Documenti d’identità in Apple Wallet

Aggiungere la patente o un documento d’identità ad Apple Wallet

Su iPhone, gli utenti possono toccare il pulsante Aggiungi (+) nella parte superiore della schermata di Apple Wallet per iniziare ad aggiungere la patente o un documento d’identità. Se al momento della configurazione, gli utenti hanno un Apple Watch abbinato, viene richiesto loro di aggiungere la patente o il documento d’identità anche ad Apple Wallet su Apple Watch.

Prima di tutto agli utenti viene richiesto di utilizzare iPhone per scansionare la parte anteriore e posteriore della patente o del documento d’identità fisici. Quindi iPhone valuta la qualità e il tipo di immagini acquisito per garantire che possano essere accettate dalle autorità dello stato che emette i documenti. Queste immagini vengono crittografate sul dispositivo utilizzando la chiave messa a disposizione dalle autorità dello stato che emette i documenti e inviate poi alle autorità stesse.

Per garantire che la persona che sta aggiungendo il documento d’identità ad Apple Wallet coincida con la persona proprietaria del documento d’identità, all’utente viene richiesto di scattare una Live Photo o un selfie. In alcuni casi, all’utente potrebbe essere richiesto anche di effettuare una serie di movimenti del volto o della testa. Questi vengono valutati dal dispositivo dell’utente e da Apple per ridurre il rischio che venga utilizzata una fotografia, un video o una maschera per aggiungere ad Apple Wallet un documento d’identità di terzi e non il proprio. I risultati dell’analisi di questi movimenti vengono inviati all’autorità dello stato che emette i documenti, ma il video dei movimenti non viene inviato direttamente.

Prima di inviare il selfie dell’utente all’autorità dello stato che emette i documenti, i server Apple e il dispositivo dell’utente lo confrontano con l’aspetto della persona che ha eseguito la serie di movimenti del volto o della testa. Una volta eseguito il confronto, il dispositivo crittografa il selfie e lo invia all’autorità dello stato che emette i documenti, la quale lo confronta con l’immagine del documento d’identità nei propri registri.

Infine, agli utenti viene richiesto di autenticarsi tramite Face ID o Touch ID. Il dispositivo dell’utente collega i dati biometrici corrispondenti in modo univoco a Face ID o Touch ID al documento d’identità, per garantire che soltanto la persona che ha effettivamente aggiunto il documento d’identità ad iPhone sia autorizzata a presentarlo. Dati biometrici registrati in altri modi non possono essere utilizzati per autorizzare la presentazione del documento d’identità. Questa procedura avviene esclusivamente in locale sul dispositivo e non viene condivisa con l’autorità che emette il documento.

Tuttavia, quest’ultima riceverà le informazioni necessarie per configurare il documento d’identità digitale. Queste includono le immagini della parte anteriore e posteriore del documento d’identità dell’utente, i dati acquisiti dal codice a barre PDF417 e il selfie scattato come parte della procedura di verifica. L’autorità emittente riceve anche un codice di una cifra, che serve a prevenire le frodi, basato sulle abitudini di utilizzo del dispositivo dell’utente, sui dati relativi alle impostazioni e sulle informazioni relative all’Apple Account personale. Al termine della procedura, sarà l’autorità emittente a decidere se approvare o respingere la richiesta di aggiunta del documento di identità ad Apple Wallet.

Dopo che l’autorità emittente avrà autorizzato l’aggiunta del documento d’identità o della patente ad Apple Wallet, viene generata una coppia di chiavi in Secure Element su iPhone che vincola il documento a quel dispositivo specifico. Nel caso in cui il documento venga aggiunto ad Apple Watch, la coppia di chiavi viene generata in Secure Element su Apple Watch.

Una volta che il documento d’identità è stato aggiunto su iPhone, le informazioni in esso contenute vengono salvate in Apple Wallet in formato crittografato e protette tramite Secure Enclave.

