Installare sul cellulare una qualsiasi App commerciale o una “App di Stato”, soprattutto se questa dovesse prevedere degli obblighi per i cittadini, non è esattamente la stessa cosa: infatti se a causa del codice scritto male, o peggio per un attacco hacker, l’App non si comportasse come previsto, potrebbe far credere che stiamo infrangendo la legge. E visto che di mezzo ci sarebbe il Codice Civile (o peggio, quello Penale), le conseguenze del caso sarebbero molto gravi.
Ecco perché è necessario mettere in evidenza quali siano le criticità oggi presenti nei vari sistemi digitali, che potrebbero compromettere una “App di Stato”, incidendo potenzialmente, e pesantemente, in futuro, sui nostri diritti.”
App di tracciamento e privacy: è questo il vero problema?
Quando è uscita la notizia che sarebbe stata realizzata una “App di Stato”, fin da subito, al centro dell’attenzione mediatica è emerso il dibattito su un eventuale rischio di perdita della privacy: trattandosi di dati personali strettamente legati alle condizioni di salute, l’incertezza sul modello di sicurezza da adottare, PEPP-PT (centralizzato), oppure quello di DP-3T (de-centralizzato), ha causato infatti, una immediata alzata di scudi da parte degli addetti ai lavori, come hanno ben rappresentato nei loro interventi, gli avvocati Fulvio Sarzana, Enrico Pelino, e molti altri, tutti giustamente preoccupati per la messa in pericolo dei diritti civili dei cittadini.
Ma più che della privacy, quello di cui davvero dovremmo preoccuparci, è il fatto che, vista la drammaticità della situazione, potrebbe accadere che questa “App di Stato” venga resa, come gridato e voluto da più parti, obbligatoria.
Ovviamente con l’obbligatorietà è molto probabile che lo Stato decida di realizzare una legge ad hoc e a questo punto, se gli obblighi legati all’uso dell’App, non venissero rispettati, potrebbero scattare per i cittadini sanzioni e reati punibili, anche con il Codice Penale.
Purtroppo però, quello che molti ignorano è che esistono numerosi bug, falle digitali, che affliggono applicativi software, processi informatici, protocolli di comunicazione e quel che è peggio, a volte non esistono neanche toppe in grado di ripararle, e pure quando si trova una soluzione, per una chiusa, se ne aprono cento nuove.
La gravità di alcune falle è tale, da compromettere l’integrità di qualsiasi App, anche quelle più blasonate come WhatsApp: cosa succederebbe quindi se una volta installata la fantomatica “App di Stato”, questa venisse attaccata e compromessa da qualche malintenzionato che, in questo modo, agirebbe a nostro nome? Rischierebbe di farci arrestare? Di farci pagare multe salate? Potrebbe commettere reati imputabili a noi?
Mettiamo quindi che l’App di contact tracing sia stata definitivamente realizzata e messa a disposizione negli store di Apple e Android, e che da buoni e rispettosi cittadini l’abbiamo tutti scaricata ed installata nei nostri smartphone; quali saranno a questo punto i rischi concreti a cui potremmo andare incontro?
“App di Stato”: i rischi concreti per i cittadini
Quando è uscita la notizia dell’app Immuni, c’è stato anche chi ha gioito, considerandola l’uovo di colombo, il perfetto connubio tra la tecnologia e il motivo migliore per applicarla, salvando vite umane. La privacy? Nessun problema, tanto ci si fa già tracciare, geolocalizzare, targettizzare dalle varie App e Social, solo per ottenere in cambio un servizio, tra l’altro spesso futile, del tutto gratuito.
Di per sé il discorso sembra avere senso, ma c’è un aspetto importante che sfugge ai più: quando usiamo certi servizi delle BigTech, lo facciamo stipulando, con delle aziende private, dei veri e propri contratti che sottoscriviamo accettando “Termini e Condizioni d’uso”.
Questi contratti in un certo senso, ci proteggono, perché se le aziende, agendo illegalmente, installano backdoor, registrano o memorizzano dati riservati, rivendono i nostri dati a terzi, ecc. se, in definitiva, non rispettano gli accordi e i nostri diritti, possono essere denunciate ed essere chiamate a pagarne le conseguenze davanti ad un giudice.
Al contrario, se abbiamo a che fare con una “App di Stato”, la situazione è radicalmente diversa e molto seria.
