Mostra notizie nelle discussioni
  • Avatar
    Scritto da
    Non Autenticato
    il 2016-01-22 15:02:41.0 alle 2016-01-22 15:02:41.0
    Chiavette O-Key FIDO eccetera: problema
    ai fini della petizione.

    Le chiavette comportano l'autenticazione mediante un elemento che si suppone sia in possesso del solo titolare dell'account.

    È perfettamente ragionevole supporre che il titolare di un conto bancario non dia password e chiavetta a nessuno, o al massimo a persone di sua assoluta fiducia. Dal punto di vista del titolare di un conto che vuole assicurarsi di essere il solo ad accedervi, questo tipo di autenticazione è efficace.

    Ma nell'accesso a servizi della pubblica amministrazione, che potrebbero implicare cose gradevoli come ad esempio pagare le tasse, non è tanto il "titolare" a voler essere l'unico che accede al suo account, ma lo stato a voler esser certo che chi vi accede è il solo titolare. Altrimenti saranno possibili frodi che al momento nemmeno immagino, con l'assistenza sanitaria o chissà che altro.

    Di qui la soluzione di usare le impronte digitali. Ovvio che se la carta d'identità elettronica viene usata come scheda da inserire per l'accesso, presenta gli stessi problemi delle chiavette: ma è allora da presagire che il prossimo passo sarà l'adozione obbligatoria di lettori di impronte in tempo reale per l'autenticazione.

    Abbiamo già mostrato con semplici esempi che le impronte, e in genere i dati biometrici, non sono adatti a questo scopo; ma, supponendo che anche i destinatari della petizione lo capiscano, quale soluzione proporre in alternativa?
    Le chiavette vanno bene a me per attestare di essere il titolare di un insieme di diritti, ma non allo scopo che si prefigge lo stato, cioè accertare che sono il determinato soggetto a certi doveri.

    Soluzioni?
    • Avatar
      Scritto da
      Non Autenticato
      il 2016-01-22 18:10:33.0 alle 2016-01-22 18:10:33.0
      Re: Chiavette O-Key FIDO eccetera: problema
      Scritto da:
      > ai fini della petizione.
      >
      > Le chiavette comportano l'autenticazione mediante un elemento che si suppone sia in possesso del solo titolare dell'account.
      >
      > È perfettamente ragionevole supporre che il titolare di un conto bancario non dia password e chiavetta a nessuno, o al massimo a persone di sua assoluta fiducia. Dal punto di vista del titolare di un conto che vuole assicurarsi di essere il solo ad accedervi, questo tipo di autenticazione è efficace.
      >
      > Ma nell'accesso a servizi della pubblica amministrazione, che potrebbero implicare cose gradevoli come ad esempio pagare le tasse, non è tanto il "titolare" a voler essere l'unico che accede al suo account, ma lo stato a voler esser certo che chi vi accede è il solo titolare. Altrimenti saranno possibili frodi che al momento nemmeno immagino, con l'assistenza sanitaria o chissà che altro.
      >
      > Di qui la soluzione di usare le impronte digitali. Ovvio che se la carta d'identità elettronica viene usata come scheda da inserire per l'accesso, presenta gli stessi problemi delle chiavette: ma è allora da presagire che il prossimo passo sarà l'adozione obbligatoria di lettori di impronte in tempo reale per l'autenticazione.
      >
      > Abbiamo già mostrato con semplici esempi che le impronte, e in genere i dati biometrici, non sono adatti a questo scopo; ma, supponendo che anche i destinatari della petizione lo capiscano, quale soluzione proporre in alternativa?
      > Le chiavette vanno bene a me per attestare di essere il titolare di un insieme di diritti, ma non allo scopo che si prefigge lo stato, cioè accertare che sono il determinato soggetto a certi doveri.
      >
      > Soluzioni?

