Attestazioni verificabili (verifiable credentials): cosa bisogna capire

In breve: un'attestazione verificabile (verifiable credential) è un giustificativo digitale firmato crittograficamente da un emittente di fiducia. Qualsiasi terzo può controllarne l'autenticità e l'integrità, senza dover ricontattare l'emittente. È la base tecnica dell'identità digitale moderna e del wallet europeo (EUDI Wallet).

‍

Che cos'è un'attestazione verificabile?

‍

Un'attestazione verificabile è un dato o un giustificativo digitale (identità, diploma, giustificativo di domicilio, mandato) a cui un emittente di fiducia ha apposto una firma crittografica. Questa firma permette a chi la riceve di verificare due cose: da dove viene l'informazione e che non è stata modificata.

‍

La differenza con un semplice PDF o una scansione è decisiva: un documento classico si falsifica, un'attestazione verificabile si controlla. Laddove una fattura o un documento d'identità in immagine può essere ritoccato, un'attestazione verificabile rivela immediatamente qualsiasi alterazione.

‍

I tre ruoli: emittente, detentore, verificatore

Il modello si basa su tre attori:

‍

L'emittente (issuer)

L'entità di fiducia che rilascia l'attestazione e la firma: uno Stato, un'amministrazione, un'università, una banca, un'impresa certificata.

‍

Il detentore (holder)

La persona che riceve l'attestazione e la conserva, il più delle volte in un wallet di identità digitale. È lei a decidere di presentarla, e a chi.

‍

Il verificatore (verifier)

L'impresa o il servizio che riceve l'attestazione e ne controlla la validità. È il ruolo che un'impresa deve imparare a svolgere per sfruttare il wallet europeo.

‍

Ciò che rende affidabile un'attestazione

Tre proprietà costituiscono tutto il valore di un'attestazione verificabile:

• La prova di origine. La firma dell'emittente prova che l'attestazione proviene effettivamente da lui.
• L'integrità. Qualsiasi modifica del dato rompe la firma, quindi rende rilevabile l'alterazione.
• La divulgazione selettiva. Il detentore può mostrare solo un attributo preciso, per esempio provare di essere maggiorenne senza rivelare la sua data di nascita.

‍

Risultato: la fiducia non si basa più su ciò che è mostrato, ma su ciò che è provato crittograficamente.

‍

Il legame con l'EUDI Wallet e l'identità digitale

‍

Le attestazioni verificabili sono il fondamento del wallet europeo di identità digitale previsto da eIDAS 2.0. I dati d'identità di base (il PID) come le attestazioni di attributi (EAA e QEAA) sono, tecnicamente, attestazioni verificabili.

‍

In altre parole, comprendere questo concetto significa comprendere come funzionerà concretamente il wallet: un emittente firma, il cittadino conserva, l'impresa verifica.

‍

Cosa cambia per la vostra verifica dell'identità

‍

Per un'impresa, la posta in gioco è duplice. Innanzitutto, saper ricevere e verificare queste attestazioni, cioè diventare verificatore e controllare le firme. Poi, mantenere uno strato di rilevamento delle frodi per ciò che l'attestazione non copre.

‍

Perché un'attestazione verificabile prova che il dato è autentico, non che la persona che lo presenta ne sia il titolare legittimo, né che il suo comportamento sia sano. L'usurpazione del detentore, la frode comportamentale o i percorsi a rischio restano da sorvegliare. Uno strato di rilevamento delle frodi e di verifica dell'identità resta dunque necessario, a complemento.

‍

In conclusione

‍

L'attestazione verificabile sostituisce la fiducia dichiarativa con una prova controllabile. È il mattone di base dell'identità digitale e del wallet europeo. Per le imprese, due riflessi da adottare: imparare a verificare queste attestazioni, e continuare a rilevare la frode su ciò che non provano.

‍

Fonti: Regolamento (UE) 2024/1183 (eIDAS 2.0); W3C, Verifiable Credentials Data Model; Commissione europea, European Digital Identity Wallet.

‍