1. Introduzione

Nell'ultimo decennio, la digitalizzazione ha trasformato radicalmente il modo in cui cittadini e imprese interagiscono con i servizi pubblici e privati, introducendo nuove forme di accesso ai servizi sicure, accessibili e user-friendly.

In Italia, il Decreto-Legge n. 19 del 2 marzo 2024, convertito, con modificazioni, dalla Legge n. 56 del 29 aprile 2024, ha introdotto l'articolo 64-quater del Decreto Legislativo n. 82 del 7 marzo 2005, istituendo il Sistema di Portafoglio Digitale Italiano - Sistema IT-Wallet. Il Sistema IT-Wallet consente a persone fisiche o giuridiche di accedere a servizi pubblici e privati attraverso la presentazione sicura di Attestati Elettronici, attestanti diritti, deleghe, caratteristiche, licenze o qualifiche. L'articolo 64-quater prevede inoltre l'adozione di uno o più decreti attuativi per definire le regole che disciplinano il funzionamento del Sistema IT-Wallet, compresi i ruoli delle entità coinvolte, i requisiti tecnici e di sicurezza, e i principi di sostenibilità economica, di cui queste Specifiche Tecniche – redatte attraverso un processo aperto e collaborativo – costituiscono parte integrante.

Grazie al Sistema IT-Wallet, le persone fisiche e giuridiche possono fornire direttamente, tramite il proprio Wallet, le informazioni necessarie per accedere ai servizi offerti da enti pubblici e privati sotto forma di Attestati Elettronici. Analogamente a un portafoglio fisico, un'Istanza del Wallet può contenere dati relativi all'identità o ai documenti, come la patente di guida o la tessera sanitaria, nonché una vasta gamma di informazioni digitali verificabili, come una qualifica professionale, un diploma di istruzione, una licenza o un attributo certificato.

I principali ruoli nell'ecosistema Wallet sono elencati di seguito:

  • Fornitore di Attestati Elettronici: soggetti che rilasciano Attestati Elettronici agli Utenti;

  • Verificatori di Attestati Elettronici: soggetti che richiedono all'Utente presentazioni di Attestati Elettronici, per finalità di Autenticazione e autorizzazione;

  • Utenti: individui che possiedono un'Istanza del Wallet e hanno il controllo sugli Attestati Elettronici che possono richiedere, acquisire, memorizzare e presentare alle Verificatori di Attestati Elettronici;

In questo modello, il Fornitore di Attestati Elettronici (ad esempio, un'istituzione educativa) fornisce Attestati Elettronici all'Utente, che può memorizzarle nella propria Istanza del Wallet. L'Istanza del Wallet è tipicamente fornita come applicazione mobile sullo smartphone dell'Utente.

Ciò che distingue questo nuovo approccio dai precedenti sistemi di gestione dell'accesso all'identità è che gli Attestati Elettronici si riferiscono a caratteristiche, qualità o proprietà, già autenticate alla fonte. Questi Attestati Elettronici possono essere utilizzati dall'Utente senza che i Fornitori di Attestati Elettronici siano a conoscenza del loro utilizzo. Durante l'uso degli Attestati Elettronici, nessuna informazione sull'utilizzo viene rilasciata a terze parti poiché la relazione è esclusiva tra l'Utente e il Verificatore di Attestati Elettronici, in modo trasparente e informato. Lo sviluppo del Sistema IT-Wallet include un processo di sperimentazione graduale, finalizzato a testare il Wallet e valutarne l'impatto in contesti reali. Questo processo è progettato per validare componenti tecniche, elementi di esperienza utente e meccanismi di interoperabilità, garantendo al contempo un'adozione progressiva e controllata del Sistema. Inoltre, supporta il miglioramento continuo del Sistema IT-Wallet e il suo graduale allineamento con il Portafoglio Europeo di Identità Digitale (EUDI Wallet), sia in termini di architettura che di conformità con le specifiche europee in evoluzione.

