Sistema Pubblico di Identità Digitale: stato dell'offerta dei Gestori dell'Identità Digitale e futuri sviluppi

La digitalizzazione della pubblica amministrazione richiede che i cittadini adottino un opportuno sistema di identificazione. In passato ciascuna amministrazione gestiva in proprio il rilascio delle credenziali, contribuendo alla proliferazione di account e password che un utente doveva memorizzare. Col tempo sono stati introdotti sistemi per poter accedere a tutti i servizi della pubblica amministrazione utilizzando una singola credenziale, come è il caso della Carta d'Identità Elettronica e la Carta Nazionale dei Servizi, che però hanno avuto scarso successo fra i privati cittadini, penalizzati anche da problemi di usabilità. Il "Sistema Pubblico di Identità Digitale" (SPID) è stato introdotto per mano della "Agenzia per l'Italia digitale" (AgID) con l'obiettivo di superare i problemi dei precedenti sistemi. SPID implementa un sistema di Single Sign On in cui il ruolo di identity provider è implementato da soggetti privati accreditati da AgID. L'utente è quindi nella condizione di poter scegliere il provider più adatto alle sue esigenze. L'implementazione attuale è basata sulle specifiche SAML, ma a maggio 2022 i provider dovranno rendere operativa anche la nuova implementazione basata su OpenID Connect. In questo documento viene esposta la normativa e confrontate le due differenti specifiche tecniche di SPID: l'attuale basata su SAML e l'imminente basata su OpenID Connect. Quest'ultima offre una maggiore sicurezza e facilità di integrazione in sistemi eterogenei, soprattutto per app native per dispositivi mobili. Vengono inoltre confrontate le offerte degli identity provider. SPID 2 costituisce l'offerta base gratuita di tutti i provider, mentre funzioni più avanzate come SPID 3 e SPID per uso professionale sono meno diffuse. Come secondo fattore di autenticazione per SPID 2 i metodi più utilizzati comprendono l'uso di OTP tramite app o SMS. La soluzione adottata quasi da tutti per il secondo fattore di autenticazione di SPID 3 è invece la firma digitale.