SPID, lo meritiamo?

Why mango?

Cosa abbiamo fatto di male?

Si sa che tutti i servizi in Italia sono ottenuti in una qualche maniera piu' o meno pasticciata a seconda della zona.

È un superclassico che anche un banale foglio di carta con una dichiarazione sia desiderato in maniera diversa tra due comuni adiacenti nonostante la legislazione sottostante sia assolutamente identica e ci sia un esempio sul sito del ministero competente.

Anche i fornitori di servizi informatici ovviamente sono diversi e vista la competenza tipica italiana assolutamente disastrosi e incompatibili fra loro.

In pratica per accedere a un qualsiasi portale della pubblica amministrazione è necessaria una autenticazione diversa anche quando, sostanzialmente, i dati trattati sono i medesimi.

Per esempio se io devo fare una dichiarazione ad un tribunale, magari per un atto che parla dell'IVA, non posso usare le stesse credenziali che uso per il versamento della stessa.

Ma neppure posso utilizzare, per versare l'Iva, le stesse credenziali che uso per la dichiarazione Iva intracomunitaria fatta presso il medesimo ente.

Per la nostra pubblica amministrazione tale Paolo Rossi se non si reca allo sportello fisicamente con una identità cartacea che si chiama “carta d'identità” compatibile verso il basso con un certificato internazionale chiamato “passaporto” è obbligato a chiamarsi in tante maniere diverse: Paolo, Giovanni, Alfredo, Giacomino...

Per chi è abituato al mondo digitale, in cui ci sono delle corporation sparse sull'intero globo con cui fai accesso su decine di siti da tutto il pianeta con una singola identità, pare follia stato puro.

Se parliamo solo del mondo di blogger.com viene da ridere.

Ma prima di capire che cosa stanno combinando forse è da capire non solo perché è utile un singolo accesso, anzi auspicabile, ma soprattutto cosa vuol dire avere una identità su Internet.

L'identita' e' come si riconosce che tu sia tu.

COSA E' UNA IDENTITA' nei fatti:

1

L'accesso più semplice è dato da un nome utente, come potrebbe essere Pippo, e per verificare che non sia una frode, una password segreta che e' conosciuta sia dal sito che dal visitatore.

In un certo senso per chi legge Sturmtruppen sa che e' una cosa antica:

“chi va là”

“giacomino”

e una volta dichiarata l'identità,

la richiesta della parola d'ordine:

“parola d'ordine”

“carciofo verde”

Ad oggi questo tipo di accesso è il più utilizzato sebbene non presenti una sicurezza particolarmente alta.

Se il computer è pulito, ma soprattutto le credenziali d'accesso non vengono comunicate a terzi, se il sito e' ben fatto, è abbastanza sicuro.

Infatti molti siti che utilizzano questa struttura apparentemente banale in realtà identificano l'utente anche attraverso l'uso della zona, dei cookie e altro.

Provate ad esempio ad andare in un altro Stato con un computer che non sia il vostro, accedere al “solito” sito e per alcuni URL ne vedrete delle belle.

Nome utente e password non e' eccezionale ma rimane interessante soprattutto per avere un accesso semplice, ma nel caso di uno Stato non va bene per un motivo molto banale: la password è spesso troppo semplice, in alcuni casi conservata dal sito in maniera impropria e se non lunga può essere fatta a pezzi anche se conservata correttamente. Molti siti e programmi conservano le password “in chiaro” e se attaccati possono rivelarle. Tipico dei programmi di contabilita' italiani o dei browser. La tentazione di memorizzare password VITALI ma molto usate nel browser e' pericolosa.

2

Un altro tipo di accesso, molto utilizzato dalle banche che vogliono tranquillizzare i clienti, è fornire un token. L'oggetto è un pezzettino di plastica, delle dimensioni di un'accendino, da tenere addosso 24 ore al giorno con un display-orologio che cambia il numero rappresentato una volta ogni 2 minuti.

La sicurezza aumenta di poco perché l'oggetto viene regolarmente lasciato in un cassetto incustodito, dopotutto conosco persone che ne hanno  una decina.

