Proteggere la propria identità nell'era digitale non è impossibile. Quantomeno dovremmo iniziare a usare gli strumenti disponibili come l'autenticazione a due fattori.

1. fast forward
1

2. 2
Il furto di identità nell'era digitale
Emanuele Cisbani
Technology Evangelist
ecisbani@intesigroup.com
19 Maggio 2018

3. ● Cosa è l'identità digitale
● L'autenticazione a 2 fattori
● Valid
● Domande e risposte
33
Agenda

4. La California è la 5° economia più grande del pianeta
(ha sorpassato la Gran Bretagna)
Poche grandi aziende hanno il controllo
di servizi fondamentali quali:
● telecomunicazioni
● logistica e grande distribuzione
● cartografia e geolocalizzazione di ogni attività
● identificazione e profilazione dei cittadini
(un tempo si sarebbe detto schedatura)
Le identità digitali sono nuove forme di cittadinanza gestite da
chi si sta spartendo il potere nel mondo digitale 4
Digital Transformation

5. Regolamento UE n. 679/2016 sulla protezione dei
dati personali. Si applica dal 25 Maggio 2018
Da una indagine condotta in Europa:
● Le aziende conformi sono 55% in UK, 54% in
Spagna, 51% Germania e Paesi Bassi, 48% in
Italia, 33% in Svezia
● il 39% dei consumatori convinti che una data
organizzazione protegga i loro dati ha
acquistato più prodotti da quell’azienda (In
Italia si sale al 47%)
5
GDPR - Un'urgenza che riguarda tutti

6. electronic IDentification Authentication and Signature
● eIDAS è la base per la costruzione del Mercato Unico
Digitale in Europa
● eIDAS impone l’interoperabilità in tutta Europa dal
1/7/2016
● La Firma Elettronica Qualificata ha valore legale
equivalente a quella autografa
● Il Regolamento implica l’adozione obbligatoria per
tutti gli Stati membri
6
eIDAS: l’identità digitale a valore legale in Europa

7. 7
SPID - Sistema Pubblico di Identità Digitale
Nasce per dare accesso a tutti i servizi online della Pubblica Amministrazione
Italiana con un'unica Identità Digitale
● Disponibile per tutti i cittadini che abbiano compiuto il 18°anno di età
● Tutta la PA dovrebbe già essere accessibile tramite SPID dal 1/1/2018
● Identity Provider (gestori delle identità digitali): Aruba, Infocert, Intesa IBM,
Namirial, Poste, Register, Sielte, Tim e eventuali altri in futuro
● SPID è utilizzabile a pagamento da fornitori di servizi privati
● Il pricing sembra orientato a grandi fornitori di servizi
● la certezza dell’identità del titolare è importante in alcuni procedimenti
critici come l’adeguata verifica nell’ambito della normativa antiriciclaggio
● utilities e assicurazioni potrebbero acquisire clienti online più rapidamente

8. 8
eID interoperability draft
Dal draft "Principles and guidance on eID interoperability for online platforms"
pubblicato in ottobre 2017 da Andrea Servida, Head of Unit "eGovernment and
Trust" at DG CONNECT, European Commission
"By allowing users to freely decide whether they want to use
government-issued/recognised eID means, which are at their disposal and
already used in other domains, online platforms can empower users and
enhance their digital experience – by providing them with extended
consumer choice, while ensuring the same or a higher level of convenience,
security, trust and respect of privacy and a high level of protection of
personal data."
https://ec.europa.eu/futurium/en/blog/draft-principles-and-guidance-eid-interoperability-online-platforms-share-your-views

9. 9
Chi è proprietario della nostra identità?
Può sembrare controintuitivo, ma non siamo noi!
Ogni nostra azione lascia una traccia nelle enormi basi di dati dei provider di
servizi "gratuiti" con cui comprano la nostra identità per rivenderla al marketing
Servirebbe un registro distribuito e affidabile dove le informazioni sono gestite
attraverso chiavi private di cui ogni persona ha il controllo esclusivo
Forse un domani la Blockchain di Bitcoin potrebbe diventare una infrastruttura su
cui costruire un registro pubblico che possa ridare alle persone il pieno possesso
della propria identità

10. ● “Data protection by default and by design”
(art. 25 GDPR)
● Proteggere i dati e gli eventuali account degli
utenti almeno con delle password secondo le
normative vigenti
● Proteggere gli account amministrativi con
l'autenticazione a due fattori
● Usare le funzionalità 2FA già disponibili
gratuitamente (soprattutto se si ricopre un
ruolo tecnico e si hanno privilegi
amministrativi)
● Educare gli utenti, poiché l'anello debole della
catena è quasi sempre il loro comportamento 10
Proteggere l'identità digitale

11. ● Non è una questione puramente normativa
● È un problema di comunicazione e
consapevolezza
● Non siamo consapevoli di cosa sia l'identità
digitale
● La tecnologia cambia il nostro habitat
velocemente
● Siamo biologicamente e psicologicamente
uguali all'uomo paleolitico
● Dobbiamo solo imparare a usare bene la
tecnologia per padroneggiarla senza averne
paura
11
La tecnologia è un problema?

12. ● L'identità digitale può essere vista come una
maschera o un travestimento
● L'identità digitale è simile a un documento
d'identità
● Possiamo avere molte identità digitali, come
accade per i documenti, rilasciati da diversi enti
● Le identità digitali autentiche sono analoghe tra
loro, come lo sono i documenti
● Quelle false ovviamente possono essere dissimili
12
Quante identità?