Altri elementi chiave che caratterizzano questo nuovo paradigma di Portafoglio di Identità Digitale includono:

  • Riservatezza e controllo: i Wallet consentono agli individui di mantenere il controllo sulle informazioni fornite all'interno degli Attestati Elettronici presentate. Possono scegliere quali attributi o Attestati Elettronici presentare e a chi;

  • Sicurezza: i Wallet sfruttano meccanismi crittografici per l'integrità e la sicurezza dei dati scambiati. Ciò evita il furto di identità, le frodi e gli accessi non autorizzati;

  • Interoperabilità: i Wallet promuovono l'interoperabilità consentendo a diversi sistemi e organizzazioni di riconoscere e verificare le identità, abilitando interazioni affidabili tra individui, organizzazioni e persino oltre i confini;

  • Efficienza e riduzione dei costi: gli individui possono gestire facilmente i propri Attestati Elettronici, evitare di gestire più token di identità e ridurre i processi ripetitivi di verifica dell'identità.

1.1. Ambito

Queste Specifiche Tecniche sono destinate a completare le Linee Guida previste dall'articolo 64-quater del Decreto Legislativo n. 82/2005 (CAD). Sia le Linee Guida che queste Specifiche Tecniche, una volta formalmente adottate, diventeranno parte del quadro normativo per il Sistema IT-Wallet. Saranno periodicamente aggiornate, ove necessario, alla luce dei risultati della fase di sperimentazione, dell'adozione di nuovi atti legislativi nazionali o europei e dei requisiti in evoluzione in termini di sicurezza e interoperabilità. Queste Specifiche Tecniche perseguono due obiettivi principali e rappresentano una componente fondamentale del quadro di implementazione per il Sistema IT-Wallet.

Il primo obiettivo è quello di fornire un insieme chiaro e strutturato di raccomandazioni, risorse e requisiti di progettazione relativi agli elementi del Sistema IT-Wallet che impattano sull'Esperienza dell'Utente. Il documento, distinguendo tra aspetti normativi obbligatori e buone pratiche progettuali e implementative, mira a fornire agli enti pubblici e privati interessati a partecipare al Sistema IT-Wallet quanto necessario per:

  • facilitare la comprensione e l'adozione del Modello di Servizio, aumentando il numero di potenziali servizi e opportunità di utilizzo per l'Utente;

  • adottare l'Identità Visiva del Sistema IT-Wallet al fine di migliorarne l'affidabilità e la riconoscibilità per l'Utente;

  • garantire la coerenza di progettazione tra macro-funzionalità e singole interazioni tra l'Utente e i Touchpoint del servizio;

  • mantenere un adeguato livello di qualità, promuovendo i principi di usabilità, accessibilità e inclusività.

Il secondo focus è definire l'architettura tecnica e il quadro di riferimento che servirà da linea guida per tutte le parti coinvolte nello sviluppo delle Soluzioni Tecniche del Sistema IT-Wallet.

La documentazione, gli strumenti e le risorse aggiuntive - di seguito definite Risorse Ufficiali - per la progettazione e lo sviluppo delle Soluzioni Tecniche del Sistema IT-Wallet saranno presto disponibili nella sezione Risorse Ufficiali: e saranno aggiornate periodicamente.

1.2. Linguaggio Normativo e Convenzioni

Le parole chiave "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "NOT RECOMMENDED", "MAY" e "OPTIONAL" in questo documento devono essere interpretate come descritto in BCP 14 [RFC2119] [RFC8174] quando, e solo quando, appaiono in maiuscolo, come mostrato qui.

1.3. Come leggere le Specifiche

Questa specifica è progettata per soddisfare i requisiti di molteplici stakeholder all'interno del Sistema IT-Wallet. Ogni ruolo ha responsabilità e ambiti diversi e diverse esigenze informative. Questa sezione fornisce percorsi di lettura personalizzati per aiutare il lettore a navigare in modo efficiente verso i contenuti più rilevanti per gli obiettivi di implementazione.

1.3.1. Panoramica della Struttura delle Specifiche

La specifica è organizzata nelle seguenti sezioni principali:

  • Sezione Introduzione: Stabilisce l'ambito e il linguaggio normativo per l'ecosistema IT-Wallet.

  • Sezione Panoramica dell'Architettura: Fornisce una visione di alto livello dell'Architettura, in termini di governance e processi operativi abilitati.

  • Sezione Brand Identity: Fornisce i requisiti relativi alla Brand Identity del Sistema IT-Wallet, le indicazioni relative al naming e all'applicazione degli elementi visivi che identificano l'ecosistema.

  • Sezione Design dell'Esperienza Utente: Fornisce i principi di design e i requisiti funzionali di alto livello per garantire un’Esperienza Utente di qualità in tutte le fasi di interazione tra l’Utente e il servizio.

  • Sezione L'Infrastruttura di Trust: Definisce il modello di trust basato sulla federazione, le relazioni tra entità e i meccanismi di valutazione della fiducia che proteggono l'intero ecosistema.

  • Sezione Entità: Requisiti di implementazione completi per ogni partecipante all'ecosistema: Soluzioni Wallet, Fornitori di Credenziali, Relying Party e Fonti Autentiche, inclusi i loro componenti, modelli di interazione e requisiti di configurazione.

  • Sezione Gestione degli Attestati Elettronici: Copre i modelli di dati e i formati delle Credenziali Elettroniche, la gestione del ciclo di vita, la verifica della validità e la struttura del catalogo delle Credenziali.

  • Sezione Flussi relativi agli Attestati Elettronici: Guida dettagliata all'implementazione per i flussi di emissione e presentazione delle Credenziali Elettroniche, inclusi i flussi di interazione remota e di prossimità.

  • Sezione Endpoints: Specifiche tecniche per tutti gli endpoint API esposti da ciascun tipo di entità, inclusi gli endpoint di federazione e le integrazioni di servizi specializzati.

  • Sezione Algoritmi Crittografici, Considerazioni di Sicurezza e Privacy, e Politiche Generali di Conservazione dei Log (Supporto all'Implementazione): Requisiti crittografici, considerazioni sulla sicurezza e sulla privacy, e politiche di conservazione dei log essenziali per implementazioni conformi.

  • Sezione Termini Definiti e Riferimenti, Risorse Ufficiali, Come contribuire, e Rilasci Open Source (Terminologia e Riferimenti): Terminologia completa, riferimenti normativi, documentazione, risorse e strumenti aggiuntivi, linee guida per i contributi.

  • Sezione Appendice: Fornisce dettagli tecnici supplementari, modelli di implementazione e framework di test, inclusa la gestione delle istanze di applicazioni mobili, specifiche di integrazione della piattaforma nazionale e matrici di test complete per la validazione dell'ecosistema.

1.3.2. Percorsi di lettura per ruolo

Per facilitare la consultazione degli argomenti trattati in queste specifiche, di seguito sono riportati percorsi di lettura organizzati per ruolo. Ogni percorso è strutturato in base alle diverse fasi di adesione e partecipazione al Sistema IT-Wallet e contiene riferimenti diretti alle sezioni più rilevanti per ciascun ruolo.

I percorsi di lettura proposti hanno finalità orientativa e non sostituiscono la necessità di consultare le altre sezioni quando è richiesta una comprensione più ampia del sistema.

Per le entità interessate a operare in più ruoli, si raccomanda di approfondire tutti i percorsi di lettura relativi ai ruoli di interesse.

1.3.2.1. Fonte Autentica

La Fonte Autentica si occupa di rendere disponibili i dati affidabili alla base dei (Q)EAA e di garantirne e gestirne in modo sicuro l’assoluta accuratezza e integrità.

Fase 1: Scoperta

Comprendere il funzionamento generale dell’ecosistema, l’architettura tecnica e l’Infrastruttura di Trust.

  • Sezione Introduzione: Scopo e contesto normativo del Sistema IT-Wallet.

  • Sezione Panoramica dell'Architettura: Panoramica dell’architettura del Sistema IT-Wallet in termini di governance e processi operativi abilitati.

