February 2022 - nexa - server-nexa.polito.it

Re: [nexa] CIE come alternativa a SPID

by Marco A. Calamari

Non credo che niente di quello che dirò sia particolarmente nuovo ed originale, ma potrebbe essere utile a qualcuno. Leggendo il lungo thread, sembra che ci sia una convinzione abbastanza estesa che SPID obblighi l'utente ad usare app o cellulari. Non è vero; l'utente fortemente spinto verso l'uso di app è l'utente che usa lo smartphone come succedaneo del computer, e di questo paga il prezzo, non del fatto che la SPID sia diventata "cattiva". L'utente che non vuole tediarsi con SMS, app ed altre amenità che purtroppo talvolta sono inevitabili, non deve far altro che dotarsi di una SPID2 con 2FA hardware (il dongle col numeretto che cambia ogni minuto, oppure di SPID3, fatta utilizzando il proprio dispositivo di firma digitale (non c'e' bisogno della CIE) e senza dover spendere una lira di identificazione, che con la firma digitale è automatica, veloce e tutta online. E' una combinazione economica, facile da gestire e molto sicura, per tutte quelle persone che (giustamente) vogliono evitare che il cellulare diventi il più grande pericolo informatico della loro vita. (Disclaimer: ho opinioni estreme sulle questioni legate alla privacy, che mi conosce certamente lo sa, ma i due consigli su quale SPID avere e come usarla derivano da anni di utilizzo personale, di insegnamento e di discussioni, quindi probabilmente valgono un minimo di considerazione) Grazie a tutti per la pazienza. Marco On gio, 2022-02-03 at 11:21 +0100, Antonio Iacono wrote: > Il 03/02/22 10:14, Damiano Verzulli ha scritto: > > > > => INPS: PIN (per pochissime tipologie di utenti), SPID, CIE e CNS > > => Agenzia Entrate => SPID, CIE, CNS, Credenziali (per alcune > > tipologie di utenza) > > > > Tuttavia ritengo che la maggior parte dei "servizi pubblici" non sia > > cosi' solerte come INPS e AdE, e che preveda il solo SPID... (penso al > > Portale Dell'Automobilista, ai servizi della mia ASL o a quelli del > > mio Comune relativi alla scuola primaria) > > > Oltre a INPS e Agenzia delle Entrate ci sono molti ministeri, regioni, > enti, ad es.: > > Ministero Sviluppo Economico -> https://www.impresainungiorno.gov.it/sso/go > > Regione Lombardia -> > https://idpcwrapper.crs.lombardia.it/PublisherMetadata/SSOService > > INAIL -> > https://gestioneaccessi.inail.it/IAA/public/form_login_strong_authenticatio… > > Torino facile -> > https://servizi.torinofacile.it/cgi-bin/accesso/base/index.cgi > > Basta cercare in rete "accedi con cie" e ne vengono fuori parecchi altri. > > > Colgo l'occasione per segnalare che, nei ritagli di tempo, io e Roberto > (Resoli) stiamo cercando di rendere "usabile" la CIE in ambiente Linux, > ad esempio integrandone il supporto in OpenSC [1] > > Il SW ufficiale c'è, ma diciamo che lascia un po' a desiderare ... [1] > > Chi volesse contribuire può contattarci in privato. > > Grazie, > > A. > > > [1] https://github.com/OpenSC/OpenSC/issues/2486 > > [2] https://github.com/italia/cie-middleware-linux/issues/ > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Stefano Quintarelli

bisogna chiederlo a chi l'ha tolto... mi pare durante l'esecutivo precedente On 03/02/22 12:46, Giacomo Tesio wrote: > Ciao Stefano, > > On February 3, 2022 11:00:18 AM UTC, Stefano Quintarelli <stefano(a)quintarelli.it> wrote: >> avevo messo nel CAD l'obbligo di accettare pagamenti anche con bonifico e pubblicare >> l'IBAN sul sito dell'ente. >> poi e' stato tolto... > > Perché è stato tolto? > > > Giacomo > > > >

