Ricerca

sabato 1 ottobre


Cos'Ŕ SPID e come funziona, autenticazione con un clic sui siti web

Cos'Ŕ SPID e come funziona, autenticazione con un clic sui siti web

di Michele Nasi (15/03/2016)

Il 15 marzo 2016 è la data in cui ha preso ufficialmente il via SPID, il nuovo sistema di autenticazione che permetterà a cittadini ed imprese italiani di effettuare il login sui siti delle pubblica amministrazione e su quelli gestiti dalle imprese che abbracceranno il nuovo meccanismo.

L'obiettivo è quello di eliminare la necessità di utilizzare credenziali di autenticazione diverse per ogni sito web della pubblica amministrazione: SPID sarà lo strumento unico per effettuare il login.

Ma cos'è SPID e come funziona?

Innanzi tutto, diciamo subito che SPID (acronimo di Sistema Pubblico di Identità Digitale; letto, ha una simpatica assonanza con il termine inglese speed, "velocità") non è certo "l'invenzione del secolo".
Esistono già e sono ampiamente adoperati a livello internazionale schemi per l'autenticazione condivisa come OAuth, OpenID, OpenID Connect e Facebook Connect.
Si tratta di strumenti che consentono di effettuare il login sui siti web che supportano tali meccanismi senza mai digitare nome utente e password personali. Il sito o l'applicazione web che si utilizzerà potrà accedere ad alcune informazioni dell'utente (indicate in chiaro) ma non potrà mai leggere i dati di autenticazione altrui. L'autenticazione dell'utente avviene mediante apposite API che consentono di esporre all'applicazione che ne fa richiesta solo i dati autorizzati da parte dell'utente stesso.

Cos'Ŕ SPID e come funziona, autenticazione con un clic sui siti web

SPID funziona in maniera simile. Alcuni provider nazionali (per il momento Poste Italiane, TIM e Infocert), altrimenti detti identity provider o IdP, si occupano di gestire le credenziali d'accesso degli utenti e di fornirle su loro esplicita richiesta. Dopo aver ottenuto le proprie credenziali per il login sui siti compatibili SPID, l'utente non dovrà fare altro che cliccare sull'apposito pulsante grafico "Entra con SPID".

Presentato ufficialmente qualche giorno fa (SPID, il PIN unico per la pubblica amministrazione, SPID permette per adesso di accedere ai siti di 10 pubbliche amministrazioni e, complessivamente, a circa 300 servizi.

Cos'Ŕ SPID e come funziona, autenticazione con un clic sui siti web

SPID consente l'accesso ai siti web utilizzando tre differenti livelli di sicurezza:

- Primo livello. L'accesso è garantito semplicemente usando ID e password.
- Secondo livello. Per accedere al servizio vengono richiesti ID, password ed una one-time-password (valevole quindi per una sola volta) che viene inviata all'utente, ad esempio su cellulare o smartphone.
- Terzo livello. Il servizio SPID richiede, ad esempio, l'accesso mediante smartcard e password.

Il livello di protezione richiesto è definito dal gestore del sito web, sulla base della natura e della riservatezza dei dati che debbono essere trattati.

Come ottenere SPID

Per ottenere il proprio SPID, è possibile fare riferimento ai siti web dei tre identity provider sinora individuati:

- Poste Italiane (PosteID)
- TIM Trust Technologies (TIM-id)
- InfoCert (Infocert ID)

I tre provider presentano SPID come parte di altri servizi (PosteID, TIM-id e Infocert ID): le varie denominazioni vogliono affermare come il sistema sia pensato non soltanto per l'accesso ai servizi della pubblica amministrazione ma possa essere utilizzato anche da parte di altri soggetti.

AIIP ed Assoprovider hanno accusato il Governo di aver scientemente escluso delle attività di fornitura dei servizi PEC e SPID qualunque impresa di piccole e medie dimensioni. Solamente le aziende con un capitale sociale da 5 a 10 milioni di euro ed in grado di presentare garanzie assicurative fino a 15 milioni di euro possono infatti divenire gestori ufficiali.
Tant'è, comunque, che per adesso sono solamente tre i gestori accreditati da AgID (Agenzia per l'Italia Digitale) per la fornitura delle credenziali SPID.

