February 2022 - nexa - server-nexa.polito.it

Re: [nexa] CIE come alternativa a SPID

by Marco A. Calamari

On gio, 2022-02-03 at 16:07 +0100, Damiano Verzulli wrote: > > Il 03/02/22 13:01, Marco A. Calamari ha scritto: > > [...] > > L'utente che non vuole tediarsi con SMS, app ed altre amenità che > > purtroppo talvolta sono inevitabili, non deve far altro che dotarsi > > di una > > SPID2 con 2FA hardware (il dongle col numeretto che cambia ogni minuto, > > oppure di SPID3, fatta utilizzando il proprio dispositivo di firma > > digitale > > (non c'e' bisogno della CIE) e senza dover spendere una lira di > > identificazione, > > che con la firma digitale è automatica, veloce e tutta online. > > > Temo mi sfugga qualcosa. > > Premetto che ho un dispositivo di "firma digitale", tra l'altro > utilizzato proprio per firmare il contratto di sottoscrizione con > Lepida, per l'ottenimento dello SPID. > > Di quello che scrivi NON ho capito la questione SPID2 con secondo > fattore hardware: ad esempio, nella pagina di Infocert [1] e Lepida [2] > _NON_ c'e' alcuna traccia di questo "device". > > Puoi dettagliare? Buonasera Damiano e lista, magari in privato posso farmi un po' di pubblicità fornendo materiale da miei corsi, ma qui penso sia meglio fare semplicemente l'esempio di come ho risolto PER ME i problemi di SPID. Quindi non faccio pubblicità,ad un fornitore, ma racconto solo cosa ho fatto per me. Chiunque può partire da questa pagina piena di indicazioni e link https://www.spid.gov.it/cos-e-spid/come-scegliere-tra-gli-idp/ probabilmente la miglior pagina che abbia visto su di un sito di una PP.AA. Io ho letto bene la tabella e sono andato sul sito di Aruba. Colà ho comprato per 10 euro una SPID2 + OTP hardware. E' il dongle verde che Banca Intesa dava già 10 anni fa. Per identificarmi e poter avere la SPID subito ho usato la modalità di identificazione (gratuita) con dispositivo di firma digitale. In questo modo ho ottenuto la SPID2 con OTP hardware (ed in omaggio anche quella con app, che non ho mai attivato). Poi ho comprato la SPID3 (altri circa 10 euro), abbinandola sempre al mio dispositivo di firma digitale (si può fare facilmente) Quindi solo una Smartcard per fare tutto in tasca, ed un otp nel mazzo di chiavi se per caso devo usare un laptop privo di lettore di smartcard, oppure un cellulare (usando il web browser e non una app). Fine della storia. Se guardate la tabella che vi ho linkato, questo giochetto di può fare con almeno altri 3 provider. Chi è invece vittima (l'80% degli italiani) del diabolico marchingegno a base di app creato da Poste Italiane non ne può uscire, se non buttando tutto e ricominciando da capo. E per finire, è noto a tutti che è tecnicamente e legalmente possibile avere più di un dispositivo di firma e più di una credenziale SPID? Questo può essere un ottimo trucco per comporre la propria soluzione, ed ovviamente per avere un backup di firma e credenziali ... ... ma questa ... (come dice la voce fuori campo nel finale di "Conan il barbaro") ... questa è un'altra storia! Buona serata a tutti. Marco > Ripeto: sono cosciente del fatto che: > > - posso utilizzare la mia "firma digitale" per accedere a questi siti, > come INPS e AgenziaEntrate, che la accettano come forma di autenticazione; > - posso "comprare" uno SPID senza pagare nulla e senza muovermi dalla > sedia, se decido di firmare digitalmente i relativi contratti (con la > "firma digitale") > > ...ma _NON_ credo di poter riuscire ad ottenere un TOKEN-hardware da > utilizzare come secondo fattore per SPID. > > Bye, > DV > > P.S.: se stiamo diventando troppo tecnici, cortesemente fatecelo notare > che... smettiamo subito :-) > > > [1] > https://www.infocert.it/identitadigitale-infocert-it/prodotti/spid-infocert… > > [2] https://id.lepida.it/idm/app/ >

