Addio allo SPID, secondo Butti lo utilizzano poche persone (30 Mln).....

eutampieri oggi in teoria di tutte. Le vecchie senza logo C-Less lo erano almeno di Lazio, Toscana, Campania, Marche, Puglia, Sicilia, Sardegna, e altre che non ricordo

Riopepe Per leggere queste tessere è necessario leggere una dicitura (ID / AC ..... a fianco del TS in alto a sx) che riportano per installare il corretto driver che la riconosca, quindi è tutto fuorché a prova di utente basic!

Ahime' e' disinformazione, originata dalle istruzioni ufficiali. Basta installare OpenSC, e ci leggi tutto, pure le CIE...

Riopepe In questo caso la domanda sarebbe perché ha una scadenza e viene inviata ogni tot anni? Le informazioni riportate sono sempre le stesse, il codice a barre, un Code 39, c'è scritto il codice fiscale che rimane identico dalla nascita alla morte del cittadino, quindi che sia valida o meno nelle farmacie ha la stessa identica funzione, vanno bene anche le vecchie tessere scadute!

Ha una scadenza mi pare per le norme eIDAS che impongono una scadenza ai certificati di autenticazione proprio ogni 6 anni (pero' forse le cose son cambiate o mi ricordo male perche' le CIE durano 10 anni senza problemi...). Ma forse anche per le norme dell'assicurazione sanitaria europea, visto che scadevano anche le tessere senza chip.

Ed esistono casi in cui il codice fiscale di una persona cambi... Pensa ai cambi di nome, o di genere. Viene assegnato un nuovo codice fiscale.

Nelle farmacie vale la tessera scaduta perche' li' serve solo il codice fiscale, e la tessera scaduta continua ad essere sempre valida come tesserino del codice fiscale.
La scadenza e' riferita solo alle funzioni di CNS e di TEAM (Tessera Europea Assicurazione Malattia). In ospedale, per i vaccini, etc se ci fai caso e' richiesto il numero di tessera TEAM sul retro, quello che inizia con 80380 (380 significa Italia).

Riopepe lo paghiamo con le nostre tasse, quindi solo un evasore totale può considerarlo tale

Bene, ora capisci perche' non tollero che CIE e SPID debbano essere a pagamento. Perche' le tasse le pago gia' (e magari ci devo pure pagare le commissioni su alcune tasse, grazie a Renzi e al suo bel PagoPA)

[cancellato] Non è esattamente così... Non sempre per lo meno, e parli di Linux. Poi ci sono i browser da configurare (Firefox, guardo te... e gli devi dare il binario della libreria crittografica) e gli utenti da formare.

No no, parlo anche di Windows e Mac (provato e fatto installare su varie versioni di Windows, da XP a 11). I browser si prendono in automatico la dll su Windows da anni, ormai, almeno Chrome e Firefox lo fanno. (E pure IE...)

[cancellato] C'è un motivo se l'autenticazione con smart card non la fa nessuno ove possibile: perché è una immensa intergalattica rottura di $fallo.

Io direi che lo e' perche' i middleware proprietari """consigliati""" sono una rottura completa. Mi sa che non hai mai provato ad installare o usare OpenSC se pensi che sia cosi' complicato...

[cancellato] La parte pubblica sì, la chiave privata ovviamente no.

E' un peccato. Ma capisco che e' proprio quello lo scopo della smartcard, per cui, non mi lamento troppo ecco

[cancellato] Fun fact: le operazioni di firma dei pacchetti di autenticazione di canale TLS quando vi connettete ad un sito avvengono nel chip della smart card. Indovina un po' cosa succede quando i sistemi evolvono e gli algoritmi di cifratura cambiano?

Niente, perche' RSA non se ne andra' via per tanti anni, e quindi non cambia proprio nulla. Tanto il computer quantistico rompera' tutto, anche le firme digitali remotizzate, per cui... O questo o la carta. Io sceglierei la carta, ma non sono io a decidere per tutti. E se dobbiamo digitalizzare, meglio questo che la remotizzazione. Sempre.

Riopepe Già questo conferma quanto postato prima, tutta roba non per utenti basic.

Per motivi prettamente politici pero'. Non tecnici.