Per richiedere la propria identità digitale SPID è necessario fare riferimento alle pagine sopra citate tenendo presente che in tutti i casi saranno richieste delle "pezze d'appoggio" ossia la fornitura di strumenti che attestino la propria identità.

TIM, ad esempio, che per ora non fornisce istantaneamente il servizio TIM-id, richiede l'accesso con la carta nazionale dei servizi (CNS TS) oppure fornisce l'identità digitale SPID solo ai possessori di una firma digitale.

Poste Italiane appare per il momento la realtà meglio attrezzata perché la richiesta viene gestita subito e l'ottenimento dell'identità digitale SPID risulta immediato per i clienti della società (ad esempio se il numero di cellulare sia associato ad un contratto in essere, ai possessori di un lettore Bancoposta) oppure ai possessori di firma digitale od a tutti coloro che dispongono di una carta nazionale dei servizi (CNS TS) regolarmente attivata e di un lettore di smartcard.

La prova sul campo: richiesta dell'identità digitale SPID mediante CNS TS

Abbiamo provato a richiedere la nostra identità digitale SPID prima a Poste Italiane e poi a TIM.
Risiedendo in una delle regioni italiane che per prime hanno adottato la carta nazionale dei servizi (CNS TS), abbiamo visitato il sito di PosteID quindi abbiamo fatto clic su Carta Nazionale dei Servizi o Carta d'Identità Elettronica attive.

Cos'Ŕ SPID e come funziona, autenticazione con un clic sui siti web

Prima di procedere abbiamo collegato il lettore di smarcard ed inserito la nostra carta nazionale dei servizi (CNS TS) precedentemente attivata (vedere Attivazione tessera sanitaria per accedere ai servizi della PA) quindi abbiamo fatto clic su Avvia identificazione per poi scegliere il certificato digitale abbinato alla CNS.

Cos'Ŕ SPID e come funziona, autenticazione con un clic sui siti web

La CNS TS utilizzata per la nostra prova è regolarmente utilizzata per effettuare pagamenti alla PA e per accedere alle informazioni pubblicate sui siti della stessa PA.

Al momento non ci è stato possibile ottenere un'identità digitale SPID online perché Poste Italiane risponde con il messaggio d'errore "Gli estremi del tuo documento di identificazione non sono completi, ti chiediamo di presentarti in Ufficio Postale per integrarli e validarli".

Cos'Ŕ SPID e come funziona, autenticazione con un clic sui siti web

Abbiamo chiesto a Poste Italiane, attraverso l'ufficio stampa, maggiori informazioni.

Prova sul campo: richiesta dell'identità digitale SPID a TIM ID mediante CNS TS

A distanza di poche ore dal lancio del servizio di richiesta dell'identità digitale SPID a TIM, abbiamo ricevuto un'email con la quale ci viene confermata la disponibilità del servizio.

Diversamente rispetto a Poste Italiane, l'autenticazione mediante CNS TS in nostro possesso (abbiamo usato la medesima tessera sanitaria) su TIM ID è andata correttamente a buon fine.

Il sistema di TIM ci ha richiesto un gran numero di dati personali (tra cui i dettagli di un documento di riconoscimento) permettendoci però di proseguire previa autenticazione con CNS TS.

Il passaggio finale proposto da TIM ID, prima di ricevere la propria identità digitale SPID, consiste nel download della copia del contratto in formato PDF.

Non è scritto a chiare lettere ma il contratto in PDF scaricato dal sito di TIM ID dev'essere firmato digitalmente da parte dell'utente.

Normalmente dovrebbe essere possibile apporre la firma elettronica con la CNS TS, utilizzando un apposito software che - lasciando inserita la carta dotata di microchip nel settore - permetterà di firmare il documento (in questo caso il contratto TIM ID).

