Il recente dibattito sull’annuncio politico relativo alla volontà di spegnere gradualmente SPID a favore di un’unica identità digitale basata sulla Carta di Identità Elettronica (CIE) ha evidenziato anche possibili criticità nell’erogazione dell’accesso ai servizi in rete di un unico ecosistema.
La piattaforma CIEid è la base di questo ecosistema ed è in evoluzione per assicurare la conformità a quanto stabilito nel Decreto 8 settembre 2022.
CIE, verso nuovi modelli per l’identità digitale: cosa cambia con il decreto 8 settembre
Proviamo ora ad analizzare il funzionamento della CIE come strumento per l’accesso ai servizi in sé, evidenziando alcune possibili criticità che certamente esistono e delle quali bisogna valutare il reale impatto sul sistema. Poiché in Italia lo strumento storico per l’accesso ai servizi in rete è la Carta Nazionale dei Servizi (CNS) è utile ricordare il funzionamento anche di questo strumento, analogo alla CIE e molto più diffuso anche dello SPID e della CIE visto che è emesso in associazione alla Tessera Sanitaria (TS-CNS).
CIE, caratteristiche fisiche e funzionali
La presentazione istituzionale del Ministero dell’Interno ci dice che: “La Carta di Identità Elettronica (CIE) è il documento d’identità dei cittadini italiani emesso dal Ministero dell’Interno e prodotto dal Poligrafico e Zecca dello Stato che, grazie a sofisticati elementi di sicurezza e anticontraffazione, permette l’accertamento dell’identità del possessore e l’accesso ai servizi online delle Pubbliche Amministrazioni sia in Italia che in diversi Paesi dell’Unione Europea (vedi elenco).
Le caratteristiche fisiche e funzionali della tessera sono le seguenti: “La CIE è l’evoluzione della carta di identità in versione cartacea. Ha le dimensioni standard di una carta di pagamento (85,60 millimetri di larghezza per 53,98 millimetri di altezza) ed è realizzata con un materiale plastico in policarbonato su cui sono stampati a laser la foto e i dati del cittadino, protetti con elementi e tecniche di anticontraffazione, come ologrammi e inchiostri speciali”.
La CIE è dotata di un microchip senza contatti visibili all’esterno (contactless) che contiene:
- i dati personali, la foto e le impronte del titolare, protetti da meccanismi che ne prevengono la contraffazione. La lettura è gestita in base a regole di protezione dei dati personali (Es. le impronte possono essere lette solo da personale autorizzato di pubblica sicurezza).
- le informazioni per consentire l’autenticazione in rete da parte del cittadino a servizi online erogati da pubbliche amministrazioni e imprese;
- ulteriori dati per servizi a valore aggiunto, in Italia e in Europa.
Le strutture dati interne della CIE sono compatibili a quelle del passaporto elettronico (anch’esso dotato di un microchip contactless) al fine dell’utilizzo come documento di viaggio in conformità alle raccomandazioni internazionali ICAO 9303.
Per utilizzare i servizi in rete la CIE, fino alla messa in linea del sistema di accesso con livello di garanzia 2, deve interfacciarsi con un lettore in grado di utilizzare la tecnologia NFC (Near Field Communication). Questa tecnologia è ampiamente utilizzata nelle carte di pagamento (Es. quando accostiamo la tessera al POS), ma è presente anche negli smartphone più recenti visto che anche questi dispositivi possono essere usati per i pagamenti elettronici con modalità analoghe alle carte di pagamento e apposite APP.
Per utilizzare la CIE per l’accesso ai servizi in rete è quindi necessario un lettore di smart card (la tessera CIE è una smart card) NFC da connettere ad un desktop. In questo caso sul computer deve essere installato un apposito software.
Il lettore di smart card ha un costo di circa 50 euro comprese le spese di spedizione se acquistato in rete quindi è poco appetibile per il comune cittadino.
Il modo più semplice per utilizzare la CIE è quello di attivare NFC sul proprio smartphone (non sempre è disponibile ma è sempre più disponibile) e seguire le istruzioni del Ministero dell’Interno.
Per utilizzare direttamente la CIE dal telefono bisogna installare l’APP CieID.
L’autenticazione ibrida
Prima di esaminare le possibilità criticità del sistema completiamo le modalità di utilizzo della CIE con desktop e smartphone. In questo caso le operazioni di autenticazione sono definite ibride e le istruzioni sono nel documento seguente.
Le operazioni di accesso descritte per l’uso dello scenario ibrido sono analoghe a quelle dello SPID livello 2 che è il metodo attualmente più utilizzato per l’accesso ai servizi.
