Roma – Nel Web ogni servizio, dal sito di commercio elettronico, all’instant messaging, ai forum, utilizza un proprio sistema per l’identificazione e l’autenticazione degli utenti. Questa situazione è determinata dalla mancanza di una piattaforma comune, condivisa da tutti i soggetti, dal fornitore di servizi all’utente finale. In questi mesi si sta cercando di porre le basi per la creazione di una tecnologia che colmi questo gap, tra i nodi più delicati che la Rete si trova ad affrontare in questo momento.
La situazione attuale è quella di un mondo in cui la verifica di ogni transazione (con questo termine indichiamo qualsiasi rapporto online, dalla visita ad un sito web all’acquisto di un prodotto) è lasciata agli stessi attori, con evidenti lacune nella sicurezza e nell’affidabilità. Chi viene maggiormente penalizzato in questa situazione sono gli utenti: mentre i fornitori di servizi riescono a raggiungere il loro scopo, ovvero riconoscere gli utenti e determinare se hanno un grado di affidabilità sufficiente a procedere alle transazioni richieste, gli utenti sono totalmente esposti : per ottenere il livello di sicurezza richiesto dal fornitore del servizio è necessario esporre tutti i dati personali che vengono richiesti, senza poterne celare alcuno.
Questo diventa più pericoloso se consideriamo che l’affidabilità di chi richiede i dati non è in alcun modo garantita dai sistemi utilizzati. La protezione offerta agli utenti dal legislatore o dallo stesso sito, esposta nelle condizioni di utilizzo, è molto spesso troppo debole, come ben sappiamo.
La prima controindicazione, ancora più evidente delle considerazioni precedenti, di un modello di identificazione totalmente basato su credenziali specifiche per ogni servizio è il proliferare di username e password , che costringe l’utente a dover memorizzare una grossa mole di dati, creando un evidente problema di scomodità e, ancor più grave, di sicurezza.
Partendo dalla situazione che abbiamo descritto, un gruppo di aziende ed istituzioni sta compiendo in questi mesi un grosso sforzo per giungere alla definizione di una tecnologia che superi questi limiti. Parafrasando una delle buzzword più in voga sulla Rete in questo periodo, il nome scelto per indicare questi standard nascenti è identity2.0 .
Un paragone col mondo reale può aiutarci a chiarire meglio la situazione: quando dobbiamo iscriverci ad una biblioteca presentiamo le nostre credenziali al gestore del servizio, sotto forma di un documento d’identità. Questo documento è emesso da un’autorità, lo Stato, che garantisce l’affidabilità e la correttezza dei dati in esso contenuti (almeno pensando di essere in un mondo perfetto, in cui non esistano documenti contraffatti); per essere riconosciuti non è però necessario che il documento contenga tutta la conoscenza che lo Stato ha su di noi: nel caso della biblioteca (e di moltissimi altri servizi) è solitamente sufficiente rivelare il proprio nome ed il proprio indirizzo, mentre non è necessario comunicare altri dati, ad esempio il proprio reddito degli anni precedenti.
L’intervento dello Stato nel procedimento di identificazione ed autenticazione che ci permette di avere la tessera della biblioteca è assolutamente indiretto: i soggetti coinvolti nell’operazione di iscrizione sono solamente due, che si appoggiano in maniera asimmetrica ad un autorità terza, che non partecipa, ed anzi spesso nemmeno viene a conoscenza dell’utilizzo delle credenziali da essa emesse. Al centro di ogni transazione che richieda l’identificazione degli utenti è posto lo stesso utente, insieme alle credenziali che gli vengono fornite da un’autorità esterna, universalmente riconosciuta.
La situazione attuale sulla Rete è drasticamente diversa: continuando a ragionare sulla scorta dell’esempio appena riportato, è come se ogni sito emettesse un propria carta d’identità ad ogni utente , che sarà riconosciuta solamente da chi la ha rilasciata.
Abbiamo già accennato alla proliferazione di identificativi utente e password, una grossa scomodità per gli utilizzatori, ma dobbiamo concentrarci su un ulteriore livello per individuare il rischio maggiore: ogni servizio al quale ci iscriviamo richiede parecchi dati personali, senza che sia garantita l’affidabilità del gestore del servizio, e quindi la correttezza nel trattare i nostri dati. Questo è necessario per poter identificare l’utilizzatore e poter assicurare l’affidabilità necessaria a portare a termine la transazione; ma in questo processo viene tutelato il fornitore di servizi, mentre è evidente che l’utente è penalizzato , non potendo in alcun modo tutelare i propri dati e la propria affidabilità (sotto forma di reputazione, solitamente considerata un attributo dell’identità stessa).
La presenza di una autorità che certifichi l’identità degli utenti eliminerebbe la necessità di rivelare alcuni dei nostri dati personali , aumentando allo stesso tempo sicurezza e riservatezza. Ad esempio non sarebbe più necessario rivelare ed autenticare (solitamente rispondendo ad una mail di conferma) il proprio indirizzo e-mail per accedere ad un servizio.