Nel caso dell’App Immuni ad esempio, essendoci di mezzo la salute di un’intera Nazione (e quella mondiale), in un futuro, neanche troppo lontano, lo Stato potrebbe prevedere degli obblighi di uso per i cittadini, e per questo l’App sarebbe soggetta a Leggi e regolamenti molto più stringenti che, aspetto fondamentale, non riguardano il Codice del Consumo, ma quello Civile e/o Penale, che ci coinvolge e responsabilizza personalmente, a cui quindi dovremmo rispondere in prima persona.
Potenzialmente, ragionando sempre per ipotesi, una leggerezza o un errore nella scrittura del codice di una App realizzata da (o per lo) Stato potrebbero farci finire in galera, scontare le colpe di qualcun altro, farci pagare multe da migliaia di euro, rendere pubblici dati privati e sensibili (come quelli sanitari) oppure, nel caso di Immuni, potrebbe bloccarci in quarantena, anche se non siamo né malati, né contagiosi.
In una recente intervista, Alberto Gambino, Presidente Italian Academy of the Internet Code, parlando di una eventuale obbligatorietà, ha affermato: “In termini giuridici l’obbligo non significa che sia “coercibile”, nel senso che l’autorità pubblica ne imponga coattivamente l’utilizzo, ma significa che se per la mancata osservanza dell’utilizzo dell’App si è provocata la morte di altri concittadini, la responsabilità individuale ne uscirà aggravata”.
E se “la mancata osservanza dell’utilizzo dell’App”, dovesse dipendere da un bug che causa un malfunzionamento? Come sarebbe possibile dimostrarlo? Inoltre, sapendo quante persone vanno in giro usando smartphone con sistemi operativi vecchi, non aggiornati (quindi potenzialmente pericolosi), per colpa delle aziende che abbandonano completamente i loro prodotti più vecchi, l’eventualità che molte di esse siano vittime di hacker, è davvero alta.
Visto che sotto i picconi degli hacker cedono anche i colossi hi-tech, è del tutto legittimo pensare che potrebbe accadere anche ad una eventuale “App di Stato” di essere attaccata da malintenzionati i quali, accedendovi e approfittando delle falle presenti, sarebbero in grado di rubare la nostra identità digitale, commettendo reati e facendoli apparire come fossero opera delle nostre azioni.
Anche in questo caso, se l’inosservanza dovesse essere causa di un attacco, come sarebbe possibile dimostrarlo?
Nessuna app può dirsi al sicuro
In generale, anche al di fuori dell’informatica, i “cattivi” sono sempre molto più motivati dei “buoni” nel portare a termine propositi truffaldini, quindi, nel caso peggiore (più avanti vedremo che non è così raro come si pensi) qualsiasi App, se non correttamente implementata, potrebbe trasformarsi potenzialmente in uno strumento di tracciamento in grado di rivelare le nostre abitudini oppure potrebbe essere in grado di inserire, modificare e/o eliminare foto, video, documenti su uno smartphone di un utente che non solo non saprà mai cosa è avvenuto, ma non potrà mai dimostrarlo davanti a un giudice. E si tratta di eventualità molto più frequenti di quanto si creda.
Ad ottobre scorso, ad esemoio, è stata resa nota la vulnerabilità CVE-2019-11932 che non risiede nel codice sorgente di WhatsApp ma in una libreria Open Source (e su questo argomento ci torneremo più tardi) utilizzata dalla Galleria dell’App.
In sostanza, come riportato in questo dettagliato articolo, “il difetto di sicurezza causa una corruzione della memoria dello smartphone consentendo ai criminal hacker di ottenere l’accesso al dispositivo con privilegi utente elevati. Risultato? Il payload malevolo ha tutti i permessi di accesso in lettura e scrittura alla memoria dello smartphone (sia quella interna sia quella esterna su SD card) e al database dei messaggi. Ed ha anche tutte le autorizzazioni già concesse a WhatsApp dall’utente, inclusa la registrazione audio, l’accesso alla telecamera, l’accesso al file system, alla sandbox stessa dell’app e così via”. In poche parole, la vulnerabilità garantisce il pieno possesso del dispositivo ad un eventuale malintenzionato.
Quello che lascia stupiti è che “per riuscire nel proprio intento, l’attaccante non deve far altro che inviare un’immagine in formato GIF sul dispositivo Android della vittima, utilizzando qualsiasi canale di comunicazione (quindi non necessariamente la chat di WhatsApp) e attendere che l’utente semplicemente apra la Galleria dell’app di messaggistica per condividere un qualsiasi contenuto con un amico”. Praticamente un gioco da ragazzi!