Andrebbe mantenuto in cassaforte, certo, ma voi pensate ad un contabile che deve aprire la cassaforte 10 volte al giorno solo per questo? 

Dai, non scherziamo.

A quel punto e' la cassaforte che perde la sua funzione passando il tempo a stare aperta.

Altrettanto ridicola e' portare a spasso un tale enorme simulacro delle dimensioni di un campanaccio da mucca.

L'oggetto può essere bypassato da un attacco alla vittima ed infine è tremendamente scomodo da utilizzarsi perché o viene richiesta la password mostrata di continuo oppure serve a poco. 

La scrittura del codice e' tediosa non solo perché le sei cifre, otto in alcuni casi, vanno ribattute a mano ma durante la scrittura delle stesse succede spesso che il numero cambi dovendo ripetere l'operazione.

E' classica la situazione in cui il cliente scopre di avere un'urgenza nell'accedere al sito “protetto” ma lo scomodo ed ingombrante giocattolo di plastica si trova da un'altra parte. 

Tipicamente questo accade nei weekend quando in azienda non esiste nessuno in grado di comunicare per telefono il numero, una pratica già difficilissima per via della velocità necessarie per l'esecuzione e un altro  motivo per il quale non si trovano in cassaforte.

Il token e' buono sulla carta, ovvero se l'utente ne avesse uno solo. L'aumento delle sicurezza che matematicamente e' piuttosto alto viene disintegrato dalle necessita' dell'utente.

Per esempio se fosse standardizzato magari sarebbe utile.  Ma l'uso da parte di molti siti fra loro incompatibili lo rende ridicolo in quanto banalemte scomodo.

Chi lo propone e' semplicemente un buffone.

3

Esistono anche dei fantocci, simulacri.

Persino peggiori dei TOKEN ma completamente inutili.

Una nota banca italiana, per esempio, fornisce un pezzo di plastica formato di una carta di credito con dentro una tabellina.

Il sito mostrerà, dopo la richiesta di nomeutente-password, due cifre che, come sulla battaglia navale, indichera' un numero-password sulla cartina.

Inutile dire che l'utilità di questo oggetto sulla sicurezza informatica è pari alla statuina dell'elefante che avete di fianco al monitor: esclusivamente psicologica.

Visto che è stato stampato in milioni di pezzi, uguale per centinaia di utenti, e basta una semplice fotocopiatrice o un telefonino per prendere possesso dell'elenco: ha una qualche validità, temporalmente ridotta, solo se l'attaccante e dall'altra parte del pianeta terra.

Diciamo che e' meglio del codice CCV delle carte di credito.

Un altro sito piuttosto grande dopo l'ennesima nomeutente-password richiede di copiare un numero che esce da un riquadro. Sicuramente può essere utile per un attacco informatico completamente automatizzato ma assolutamente inutile per chi conosce nome utente password e lo stesso programma automatico rivelera' all'attaccante che queste ultime sono valide: come legge il numero l'utente autorizzato lo legge l'eventuale attaccante.

Per evitare approcci automatizzati esiste persino qualcuno che ruota la posizione dei numeri di un tastierino virtuale necessario ad introdurre la password esclusivamente numerica. Dovrebbe servire per evitare gli attacchi informatici automatizzati. Dimentica però che esistono regioni nelle quali la manodopera può costare un paio di euro a giornata e una password di otto cifre Non è poi così impossibile trovarla con risorse, tutto sommato, contenute.

Potrei andare avanti ore a descrivere la quantità e la qualità di bizzarri sistemi intesi ad aumentare di poco o nulla la sicurezza informatica complicando però la vita dell'utente e dando una falsa sensazione di sicurezza al malcapitato.

4

da molto tempo esiste l'autenticazione due fattori: consiste nel fatto che dopo aver messo nome utente password qualcuno ci invia un plico con dentro una seconda password. 

Siccome il destinatario designato dovrebbe essere l'unico in grado di leggere questa missiva in linea teorica dovrebbe essere proprio lui colui che richiede l'accesso.

