February 2022 - nexa - server-nexa.polito.it

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Stefano Quintarelli

ciao personalmente ho un telefono e.foundation (degoogled) e uso SPID di sielte (non faccio promozione, solo info) ciao, s. On 03/02/22 09:56, Paolo Atzeni wrote: > Concordo con molte delle osservazioni, ma aggiungo una piccola cosa: > siamo sicuri che servano app (Google o altre) per attivare lo SPID? > Mi sembra che ci siano provider che inviano l'OTP con un SMS e > altri che “in alternativa alla app" [specifica] permettono di usarer una card o un dispositivo fisico. > Non faccio nomi e non dico che uno sia migliore dell’altro, ma mi sembra che qualche > alternativa all’uso delle app ci sia. > Saluti, > -PA > > > >> Il giorno 3 feb 2022, alle ore 09:46, Damiano Verzulli <damiano(a)verzulli.it> ha scritto: >> >> Conosco bene il tema in oggetto, in quanto lo scorso 02/01 mi sono DE-Googlizzato. >> >> Di fatto, ho recuperato un vecchio smartphone e ci ho installato sopra una distribuzione Android "libera" (quella Open-Source) e: >> 1- NON ho configurato l'account Google; >> 2- NON ho installato le G-Apps [ossia tutto lo stack di applicativi e servizi cui molte app possono far riferimento]; >> >> Faccio notare che il punto 2 implica l'impossibilita' di utilizzo (fra gli altri) di Google Maps e Google Play Store. >> >> È una esperienza che consiglio a tutti (specie ai NON tecnici), perché probabilmente è il sistema migliore (e piu' rapido) per capire quanto sia pervasiva (e subdola) la "dipendenza" che oggi il 99,9999% degli utilizzatori di smartphone Android (ed il 100% degli utilizzatore di iOS) subisce passivamente. >> >> Il fatto che una delle mie banche (IntesaSanPaolo, ramo "privati") *NON* mi consenta più l'uso dell'APP... è un conto. >> >> Il fatto che una banca dello stesso gruppo (IntesaSanPaolo, ramo "aziende") mi consenta l'uso dell'APP, ma "avvertendomi" che "..non supportiamo questo dispositivo..", è un interessante spunto di riflessione. >> >> Ma il fatto che l'app InfoCERT (mio provider SPID) dica: "MyInfoCert non funzionerà senza Google Play Services, non supportati dal tuo dispositivo" è un altro conto ancora. Molto piu' grave. >> >> Stante l'importanza di SPID, mi ero preparato e sapevo che con Lepida (nei confronti della quale mi levo il cappello) avrei potuto utilizzare SPID (in particolare, il secondo fattore di autenticazione) utilizzando _ESCLUSIVAMENTE_ tecnologie "open". >> >> Ho quindi aperto un nuovo SPID con Lepida e, nel giro di pochissimo tempo, sono effettivamente riuscito a configurare il rispettivo servizio SPID **SENZA** utilizzare niente altro che uno smartphone "libero" e applicazioni F/OSS. >> >> Questo aspetto mi ha fatto riflettere: probabilmente è la migliore dimostrazione di quel "pericolo di centralizzazione" cui Stefano Quintarelli ha fatto piu' volte riferimento. SPID è "distribuito" e cio' mi ha permesso di "cambiare provider", scegliendone uno che fosse "open-source friendly". Cosa sarebbe successo se SPID fosse stato centralizzato e l'unico provider... NON fosse stato open-source friendly? >> >> Tutto cio' premesso.... >> >> Il 02/02/22 14:24, 380° ha scritto: >>> [...] >>> Questa è una storia di ordinaria sudditanza digitale imposta dai >>> burocrati che "fanno le cose" APPOSITAMNETE a metà [non venite a >>> dirmi che si tratta di ignoranza o stupidità, non credo >>> a Babbo Natale da un pezzo] >> >> ...non credo affatto a questo scenario di "sudditanza imposta 'by-design'". L'esperienza maturata [da esterno] dietro le scrivanie di un ufficio tecnico di un medio Ateneo Italiano... ed il confronto che ho sempre cercato con i miei "omologhi" in giro per il Paese.... ha fortemente radicato in me la convinzione che il problema è piu' complesso: da tempo si è persa la capacità di "governare" lo sviluppo ICT, a tutti i livelli; in particolare a quelli apicali. >> >> La mancanza di "sensibilita' ICT" porta le governance a trattare l'IT come poco piu' che "accessorio" alla propria organizzazione. E di conseguenza, ad una disattenzione nella scelta dei propri dirigenti che produce conseguenze devastanti. Su questo punto, resta per me un "faro" la "Relazione della commissione parlamentare d’inchiesta sulla digitalizzazione e l’innovazione della PA" [*] che a pagina 139 dice: >> >> ============================= >> >> "La mancanza di adeguate competenze interne impedisce alla PA di contrattare adeguatamente con i fornitori, di progettare correttamente le soluzioni necessarie, di scrivere bandi di gara che selezionino il prodotto o il servizio piu' adeguato e aperto a nuove implementazioni [...] >> La mancanza di competenze adeguate, soprattutto nei livelli apicali [...] porta al rischio sistematico di impiego inefficiente di denaro pubblico, in alcuni casi vero e proprio spreco. [...] >> L'analisi dei curricula dei responsabili della transizione digitale [RTD] rende difficile affermare che il comma 1ter dell'articolo 17 del CAD [...che ha istituito tale figura...] sia rispettato, e cioe' che "il responsabile dell'ufficio (...) è dotato di adeguate competenze tecnologiche, di informatica giuridica e manageriali", in alcuni casi per stessa ammissione dei responsabili durante le audizioni" >> >> ============================= >> >> Come si fa, alla luce di quanto sopra, a sostenere che l'esistenza di dinamiche di lock-in da parte di Google rispetto ai servizi SPID sia _VOLUTA_? >> >> Scusandomi per la citazione, il "Rasoio di Hanlon" mi pare decisamente piu' appropriato. >> >>> [...] >>> (c'è tanto da fare per le persone di buona volontà) ma siamo /zavorrati/ qui. >> >> Sul fatto che ci sia tanto da fare... direi che su questa lista siamo tutti d'accordo. >> >> Io, pero', continuo ad essere estremamente critico sul fatto che quello che si fa, è ancora poco. Molto poco. E ci sono moltissimi margini di miglioramento.... >> >> Sostenere di essere "zavorrati" è la scelta piu' semplice. Ridurre la dimensione della "zavorra" e spendere l'energia ritrovata in qualcosa di concreto.... è un'altra cosa. >> >> Questa lista, le splendide persone che ne fanno parte, le discussioni che la animano.... il Centro Nexa... il contesto nel quale si muove (PoliTO)... Tutto questo è una miscela "esplosiva", dal potenziale enorme. Vorrei ci adoperassimo un po' tutti... ed un po' di piu'... a de-zavorrarci, per recuperare energie da spendere sui temi a noi cari. >> >> A proposito: dato che la Relazione della Commissione Parlamentare è datata 13/10/2020 e che la prima audizione (rif. pag. 145)risale a 11/2016... perche' non provare a sentire i componenti e, magari, organizzare un bel webinar di approfondimento/discussione con loro? Il Centro NEXA avrebbe certamente l'autorita' per farlo... :-) >> >> Un caro saluto, >> DV >> >> > > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by 380°

