Dopo anni di sperimentazione la Carta d’Identità Elettronica italiana è una realtà e, possiamo affermare, è uno dei documenti più avanzati in Europa.
Dal punto di vista funzionale, la CIE 3.0 (il numero si riferisce alla versione delle specifiche del chip) è una carta che permette l’accertamento dell’identità fisica e dell’identità digitale, in linea con quanto necessario per il riconoscimento in Europa secondo il regolamento eIDAS.
Ma è anche molto di più: grazie alla interfaccia NFC è infatti possibile usarla con smartphone e altri terminali di possibilità ed è conforme ai requisiti di sicurezza ICAO MRTD, a cui tutte le carte d’identità europee dovranno convergere tra circa due anni.
Cie 3.0, numeri e stato dell’arte
Più di 7,3 milioni di cittadini hanno ora la nuova carta, denominata CIE 3.0. L’emissione procede al ritmo di circa 30.000 carte al giorno e il 97% della popolazione può richiedere la carta.
I primi Comuni – gli sperimentatori della precedente versione della carta e i capoluoghi di provincia – sono stati dotati delle postazioni a partire da luglio 2016. Ora il 99% dei Comuni italiani ha l’hardware necessario per collegarsi al sistema di emissione “CIEOnline”, raccogliere i dati anagrafici e biometrici dei cittadini e richiedere quindi la produzione della carta. Questa viene stampata centralmente dal Poligrafico e consegnata, in media, in 3 o 4 giorni. In due anni sono state emesse il doppio delle carte dei precedenti quindici.
Il progetto iniziale, impostato tecnicamente nel 2001 e rivisto nel 2007, è stato completamente rivoluzionato, nei processi e nelle tecnologie, a cominciare dalla carta. Tutti gli elementi di sicurezza sono stati aggiornati allo stato dell’arte: la carta è interamente in policarbonato, foto e dati sono stampati in laser engraving, per innalzare il livello di sicurezza e garantire una durata di almeno 10 anni.
Al posto di un microchip ‘a contatti’ (la cui interfaccia era una contattiera visibile sul retro della carta), che aveva necessariamente bisogno di un lettore collegato a un computer, la carta è ora dotata di un chip ‘contactless’: in questo modo la si può utilizzare sia con lettori connessi a un computer che con smartphone con interfaccia Near Field Communication (NFC).
Il processo di emissione è stato ridisegnato. Al Comune i dati del cittadino (foto, impronte e dati anagrafici) vengono raccolti su postazioni collegate in modo sicuro via web al sistema “CIEOnline”, superando il precedente approccio client-server. La stampa della carta e la scrittura dei dati nel chip (fase di personalizzazione) è centralizzata presso il Poligrafico. In questo modo non circolano più documenti in bianco e si elimina una delle cause più frequenti di falsificazione, basata sull’utilizzo di documenti in bianco rubati.
Verifica dell’identità fisica
L’identità del cittadino può essere verificata a vista, con l’utilizzo della foto e dei dati personali stampati sulla carta, di difficile contraffazione grazie alle tecnologie impiegate e ai nuovi processi di personalizzazione, o utilizzando il chip contactless, su cui è presente l’applicazione ICAO MRTD (International Civil Aviation Organization, Machine Readable Travel Document).
Questa applicazione è presente anche nel Passaporto Elettronico e nel Permesso di Soggiorno Elettronico. Utilizzando la stessa applicazione per i tre documenti è possibile sfruttare la stessa infrastruttura per il controllo, sia sul territorio che sulla frontiera, italiana o europea. Avendo la stessa specifica dei passaporti, infatti, la CIE 3.0 può essere letta anche ai varchi della frontiera esterna europea.
L’identificazione avviene mediante i dati anagrafici e i dati biometrici (foto, impronte digitali) contenuti nel chip, firmati digitalmente dal Ministero dell’Interno. Algoritmi di verifica biometrica – come quelli in uso presso i varchi automatici degli aeroporti – permettono di legare il titolare della carta al documento. La firma digitale e altri meccanismi di sicurezza crittografici permettono di accertare l’autenticità dei dati sul chip.
L’applicazione MRTD può essere anche utilizzata in ottica antifrode per l’identificazione certa del titolare, leggendo i dati dal chip e verificandone l’autenticità. Per questo può essere utilizzata l’App IDEA, attualmente disponibile per dispositivi Android con interfaccia NFC.
La funzionalità identità digitale della Cie 3.0
La funzionalità “Identità Digitale” è implementata dall’applicazione ECC IAS (European Citizen Card, Identification, Authentication, Signature). Sulla carta è presente una chiave privata e un certificato di autenticazione X.509, con codice fiscale, nome e cognome del titolare. Il certificato è firmato dalla Certification Authority (CA) del Ministero dell’Interno, presente nelle liste di autorità di certificazione pubblicate dall’Agenzia per l’Italia Digitale.
Lo schema di utilizzo della CIE 3.0 per l’identità digitale è stato pre-notificato alla Commissione Europea lo scorso 30 gennaio, dando avvio al processo di peer-review che si concluderà a maggio 2019. In seguito, la CIE potrà essere utilizzata come strumento di identità digitale LoA4 (ISO 29115) per usufruire di servizi erogati dagli altri stati membri.
Con la CIE si realizza così uno strumento di identità digitale equivalente a uno SPID L3 in cui il legame tra la persona fisica, i suoi dati anagrafici e l’identità digitale viene formato e garantito in piena sicurezza dallo Stato.
La Cie 3.0 e Spid
Oltre a realizzare uno strumento di identità digitale in sé, la CIE è anche utilizzabile come token di autenticazione per SPID L3, poiché basata su certificati digitali e chiavi private sicuramente memorizzate.