Per esempio Google se ritiene che ci sia qualcosa di fuori dal normale potrebbe richiedervi di trascrivere un numero di quattro cifre da un SMS appena inviato.

Lo puo' fare facebook, tweeter...

In linea pratica è più sicuro del TOKEN perché generalmente il telefono cellulare e' sempre con voi, non in un cassetto in ufficio, e un eventuale attaccante non solo deve possedere il vostro telefono ma l'eventuale SMS che deriva dall'accesso al sito causa uno squillo e rimane in memoria finché non viene cancellato. Bonus pack il generatore di numeri pseudocasuali non rimane a disposizione 24/24 per un reverse enginering semplicemente facendone richiesta.

L'attaccante dovrebbe prendere possesso del telefono, leggere in quel momento il messaggio, cancellarlo e restituire il telefono.

D'altro canto sono valide le stesse fregature del display da imborniti che è tedioso da ribattere anche se non cambia mentre lo scrivete.

L'SMS (o mail) viene ucciso, reso inutile, da quei peones che usano la parolaccia cloud (traduzione: il computer di uno sconosciuto).

Spesso informazioni vitali sono state sottratte attaccando il cloud (aka il computer di uno sconosciuto) come ad esempio le immaginette ose' delle attricette che avevano messo su i-cloud (aka il computer di apple, uno sconosciuto un po meno sconosciuto) i dati.

se usate il cloud (aka il computer di uno sconosciuto) e' relativamente facile rubarvi l'SMS

Il cloud e' il male. Ma a breve diverra' obbligatorio, scommettiamo?

5

Password biometrica.

In tutti i film d'azione in cui le spie la fanno da padrone gli accessi sono rigorosamente biometrici. Da un lato per questo il biometrico sa di fantascienza: senza toccare o portare con sé qualcosa si apre una porta.

È un po' l'apriti sesamo, la fantascienza, è una cosa che comunque non era a portata del grande pubblico prima degli anni 90 e comunque raramente utilizzata.

Nell'immaginario collettivo era come le televisioni a schermo sottile: sebbene esistessero da decenni, fino a quando non sono costate relativamente poco e costruite con una tecnologia di semplice utilizzo, apparivano solo nei film.

La realtà delle cose e' un pochino diversa perché un dato biometrico, sebbene identifichi in maniera assolutamente inequivocabile un possessore, non è detto che sia portato dallo stesso.

I sensori di impronte, ad esempio, possono essere facilmente ingannati con 15 euro di spesa all'esselunga.

L'unica difficoltà è rubare l'impronta.

Rubare?

Difficolta'?

Ci dimentichiamo forse che le nostre impronte le regaliamo a perfetti sconosciuti in continuazione mentre viviamo.

Andiamo al ristorante e lasciamo delle impronte.

Sul posto di lavoro lasciamo delle impronte.

Dovremmo portare sempre dei guanti!

Non va meglio per sensori basati sulle telecamere che dovrebbero riconoscere il viso attraverso la forma della nostra faccia: distanza fra le pupille, disposizione del naso eccetera. 

Basta che qualcuno ci scatti una foto e una stampa a grandezza naturale, costo due euro, è sufficiente per uccidere qualunque tipo di riconoscimento.

Inoltre invecchiando alcuni di questi parametri possono lentamente muoversi ed è quindi obbligatorio per chi fa uso di sistemi biometrici prevedere sempre una porta di servizio che sarà vulnerabile a seconda della tecnologia utilizzata.

Semplicemente un cerotto oppure un ascesso per cambiare le carte in tavola e rendere in nulla la nostra chiave ma ancora valida quella di un eventuale attaccante.

Ultimamente un paio di aziende molto forti nei computer portatili e tascabili stanno spingendo per l'uso del polpastrello come chiave del nostro mondo digitale financo dei pagamenti (apple pay dice nulla?).

Inutile dire che se si diffondesse davvero questa mania collettiva gli unici a guadagnarci davvero, oltre ai ladri, sono i produttori del necessario per far le caramelle gommose attraverso il quale è possibile accedere velocemente a tutti i nostri dati.

