Linee Guida per la realizzazione di un modello di R.A.O. pubblico

Linee guida per la realizzazione di un modello di R.A.O. pubblico

Le linee guida disciplinano il modello organizzativo e tecnico con cui una pubblica amministrazione può operare come R.A.O. pubblico nel sistema SPID, effettuando l’identificazione de visu della persona fisica quale attività propedeutica al rilascio dell’identità digitale da parte di un Identity Provider. Il documento individua destinatari, flussi di comunicazione con AGID, requisiti del processo di riconoscimento, dati da acquisire, modelli operativi, responsabilità dei soggetti coinvolti e modalità di impiego della passphrase e del sigillo elettronico.

Quadro normativo e finalità

Le linee guida sono emanate ai sensi dell’art. 71 del d.lgs. 82/2005 e dell’art. 3, comma 2, del DPCM 24 ottobre 2014, che disciplina il Sistema Pubblico di Identità Digitale. La finalità è consentire alle pubbliche amministrazioni di identificare le persone fisiche in modo coerente con il sistema SPID, così da favorire il rilascio dell’identità digitale da parte degli IdP accreditati. Il documento richiama inoltre il Regolamento (UE) n. 910/2014 e gli atti attuativi dello SPID.

Destinatari e ambito di applicazione

Sono destinatari:

• i soggetti di cui all’art. 2, comma 2, lett. a) CAD che intendono, con proprie risorse, svolgere l’identificazione dell’utente in qualità di R.A.O. pubblico;
• i gestori di identità digitale (IdP) che intendano avvalersi delle procedure di identificazione effettuate da tali soggetti.

Il modello può trovare applicazione anche nel processo di rilascio dei documenti di riconoscimento, ma il nucleo regolatorio riguarda l’abilitazione delle PA a fungere da punto di identificazione per SPID.

Comunicazione ad AGID e rapporti con gli IdP

I soggetti pubblici interessati presentano istanza ad AGID per essere riconosciuti come R.A.O. pubblico. Nella domanda forniscono i riferimenti utili agli IdP che intendano utilizzare il servizio. AGID informa gli IdP dei soggetti che hanno richiesto il riconoscimento, e informa i soggetti pubblici degli IdP che intendono avvalersi delle procedure di identificazione. A entrambi AGID rende disponibile il certificato di sigillo elettronico previsto dalle linee guida.

Riconoscimento dell’utente: verifiche documentali e contenuto della scheda anagrafica

L’operatore del R.A.O. pubblico effettua il riconoscimento de visu verificando:

• un documento di riconoscimento integro e in corso di validità, rilasciato da un’Amministrazione dello Stato, con fotografia e firma autografa;
• la tessera sanitaria in corso di validità per il controllo del codice fiscale.

Il R.A.O. pubblico, in base alla formazione dei propri operatori, stabilisce quali documenti accettare. Se i documenti presentati non hanno i requisiti richiesti, l’ammissibilità va esclusa e il processo di iscrizione deve essere sospeso o bloccato fino alla presentazione di documenti validi.

La scheda anagrafica deve contenere obbligatoriamente:

• attributi identificativi SPID: nome, cognome, luogo e provincia di nascita, data di nascita, sesso, codice fiscale, estremi del documento d’identità usato per l’identificazione;
• attributi secondari SPID: numero di telefonia mobile, indirizzo di posta elettronica, domicilio fisico, eventualmente domicilio digitale/PEC;
• ulteriori informazioni anagrafiche: numero seriale e scadenza della tessera sanitaria ovvero quanto previsto dall’Avviso AGID n. 7 del 25 ottobre 2017, nazione di nascita, nazione del domicilio fisico.

Sistema applicativo e gestione del token

Il sistema applicativo, che può essere realizzato dal R.A.O. pubblico o dall’IdP, deve consentire la gestione dell’intero processo di verifica dell’identità e la generazione del token necessario al successivo rilascio dell’identità digitale. In particolare deve:

• permettere la compilazione e il salvataggio della scheda anagrafica;
• garantire la collocazione temporale della compilazione;
• generare la passphrase;
• creare le diverse tipologie di token previste dal processo;
• prevedere l’apposizione del sigillo elettronico;
• assicurare l’individuazione dell’operatore;
• garantire la sicurezza dei dati gestiti.

Se entrambi i soggetti dispongono del sistema, la scelta dell’ambiente da usare spetta al R.A.O. pubblico.

