L'identità digitale permette di accedere a servizi online attraverso un sistema di riconoscimento condiviso. Nel video parto dall'esperienza di accesso con SPID per spiegare gli attori coinvolti e l'idea di autenticazione federata. Per farlo correttamente occorre distinguere identità, autenticazione e autorizzazione.
Utente, gestore dell'identità e servizio
L'utente vuole usare un servizio, per esempio un portale della pubblica amministrazione. Il fornitore del servizio deve riconoscerlo; il gestore dell'identità esegue l'autenticazione e comunica l'esito secondo le regole previste.
Il vantaggio è non dover costruire un nuovo meccanismo di riconoscimento per ogni portale. Questo non significa che i soggetti non si scambino informazioni: lo scambio è proprio ciò che rende possibile il processo e deve essere regolato e protetto.
Il percorso di accesso
Nel flusso SPID basato su SAML, l'utente seleziona il gestore dell'identità dal sito del servizio, viene indirizzato verso l'autenticazione e ritorna con una risposta contenente un'asserzione firmata. Il servizio verifica quanto ricevuto e applica le proprie regole di accesso. La sequenza è descritta nelle regole tecniche SPID.
Riconoscere chi sta accedendo e decidere quali operazioni possa eseguire sono quindi passaggi collegati, ma distinti.
OAuth e OpenID Connect: una distinzione necessaria
Nel parlato sovrappongo alcuni concetti. OAuth 2.0 riguarda la delega dell'autorizzazione; OpenID Connect aggiunge un livello per l'autenticazione e le informazioni sull'identità. L'ID token appartiene a questo secondo contesto e non va usato come nome generico di ogni messaggio SPID.
Le specifiche SPID/CIE OpenID Connect documentano questa famiglia di integrazioni. Non è però corretto descrivere tutti gli accessi SPID come se fossero necessariamente lo stesso flusso OIDC.
Sicurezza e standard aperti
Cifratura, firme, verifiche e regole di fiducia contribuiscono a proteggere il processo. Non lo rendono infallibile: implementazione, gestione delle credenziali e comportamento dell'utente restano importanti.
Anche standard aperto e software open source non sono sinonimi. Il primo descrive specifiche e interoperabilità; il secondo riguarda il codice e la sua licenza. La possibilità di esaminare un'implementazione non garantisce che ogni errore venga corretto istantaneamente.
Le possibilità future restano una riflessione
Nel video immagino ulteriori integrazioni tra documenti e identità digitale. Sono ipotesi, non funzionalità già disponibili o la dimostrazione che concentrare tutto in un solo gestore sia necessariamente preferibile. La domanda da mantenere è come rendere i servizi accessibili, verificabili e rispettosi dei dati delle persone.