Infine una volta che rubassero la chiave?

Per cambiarla facciamo un trapianto di dita!

6

Un sistema più elegante consiste in un certificato digitale.

Da un certo punto di vista è l'evoluzione del nome utente password ma con due grossi vantaggi: il certificato digitale può rappresentare già di base una criptazione e quindi non viene trasmessa la parola d'ordine ma un suo effetto collaterale.

Lo scambio dati può essere protetto in maniera continua dalla presenza del certificato che quindi non è visibile in nessun modo.

In pratica l'unico sistema per scavalcarlo e' prendere possesso in tempo reale del browser. Un attacco sofisticato e difficile.

All'apertura del certificato è necessario immettere una password che protegge lo stesso e quindi ci sono due password e un certificato che proteggono l'utente.

Un'eventuale attaccante dovrebbe essere dotato di tutti e quattro:

nome utente

password del sito,

password del certificato

e certificato.

Per complicare le cose e renderlo meno operabile da quello che è la maggiore parte dei PC oggi in commercio, pad, trasformabili, cellulari, eccetera, qualcuno ha deciso di inserire il certificato in una smart card con l'intenzione di non renderlo “asportabile”.

Ovviamente esisterebbe anche la versione per cellulari ma ad oggi e' poco diffusa (NFC permetterebbe anche questo)

I certificati solitamente vengono lasciate da un'autority che li valida ed è validata a sua volta da un'entità sopra di se.

Questo comporta innegabili vantaggi perché non si possono generare certificati falsi, si può risalire sia all'emittente colui che li ha comprati, possono essere invalidati e hanno una vita temporale limitata.

Questo significa che se per caso Il rilasciante viene attaccato e creati dei certificati falsi si può bloccare tutta quella tranche può essere considerata falsa.

Ma in italia semo diversi.

Per esempio, i nostri tribunali che hanno spesso utilizzato certificati "fai da te" con l'effetto collaterale e ridicolo di presentare ad ogni accesso da parte del browser una schermati di avviso dichiarante che il sito in questione è da considerarsi poco sicuro.

Migliaia di avvocati hanno mandato ricevuto documenti importanti su siti in cui il computer usciva con una gigantesca pagina con scritto “attenzione il sito è una burla”.

Nessun avvocato, che io sappia, ha mai intentato causa contro una assurdità di questo tipo.

Questo dovrebbe fare riflettere.

Molto.

Ricapitolando:

Come si vede ci sono diversi livelli di sicurezza dall'utente-password ottimo per un sito come Facebook o un sito di piccole dimensioni al certificato che permette una marcia in più.

In questo contesto, ricordo per l'ennesima volta,  ogni ufficio della pubblica amministrazione si e' alzato la mattina e ha deciso di identificarci con delle credenziali diverse a seconda di dove spirava il tempo, qualcuno ha deciso di fare una identificazione unica.

Fino a qui è tutto bello chiaro.

Anzi, per chi ha pensato l'origine della cosa, un unico accesso, meriterebbe un applauso.

Una sola identificazione per tutti gli uffici di proprietà dello Stato.

Figata.

Il problema nasce che nessuno vuole mollare lo scettro del potere e quindi si trasforma da una questione tecnica di scambio delle informazioni, attraverso una piattaforma comune da implementare tra i vari uffici, al famoso mondo politico fangoso.

Solo nel comune di milano ci sono 16 grossi database che non sono interconnessi.

Nel mio comune quando volete pagare la spazzatura COMUNALE vi chiedono di andare al catasto COMUNALE per richiedere il numero catastale.

Perche' il comune non conosce il numero catastale che il comune ha rilasciato.

Nel mio caso mi hanno pure richiesto uno stato di famiglia COMUNALE che rilasciano al piano inferiore, con grande coda, perche' il comune non pensava che abitassi da solo. Perche il comune non sa quello che conosce.

Mi chiedi di chiederti cose che sai gia' ma non conosci?

Fatti curare!

La schizzofrenia e' una brutta bestia!