Processo di riconoscimento e trasmissione del token

Il processo è articolato in più fasi:

• l’operatore compila la scheda anagrafica nel sistema;
• il sistema salva la scheda nel formato di interscambio e genera il token in chiaro;
• il sistema genera una passphrase secondo le regole stabilite e la usa per cifrare il token;
• associa il codice fiscale dell’utente al token cifrato e restituisce il token completo;
• appone il sigillo elettronico del R.A.O. al token completo, ottenendo il token sigillato.

Dopo la trasmissione del token sigillato secondo i modelli previsti, l’operatore consegna all’utente metà della passphrase in forma cartacea e invia l’altra metà all’indirizzo email indicato dall’utente, insieme alle indicazioni per consultare le brochure degli IdP sul sito ufficiale SPID. L’utente deve essere informato che il token sigillato è utilizzabile entro 30 giorni.

Modelli operativi previsti

Le linee guida prevedono due modelli di riferimento, che il R.A.O. pubblico può rendere disponibili uno o entrambi:

• modello a sportello: l’operatore informa l’utente che può scegliere l’IdP; il token sigillato viene inviato all’IdP prescelto;
• modello via email: il token sigillato viene inviato all’utente all’indirizzo di posta elettronica indicato.

La scelta del modello è rimessa al R.A.O. pubblico.

Rilascio dell’identità digitale da parte dell’IdP

L’utente, una volta ottenuto il token, accede al sito dell’IdP e seleziona la modalità di rilascio con "identificazione tramite P.A.". Se si applica il modello a sportello, inserisce il codice fiscale per consentire all’IdP di recuperare il token sigillato; se si applica il modello via email, carica il proprio token. L’IdP verifica il sigillo e il periodo di validità del token, richiede la passphrase per decifrare il token cifrato e, superati cinque tentativi errati, non accetta più il token.

L’IdP estrae i dati dell’utente e verifica l’effettivo possesso del cellulare indicato. Successivamente utilizza i dati acquisiti per compilare la scheda anagrafica collegata all’identità e svolge le verifiche previste dalla normativa vigente per il rilascio dell’identità digitale SPID, limitatamente a quanto non già verificato dal R.A.O. pubblico. L’identità elettronica è rilasciata ai sensi dell’art. 7, comma 2, lett. b) del DPCM 24 ottobre 2014; ciascun IdP procede secondo le proprie modalità operative.

Responsabilità del R.A.O. pubblico e dell’IdP

Il R.A.O. pubblico è responsabile della corretta verifica dell’identità personale dell’utente e deve conservare le evidenze atte a individuare il singolo operatore che ha effettuato il riconoscimento per il periodo previsto dall’art. 36, comma 6, del DPCM 22 febbraio 2013. Deve inoltre garantire adeguata formazione agli operatori e informarli sulle procedure applicative e sulle responsabilità civili e penali connesse all’attività svolta.

L’IdP deve porre in essere tutte le attività necessarie per interoperare con il sistema del R.A.O. e conservare, per il medesimo periodo, evidenze che dimostrino che la singola identità è stata rilasciata sulla base dell’identificazione effettuata dal R.A.O. pubblico. L’IdP può essere responsabile o corresponsabile dell’erroneo rilascio di un’identità digitale se non ha correttamente svolto le verifiche previste.

Passphrase: requisiti e regole di generazione

La passphrase deve essere lunga 12 caratteri, generati casualmente, e contenere almeno:

• una lettera maiuscola;
• una lettera minuscola;
• un carattere numerico;
• un carattere speciale tra !, $, ?, #, =, *, +, -, ., :.

Sono esclusi i caratteri confondibili i, l, 1, L, o, 0, O. Ai fini del processo la passphrase è divisa in due parti di 6 caratteri ciascuna, consegnate con modalità diverse all’utente.

Sigillo elettronico e requisiti dei certificati

AGID emette due sub CA dedicate rispettivamente ai R.A.O. pubblici e agli IdP per la generazione dei certificati di sigillo elettronico. I certificati sono contrassegnati da specifici OID registrati dall’Agenzia:

• 1.3.76.16.4.1 per i sigilli elettronici degli IdP;
• 1.3.76.16.4.5 per i sigilli elettronici dei R.A.O. pubblici;
• 1.3.76.16.4.12 per entrambi i certificati.

I sigilli sono usati dal R.A.O. e dall’IdP per instaurare il canale di comunicazione e, per il R.A.O., per sigillare il token completo. Ai fini del rilascio dei certificati, i soggetti interessati trasmettono ad AGID una richiesta di certificazione in formato PKCS#10 basata su coppia di chiavi RSA di almeno 2048 bit. AGID si riserva di modificare tali requisiti con apposito avviso.