Riopepe Attualmente gli utenti che utilizzano la TS-CNS con i certificati, quindi utilizzando il chip, saranno l'1% del totale, quindi a maggior ragione avrebbe senso sostituirla solamente a chi ne fa richiesta per questo tipo di utilizzo.

Bisogna vedere cosa prevede la normativa TEAM anche a livello europeo... E il certificato puo' essere sempre esteso (come accade infatti con le TS-CNS rinnovate senza chip, viene esteso il certificato caricato sulle vecchie tessere...) quindi salvo usura fisica forse alla fine il problema non si trova lato CNS.

Riopepe Anche questi casi sono residuali; quanti saranno percentualmente?

Fosse per me non dovrebbe scadere nemmeno la carta d'identita'... Se si usura la cambi... Posso capire la patente, ma l'identita' no... Se uno muore, o se i dati cambiano, e' come quando un documento viene smarrito, si "blocca" e via...

Riopepe Eliminare lo SPID vuol dire anche obbligare tutti a farsi la CIE, anche per chi ha la carta d'identità cartacea non ancora scaduta. In alcuni comuni ti devi già prenotare per fare la CIE; se ci aggiungiamo anche questa "follia" campa cavallo, bisognerà pure prendersi qualche ora di assenza dal lavoro per andarsi a fare la CIE a pagamento!

Anche per questo prima dicevo che la soluzione sarebbe la CNS piuttosto che la CIE, eliminando l'ostacolo politico della mancata funzionalita' della CNS via app CieID o nei flussi "Entra con CIE". La TS-CNS ce l'hanno gia' tutti, e' gia' gratis, e non obbliga il cittadino a dover unire documento d'identita' fisico e digitale in un unico oggetto.

E cmq, come dicevo prima, SPID potra' anche rimanere per chi vuole usarlo, magari con un provider di Stato (visto che lo Stato gia' ti identifica, non e' che puoi chiedere alla Sogei di non trattare i tuoi dati per l'Agenzia delle Entrate o l'Anagrafe...), non dico mica che va abolito... Certo che se mi vogliono abolire CNS in favore di SPID allora certo che non mi sta bene. Cosi' come non stara' bene a te il contrario. Basta tenere le alternative per tutti, e tutti saranno felici... Visto che un sistema fatto con criterio non e' neanche cosi' costoso da realizzare o mantenere come invece alcuni vorrebbero far credere.

Riopepe le TS-CNS oggi sono tutte contactless (tranne quelle di poche Regioni che hanno sofferto la "crisi dei chip", che ormai immagino sia terminata, e quindi si puo' chiedere il duplicato con chip). Ma per me resta importante che rimanga il contact e che sia fisicamente separata dalla CI; altri invece vorrebbero poterla usare dallo smartphone; per cui, a differenza di CIE, la CNS puo' soddisfare tutti, una volta superato come dicevo l'ostacolo politico del blocco nei flussi "CIE" per chi vuole usare lo smartphone con la CNS. E per coloro che invece vogliono cmq continuare a remotizzare, SPID potra' anche rimanere... Magari con provider di Stato.

Che poi, per TS-CNS, basterebbe che tutte le Regioni vendessero a prezzo di costo i lettori contact (o contactless per chi vuole)... Come fa la Toscana a 5 Euro per i lettori contact...

I problemi di CNS sono politici, non tecnici. Se ci fosse la volonta' di superarli, possono essere superati.

Riopepe tanto vale quindi passare all'impronta digitale ed il passo successivo al DNA

Per carita', manco morto. Ecco, un altro problema con CIE e' che per l'emissione richiedono il rilascio delle impronte, e come se non bastasse ha pure un costo. Non sono un criminale, e le tasse le pago... pero' per ottenere la CIE dovrei pagare e farmi pure schedare. Bah.

handymenny nessuno ha parlato di TN-CNS o CNS come sostituito

Gia', e' anche questo uno dei problemi.

handymenny obbligatorio il login via SPID o CIEid

Male, perche' la stessa normativa (un decreto del 2020) che tutte le PA citano a macchinetta non li esime da implementare l'accesso con CNS.

handymenny "CIEid non supporta il tuo browser [...] Ripeti l'operazione utilizzando il browser Chrome"...