Feb. 3, 2022

Datigov sotto al cofano

by Antonio Iacono

Credo possa interessare qualcuno anche qui. Messaggio di Francesco "Piersoft" Paolicelli alla lista "spaghetti opendata" "Sapete che le linee guida Agid sull’interoperabilità sono ormai finalmente approvate. Io volevo solo aggiornarvi sul cosa stiamo facendo dentro DatiGov per migliorare i Meta Dati insieme a tantissime amministrazioni locali; stiamo accompagnando grandi produttori di dati aperti ma anche i piccoli comuni, per permettere una pubblicazione che entri in dati gov (e da lì in europa) con i metadati corretti." il resto qui: https://groups.google.com/g/spaghettiopendata/c/fUtTt5C_Haw A.

Feb. 3, 2022

SPID & C **SENZA** servizi Google? OK, CHI LO SPIEGA?

by M. Fioretti

Salve a tutti riassumendo gli ultimi 20/30 messaggi su questo tema, mi pare assolutamente evidente che: * c'e' un bisogno ENORME di usare SPID e qualsiasi altro servizio pubblico da smartphone, ma senza nessuna sorveglianza o dipendenza di google * c'e' un bisogno enorme che lo facciano milioni di persone normali, e che possono permettersi solo smartphone economici cambiandoli solo quando gli cascano nella minestra * perche' se continuano a farlo davvero solo i nerd con tempo e reddito sacrificabili, detto con tutto l'affetto per i medesimi, gli effetti e benefici concreti per quei milioni di utenti e per la societa' in generale rimarrano pari a quelli forniti da chi usa HURD e ancora tira il freno del treno se sente Linux invece di Gnu/Linux: tutte opere meritorie (sul serio, non sfotto) ma che da un pezzo hanno raggiunto il limite. (ma non incastratevi su questo, se proprio volete ne litighiamo un'altra volta) * tornando a bomba, c'e' un bisogno enorme di UNA SINGOLA procedura sicura, testata, stradettagliata, completamente testata e tenuta costantemente aggiornata da italiani nerd per italiani normali, per chiunque, una volta comprato qualsiasi telefono entry-level sia in offerta in quei giorni su amazon.it o da mediaworld: - installarci senza bruciare il telefono una versione libera di android, completamente degooglizzata - e, nella stessa tornata, installarci anche SPID ed eventuali altre app indispensabili per sopravvivere alla burocrazia italiana Il tutto in due ore massimo, senza esperienza tecnica pregressa e consultando un solo sito, senza dover profanare tutte le principali religioni sprecando ore a cercare informazioni piu' o meno per esperti. Se non si fosse capito, io non ho le competenze per scrivere e mantenere una guida del genere, e nemmeno esiste una probabilita' concreta che le acquisisca in tempi utili (al massimo, potrei scrivere una introduzione che motivi a usarla, la guida, o documentazione su input di altri). Ergo, chi lo fa? Qualcuno di voi che avete condiviso consigli sparsi qui oggi, o qualche amico vostro? Opure contatti con potenziali sponsor, a partire dalle varie associazioni di consumatori che dovrebbero multarsi, per quanto se ne fregano di questi temi? Perche' senno' tanto vale parlare del sesso degli angeli, la prossima volta che saltano fuori SPID e simili. A voi la parola Marco PS: realizzo ora che questo messaggio potrebbe/dovrebbe diventare un post nella sezione italiana di Stop. Appena possibile lo faro', se volete aggiungerci contributi, scrivetemi! -- Help me write my NEXT MILLION WORDS for digital awareness: https://stop.zona-m.net/2021/10/funding-2021-2022/

Feb. 3, 2022

Re: [nexa] CIE come alternativa a SPID

by Antonio Iacono

Anzi, invece di "cercare", andate qui: https://federazione.servizicie.interno.gov.it/listSP sono ben 2880 le Pubbliche Amministrazioni che hanno già integrato l'accesso con ENTRA CON CIE ai propri servizi A. Il 03/02/22 11:21, Antonio Iacono ha scritto: > > Basta cercare in rete "accedi con cie" e ne vengono fuori parecchi altri. > >

