanti.
Poi emergono anche altri problemi, del tipo se sia sano consentire a un manipolo di soggetti privati pieno accesso alla totalità di ANPR, che solo per la composizione del nucleo familiare è uan miniera di dati commercialmente utili.
Forse allora sarebbe il caso di avere un unico IdP, possibilmente pubblico, cioe’ lo Stato stesso. E allora, alla fine, con l’IdP pubblico unico le complicazioni degli identificativi univoci non univoci verrebbero a mancare… vabbe’, attendiamo fiduciosi.
Sta cosa di eIDAS login pero’ dovrebbero dirimerla a livello europeo, perche’ e’ una farsa e un deterrente a qualsiasi investimento per allargare la platea degli utenti dei servizi a tutti i cittadini europei.
Mi trovo totalmente d’accordo.
Una volta che avremo a disposizione ANPR, che diventa davvero oro colato per queste situazioni, immagino che svolga un ruolo centrale nell’identificazione dei cittadini, sia “fisicamente” che in ambito digitale.
Mi è naturale immaginare che le complesse procedure di identificazione per il rilascio di SPID potranno essere snellite in qualche modo attingendo direttamente alla base dati principale, che è ANPR. A questo punto, chiaramente, se SPID dipende da ANPR, perché non delegare a quest’ultima anche il ruolo di IdP? Ma qui la questione va ben oltre ai semplici tecnicismi…
Stesso dicasi per EIdAS, che in fin dei conti dipende dai meccanismi di autenticazione nazionali.
La questione è sicuramente fumosa e, dopo tutta questa vicenda, ancora non mi è chiaro se il “problema” sia interno allo Stato o a livello comunitario. Certo è che standardizzare i codici univoci all’interno di una stessa nazione sicuramente sarebbe un bel passo avanti!
Tieni presente che non tutta europa ha il nostro concetto di “codice fiscale” o di identificativo univoco di una persona.
Vista dalla luna a me sembra che richiedere che il codice univoco SPID sia univoco tra diversi provider e con la CIE sia abbastanza impossibile (sono 10 sistemi scollegati, servirebbe qualcuno che poi tiene un registro dei codici unici e chi lo fa?) ed allo stesso tempo non puoi usare il CF come codice univoco perchè contiene dati personali e quindi mi sembra corretto che non sia un’attributo base.
Lato eIdas quindi non vedo soluzioni, a parte forse aver previsto (ma evidentemente non è stato previsto) che il codice univoco, in presenza di un identificativo univoco nazionale, potesse essere derivato da quello invece di generare l’undicesimo id.
Quindi sì, se sei in presenza di un italiano chiedi il CF, se hai un’altra country speri che questo problema di codice univoco l’abbiano risolto.
Il concetto è che ora che siamo in Europa dobbiamo cambiare punto di vista.
Storicamente in Italia, l’Italia dell’informatizzazione 1.0, si è usato il CF come chiave primaria dei database. Partendo dall’assunto che tutti i cittadini (enfasi mia) hanno un CF e questo è univoco, omocodia inclusa.
Perché enfasi? Perchè il CF ce l’hanno sicuro i cittadini italiani. Pare che ce l’abbiano gli immigrati con residenza stabile, che quindi rendono la platea dei detentori di CF un insieme più grande dei cittadini.
Ma qui si sta parlando di un altro insieme, ancora più grande: coloro che hanno accesso ai servizi pubblici.
E se assumessimo per un istante che Europass fosse un servizio pubblico accessibile ai cittadini UE, capiamo che il CF è un concetto superato.
Il CF dovrebbe essere un attributo, un claim SAML richiesto per l’accesso ad Agenzia delle Entrate quanto INPS. Ma un attributo.
Manca la definizione della chiave primaria del cittadino. Una chiave che sia univoca in tutta Europa (spoiler: IT più un identificativo univoco in Italia). E poi ciascun provider eIDAS dovrebbe essere in grado di allegare al ticket SAML qualsiasi attributo europeo che caratterizza il cittadino.