Aggiungere una My Number Card ad Apple Wallet

Su iPhone, gli utenti possono aggiungere la propria My Number Card ad Apple Wallet tramite l’app Mynaportal. La tessera My Number Card in Apple Wallet supporta sia il documento di identità mobile sia la funzionalità di infrastruttura a chiave pubblica giapponese all’interno di un singolo documento d’identità. La procedura di configurazione include misure di sicurezza richieste da Apple e dall’ente emittente per garantire che solo la persona titolare legittima possa aggiungere e presentare il proprio documento d’identità.

Nell’app Mynaportal, gli utenti devono inserire il PIN di 4 cifre e la password alfanumerica associata alla propria My Number Card. Tali credenziali sono richieste per effettuare l’autenticazione della tessera, consentendo all’app di leggere i dati dal circuito integrato contactless, che l’ente emittente verifica per assicurarsi che la persona che la aggiunge vi acceda in modo legittimo. Contestualmente, agli utenti viene chiesto di inserire un PIN e una password per l’uso con la funzionalità supportata dall’applet dell’infrastruttura a chiave pubblica giapponese della My Number Card in Apple Wallet. Questi valori non lasciano mai il dispositivo dell’utente e sono indipendenti dal PIN e dalla password della tessera fisica.

Per aiutare a garantire che chi aggiunge la My Number Card ad Apple Wallet sia la persona proprietaria legittima, agli utenti viene chiesto di scattare un selfie e di eseguire un controllo che verifica la presenza fisica e reale della persona. I dati del selfie e del controllo di presenza fisica e reale vengono valutati dall’ente emittente insieme alle informazioni della tessera fisica, per aiutare a ridurre il rischio che qualcuno aggiunga in modo fraudolento il documento di un’altra persona ad Apple Wallet.

Gli utenti eseguono un’autenticazione tramite Face ID o Touch ID per collegare una singola credenziale biometrica alla My Number Card in Apple Wallet. Ciò aiuta a garantire che solo la stessa persona che ha aggiunto una tessera ad iPhone possa presentarla; altre informazioni biometriche registrate non possono essere usate per autorizzare la presentazione del documento d’identità o per eseguire operazioni di autenticazione tramite l’infrastruttura a chiave pubblica giapponese.

È l’autorità emittente a convalidare tutte le prove fornite e a decidere se autorizzare o meno l’aggiunta della My Number Card ad Apple Wallet. Se l’autorizzazione viene concessa, l’autorità crea e firma digitalmente il documento di identità mobile per proteggerlo dalla manomissione o falsificazione. Una coppia di chiavi generata da iPhone in Secure Element ancora la My Number Card dell’utente in Apple Wallet a quel dispositivo specifico, garantendo che non possa essere copiata e usata da altri.

L’applet dell’infrastruttura a chiave pubblica giapponese, che protegge la firma digitale e i certificati di identificazione dell’utente, le chiavi private associate, il PIN e la password, viene aggiunta all’interno di Secure Element. Ciò garantisce che le operazioni crittografiche per la firma digitale, oltre che le operazioni di confronto del PIN o della password, siano eseguite all’interno dei confini dell’ambiente protetto dall’hardware e che le chiavi private non siano mai disponibili fuori da Secure Element.

Una volta che My Card Number è stata aggiunta ad iPhone, sia le informazioni relative all’identità presenti sul documento dell’utente in Apple Wallet sia i dati dell’applet dell’infrastruttura a chiave pubblica giapponese vengono archiviati in formato crittografato e vengono protetti rispettivamente da Secure Enclave o Secure Element. L’ente emittente si assicura che gli utenti possano aggiungere una sola tessera My Card Number a un dispositivo e che ciascuna identità unica possa essere aggiunta a un solo dispositivo, fornendo un’ulteriore protezione contro le frodi.

