MeldID: da un account unificato a un sistema di gestione dell'accesso digitale

Quando ho iniziato a familiarizzare con MeldID, lo vedevo principalmente come un'infrastruttura di identificazione digitale unificata. L'utente crea un singolo account, compila un profilo gestito e poi può utilizzarlo in diverse applicazioni — per l'accesso e la trasmissione di dati autorizzati senza dover compilare continuamente gli stessi moduli.

Mi aspettavo che lo sviluppo futuro si orientasse proprio verso profili e servizi collegati. Ma il progetto ha rapidamente iniziato a trasformarsi da un'infrastruttura server quasi invisibile in uno strumento quotidiano di gestione degli accessi.

Il passo successivo sono diventate le applicazioni per iPhone e Android. E qui è particolarmente interessante non tanto la comparsa del client mobile, quanto le funzioni che è riuscito a unificare.

Il TOTP ordinario — con un'altra funzione

All'interno dell'app c'è un generatore di codici monouso TOTP — quei numeri variabili usati per l'autenticazione a due fattori.

Lo standard non si presenta come una scoperta propria. L'utente aggiunge un account e riceve un codice che può usare su un servizio o su un sito web esterno.

La maggior parte degli autenticatori risponde alla domanda: «Come mostrare un codice di sei cifre?» Qui si affronta un compito più ampio: come gestire in modo sicuro il ciclo di vita dei segreti TOTP — dall'aggiunta e conservazione al ripristino su un altro dispositivo e alla rimozione dell'account.

Modalità offline pienamente funzionante

A prima vista, il principale vantaggio sembra essere solo la generazione locale dei codici. Ma in MeldID la modalità offline offre di più.

Le registrazioni già salvate continuano a funzionare senza Internet. I codici vengono generati direttamente sul telefono, quindi l'assenza temporanea di connessione non impedisce di superare la verifica a due fattori.

È possibile aggiungere anche una nuova registrazione TOTP offline. Viene salvata localmente e subito utilizzata per generare i codici. Quando la connessione internet torna, l'aggiunta viene automaticamente inviata allo storage protetto e sincronizzata con gli altri dispositivi.

La modifica e l'eliminazione delle registrazioni già sincronizzate richiedono una connessione al server. Questo evita di avere versioni diverse dello stesso archivio su dispositivi differenti.

In questo modo si ottiene un equilibrio: le azioni principali sono disponibili senza rete, mentre le modifiche che devono valere per tutti i dispositivi vengono eseguite al ritorno online.

Un nuovo telefono non significa un nuovo set di codici

Il problema più fastidioso di qualsiasi autenticatore nasce dopo aver perso, rotto o sostituito il dispositivo. Normalmente si devono cercare codici di riserva, trasferire manualmente le registrazioni o riconnettere l'app a ogni servizio.

Qui il deposito non è legato a un dispositivo specifico, bensì all'account MeldID. Dopo aver effettuato l'accesso sul nuovo telefono e aver inizializzato lo storage protetto, le registrazioni vengono ripristinate automaticamente.

Non importa se il dispositivo precedente era Android e quello nuovo un iPhone, o viceversa. È possibile collegare altri telefoni senza dover creare un processo di trasferimento distinto per ogni piattaforma.

Immagina che il telefono si rompa improvvisamente durante un viaggio. Invece di dover recuperare l'accesso separatamente in ogni servizio, l'utente effettua l'accesso a MeldID sul nuovo dispositivo e completa la configurazione dello storage. Dopo di che, le registrazioni TOTP vengono ripristinate nell'app.

Su un singolo telefono si possono usare anche più account MeldID; i loro archivi rimangono separati: le registrazioni di un account non si mescolano con i dati di un altro e non appaiono sul dispositivo senza autorizzazione.

Cosa viene conservato sul server

Il ripristino automatico implica che i dati devono essere conservati da qualche parte. Tuttavia, i segreti TOTP non vengono memorizzati nel database in forma aperta.

Il contenuto delle registrazioni è contenuto in un contenitore cifrato. Nella struttura attuale si utilizza una cifratura autenticata AES-256-GCM, e la chiave del contenitore protetto è separata dal database stesso.

Perciò, una violazione di un database non si trasforma in un elenco pronto di segreti per generare i codici. Un attaccante ottiene blocchi cifrati, non i dati TOTP in chiaro.

È importante non fare promesse assolute. Piuttosto: i segreti TOTP in chiaro nel database non vengono memorizzati, e una sola copia del database non è sufficiente per usarli.

Conferma dell'accesso tramite MeldID

Un'altra funzione importante dell'app è Login Approval, ovvero una conferma separata dell'autenticazione.

Se un sito o un'app supporta MeldID, l'utente può avviare un accesso con un solo gesto. Con la protezione attiva, non basta l'autenticazione riuscita: l'accesso si considera completato solo dopo la conferma su un dispositivo mobile affidabile.

La richiesta può essere approvata se l'accesso è stato effettivamente avviato dall'utente, o rifiutata se l'operazione sembra inattesa.

A differenza della conferma push standard, Login Approval è integrato direttamente nell'architettura di MeldID e può essere usato da tutti i servizi collegati a questo sistema di identificazione.

Il push qui serve esclusivamente come notifica dell'operazione. Non contiene password, codici TOTP, token o altri dati idonei all'autenticazione.

TOTP e Login Approval si integrano tra loro

Il TOTP rimane uno standard universale e funziona anche nei servizi che non conoscono MeldID. Dopo aver caricato la registrazione, i codici vengono generati localmente.

Login Approval si rivolge a quei casi in cui l'accesso avviene tramite MeldID stesso. Aggiunge un'azione consapevole dell'utente e permette di fermare l'operazione prima della creazione della sessione.

Perciò, l'app può essere un semplice autenticatore per un sito di terze parti e allo stesso tempo uno strumento di conferma dell'accesso a un sistema collegato.

Cosa è cambiato in MeldID stesso

Quando ho iniziato a conoscere il progetto, l'idea principale era di gestire un account unificato e un profilo portatile. Ora si vede chiaramente che MeldID sta diventando progressivamente un centro personale di gestione dell'accesso digitale.

Qui si può:

• ottenere codici TOTP senza Internet;

• aggiungere nuove registrazioni offline;

• ripristinarle automaticamente su un dispositivo nuovo;

• utilizzare più telefoni;

• separare più account sullo stesso dispositivo;

• confermare o rifiutare i nuovi accessi.

Il valore dell'app non si trova nel mostrare un altro codice di sei cifre. Il suo compito più grande è preservare l'accesso durante il cambio di dispositivo, evitare di perdere dati senza rete e dare all'utente l'ultima decisione consapevole prima di creare una nuova sessione.

La sicurezza non si basa su un singolo meccanismo, ma su un insieme di soluzioni: i segreti TOTP non vengono memorizzati in chiaro, l'accesso non è permanentemente legato a un singolo telefono, gli account rimangono isolati tra loro, e l'accesso ai servizi supportati si conclude solo dopo la conferma da un dispositivo affidabile.