      UPPETE
      • Avatar
        Scritto da
        Non Autenticato
        il 2016-01-22 21:18:03.0 alle 2016-01-22 21:18:03.0
        Re: Chiavette O-Key FIDO eccetera: problema
        Scritto da:
        > Scritto da:
        > > ai fini della petizione.
        > >
        > > Le chiavette comportano l'autenticazione mediante un elemento che si suppone sia in possesso del solo titolare dell'account.
        > >
        > > È perfettamente ragionevole supporre che il titolare di un conto bancario non dia password e chiavetta a nessuno, o al massimo a persone di sua assoluta fiducia. Dal punto di vista del titolare di un conto che vuole assicurarsi di essere il solo ad accedervi, questo tipo di autenticazione è efficace.
        > >
        > > Ma nell'accesso a servizi della pubblica amministrazione, che potrebbero implicare cose gradevoli come ad esempio pagare le tasse, non è tanto il "titolare" a voler essere l'unico che accede al suo account, ma lo stato a voler esser certo che chi vi accede è il solo titolare. Altrimenti saranno possibili frodi che al momento nemmeno immagino, con l'assistenza sanitaria o chissà che altro.
        > >
        > > Di qui la soluzione di usare le impronte digitali. Ovvio che se la carta d'identità elettronica viene usata come scheda da inserire per l'accesso, presenta gli stessi problemi delle chiavette: ma è allora da presagire che il prossimo passo sarà l'adozione obbligatoria di lettori di impronte in tempo reale per l'autenticazione.
        > >
        > > Abbiamo già mostrato con semplici esempi che le impronte, e in genere i dati biometrici, non sono adatti a questo scopo; ma, supponendo che anche i destinatari della petizione lo capiscano, quale soluzione proporre in alternativa?
        > > Le chiavette vanno bene a me per attestare di essere il titolare di un insieme di diritti, ma non allo scopo che si prefigge lo stato, cioè accertare che sono il determinato soggetto a certi doveri.
        > >
        > > Soluzioni?
        >
        > UPPETE

        UPPETE!
        • Avatar
          Scritto da
          Non Autenticato
          il 2016-01-22 21:34:30.0 alle 2016-01-22 21:34:30.0
          Re: Chiavette O-Key FIDO eccetera: problema
          Scritto da:
          > > > Ma nell'accesso a servizi della pubblica amministrazione, che potrebbero implicare cose gradevoli come ad esempio pagare le tasse, non è tanto il "titolare" a voler essere l'unico che accede al suo account, ma lo stato a voler esser certo che chi vi accede è il solo titolare. Altrimenti saranno possibili frodi che al momento nemmeno immagino, con l'assistenza sanitaria o chissà che altro.
          > > >
          > > > Di qui la soluzione di usare le impronte digitali.

          A dire il vero no.
          L'accesso al sito dell'agenzia delle entrate, dell'INPS, e diversi altri servizi regionali è già possibile tramite la carta nazionale dei servizi (la carta del codice fiscale con chip che immagino sia oramai disponibile ovunque in Italia).

          Questa carta richiede un lettore di smartcard, fornito gratis in varie regioni, o comunque acquistabile per pochi euro (tipo 20 o 30 euro).

          La smartcard è, come i bancomat, protetta da PIN e non è possibile accedervi senza conoscere il PIN. In più la smartcard è programmata per bloccarsi nel caso si facciano troppi tentativi a vuoto con il PIN.

          Per il resto si tratta di una smartcard di firma elettronica, usata appunto per l'autenticazione (non per firmare documenti legali, per questo c'è la carta di firma elettronica apposita acquistabile presso la camera di commercio)... decisamente più sicura di password e di impronte digitali che siano.

          Quindi in realtà il problema è già egregiamente risolto.
          • Avatar
            Scritto da
            Non Autenticato
            il 2016-01-22 21:46:20.0 alle 2016-01-22 21:46:20.0
            Re: Chiavette O-Key FIDO eccetera: problema
            Scritto da:
            > Scritto da:
            > > > > Ma nell'accesso a servizi della pubblica amministrazione, che potrebbero implicare cose gradevoli come ad esempio pagare le tasse, non è tanto il "titolare" a voler essere l'unico che accede al suo account, ma lo stato a voler esser certo che chi vi accede è il solo titolare. Altrimenti saranno possibili frodi che al momento nemmeno immagino, con l'assistenza sanitaria o chissà che altro.
            > > > >
            > > > > Di qui la soluzione di usare le impronte digitali.
            >
            > A dire il vero no.
            > L'accesso al sito dell'agenzia delle entrate, dell'INPS, e diversi altri servizi regionali è già possibile tramite la carta nazionale dei servizi (la carta del codice fiscale con chip che immagino sia oramai disponibile ovunque in Italia).
            >
            > Questa carta richiede un lettore di smartcard, fornito gratis in varie regioni, o comunque acquistabile per pochi euro (tipo 20 o 30 euro).
            >
            > La smartcard è, come i bancomat, protetta da PIN e non è possibile accedervi senza conoscere il PIN. In più la smartcard è programmata per bloccarsi nel caso si facciano troppi tentativi a vuoto con il PIN.
            >
            > Per il resto si tratta di una smartcard di firma elettronica, usata appunto per l'autenticazione (non per firmare documenti legali, per questo c'è la carta di firma elettronica apposita acquistabile presso la camera di commercio)... decisamente più sicura di password e di impronte digitali che siano.
            >
            > Quindi in realtà il problema è già egregiamente risolto.