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Giacomo Tesio

Ciao Stefano, On February 3, 2022 11:00:18 AM UTC, Stefano Quintarelli <stefano(a)quintarelli.it> wrote: > avevo messo nel CAD l'obbligo di accettare pagamenti anche con bonifico e pubblicare > l'IBAN sul sito dell'ente. > poi e' stato tolto... Perché è stato tolto? Giacomo

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by 380°

Damiano Verzulli <damiano(a)verzulli.it> writes: [...] > Utilizzando il codice python che trovi nei commenti a questo thread: > > https://www.reddit.com/r/ItalyInformatica/comments/oxateo/da_lepidaid_a_tot… interessante articolo grazie! mi pare un'istanza di quanto già segnalato: https://blog.jacopo.io/it/post/spid-google-authenticator/ --8<---------------cut here---------------start------------->8--- Se qualcuno leggesse da Lepida, mettiamo in chiaro che apprezziamo molto l'uso degli standard, e ci lamentiamo di come siano stati offuscati invece di essere sfruttati appieno. [...] Se il contenuto di questo post per qualche motivo fosse considerato un problema da Lepida, il modo migliore per risolverlo sarebbe implementare nella gestione account un enrolling standard col QR per chi già usa TOTP con altri siti, volendo continuando a consigliare la app che ha qualche feature in più. --8<---------------cut here---------------end--------------->8--- quindi per ottenere i dati occorre installate mitmproxy, la app, sniffare il traffico e applicare la sostituzione monoalfabetica (ma che davero?!?!) al secret: non è proprio alla portata di tutti (anche con script python), non trovi? per chi fosse interessato, poi il thread reddit spiega altri due modi alternativi: uno che utilizza uno script python che non necessita di app e mitmproxy, l'altro che utilizza un URI specifico e la funzione "network debugger" del browser per curiosità: hai provato a chiedere a Lepida i tuoi dati per TOTP? grazie, 380° [...] -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by 380°

Buongiorno Roberto, ERR <e(a)richiardone.eu> writes: [...] > - Con l'app usata per OTP [...] > hai la flessibilita' di poter proporre ulteriori servizi di > comunicazione all'utente, poter avere qualche informazione sull'utente > proveniente dall'ambiente Android/IOS, avere la possibilita' in futuro > di poter evolvere la soluzione, chi piu' ne ha piu' ne metta. Oltre > che offrire una soluzione che l'utente medio si aspetta in quanto la > concorrenza fa' cosi' e questo e' lo standard. Sono costi che vanno a > finire in gran parte nelle spese di marketing. sì mi pare più che evidente che i provider lo fanno - cioè nascondono le informazioni per usare applicazioni alternative - esattamente per poter "catturare" un nuovo potenziale cliente attraverso gli altri servizi proposti via app (app che io non ho mai neanche visto col binocolo, vado a intuito) è esattamente per questo che dovrebbe essere consentito agli utenti di _scegliere_ se usare l'app ufficiale del fornitore o una applicazione alternativa che fornisca loro /solo/ il servizio SPID (che _ripeto_ è un banalissimo servizio OTP con protocollo TOTP) [...] saluti, 380° -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Stefano Quintarelli

ciao, On 03/02/22 11:32, Joanne Maria Pini wrote: > Ieri sono stato costretto da ospedale Monza a pagare una cartella clinica con PagoPA. avevo messo nel CAD l'obbligo di accettare pagamenti anche con bonifico e pubblicare l'IBAN sul sito dell'ente. poi e' stato tolto... ciao, s.