Vabeh, e' una roba partorita dal team renziano di PagoPAgID, che ti aspetti? Non si fanno mica problemi a devolvere dati personali in beneficenza alla Google o alla Microsoft di turno...
Ma e' anche per questo che dico che il fatto che CNS non venga accettata da quei flussi sia un mero problema politico, visto che lato tecnico non c'e' alcun impedimento concreto (e oggi le nuove TS-CNS sono tutte contactless)...

handymenny lasciare il token a casa o ufficio

Ed e' uno dei motivi per cui preferisco la TS-CNS alla CIE.

handymenny basterebbe permettere a tutti di avere una CIE quando vogliono

... oppure fare in modo che la TS-CNS che tutti gia' hanno e pure gratis, sia utilizzabile in tutte le procedure previste per "CIE", senza eccezione alcuna...

handymenny no (per limitazioni di Android pero'), ma con un'app equivalente a CieID ma che accetti anche le CA Cittadini CNS, allora si'. Dovrebbe anche essere possibile realizzare un browser Android (anche con WebView di sistema quindi Chromium) che implementi la TLS Client Cert Auth via smartcard, affinche' non serva per forza usare il flusso CieID anche lato server, supportando quindi l'auth in maniera decentralizzata come con lettore da computer.

[cancellato] Firma, non cifratura... Già ora con le vecchie CNS non puoi usare TLSv1.3.

Per limitazioni di TLS v1.3 che rifiuta i vecchi certificati a 1024 bit (che poi non sono manco troppo sicuro che la regola valga anche per i certificati client e non solo per quelli server...). Le nuove tessere da almeno 3 anni hanno pero' tutte certificati RSA a 2048 bit e con hash SHA-256, che non spariranno a breve.

Cmq TLS v1.3 avra' i suoi pregi ma ha anche molti difetti. Io tendo a preferire un TLS v1.2 configurato bene. Certo c'e' da dire che con TLS v1.2 e inferiori il certificato client viaggia in chiaro... In TLS v1.3 invece viene scambiato solo dopo aver verificato il server ed instaurato il canale cifrato. Questa e' l'unica cosa di TLS v1.3 che realmente mi manca in TLS v1.2... Cioe' si puo' fare anche con TLS v1.2, con la server-initiated renegotiation, ma non e' troppo banale (sicuramente non lo fai con nginx come server... Apache e IIS dovrebbero permetterlo pero') e in passato alcuni client si rompevano male cosi'.

Ed e' anche per questo che l'infrastruttura nazionale dovrebbe rimanere nei confini nazionali, senza essere esternalizzata a privati e men che mai all'estero (o, peggio mi sento, a privati esteri che aprono sedi in Italia per poter fagocitare i dati della PA)... Non sarebbe un problema cosi' grave se quei dati (nome cognome e CF) transitino in chiaro tra la mia connessione residenziale (gia' a mio nome) e un server della Sogei a Roma... Pero' se invece devono farsi il giretto panoramico di mezza Europa, e/o essere duplicati in chissa' quale montagna oltreoceano, beh... un pochino mi secca, ecco.

[cancellato] Su Windows, no, son sincero. Prima occasione provo.

E' pure finalmente appena uscita stabile la nuova versione che supporta le nuove CNS con l'hack fuori standard per il cert a 2048 bit

[cancellato] Eh Firefox su Windows ignora le configurazioni e i certificati di sistema... Non è proprio così semplice.

Son due cose diverse pero'. Certo e' che se Firefox usasse il provider crittografico di sistema oltre a NSS, allora OpenSC funzionerebbe "indirettamente" fintanto che funge anche per il sistema (IE o quel che ne resta). Ma cmq l'installer di OpenSC ora registra per Firefox anche la DLL del modulo di sicurezza di OpenSC, parallela a quella builtin e a quella di NSS. Insomma le ultime volte ho visto funzionare tutto senza dover far piu' nulla a mano

[cancellato] Sì ma sovente non vengono ruotate le chiavi per limiti dei chip. La sostituzione periodica delle schede permette di avere chip di nuova generazione con nuove funzioni e algoritmi

Beh, quando scopriranno l'esistenza dei certificati a 4096 bit, o chissa' cosa verra' fuori per il PQ, allora se ne riparlera'...