Aggiungere Digital ID ad Apple Wallet

Su iPhone, gli utenti possono toccare il pulsante Aggiungi (+) nella parte superiore della schermata di Apple Wallet per iniziare a creare il proprio Digital ID. Se al momento della configurazione, gli utenti hanno un Apple Watch abbinato, viene richiesto loro di aggiungere Digital ID anche ad Apple Wallet su Apple Watch.

Agli utenti viene prima richiesto di usare iPhone per scansionare la porzione leggibile dal dispositivo della pagina della foto del passaporto fisico. Se i dati indicano che il passaporto proviene da una zona supportata, non è scaduto ed è idoneo, iPhone indica all’utente di leggere il chip del passaporto tramite NFC. I campi rilevanti leggibili dal dispositivo vengono usati per stabilire una sessione con il chip, in conformità con i protocolli specificati dal documento 9303 dell’ICAO. I dati letti dal chip includono elementi come il nome e la foto della persona titolare del documento, insieme al Document Security Object. Per verificare l’autenticità dei dati, i server Apple convalidano il Document Security Object, inclusi gli hash dei gruppi di dati, la firma dell’ente governativo emittente e il certificato della firma del documento tramite l’autenticazione passiva. Il certificato della firma del documento viene convalidato tramite il certificato dell’autorità di certificazione della firma del paese corrispondente, per garantirne l’autenticità e confermare che non è stato revocato.

Per garantire che la persona che sta creando Digital ID in Apple Wallet coincida con la persona proprietaria del passaporto, all’utente viene richiesto di scattare un selfie e completare una verifica di presenza fisica e reale. Il dispositivo guida l’utente lungo passaggi richiesti, che potrebbero includere una serie di movimenti del volto e della testa. L’immagine del selfie e il video per la verifica di presenza fisica e reale risultanti vengono crittografati sul dispositivo e vengono caricati sui server Apple per essere valutati. L’immagine del selfie viene confrontata con l’aspetto della persona che ha eseguito la verifica di presenza fisica e reale e con il ritratto convalidato ricevuto dal chip del passaporto.

Gli utenti devono inoltre eseguire un’autenticazione tramite Face ID o Touch ID per collegare le credenziali biometriche al documento d’identità. Questo meccanismo è supportato da tutti i documenti d’identità in Apple Wallet e aiuta a garantire che solo la persona che ha aggiunto il documento possa presentarlo.

Per decidere se approvare o meno l’aggiunta di Digital ID ad Apple Wallet, Apple valuta le prove inviate, tra cui i dati letti dal chip del passaporto, il selfie e il video di verifica di presenza fisica e reale raccolti durante la procedura di verifica del documento e un punteggio di valutazione dell’attendibilità. Il punteggio di valutazione dell’attendibilità, utile a prevenire le frodi, si basa sulle abitudini di utilizzo del dispositivo dell’utente, sui dati relativi alle impostazioni e sulle informazioni relative all’Apple Account personale.

Se l’approvazione va a buon fine, Apple crea e firma un Digital ID derivato dai dati verificati del passaporto. In Secure Element su iPhone viene generata una coppia di chiavi che ancora il documento dell’utente a quel dispositivo specifico. Se l’utente aggiunge il documento ad Apple Watch, viene generata una coppia di chiavi in Secure Element su Apple Watch. Sebbene la data di scadenza e altri dati relativi all’identità siano comuni, Digital ID in Apple Wallet è indipendente dal passaporto usato per crearlo. Ciò significa che l’utente deve eliminare Digital ID dal proprio dispositivo ed eseguire i passaggi per aggiungerne uno nuovo in qualsiasi situazione in cui il passaporto fisico venga revocato o riemesso.

Una volta che Digital ID è stato creato, viene crittografato e inviato al dispositivo. Quando il dispositivo lo riceve, le informazioni contenute sul Digital ID dell’utente in Apple Wallet vengono nuovamente crittografate con una chiave specifica per il dispositivo e vengono archiviate e protette da Secure Enclave.