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Roberto Resoli

Il 03/02/22 12:24, 380° ha scritto: > Damiano Verzulli <damiano(a)verzulli.it> writes: > > [...] > >> Utilizzando il codice python che trovi nei commenti a questo thread: >> >> https://www.reddit.com/r/ItalyInformatica/comments/oxateo/da_lepidaid_a_tot… > > interessante articolo grazie! > mi pare un'istanza di quanto già segnalato: > https://blog.jacopo.io/it/post/spid-google-authenticator/ Si, sono entrambe letture interessanti per un tecnico. Grazie a te e Damiano. > --8<---------------cut here---------------start------------->8--- > > Se qualcuno leggesse da Lepida, mettiamo in chiaro che apprezziamo molto > l'uso degli standard, e ci lamentiamo di come siano stati offuscati > invece di essere sfruttati appieno. > > [...] Se il contenuto di questo post per qualche motivo fosse > considerato un problema da Lepida, il modo migliore per risolverlo > sarebbe implementare nella gestione account un enrolling standard col QR > per chi già usa TOTP con altri siti, volendo continuando a consigliare > la app che ha qualche feature in più. > > --8<---------------cut here---------------end--------------->8--- Che poi (l'enrolling standard con QR) è esattamente quello che si fa per identificarsi preso moltissimi fornitori di servizi, Google incluso! > quindi per ottenere i dati occorre installate mitmproxy, la app, > sniffare il traffico e applicare la sostituzione monoalfabetica (ma che > davero?!?!) al secret: non è proprio alla portata di tutti (anche con > script python), non trovi? Già. Non capisco perchè anche chi apparentemente non infila cose assurde e inammissibili nel proprio codice (come Lepida, a quanto pare) debba essere più realista del re insistendo con la "sicurezza attraverso l'oscurità". > > per chi fosse interessato, poi il thread reddit spiega altri due modi > alternativi: uno che utilizza uno script python che non necessita di app > e mitmproxy, l'altro che utilizza un URI specifico e la funzione > "network debugger" del browser molto interessante, infatti. > per curiosità: hai provato a chiedere a Lepida i tuoi dati per TOTP? Spero ben che non abbia il secret totp degli utenti, se capisco cosa intendi ... (in ogni caso occorre fidarsi se si usa l'app) rob

Feb. 3, 2022

Re: [nexa] CIE come alternativa a SPID

by Stefano Quintarelli

io uso hermit... :-) On 03/02/22 16:13, M. Fioretti wrote: > Usando solo, e il meno possibile, solo le applicazioni preinstallate > (per dire, quando mi servono youtube, vimeo, reddit... carico i > rispettivi siti mobili, rifiutando tutti gli inviti a vivere la "vera > esperienza" con l'app), senza mai collegarle all'account google che > sono obbligato ad avere da prima degli smartphone, altra storia.

Feb. 3, 2022

Re: [nexa] CIE come alternativa a SPID

by M. Fioretti

On Thu, Feb 03, 2022 13:01:41 PM +0100, Marco A. Calamari wrote: > Non credo che niente di quello che dirò sia particolarmente nuovo ed > originale, ma potrebbe essere utile a qualcuno. > > Leggendo il lungo thread, sembra che ci sia una convinzione > abbastanza estesa che SPID obblighi l'utente ad usare app o > cellulari. > > Non è vero; l'utente fortemente spinto verso l'uso di app è l'utente che usa > lo smartphone come succedaneo del computer, e di questo paga il prezzo, > non del fatto che la SPID sia diventata "cattiva". > > L'utente che non vuole tediarsi con SMS... Buonasera Marco C., e lista Giusto per completare il quadro: io sono andato avanti ANNI senza installare alcuna applicazione di alcun tipo, ESATTAMENTE perche' so e voglio che quello che e' lo smartphone tipico di oggi non diventi mai un succedaneo del computer. Usando solo, e il meno possibile, solo le applicazioni preinstallate (per dire, quando mi servono youtube, vimeo, reddit... carico i rispettivi siti mobili, rifiutando tutti gli inviti a vivere la "vera esperienza" con l'app), senza mai collegarle all'account google che sono obbligato ad avere da prima degli smartphone, altra storia. Pero', pure se sai tutto questo, capitano i momenti in cui semplicemente non ti puoi permettere di perdere mezza giornata, se va bene, di "tediarsi" come dici tu con SMS e ricerca di documentazione e supporto online. Io le forti spinte di cui parli le ho evitate con successo per anni, poi e' arrivato il singolo momento in cui non potevo ne' evitarle ne' sprecare mezza giornata su questioni di principio, per quanto sacrosante. I motivi precisi per cui non potevo sono solo affari miei, di sicuro non da lista archiviata pubblicamente. Volevo solo ricordare che fra quanto e' vero tecnicamente e quanto e' possibile concretamente a ogni singolo, c'e' uno spazio abbastanza grande. Pure per i singoli che quelle cose le sannoo eccome. E quindi, come sicuramente tutti concordiamo, l'unica vera soluzione e' eliminare quello spazio, facendo cadere quelle idiozie che lo creano. Non aspettarsi che tutti *possano* smanettare per ore per superarlo. Marco -- Help me write my NEXT MILLION WORDS for digital awareness: https://stop.zona-m.net/2021/10/funding-2021-2022/