Anziché fare un database comune delle identita' in grado di essere interrogato al momento dell'accesso, con tutte le le protezioni e modalità che oggi esistono da secoli, si è voluto fare una cosa diversa: una cosa che equipara qualcos'altro, pur essendo una e trina, mantenendo pure l'indipendenza degli accessi.

Non avete capito nulla? Neppure io!

In realtà non lo sanno neppure loro perché non è chiaro quali siano i servizi che possono essere utilizzati con che cosa

Cominciamo a identificare che cos'è lo SPID (SPIeDino digitale con cui ci infilzano).

Innanzitutto la prima cosa che dice il sito governativo che parla dello SPID è che non è uno solo ma sono tre e possono essere utilizzati indipendentemente con lo stesso valore.

Troppo semplice fare UNA cosa per lo stato!

Bisogna fare una cosa che pero' ha tre cose che cosano.

Perche?

Boh. 

Next, fare 3 carte d'identita' cartacee: 

una con foto, 

una senza 

e una con due foto e impronta digitale.

Costava troppo poco farne una versione sola?

Lo SPieDino base consiste nel nome utente password.

Se fosse vero, e non metto certo in dubbio quello che dice un sito governativo, vuol dire che:

io, attraverso un semplice nome utente e una semplice password, posso accedere a siti in cui, fino a ieri, per garantirmi l'accesso ero obbligato a utilizzare addirittura una smart card statale di un determinato pool, validarla singolarmente, autorizzarla mandando un plico pieno di firme reali consegnate a mano (cites)?

Era tutto inutile, quindi?

In pratica si ottiene che tutta la difficoltà, ad esempio della sanità, nel dover distribuire carte per l'accesso, gestire un complesso sistema di autenticazione basato su firme digitali e dispositivi hardware finisce dritto dritto nel cesso.

Milioni, miliardi,  di euri tirati nel cesso.

Perché tanto, OGGI, si può entrare con un utente password.

Casso serviva la smaron card con pin inviato bifidamente?

Lo SPIeDino numero due.

E' una banale autenticazione a due fattori: ricevo sempre in nome utente password e una password accessoria che mi viene inviata di volta in volta sul mio cellulare.

Sicuramente molto più sicura del nome utente password dello spiedino numero uno ma molto più semplice da gestire di un dispositivo hardware. Non si capisce perché dare la possibilità di scelta fra questi due.

Non e' previsto, andando contro la 196, di un backup.

Lo SPIeDino numero tre

Utilizza una smart card che contiene all'interno un certificato.

La cosa divertente è che non si può utilizzare la smart card è già in nostro possesso per una delle centinaia di servizi della pubblica amministrazione ma dovrebbe, il condizionale è d'obbligo visto che a tutt'oggi non funziona, utilizzare una smarcarton diversa.

Come In casi analoghi della pubblica amministrazione non è previsto un sistema di backup. È una cosa già vista, ad esempio, nel processo digitale che non è possibile richiedere due Sim di validazione.

Ancora leggi che si autoannullano.

Come abbiamo visto nella prefazione sono tre livelli di sicurezza assolutamente diversi nello SPID.

Come sia possibile definirli identici, perché è questo che si dice e si riesce a capire dal loro sito, non è chiaro.

La scelta ovvia sarebbe stato di scegliere uno solo di questi e definire tutto di conseguenza.

Forse il problema era qualche sitarello di qualche comune che non avendo la tecnologia a disposizione non poteva certo gestire un sistema complesso?

Ma se fosse cosi' si incorrerebbe in una falla di sicuressa di tutto il sistema consentendo ad un sito non “a posto” di gestire l'identita'!

CHI CI PROTEGGE?

Se questo non mi sembrava abbastanza folle andiamo a vedere chi dovrebbe conservare le nostre identità digitali.

In uno stato normale avrebbe dovuto essere la stesso stato a gestire la nostra identità, dopotutto lo fa già attraverso carte d'identità, passaporti e patenti.

Non si capisce perché un sistema digitale sia considerato diverso da quello cartaceo.

È una bizzarra impostazione dello stato considerare identici gli aspetti diversi fra digitale e tangibile e diversi gli aspetti assolutamente identici.

