Un attacco informatico può interrompere servizi essenziali in pochi istanti. Ma il danno più duraturo non riguarda soltanto l’indisponibilità dei sistemi. Che cosa accade se un aggressore compromette anche l’identità digitale di una persona, i privilegi di un amministratore o l’autorizzazione a compiere operazioni sensibili? Un’architettura diversa potrebbe limitarne le conseguenze?
Dai falsi negozi online alle frodi sugli investimenti, dai dati bancari rubati alle voci contraffatte con l’intelligenza artificiale: le truffe digitali diventano sempre più convincenti. Sarebbe possibile progettare un’identità digitale nella quale rubare una password, falsificare un messaggio o ingannare una persona non basti per compiere un’operazione non autorizzata?
È possibile progettare un’identità digitale in modo che neppure la violazione di un account amministratore consenta l’accesso diretto ai dati personali degli utenti?
Internet può smettere di funzionare. La rete mobile può scomparire. Un servizio centrale può diventare temporaneamente irraggiungibile. Ma una persona non smette di essere ciò che è. Perché dovrebbe smettere di funzionare anche la sua identità digitale? QEI esplora un approccio diverso: Internet come infrastruttura per il rilascio e la sincronizzazione, ma non necessariamente come requisito per ogni singola prova.
In Italia, nel giro di pochi giorni, sono state rinvenute tre carte d’identità biometriche con i microchip rimossi con estrema precisione. I casi aprono una domanda che va oltre la protezione fisica del documento: cosa accade all’identità digitale quando il suo supporto viene compromesso?
I truffatori che hanno preso di mira Fideuram avrebbero utilizzato comunicazioni ingannevoli e l’intelligenza artificiale per imitare la voce di una persona fidata. Il risultato: trasferimenti per circa 95 milioni di euro. Il caso evidenzia un problema crescente: se voce, immagine e stile comunicativo possono essere imitati in modo convincente, su cosa dovranno basarsi in futuro la prova dell’identità digitale e dell’autorizzazione?
Un recente incidente di sicurezza che ha coinvolto Revolut solleva una questione che va ben oltre una singola azienda o un singolo istituto finanziario: come possiamo verificare in modo affidabile, nel mondo digitale, non solo da dove proviene una richiesta di dati sensibili, ma anche chi la sta realmente inviando, se quella persona è autorizzata a presentarla e a quali dati ha effettivamente diritto di accedere? Il caso dimostra che un canale di comunicazione può apparire legittimo senza che ciò dimostri necessariamente anche l’identità e l’autorità della persona che si trova dall’altra parte.
L’identità digitale sta diventando uno degli elementi fondamentali della società digitale. Nei prossimi anni non la utilizzeremo soltanto per accedere ai portali della pubblica amministrazione, ma sempre più spesso anche nei rapporti con banche, servizi sanitari, istituzioni educative, imprese e altri servizi digitali.
L’Istituto 1. april ha ricevuto una risposta ufficiale della Commissione europea in merito all’iniziativa strategica QEI – Quantized Encrypted Identity, presentata come proposta di ricerca per approcci più sicuri e orientati alla tutela della privacy nell’ambito dell’identità digitale.
L’Unione europea sta entrando in una fase importante dello sviluppo dell’identità digitale. L’identità del cittadino viene sempre meno intesa semplicemente come un documento d’identità o un nome utente per accedere a un servizio online.