Buongiorno Damiano e nexiane, se possibile mi piacerebbe che questo thread rimanesse specifico su SPID, anche se è evidente che ci sono anche altre questioni collegate Damiano Verzulli <damiano(a)verzulli.it> writes: [...] > Ho quindi aperto un nuovo SPID con Lepida e, nel giro di pochissimo > tempo, sono effettivamente riuscito a configurare il rispettivo servizio > SPID **SENZA** utilizzare niente altro che uno smartphone "libero" e > applicazioni F/OSS. molto interessante grazie! appena riesco provo quel servizio ma nel frattempo per favore potresti dirci come hai fatto ad ottenere l'URI OTP tipo questo: otpauth://totp/<provider>:<user>?secret=<secret>&algorithm=<hash>&period=<interval>&digits=<digits> ti forniscono un qrcode nella tua area riservata dell'account Lepida SPID? > Tutto cio' premesso.... [...] > ha fortemente radicato in me la convinzione che il problema è piu' > complesso: da tempo si è persa la capacità di "governare" lo sviluppo > ICT, a tutti i livelli; in particolare a quelli apicali. stai forse dicendo che in AgID, che governa SPID, non sanno scrivere le regole tecniche per garantire che i servizi vengano erogati in modo interoperabile? l'interoperabilità è un diritto (e dovrebbe essere sancita anche nell'ultima versione del CAD ma boh), NON dovrebbe essere lasciata alla "libera concorrenza", perché siamo in quattro gatti ad avere questo tipo di "sensibilità digitale" e le minoranze vanno protette :-D (e domani mattina Lepida potrebbe essere acquistata da un grosso gruppo o - non lo aguro! - fallire) [...] > Su questo punto, resta per me un "faro" la "Relazione della > commissione parlamentare d’inchiesta sulla digitalizzazione e > l’innovazione della PA" [*] che a pagina 139 dice: sì ma qui non stiamo parlando di transizione digitale delle miriadi di uffici centrali e periferici della PA, non stiamo parlando di come Regione Lombardia o Regione Lazio gestiscono le gare di appalto ICT stiamo parlando un un servizio _banale_ come SPID (OTP), basato su SAML, che oltre ad avere l'evidente difetto di non essere interoparabile per /evidente/ malizia di quasi tutti i fornitori, ha pure il meno evidente difetto che le varie istanze SAML NON sono federate tra loro, rendendo più macchinosa di come dovrebbe essere l'esperienza utente: il punto di accesso SPID dovrebbe essere uno solo - tipo spid.gov.it - mica uno per ogni provider tutto questo è banalmente risolvibile con un aggiornamento dei requisiti tecnici e un adeguamento in tempi ragionevoli > Come si fa, alla luce di quanto sopra, a sostenere che l'esistenza di > dinamiche di lock-in da parte di Google rispetto ai servizi SPID sia > _VOLUTA_? > > Scusandomi per la citazione, il "Rasoio di Hanlon" mi pare decisamente > piu' appropriato. che dice: «Mai attribuire a malafede quel che si può adeguatamente spiegare con la stupidità.» [1] ultimamente sento questo motto troppo spesso e... no Damiano, non sono per nulla d'accordo: è ora di smetterla di pensare che chi prende le decisioni in quel modo lo fa perché è stupido, è una scorciatoia dialettica ingannevole e (perdonami) un po' presuntuosa per capirci, io mi sto riferendo alla decisione di AgID di NON imporre ai provider SPID, attraverso le regole tecniche, l'uso di un sistema OTP standard (tipo TOTP) e l'obbligo di fornire ai clienti tutte le informazioni necessarie per connettersi al sistema attraverso /qualsiasi/ client OTP sono /sicuro/ non essere frutto di stupidità (o incompetenza) è una decisione politica [...] Saluti, 380° [1] che fa letteralmente a pezzi il ben più elevato principio di economia del rasoio di Occam «è futile fare con più mezzi ciò che si può fare con meno», che sostanzialmente invita a non complicare inutilmente le cose complesse -- 380° (Giovanni Biscuolo public alter ego) «Noi, incompetenti come siamo, non abbiamo alcun titolo per suggerire alcunché» Disinformation flourishes because many people care deeply about injustice but very few check the facts. Ask me about <https://stallmansupport.org>.

