Come funziona la fiducia distribuita nei settori regolamentati

Nel 1961, diplomatici di decine di paesi si riunirono all’Aia per risolvere un problema stranamente persistente: come un documento emesso dalle autorità di un paese può essere accettato come autentico dalle autorità di un altro? La risposta che produssero, la Convenzione dell’Aia, è elegante nella sua semplicità. Un certificato standardizzato, allegato al documento, conferma che la firma e il sigillo sono genuini. Il paese ricevente verifica il certificato in modo indipendente. Nessuna telefonata all’autorità emittente. Nessun database condiviso. Nessuna “Autorità mondiale dei documenti” centrale in cui tutti devono riporre fiducia.

Sessantacinque anni dopo, il mondo digitale non riesce a fare ciò che un timbro di gomma realizza per la carta.

Quando un ospedale a Zurigo deve verificare che un invio da una clinica a Berna sia stato inviato da qualcuno che effettivamente possiede una licenza medica attuale, non esiste un Apostille digitale. I sistemi ricadono nella sicurezza del perimetro, “questo messaggio è arrivato attraverso un canale autenticato, quindi è probabilmente legittimo”, oppure su processi di verifica manuale che sono lenti, costosi e non scalabili.

Questo è il divario di fiducia che ogni settore regolamentato affronta: non gestire l’accesso all’interno di un’organizzazione, ma verificare l’identità e l’autorità attraverso i confini organizzativi.

Lo stesso divario, nomi diversi

Il vocabolario cambia. La struttura no.

In sanità, la domanda è: “La persona che invia questo invio è effettivamente un medico abilitato presso l’istituzione che dice di rappresentare?” In finanza, diventa: “La persona che autorizza questa transazione è effettivamente autorizzata ad agire per conto di questa entità legale?” In farmaceutica: “La spedizione è stata gestita esclusivamente da distributori autorizzati con catena di custodia ininterrotta?” Nei servizi governativi: “La credenziale di questo cittadino conferma effettivamente ciò che sostiene, ed è ancora valida?”

Ciascuna di queste è una questione di fiducia ai confini istituzionali. Ciascuna richiede alla parte ricevente di verificare qualcosa che è stato affermato da un’organizzazione diversa, secondo una struttura di governance diversa, utilizzando sistemi diversi. E in ogni caso, la parte ricevente deve eseguire questa verifica in modo indipendente, senza contattare l’autorità emittente, senza condividere un database, senza confidare in un singolo intermediario centrale.

Come affronta questo la sanità oggi? Come la finanza? Come la farmaceutica?

Per lo più, non lo fanno. Aggirano il divario con accordi bilaterali, processi manuali, o convergendo su fornitori di piattaforme che diventano l’autorità centrale di fatto. I rimedi sono costosi. La dipendenza dalla piattaforma è un rischio strategico. E i processi manuali sono esattamente il tipo di collo di bottiglia che la regolamentazione era supposed eliminare, non creare.

Perché le autorità di certificazione non funzionano ai confini

La risposta standard dall’IT aziendale è: “Abbiamo PKI per questo. Le autorità di certificazione verificano l’identità. Problema risolto.”

Non esattamente.

Le autorità di certificazione funzionano bene per una cosa: confermare che un server è chi sostiene di essere. Il vostro browser si fida che vereign.com sia effettivamente Vereign perché una CA lo ha garantito. Ma ogni CA è una terza parte che tiene la fiducia in ostaggio: un’entità che può essere compromessa, coercitiva dai governi, o semplicemente fallire. Let’s Encrypt da sola detiene circa il 60% di quota di mercato per i certificati TLS. Una singola istituzione statunitense come singolo punto di guasto strutturale per la maggior parte della sicurezza del trasporto internet.

Per la fiducia tra istituzioni attraverso le organizzazioni, i problemi si moltiplicano. Se l’Ospedale A e la Clinica B vogliono verificare le credenziali reciproche, hanno bisogno di una CA condivisa, chi la governa?, di accordi di fiducia CA bilaterali che si scalano a O(n²), o di convergenza su un fornitore di piattaforma. Diecimila istituzioni significa fino a cinquanta milioni di negoziazioni bilaterali. Il che ricrea esattamente il problema di centralizzazione che era supposed evitare.