  • Sezione L'Infrastruttura di Trust: Requisiti chiave del modello di fiducia federato e dei meccanismi di valutazione della fiducia tra le entità.

  • Sezione Termini Definiti e Riferimenti: Terminologia completa, riferimenti normativi, documentazione, risorse e strumenti aggiuntivi, linee guida per i contributi.

Fase 2: Progettazione

Comprendere i requisiti e progettare gli aspetti, le funzionalità e le caratteristiche specifiche del (Q)EAA da emettere.

  • Sezione Design dell'Esperienza Utente: Requisiti chiave relativi alle modalità con cui consentire agli Utenti di ottenere i (Q)EAA, alla struttura dei (Q)EAA, al loro stato e alla loro gestione nel tempo.

  • Sezione Gestione degli Attestati Elettronici: Requisiti tecnici e funzionali relativi al ciclo di vita dei (Q)EAA.

  • Sezione PDND e-Service Template: Modello di riferimento contenente tutti i metadati tecnici e descrittivi necessari per la definizione dell’e-service.

Fase 3: Implementazione

Implementare le interfacce tecnologiche necessarie per comunicare con il Fornitore di Attestati Elettronici e gestire l’intero ciclo di vita dei dati associati ai (Q)EAA.

  • Sezione Fonti Autentiche: Ruolo e responsabilità della Fonte Autentica.

  • Sezione e-Service PDND: Specifiche obbligatorie per l'integrazione con la PDND (Piattaforma Digitale Nazionale Dati) e relativi requisiti di interoperabilità per la pubblicazione di un e-service.

  • Sezione Endpoint delle Fonti Autentiche: Requisiti chiave per l'implementazione delle API che consentono al Credential Issuer di recuperare in modo sicuro e coerente i dati autorevoli e di gestirne il ciclo di vita tramite gli endpoint del Signal Hub.

  • Sezione Infrastruttura del Registro: Approfondimento sui componenti del Registro di interesse per la Fonte Autentica.

  • Sezione Politiche Generali di Conservazione dei Log: Requisiti generali per la conservazione dei log e requisiti specifici per le Fonti Autentiche, in conformità alla norma ISO/IEC 27001.

  • Sezione Test Plans: Guida alla configurazione dell'ambiente di test e alla validazione delle interazioni backend tramite l'utilizzo delle matrici di test fornite dall'ecosistema.

Fase 4: Registrazione

Registrarsi al sistema come Fonte Autentica, completando le procedure amministrative e tecniche richieste.

1.3.2.2. Fornitore di Wallet

Il Fornitore di Wallet si occupa della progettazione e dello sviluppo della Soluzione Wallet, che consente all’Utente di conservare, gestire e presentare il proprio PID e i propri (Q)EAA.

Fase 1: Scoperta

Comprendere il funzionamento generale dell’ecosistema, l’architettura tecnica e l’Infrastruttura di Trust.

  • Sezione Introduzione: Scopo e contesto normativo del Sistema IT-Wallet.

  • Sezione Panoramica dell'Architettura: Panoramica dell’architettura del Sistema IT-Wallet in termini di governance e processi operativi abilitati.

  • Sezione L'Infrastruttura di Trust: Requisiti chiave del modello di fiducia federato e dei meccanismi di valutazione della fiducia tra le entità.

  • Sezione Termini Definiti e Riferimenti: Terminologia completa, riferimenti normativi, documentazione, risorse e strumenti aggiuntivi, linee guida per i contributi.

Fase 2: Progettazione

Comprendere i requisiti relativi all’Esperienza Utente e progettare la Soluzione Wallet secondo modelli comuni, al fine di garantirne l’usabilità e l’accessibilità.

  • Sezione Brand Identity: Panoramica della Brand Identity del Sistema IT-Wallet e indicazioni sugli asset di riferimento per il Fornitore di Wallet.

  • Sezione Design dell'Esperienza Utente: Requisiti chiave relativi ai modelli di interazione, ai layout delle interfacce e agli asset grafici, al fine di garantire un’esperienza utente efficace, fluida e assicurare coerenza tra le diverse Soluzioni Wallet.