13. Nel Regolamento eIDAS (Art. 3) si definiscono i concetti seguenti
● «identificazione elettronica»: il processo per cui si fa uso di dati di
identificazione personale in forma elettronica che rappresentano un’unica
persona fisica o giuridica, o un’unica persona fisica che rappresenta una
persona giuridica
● «dati di identificazione personale»: un insieme di dati che consente di
stabilire l’identità di una persona fisica o giuridica, o di una persona fisica
che rappresenta una persona giuridica
● «autenticazione»: un processo elettronico che consente di confermare
l’identificazione elettronica di una persona fisica o giuridica, oppure l’origine
e l’integrità di dati in forma elettronica
13
Cosa è l'identità digitale?

14. ● Nel mondo digitale è facile (ed
economico) riprodurre le informazioni
(“copia e incolla”)
14
L’autenticità e l’identificazione nell’era digitale
● L’identità è un insieme di dati, un messaggio:
come facciamo a sapere chi c’è dall’altra
parte del filo o della porta?
● Se trasmetto quei “bit” che
rappresentano la mia identità, qualcuno
potrebbe intercettarli, copiarli, e simulare
di essere me: rubare cioè la mia identità!

15. 15
Identità digitale basata sulla biometria
● I dispositivi biometrici si basano su
caratteristiche fisiologiche o
comportamentali (impronta digitale,
scansione dell’iride, calligrafia,
riconoscimento facciale o vocale)
● L’unico vantaggio risiede nel non
dover identificare e associare la
persona al dato biometrico, e nel non
richiedere ad essa di portare con sé
un dispositivo

16. L’Identità crittografica si basa su una
"chiave" unica associata in modo
univoco alla persona che la possiede
e la controlla in modo esclusivo
● Garantisce la privacy
● È gestibile con lo smartphone
● Può essere revocata
● Non presenta errori di misura
● È “nativa digitale”
16
Identità digitale basata sulla crittografia

17. ● Cosa è l'identità digitale
● L'autenticazione a 2 fattori
● Valid
● Domande e risposte
1717
Agenda

18. ● Ci sono circa 1075
chiavi possibili (RSA 1024 bit) tra le quali ne viene scelta una a
caso
● 1010
= 10.000.000.000 cioè dieci miliardi mentre 1075
è un numero con 75 zeri!
● 1050
= stima del numero di atomi che compongono il pianeta Terra
● 1075
=1.000.000.000.000.000.000.000.000.000.000.000.000.000.000.000000.000.
000.000.000.000.000.000.000.000 cioè mille miliardi di miliardi di miliardi di
miliardi di miliardi di miliardi di miliardi di miliardi di chiavi
● Ne viene scelta una a caso e viene associata alla persona che ne diventa il
possessore esclusivo (sostanzialmente è una password numerica un po' lunga)
18
Sicurezza matematica: l'unicità delle chiavi crittografiche

19. 19
Le password "usa e getta" (OTP)
● viene generata una chiave unica
associata all'utente
● una copia della chiave è custodita su
dei server che applicano gli stessi livelli
di sicurezza bancari
● un'altra copia è custodita in modo
sicuro sullo smartphone (o su una
chiavetta hardware)
● la chiave unica e l'orario sono utilizzati
entrambi per generare una nuova
password ogni 30 secondi

20. ● Per garantire che solo il proprietario di un'identità digitale (come l'account
social che abbiamo su Google o Facebook) ne abbia il controllo, si usa la
tecnica dei due fattori di autenticazione (detta anche "Strong
Authentication")
● Il primo fattore è una cosa che solo tu sai: la cara vecchia password del tuo
account, oppure il PIN della tua carta di credito
● Il secondo fattore è una cosa che solo tu possiedi: il telefono o lo
smartphone, che è già sempre con te, a portata di mano (e che ti fornisce le
password usa e getta), oppure una smartcard
● Una cosa che solo tu sai più una cosa che solo tu hai
20
Il controllo esclusivo tramite due fattori (2FA)

21. 21
Firma Elettronica Qualificata e 2FA
● L'autenticazione a due fattori è un requisito normativo fondamentale volto a
garantire che il titolare di una Firma Elettronica Qualificata ne abbia sempre
il controllo esclusivo
● In passato si realizzava custodendo la chiave in una smartcard: il possesso
della smartcard e la conoscenza del PIN erano i due fattori
● Oggi con la Cloud Signature la chiave viene custodita su dispositivi sicuri
(HSM) in cloud: il possesso dello smartphone (che genera le OTP) e la
conoscenza del PIN sono i due fattori
● Lo smartphone è già sempre con noi ed è già un computer connesso a
Internet: firmare diventa facile, anche in mobilità!

22. ● Il processo di
attivazione consente di
associare in modo
univoco l'account
social alla chiave
crittografica
● La chiave crittografica
consente di generare le
password temporanee
OTP (One Time
Password)
22
La 2FA in tre mosse

23. ● Subscriber Identity Module (SIM)
"modulo d'identità dell'abbonato"
● La SIM telefonica non è come la
smartcard crittografica della Carta di
Credito o della Firma Qualificata
● Quanto è facile clonare una SIM
telefonica (non crittografica)?
● E poi, quanto costano gli SMS?
23
Le OTP ricevute via SMS

24. ● Cosa è l'identità digitale
● L'autenticazione a 2 fattori
● Valid
● Domande e risposte
2424
Agenda

25. 25
Valid - 2FA e molto altro ancora
Autenticazione a due fattori
● OTP esplicite
● Push Authentication
● Push Signature (Firma Elettronica Qualificata da smartphone)
● Integrazione dei provider pubblici
● Protezione del seed con PIN o Fingerprint
● SDK per integrazione con App aziendali

26. 26
Valid è gratuito - su Android e iOS

27. ● Cosa è l'identità digitale
● L'autenticazione a 2 fattori
● Valid
● Domande e risposte
2727
Agenda

28. www.intesigroup.com
Grazie!
Emanuele Cisbani - ecisbani@intesigroup.com