Identità Digitale: definizione, applicazione, criticità ed evoluzione

Definizione di identità digitale

L’identità digitale, un elemento chiave nell’odierno mondo tecnologico, si riferisce all’insieme di dati e informazioni che distinguono in modo univoco un individuo o un’entità commerciale all’interno di un ambiente digitale. Questi dati, raccolti e condivisi digitalmente, consentono l’interazione con altri individui o l’accesso a sistemi informatici avanzati.

Il concetto di identità digitale, e dei diritti ad essa collegati, è oggi ben definita dalla Dichiarazione dei diritti in Internet – elaborata dalla Camera dei Deputati il 14 luglio 2015 – che all’Art.9 (Diritto all’identità) stabilisce quanto segue: “Ogni persona ha diritto alla rappresentazione integrale e aggiornata delle proprie identità in rete” e “ha diritto di fornire solo i dati strettamente necessari per l’adempimento di obblighi previsti dalla legge, per la fornitura di beni e servizi, per l’accesso alle piattaforme che operano in Internet”.

A differenza del mondo reale, dove l’identità è legata ad una persona in carne ed ossa con documenti materiali come la carta d’identità o il passaporto, nel mondo digitale le identità non sono legate alla presenza fisica. Servono a confermare l’identità dell’utente che interagisce attraverso uno schermo nel mondo di internet. Questa conferma richiede il supporto di istituzioni e aziende private che costituiscono un “ecosistema” basato su un’infrastruttura tecnologica definita.

Ambiti di applicazione e livelli di sicurezza

Ogni individuo può possedere diverse identità digitali, ognuna con vari gradi di sicurezza a seconda dell’uso. Ad esempio, le credenziali per accedere alla nostra e-mail o su una piattaforma social sono diverse da quelle che usiamo per accedere al sito dell’Agenzia delle Entrate.

È proprio il livello di sicurezza che differenzia un’identità digitale dall’altra, in quanto il “Level of Assurance” deve essere deve essere appropriato al tipo di servizio a cui dà accesso.  Il Level of Assurance, o livello di garanzia, è uno standard definito dall’ISO/IEC 29115 per le identità digitali che indica tre livelli di garanzia: basso, medio e alto. Questi livelli sono assegnati sulla base delle modalità di identificazione, ovvero il processo con cui è stata acquisita e verificata l’identità dell’utente al momento della sua creazione, e le modalità di autenticazione, cioè le verifiche che devono essere effettuate ogni volta per utilizzare l’identità digitale.

SPID e CIE, le due identità digitali governative italiane utilizzate principalmente per accedere ai servizi della Pubblica Amministrazione, hanno modalità di identificazione e autenticazione complesse che determinano i loro livelli di sicurezza. Recentemente, per CIE è stata aggiunta la possibilità di utilizzo con livello di sicurezza 2, semplificando il processo di autenticazione e favorendo il suo utilizzo.

Identità digitale: quali informazioni contiene

I dati che costituiscono un’identità digitale possono essere suddivisi in:
– dati identificativi (dati biometrici e anagrafici)
– attributi (dati che descrivono alcune qualità e caratteristiche dell’identità)
– credenziali elementi univoci che consentono all’utente di accedere ad un sistema, solitamente una username e password.

Gli “attributi” arricchiscono le informazioni su quella specifica identità digitale, come il possesso di più patenti di guida, certificazioni, lauree, ruolo lavorativo, competente, ecc. Questi saranno cruciali con l’attivazione dell’European Digital Identity Wallet, un “portafoglio” digitale valido in tutta Europa che dimostrerà la nostra identità insieme ai nostri attributi.

Il macrosistema dell’Identità digitale

Il macrosistema delle identità digitali come SPID e CIE che consente la possibilità di ottenere, adoperare e gestire le identità in modo normato e sicuro è composto da vari soggetti, ognuno con un ruolo specifico:

1. Identity Provider: entità o aziende private che erogano e gestiscono le identità digitali. Per SPID e CIE devono essere accreditati rispettivamente da AgID e dal Ministero dell’Interno, che definiscono le regole tecniche i processi e le procedure specifiche. Tra le più note: Aruba, InfoCert, Poste Italiane, Namirial.
2. Service Provider: azienda o sito che offre servizi online accessibili tramite identità digitale. Per utilizzare SPID e CIE, devono diventare service provider accreditati e seguire una convenzione con AgID.
3. Partner tecnologici: offrono l’infrastruttura tecnologica per la verifica e l’utilizzo delle identità digitali.
4. Aggregatori: PA o aziende private che offrono la possibilità di rendere accessibili con SPID e CIE i servizi di terzi.
5. Utente: il proprietario dell’identità digitale che interagisce con i servizi.