Per fortuna la falla è stata poi definitivamente chiusa con un successivo aggiornamento, ma il messaggio che dovrebbe arrivare è che se basta il file di una immagine GIF ad abbattere il software di un gigante hi-tech da miliardi di dollari, è molto probabile che anche una App di uso pubblico potrebbe rivelarsi “debole” ed essere corrotta con estrema facilità, con la notevole differenza che l’impatto sulla sfera personale, rispetto ad una commerciale, sarebbe molto più invasivo e potenzialmente pericoloso per i diritti democratici, visto che agisce sulla libertà delle persone.
Non è un caso che nei paesi in cui governati da regimi dittatoriali, questo tipo di strumenti non solo è ben visto, ma è reso obbligatorio (come succede attualmente in Cina) e i cittadini che non si allineano sono pesantemente perseguiti.
Nel frattempo, in Occidente, in particolare in Olanda, hanno deciso di combattere la pandemia, usando dei braccialetti elettronici, per ora in modo volontario, dispositivi, che inviano ai server di Stato, in tempo reale, lo stato di salute delle persone.
Magari un domani potremmo essere tutti obbligati ad indossarne uno.
L’appello degli scienziati e il caso Foia
Che i dubbi sull’opportunità che lo Stato utilizzi tale strumento siano fondati, lo dimostra anche l’appello condiviso da più di 300 scienziati tra accademici e ricercatori, che chiedono di stare attenti perché fare una scelta poco oculata oggi potrebbe portare “un domani ad usare queste informazioni nel modo sbagliato”.
Ovviamente quando ci sono di mezzo i diritti civili, e quando questi vengono messi in discussione, ad equilibrare l’ago della bilancia intervengono leggi e regolamenti appositi, come nel caso del FOIA (Freedom of Information Act) che è uno strumento fondamentale per la libertà di informazione e il controllo sull’operato delle pubbliche amministrazioni e autorità.
Introdotto nell’ordinamento italiano dall’Art. 6 del D.lgs. 25 maggio 2016, n. 97, che ha sostituito l’art. 5 del “Decreto trasparenza” n. 33 del 2013, il FOIA è un “accesso civico generalizzato“. Che cosa significa? Significa che ad ogni cittadino è garantito il diritto di accedere ai dati e documenti detenuti dalle pubbliche amministrazioni motivo per cui è considerato un fondamentale strumento di controllo e vigilanza.
Peccato che con il Decreto Legge “Cura Italia” del 17 marzo 2020, è stato previsto quanto segue: le amministrazioni pubbliche sospenderanno le risposte a richieste di accesso documentale (legge 241/1990), civico e civico generalizzato (d.lgs. 33/2013) che non hanno carattere di “indifferibilità e urgenza” fino al 31 maggio 2020 (art. 67.3).
In sostanza si è deciso di sospendere (seppur temporaneamente) il FOIA e sacrificare così la “trasparenza” sull’altare dell’emergenza, andando a minare ancora una volta la fiducia dei cittadini ai quali, contemporaneamente a questa decisione, viene chiesto di installare una “App di Stato” di cui ancora non si conosce in concreto il funzionamento: non molto rassicurante.
Se a tutto questo aggiungiamo anche che gli italiani stanno ancora aspettando da giugno 2019, di proroga in proroga, l’elezione dei membri delle due Authority più importanti, quella cioè del Garante Privacy e dell’AGCOM, che nel frattempo agiscono “limitatamente agli atti di ordinaria amministrazione, nonché indifferibili o urgenti”, il quadro dello sbilanciamento a tutto sfavore dei cittadini è evidente.
Bug: ecco i punti deboli, anche per una app di stato
Stando a quanto ha dichiarato il Ministero dell’Innovazione in un lungo post, l’applicazione “non dovrà accedere alla rubrica dei contatti del proprio telefono, non chiederà nemmeno il numero e non manderà SMS per notificare chi è a rischio”. Inoltre, continua, sarà “necessaria l’integrazione delle indicazioni e dei protocolli sanitari stabiliti dal Ministero della Salute e dalle autorità sanitarie”. L’applicazione, viene ribadito, “si baserà sull’installazione volontaria da parte degli utenti” e “il suo funzionamento potrà cessare non appena terminerà la fase di emergenza”. Ed è prevista, specifica il ministero, la “cancellazione di tutti i dati generati” durante l’utilizzo. L’App, conclude il ministero, “non conserverà i dati relativi alla geolocalizzazione degli utenti, ma registrerà esclusivamente i contatti pseudonimizzati di prossimità rilevati mediante la tecnologia Bluetooth Low Energy” e per concludere il codice sorgente del sistema di contact tracing “sarà rilasciato con licenza Open Source MPL 2.0” e “quindi come software libero e aperto”.