Il tutto condito con una voglia pazza di legiferare ciò che non si conosce.

Lo stato quindi ci informa che dobbiamo fidarci di gestori privati, e che privati:

-poste italiane, la società che oltre a essere stata rasa al suolo da un virus dato da una mal gestione dei server principali ha sempre snobbato il mondo digitale.

Una società che non ha neanche informato se durante l'attacco che l'ha bloccata per 10 giorni ci sia stata una fuga di informazioni. La società che si opponeva in tutte le maniere possibili a delle cose chiamate modem.

-La seconda Società è infocert. Se non fosse perché è molto introdotta nel governo probabilmente non esisterebbe. In pratica tre quarti delle cose che riguardano in qualche modo un modo il mondo digitale italiano circolano attraverso questa società che fornisce certificati che non sono certificati.

-La terza società e' Telecom Italia. La stessa che si e' posta di traverso più volte al mondo digitale cercando di evitare, per es, che venissero installati dei modem, “ma cosa servirà mai una cosa del genere?”. La stessa società i cui amministratori mi dissero che il GSM non sarebbe mai interessato a nessuno. L'attrito fra il mondo digitale e la società è ben noto, se fosse per loro saremmo all' E-TACS ancora.

Insomma le società che dovrebbero garantire la sicurezza informatica dell'Italia intera sono delle società molto immanicate e famose per essersi messe contro la diffusione del digitale e contro l'innovazione. 

Io lo trovo quanto meno bizzarro.

Ancora un'altra cosa ridicola: se io acquistassi da due società diverse lo SPID sostanzialmente avrei due entità diverse.

Come dire che una persona può fare due carte d'identità: basta rivolgersi al Comune di residenza e al Comune dove va in vacanza.

Tre o piu' carte d'identita' ugualmente valide.

Evidentemente il discorso dell'identità digitale non è molto chiaro ai nostri legislatori.

Ora sono Carlo domani Pippo e posso essere Carlo il giovedì e Pluto il mercoledì.

La gran bugia:

lo SPID Esiste già da anni, molti anni!

La cosa divertente è che esisteva già sistema molto più sicuro di questa cosa marrone che si chiamava carta nazionale dei servizi che è partita inizialmente in un paio di regioni come la Lombardia.

La carta nazionale dei servizi altro non è che un tesserino contenente un microchip spedito dal servizio sanitario locale.

In pratica sarebbe bastato molto più semplicemente definire la carta nazionale dei servizi, ovvero un microchip che è già in possesso di tutta la popolazione nazionale, come forma di accesso.

Oltretutto per validare tutte le CNS sono stati spesi soldi e, soprattutto, un arco temporale lunghissimo che ora finisce dritto dritto nel cesso.

La CNS è infatti già operativa,

in grado di fornire accesso,

ha i server già attivi, funziona OGGI.

è già stata finanziata e pagata, in pratica è gratis,

fa già ora quello che lo spiedino dovrebbe fare nel futuro,

e' già in possesso degli utenti, ne sono state distribuite più di 50.000.000,

l'identità viene gestita dallo stato.

In pratica fa da anni quello che promette lo SPID ma e' gia' completamente operativa.

Inoltre, visti gli accordi internazionali, si dovrà anche mantenere l'apparato della carta nazionale servizi, abbiamo infatti degli accordi con diversi Stati europei perché venga letta anche da loro. Il sito invece dello spiedino dice che verrà abolita.

Casso, funzionava!

L'unico problema che poteva avere, come tutte le smart card, la carta nazionale dei servizi è l'uso attraverso i nuovi computer che si possono chiamare tablet o smartphone.

Ma per risolvere questa banalità sarebbe bastato consentire l'estrazione certificato o attraverso un banale sito permettere di avere un secondo certificato da scaricare e installare sul browser del dispositivo dal quale volevamo accedere a tutti questi dati oppure un NFC.

Pensiamo solo ai costi sostenuti per la CNS: abbiamo speso miliardi solo per produrre il tesserino e recapitarlo a casa!

