SPID: i provider chiedono fondi al governo. E minacciano di non erogare più il servizio

@torretto...
non sei divertente nemmeno come troll.

Il furto di identità dagli identity providers non è proprio cosa.
Nel design adottato per lo SPID (come per la CIE), un identity provider NON ha proprio accesso a quei dati nemmeno volendo. Utilizzano un modello assolutamente standard per l'autenticazione, pur con tutta la rigidità del caso visto la delicatezza della materia.
In generale, ogni IdP se ne guarda bene dall'avere dati in chiaro presso di lui, visto che è una responsabilità enorme maneggiarli, oltre a praticamente mettersi un bersaglio sulla testa.

Le chiavi crittografiche private sono in mano solo e soltanto alla PA, com'è giusto che sia. Non è roba che ha a che vedere col processo di autenticazione.
Il lavoro degli IdP è fare da enti certificatori intermedi per costruire una catena di fiducia durante l'autenticazione.
È questo aspetto che non può e non deve assolutamente fare lo stato. Ma non tanto per questioni filosofiche o politiche, è che se devi stabilire fiducia su una trasmissione elettronica non puoi avere a che fare solo con un soggetto che alla fine se la canta e se la suona.



L'identità completa, e, soprattutto, le chiavi per validarla sono in mano solo e soltanto alla PA.
Quello che tu non capisci è come funzionano i processi di autenticazione prima presso gli identity providers, e di autorizzazione poi presso la PA.
Nel modello SPID/CIE, gli IdP sono solo broker, dei passacarte se si vuole, i dati stanno in pancia solo alla PA.
https://www.agid.gov.it/sites/default/files/repository_files/circolari/spid-regole_tecniche_v1.pdf"]Modello SPID[/URL]. Gli IdP se ne fregano altamente di chi tu sia e di cosa tu stia facendo presso la PA. Il loro lavoro è costruire fiducia non appena ti autentichi, e basta.

Il problema non banale ma comunque tutt'altro che inedito, è che hai da un lato un ente che deve erogare un servizio e dall'altro un cittadino che deve potersi fidare. Se dai tutto in mano all'oste, la PA, non puoi costruire alcuna fiducia.

Non esiste principio di autorità in questi casi. Di norma il tuo browser non si fida quando fai una qualunque operazione online, non importa presso chi. L'infrastruttura che coinvolge soggetti esterni alla PA serve a "dire" al tuo PC che "guarda, questo dice di essere l'ufficio delle entrate, e ci sono altri 25 soggetti intermedi con nome e cognome che garantiscono per lui. questi soggetti, gli IdP, anche se non hanno accesso ai dati, possono comunque garantire al 100% che le firme crittografiche non siano state manomesse. direi che adesso possiamo fidarci".
Il tutto con un ente nazionale dietro, l'AgID, che stabilisce quali IdP possono accreditarsi come broker d'identità e quali no. È sempre la PA che controlla il flusso, è la PA che controlla quali informazioni davvero transitino presso gli IdP (ovvero quasi niente) ed è la PA che proprio bisogno che qualcuno di diverso da lei si prenda in carico di certificare che tutto è andato per il verso.
la PA non può davvero certificare per sé stessa, in genale nessuno può.


Discorso diverso è se uno dice che SPID, CIE e compagnia dovrebbero già essere tutti coperti dalla fiscalità generale senza dovervi far pagare oboli diversi. Questo ci può anche stare, ma è un discorso diverso.
In Australia ogni tot anni fanno dei bandi per stabilire almeno tot IdP per la digital identity, i vincitori vengono remunerati dallo stato ed il cittadino utilizza un servizio "già pagato". In Francia con France Connect hanno un sistema ibrido, ci sono IdP accreditati che si fanno pagare dagli utilizzatori finali, ed altri invece che si fanno pagare una quota flat dalla PA.
In Italia la parte del modello da rivedere è questa, non altro.

quindi se uno si scrive su molteplici social o possiede decine di tessere fedeltà è giusto rapinarlo dei propri documenti tanto è c@xxxene che ci bada poco ai propri dati?

ma poi tu sei molto attento alla tua sicurezza e poi fai lo sciolto con i dati degli altri?

io sono molto attento alla sicurezza dei miei soldi, mai nascosto. che un hacker debba ottenere dei dati collegati al mio spid, immagino pochi o nulli, non è motivo per me di preoccupazione

ma i dati mica li rubano! se li comprano da chi li ha e li vende come fossero i suoi!

Da "tecnico del settore", anzi "TECNICO DEL SETTORE" non sei stato in grado di fornire un esempio concreto, nemmeno mezzo, a sostegno delle accuse che rivolgi.

Accuse che tra l'altro hai già cambiato in corsa da un post all'altro (!!!). Adesso dici che il problema non sono le frodi (quasi inesistenti) ma lo sfruttamento di generiche "falle" che non spieghi.

Ti dico però cosa so io per certo:

- il PREZZARIO con l'elenco completo degli interventi e i rispettivi massimali di spesa (LIMITI) che sostieni non esistre invece esiste. L'hanno fatto subito ed è stato aggiornato di anno in anno.

Come fa un "TECNICO DEL SETTORE" a non saperlo?

Cerca si google "Prezzario superbonus 110". E' facile puoi farcela...

- le PROCEDURE per ottenerlo ci sono eccome, ci sono passato e le ho trovate pure complicate (ma io, a differenza di qualcuno, non sostengo di essere un esperto se non lo sono...).

- stessa cosa per le ASSERVAZIONI redatte da un tecnico che sono assolutamente necessarie, cosiccome l’attestazione di congruità delle spese.

Tutte cose previste fin da subito dal decreto.

Anche qui bastava qualche secondo su google, per esempio; https://www.pgcasa.it/articoli/ripa...ntributo__22319

Se vede lontano un miglio che parli di cose che non conosci. Altro che TECNICO DEL SETTORE...

quali dati hai paura ti rubino tramite spid?

dallo spid non temo nulla, quello che temo sono certe idee:

per "dati" intendo informazioni superficiali o di pubblico dominio. banalmente un hacker può scoprire dati su di te, famiglia e amici anche se non hai un social network. altrettanto banalmente basta un tuo conoscente installi una versione farlocca di whatsapp e il malintenzionato ottiene il tuo cellulare e il tuo nome e cognome. sono felice di questa situazione? no ma è la situazione odierna e di conseguenza sapere un hacker possa ricavare dati collegati allo spid non è, per me, fonte di preoccupazione. ovviamente se, per esempio, avesse accesso alla mia carta di credito o alla scansione dei miei documenti allora il discorso cambia

pensavo che recitassi il solito mantra che fanno in molti sul forum.
"chi se ne frega dei dati tanto hanno già tutto e non ho niente da nascondere"