Utilizzare Digital ID in Apple Wallet con un lettore di documenti

Per utilizzare un documento in Apple Wallet, gli utenti devono autenticarsi tramite Face ID o Touch ID sul dispositivo associato al documento d’identità in Apple Wallet, prima che iPhone possa presentare le informazioni all’apposito lettore.

Per utilizzare un documento in Apple Wallet su Apple Watch, gli utenti devono sbloccare il proprio iPhone utilizzando l’aspetto di Face ID o l’impronta digitale di Touch ID associati ogni volta che indossano Apple Watch. Quindi potranno utilizzare il proprio documento d’identità su Apple Wallet senza doversi autenticare nuovamente fino a quando non si tolgono Apple Watch. Questa funzionalità si basa sullo sblocco automatico di base descritto in Sbloccare automaticamente i dispositivi Apple.

Quando gli utenti avvicinano iPhone o Apple Watch a un lettore di documenti, vedranno un messaggio sul dispositivo che mostra le informazioni specifiche che vengono richieste, da chi e se verranno memorizzate. Dopo aver autorizzato l’operazione con Face ID o Touch ID associati su iPhone o premendo due volte il tasto laterale su Apple Watch, le informazioni relative all’identità richieste vengono rilasciate dal dispositivo.

Nel caso in cui venga utilizzata una funzionalità di accessibilità come “Controllo vocale”, “Controllo interruttori” o AssistiveTouch al posto di Face ID o Touch ID, gli utenti possono utilizzare il codice di accesso per presentare le informazioni richieste.

La trasmissione dei dati relativi all’identità al lettore dei documenti è conforme allo standard ISO/IEC 18013-5, che prevede la presenza di vari meccanismi di sicurezza in grado di individuare, bloccare e attenuare i rischi per la sicurezza. Questi includono l’integrità dei dati relativi all’identità e misure anti-falsificazione, l’associazione a un unico dispositivo, il consenso informato e tutela della riservatezza dei dati dell’utente tramite link radio.

La cronologia delle presentazioni del documento viene archiviata sul dispositivo e gli utenti possono visualizzarla ed eliminarla su Apple Wallet o, per i documenti su Apple Watch, nell’app Watch sull’iPhone abbinato. Ciascuna presentazione registrata include i campi richiesti, la geolocalizzazione della presentazione e se l’azienda intende archiviare o meno i dati. Per i lettori autenticati, vengono inclusi anche il nome e l’icona dell’azienda.

Utilizzare Digital ID in Apple Wallet con le app di iOS

Gli utenti possono condividere le informazioni del proprio documento d’identità in Apple Wallet anche con le app di iOS. Quando un utente condivide il proprio documento d’identità con un’app, Apple Wallet recupera e convalida un certificato di crittografia registrato con lo sviluppatore dell’app. Tale certificato viene usato per crittografare le informazioni di cui l’utente ha autorizzato la condivisione.

Un pannello di presentazione mostra quali informazioni specifiche vengono richieste, da quale app, se l’app intende archiviarle e per quanto tempo, e il motivo della richiesta. Una volta eseguita l’autorizzazione tramite Face ID o Touch ID associati, le informazioni richieste vengono crittografate da Apple Wallet tramite il protocollo HPKE e non vengono mai rese disponibili ad Apple. Apple Wallet invia periodicamente una richiesta ai server Apple per verificare che la chiave di autenticazione del documento d’identità non sia stata revocata e che il documento sia ancora valido. Se recentemente non è stata effettuata alcuna verifica, è possibile che ne venga eseguita una quando l’utente condivide il documento d’identità con un’app.

La cronologia delle presentazioni del documento viene archiviata sul dispositivo e gli utenti possono visualizzarla ed eliminarla su Apple Wallet. Ciascuna presentazione registrata include l’app, il motivo, i campi richiesti e se l’app intende archiviare i dati e per quanto tempo.

