Attesta è la piattaforma di attestazioni digitali sviluppata da Ledger Things a Fasano (BR), Puglia. Permette di emettere, presentare e verificare claim crittografici — chi sei, cosa possiedi, quando — senza intermediari e senza esporre dati sensibili. È in produzione dal 2023 con zero breach documentati ed è conforme a GDPR ed eIDAS 2.0 by design.
Perché i sistemi di autenticazione tradizionali non bastano più nel 2026
Nel 2026, l'AI generativa ha abbassato drasticamente la barriera tecnica per gli attaccanti: phishing avanzato, voice deepfake e identità sintetiche superano facilmente i controlli tradizionali. Il problema strutturale è la delegabilità: password, OTP via SMS e token JWT trasmettono una conoscenza che può essere copiata e ceduta a chiunque.
Questo è accettabile per applicazioni a basso rischio. È inaccettabile per attestare identità, titoli di studio, abilitazioni professionali, firme di contratti o accesso a dati sanitari e finanziari.
Il contesto normativo 2026 rende la questione urgente:
- eIDAS 2.0 (Reg. UE 2024/1183) impone binding crittografico al dispositivo per le attestazioni qualificate (QEAAs) e guida il rollout dell'EUDI Wallet in tutta l'UE.
- GDPR richiede minimizzazione dei dati, privacy by design e protezione end-to-end.
- NIS2 (D.Lgs. 138/2024) impone misure di sicurezza robuste per operatori di servizi essenziali in Italia.
- AI Act 2026 introduce obblighi di audit trail e tracciabilità per sistemi ad alto rischio.
Cos'è il Proof of Possession (PoP) e come funziona in Attesta
Il Proof of Possession è un meccanismo crittografico che dimostra che chi presenta un'attestazione possiede fisicamente la chiave privata corrispondente sul proprio dispositivo — senza mai trasmetterla.
Il flusso tecnico in 4 passi
- Generazione chiavi: al momento della registrazione, sul dispositivo viene generata una coppia di chiavi. La chiave privata rimane ancorata all'hardware sicuro (Secure Enclave su iOS, TEE su Android, TPM su desktop) e non lo abbandona mai.
- Registrazione: la chiave pubblica viene registrata su Attesta, associata all'identità dell'utente e al claim da attestare.
- Presentazione: quando l'utente presenta un'attestazione, il sistema genera un nonce unico. L'utente firma il nonce con la chiave privata direttamente sul dispositivo.
- Verifica: il server verifica la firma con la chiave pubblica. Se valida, il possesso è dimostrato matematicamente.
Perché è impossibile da delegare
La chiave privata non può uscire dall'hardware sicuro. Anche intercettando tutte le comunicazioni di rete, un attaccante vede solo la firma del nonce — valida una sola volta, per una sola sessione, impossibile da riutilizzare.
Confronto meccanismi di autenticazione:
- Password / OTP SMS: delegabile — non soddisfa eIDAS assurance level High.
- TOTP (Authenticator): delegabile — non soddisfa eIDAS assurance level High.
- FIDO2 / Passkey: non delegabile — soddisfa eIDAS assurance level High.
- PoP Attesta: non delegabile — soddisfa eIDAS assurance level High.
I 4 componenti chiave di Attesta
Proof of Possession
Il motore crittografico centrale. Ogni verifica è atomica, auditata e non riproducibile al di fuori del contesto originale.
2FA crittografico hardware-bound
Due fattori combinati: credenziali di accesso (conoscenza) + firma con chiave privata sul dispositivo (possesso fisico). Nessuno dei due è sufficiente da solo. Il secondo non si replica né si trasferisce.
Audit trail immutabile
Ogni verifica registrata con timestamp al millisecondo e hash crittografico dell'operazione. Nessun dato personale in chiaro — solo hash. Catena di prove forensi utilizzabile in controversie legali e audit di conformità.
API-first (REST + GraphQL)
Endpoint documentati OpenAPI 3.0. SDK ufficiali per JavaScript/TypeScript, Python e Go. Integrazione in qualsiasi stack esistente senza vendor lock-in.
Compliance GDPR, eIDAS 2.0, NIS2 nel 2026: by design
Attesta non applica la compliance come layer a posteriori. È progettato attorno ad essa:
- GDPR: minimizzazione dei dati, privacy by design, zero dati sensibili on-chain, separazione tra dati cancellabili e hash immutabili dell'audit trail.
- eIDAS 2.0: device binding crittografico (PoP), selective disclosure, offline verifiability, allineamento con OpenID4VP, SD-JWT VC e RFC 7800 (IETF). Pronto per l'EUDI Wallet 2026.