CF italiano, numero di qualche forma di previdenza sociale austriaco (se ce l’ha). Sono tutti attributi. Da standardizzare e da fare un passaggio normativo per permettere agli SPID provider italiani di accettare (in fase di onboarding) e condividere (in fase di login SAML) nuovi attributi.
Così i cittadini a doppia residenza possono usare un unico SPID per presentarsi a tutti i servizi delle PA europee con cui dialogano.
@djechelon il “Codice identificativo ANPR” potrebbe essere quella chiave primaria di “coloro che hanno accesso ai servizi pubblici” o ci sono altre classi di utenza che potrebbero accedere ai servizi senza ricadere nella classe di quelli presenti nella ANPR?
Secondo me dovrebbe esserci la risposta alla domanda che tu poni: “coloro che hanno diritto di accesso ai servizi pubblici” quale requisito devono avere? Essere iscritti all’APNR è condizione sufficiente?
Un aggiornamento sull’argomento.
Il sito di Europass da Marzo passa all’autenticazione a doppio fattore, con l’occasione è stato sviluppato un login ID europeo. Si puà creare con email e password o con eidas, ma la cosa nuova è che a questo login è possibile associare più identità eidas che vengono chiamate federated ID, al momento ho fatto la prova ed associato al mio profilo sia SPID Sielte che Aruba.
Purtroppo oramai che su europass i profili erano già creati si crea un macello… ma la strada sembra quella corretta.
Conosco Europass dal primo giorno, quando i formati del CV erano solo in MS Word e gli attributi solo in greco (l’Agenzia UE del lavoro ha sede in Grecia).
Negli anni e’ migliorato, hanno riconosciuto l’esistenza del PDF. Ma in molti casi editare i contenuti era piuttosto complicato. Europass e UX e’ sempre stato un ossimoro.
Gli ultimi tempi l’interfaccia e’ scaduta di parecchio, usabilita’ mediocre o peggio, specie quando si tratta di editare un CV gia’ esistente e disponibile come PDF. Non so quante volte ho dovuto reintrodurre a mano le stesse informazioni gia’ disponibili.
Ma adesso viene il bello, chiamiamolo cosi’ per semplicita’. Fossi UvL licenzierei immediatamente il direttore del programma Europass. Ma non ho il piacere o dispiacere di dirigere la Commissione.
Copio dal sito: " Two-factor authentication to login to Europass
You will have to follow a two-step login process to access your Europass account from March 2022. This two-factor authentication is to make sure that your data is safe and secure.
Associare un nuovo dispositivo e’ totalmente superfluo se si e’ gia’ in possesso di credenziali quali CIE o altre carte identita’ europee con doppia chiave crittografata. I due fattori sono la CIE e il PIN. Possesso e conoscenza. La probabilita’ che un hacker marziano entro nel database e ci modifichi il CV e’ estremamente remota. E se anche lo facesse, che cosa avrebbe da guadagnarci? Cui prodest?
Curioso che l’Unione europea richieda obbligatoriamente ai suoi cittadini potenzialmente piu’ sfortunati di altri, in quanto in cerca di lavoro, di dovere possedere uno smartphone insicuro per definizione, con il SW in mano ad aziende private americane.
Probabilmente e’ l’opera di qualche funzionario UE che deve mostrare di essere all’avanguardia producendo regole sempre piu’ complicate senza un motivo preciso. Ci sono mai stati furti di identita’ o fughe di dati dalle basi dati di Europass? Se no, per quale motivo complicare l’accesso?
Solo due info:
An estimated 6.06 billion smartphones were in use globally at the end of 2020 — three times the number of PCs. The smartphone-using population is expected to keep growing 4 percent per year and hit 7.69 billion by 2026
Smartphones will never replace desktop & laptop computers , but what is happening is a bifurcation of the computing market into two classes of users: information producers and information consumers. … Basically, what this graph says is that users are abandoning Windows for Android devices.
Source: GSMA
Questa è la strada perchè i cittadini la stanno già percorrendo, non perchè qualcuno la abbia imposta!
