Cos'è un SD-JWT (Selective Disclosure JWT)?

Cos'è un SD-JWT (Selective Disclosure JWT)?#

Un Selective Disclosure JWT (SD-JWT) è una forma specializzata di JSON Web Token progettata per migliorare la privacy dell'utente consentendo la condivisione selettiva di informazioni specifiche senza rivelare l'intero set di dati. L'SD-JWT sfrutta tecniche crittografiche per fornire solide garanzie che i dati divulgati siano autentici e non manomessi, senza esporre inutilmente dettagli sensibili.

Gli aspetti chiave dell'SD-JWT includono:

• Divulgazione selettiva: Permette agli utenti di rivelare solo gli attributi necessari, proteggendo la privacy.
• Garanzia crittografica: Utilizza firme digitali per garantire l'autenticità e l'integrità dei dati.
• Basato su standard: Costruito sul diffuso standard JWT (RFC 7519), garantendo la compatibilità.
• Privacy-by-design: Si allinea alle moderne normative sulla privacy dei dati, come il GDPR.

Gli SD-JWT sono particolarmente utili in scenari come la verifica dell'identità, le credenziali digitali e la gestione degli accessi, consentendo una condivisione sicura e controllata degli attributi dell'utente.

---

Come funziona un Selective Disclosure JWT (SD-JWT)#

L'SD-JWT estende i JWT tradizionali per consentire la divulgazione selettiva dei claim (attributi dell'utente) utilizzando tecniche crittografiche come l'hashing e le firme digitali. Ecco una panoramica semplificata:

Struttura e componenti:#

• Claim: Informazioni su un utente o un'entità codificate all'interno del token (ad es. nome, data di nascita, stato di cittadinanza).
• Divulgazione: Gli utenti o i titolari decidono quali claim rivelare a terze parti, proteggendo i dati sensibili.
• Commitment tramite hash: Ogni claim viene sottoposto a hashing individualmente, consentendo una rivelazione selettiva senza esporre l'intero set di dati.

Fondamenti crittografici:#

• Firme digitali: Gli emittenti firmano digitalmente il token, consentendo la verifica dell'autenticità e prevenendo le manomissioni.
• Hashing: I claim vengono sottoposti a hashing crittografico per garantire che i claim nascosti rimangano sicuri, anche quando altri vengono divulgati.

Casi d'uso ed esempi#

L'SD-JWT è particolarmente utile in vari scenari pratici:

• Verifica dell'identità digitale: Immaginiamo di dover dimostrare la nostra età senza condividere la data di nascita esatta. Un SD-JWT può verificare che abbiamo superato una certa soglia di età senza esporre la nostra data di nascita effettiva.

• Servizi finanziari: Condividere la propria fascia di reddito verificata per l'approvazione di un prestito senza rivelare la cronologia dettagliata dello stipendio o i dettagli sull'impiego.

• Sanità: Fornire una prova di vaccinazione senza esporre la cronologia medica non pertinente.

Vantaggi tecnici e normativi#

L'uso di SD-JWT comporta vantaggi sia tecnici che normativi:

• Maggiore privacy: Riduce al minimo la divulgazione non necessaria di dati, diminuendo i rischi di furto d'identità.
• Conformità al GDPR e a normative simili: Si allinea bene con i principi di minimizzazione dei dati e consenso dell'utente.
• Interoperabilità: Si basa su standard JWT consolidati (RFC 7519), facilitando l'integrazione negli attuali framework di autenticazione e autorizzazione.

Implementare un SD-JWT: considerazioni chiave#

Quando si implementa un SD-JWT nel proprio sistema, bisogna considerare:

• Infrastruttura dell'emittente: Garantire un sistema robusto e sicuro per l'emissione e la gestione delle chiavi crittografiche e delle firme digitali.

• Processi di verifica: Sviluppare processi di verifica fluidi, che supportino la verifica su più applicazioni e piattaforme.

• Esperienza utente: Dare priorità a un'interfaccia utente intuitiva per comunicare chiaramente le opzioni di divulgazione selettiva disponibili, assicurandosi che gli utenti comprendano e gestiscano efficacemente la condivisione dei propri dati.

Il futuro dell'SD-JWT#

Il Selective Disclosure JWT è sempre più adottato grazie alla sua efficacia nel bilanciare la sicurezza dei dati, la privacy dell'utente e la conformità normativa. La sua ampia applicabilità nella gestione sicura delle credenziali e negli ecosistemi di identità digitale posiziona l'SD-JWT come una tecnologia fondamentale per soluzioni incentrate sulla privacy.

Domande frequenti sull'SD-JWT#

A cosa serve l'SD-JWT?#

L'SD-JWT viene utilizzato per divulgare selettivamente attributi o claim specifici da un token digitale, preservando la privacy e limitando l'esposizione dei dati.

In che modo l'SD-JWT migliora la privacy?#

L'SD-JWT migliora la privacy consentendo agli utenti di divulgare solo i dati essenziali richiesti per la verifica, mantenendo riservate le informazioni sensibili o non necessarie.

L'SD-JWT è compatibile con lo standard JWT?#

Sì, l'SD-JWT si basa sullo standard JWT (RFC 7519), migliorandolo con funzionalità di divulgazione selettiva e garantendo una facile integrazione con i sistemi JWT esistenti.

Quali settori traggono i maggiori benefici dall'SD-JWT?#

Settori come la finanza, la sanità, la verifica dell'identità digitale e i settori regolamentati traggono notevoli vantaggi riducendo l'esposizione dei dati pur mantenendo la conformità.

In che modo l'SD-JWT garantisce l'integrità dei dati?#

L'SD-JWT utilizza l'hashing crittografico e le firme digitali per garantire l'autenticità, l'integrità e la protezione contro la manomissione dei dati divulgati selettivamente.

Chi siamo

Corbado è la Passkey Intelligence Platform per i team CIAM che gestiscono l'autenticazione consumer su larga scala. Ti aiutiamo a vedere ciò che i log IDP e gli strumenti di analytics generici non mostrano: quali dispositivi, versioni di OS, browser e gestori di credenziali supportano i passkey, perché gli enrollment non si trasformano in login, dove il flusso WebAuthn fallisce e quando un aggiornamento di OS o browser interrompe silenziosamente il login — tutto senza sostituire Okta, Auth0, Ping, Cognito o il tuo IDP interno. Due prodotti: Corbado Observe aggiunge osservabilità per i passkey e qualsiasi altro metodo di login. Corbado Connect introduce passkey gestiti con analytics integrato (insieme al tuo IDP). VicRoads gestisce i passkey per oltre 5M di utenti con Corbado (+80 % di attivazione passkey). Parla con un esperto di Passkey →