Cos'Ŕ SPID e come funziona, autenticazione con un clic sui siti web

Peccato però che non tutte le Regioni, almeno allo stato attuale, erogano CNS TS abilitate per la firma elettronica. La CNS della Regione Toscana che abbiamo utilizzato per la nostra "prova sul campo" non permette di firmare documenti ma solamente di autenticarsi sui siti web della pubblica amministrazione.
Regione Toscana si sta attrezzando per fornire il servizio ai suoi cittadini ma non sono ancora note le tempistiche.

Regione Lombardia, ad esempio, già fornisce una CNS utilizzabile non soltanto per autenticarsi sui siti della pubblica amministrazione ma anche per firmare i documenti (vedere questo documento di supporto e le informazioni sul software per apporre la firma elettronica).

Provando a firmare il contratto TIM ID con una CNS non abilitata per la firma (usando uno dei software disponibili allo scopo), il sistema rigetterà il file PDF mostrando l'errore Firma non corretta. Il certificato digitale utilizzato, infatti, non risulta emesso da alcuna autorità valida e riconosciuta.

Il problema con le CNS non abilitate all'apposizione della firma digitale non è ovviamente di TIM ma è interessante capire in che modo queste difficoltà saranno gestite.

TIM ci ha confermato che per usare TIM ID e richiedere la propria identità digitale SPID è necessario usare una firma digitale oppure una CNS, regolarmente attivata, che consenta anche l'apposizione della firma elettronica.

SPID e un concorrente della CNS TS?

Come abbiamo più volte rimarcato, la CNS TS, opportunamente attivata, consente già di accedere ai principali siti e servizi della pubblica amministrazione. C'era allora davvero bisogno di SPID, anche considerato che la CNS TS non è stata lanciata sull'intero territorio nazionale?

La CNS TS, secondo il Governo, resterà in vita e permetterà comunque di accedere ai servizi della PA attraverso l'impiego di un lettore di smartcart (previa attivazione della carta stessa: Attivazione tessera sanitaria per accedere ai servizi della PA).

SPID, però, si propone come un sistema per la gestione del login più semplice ed immediato: per la stragrande maggioranza delle operazioni non servirà più un lettore di smartcart (l'accesso con livello 3, tra l'altro, non è ancora supportato da nessun gestore).
Inoltre sarà possibile autenticarsi non solo sui siti della PA ma anche su siti terzi che sceglieranno di aderire al sistema SPID.

Vedremo se quanto SPID sarà utilizzato. Anche perché tutti i gestori promettono 2 anni di abbonamento gratuito al servizio (almeno fino al 31/12/2016) ma, successivamente, non è escluso che la gestione delle credenziali SPID possa diventare a pagamento.
TIM ipotizza un canone annuale di 12 euro dopo il "biennio promozionale" ma tutti i provider si dichiarano orientati a mantenere il servizio gratuito almeno per i cittadini.

Per maggiori informazioni, suggeriamo anche la lettura dell'articolo SPID, ottenere un'identità digitale con TIM ID, Poste e CNS TS.