La CIE può sostituire Spid? Le criticità
Abbiamo già analizzato lo scenario ipotetico “c’è solo la CIE”. Di seguito riprendiamo alcuni specifici argomenti.
La CIE può essere usata anche direttamente con l’APP IO che, come è noto, è l’APP dei servizi pubblici. Anche in questo caso il telefono per consentire l’accesso ai servizi dell’APP deve essere dotato di interfaccia NFC.
Questo scenario sarebbe perfetto se, come già anticipato, non ci fossero alcune criticità che, quando si verificano, impediscono all’utenza di utilizzare i servizi in rete.
Le elenchiamo di seguito con qualche breve commento:
- Indisponibilità di una CIE perché si ha un altro documento di identità (passaporto, tessera AT, ecc.) o carta di identità cartacea o CIE 2.0. La maggior parte dei documenti cartacei e la CIE 2.0 saranno in scadenza nei prossimi 2 anni. Prima di allora l’utente sarebbe costretto a rinnovare il documento prima della scadenza o a dotarsi di esso per la prima volta.
- Non disponibilità di un telefono dotato di interfaccia NFC. Questa situazione sarà sempre più rara ma al momento non lo è soprattutto per i numerosi utenti poco tecnologici.
- Malfunzionamenti della CIE. La CIE sicuramente è funzionante al momento della scrittura dei dati all’interno del microchip. Al momento della consegna al titolare la CIE si suppone essere funzionante. Peraltro sono noti numerosi casi di malfunzionamenti o rottura fisica del supporto plastico. Ricordiamo anche che la CIE ha al suo interno un sottile filo che può danneggiarsi e nei dieci anni della validità non è impossibile. Inoltre ci sono casi di perdita di definizione delle scritte sulla superficie esterna della tessera come verificato per l’utilizzo della CIE nel riconoscimento a distanza in ambito SPID.
- Interfaccia NFC dello smartphone difettosa o guasta. Per gli informatici o i minimamente esperti il problema può sembrare banale ma per il comune cittadino non lo è, anche perché non è facile comprendere il tipo di problema.
- Esperienza utente nella lettura non ovvia. La CIE deve essere accostata al telefono nei pressi dell’interfaccia NFC dello stesso. Questa è (salvo eccezioni non note a chi scrive) nella parte superiore del telefono e l’errore che commettono in molti è quello di avvicinare la CIE e muoverla. Per attivarsi la CIE deve “accendersi” sfruttando il campo elettromagnetico trasmesso dal telefono. Muovere la carta o il telefono crea problemi in questa operazione e l’utente si innervosisce e peggiora la situazione.
Può anche accadere che l’NFC del telefono non sia abbastanza potente per “accendere” la carta. Questo dell’esperienza utente è il problema più diffuso e sono falliti dei progetti perché l’utente che apprezzava la CIE ha poi chiesto di utilizzare SPID.
Oltre a quanto sin qui descritto, ad oggi esiste anche il problema delle grandi città che hanno almeno un mese di attesa per l’appuntamento di emissione ma Roma Capitale ha tempi molto più elevati. Anche se l’appuntamento fosse disponibile per il giorno successivo, rimane il tempo di consegna della carta che è entro 6 giorni dalla richiesta.
Se la volontà politica si orienterà ufficialmente per lo spegnimento dello SPID è evidente che bisognerà trovare una soluzione alternativa almeno per i malfunzionamenti della tessera.
La soluzione è la TS-CNS. Questa tessera è sia a contatti che contactless, può funzionare se supportata applicativamente con un’APP analoga a CieID. I professionisti e i titolari di firma digitale rilasciata su chiavetta USB ne dispongono di base su chiavette con interfaccia USB. Questi dispositivi sono rilasciati anche su chiavette wireless che sono utilizzabili via bluetooth con lo smartphone.
Per gli altri che utilizzerebbero la TS-CNS, il lettore di smart card a contatti è sufficiente e il suo prezzo è molto inferiore a quello di un lettore NFC.
Per quanto attiene alla TS-CNS bisogna migliorare la modalità di distribuzione del PIN e del PUK che in alcune regioni è ai limiti del misterioso.
In base a quanto descritto lo spegnimento di SPID (che comunque lascia perplessi visti gli impatti sul sistema PA) deve essere attuato con attenzione e con valutazione di impatto adeguata e tanta prudenza.
Il tutto tenendo bene a mente che in base alla legislazione vigente esiste la Cittadinanza digitale con il diritto all’uso delle tecnologie. Ma il Legislatore ha stabilito che le soluzioni e gli strumenti siano utilizzabili in modo accessibile ed efficace.
Un approccio distratto o superficiale da parte della pubblica amministrazione può mutare da trasformazione digitale a schiavitù digitale.
