Posts by m_f_1@mastodon.uno
(DIR) Post #AQDuGFDurCUSz5jj04 by m_f_1@mastodon.uno
2022-12-03T07:59:02Z
0 likes, 0 repeats
@quinta il rischio in questo caso non è lo SPID in sé (che comunque non è esente da problemi) ma l'obbligo per le PA di usarlo come unica fonte di autenticazione (con CIE) per i propri servizi
(DIR) Post #AQE7QqeNrHWnMUVFp2 by m_f_1@mastodon.uno
2022-12-03T10:26:37Z
0 likes, 0 repeats
@quinta lo SPID risolve un problema all'utente (accedere saltuariamente a un servizio senza previa registrazione) e all'erogatore del servizio (non deve gestire processi di registrazione e assistenza) ma per come è implementato l'intero sistema (non dipendenti dal protocollo SAML 2.0), trovo che abbia questi difetti:
(DIR) Post #AQE7vkdwF7cphx1x8S by m_f_1@mastodon.uno
2022-12-03T10:27:21Z
0 likes, 0 repeats
@quinta 1) non permette il Single SignOn tra applicazioni diverse anche erogate dallo stesso fornitore costringendo a continue riautenticazioni;
(DIR) Post #AQE7vmZP4xBbgSvMLQ by m_f_1@mastodon.uno
2022-12-03T10:27:44Z
0 likes, 0 repeats
@quinta 2) queste riautenticazioni sono time-consuming perché tutti obbligano alla 2FA anche per semplici letture;
(DIR) Post #AQE7vpfBZuatHGeWH2 by m_f_1@mastodon.uno
2022-12-03T10:27:55Z
0 likes, 0 repeats
@quinta 3) la 2FA per di più è veicolata da strumenti o app proprietarie che spesso non funzionano neppure tanto bene;
(DIR) Post #AQE7vsky4s0As4NgCe by m_f_1@mastodon.uno
2022-12-03T10:28:12Z
0 likes, 0 repeats
@quinta 4) l'assistenza utente delegata al fornitore SPID è comoda per l'ente SP ma praticamente frustrante per l'utente che viene ripallato tra chi gestisce l'applicazione e chi lo SPID;
(DIR) Post #AQE7vuLWASpfniUNoO by m_f_1@mastodon.uno
2022-12-03T10:29:09Z
0 likes, 0 repeats
@quinta (scusa, non capisco come scrivere un testo di una lunghezza utile... :-( )
(DIR) Post #AQE84Wnf54ddNdlOoi by m_f_1@mastodon.uno
2022-12-03T10:33:48Z
0 likes, 0 repeats
@quinta non l'obbligo, ma che siano gli unici sistemi; se la preoccupazione è di un blocco generalizzato e centralizzato di un utente, sarebbe tecnicamente possibile
(DIR) Post #AQE8NuYeyOqUZBzOJU by m_f_1@mastodon.uno
2022-12-03T10:37:18Z
0 likes, 0 repeats
@quinta a volte sì, a volte no: ma il risultato è che anche quando no devi riautenticarti
(DIR) Post #AQE8VAoUvytf0crOTY by m_f_1@mastodon.uno
2022-12-03T10:38:37Z
0 likes, 0 repeats
@quinta in che senso? fa parte dei problemi, non c'è più un singolo punto di responsabilità
(DIR) Post #AQE8zQ9aSqrHH09DA8 by m_f_1@mastodon.uno
2022-12-03T10:44:04Z
0 likes, 0 repeats
@quinta è vero solo in parte: gli identity provider non possono federarsi autonomamente, passano dall'AgID; se una norma rendesse possibile obbligare gli IdP a bloccare qualcuno, il blocco sarebbe totalePer analogia, come quando un magistrato obbliga gli ISP a cancellare dal DNS determinati sitiSarebbe non bloccabile se ognuno potesse mettere su un equivalente IdP (cosa che per altri protocolli è fattibile)
(DIR) Post #AQE9CKQF5JWjGK5oBs by m_f_1@mastodon.uno
2022-12-03T10:46:25Z
0 likes, 0 repeats
@quinta non stiamo discutendo della bontà di SAML 2.0 in un contesto federato generico, ma dello specifico di SPID così com'è diventato: se i provider obbligano sempre alla 2FA con app proprietarie mal funzionanti è un problema di SPID come sistema
(DIR) Post #AQEAVjwKXF27rMvCPA by m_f_1@mastodon.uno
2022-12-03T11:01:07Z
0 likes, 0 repeats
@quinta "passano" per la registrazioneCerto che non esiste la legge, ma se esistesse sarebbe tecnicamente applicabile, mentre con altri protocolli sarebbe infattibileComunque, sono d'accordo sul fatto che come per cose più di base ci sono le leggi, il parlamento, la costituzione, ecc... a garantirci; la mia obiezione era solo meramente tecnica
(DIR) Post #AQEBJGXM80n59Dr7L6 by m_f_1@mastodon.uno
2022-12-03T11:10:04Z
0 likes, 0 repeats
@quinta ho capito cosa dici, ma stai parlando di "standard, protocolli e norme che stanno alla base dei protocolli/profili di SPID", mentre se consideriamo il "sistema SPID cos'ì com'è diventato/percepito" vanno considerati anche i comportamenti dei provider, la percezione utente, e così viaPerché non può essere un occasione per intervenire? Ad esempio, AgID potrebbe emanare delle linee guida in cui si dice che la 2FA deve essere in standard RFC 4226/6238 così usare un app compatibile qualsiasi
(DIR) Post #AQECDc2JNi222kCf2W by m_f_1@mastodon.uno
2022-12-03T11:13:32Z
0 likes, 0 repeats
@quinta oppure eliminare l'esclusività di SPID (o spiegarla meglio se in effetti non è sempre necessaria, ci sono interpretazioni varie) per i servizi che funzionerebbero meglio senza, ad esempio l'autenticazione WiFi che con un profilo WebSSO come SPID è un'incubo
(DIR) Post #AQECR6IACdRre037oW by m_f_1@mastodon.uno
2022-12-03T11:22:42Z
0 likes, 0 repeats
@quinta mi pare che abbiamo due esperienze legate a SPID molto diverse; ripeto che il mio problema è che SPID/CIE siano l'unico sistema di autenticazione ammesso, non che sia disponibile e neppure che sia obbligatorio averlo tra le varie opzioniAverlo reso esclusivo in certi casi ha peggiorato la qualità del servizio (es. perdita del SSO)Se poi come dici sono "interpretazioni estensive della norma" allora qualcuno dovrebbe fare chiarezza
(DIR) Post #AQECZwNmPnYLW6tLeK by m_f_1@mastodon.uno
2022-12-03T11:24:18Z
0 likes, 1 repeats
@quinta e di aver fatto togliere l'obbligo di documento per il wifi non ti sarò mai abbastanza grato 🙂
(DIR) Post #AQEGGkdCHWxTNxCyBs by m_f_1@mastodon.uno
2022-12-03T12:05:39Z
0 likes, 0 repeats
@quinta scusa, non trovo circolari in merito posteriori al Decreto semplificazioni del 2020 che precisino quali sono da considerare servizi "al cittadino" e quali no; mi puoi dare un riferimento?Molte amministrazioni l'hanno interpretato come "tutti i servizi online", compresi quelli intranet delle applicazioni gestionali, altri più blandamente solo quelli per persone esterne all'ente che interagiscono come utenti