Articolo seguente: Trasferire la licenza di Windows e attivare il sistema
Articolo precedente: Come evitare malware ed altre minacce online - SECONDA PUNTATA
10797 letture
Ultimi commenti
inviato da AlessiaGarofalo > pubblicato il 23/08/2016 13:54:38
Salve. Ho provato ad effettuare la registrazione sul sito delle poste con la procedura base, ma quando mi chiede di inserire l'indirizzo email (che sarÓ anche il mio nome utente) cliccando sul tasto "Procedi" non va proprio avanti. Arriva solo una mail sul mio indirizzo con un codice da inserire nel sito, ma dove devo inserire tale codice?
inviato da Maurizio Marzano > pubblicato il 11/08/2016 10:25:40
Ottenuto SPID con Infocert a Milano. Una pena. Procedura ultra burocratica: si deve prendere appuntamento e andare di persona, firmare fogli e fogli di carta (alla faccia della digitalizzazione e smaterializzazione). Una volta ricevuti i codici si utilizza con smartphone. Troppi passaggi di codici e sms, altro che velocitÓ. Un schifo che sarÓ a pagamento? Bella roba.
inviato da emilius3m > pubblicato il 09/04/2016 09:03:45
Sono molisano e sono riuscito ad avere la mia identitÓ digitale. Attivata la ts-cns presso l'ufficio preposto della regione molise in 2 minuti. Ho ricevuto il pin e il puk a pezzi: una parte dall'operatore subito e una parte per posta elettronica. Effettuato una verifica della ts-cns con lettore di smartcard e ho potuto verificare che funziona. Con file protector 5 ho provato ad apporre la firma ma non Ŕ abilitata. Con posteid sono riuscito a registrarmi e a validare la mia identitÓ digitale con la cs-cns il tutto in 20 minuti. Con tim-id mi fermo invece ad un form in cui mi chiede di firmare con la cns un PDF pre-compilato con i miei dati, firmare e fare poi l'upload. Qualcuno mi deve spiegare come faccio a firmarlo... Anche Con infocert sono riuscito a validare con la ts-cns. Sono in attesa di email di conferma che richiede 72 ore.. Gli unici browser che funzionano sono chrome e internet explorer.
inviato da Skipper51 > pubblicato il 07/04/2016 08:43:34
Buongiorno, ho effettuato la registrazione sul sito delle poste tramite documenti ed Ŕ' andata a buon fine. Il giorno successivo mi sono recato alla Posta Centrale di Pavia che in pochi minuti ha effettuato la validazione. Tornato a casa e ricevuto il codice puk sullo smartphone ho concluso la registrazione L'unico mio dubbio Ŕ che non capisco come entro nei siti che adottano lo Spid. Ho cercato su quello dell'Agenzia delle Entrate ma non trov˛ il link con " Entra con Spid " forse non sono ancora aggiornati. Quando lo trover˛ per˛ non so cosa dovr˛ inserire, qualcuno sa dirmi maggiori ragguagli? Grazie
inviato da Michele Nasi > pubblicato il 17/03/2016 12:23:04
Ci sono sicuramente diversi peccati di giovent¨. Da parte nostra stiamo cercando di segnalarli tutti, anche con il supporto dei lettori come te!
inviato da EMPIRE52 > pubblicato il 17/03/2016 12:19:12
Ho fatto tutta la procedura base sul sito delle poste (per un nuovo utente che non ha firme digitale, e ne altro modo di riconoscimento) alla fine mi Ŕ arrivato il messaggio di recarmi entro 30 giorni, in un ufficio postale abilitato per il riconoscimento di persona ... ma gli uffici postali, cercandoli sul sito delle Poste, non esistono ancora ... e qui finisce il sogno SPID ...
inviato da Michele Nasi > pubblicato il 17/03/2016 12:09:43
Suvvia, non la mettere su questo piano. Chi possiede ad esempio una CNS TS abilitata anche per la firma elettronica dei documenti pu˛ giÓ procedere. Stiamo effettuando alcune verifiche poi integreremo l'articolo e pubblicheremo una news in home. Pi¨ che altro auspichiamo uno snellimento delle procedure ed una "unificazione" sull'intero territorio nazionale.
inviato da EMPIRE52 > pubblicato il 17/03/2016 12:03:39
Ho provato su tutti e 3, nulla da fare, se non hai gia la firma digitale o la poste ID, non Ŕ possibile. Gli uffici postati abilitati a riconoscimento non esistono ancora ... la TS - CNS nel Lazio, ho cercato pi¨ volte ma non esiste abilitazione ... sono le solite prese in giro all'Italiana ...


Leggi tutti i commenti

Commenta anche su Facebook
Link alla home page de IlSoftware.it

P.IVA: 02472210547 | Copyright © 2001 - 2016

PRIVACY | INFORMATIVA ESTESA COOKIES | Info legali | Pubblicità | Contatti | Storia | Supporta | Credits

Segui i nostri Feed RSS de IlSoftware.it Segui i nostri Feed RSS