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by ERR

3 février 2022 10:29 "Damiano Verzulli" <damiano(a)verzulli.it> a écrit: > Il 03/02/22 10:16, ERR ha scritto: > >> Nella mia testa mi sono giustificato questa scelta con la considerazione che la gestione e l'invio >> di SMS da parte del fornitore di servizi sia piu' costoso rispetto allo sviluppo di una app per >> Android e IOS. >> Ma ho ancora dei dubbi a riguardo; sarebbe interessante capire quanto davvero costa ai fornitori >> una soluzione rispetto all'altra. > > Io credo che, prima ancora che un problema "strettamente economico", sia > un problema "culturale". Mi spiego: > > A) è una APP che usa i GoogleServices per interfacciarsi con lo > smartphone e con le librerie (di google) di gestione del secondo fattore > (sensore biometrico se presente; o TOTP con relative librerie software); > > B) è una APP che genera il secondo fattore e lo manda via SMS > > C) è una APP che genera il secondo fattore e lo gestisce via standard > TOTP (ad esempio, via FreeOTP+) Scusa nel mio "costi" intendevo fattori economici nel senso piu' ampio dei costi/benefici aziendali dell'installare un'app rispetto ai soli SMS. - Con i soli SMS per OTP, non ci sono ulteriori sviluppi oltre alla funzione OTP. - Con l'app usata per OTP (che sia nei vari modi che elenchi, anche se dubito che la B) venga impiegata), hai la flessibilita' di poter proporre ulteriori servizi di comunicazione all'utente, poter avere qualche informazione sull'utente proveniente dall'ambiente Android/IOS, avere la possibilita' in futuro di poter evolvere la soluzione, chi piu' ne ha piu' ne metta. Oltre che offrire una soluzione che l'utente medio si aspetta in quanto la concorrenza fa' cosi' e questo e' lo standard. Sono costi che vanno a finire in gran parte nelle spese di marketing. Saluti -- Ing. E.Roberto-Richiardone

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Damiano Verzulli

Il 03/02/22 10:16, ERR ha scritto: > Nella mia testa mi sono giustificato questa scelta con la considerazione che la gestione e l'invio di SMS da parte del fornitore di servizi sia piu' costoso rispetto allo sviluppo di una app per Android e IOS. > Ma ho ancora dei dubbi a riguardo; sarebbe interessante capire quanto davvero costa ai fornitori una soluzione rispetto all'altra. Io credo che, prima ancora che un problema "strettamente economico", sia un problema "culturale". Mi spiego: A) è una APP che usa i GoogleServices per interfacciarsi con lo smartphone e con le librerie (di google) di gestione del secondo fattore (sensore biometrico se presente; o TOTP con relative librerie software); B) è una APP che genera il secondo fattore e lo manda via SMS C) è una APP che genera il secondo fattore e lo gestisce via standard TOTP (ad esempio, via FreeOTP+) Secondo me, A) è la piu' economica (in quanto la sviluppi piu' facilmente, attraverso un numero relativamente alto di sviluppatori, incluso lo stagista neolaureato). B) è un epsilon piu' complessa di A), ma comporta un contratto con un qualche operatore. E questo e' un costo addizionale, che in A) non c'e'. C) è implementabile a costo zero, come A)... ma lo sviluppatore _DEVE_ capire come funziona TOTP e come implementarla _SENZA_ utilizzare i servizi Google. È questo l'ostacolo principale. Di fatto deve spendere (lo sviluppatore) due ore a capire cosa e' TOTP + un'ora a capire come implementarlo + lo stesso tempo di A) per "implementare" Chiaramente basterebbe un manager che gli dica: "Usa TOTP!"... ed il problema è risolto. Ma questo manager non c'e'.... ...anzi. Ora che ci penso.... mando adesso una mail a Mazzini (D.G. di Lepida) e gli linko questo thread :-) Essendo una persona di cui ho grande stima (non solo "tecnica"), chissa' che non ne esca qualcosa di interessante :-) Saluti, DV -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by ERR

