Articolo Pubblicazioni

L'identità digitale: componenti, tipologie e sfide

di · Pubblicato il 2 ottobre 2020

Abstract

L’articolo analizza l’identità digitale come insieme di attributi, credenziali e tracce che identificano una persona o un’organizzazione nei servizi online. Ne distingue le tipologie, dall’identità autodichiarata a quella verificata con SPID e CIE, dall’identità federata basata su SAML e OpenID Connect all’identità autosovrana. Descrive le tecnologie abilitanti, dalla crittografia alla biometria, il quadro del regolamento eIDAS e i problemi aperti, tra cui furto d’identità, privacy, interoperabilità, inclusione e gestione del ciclo di vita.

Vincenzo Calabrò | L'identità digitale: componenti, tipologie e sfide
Ogni volta che accediamo a un servizio online dichiariamo chi siamo e dimostriamo di esserlo. L’insieme dei dati e delle credenziali che rendono possibile questo riconoscimento costituisce la nostra identità digitale. Da essa dipendono l’accesso ai servizi pubblici, ai conti bancari, agli strumenti di lavoro, e il suo furto può avere conseguenze serie.

Che cosa compone un’identità digitale

Un’identità digitale comprende diversi elementi:
  • gli attributi identificativi, come nome, cognome, data di nascita, codice fiscale e indirizzo email;
  • le credenziali di autenticazione, come password, PIN, certificati digitali, dispositivi e caratteristiche biometriche;
  • le tracce lasciate dall’attività online, come profili, post, recensioni e commenti, che formano la reputazione;
  • i dati comportamentali raccolti dai servizi, come cronologia di navigazione, acquisti e ricerche.
I primi due elementi servono a identificare e autenticare. Gli altri due raccontano molto della persona e sono oggetto di attenzione da parte delle norme sulla protezione dei dati.

Le tipologie

Le identità digitali si distinguono per il grado di affidabilità e per il modo in cui vengono gestite:
  • l’identità autodichiarata, basata su dati forniti dall’utente senza verifica, come la registrazione a un social network;
  • l’identità verificata, rilasciata dopo un riconoscimento della persona da parte di un soggetto autorizzato, come avviene in Italia con SPID e con la Carta d’Identità Elettronica (CIE);
  • l’identità federata, che consente di usare le stesse credenziali per servizi diversi grazie a protocolli come SAML e OpenID Connect;
  • l’identità autosovrana, un modello in sperimentazione in cui l’utente conserva le proprie credenziali verificate e decide quali attributi condividere e con chi.
A livello europeo il regolamento eIDAS (UE) 910/2014 stabilisce le condizioni per il riconoscimento reciproco delle identità digitali nazionali, con tre livelli di garanzia (basso, significativo, elevato), e disciplina firme elettroniche e servizi fiduciari.

Le tecnologie abilitanti

Diverse tecnologie sostengono l’identità digitale:
  • la crittografia a chiave pubblica, alla base di certificati, firme digitali e protocolli di autenticazione;
  • l’autenticazione a più fattori, che combina qualcosa che si conosce, qualcosa che si possiede e qualcosa che si è;
  • la biometria, con il riconoscimento di impronte, volto o iride, da usare con attenzione perché un dato biometrico compromesso non si può sostituire;
  • i registri distribuiti, studiati come base per le identità autosovrane;
  • l’analisi dei comportamenti con tecniche di apprendimento automatico, per riconoscere accessi anomali e frodi.

Implicazioni e problemi aperti

Un’identità digitale affidabile semplifica l’accesso ai servizi pubblici, rende più sicure le transazioni online e riduce il numero di password da ricordare. Concentrare l’accesso su poche credenziali aumenta però il valore di quelle credenziali per i criminali, e il furto d’identità resta una delle frodi più diffuse.
I problemi aperti riguardano soprattutto:
  • la sicurezza delle credenziali e dei processi di rilascio e recupero, spesso il punto più debole;
  • la privacy, cioè condividere solo gli attributi necessari e limitare la profilazione;
  • l’interoperabilità tra sistemi nazionali e tra settore pubblico e privato;
  • l’inclusione, perché chi non ha competenze o dispositivi adeguati rischia di restare escluso dai servizi;
  • la gestione del ciclo di vita, dalla creazione all’aggiornamento e alla revoca delle identità.

SPID e CIE in pratica

SPID è rilasciato da gestori privati accreditati dall’AgID dopo il riconoscimento della persona, che può avvenire di persona, via webcam o con strumenti già in possesso dell’utente, come la CIE o la firma digitale. Prevede tre livelli di sicurezza. Il primo usa nome utente e password, il secondo aggiunge un codice temporaneo o la conferma su un’app, il terzo richiede un dispositivo dedicato come una smart card. La CIE contiene un chip con un certificato che permette l’accesso ai servizi tramite un lettore o uno smartphone con NFC, insieme al PIN ricevuto al rilascio.
Il decreto-legge 76/2020, il cosiddetto decreto Semplificazioni, prevede che dal 28 febbraio 2021 le pubbliche amministrazioni permettano l’accesso ai propri servizi online soltanto con SPID, CIE o Carta nazionale dei servizi, con un periodo transitorio per le credenziali già rilasciate. Il numero di cittadini con un’identità digitale è destinato quindi a crescere in fretta.

Come proteggere la propria identità

  • usare password diverse per ogni servizio, aiutandosi con un gestore di password;
  • attivare il secondo fattore di autenticazione su posta elettronica, banca e social network;
  • diffidare di messaggi e telefonate che chiedono credenziali o codici, anche quando sembrano arrivare dalla banca o da un ente pubblico;
  • controllare le notifiche di accesso inviate dai servizi e reagire subito a quelle inattese;
  • limitare i dati personali pubblicati online, che spesso servono a rispondere alle domande di sicurezza;
  • in caso di furto, sporgere denuncia, chiedere al gestore la sospensione delle credenziali e verificare i movimenti dei conti.

Il punto di vista delle organizzazioni

Per chi eroga servizi o gestisce personale, l’identità digitale si traduce nella gestione delle identità e degli accessi. Ogni utente deve ricevere i permessi necessari al proprio ruolo, perderli quando cambia mansione o lascia l’organizzazione e vederli rivisti periodicamente. Il lavoro da remoto diffuso nel 2020 ha reso urgente l’autenticazione a più fattori per gli accessi esterni, mentre l’accesso federato con SPID riduce il numero di credenziali che l’organizzazione deve custodire.
L’identità digitale è ormai un’infrastruttura della vita civile ed economica. Proteggerla richiede responsabilità condivise tra chi la rilascia, chi la usa per erogare servizi e i cittadini, chiamati a custodire le proprie credenziali con la stessa cura dei documenti fisici.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn