Qualità dell’autenticazione

La qualità dell’autenticazione descrive il risultato dell’insieme delle caratteristiche di una procedura di login. È composta dalle seguenti dimensioni:

Qualità dei fattori di login utilizzati
Affidabilità della verifica dell’identità, ossia il grado di conoscenza dell’identità effettiva del soggetto al quale i fattori di login sono stati inizialmente consegnati
Solidità del legame tra la dimensione 1 e la dimensione 2

La qualità dell’autenticazione risultante è sempre determinata dall’anello più debole. La dimensione 3 (solidità del legame) non viene ulteriormente considerata in questa sede, poiché si presuppone una solidità adeguata del legame conformemente alle direttive TIC dell’Amministrazione federale.

Per classificare la qualità dell’autenticazione esistono diverse direttive e diversi modelli. La direttiva TIC I050 dell’Amministrazione federale definisce quattro Level of Assurance (LoA). eCH-0170 V2.0.1 utilizza un proprio modello con quattro livelli di fiducia e i sottomodelli Autenticazione (VSA), Registrazione (VSR), Gestione (VSS) e Federazione (VSF). Nell’allegato B, la Si001 utilizza una classificazione separata a quattro livelli per i mezzi di autenticazione e di prova dell’identità. La Si001 non può quindi essere ridotta alla qualità tecnica del fattore di login: al livello «alto» si applicano requisiti tecnici alle informazioni di autenticazione; se il mezzo è personale, la registrazione della persona o la consegna del mezzo di prova deve inoltre avvenire sulla base di un documento d’identità ufficiale.

Sulla base della I050 si possono formulare le seguenti affermazioni relative ai LoA:

LoA 1

Fattore di login: Un fattore di login, che può essere debole, tipicamente una password.
Verifica dell’identità: Nessuna
FED-LOGIN: non supporta LoA 1; il valore corrispondente nella scala eIAM-QoA sarebbe QoA 20.
AGOV: non supporta LoA 1; nessuna corrispondenza nella scala AGOV AGOVaq.

LoA 2

Fattore di login: Due fattori di login, che possono essere deboli, ad es. password + SMS-mTAN.
Verifica dell’identità: Nessuna, eventualmente con riferimento a un record utente esistente.
FED-LOGIN: non supporta più LoA 2; il valore corrispondente nella scala eIAM-QoA sarebbe QoA 30.
AGOV: corrisponde ad AGOVaq 100 e, se esiste un riferimento alla banca dati postale verificato mediante recapito, ad AGOVaq 200. Anche a questi livelli AGOV utilizza fattori di login tecnicamente forti, le cui caratteristiche tecniche soddisfano i requisiti tecnici previsti dall’allegato B della Si001 per il livello «alto». Con AGOVaq 100/200 non è tuttavia ancora stabilito un legame con la persona basato su un documento d’identità ufficiale ai sensi dell’allegato B della Si001. La sola robustezza tecnica del fattore di login non corrisponde pertanto né al livello completo «alto» della Si001 per un mezzo personale né a LoA 3 della I050.

LoA 3

Fattore di login: Tecnicamente forte. I fattori di login ammessi da AGOV soddisfano i requisiti tecnici che l’allegato B della Si001 prevede per le informazioni di autenticazione al livello «alto».
Legame con la persona / verifica dell’identità: Con AGOV, a partire da AGOVaq 300, viene stabilito il legame con la persona richiesto in aggiunta dall’allegato B della Si001 per un mezzo personale di autenticazione e di prova dell’identità. La persona viene verificata sulla base di un documento d’identità ufficiale e il risultato della verifica viene associato al conto AGOV autenticato. AGOV / I050: tutti i livelli AGOVaq a partire da 300 corrispondono, secondo la mappatura eIAM, a LoA 3 della I050 e quindi a eIAM QoA 50.
FED-LOGIN: supporta LoA 3; ciò corrisponde a QoA 50 di eIAM. LoA 3 di FED-LOGIN può già essere raggiunto con la FED-Login Access App oppure con una chiave FIDO in combinazione con un’identificazione online (vedere bit.ly/smartcardless). IMPORTANTE: Kerberos di FED-LOGIN non raggiunge LoA 3, ovvero QoA 50 (dimensione 1 e dimensione 2 insufficienti), ed è rappresentato come QoA 40.
AGOV: Tutti i livelli AGOVaq a partire da 300 corrispondono, secondo la I050, a LoA 3, ossia QoA 50 di eIAM.

LoA 4

Si001 «alto+»: Il livello «alto+» secondo l’allegato B della Si001 non è una caratteristica del solo fattore di login. Il mezzo di autenticazione e di prova dell’identità deve soddisfare tutti i requisiti del livello «alto»; inoltre, il modulo hardware e il processo di registrazione sottostante devono essere riconosciuti per l’impiego nell’Amministrazione federale.
Verifica dell’identità: Sostanziale e specificamente certificata.
FED-LOGIN: supporta LoA 4, tuttavia senza l’impiego di un Holder of Key; ciò corrisponde a QoA 60 di eIAM. Principio: le applicazioni collegate a eIAM non devono mai imporre QoA 60, ma al massimo QoA 50 (UX).
AGOV: non supporta LoA 4.