Il problema strutturale con PKI non è gestire i certificati. È delegare la fiducia a terze parti i cui incentivi, giurisdizione e affidabilità operativa voi non controllate.

La sanità ha provato che la soluzione funziona

Health Info Net AG della Svizzera, HIN, gestisce infrastrutture di messaggistica medica sicura da trent’anni. Oggi, SEAL elabora più di 800.000 consegne crittografate al mese su questa rete, collegando oltre 30.000 uffici GP con ospedali, specialisti, farmacie e laboratori.

SEAL è il punto di partenza di quella che sta diventando un’infrastruttura di fiducia completamente nuova. Verimesh, il tessuto di fiducia nato dal progetto Stargate, posiziona la funzione Certificate Authority al margine, presso ogni istituzione partecipante anziché presso una terza parte centralizzata, e il suo gateway e CA centrale eseguono la gestione decentralizzata delle chiavi in produzione presso HIN. Ogni organizzazione mantiene la propria identità crittografica ancorata a un identificatore auto-certificante. Qualsiasi controparte verifica la fiducia leggendo il registro degli eventi chiave dell’organizzazione direttamente. Nessuna negoziazione bilaterale. Nessuna CA condivisa. Nessun accordo di fiducia intermediario.

La trasformazione HIN in corso è la sostituzione dal vivo di tre decenni di infrastruttura gateway, con un’architettura progettata in modo che aggiungere il partecipante numero diecimila non sia più difficile che aggiungere il partecipante numero dieci.

Questo è l’Apostille digitale. Una credenziale che viaggia con l’attore, porta una prova crittografica di chi l’ha emessa e se è ancora valida, e può essere verificata da qualsiasi parte ricevente in modo indipendente.

L’architettura è generale

La Global Legal Entity Identifier Foundation (GLEIF) ha riconosciuto lo stesso bisogno strutturale quando ha selezionato la stessa categoria di infrastruttura crittografica come fondazione per il programma verifiable Legal Entity Identifier (vLEI), ora codificato secondo ISO 17442-3:2024. Banche che verificano l’identità della controparte. Rappresentanti autorizzati che provano la loro autorità ad agire. Lo stesso modello: credenziali verificabili, gestione decentralizzata delle chiavi, verifica indipendente.

Le catene di approvvigionamento farmaceutico hanno bisogno di provenienza ininterrotta dal produttore al paziente. I procedimenti legali hanno bisogno di catena di custodia per le prove digitali. Le piattaforme di trading energetico hanno bisogno di verifica della controparte attraverso le giurisdizioni. Le iniziative di identità digitale governativa, inclusa la Swiyu svizzera, sono costruite su credenziali verificabili che i cittadini mantengono e presentano, piuttosto che dati di identità bloccati in un registro governativo centrale.

Ciascuna di queste è lo stesso problema con vocabolario normativo diverso. E l’architettura che lo risolve è la stessa: gestione decentralizzata delle chiavi che distribuisce la fiducia ai margini anziché concentrarla negli intermediari. Ciò che cambia tra i settori è lo schema delle credenziali, non l’infrastruttura di fiducia.

Ritorno all’Aia

I diplomatici che hanno progettato la Convenzione dell’Aia nel 1961 hanno capito qualcosa che l’IT aziendale è stato lento a interiorizzare: la fiducia tra confini funziona quando ogni parte può verificare in modo indipendente, senza dipendere da un’autorità centrale che entrambe le parti devono fidarsi.

Lo hanno risolto per la carta. La sanità sta provando che funziona per l’infrastruttura digitale, su scala, in produzione, con 800.000+ consegne verificabili al mese.

Il problema di fiducia non è specifico del dominio. Nemmeno la soluzione. Ogni settore regolamentato che richiede responsabilità ai confini istituzionali, il che è, nella pratica, tutti loro, ha bisogno della stessa fondazione architettonica.

L’unica domanda è chi la costruisce dopo.