ADSENSE
|
Questo post é stato letto 50 volte!
Gli accessi SPID non sono semplici login, ma transazioni federate complesse che generano una serie di tracce tecniche conservate dai soggetti coinvolti nel processo di autenticazione.
Ogni accesso SPID registra eventi necessari a dimostrare che un’autenticazione è avvenuta, chi l’ha richiesta, verso quale servizio era diretta, con quale esito e con quale livello di sicurezza.
Tuttavia, non tutte le tracce hanno lo stesso significato e non tutti i soggetti vedono le stesse informazioni.
I soggetti chiave nel processo SPID
Per comprendere quali dati vengono registrati con SPID, è fondamentale conoscere i ruoli dei principali attori coinvolti.
Identity provider (idp)
L’IdP è il gestore dell’identità digitale.
Si tratta di un soggetto accreditato che ha identificato l’utente, ha rilasciato le credenziali SPID e gestisce il processo di autenticazione.
Gli IdP sono, ad esempio, i gestori riconosciuti da AgID.
Service provider (SP)
Il Service Provider è l’ente che offre il servizio online, come una Pubblica Amministrazione, un ente privato aderente a SPID, o un portale sanitario.
Il SP non autentica direttamente l’utente, ma richiede all’IdP di confermarne l’identità digitale.
Agid
AgID (Agenzia per l’Italia Digitale) ha un ruolo di regolazione, vigilanza e gestione dell’infrastruttura di fiducia.
Definisce le regole tecniche e operative, ma non detiene una cronologia centralizzata di ogni singolo accesso effettuato dai cittadini.
SPID come sistema federato: la distribuzione dei log
SPID è un sistema federato, il che significa che l’identità digitale è gestita da un soggetto diverso rispetto al servizio a cui l’utente chiede di accedere.
Quando un utente seleziona “Entra con SPID” su un sito, il SP invia una richiesta di autenticazione all’IdP dell’utente.
L’IdP autentica l’utente e restituisce al SP una dichiarazione tecnica firmata (asserzione) che attesta l’avvenuta autenticazione.
Le tracce dell’operazione sono quindi distribuite.
Ciascun IdP conserva evidenza di ogni autenticazione eseguita, mentre il SP conserva evidenza dell’accesso e delle operazioni compiute all’interno del proprio sistema.
Questa separazione è cruciale per la privacy, impedendo che un unico soggetto abbia una visione completa di tutte le attività dell’utente.
Il protocollo SAML 2.0 e i dati scambiati
Le regole tecniche SPID si basano sul protocollo SAML 2.0 (Security Assertion Markup Language), uno standard per lo scambio di informazioni di autenticazione e attributi tra entità diverse nei sistemi Single Sign-On (SSO).
Richiesta di autenticazione (authnrequest)
Il SP genera una AuthnRequest che include l’identificativo del SP, il servizio desiderato, il livello di autenticazione SPID richiesto e altri parametri tecnici.
Risposta SAML (response SAML)
Dopo l’autenticazione, l’IdP produce una Response SAML che, in caso di successo, contiene un’Assertion firmata digitalmente con le informazioni necessarie al SP per riconoscere l’utente.
Questa risposta viene verificata dal SP per garantirne l’autenticità e la validità.
Le tracce tecniche di SPID non sono solo log applicativi, ma includono anche messaggi SAML, identificativi di richiesta e risposta, timestamp, firme, certificati ed endpoint.
Cosa registrano idp e SP
Sia l’Identity Provider che il Service Provider hanno obblighi specifici di registrazione, ma con finalità diverse.
Registrazioni dell’identity provider
L’IdP SPID deve conservare informazioni essenziali per la gestione dell’identità digitale, la sicurezza e la ricostruzione degli eventi.
Questi dati includono: 1.
Data e ora della richiesta di autenticazione. 2.
Identificativo del Service Provider. 3.
Livello di autenticazione richiesto. 4.
Esito dell’autenticazione. 5.
Identificativo tecnico della transazione e riferimento alla sessione. 6.
Indirizzo IP e informazioni sul dispositivo/browser. 7.
Eventuali errori o tentativi falliti. 8.
Uso di fattori di autenticazione aggiuntivi (come OTP).
L’IdP sa a quale SP l’utente si sta autenticando, ma la sua conoscenza è limitata alla fase di autenticazione e non include le azioni specifiche compiute dall’utente all’interno del servizio.
Registrazioni del service provider
Il SP, dopo aver verificato la risposta SAML, associa l’identità digitale alla sessione applicativa dell’utente.
Da quel momento, il SP gestisce gli eventi interni, come pagine consultate, pratiche aperte e documenti scaricati.
Le regole tecniche SPID impongono al SP di conservare per 24 mesi le informazioni necessarie per attribuire le operazioni alle singole identità digitali.
Ciò permette di ricostruire il collegamento tra identità digitale, sessione e azione effettuata in caso di contestazioni.
Tutti i log devono essere protetti e trattati secondo i principi di minimizzazione e riservatezza.
Attributi SPID e profilazione
Non tutti i dati dell’utente vengono trasmessi automaticamente durante l’autenticazione SPID.
Il SP deve richiedere solo gli attributi necessari per la specifica transazione, come nome, cognome, codice fiscale, data di nascita, email o numero di telefono.
Il codice fiscale è spesso decisivo nei servizi pubblici per associare l’identità digitale alla posizione amministrativa del cittadino.
La profilazione commerciale degli accessi SPID da parte degli IdP non è compatibile con la funzione del sistema.
I dati devono essere utilizzati solo per finalità connesse all’erogazione del servizio, alla sicurezza e agli obblighi normativi.
Qualsiasi uso ulteriore richiederebbe una base giuridica autonoma e dovrebbe rispettare i principi di proporzionalità e trasparenza.
In caso di ruoli multipli (IdP e SP), è fondamentale mantenere separate le informazioni per evitare concentrazioni indebite di dati.
Openid connect e ricostruzione degli eventi
AgID ha introdotto linee guida per l’integrazione di OpenID Connect in SPID, che utilizza token e meccanismi moderni di federazione.
Anche con OpenID Connect, gli eventi di autenticazione devono essere tracciabili, sebbene i formati tecnici possano cambiare.
In caso di contestazione o indagine, le tracce SPID possono essere utilizzate per ricostruire gli eventi: l’IdP fornisce evidenza dell’autenticazione, il SP delle operazioni effettuate, e il provider di connettività può collegare un indirizzo IP a un utente.
La frammentazione delle informazioni in diverse fonti rende il sistema più rispettoso della privacy rispetto a un archivio centralizzato.
Questo post é stato letto 50 volte!