Buongiorno Damiano, 3 février 2022 09:46 "Damiano Verzulli" <damiano(a)verzulli.it> a écrit: > Conosco bene il tema in oggetto, in quanto lo scorso 02/01 mi sono > DE-Googlizzato. > ... > Ma il fatto che l'app InfoCERT (mio provider SPID) dica: "MyInfoCert non > funzionerà senza Google Play Services, non supportati dal tuo > dispositivo" è un altro conto ancora. Molto piu' grave. Sono nella tua stessa situazione, ormai da anni. Tuttavia FYI InfoCERT che uso anche io ha un servizio, a pagamento, per inviare OTP tramite SMS, in alternativa all'uso dell'app. Il fastidio e' doverla rinnovare manualmente periodicamente. Anche la mia banca offre questa tipologia di servizio alternativo. Nella mia testa mi sono giustificato questa scelta con la considerazione che la gestione e l'invio di SMS da parte del fornitore di servizi sia piu' costoso rispetto allo sviluppo di una app per Android e IOS. Ma ho ancora dei dubbi a riguardo; sarebbe interessante capire quanto davvero costa ai fornitori una soluzione rispetto all'altra. Saluti -- Ing. E.Roberto-Richiardone

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Damiano Verzulli

Il 03/02/22 09:56, Paolo Atzeni ha scritto: > Concordo con molte delle osservazioni, ma aggiungo una piccola cosa: > siamo sicuri che servano app (Google o altre) per attivare lo SPID? > Mi sembra che ci siano provider che inviano l'OTP con un SMS e > altri che “in alternativa alla app" [specifica] permettono di usarer una card o un dispositivo fisico. Confesso di _NON_ aver indagato al riguardo. Uno studente di UniMI (...dal quale ho ottenuto gli spunti ed i riferimenti a Lepida) mi ha detto che con alcuni è possibile utilizzare gli SMS ma che questi: - (potrebbero) essere costosi [il condizionale è mio; non ricordo i dettagli] - (potrebbero) essere contingentati [non piu' di un tot/mese, almeno quelli gratis]. Sull'uso di tecnologie alternative (smart-card reader o token-usb), credo che i termini siano diversi. Credo che le P.A. (penso a INPS o a Agenzia delle Entrate --ai cui servizi ho avuto modo di accedere recentemente--) supportino diversi sistemi di autenticazione. In questo preciso momento vedo: => INPS: PIN (per pochissime tipologie di utenti), SPID, CIE e CNS => Agenzia Entrate => SPID, CIE, CNS, Credenziali (per alcune tipologie di utenza) Tuttavia ritengo che la maggior parte dei "servizi pubblici" non sia cosi' solerte come INPS e AdE, e che preveda il solo SPID... (penso al Portale Dell'Automobilista, ai servizi della mia ASL o a quelli del mio Comune relativi alla scuola primaria) Bye, DV > Non faccio nomi e non dico che uno sia migliore dell’altro, ma mi sembra che qualche > alternativa all’uso delle app ci sia. > Saluti, > -PA > > > >> Il giorno 3 feb 2022, alle ore 09:46, Damiano Verzulli <damiano(a)verzulli.it> ha scritto: >> >> Conosco bene il tema in oggetto, in quanto lo scorso 02/01 mi sono DE-Googlizzato. >> >> Di fatto, ho recuperato un vecchio smartphone e ci ho installato sopra una distribuzione Android "libera" (quella Open-Source) e: >> 1- NON ho configurato l'account Google; >> 2- NON ho installato le G-Apps [ossia tutto lo stack di applicativi e servizi cui molte app possono far riferimento]; >> >> Faccio notare che il punto 2 implica l'impossibilita' di utilizzo (fra gli altri) di Google Maps e Google Play Store. >> >> È una esperienza che consiglio a tutti (specie ai NON tecnici), perché probabilmente è il sistema migliore (e piu' rapido) per capire quanto sia pervasiva (e subdola) la "dipendenza" che oggi il 99,9999% degli utilizzatori di smartphone Android (ed il 100% degli utilizzatore di iOS) subisce passivamente. >> >> Il fatto che una delle mie banche (IntesaSanPaolo, ramo "privati") *NON* mi consenta più l'uso dell'APP... è un conto. >> >> Il fatto che una banca dello stesso gruppo (IntesaSanPaolo, ramo "aziende") mi consenta l'uso dell'APP, ma "avvertendomi" che "..non supportiamo questo dispositivo..", è un interessante spunto di riflessione. >> >> Ma il fatto che l'app InfoCERT (mio provider SPID) dica: "MyInfoCert non funzionerà senza Google Play Services, non supportati dal tuo dispositivo" è un altro conto ancora. Molto piu' grave. >> >> Stante l'importanza di SPID, mi ero preparato e sapevo che con Lepida (nei confronti della quale mi levo il cappello) avrei potuto utilizzare SPID (in particolare, il secondo fattore di autenticazione) utilizzando _ESCLUSIVAMENTE_ tecnologie "open". >> >> Ho quindi aperto un nuovo SPID con Lepida e, nel giro di pochissimo tempo, sono effettivamente riuscito a configurare il rispettivo servizio SPID **SENZA** utilizzare niente altro che uno smartphone "libero" e applicazioni F/OSS. >> >> Questo aspetto mi ha fatto riflettere: probabilmente è la migliore dimostrazione di quel "pericolo di centralizzazione" cui Stefano Quintarelli ha fatto piu' volte riferimento. SPID è "distribuito" e cio' mi ha permesso di "cambiare provider", scegliendone uno che fosse "open-source friendly". Cosa sarebbe successo se SPID fosse stato centralizzato e l'unico provider... NON fosse stato open-source friendly? >> >> Tutto cio' premesso.... >> >> Il 02/02/22 14:24, 380° ha scritto: >>> [...] >>> Questa è una storia di ordinaria sudditanza digitale imposta dai >>> burocrati che "fanno le cose" APPOSITAMNETE a metà [non venite a >>> dirmi che si tratta di ignoranza o stupidità, non credo >>> a Babbo Natale da un pezzo] >> ...non credo affatto a questo scenario di "sudditanza imposta 'by-design'". L'esperienza maturata [da esterno] dietro le scrivanie di un ufficio tecnico di un medio Ateneo Italiano... ed il confronto che ho sempre cercato con i miei "omologhi" in giro per il Paese.... ha fortemente radicato in me la convinzione che il problema è piu' complesso: da tempo si è persa la capacità di "governare" lo sviluppo ICT, a tutti i livelli; in particolare a quelli apicali. >> >> La mancanza di "sensibilita' ICT" porta le governance a trattare l'IT come poco piu' che "accessorio" alla propria organizzazione. E di conseguenza, ad una disattenzione nella scelta dei propri dirigenti che produce conseguenze devastanti. Su questo punto, resta per me un "faro" la "Relazione della commissione parlamentare d’inchiesta sulla digitalizzazione e l’innovazione della PA" [*] che a pagina 139 dice: >> >> ============================= >> >> "La mancanza di adeguate competenze interne impedisce alla PA di contrattare adeguatamente con i fornitori, di progettare correttamente le soluzioni necessarie, di scrivere bandi di gara che selezionino il prodotto o il servizio piu' adeguato e aperto a nuove implementazioni [...] >> La mancanza di competenze adeguate, soprattutto nei livelli apicali [...] porta al rischio sistematico di impiego inefficiente di denaro pubblico, in alcuni casi vero e proprio spreco. [...] >> L'analisi dei curricula dei responsabili della transizione digitale [RTD] rende difficile affermare che il comma 1ter dell'articolo 17 del CAD [...che ha istituito tale figura...] sia rispettato, e cioe' che "il responsabile dell'ufficio (...) è dotato di adeguate competenze tecnologiche, di informatica giuridica e manageriali", in alcuni casi per stessa ammissione dei responsabili durante le audizioni" >> >> ============================= >> >> Come si fa, alla luce di quanto sopra, a sostenere che l'esistenza di dinamiche di lock-in da parte di Google rispetto ai servizi SPID sia _VOLUTA_? >> >> Scusandomi per la citazione, il "Rasoio di Hanlon" mi pare decisamente piu' appropriato. >> >>> [...] >>> (c'è tanto da fare per le persone di buona volontà) ma siamo /zavorrati/ qui. >> Sul fatto che ci sia tanto da fare... direi che su questa lista siamo tutti d'accordo. >> >> Io, pero', continuo ad essere estremamente critico sul fatto che quello che si fa, è ancora poco. Molto poco. E ci sono moltissimi margini di miglioramento.... >> >> Sostenere di essere "zavorrati" è la scelta piu' semplice. Ridurre la dimensione della "zavorra" e spendere l'energia ritrovata in qualcosa di concreto.... è un'altra cosa. >> >> Questa lista, le splendide persone che ne fanno parte, le discussioni che la animano.... il Centro Nexa... il contesto nel quale si muove (PoliTO)... Tutto questo è una miscela "esplosiva", dal potenziale enorme. Vorrei ci adoperassimo un po' tutti... ed un po' di piu'... a de-zavorrarci, per recuperare energie da spendere sui temi a noi cari. >> >> A proposito: dato che la Relazione della Commissione Parlamentare è datata 13/10/2020 e che la prima audizione (rif. pag. 145)risale a 11/2016... perche' non provare a sentire i componenti e, magari, organizzare un bel webinar di approfondimento/discussione con loro? Il Centro NEXA avrebbe certamente l'autorita' per farlo... :-) >> >> Un caro saluto, >> DV >> >> > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Feb. 3, 2022

Re: [nexa] Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Paolo Atzeni

Concordo con molte delle osservazioni, ma aggiungo una piccola cosa: siamo sicuri che servano app (Google o altre) per attivare lo SPID? Mi sembra che ci siano provider che inviano l'OTP con un SMS e altri che “in alternativa alla app" [specifica] permettono di usarer una card o un dispositivo fisico. Non faccio nomi e non dico che uno sia migliore dell’altro, ma mi sembra che qualche alternativa all’uso delle app ci sia. Saluti, -PA > Il giorno 3 feb 2022, alle ore 09:46, Damiano Verzulli <damiano(a)verzulli.it> ha scritto: > > Conosco bene il tema in oggetto, in quanto lo scorso 02/01 mi sono DE-Googlizzato. > > Di fatto, ho recuperato un vecchio smartphone e ci ho installato sopra una distribuzione Android "libera" (quella Open-Source) e: > 1- NON ho configurato l'account Google; > 2- NON ho installato le G-Apps [ossia tutto lo stack di applicativi e servizi cui molte app possono far riferimento]; > > Faccio notare che il punto 2 implica l'impossibilita' di utilizzo (fra gli altri) di Google Maps e Google Play Store. > > È una esperienza che consiglio a tutti (specie ai NON tecnici), perché probabilmente è il sistema migliore (e piu' rapido) per capire quanto sia pervasiva (e subdola) la "dipendenza" che oggi il 99,9999% degli utilizzatori di smartphone Android (ed il 100% degli utilizzatore di iOS) subisce passivamente. > > Il fatto che una delle mie banche (IntesaSanPaolo, ramo "privati") *NON* mi consenta più l'uso dell'APP... è un conto. > > Il fatto che una banca dello stesso gruppo (IntesaSanPaolo, ramo "aziende") mi consenta l'uso dell'APP, ma "avvertendomi" che "..non supportiamo questo dispositivo..", è un interessante spunto di riflessione. > > Ma il fatto che l'app InfoCERT (mio provider SPID) dica: "MyInfoCert non funzionerà senza Google Play Services, non supportati dal tuo dispositivo" è un altro conto ancora. Molto piu' grave. > > Stante l'importanza di SPID, mi ero preparato e sapevo che con Lepida (nei confronti della quale mi levo il cappello) avrei potuto utilizzare SPID (in particolare, il secondo fattore di autenticazione) utilizzando _ESCLUSIVAMENTE_ tecnologie "open". > > Ho quindi aperto un nuovo SPID con Lepida e, nel giro di pochissimo tempo, sono effettivamente riuscito a configurare il rispettivo servizio SPID **SENZA** utilizzare niente altro che uno smartphone "libero" e applicazioni F/OSS. > > Questo aspetto mi ha fatto riflettere: probabilmente è la migliore dimostrazione di quel "pericolo di centralizzazione" cui Stefano Quintarelli ha fatto piu' volte riferimento. SPID è "distribuito" e cio' mi ha permesso di "cambiare provider", scegliendone uno che fosse "open-source friendly". Cosa sarebbe successo se SPID fosse stato centralizzato e l'unico provider... NON fosse stato open-source friendly? > > Tutto cio' premesso.... > > Il 02/02/22 14:24, 380° ha scritto: >> [...] >> Questa è una storia di ordinaria sudditanza digitale imposta dai >> burocrati che "fanno le cose" APPOSITAMNETE a metà [non venite a >> dirmi che si tratta di ignoranza o stupidità, non credo >> a Babbo Natale da un pezzo] > > ...non credo affatto a questo scenario di "sudditanza imposta 'by-design'". L'esperienza maturata [da esterno] dietro le scrivanie di un ufficio tecnico di un medio Ateneo Italiano... ed il confronto che ho sempre cercato con i miei "omologhi" in giro per il Paese.... ha fortemente radicato in me la convinzione che il problema è piu' complesso: da tempo si è persa la capacità di "governare" lo sviluppo ICT, a tutti i livelli; in particolare a quelli apicali. > > La mancanza di "sensibilita' ICT" porta le governance a trattare l'IT come poco piu' che "accessorio" alla propria organizzazione. E di conseguenza, ad una disattenzione nella scelta dei propri dirigenti che produce conseguenze devastanti. Su questo punto, resta per me un "faro" la "Relazione della commissione parlamentare d’inchiesta sulla digitalizzazione e l’innovazione della PA" [*] che a pagina 139 dice: > > ============================= > > "La mancanza di adeguate competenze interne impedisce alla PA di contrattare adeguatamente con i fornitori, di progettare correttamente le soluzioni necessarie, di scrivere bandi di gara che selezionino il prodotto o il servizio piu' adeguato e aperto a nuove implementazioni [...] > La mancanza di competenze adeguate, soprattutto nei livelli apicali [...] porta al rischio sistematico di impiego inefficiente di denaro pubblico, in alcuni casi vero e proprio spreco. [...] > L'analisi dei curricula dei responsabili della transizione digitale [RTD] rende difficile affermare che il comma 1ter dell'articolo 17 del CAD [...che ha istituito tale figura...] sia rispettato, e cioe' che "il responsabile dell'ufficio (...) è dotato di adeguate competenze tecnologiche, di informatica giuridica e manageriali", in alcuni casi per stessa ammissione dei responsabili durante le audizioni" > > ============================= > > Come si fa, alla luce di quanto sopra, a sostenere che l'esistenza di dinamiche di lock-in da parte di Google rispetto ai servizi SPID sia _VOLUTA_? > > Scusandomi per la citazione, il "Rasoio di Hanlon" mi pare decisamente piu' appropriato. > >> [...] >> (c'è tanto da fare per le persone di buona volontà) ma siamo /zavorrati/ qui. > > Sul fatto che ci sia tanto da fare... direi che su questa lista siamo tutti d'accordo. > > Io, pero', continuo ad essere estremamente critico sul fatto che quello che si fa, è ancora poco. Molto poco. E ci sono moltissimi margini di miglioramento.... > > Sostenere di essere "zavorrati" è la scelta piu' semplice. Ridurre la dimensione della "zavorra" e spendere l'energia ritrovata in qualcosa di concreto.... è un'altra cosa. > > Questa lista, le splendide persone che ne fanno parte, le discussioni che la animano.... il Centro Nexa... il contesto nel quale si muove (PoliTO)... Tutto questo è una miscela "esplosiva", dal potenziale enorme. Vorrei ci adoperassimo un po' tutti... ed un po' di piu'... a de-zavorrarci, per recuperare energie da spendere sui temi a noi cari. > > A proposito: dato che la Relazione della Commissione Parlamentare è datata 13/10/2020 e che la prima audizione (rif. pag. 145)risale a 11/2016... perche' non provare a sentire i componenti e, magari, organizzare un bel webinar di approfondimento/discussione con loro? Il Centro NEXA avrebbe certamente l'autorita' per farlo... :-) > > Un caro saluto, > DV > >

