AGOV come base di fiducia per l’accesso alla postazione di lavoro (agov.ch/workplace)
AGOV può fungere da base di fiducia per i processi di enrollment e di ripristino relativi all’accesso alla postazione di lavoro digitale. Le autorità possono così separare l’identità affidabile di una persona dalla piattaforma tecnica e dalla credenziale vera e propria della postazione di lavoro.
Ciò consente di realizzare architetture multipiattaforma, ridurre le dipendenze da singoli fornitori di piattaforme e servizi cloud e rafforzare la sovranità digitale.
Principio di base
AGOV autentica la persona fisica e, se necessario per il caso d’uso, può fornire un’identità verificata con la qualità richiesta. L’autorità rimane responsabile di stabilire se la persona è una collaboratrice o un collaboratore, quale account utente interno le è assegnato e quali dispositivi, ruoli e autorizzazioni può utilizzare. Durante la configurazione di una postazione di lavoro, la persona può quindi autenticarsi tramite AGOV. Il sistema competente per le risorse umane, la gestione delle identità o degli accessi associa la persona autenticata tramite AGOV all’account interno di collaboratore o della postazione di lavoro. L’infrastruttura della postazione di lavoro può quindi generare una propria credenziale crittografica e associarla a tale account. Le chiavi crittografiche private possono essere protette a livello hardware e rese non esportabili, ad esempio mediante un Trusted Platform Module (TPM). AGOV può essere nuovamente utilizzato in caso di cambio di dispositivo, rinnovo di una credenziale o ripristino dell’accesso per autenticare nuovamente la persona in modo affidabile.
Nessun login permanente tramite AGOV
AGOV non deve necessariamente partecipare a ogni login quotidiano. Una volta concluso l’enrollment, l’accesso può avvenire mediante la credenziale gestita dall’autorità all’interno della propria infrastruttura di postazione di lavoro, directory e autenticazione. Un’indisponibilità temporanea di AGOV o la mancanza di connettività verso AGOV non deve quindi necessariamente impedire l’utilizzo di una postazione di lavoro già configurata.
Business Account e indirizzo e-mail professionale
Un Business Account non è un requisito obbligatorio per questo modello architetturale. Un Business Account rimane l’account di una persona fisica. La relativa dichiarazione e l’indirizzo o il dominio e-mail professionale associato non confermano, secondo AGOV, né un rapporto di lavoro, né l’appartenenza a un’organizzazione, né un ruolo o un’autorizzazione. L’autorità deve quindi associare la persona autenticata tramite AGOV al relativo account di collaboratore o della postazione di lavoro mediante i propri sistemi e processi autoritativi. Ciò evita anche una dipendenza circolare per i nuovi collaboratori: la prima configurazione della postazione di lavoro non deve presupporre l’accesso a un indirizzo e-mail professionale se tale accesso diventa disponibile soltanto dopo la configurazione della postazione stessa.
Windows
In Windows sono disponibili, in linea di principio, i necessari componenti tecnici. Windows supporta Credential Provider personalizzati, che costituiscono l’interfaccia con la schermata di accesso, raccolgono o producono le credenziali e le trasmettono ai componenti Windows responsabili dell’autenticazione vera e propria. Windows supporta inoltre, mediante il Microsoft Platform Crypto Provider, chiavi crittografiche protette dal TPM. Microsoft documenta altresì l’attestazione che consente di dimostrare che una chiave utilizzata per un certificato è effettivamente protetta da un TPM considerato attendibile. Per gli accessi al dominio basati su certificati, Windows utilizza Kerberos con Public Key Cryptography for Initial Authentication in Kerberos (PKINIT). La disponibilità di questi singoli componenti documentati da Microsoft non significa tuttavia che una qualsiasi chiave TPM possa essere utilizzata automaticamente per un accesso interattivo a un dominio Windows. Il formato della credenziale, il Credential Provider e il meccanismo di autenticazione Windows da utilizzare in una concreta architettura basata su AGOV devono essere definiti e validati nell’ambito dell’implementazione. L’architettura di destinazione può essere realizzata senza che Microsoft Entra, Microsoft Entra Connect e Microsoft Entra Kerberos siano necessari per l’enrollment e il login quotidiano alla postazione di lavoro. Ciò non equivale tuttavia ad affermare che Windows Hello for Business dipenda sempre da Microsoft Entra. Oltre ai modelli cloud e ibridi, Microsoft supporta espressamente deployment locali di Windows Hello for Business con Domain Join, Active Directory, PKI e AD FS.
Un modello basato su AGOV non è quindi semplicemente «Windows Hello for Business senza Entra». L’obiettivo è più ampio: separare la base di fiducia per l’identità della persona e l’enrollment dalla specifica piattaforma della postazione di lavoro, rendendola utilizzabile con diversi sistemi operativi.
Linux
Lo stesso principio può essere applicato anche alle postazioni di lavoro Linux. Linux offre meccanismi di autenticazione aperti nonché supporto per chiavi crittografiche protette dall’hardware, TPM2 e FIDO2. La loro integrazione concreta con PAM, servizi di directory, Kerberos o altri componenti fa parte della rispettiva architettura della postazione di lavoro.
Anche in questo caso la credenziale vera e propria rimane sotto il controllo dell’autorità, mentre AGOV può costituire la base di fiducia per l’identità della persona durante l’enrollment e il ripristino.
Chiara ripartizione dei compiti
AGOV risponde alla domanda:
Quale persona fisica si sta autenticando e con quale qualità dell’identità accertata?
L’autorità risponde:
Questa persona è una collaboratrice o un collaboratore?
Quale account di lavoro le appartiene?
Quali dispositivi, ruoli e autorizzazioni può utilizzare?
L’infrastruttura della postazione di lavoro risponde:
Con quale credenziale gestita localmente o dall’organizzazione la persona dimostra, durante il login quotidiano, di poter utilizzare questo account?
AGOV non diventa pertanto né un sistema di gestione del personale o delle autorizzazioni né necessariamente un componente online richiesto per ogni login.
Sovranità digitale
Il modello separa deliberatamente tre livelli:
- l’identità affidabile della persona fisica;
- la sua associazione organizzativa e le relative autorizzazioni;
- la credenziale tecnica della postazione di lavoro.
AGOV può sostenere il primo livello quale base di fiducia utilizzabile tra diverse organizzazioni. Il secondo e il terzo livello rimangono sotto il controllo dell’autorità competente.
La stessa logica di identità e enrollment può quindi essere utilizzata, in linea di principio, per diverse piattaforme di postazione di lavoro senza vincolare l’intero processo di fiducia all’Identity Stack di un singolo fornitore di sistemi operativi o cloud.
Stato
L’architettura descritta costituisce un possibile modello di utilizzo di AGOV.
AGOV non fornisce attualmente né un Credential Provider Windows pronto all’uso, né un modulo PAM Linux pronto all’uso, né un sostituto chiavi in mano di Windows Hello for Business. I componenti specifici per i diversi sistemi operativi e la loro integrazione devono essere sviluppati, verificati e gestiti nell’ambito della relativa architettura della postazione di lavoro.