Utilizzare un documento d’identità sui siti web

Gli utenti possono condividere le informazioni del proprio documento d’identità in Apple Wallet con i siti web. I siti web aderenti usano l’API Digital Credentials del W3C per richiedere informazioni sull’identità da fornitori di documenti mobili. Per supportare l’accettazione dei documenti d’identità in Apple Wallet, oltre al tipo di documento e agli elementi dei dati, la richiesta deve contenere un valore anti-replay, informazioni crittografiche per la crittografia della risposta e una firma che il dispositivo deve usare per autenticare la richiesta. Il server del sito web genera una coppia di chiavi crittografiche per la richiesta ed è responsabile della conservazione sicura della chiave privata per la decrittografia della risposta. Apple Wallet usa il meccanismo di autenticazione del lettore per autenticare la richiesta (come definito in ISO/IEC 18013-5 e in ISO/IEC 18013-7 Annex C), sfruttando un certificato di firma che l’azienda proprietaria del sito web ottiene da Apple. Inoltre, esegue una convalida del dominio sul sito web richiedente per assicurarsi che la richiesta provenga da una fonte valida.

Un pannello di presentazione mostra quali informazioni specifiche vengono richieste, da quale sito web, se il sito web intende archiviarle e il motivo della richiesta. Una volta che l’utente avrà autorizzato la presentazione delle informazioni di identità richieste, queste vengono crittografate da Apple Wallet direttamente sul server del sito web usando il protocollo HPKE e non vengono mai rese disponibili ad Apple o al browser. Apple Wallet invia periodicamente una richiesta ai server Apple per verificare che la chiave di autenticazione del documento d’identità non sia stata revocata e che il documento sia ancora valido. Se recentemente non è stata effettuata alcuna verifica, è possibile che ne venga eseguita una quando l’utente condivide il documento d’identità con un sito web.

Una volta ricevuta la risposta crittografata, il server del sito web deve verificare l’autenticità dei dati di identità. Ciò include l’esecuzione dell’autenticazione dell’ente emittente convalidando il certificato di firma del documento, verificando la firma crittografica dell’ente emittente e verificando gli hash dei dati richiesti. Inoltre è necessario eseguire l’autenticazione del documento mobile, per garantire che esso provenga dal dispositivo specifico per cui è stato emesso, impedendone la duplicazione non autorizzata.

Per consentire agli utenti di presentare il proprio documento d’identità in Apple Wallet su iPhone ad altri dispositivi sui quali potrebbero voler verificare la propria identità sul web, sono supportati sia la trasmissione tra dispositivi Apple e la presentazione su piattaforme diverse.

Le trasmissione tra dispositivi Apple consente di presentare la propria identità su un sito web su iPad o sul Mac usando un documento d’identità in Apple Wallet su iPhone. In questo caso il sistema:

• Verifica che iPhone sia associato allo stesso Apple Account personale.

• Verifica che la funzionalità sia supportata.

• Verifica che il dispositivo sia compatibile con la richiesta.

Quindi viene stabilita una connessione sicura tra i dispositivi e su iPhone compare una notifica che consente all’utente di visualizzare e autorizzare la richiesta da iPhone. Il supporto per l’uso su piattaforme diverse consente all’utente di presentare il proprio documento d’identità in Apple Wallet anche su altri dispositivi e browser che soddisfano gli standard. Viene sfruttato il protocollo FIDO CTAP, che protegge l’integrità e la riservatezza del canale di comunicazione per il trasferimento dei dati di richiesta e risposta tra i dispositivi.

Sia per il trasferimento tra dispositivi Apple sia per il supporto per l’uso su piattaforme diverse vengono implementate le stesse funzionalità di sicurezza descritte sopra, per la convalida delle richieste, la crittografia dei dati di risposta, l’autenticazione dei dati di identità e l’autenticazione dei dispositivi.

La cronologia delle presentazioni del documento viene archiviata sul dispositivo e gli utenti possono visualizzarla ed eliminarla su Apple Wallet. Ciascuna presentazione registrata include il sito web, il motivo, i campi richiesti e se il sito web intende archiviare i dati.