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by 380°

Damiano Verzulli <damiano(a)verzulli.it> writes: > Il 03/02/22 10:16, ERR ha scritto: [...] >> Ma ho ancora dei dubbi a riguardo; sarebbe interessante capire quanto >> davvero costa ai fornitori una soluzione rispetto all'altra. > > Io credo che, prima ancora che un problema "strettamente economico", sia > un problema "culturale". Mi spiego: > > A) è una APP che usa i GoogleServices per interfacciarsi con lo > smartphone e con le librerie (di google) di gestione del secondo fattore > (sensore biometrico se presente; o TOTP con relative librerie software); > > B) è una APP che genera il secondo fattore e lo manda via SMS > > C) è una APP che genera il secondo fattore e lo gestisce via standard > TOTP (ad esempio, via FreeOTP+) immagino tu ti stia riferendo all'applicazione client ma la sola e unica cosa importante è il /protocollo/ usato lato server, che deve essere (ed è) interoperabile da quello che ho letto è molto probabile che lato server utilizzino software libero (FreeIPA?); il VERO servizio erogato /tecnicamente/ è questo e a quanto pare tutti i provider utilizzano di propria spontanea volontà TOTP: ottimo! lato client potrebbero /semplicemente/ consigliare uno degli N client a disposizione (es. FreeOTP come hai scritto), un po' come succede con i fornitori di caselle email; questo non ha NULLA a che fare con il servizio erogato, non abbiamo bisogno che i fornitori ci "regalino" la app: vogliamo _solo_ i nostri parametri di configurazione poi, ripeto, nessuno dovrebbe essere costretto ad usare un'app - anche se libera - per ottenere la propria OTP, visto che ci sono sistemi perfettamente integrati lato deskop - come ad esempio KeepassCX [1] o PasswordStore con interfacce multiple [2] come qtpass [3] - che con una semplice combinazione di tasti consentono di copincollare l'OTP dove serve [...] > C) è implementabile a costo zero, come A)... ma lo sviluppatore _DEVE_ > capire come funziona TOTP e come implementarla _SENZA_ utilizzare i > servizi Google. È questo l'ostacolo principale. Di fatto deve spendere > (lo sviluppatore) due ore a capire cosa e' TOTP + un'ora a capire come > implementarlo + lo stesso tempo di A) per "implementare" non è affatto necessario che i fornitori SPID sviluppino una propria app per l'invio del codice OTP, così come non è affatto necessario che i fornitori di caselle email sviluppino un proprio client email interoperabilità, appunto [...] saluti, 380° [1] https://keepassxc.org/docs/#faq-security-totp [2] https://www.passwordstore.org/#other [3] https://qtpass.org/ -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Joanne Maria Pini