Feb. 3, 2022

Re: [nexa] CIE come alternativa a SPID

by Damiano Verzulli

Il 03/02/22 13:01, Marco A. Calamari ha scritto: > [...] > L'utente che non vuole tediarsi con SMS, app ed altre amenità che > purtroppo talvolta sono inevitabili, non deve far altro che dotarsi > di una > SPID2 con 2FA hardware (il dongle col numeretto che cambia ogni minuto, > oppure di SPID3, fatta utilizzando il proprio dispositivo di firma > digitale > (non c'e' bisogno della CIE) e senza dover spendere una lira di > identificazione, > che con la firma digitale è automatica, veloce e tutta online. Temo mi sfugga qualcosa. Premetto che ho un dispositivo di "firma digitale", tra l'altro utilizzato proprio per firmare il contratto di sottoscrizione con Lepida, per l'ottenimento dello SPID. Di quello che scrivi NON ho capito la questione SPID2 con secondo fattore hardware: ad esempio, nella pagina di Infocert [1] e Lepida [2] _NON_ c'e' alcuna traccia di questo "device". Puoi dettagliare? Ripeto: sono cosciente del fatto che: - posso utilizzare la mia "firma digitale" per accedere a questi siti, come INPS e AgenziaEntrate, che la accettano come forma di autenticazione; - posso "comprare" uno SPID senza pagare nulla e senza muovermi dalla sedia, se decido di firmare digitalmente i relativi contratti (con la "firma digitale") ...ma _NON_ credo di poter riuscire ad ottenere un TOKEN-hardware da utilizzare come secondo fattore per SPID. Bye, DV P.S.: se stiamo diventando troppo tecnici, cortesemente fatecelo notare che... smettiamo subito :-) [1] https://www.infocert.it/identitadigitale-infocert-it/prodotti/spid-infocert… [2] https://id.lepida.it/idm/app/ -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Roberto Resoli

Il 03/02/22 11:15, Stefano Quintarelli ha scritto: > ciao > personalmente ho un telefono e.foundation (degoogled) e uso SPID di > sielte (non faccio promozione, solo info) > ciao, s. e.foundation credo (chiedo conferma, Stefano) installi microg, per l'accesso all'infrastruttura di G. senza account G. Personalmente uso per SPID LepidaID, che è priva di tracker noti, secondo Exodus Privacy[1]. Fino a poco tempo fa prescindeva anche da push notifications google, e credo funzioni ancora comunque con qualche limitazione (niente sbocco con QR) rob [1] https://reports.exodus-privacy.eu.org/it/reports/it.lepida.id.authenticator…

Feb. 3, 2022

Faith in the metaverse: A VR quest for community, fellowship

by don Luca Peyron

Evoluzioni (?) dalle mie bande... Buona lettura dl https://religionnews.com/2022/01/31/faith-in-the-metaverse-a-vr-quest-for-c… __________________ don Luca Peyron Direttore Ufficio per la Pastorale Universitaria Arcidiocesi di Torino www.universitari.to.it via XX settembre 83, Torino tel. 011 5156239

Feb. 3, 2022