Mappa Globale#
Cosa fa#
Identity Proofing e' il processo con cui un'organizzazione verifica che una persona sia effettivamente chi dichiara di essere, prima di creare un account o emettere credenziali. Non e' autenticazione (provare chi sei ogni volta che accedi) - e' il processo che avviene una sola volta all'onboarding.
TL;DR#
Prima di dare a qualcuno una password, una smart card o un certificato digitale, l'organizzazione deve sapere che quella persona e' reale e che i suoi dati sono autentici. Il processo ha tre fasi:
- Resolution - chi sei? (raccolta attributi)
- Validation - i tuoi documenti sono veri? (verifica autenticita')
- Attestation - qualcuno di fidato conferma? (testimonianza terza parte)
Le Tre Fasi#
Le tre fasi di identity proofing si eseguono in sequenza: non si puo' validare senza prima risolvere, e l'attestazione e' il livello di garanzia piu' alto.
Resolution#
La fase di Resolution raccoglie gli attributi identificativi necessari a disambiguare la persona nel database dell'organizzazione. L'obiettivo non e' ancora verificare la veridicita' - e' semplicemente identificare in modo univoco a quale entita' corrisponde la richiesta.
Attributi raccolti tipicamente:
- Nome e cognome completo
- Data di nascita
- Indirizzo residenza
- Numero documento d'identita' (passaporto, patente, carta identita')
- Codice fiscale o SSN
Il rischio principale: la persona fornisce attributi falsi o rubati da un'altra persona (identity theft). La resolution da sola non protegge da questo.
Validation#
La Validation verifica che gli attributi raccolti nella fase precedente siano autentici, attuali e appartenenti a una persona reale. Risponde alla domanda: "questo documento esiste davvero?".
Metodi di validazione:
- Controllo MRZ (Machine Readable Zone) passaporto contro database ICAO
- Verifica codice fiscale contro Agenzia delle Entrate / sistema statale
- Confronto biometrico fotografia documento vs selfie in tempo reale (liveness detection)
- Verifica numero documento non sia nella lista revocati o rubati
- Controllo data scadenza
Validation non verifica che il documento appartenga alla persona davanti - verifica solo che il documento sia autentico. La prova che "sei tu" la da la biometria o l'attestazione.
Attestation#
L'Attestation introduce una terza parte fidata che conferma l'identita' della persona. E' la fase con il piu' alto livello di garanzia perche' sposta la responsabilita' su un soggetto esterno verificabile.
Esempi di attestori:
- HR supervisor - conferma che il nuovo dipendente e' effettivamente assunto
- Notaio - attesta l'identita' per documenti legali
- Identity Provider (IdP) fidato - es. SPID, eIDAS, Google Workspace aziendale
- Trusted Referee - persona gia' verificata che garantisce per la nuova
Dev parallel: L'Attestation e' come il processo di referral in un'assunzione tech: prima cerchi il CV (Resolution), poi verifichi le esperienze (Validation), poi chiami i referral che confermano chi sei (Attestation). KYC nelle fintech funziona esattamente cosi': raccolta dati, verifica documento, poi a volte richiede una banca terza o un conto gia' verificato come referral.
NIST SP 800-63 - Identity Assurance Levels (IAL)#
Il NIST ha definito una scala formale di assurance levels per standardizzare il livello di rigore richiesto in base alla sensibilita' del servizio.
| Livello | Nome | Processo richiesto | Esempio uso |
|---|---|---|---|
| IAL1 | Self-Asserted | Auto-dichiarazione, nessuna verifica | Forum pubblico, newsletter |
| IAL2 | Remote or In-Person Evidence | Validazione documento da remoto, biometria | Servizi governativi online, banca |
| IAL3 | In-Person Evidence | Presenza fisica, biometria certificata, supervisore | Smart card governativa, top secret clearance |
Il livello IAL deve corrispondere al livello di rischio del servizio:
- Sistema payroll aziendale → IAL2 minimo
- Accesso a dati classificati → IAL3
- Account email personale → IAL1 puo' bastare
Rischi se il processo e' assente o debole#
Senza un processo adeguato di identity proofing, l'organizzazione emette credenziali a soggetti non verificati.
| Rischio | Descrizione | Impatto |
|---|---|---|
| Synthetic Identity Fraud | Identita' costruita combinando dati reali di persone diverse | Account privilegiato emesso a un'identita' falsa |
| Identity Theft | Uso di documenti rubati a un'altra persona | Vittima subisce conseguenze delle azioni dell'impostore |
| Privileged Account Abuse | Admin account emesso a un soggetto non verificato | Compromissione intera infrastruttura |
| Regulatory Non-Compliance | IAL insufficiente per il servizio offerto | Violazione GDPR, normative settoriali |
Relazione con Identity e Access Management (IAM)#
Identity Proofing e' la fondazione del ciclo IAM. Ogni altra fase dipende dalla qualita' del proofing iniziale.
flowchart LR IP[Identity Proofing Resolution + Validation + Attestation] CRED[Emissione Credenziali Password, Smart Card Certificato, MFA] AUTH[Autenticazione Login quotidiano Kerberos, SAML, OIDC] AUTHZ[Autorizzazione RBAC, ABAC Least Privilege] DEP[Deprovisioning Revoca credenziali Account closure] IP --> CRED --> AUTH --> AUTHZ --> DEP
Il proofing avviene una sola volta. Se fatto male, tutti i passi successivi sono costruiti su una base compromessa.
Scenario Reale#
Una banca italiana implementa SPID per accedere ai conti online. Il sistema richiede IAL2: il cliente fotografa fronte/retro della carta d'identita', fa un selfie con liveness detection, il sistema confronta la foto del documento con il selfie. Se coincide e il documento e' valido (Validation), viene emesso lo SPID. L'utente non ha mai incontrato nessuno di persona. Scenario opposto: per ottenere una smart card aziendale con accesso fisico ai server room, un nuovo dipendente porta il passaporto di persona all'HR manager, che verifica e firma l'attestazione (IAL3).
Collegato a#
- account-lifecycle - il proofing precede il provisioning
- sso-kerberos-saml - le credenziali emesse dopo il proofing sono usate dall'SSO
- pki - i certificati digitali sono emessi dopo identity proofing
- privileged-access-management - PAM richiede IAL piu' elevato per account privilegiati
