Sapere cos’è e come funziona OpenID Connect (OIDC) consente di capire quali sono le prospettive di sviluppo degli strumenti della digital transformation, come le identità digitali SPID e CIE, ad alto impatto nelle attività quotidiane e lavorative di privati, professionisti e aziende.

OpenID è lo standard di autenticazione che – con le sue caratteristiche di flessibilità, interoperabilità e sicurezza – fa sì che l’identità digitale possa essere facilmente utilizzata sui servizi desktop e su quelli mobile. Motivo per cui OIDC è allo stato dei fatti lo standard più utilizzato nelle applicazioni web e mobile di nuova generazione.

In questo articolo, facendo riferimento alle Regole tecniche per SPID/CIE OpenID Connect, pubblicate da AgID e Team Digitale, vedremo come OIDC rappresenti un passo avanti nell’ecosistema dell’identità digitale, dal momento che consente di utilizzare uno standard semplificato e flessibile.

OpenID Connect: principali caratteristiche

OpenID Connect si fonda sulle seguenti caratteristiche di base:

  • Capacità di integrare le applicazioni su piattaforme digitali diverse (Web, mobile, IoT, App single-page);
  • Utilizzo di componenti di terze parti in modalità sicura, integrata e scalabile;
  • Sviluppo collaborativo continuo grazie alla sua implementazione in un gran numero di servizi digitali.

Sono queste features che permettono al protocollo di rendere possibile un meccanismo interoperabile di verifica dell’identità tra diversi soggetti, pubblici e privati. In sintesi, OpenID Connect consente agli sviluppatori di autenticare gli utenti su siti web e app senza bisogno di dover gestire file di password.

Come funziona Open ID Connect?

OIDC usa l’identità digitale dell’utente, memorizzata presso un trusted Identity Provider, per permettere alle applicazioni e ai servizi digitali l’identificazione sicura e affidabile.

Il modello di funzionamento può essere facilmente compreso analizzando i soggetti che operano all’interno dello standard OpenID Connect, tecnicamente definibile come un protocollo SSO (Single Sign-On) basato sul framework di autorizzazione OAuth 2.0.

In particolare, le Regole tecniche sopra menzionate individuano le seguenti entità agenti nel Sistema Pubblico di Identità Digitale:

  • Utente finale: è il soggetto che vuole accedere ai servizi forniti da un Client e che necessita di dimostrare la propria identità online;
  • Client: è l’applicazione che fa conto su un OpenID Connect Provider per autenticare l’utente finale;
  • OpenID Connect Provider: è il soggetto che rilascia l’ID token con l’attestazione dell’identità dell’utente finale e un eventuale token di accesso OAuth 2.0.

Questo meccanismo, che combina SSO e l’autorizzazione delegata, libera le applicazioni e i servizi dall’onere della gestione delle identità, dal momento che quest’ultima è delegata ad Identity Provider affidabili. In questo modo, le applicazioni e i servizi divengono “Client” del sistema di autenticazione fornito dagli OpenID Connect Provider.

Quali sono i vantaggi di OpenID Connect in SPID?

OpenID Connect è uno degli strumenti di attuazione della strategia del Cyber Resilience Act finalizzato a rafforzare il livello di cybersecurity per i prodotti digitali e informatici usati nell’autenticazione.

In tale ottica si evidenziano alcuni vantaggi di OIDC in SPID/CIE:

  • Riduzione del rischio di attacchi informatici: senza l’inserimento della password ad ogni accesso diminuiscono le possibilità che i cybercriminali intercettino il flusso di dati scambiati durante il processo di autenticazione;
  • Miglioramento della user experience: gli utenti usufruiscono in modo flessibile e sicuro delle applicazioni, soprattutto da dispositivi mobili;
  • Blocco delle autenticazioni: tutte le persone in possesso di un’identità digitale SPID possono bloccare le autenticazioni per l’accesso a un determinato servizio.

Riassumendo, dato che la comunicazione avviene tra Identity Provider e Service Provider, i dati dell’utente non sono mai direttamente esposti al browser o all’applicazione e ciò abbatte il rischio di attacchi finalizzati all’intercettazione delle comunicazioni. Inoltre, l’utente ha il controllo su ogni accesso e può revocare l’autenticazione presso l’Identity provider.

SPID InfoCert: la tua identità digitale semplice e sicura

In conclusione, SPID ha adottato lo standard di autenticazione Open ID Connect per alzare il livello di sicurezza nella procedura di autenticazione online. Le linee guida AgID stabiliscono per i Gestori dell’identità digitale e per i Fornitori di servizi pubblici e privati l’obbligo di adottare il nuovo standard di sicurezza OpenID connect a partire da maggio 2022.

Lo SPID InfoCert, Qualified Trust Service Provider, accreditato da AgID per il rilascio dell’identità digitale, offre soluzioni su misura per l’identità digitale a scopo personale o professionale. Qualsiasi sia la soluzione scelta potrai:

  • Accedere ai servizi della PA e dei privati che aderiscono al Sistema Pubblico d’Identità Digitale;
  • Gestire online attività importanti per la tua vita e per il tuo lavoro;
  • Utilizzare lo SPID in modo facile e intuitivo grazie all’App MyInfoCert;
  • Avere la sicurezza che i tuoi dati sono protetti dai più avanzati standard di cybersecurity.