            Supponi che prevedano di rendere disponibili, tramite sistemi informatici, di servizi che devono essere fruiti solo dall'interessato e da nessun altro, neppure parenti stretti a cui l'interessato può dare la carta o chiavetta. Come si dovrebbe fare?

            Suora! avve! mollate un attimo quelle tette e dite la vostra!
            • Avatar
              Scritto da
              Non Autenticato
              il 2016-01-22 21:57:19.0 alle 2016-01-22 21:57:19.0
              Re: Chiavette O-Key FIDO eccetera: problema
              Scritto da:
              > Scritto da:
              > > Scritto da:
              > > > > > Ma nell'accesso a servizi della pubblica amministrazione, che potrebbero implicare cose gradevoli come ad esempio pagare le tasse, non è tanto il "titolare" a voler essere l'unico che accede al suo account, ma lo stato a voler esser certo che chi vi accede è il solo titolare. Altrimenti saranno possibili frodi che al momento nemmeno immagino, con l'assistenza sanitaria o chissà che altro.
              > > > > >
              > > > > > Di qui la soluzione di usare le impronte digitali.
              > >
              > > A dire il vero no.
              > > L'accesso al sito dell'agenzia delle entrate, dell'INPS, e diversi altri servizi regionali è già possibile tramite la carta nazionale dei servizi (la carta del codice fiscale con chip che immagino sia oramai disponibile ovunque in Italia).
              > >
              > > Questa carta richiede un lettore di smartcard, fornito gratis in varie regioni, o comunque acquistabile per pochi euro (tipo 20 o 30 euro).
              > >
              > > La smartcard è, come i bancomat, protetta da PIN e non è possibile accedervi senza conoscere il PIN. In più la smartcard è programmata per bloccarsi nel caso si facciano troppi tentativi a vuoto con il PIN.
              > >
              > > Per il resto si tratta di una smartcard di firma elettronica, usata appunto per l'autenticazione (non per firmare documenti legali, per questo c'è la carta di firma elettronica apposita acquistabile presso la camera di commercio)... decisamente più sicura di password e di impronte digitali che siano.
              > >
              > > Quindi in realtà il problema è già egregiamente risolto.
              >
              > Supponi che prevedano di rendere disponibili, tramite sistemi informatici, di servizi che devono essere fruiti solo dall'interessato e da nessun altro, neppure parenti stretti a cui l'interessato può dare la carta o chiavetta. Come si dovrebbe fare?
              >
              > Suora! avve! mollate un attimo quelle tette e dite la vostra!

              Mi spiego ancorissimo meglio: secondo me non esiste un metodo per essere sicuri al 99,999999% dell'identità di una persona nel compire una data azione, se non vederla di persona. Ogni autenticazione da remoto, comunque avvenga, può essere falsificata se la persona rende disponibile i relativi mezzi d'accesso.

              Facciamo un esempio: esami universitari da remoto. Il candidato consegna le credenziali d'accesso a un esperto nel sostenere brillantemente esami, pagato profumatamente. Anche se ci fosse una webcam, si può scegliere un esperto quasi-sosia che possa essere truccato in modo da somigliare al candidato.

              Esempio nell'esempio: il fratello gemello. Qui è dura anche di persona. Per questo questi qui pensano alle impronte (che però come insegna Schneier, sono uniche, ma non un segreto).

              Il nocciolo della questione è che mettendosi nei panni del governo si capisce perché le impronte. Restando nei miei panni non ne voglio sapere, ma sarebbe meglio suggerire una soluzione alternativa. Ma secondo me non esiste. Come non funzionano le impronte non funziona nessuna alternativa.
<softv>

Pagina generata in 24 millisecondi

Utenti attivi: 8 nell'ultimo minuto, 25 negli ultimi cinque minuti, 70 negli ultimi 15 minuti