Feb. 3, 2022

Utilizzo di SPID **SENZA** servizi Google [Era: SPID: storia di ordinaria sudditanza digitale]

by Damiano Verzulli

Conosco bene il tema in oggetto, in quanto lo scorso 02/01 mi sono DE-Googlizzato. Di fatto, ho recuperato un vecchio smartphone e ci ho installato sopra una distribuzione Android "libera" (quella Open-Source) e: 1- NON ho configurato l'account Google; 2- NON ho installato le G-Apps [ossia tutto lo stack di applicativi e servizi cui molte app possono far riferimento]; Faccio notare che il punto 2 implica l'impossibilita' di utilizzo (fra gli altri) di Google Maps e Google Play Store. È una esperienza che consiglio a tutti (specie ai NON tecnici), perché probabilmente è il sistema migliore (e piu' rapido) per capire quanto sia pervasiva (e subdola) la "dipendenza" che oggi il 99,9999% degli utilizzatori di smartphone Android (ed il 100% degli utilizzatore di iOS) subisce passivamente. Il fatto che una delle mie banche (IntesaSanPaolo, ramo "privati") *NON* mi consenta più l'uso dell'APP... è un conto. Il fatto che una banca dello stesso gruppo (IntesaSanPaolo, ramo "aziende") mi consenta l'uso dell'APP, ma "avvertendomi" che "..non supportiamo questo dispositivo..", è un interessante spunto di riflessione. Ma il fatto che l'app InfoCERT (mio provider SPID) dica: "MyInfoCert non funzionerà senza Google Play Services, non supportati dal tuo dispositivo" è un altro conto ancora. Molto piu' grave. Stante l'importanza di SPID, mi ero preparato e sapevo che con Lepida (nei confronti della quale mi levo il cappello) avrei potuto utilizzare SPID (in particolare, il secondo fattore di autenticazione) utilizzando _ESCLUSIVAMENTE_ tecnologie "open". Ho quindi aperto un nuovo SPID con Lepida e, nel giro di pochissimo tempo, sono effettivamente riuscito a configurare il rispettivo servizio SPID **SENZA** utilizzare niente altro che uno smartphone "libero" e applicazioni F/OSS. Questo aspetto mi ha fatto riflettere: probabilmente è la migliore dimostrazione di quel "pericolo di centralizzazione" cui Stefano Quintarelli ha fatto piu' volte riferimento. SPID è "distribuito" e cio' mi ha permesso di "cambiare provider", scegliendone uno che fosse "open-source friendly". Cosa sarebbe successo se SPID fosse stato centralizzato e l'unico provider... NON fosse stato open-source friendly? Tutto cio' premesso.... Il 02/02/22 14:24, 380° ha scritto: > [...] > Questa è una storia di ordinaria sudditanza digitale imposta dai > burocrati che "fanno le cose" APPOSITAMNETE a metà [non venite a > dirmi che si tratta di ignoranza o stupidità, non credo > a Babbo Natale da un pezzo] ...non credo affatto a questo scenario di "sudditanza imposta 'by-design'". L'esperienza maturata [da esterno] dietro le scrivanie di un ufficio tecnico di un medio Ateneo Italiano... ed il confronto che ho sempre cercato con i miei "omologhi" in giro per il Paese.... ha fortemente radicato in me la convinzione che il problema è piu' complesso: da tempo si è persa la capacità di "governare" lo sviluppo ICT, a tutti i livelli; in particolare a quelli apicali. La mancanza di "sensibilita' ICT" porta le governance a trattare l'IT come poco piu' che "accessorio" alla propria organizzazione. E di conseguenza, ad una disattenzione nella scelta dei propri dirigenti che produce conseguenze devastanti. Su questo punto, resta per me un "faro" la "Relazione della commissione parlamentare d’inchiesta sulla digitalizzazione e l’innovazione della PA" [*] che a pagina 139 dice: ============================= "La mancanza di adeguate competenze interne impedisce alla PA di contrattare adeguatamente con i fornitori, di progettare correttamente le soluzioni necessarie, di scrivere bandi di gara che selezionino il prodotto o il servizio piu' adeguato e aperto a nuove implementazioni [...] La mancanza di competenze adeguate, soprattutto nei livelli apicali [...] porta al rischio sistematico di impiego inefficiente di denaro pubblico, in alcuni casi vero e proprio spreco. [...] L'analisi dei curricula dei responsabili della transizione digitale [RTD] rende difficile affermare che il comma 1ter dell'articolo 17 del CAD [...che ha istituito tale figura...] sia rispettato, e cioe' che "il responsabile dell'ufficio (...) è dotato di adeguate competenze tecnologiche, di informatica giuridica e manageriali", in alcuni casi per stessa ammissione dei responsabili durante le audizioni" ============================= Come si fa, alla luce di quanto sopra, a sostenere che l'esistenza di dinamiche di lock-in da parte di Google rispetto ai servizi SPID sia _VOLUTA_? Scusandomi per la citazione, il "Rasoio di Hanlon" mi pare decisamente piu' appropriato. > [...] > (c'è tanto da fare per le persone di buona volontà) ma siamo /zavorrati/ qui. Sul fatto che ci sia tanto da fare... direi che su questa lista siamo tutti d'accordo. Io, pero', continuo ad essere estremamente critico sul fatto che quello che si fa, è ancora poco. Molto poco. E ci sono moltissimi margini di miglioramento.... Sostenere di essere "zavorrati" è la scelta piu' semplice. Ridurre la dimensione della "zavorra" e spendere l'energia ritrovata in qualcosa di concreto.... è un'altra cosa. Questa lista, le splendide persone che ne fanno parte, le discussioni che la animano.... il Centro Nexa... il contesto nel quale si muove (PoliTO)... Tutto questo è una miscela "esplosiva", dal potenziale enorme. Vorrei ci adoperassimo un po' tutti... ed un po' di piu'... a de-zavorrarci, per recuperare energie da spendere sui temi a noi cari. A proposito: dato che la Relazione della Commissione Parlamentare è datata 13/10/2020 e che la prima audizione (rif. pag. 145)risale a 11/2016... perche' non provare a sentire i componenti e, magari, organizzare un bel webinar di approfondimento/discussione con loro? Il Centro NEXA avrebbe certamente l'autorita' per farlo... :-) Un caro saluto, DV [*] https://docs.italia.it/media/pdf/relazionecommissionedigitale-docs/bozza/re… -- Damiano Verzulli e-mail: damiano(a)verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