Scusate: Ieri sono stato costretto da ospedale Monza a pagare una cartella clinica con PagoPA. Un cinema a partire dall'uso dello Spid. Mezz'ora transitando dal mio conto corrente (non ho cmq aderito a PagoPA) e alla fine del processo c'era una ricevuta per l'ospedale piena di miei dati. Ho chiesto inutilmente di pagare con. Bonifico. Idem per spedizione contrassegno, due cose "normali" un tempo. L'alternativa era più vessatoria: andare a Monza da Milano e pagare in contanti al CUP previa kilometrica fila. Domanda: ma è LEGALE una cosa del genere? Se non lo è fornitemi benzina e io faccio un esposto alla magistratura. D'accordo. Non servirà, direte voi. Ma esiste anche la dignità. Si può fare tramite PEC. Io di fronte a cose del genere mi sento letteralmente violentato. Grazie per le info operative che state dando sui telefoni degloogghizzati. Grazie. Cordialità varie. Joanne Maria Pini Il gio 3 feb 2022, 09:46 Damiano Verzulli <damiano(a)verzulli.it> ha scritto: > Conosco bene il tema in oggetto, in quanto lo scorso 02/01 mi sono > DE-Googlizzato. > > Di fatto, ho recuperato un vecchio smartphone e ci ho installato sopra > una distribuzione Android "libera" (quella Open-Source) e: > 1- NON ho configurato l'account Google; > 2- NON ho installato le G-Apps [ossia tutto lo stack di applicativi e > servizi cui molte app possono far riferimento]; > > Faccio notare che il punto 2 implica l'impossibilita' di utilizzo (fra > gli altri) di Google Maps e Google Play Store. > > È una esperienza che consiglio a tutti (specie ai NON tecnici), perché > probabilmente è il sistema migliore (e piu' rapido) per capire quanto > sia pervasiva (e subdola) la "dipendenza" che oggi il 99,9999% degli > utilizzatori di smartphone Android (ed il 100% degli utilizzatore di > iOS) subisce passivamente. > > Il fatto che una delle mie banche (IntesaSanPaolo, ramo "privati") *NON* > mi consenta più l'uso dell'APP... è un conto. > > Il fatto che una banca dello stesso gruppo (IntesaSanPaolo, ramo > "aziende") mi consenta l'uso dell'APP, ma "avvertendomi" che "..non > supportiamo questo dispositivo..", è un interessante spunto di riflessione. > > Ma il fatto che l'app InfoCERT (mio provider SPID) dica: "MyInfoCert non > funzionerà senza Google Play Services, non supportati dal tuo > dispositivo" è un altro conto ancora. Molto piu' grave. > > Stante l'importanza di SPID, mi ero preparato e sapevo che con Lepida > (nei confronti della quale mi levo il cappello) avrei potuto utilizzare > SPID (in particolare, il secondo fattore di autenticazione) utilizzando > _ESCLUSIVAMENTE_ tecnologie "open". > > Ho quindi aperto un nuovo SPID con Lepida e, nel giro di pochissimo > tempo, sono effettivamente riuscito a configurare il rispettivo servizio > SPID **SENZA** utilizzare niente altro che uno smartphone "libero" e > applicazioni F/OSS. > > Questo aspetto mi ha fatto riflettere: probabilmente è la migliore > dimostrazione di quel "pericolo di centralizzazione" cui Stefano > Quintarelli ha fatto piu' volte riferimento. SPID è "distribuito" e cio' > mi ha permesso di "cambiare provider", scegliendone uno che fosse > "open-source friendly". Cosa sarebbe successo se SPID fosse stato > centralizzato e l'unico provider... NON fosse stato open-source friendly? > > Tutto cio' premesso.... > > Il 02/02/22 14:24, 380° ha scritto: > > [...] > > Questa è una storia di ordinaria sudditanza digitale imposta dai > > burocrati che "fanno le cose" APPOSITAMNETE a metà [non venite a > > dirmi che si tratta di ignoranza o stupidità, non credo > > a Babbo Natale da un pezzo] > > ...non credo affatto a questo scenario di "sudditanza imposta > 'by-design'". L'esperienza maturata [da esterno] dietro le scrivanie di > un ufficio tecnico di un medio Ateneo Italiano... ed il confronto che ho > sempre cercato con i miei "omologhi" in giro per il Paese.... ha > fortemente radicato in me la convinzione che il problema è piu' > complesso: da tempo si è persa la capacità di "governare" lo sviluppo > ICT, a tutti i livelli; in particolare a quelli apicali. > > La mancanza di "sensibilita' ICT" porta le governance a trattare l'IT > come poco piu' che "accessorio" alla propria organizzazione. E di > conseguenza, ad una disattenzione nella scelta dei propri dirigenti che > produce conseguenze devastanti. Su questo punto, resta per me un "faro" > la "Relazione della commissione parlamentare d’inchiesta sulla > digitalizzazione e l’innovazione della PA" [*] che a pagina 139 dice: > > ============================= > > "La mancanza di adeguate competenze interne impedisce alla PA di > contrattare adeguatamente con i fornitori, di progettare correttamente > le soluzioni necessarie, di scrivere bandi di gara che selezionino il > prodotto o il servizio piu' adeguato e aperto a nuove implementazioni [...] > La mancanza di competenze adeguate, soprattutto nei livelli apicali > [...] porta al rischio sistematico di impiego inefficiente di denaro > pubblico, in alcuni casi vero e proprio spreco. [...] > L'analisi dei curricula dei responsabili della transizione digitale > [RTD] rende difficile affermare che il comma 1ter dell'articolo 17 del > CAD [...che ha istituito tale figura...] sia rispettato, e cioe' che "il > responsabile dell'ufficio (...) è dotato di adeguate competenze > tecnologiche, di informatica giuridica e manageriali", in alcuni casi > per stessa ammissione dei responsabili durante le audizioni" > > ============================= > > Come si fa, alla luce di quanto sopra, a sostenere che l'esistenza di > dinamiche di lock-in da parte di Google rispetto ai servizi SPID sia > _VOLUTA_? > > Scusandomi per la citazione, il "Rasoio di Hanlon" mi pare decisamente > piu' appropriato. > > > [...] > > (c'è tanto da fare per le persone di buona volontà) ma siamo /zavorrati/ > qui. > > Sul fatto che ci sia tanto da fare... direi che su questa lista siamo > tutti d'accordo. > > Io, pero', continuo ad essere estremamente critico sul fatto che quello > che si fa, è ancora poco. Molto poco. E ci sono moltissimi margini di > miglioramento.... > > Sostenere di essere "zavorrati" è la scelta piu' semplice. Ridurre la > dimensione della "zavorra" e spendere l'energia ritrovata in qualcosa di > concreto.... è un'altra cosa. > > Questa lista, le splendide persone che ne fanno parte, le discussioni > che la animano.... il Centro Nexa... il contesto nel quale si muove > (PoliTO)... Tutto questo è una miscela "esplosiva", dal potenziale > enorme. Vorrei ci adoperassimo un po' tutti... ed un po' di piu'... a > de-zavorrarci, per recuperare energie da spendere sui temi a noi cari. > > A proposito: dato che la Relazione della Commissione Parlamentare è > datata 13/10/2020 e che la prima audizione (rif. pag. 145)risale a > 11/2016... perche' non provare a sentire i componenti e, magari, > organizzare un bel webinar di approfondimento/discussione con loro? Il > Centro NEXA avrebbe certamente l'autorita' per farlo... :-) > > Un caro saluto, > DV > > > [*] > > https://docs.italia.it/media/pdf/relazionecommissionedigitale-docs/bozza/re… > > -- > Damiano Verzulli > e-mail: damiano(a)verzulli.it > --- > possible?ok:while(!possible){open_mindedness++} > --- > "...I realized that free software would not generate the kind of > income that was needed. Maybe in USA or Europe, you may be able > to get a well paying job as a free software developer, but not > here [in Africa]..." -- Guido Sohne - 1973-2008 > http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa >

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Damiano Verzulli

Il 03/02/22 11:15, 380° ha scritto: > [...] > ma nel frattempo per favore potresti dirci come hai fatto ad ottenere l'URI OTP tipo questo: > > otpauth://totp/<provider>:<user>?secret=<secret>&algorithm=<hash>&period=<interval>&digits=<digits> Utilizzando il codice python che trovi nei commenti a questo thread: https://www.reddit.com/r/ItalyInformatica/comments/oxateo/da_lepidaid_a_tot… Bye, DV -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Feb. 3, 2022

CIE come alternativa a SPID

by Antonio Iacono

Il 03/02/22 10:14, Damiano Verzulli ha scritto: > > => INPS: PIN (per pochissime tipologie di utenti), SPID, CIE e CNS > => Agenzia Entrate => SPID, CIE, CNS, Credenziali (per alcune > tipologie di utenza) > > Tuttavia ritengo che la maggior parte dei "servizi pubblici" non sia > cosi' solerte come INPS e AdE, e che preveda il solo SPID... (penso al > Portale Dell'Automobilista, ai servizi della mia ASL o a quelli del > mio Comune relativi alla scuola primaria) > Oltre a INPS e Agenzia delle Entrate ci sono molti ministeri, regioni, enti, ad es.: Ministero Sviluppo Economico -> https://www.impresainungiorno.gov.it/sso/go Regione Lombardia -> https://idpcwrapper.crs.lombardia.it/PublisherMetadata/SSOService INAIL -> https://gestioneaccessi.inail.it/IAA/public/form_login_strong_authenticatio… Torino facile -> https://servizi.torinofacile.it/cgi-bin/accesso/base/index.cgi Basta cercare in rete "accedi con cie" e ne vengono fuori parecchi altri. Colgo l'occasione per segnalare che, nei ritagli di tempo, io e Roberto (Resoli) stiamo cercando di rendere "usabile" la CIE in ambiente Linux, ad esempio integrandone il supporto in OpenSC [1] Il SW ufficiale c'è, ma diciamo che lascia un po' a desiderare ... [1] Chi volesse contribuire può contattarci in privato. Grazie, A. [1] https://github.com/OpenSC/OpenSC/issues/2486 [2] https://github.com/italia/cie-middleware-linux/issues/

Feb. 3, 2022