- NIS2 / AI Act 2026: audit trail immutabile e tracciabilità crittografica soddisfano i requisiti di sicurezza degli accessi e di registrazione per sistemi ad alto rischio.
Casi d'uso in Italia nel 2026
Pubblica amministrazione — Verifica crittografica dell'identità del cittadino negli sportelli digitali (SPID, CIE, IO app), nel rispetto delle linee guida AgID e ACN. Non-delegabilità garantita per atti ad alto rischio.
Banche e fintech — Onboarding KYC/AML a prova di identità sintetica. Audit trail per il reporting verso EBA e Banca d'Italia. Allineato alle EBA Guidelines 2025.
Healthcare — Accesso al Fascicolo Sanitario Elettronico 2.0 e ai servizi di telemedicina solo con possesso fisico del dispositivo del paziente. Eliminazione del rischio di credential theft su dati clinici.
Legal e HR — Firma di contratti e atti notarili con non-ripudio eIDAS. Verifica crittografica di titoli di studio e certificazioni professionali senza contattare l'ente emittente.
Tre anni di track record: zero breach dal 2023 al 2026
Nessuna violazione documentata in tre anni di produzione. Non è fortuna: è architettura. Credential stuffing, phishing AI-powered, man-in-the-middle e replay attack sono neutralizzati strutturalmente — non da policy. La chiave privata non lascia mai il dispositivo, ogni nonce è monouso e anche un amministratore di sistema non può generare attestazioni valide senza il dispositivo dell'utente.
Come integrare Attesta: tempi reali
- Prototipo funzionante: 1-3 giorni lavorativi con un developer REST/GraphQL.
- Integrazione production-ready: 1-3 settimane in base alla complessità del sistema esistente.
- Supporto: call tecniche, code review e onboarding diretto dal team Ledger Things.
Domande frequenti su Attesta 2026
Cos'è il Proof of Possession (PoP)?
È un meccanismo crittografico che dimostra che chi presenta un'attestazione possiede fisicamente la chiave privata corrispondente sul proprio dispositivo. La chiave non viene mai trasmessa: la verifica avviene tramite firma crittografica di un nonce unico generato dal server.
Che differenza c'è tra autenticazione e attestazione digitale?
L'autenticazione verifica l'identità al momento dell'accesso ("sei chi dici di essere?"). L'attestazione certifica un attributo specifico — laurea, licenza professionale, residenza, conformità — che puoi presentare a terzi in modo crittograficamente verificabile, senza coinvolgere l'ente emittente.
Attesta è conforme al GDPR?
Sì. Nessun dato personale in chiaro su sistemi immutabili. L'audit trail registra solo hash crittografici. La minimizzazione dei dati è un principio architetturale. Il diritto all'oblio è garantito separando dati di identità cancellabili dagli hash dell'audit trail.
Attesta è conforme a eIDAS 2.0?
Sì. Soddisfa i requisiti di device binding crittografico per le attestazioni di attributi qualificati (QEAAs). L'architettura è allineata con OpenID4VP, SD-JWT VC e RFC 7800 (IETF). È compatibile con i requisiti dell'EUDI Wallet operativo nel 2026.
Attesta è compatibile con l'EUDI Wallet 2026?
Sì. L'EUDI Wallet richiede device binding, selective disclosure e offline verifiability. Attesta soddisfa tutti e tre per design.
Attesta è conforme alla Direttiva NIS2?
Sì. La verifica crittografica degli accessi e l'audit trail immutabile soddisfano i requisiti di sicurezza e tracciabilità del D.Lgs. 138/2024.
Attesta sostituisce SPID o CIE?
No. Li complementa: aggiunge un layer di attestazione crittografica su attributi specifici (titoli, abilitazioni, certificazioni, conformità) che SPID e CIE non coprono direttamente.
Attesta è adatto alle PMI italiane?
Sì. L'architettura API-first e gli SDK per JavaScript, Python e Go rendono l'integrazione accessibile a qualsiasi team di sviluppo. Un prototipo richiede 1-3 giorni lavorativi.
Da quando è in produzione e ci sono stati breach?
In produzione dal 2023. Zero breach documentati in tre anni. Risultato di architettura, non di politiche.
Porta le attestazioni digitali nella tua azienda
Ledger Things (Fasano, Puglia) è disponibile per una call gratuita di 30 minuti, senza impegno. Descrivi il tuo contesto: rispondiamo con fattibilità e prossimo passo concreto.
Prenota una call con Ledger Things → https://www.ledgerthings.com/contatti