Questa situazione ha fatto nascere l’idea di un sistema di identificazione aperto ed affidabile per tutti gli utenti Internet. Un primo tentativo è stato fatto da Microsoft nel 2001, con il nome di Passport : si trattava di un sistema per gestire l’autenticazione su più siti, avvalendosi di un protocollo comune. Applicazioni di questo tipo vengono dette SSO (Single Sign On), perché l’autenticazione viene eseguita una sola volta ed è poi valida su tutti i siti che utilizzano lo stesso sistema. La proposta rispondeva ad una necessità effettiva degli utenti ed il sistema era estremamente avanzato dal punto di vista tecnico, ma alcuni mesi fa, dopo quasi cinque anni di agonia, la casa di Redmond ha annunciato la fine dell’esperienza.
Quali sono le ragioni di questo fallimento? La risposta a questo problema, molto sentito dagli utenti, non può venire che sotto forma di un sistema aperto e totalmente affidabile . Passport, pur essendo per tanti motivi un sistema valido, prevedeva la gestione esclusiva da parte di una sola società del protocollo e di tutta l’infrastruttura di autenticazione: ovviamente questo non è tollerabile, ed è all’origine del fallimento dell’iniziativa.
Prima di ripartire dopo l’esperienza di Passport ed incorrere in giustificate obiezioni, bisogna specificare che il tentativo di introdurre queste tecnologie deve avere come unico obiettivo la protezione di tutti i soggetti , includendo sotto questo nome sia gli utilizzatori che il fornitore di servizi. L’utente deve essere portato al centro e messo nella condizione di controllare totalmente la propria identità in ogni transazione cui prende parte; la necessità di questo layer aggiuntivo è innegabile, per evitare in futuro l’ingigantirsi di problemi già presenti, sotto forma di phishing ed identity theft , tanto per fare un esempio.
Proprio in questo momento di definizione delle tecnologie che saranno usate è importante che tutte le parti coinvolte partecipino attivamente, per assicurare il rispetto dei diritti di ognuno. Solo così si potrà scongiurare un utilizzo differente di queste tecnologie, ad esempio per controllare meglio chi usa la Rete.
Uno dei soggetti più importanti impegnati nella battaglia per la definizione di standard di gestione dell’identità è, come prevedibile, Microsoft , che in Windows Vista dovrebbe integrare la tecnologia Infocard ; Kirk Cameron, il responsabile della casa di Redmond per questo settore, ha enunciato sette leggi divenute oramai famose, nelle quali sono contenuti i principi sulla base dei quali procedere alla definizione degli standard. Il cuore delle sette leggi risiede nel dare il pieno controllo all’utente sulle proprie informazioni, garantendone al contempo la minima diffusione.
Creando infatti un protocollo aperto ed affidabile, la necessità di diffondere i nostri dati diminuirà, ma sarà lo stesso sistema a garantire la nostra affidabilità ai soggetti con cui veniamo in contatto.
Ma quali sono i principi che determineranno il funzionamento di queste tecnologie? Quasi tutti i protocolli finora proposti prevedono l’utilizzo di un URL univoco per identificare gli utenti, fornito dal servizio di identificazione cui si è iscritti, che risulterà quindi del tipo www.identitymanager.com/username.
I siti che si avvarranno di questa tecnologia riconosceranno il gestore di identità sulla base della prima parte dell’URL (ovvero il dominio del fornitore del servizio di gestione dell’identità) e si appoggeranno ad esso per autenticare l’utente. Naturalmente è previsto che i soggetti che forniscono i servizi di autenticazione siano più di uno, assicurando comunque la piena interoperabilità dei protocolli.
In pratica una volta autenticati sul proprio identity provider, sarà sufficiente inserire il proprio URL in qualsiasi sito per essere rediretti al proprio identity manager e quindi riconosciuti. Dietro le quinte un sistema di redirect e cookie garantirà il funzionamento del protocollo.
Tra le varie tecnologie che sono state proposte e che si contendono la leadership, le più interessanti sono probabilmente Sxip e Lid . Il primo protocollo è stato creato dall’omonima società e si contraddistingue per essere estremamente potente e versatile, ma è affetto da una grave mancanza di interoperabilità con i concorrenti. Al contrario Lid, sviluppato da Netmesh, è un protocollo più semplice (lo dice il nome stesso, Lightweight IDentity), ma si è fatto promotore di Yadis, un tentativo di avvicinare, tramite uno strato uniforme di interoperabilità, i vari protocolli. Recentemente Sxip ha intrapreso il processo di standardizzazione presso IETF del proprio protocollo.
Un altro approccio interessante, e che promette di dare un miglior feeling all’utente è quello di pass.net, che prevede di utilizzare gli indirizzi esistenti di posta elettronica come URL di identificazione . I vantaggi per gli utenti in questo tipo di soluzione sono evidenti, mentre è richiesta una complicazione a livello dei protocolli necessari al funzionamento del procedimento di autenticazione. inoltre probabilmente non tutti i fornitori di indirizzi e-mail supporteranno il protocollo, impedendone l’uso ad alcuni utenti.
Indipendentemente da quella che sarà la proposta che avrà la meglio e sarà quindi alla base dei sistemi che fra pochi mesi potremo cominciare ad usare, possiamo già ipotizzare con una certa sicurezza che i protocolli per la gestione dell’identità giocheranno un ruolo prioritario nella Internet del futuro, difendendo i diritti di tutti i soggetti, siano questi utenti finali oppure fornitori di servizi.
Lorenzo Viscanti
http://www.noosfactory.com/blog
Ti potrebbe interessare
19 apr 2006