Per impedire l’accesso a un servizio della società dell’informazione non destinato ai minori o non conforme all’età prevista, evitando che il SP riceva dati personali del minore, è necessario che la verifica sia effettuata dall’IdP e non dal SP.
Credo che, per evitare che un minore possa accedere ad un SP non adeguato alla sua età, sia indispensabile una configurazione di tipo “deny-all-but” ossia vietare tutto quanto non sia espressamente consentito.
Una tale configurazione permette anche di non dover modificare le attuai configurazioni degli SP SPiD in produzione, se questi non sono destinati ad un pubblico di minorenni.
Usando le estensioni SAML si potrebbe definire:
<samlp:Extensions>
<spid:AgeLimit>
<spid:UnderAge>Allow</spid:UnderAge>
</spid:AgeLimit>
</samlp:Extensions>
Ed eventualmente con indicazione di range di età
<samlp:Extensions>
<spid:AgeLimit>
<spid:UnderAge>Allow</spid:UnderAge>
<spid:MinAge>14</spid:MinAge>
<spid:MaxAge>17</spid:MaxAge>
</spid:AgeLimit>
</samlp:Extensions>Modalità di verifica delle limitazioni dell’accesso ai servizi in rete
Le Linee Guida prevedono che “Per impedire l’accesso a un servizio della società dell’informazione non destinato ai minori o non conforme all’età prevista, evitando che il SP riceva dati personali del minore, è necessario che la verifica sia effettuata dall’IdP e non dal SP.” Il controllo richiesto prevede l’esecuzione di “calcoli sugli attributi” associati all’identità digitale e non attraverso la messa a disposizione degli attributi stessi nella loro forma nativa. In alternativa, il SP potrebbe richiedere la verifica nella forma “nato non dopo una certa data” in modo da assicurare una età minima del soggetto che accede e rendere verificabili a posteriori request/asserzioni in modalità auto-consistente, senza la necessità di applicare logiche/calcoli applicativi non direttamente derivanti dall’attributo presente sull’identità digitale.
E’ necessario che il SP passi all’IdP le informazioni relative all’“AgeLimit” per consentire o meno l’accesso. Quando non viene comunicato questo attributo, l’IdP deve considerare l’authRequest come non correttamente formata e quindi inibire l’accesso ai minorenni allo specifico servizio?