Il processo di federazione degli erogatori di servizi è estremamente semplice, in quanto il sistema si presenta come un identity server SAML 2, compatibile SPID.
Il laboratorio condiviso DigiMat, nato dalla collaborazione tra il Poligrafico e la Fondazione Bruno Kessler (FBK) di Trento ha identificato un catalogo di soluzioni per l’identificazione e l’autenticazione di utenti di servizi on-line basate sulla CIE 3.0, soprattutto in ambito mobile.
Allo scenario eIDAS accennato sopra, se ne aggiungono diversi altri, come ad esempio:
- CIE come secondo fattore di autenticazione su mobile: in presenza di credenziali già assegnate ad un utente nel contesto di un’organizzazione, la carta può essere utilizzata per generare una One Time Password (OTP) tramite un meccanismo di challenge-response basato sulle sue capacità crittografiche. Una possibile applicazione, sperimentata all’interno di FBK, è quella di “virtualizzare” i badge di una organizzazione: non vi è più bisogno di creare un oggetto fisico per timbrare, è sufficiente rendere disponibile un’applicazione che utilizza il codice fiscale per collegare le credenziali fornite dall’azienda al certificato della CIE.
- CIE per l’autenticazione su desktop e mobile: sebbene i contenuti in Internet vengano sempre più spesso consumati via mobile, vi sono alcuni casi in cui l’interazione avviene da desktop. In questi casi, si può utilizzare lo smartphone come un lettore NFC “collegato” al desktop tramite un meccanismo di push-notification che invoca un’applicazione in grado di interagire con la CIE. Una possibile applicazione è quella di poter accedere ai servizi della Pubblica Amministrazione che, in alcune situazioni (ad esempio, si pensi all’iscrizione dei figli a scuola), richiedono l’inserimento di molti dati da tastiera, operazione scomoda da smartphone.
- On-boarding digitale: processo di fondamentale importanza per il successo sul mercato nel settore bancario e fintech in cui vi è una forte spinta alla digitalizzazione dei servizi, al fine di proporre ai clienti offerte sempre più mirate e personali. La CIE può giocare un ruolo importante per il riconoscimento certo e l’acquisizione dei dati per la sottoscrizione di un contratto.
La sicurezza delle varie soluzioni è valutata nel laboratorio condiviso DigiMat, con un approccio che copre tutte le fasi, dalla progettazione all’implementazione. Durante la progettazione si pone la massima attenzione alla definizione dei protocolli di comunicazione tra le varie entità, tramite tecniche di security-by-design. Per la valutazione di sicurezza dell’implementazione si individuano le best practice disponibili per lo sviluppo di codice sicuro (ad esempio, di applicazioni mobili), si utilizzano strumenti automatici per l’analisi di sicurezza del codice (che sono in grado, ad esempio, di identificare l’utilizzo di primitive crittografiche obsolete o che presentano vulnerabilità) ed il penetration testing manuale (al fine di identificare la possibilità di attacchi sofisticati).
Si procede infine alla valutazione dei rischi considerando diversi altri aspetti legati all’infrastruttura in cui opera la carta come, ad esempio, le vulnerabilità derivanti da un’errata configurazione del protocollo TLS.
Nonostante si sia riconosciuta la centralità dell’uso combinato della CIE 3.0 con dispositivi mobili grazie all’interfaccia NFC, il Poligrafico ha reso disponibili anche dei middleware per diversi sistemi operativi per permettere l’utilizzo di lettori NFC che si collegano al computer via porta USB. Anche per questi, il laboratorio condiviso DigiMat considera vari scenari di utilizzo al fine di valutare i rischi di sicurezza con strumenti automatici, revisione manuale del codice e penetration testing.
Servizi PINless
La CIE 3.0 è utilizzabile anche in scenari ‘PINless’ dove il tipo di applicazione non richiede l’inserimento di un PIN, come ad esempio per controllo accessi o trasporto pubblico. Nel chip è presente il NIS (Numero Identificativo Servizi), leggibile liberamente e associato al codice fiscale nel sistema di emissione. Se è richiesta maggiore sicurezza, il NIS può essere usato in modalità ‘autenticata’, mediante la verifica di una firma dinamica.
Approccio tecnologico
La CIE è una piattaforma abilitante ai sensi del Piano Triennale per l’Informatica nella Pubblica Amministrazione. Pertanto, è stato utilizzato un approccio aperto, anche per facilitare l’integrazione della CIE in servizi di terze parti.
Le specifiche del sistema operativo e del file system sono pubblicate sul sito del Ministero dell’Interno, gli algoritmi di crittografia sono standard, i middleware per Windows, MacOS e Linux (“Software CIE”) sono disponibili in open source e la comunità italiana degli sviluppatori è stata invitata a sottoporre suggerimenti sul portale developers.italia.it. Lo sviluppo di applicazioni su CIE è stato oggetto di un Hackaton e ha portato allo sviluppo di una libreria su Arduino per l’utilizzo del NIS, pubblicato anch’essa in open source.
Vengono messe a disposizione sia soluzioni complete, come quella di autenticazione e come l’app IDEA, che componenti per lo sviluppo di soluzioni che si basano sulla CIE, come ad esempio quelle di digital onboarding.
La relazione tra dati sulla carta, funzionalità esposte e componenti e soluzioni negli ambiti di identità fisica e identità digitale viene sintetizzato in figura.
Cie 3.0, un progetto in sinergia
La carta d’identità elettronica italiana, lo abbiamo già detto, è uno dei documenti più avanzati in Europa.
È, soprattutto, il frutto di un lavoro svolto in sinergia che ha coinvolto a vario titolo diversi attori: Ministero dell’Interno, AgID, Team Digitale, Presidenza del Consiglio, Poligrafico e Zecca dello Stato Italiano, Fondazione Bruno Kessler, ANCI.