Feb. 3, 2022

DIMENTICAVO, era: SPID: storia di ordinaria sudditanza digitale

by M. Fioretti

On Thu, Feb 03, 2022 09:20:53 AM +0100, Marco Fioretti wrote: > > > Grazie, con un'aggiunta: pure il semplice fatto che le applicazioni > > > SPID, o qualsiasi altra applicazione pubblica se e' per questo, lee > > > devi scaricare dallo store Google e' sudditanza digitale. > > > > hai fatto bene ad aggiungere questa cosa... > > Grazie, e per completare il quadro con ulteriori danni e beffe segnalo > che questa tua risposta mi e' arrivata insieme a una spiegazione di > come e qualmente "Usare PayPal come metodo di pagamento PayPalPA > sull'App IO è facilissimo"... dimenticavo l'epico livello successivo di presa per i fondelli costituito da (breve storia triste e vera) - essere costretto a installare SPID con le ricadute gia' dette... - perche' altrimenti non puoi cambiare medico di famiglia online... - su sito che PRETENDE SPID, cioe' uso di smartphone - ma funziona SOLO su desktop, costringendoti a chiedere da SPID su smartphone un codice via SMS, da copiare a mano su desktop per completare la procedura (l'ultimo step potrei averlo descritto male perche' e' stato mesi fa ed ero fuori dalla grazia di Dio per l'imbecillita' della cosa. Ma e' strasicuro che ho dovuto eseguire la procedura con form HTML su Firefox E SPID app aperta su smartphone, saltando a mano dall'uno all'altra) Marco -- Help me write my NEXT MILLION WORDS for digital awareness: https://stop.zona-m.net/2021/10/funding-2021-2022/

Feb. 3, 2022

Re: [nexa] SPID: storia di ordinaria sudditanza digitale

by M. Fioretti

On Thu, Feb 03, 2022 08:43:40 AM +0100, 380° wrote: > Ciao Marco, > > "M. Fioretti" <mfioretti(a)nexaima.net> writes: > > [...] > > > Grazie, con un'aggiunta: pure il semplice fatto che le applicazioni > > SPID, o qualsiasi altra applicazione pubblica se e' per questo, lee > > devi scaricare dallo store Google e' sudditanza digitale. > > hai fatto bene ad aggiungere questa cosa... Grazie, e per completare il quadro con ulteriori danni e beffe segnalo che questa tua risposta mi e' arrivata insieme a una spiegazione di come e qualmente "Usare PayPal come metodo di pagamento PayPalPA sull'App IO è facilissimo"... -- Help me write my NEXT MILLION WORDS for digital awareness: https://stop.zona-m.net/2021/10/funding-2021-2022/

Feb. 3, 2022