La soluzione adottata dall’Inps per semplificare la sottoscrizione dell’APE volontario (Anticipo Finanziario a Garanzia Pensionistica, DPCM 4/9/2017 n. 150) prevede che la domanda debba essere presentata mediante un’identità digitale SPID almeno di secondo livello e che la stessa debba essere sottoscritta tramite firma elettronica avanzata (FEA). La FEA, a differenza della firma qualificata, non richiede al cittadino il possesso di strumenti di firma digitale e allo stesso tempo soddisfa il requisito della forma scritta richiesto dagli atti sopra elencati.
Il processo di domanda dell’APE prevede la sottoscrizione di 3 documenti:
- la proposta di contratto di finanziamento con una banca
- la proposta di una polizza assicurativa per il rischio di premorienza con la compagnia di assicurazione
- l’istanza di accesso al fondo di garanzia
La soluzione adottata solleva i cittadini dalla necessità di interagire con molteplici attori (l’INPS, la Banca e l’Assicurazione) e allo stesso tempo rende il processo sostenibile per i vari attori coinvolti, l’art. 7 del citato DPCM.
La soluzione adottata
Considerato che l’INPS svolge un ruolo di intermediario, e dunque di garante, nei confronti delle banche e assicurazioni coinvolte, si è cercato di individuare una implementazione della FEA che fornisse le massime garanzie di non ripudio del processo di sottoscrizione e di autenticità dei documenti sottoscritti verso tali soggetti.
La soluzione individuata, attraverso particolari accorgimenti, sfrutta il processo di autenticazione con identità digitale SPID per soddisfare i requisiti richiesti e fornire un elevato grado di sicurezza e non ripudio delle firme apposte.
| Come è noto, il sistema SPID si basa sul protocollo di identità federata SAML v.2.0 secondo il profilo “Web Browser SSO” versione “SP-Initiated”. Tale protocollo prevede che l’Authentication Request, per la richiesta di autenticazione da parte del Service Provider verso l’Identity Provider, avvenga attraverso una struttura XML firmata digitalmente con il certificato digitale del Service Provider. Allo stesso modo la risposta da parte dell’Identity Provider (SAML Response) viene anch’essa firmata digitalmente con il certificato digitale dell’Identity Provider. |
Per avere il massimo delle garanzie, la soluzione individuata tende a legare in modo indissolubile il firmatario ai documenti firmati attraverso elementi certificati da entità esterne trusted e opponibili a terzi. Nella fattispecie la soluzione tende a legare l’hash del documento con le asserzioni SAML del processo di autenticazione.
Il processo definito è il seguente:
- L’utente accede al servizio APE attraverso le sue credenziali SPID di livello 2
- Dopo la compilazione della domanda il servizio produce i documenti di contratto che il richiedente deve sottoscrivere
- Dopo aver verificato il contenuto dei documenti da firmare l’utente richiede di apporre la sua FEA
- Il documento da sottoscrivere viene trasferito al sottosistema di firma elettronica avanzata che:
- Calcola l’hash del documento
- Produce una Authentication Request attribuendo come ID univoco della stessa una stringa così composta <prefisso del sottosistema di FEA>-<hash del documento da firmare>-<stringa randomica>
Es.
<saml2p:AuthnRequest xmlns:saml2p=”urn:oasis:names:tc:SAML:2.0:protocol”
AssertionConsumerServiceIndex=”0″
AttributeConsumingServiceIndex=”0″
Destination=”https://spid.test.it”
ForceAuthn=”true”
ID=”_FEA-C018617042CEC6ABA67B811A27A1A21DDC389FC8-INULFIEQ”
IssueInstant=”2017-10-20T08:13:07.116Z”
Version=”2.0″ >
…
- l’Authentication Request così composta viene firmata dal Service Provider e trasmessa all’Identity Provider dell’utente
- l’Identity Provider chiede all’utente si autenticarsi ed inserire le sue credenziali SPID, e produce la SAML Response firmata digitalmente che verrà trasmessa al sottosistema di firma elettronica del Service Provider. La SAML Response, poiché contiene il riferimento alla Request, contiene anche l’hash del documento riportato nel suo ID.
Es.
<saml2p:Response xmlns:saml2p=”urn:oasis:names:tc:SAML:2.0:protocol”
xmlns:xs=”http://www.w3.org/2001/XMLSchema”
Destination=”https://test/AssertionConsumerService”
ID=”_ca21b044-4c20-4745-95a7-1af43e0807c3″
InResponseTo=”_FEA-C018617042CEC6ABA67B811A27A1A21DDC389FC8-INULFIEQ”
IssueInstant=”2017-10-20T08:13:36.593Z”
Version=”2.0″ >
…
- il sottosistema di firma, dopo aver verificato che l’identità autenticata sia corrispondente al firmatario, appone un Sigillo Digitale sul documento a garanzia del processo di sottoscrizione e della sua integrità.
Punti di forza
La soluzione individuata è una FEA, utilizzabile in quasi tutti i processi di sottoscrizione digitale che richiedono la forma scritta, ma, nell’ambito delle possibili implementazioni, presenta elevati livelli di garanzia opponibili a terzi.
Infatti, oltre a quanto previsto dalle tradizionali implementazioni di FEA che basano la loro integrità principalmente sul logging delle transazioni, la soluzione individuata abbina indissolubilmente l’oggetto della sottoscrizione (attraverso l’hash del documento) con il processo di autenticazione SPID e dunque l’identità del firmatario.
Tale abbinamento è ottenuto riportando l’hash del documento sia nella SAML Authentication Request che nella SAML Response e, poiché entrambi devono essere sottoscritti digitalmente, ciò costituisce un elemento di garanzia opponibile a terzi per attestare l’associazione del documento sottoscritto al processo di firma attivato con le credenziali SPID.
Tale garanzia è ancora più forte per il fatto che viene coinvolto un soggetto esterno ‘trusted’, l’Identity Provider, che è indipendente dal gestore del servizio FEA (INPS) a tutto vantaggio della non ripudiabilità. In termini di sicurezza, la soluzione implementata è molto vicina ad una firma remota qualificata.
Il processo di sottoscrizione digitale termina con l’apposizione del Sigillo Digitale da parte dell’INPS (Service Provider SPID) a garanzia dell’integrità e della fonte di produzione del documento sottoscritto.
In questo scenario, il non ripudio del documento è facilmente sostenibile secondo il seguente processo:
- dal documento firmato con il Sigillo Digitale viene determinato l’hash del documento
- nei log del Service Provider e dell’Identity Provider si ricerca la SAML Authentication Request e la SAML Response aventi rispettivamente gli attributi “ID” e “InResponseTo” pari all’hash del documento
- con tali elementi è possibile dimostrare
- l’integrità del documento, garantita dal Sigillo Digitale
- l’identità del firmatario, dimostrata dalle asserzioni SAML riportanti l’hash del documento
Infine, poiché le asserzioni SAML riportano anche il timestamp di generazione, è facile intuire che si avrebbe anche una garanzia dell’istante in cui la sottoscrizione è avvenuta (marca temporale).
Come è possibile osservare, la soluzione impiega tecnologie standard e il sistema SPID in conformità con gli attuali regolamenti ed è dunque sfruttabile da qualsiasi Service Provider e per qualsiasi Identity Provider. Tuttavia, un’eventuale integrazione ai regolamenti, potrebbe consentire schemi di utilizzo meglio strutturati e specifici per tali casi d’uso.
La soluzione individuata potrebbe essere adottata come best practice da tutti i Service Provider SPID e può costituire un forte tassello abilitante alla telematizzazione dei processi della P.A.