  • Sezione Gestione degli Attestati Elettronici: Requisiti tecnici e funzionali relativi al ciclo di vita dei (Q)EAA.

Fase 3: Implementazione

Implementare la Soluzione Wallet in conformità a specifici standard tecnologici, al fine di garantire la comunicazione tra la Soluzione Wallet e gli altri attori del Sistema.

  • Sezione Soluzione Wallet: Requisiti tecnici e funzionali relativi ai componenti, alle funzionalità e al ciclo di vita necessari per la configurazione della Soluzione Wallet.

  • Sezione Flussi relativi agli Attestati Elettronici: Requisiti tecnici e funzionali relativi ai flussi di emissione e presentazione dei (Q)EAA.

  • Sezione Endpoint del Fornitore di Wallet: Requisiti chiave per l’implementazione delle interfacce (API) del Fornitore di Wallet necessarie a garantire l’interoperabilità tra le entità.

  • Sezione Infrastruttura del Registro: Approfondimento sui componenti del Registro.

  • Sezione Algoritmi Crittografici: Selezione e implementazione degli standard crittografici necessari a garantire la sicurezza delle chiavi e delle transazioni.

  • Sezione Considerazioni di Sicurezza e Privacy: Requisiti di sicurezza e conformità per le Soluzioni Wallet.

  • Sezione Politiche Generali di Conservazione dei Log: Requisiti generali per la conservazione dei log e requisiti specifici per i Fornitori di Wallet, in conformità alla norma ISO/IEC 27001.

  • Sezione Istanza dell'Applicazione Mobile: Requisiti relativi all’istanza dell’applicazione mobile, con riferimento alla richiesta e alla risposta di inizializzazione.

  • Sezione Test Plans: Guida alla configurazione dell’ambiente di test e alla validazione delle interazioni backend tramite l’utilizzo delle matrici di test fornite dall’ecosistema.

Fase 4: Registrazione

Registrarsi al sistema come Fornitore di Wallet, completando le procedure amministrative e tecniche richieste per il riconoscimento della Soluzione Wallet da parte del sistema.

1.3.2.3. Fornitore di Attestati Elettronici

Il Fornitore di Attestati Elettronici si occupa di trasformare i dati autorevoli di origine provenienti dalle Fonti Autentiche in (Q)EAA e di gestirne l’intero ciclo di vita, dall’emissione alla revoca o alla scadenza.

Fase 1: Scoperta

Comprendere il funzionamento generale dell’ecosistema, l’architettura tecnica e l’Infrastruttura di Trust.

  • Sezione Introduzione: Scopo e contesto normativo del Sistema IT-Wallet.

  • Sezione Panoramica dell'Architettura: Panoramica dell’architettura del Sistema IT-Wallet in termini di governance e processi operativi abilitati.

  • Sezione L'Infrastruttura di Trust: Requisiti chiave del modello di fiducia federato e dei meccanismi di valutazione della fiducia tra le entità.

  • Sezione Termini Definiti e Riferimenti: Terminologia completa, riferimenti normativi, documentazione, risorse e strumenti aggiuntivi, linee guida per i contributi.

Fase 2: Progettazione

Comprendere i requisiti e progettare tecnicamente i (Q)EAA, strutturandone i metadati in conformità ai requisiti tecnici e normativi.

Fase 3: Implementazione

Sviluppare endpoint secondo specifici protocolli e implementare le funzionalità di emissione, rinnovo, revoca e tutte le altre funzioni tecniche di gestione del ciclo di vita dei (Q)EAA.

  • Sezione Soluzione del Fornitore di Attestati Elettronici: Requisiti tecnici e funzionali relativi ai componenti e ai modelli di interazione necessari per l’emissione e la gestione del ciclo di vita dei (Q)EAA.

  • Sezione Flussi relativi agli Attestati Elettronici: Requisiti tecnici e funzionali relativi ai flussi di emissione e presentazione dei (Q)EAA.