Criticità delle identità digitali governative

Le identità digitali governative, tuttavia, in alcuni contesti dimostrano alcuni limiti:

1. Accessibilità ai servizi: non tutti i servizi online sono accessibili con SPID e CIE. Alcuni cittadini non posseggono una carta di identità, dato che non è obbligatoria in quanto essa può essere sostituita da altri documenti come patente di guida e passaporto.
2. Scarsa alfabetizzazione tecnologica: molti cittadini ancora non hanno SPID o CIE e una grande fetta di utenti che le possiede non ha dimestichezza con gli strumenti informatici (secondo il nuovo Report on the state of the Digital Decade solo il 40% degli utenti italiani utilizza internet e i servizi pubblici digitali).
3. Rischi per la privacy: l’uso delle identità digitali comporta la cessione di frammenti di nostri dati personali che vengono immersi nell’oceano del web e se le infrastrutture che le raccolgono non posseggono elevati sistemi di sicurezza, questo può portare a rischi per la privacy e l’identità personale.
4. Problemi di sicurezza: Le identità digitali possono essere soggette a rischi di falsificazione e di frode documentale. Anche se esistono misure di sicurezza in atto, come l’uso di impronte digitali nelle Carte di identità, i rischi persistono.
5. Complessità tecnologica: La gestione delle identità digitali può essere complessa per gli utenti meno esperti di tecnologia.

Superare i limiti delle identità governative con l’Identity Proofing Service

Per superare alcuni di questi limiti esistono aziende tecnologiche specializzate in metodi di verifica e autenticazione dell’identità di una persona, definite Identity Proofing Service Provider (IPSP), consentono in modo autonomo di verificare l’identità di una persona, tramite piattaforme d’identificazione autorizzate conformi alle leggi e ai regolamenti vigenti e strutturate secondo le linee guida di processo definite da organi nazionali e internazionali come l’Agenzia per l’Italia Digitale, ETSI (European Telecommunications Standards Institute) e eIDAS.

Tra queste la piattaforma All-in-One TocToc ha la specificità di essere implementata sulla base dei principi di privacy by design e by default. Ciò significa che la privacy è incorporata in ogni aspetto della progettazione e dello sviluppo della piattaforma, dalla raccolta dei dati alla loro elaborazione, utilizzo e conservazione. Inoltre, è corroborata da elevate misure e sistemi di sicurezza e alert che garantiscono la certezza della business continuity.

Tra le modalità di verifica dell’identità dell’utente a distanza la più apprezzata è quella automatica. Consiste in un procedimento altamente avanzato e sicuro, che offre agli utenti un’esperienza guidata e autonoma realizzabile su propri dispositivi dotati di videocamera. Questa tecnologia si avvale di strumenti automatizzati per la verifica delle identità, garantendo rapidità ed efficienza. Si tratta di una soluzione ideale per rafforzare la sicurezza e semplificare le procedure di autenticazione in vari settori.

Questo processo implica la raccolta e la verifica dei documenti di identità mediante l’uso dell’OCR (Optical Character Recognition), che attiva sofisticati algoritmi anticontraffazione. Inoltre, esegue un confronto tra la foto estratta dal documento d’identità e quella acquisita durante la registrazione video, utilizzando il riconoscimento facciale. Inoltre, il processo effettua una verifica mediante algoritmi di “liveness detection” per confermare la presenza di un utente reale durante la registrazione video.

In particolare, il sistema è in grado di prevenire:

1. L’uso di immagini statiche o video preregistrati
2. Manipolazioni tramite tecnologie DeepFake
3. L’utilizzo di maschere in silicone
4. L’utilizzo di video 3D pre-renderizzati

Evoluzione dell’identità digitale: IT Wallet e EUDI Wallet

La realtà delle identità digitali in Italia e in Europa è in costante evoluzione. Dal 2021 l’Unione Europea ha iniziato a lavorare sull’EUDI Wallet, l’European Digital Identity, un “portafoglio” in cui andranno a confluire “attributi verificabili” (come gli estremi del passaporto, del certificato di nascita, della patente e della tessera elettorale). In Italia di recente è stato lanciato il progetto IT Wallet, che vuole anticipare l’EUDI Wallet e permetterà di digitalizzare la patente, il passaporto e le certificazioni all’interno dell’app IO di PagoPA, oltre che contenere le due identità SPID e CIE.

Non ci sono ancora informazioni certe, ma ci auspichiamo che sia l’IT Wallet sia l’EUDI Wallet possano inglobare SPID e CIE senza necessariamente eliminarli, in quanto potrebbero trovare nuovi ambiti d’uso o nuove finalità.