Quando hai un'auto nuova cosa fai?

la butti?

Per il governo si!

Ecco il sostituto della CNS, la SPID!

Il nostro Renzi mattacchione non pare rendersi conto che questa “innovazione” dello spiedino porta solo a un gran scompiglio: riduce la sicurezza informatica aumentandone in maniera drammatica i costi.

Infatti viene dichiarato A GRAN VOCE gratuito quando invece non lo è.

È previsto un momento di gratuità momentanea perché il sistema è sostanzialmente in alfa e rientrerà in beta quando verrà gestita anche la smart card.

Successivamente, per la versione sfigata, ovvero con un solo nome utente password, potrebbe essere richiesto, stando a voci di corridoio, una cifra fra i 10 e i 40 euro all'anno. 

Verranno sicuramente aggiunti un'altra sessantina di euro per il rilascio della card come già avviene da parte delle società che erogano servizi similari per la pubblica amministrazione.

Inoltre per il peone medio la card e' psicologicamente piu' difficile e optera', anche per i costi, massivamente per la versione insicura.

Ricordiamoci che essendo un accesso unico con le stesse credenziali, stando al sito, si potrà entrare sia per chiedere un banale appuntamento sia per controllare tasse versate (quindi il reddito reale di una persona) come eventuali malattie dall'inizio della nostra vita ad oggi.

Moltiplicate queste cifre per i milioni di persone che devono in qualche maniera fare un accesso presso lo Stato e viene fuori una montagna di danaro per un sistema che possediamo già che si chiama carta nazionale dei servizi.

30 milioni di richiedenti in un decennio parliamo di miliardi di euro facilmente.

Infine parliamo di sicurezza.

Pensiamo solo ai dati necessari per fare la validazione: una miniera d'oro.

Se fossero gestiti dallo Stato, per quanto non siano dei geni, avremmo i dati in un solo punto e sarebbe abbastanza semplice capire sia dove sono sia in caso di problemi quale possa essere la fonte di un evetuale problema.

Dare invece la possibilità a chiunque, perché è questo alla fine un pentimento generale delle ultime leggi fatte, di gestire questa miniera d'oro non e' furbo:  la domanda prima da chiedersi è perché queste società non dovrebbero trarne profitto. Certo esiste il contratto firmato ma sappiamo tutti poi come vanno le cose.

Inoltre vuol dire una moltiplicazione dai pochi addetti a migliaia di addetti che gestiscono questi dati: pensiamo veramente che nessuno di loro possa essere acquistato?

Pensiamoci bene prima di dare ad aziende in cui queste cose sono già successe (qualcuno ricorda lo scandalo delle intercettazioni?), Il fulcro della nostra identità.

Lo spid pare proprio una cosa malfatta e inutile.

Concludendo:

Avevamo un dispositivo di accesso che ufficialmente era diffuso in 40 milioni di pezzi con:

Chiave privata RSA a 1024 bit, necessaria per firmare digitalmente documenti o garantire l'accesso ai servizi online.

Chiave pubblica RSA a 1024 bit, necessaria per controllare l'autenticità di documenti firmati digitalmente con la stessa smart card (esportabile).

Un certificato digitale in standard X.509.

ID della carta con Associazione biunivoca con il nome, cognome e il codice fiscale.

utilizzabile su Windows, Mac OS e Linux.

Mancava uno per far 31.

Cosa facciamo?

Lo buttiamo!

rifacciamolo da capo! 

Chissenefrega dei miliardi, della sicurezza e delle risorse!

Ecco facciamo lo SPID, detto anche 20.

Cosi' un domani potremo fare 21,22 e anche 23.

Fra 4 anni, dopo aver speso l'ennesima manciata di miliardi, avremo un sistema peggiore.

Fra 10 torneremo alla carta d'identita' cartacea.

fra 15 ci faremo l'ACIDO (accesso unico informatico dementi oscurati) 

fra 20....

Che bello fare i gamberi!

se tutto questo vi sembra straordinariamente simile alla PEC (Posta Elettronica NON Certificata)...

benvenuti.