Identità digitale con Carta di Identità Elettronica CIE in sostituzione alla TS-CNS

Dal 1° giugno 2022 la Tessera Sanitaria (TS) può essere rilasciata senza micro-chip. Le Tessere Sanitarie senza microchip continuano ad avere valenza di Codice Fiscale e di Tessera Europea Assistenza Malattia (TEAM), ma non hanno le funzionalità della Carta Nazionale dei Servizi (CNS) e pertanto non potranno più essere utilizzate per l’identificazione e autenticazione online e per la firma elettronica avanzata verso soggetti pubblici e privati.

Per chi ha la TS-CNS in scadenza e la utilizza per la firma digitale, è prevista una proroga fino al 31/12/2023. Per ottenere tale proroga è necessaria l’installazione e l’esecuzione di un tool per l’estensione della scadenza. Al fine del successo della procedura è importante eseguire la proroga della validità della tessera prima che scada. Per procedere in tal senso si possono seguire le indicazioni al precedente link.

Il motivo che ha portato alla scelta del rilascio della TS senza microchip è dovuto principalmente alla crisi dei chip attuale, fortunatamente la nuova carta di identità elettronica fornisce una valida alternativa.

La CIE (carta di identità elettronica) rilascio

Per ottenere utilizzare i servizi di identità e firma digitale, oltre allo spid è possibile utilizzare la CIE (carta di identità elettronica) che permette sia l’autenticazione presso i servizi della P.A. (INPS ecc.), sia anche il servizio di firma digitale (anche se non è “firma elettronica qualificata” come specificato alla fine dell’articolo).

In questo articolo vediamo come utilizzare la CIE per la verifica dell’identità e per la firma digitale.

Per procedere è innanzitutto necessario possedere una CIE (carta di identità elettronica). Per chi non ne fosse provvisto se si possiede ancora la CI (carta di identità) cartacea è possibile fare domanda di rinnovo anticipato al proprio comune.

La carta sarà provvista di pin i cui primi 4 caratteri del codice PIN saranno rilasciati in sede di richiesta dal proprio comune, mentre i successivi 4 caratteri saranno recapitati con la raccomandata a cui è acclusa la CIE inviata dall’istituto poligrafico e zecca di stato.

Per ulteriori informazioni su come fare richiesta vi rimando ai link governativi cartaidentita.interno.gov.it

Utilizzo della CIE su Debian per l’autenticazione

Quanto segue, tratta dell’utilizzo della CIE su PC, mentre si trascura la versione su Smartphone completamente affidata all’uso della relativa app secondo le indicazioni presenti sul portale istituzionale https://www.cartaidentita.interno.gov.it/cittadini/software-cie/

Per prima cosa è necessario possedere ed installare un lettore per la CIE (lettore NFC RFID da tavolo). Di solito è diverso da quello della TS-CNS. Può necessitare o no del software di installazione. Nel caso sia necessario il software di installazione è sempre preferibile eseguirlo prima di collegare il lettore al PC.

Personalmente ho acquistato il lettore che vedete nella foto qui sotto. Questo lettore ha il vantaggio che viene riconosciuto out of the box, senza la necessità di installare alcun software aggiuntivo. È ovvio che potete utilizzare qualsiasi lettore compatibile con linux.

L’altro passo riguarda l’installazione del software della CIE, reperibile al seguente link https://www.cartaidentita.interno.gov.it/fornitori-di-servizi/documentazione-middleware-cie/. Al momento l’ultima versione del software da scaricare per Debian è “CIE-Middleware-1.4.3-3.amd64.deb” (dovete andare in fondo alla pagina) e, una volta scaricato, è necessario installarlo con il comando

$ sudo dpkg -i CIE-Middleware-1.4.3-3.amd64.deb

che, tra l’altro, copierà il file “libcie-pkcs11.so” nel percorso /usr/local/lib/ necessario per configurare il browser alla autenticazione personale presso i siti istituzionali.

Per Firefox 102.6.0esr (64 bit) è necessario seguire i seguenti passaggi (screen al seguito):

• dal menù applicazione (in alto a Dx), selezionare Impostazioni;
• dal menù a Sx, selezionare Privacy e sicurezza;
• scorrere fino in fondo e al paragrafo Certificati, selezionare Dispositivi di sicurezza;
• dal menù a Dx selezionare Carica;
• inserire il nome del modulo, ad esempio “Carta CIE”;
• utilizzando Sfoglia, selezionare il file “libcie-pkcs11.so” nel percorso /usr/local/lib/;
• chiudere salvando e riavviare Firefox.

Il sistema è ora configurato e pronto all’utilizzo.

Utilizzo della CIE su Debian per la firma digitale

Per procedere all’utilizzo della firma digitale è sufficiente lanciare il programma di firma “CIE ID” (installato con il comando indicato precedentemente).

Per lanciare il programma è necessario che sia installato Java. Questo requisito non è documentato nelle istruzioni e il pacchetto necessario non è indicato come dipendenza. Per risolvere questo inconveniente su Debian è sufficiente installare OpenJDK con il seguente comando

# apt install default-jdk

Il programma di firma digitale CIE ID è sobrio, ma molto intuitivo da usare, per cui non entrerò maggiormente nel dettaglio d’uso. Per qualsiasi problema l’intera comunità di debianizzati.org sarà lieta di assistervi sul forum nel quale è stata anche avviata una discussione dedicata.

A questo proposito ne approfitto anche per dare un giudizio su CIE ID (ideato e sviluppato dal Poligrafico e Zecca dello Stato) anche se lo ho usato solo un paio di volte. Mi pare un prodotto eccellente per la semplicità d’uso e l’assenza di fronzoli non necessari, specie se paragonato ad Aruba-sign e Dike (forse molti altri) che ho usato negli anni scorsi.

Purtroppo la firma con la CIE non è valida per tutte le occorrenze.

Questo è l’esito della verifica di una firma CIE (es. con Aruba), purtroppo questo comporta il rifiuto del documento firmato, anche dai portali ufficiali della P.A., ad esempio, se utilizzata per accatastare un frazionamento utilizzando Pregeo (presso l’Agenzia delle Entrate), viene rifiutata l’operazione perché la firma non risulta valida.

La ragione è che in tali casi la firma deve essere una “firma elettronica qualificata”, cosa che purtroppo la CIE non è, per cui è necessario rivolgersi ad uno dei “Prestatori di servizi fiduciari”.

Ad essere al 100% onesti per quanto riguarda le PA (Pubbliche Amministrazioni), in base al Decreto legislativo 07/03/2005, n. 82, art. 20, com. 1-bis e confermato anche dal Decreto del Presidente del Consiglio dei Ministri 22/02/2013, art. 61, com. 2. sarebbe sufficiente fornire una firma elettronica avanzata e non è obbligatoria per forza una firma elettronica qualificata, pertanto, a norma di legge, le PA sarebbero obbligate ad accettarla. Il problema è che molto spesso l’amministrativo non ha idea di cosa si stia facendo quindi può valer la pena cercare di spiegarlo.

Il problema è che spesso le procedure automatizzate o l’ignoranza non tiene conto della legge e se avete fretta o non avete voglia di impiegare molto del vostro tempo vi dovete procurare una firma elettronica qualificata.

Rispetto alla TS-CNS, che comprendeva la firma elettronica qualificata, l’esito è modesto e si limita all’accesso ai siti istituzionali (tipo SPID), e poco altro.