Al momento attuale la legge europea di riferimento sull’identita’ digitale e’ eIDAS. Non c’e’ alcuna legge nazionale o europea in vigore che preveda un’autenticazione con smartphone, che tra l’altro nessun paese UE al momento riconosce come ID. Si puo’ tenere uno scan della carta d’identita’ in pdf, ma un file o una app non e’ il documento originale. Il richiedere come unico metodo di accesso un’autenticazione via smartphone e’ eccessivo e delirante. E anche una falla di sicurezza enorme, dato che l’unica verifica di identita’ l’ha fatta chissachi’, non un pubblico ufficiale, in qualche punto di vendita chissadove sul continente. Per non dire delle SIM farlocche che circolano nel resto del mondo.
Posso sentirmi preso in giro se dopo avere richiesto documenti ufficiali, essermi presentato a un dipendente pubblico specializzato nel trattamento dei documenti, avere lasciate le impronte digitali ecc. ecc. un dipartimento UE mi dice che il mio documento non e’ accettato? Chi li autorizza?
Prendiamo per buono che la Commissione UE si rivolga ai 6 miliardi di possessori di smartphone. Per come stanno le cose, vuol dire mettere i loro dati di fatto nelle mani di due societa’ USA. Che per prima cosa non permettono a nessun altro di accedere agli algoritmi. Installazione su f-droid? Non pervenuta. Al contrario la UE potrebbe pubblicare un algoritmo generico di identita’ lasciando aperte le implementazioni. Google, Apple, Microsoft, Huawei, gli hobbisti di Raspberry Pi… In questo caso nulla da ridire, soluzione pienamente accettabile. Ma la UE non lo fa. Impone nei fatti l’uso di hardware e di software ben definiti. E tra l’altro nemmeno made in Europe. Alla faccia dei mercati liberi e aperti!
Comunque La ringrazio per avermi messo implicitamente nella categoria degli “information producer”.
Bisognerebbe capire quandi dispositivi mobili sono realmente in uso (usati davvero con una certa regolarità, provvisti di un numero di telefono attivo e con una connessione internet funzionante): se ho un cellulare in giro per casa che ho praticamente dismesso ma che non butto via e che, se volessi, con quello mi potrei astrattamente collegare alla wifi di casa è considerato “in uso”? Poi non discuto che vi sia un numero abnorme di cellulari venduti in Italia o in altri Paesi e che il tasso di rotazione dei cellulari è superiore a quello dei PC…
Beh, l’articolo parla di “in uso” quindi di certo non in un cassetto, se fossero quelli venduti sarebbero 10 volte tanto…
Per quanto io sia 100% pro-pc e detesti l’uso irresponsabile che la magigor parte della popolazione fa degli smartphone (beatamente disinteressata ai rischi di truffe, violazioni privacy, profilazioni ecc. che comporta) invito @GiP ad essere meno ideologicamente massimalista.
E’ un dato di fatto che specie per la popolazione più povera e meno scolarizzata lo smartphone è l’unico contatto con la tecnologia. Conosco operai e donne delle pulizie con la terza media e che non han mai sfiorato un pc in vita loro ma che hanno uno smartphone (e ci passano ore e ore su TikTok et similia). In Africa i pagamenti digitali e la diffusione dei servizi bancari sono possibili solo grazie agli smartphone perchè il resto dell’infrastruttura che servirebbe a sistemi più tradizionali non c’è. Eccetera.
Ciò detto, il mobile first in certi ambiti è una cretinata (in un ufficio edilizia lo voglio proprio vedere qualcuno che deposita istanze con lo smartphone) ma quando si parla di offrire servizi “a tutti” non puoi prescinderne.
Sul tema della sovranità digitale (o energetica, che poi è sua sorella), lamentati con quelli che quando se ne parlava decenni fa rispondevano facendo spallucce o deridendo concetti “antichi” tipo la sovranità quando il progresso era la globalizzazione. La stessa gente che adesso ha completamente invertito le sue posizioni, con una faccia di tolla ributtante.