  • Sezione Endpoint del Credential Issuer: Requisiti chiave per l’implementazione dei metadati del Fornitore di Attestati Elettronici e degli endpoint di autorizzazione.

  • Sezione Algoritmi Crittografici: Selezione e implementazione degli standard crittografici necessari a garantire la sicurezza delle chiavi e delle transazioni.

  • Sezione e-Service PDND: Specifiche obbligatorie per l’integrazione con la PDND (Piattaforma Digitale Nazionale Dati) e relativi requisiti di interoperabilità per la pubblicazione di un e-service.

  • Sezione Considerazioni di Sicurezza e Privacy: Requisiti di sicurezza e conformità per le soluzioni implementate.

  • Sezione Politiche Generali di Conservazione dei Log: Requisiti generali per la conservazione dei log e requisiti specifici per i Fornitori di Attestati Elettronici, in conformità alla norma ISO/IEC 27001.

  • Sezione Test Plans: Guida alla configurazione dell’ambiente di test e alla validazione delle interazioni backend tramite l’utilizzo delle matrici di test fornite dall’ecosistema.

Fase 4: Registrazione

Registrarsi al sistema come Credential Issuer, completando le procedure amministrative e tecniche previste affinché i (Q)EAA emessi verso i Wallet siano riconosciuti come affidabili dal Sistema.

  • Sezione Sistema di Onboarding: Panoramica dell’architettura del sistema di onboarding e del processo di registrazione del Fornitore di Attestati Elettronici.

  • Sezione Onboarding delle Entità: Approfondimento sulle procedure tecniche per la registrazione del Fornitore di Attestati Elettronici.

  • Sezione Operazioni di Gestione dei Certificati X.509: Procedure operative per la gestione dei certificati X.509 nell’ambito della federazione IT-Wallet.

1.3.2.4. Fornitori di servizi (Relying Party)

I Fornitori di servizi (Relying Party) si occupano di richiedere, ricevere e verificare in modo sicuro l'autenticità e la validità del PID e dei (Q)EAA presentati dall'Utente per consentire l'accesso ai servizi online e offline.

Fase 1: Scoperta

Comprendere il funzionamento generale dell’ecosistema, l’architettura tecnica e l’Infrastruttura di Trust.

  • Sezione Introduzione: Scopo e contesto normativo del Sistema IT-Wallet.

  • Sezione Panoramica dell'Architettura: Panoramica dell’architettura del Sistema IT-Wallet in termini di governance e processi operativi abilitati.

  • Sezione L'Infrastruttura di Trust: Requisiti chiave del modello di fiducia federato e dei meccanismi di valutazione della fiducia tra le entità.

  • Sezione Termini Definiti e Riferimenti: Terminologia completa, riferimenti normativi, documentazione, risorse e strumenti aggiuntivi, linee guida per i contributi.

Fase 2: Progettazione

Comprendere i requisiti di Esperienza Utente e progettare le funzionalità di verifica necessarie all’erogazione del servizio all’Utente finale.

  • Sezione Brand Identity: Panoramica della Brand Identity del Sistema IT-Wallet e indicazioni sugli asset da adottare da parte della Relying Party.

  • Sezione Design dell'Esperienza Utente: Requisiti chiave relativi ai modelli di interazione, ai layout delle interfacce e agli asset grafici, al fine di garantire un’esperienza utente efficace, fluida e assicurare coerenza tra i sistemi di presentazione e verifica.

  • Sezione Gestione degli Attestati Elettronici: Requisiti tecnici e funzionali relativi al ciclo di vita dei (Q)EAA.

Fase 3: Implementazione

Implementare le funzionalità di verifica secondo specifici protocolli, al fine di inviare richieste di verifica al Wallet e ricevere una risposta con l’autorizzazione dell’Utente.

Fase 4: Registrazione

Registrarsi al sistema come Relying Party, completando le procedure amministrative e tecniche previste, e diventare soggetto affidabile per la richiesta dei dati degli Utenti.