Quindi tutto ok? Forse non proprio.
E’ fin troppo evidente che le informazioni gestite dall’App Immuni fanno gola all’industria farmaceutica, a chi si occupa di sanità privata, alle compagnie assicurative e a mille altri soggetti che basano il proprio business sulla conoscenza delle condizioni di salute di un soggetto: questo per dire che l’interesse sull’argomento è alto, ed è facile aspettarsi attacchi informatici continui, tanto più che le statistiche in questo senso indicano un aumento esponenziale, anno dopo anno, tanto che gli esperti parlano addirittura di “punto di non ritorno“.
Purtroppo, stando alle informazioni disponibili su Immuni, sarebbe utile sapere se siano stati considerati alcuni aspetti, tra cui alcuni prettamente tecnici, che potrebbero minare in qualsiasi momento l’integrità dell’App, permettendo ad eventuali malintenzionati non solo di rubare o compromettere i dati, ma anche di prendere pieno possesso del dispositivo di chi ha diligentemente installato il software sul proprio device.
In questo articolo, sono messe in evidenza alcune gravi vulnerabilità difficilmente superabili.
Open source: la panacea di tutti i mali?
Pare certo che l’App Immuni si baserà quindi su codice Open Source, opzione che porta con sé pregi e difetti: da una parte, avere una platea mondiale di volontari dediti a smanettare sul codice permette di ottimizzare e realizzare migliorie in tempi brevi, ma dall’altra comporta anche il prestare il fianco a possibili hacker che sarebbero in grado di sfruttare le eventuali falle presenti, se non nel codice dell’App, in quello magari delle librerie esterne di cui fa uso.
Infatti, visto che non è possibile ogni volta reinventare la ruota, è lecito pensare che nel software (anche nell’App Immuni?) vengano usate delle librerie di codice di terze parti: il problema è che usare librerie Open Source provenienti da altre fonti può essere pericoloso; è successo ad esempio in passato nel caso della famosa libreria crittografica OpenSSL in cui sono state riscontrate diverse vulnerabilità, di cui alcune di “alta gravità“. Proprio pochi giorni fa è stata sanata una ulteriore falla in questa utile, e per questo molto usata, libreria.
A tal riguardo vale la pena ricordare la notizia dell’App di Tracing olandese Covid-19 Alert!, simile a Immuni, che proprio recentemente ha subito una clamorosa perdita di dati personali: il data breach è stato scoperto grazie al fatto che il codice era disponibile alla verifica pubblica; questo dimostra comunque quanto il “codice aperto” sia importante, specialmente per un apparato che può influenzare profondamente la salute pubblica e il controllo sociale. Ma qual è la situazione delle falle di sicurezza nel software Open Source disponibile oggi? Synopsys ha realizzato in proposito una infografica del suo report “2019 Open Source Security and Risk Analysis (OSSRA)“.
Conclusioni
Come abbiamo visto, purtroppo sono molte le incognite ancora aperte per realizzare un’App che dovrebbe coadiuvare la ripresa del Paese, ma di cui purtroppo non si conoscono importanti dettagli, come ad esempio:
- l’App Immuni sarà interoperabile e utilizzabile anche all’estero? Chi viene da fuori Italia, potrà adoperarla?
- come esposto chiaramente in questo articolo, nonostante le informazioni presenti nell’App siano anonimizzate (o pseudonimizzate), sembrerebbe che nel trasferimento dei dati tra App e server, in realtà ci sia un dato che potrebbe far risalire a nomi e cognomi degli utilizzatori: l’indirizzo IP. Nel caso, non si potrebbe anonimizzare? E’ previsto un modo per scongiurare questa eventualità o c’è una volontà precisa per poter in qualche modo risalire alle persone contagiate?
- di recente c’è stato un accordo Google – Apple per realizzare un protocollo comune relativo al Bluetooth in grado di facilitare il contact tracing: c’è chi dice che in questo modo le aziende hi-tech già in grado di monitorare i cittadini attraverso altri sistemi come le celle di telefonia, il GPS, il WiFi, ecc., agendo a livello di Sistema Operativo proprio su un aspetto così importante come il contact tracing, avranno la possibilità di ottenere maggiori e dettagliate informazioni su di noi, ma con la differenza che sarà molto più difficile scoprire eventuali abusi di queste tecnologie: è una preoccupazione infondata?
- se, come sembra ormai accertato, in Europa si adotterà la soluzione tecnologica prevista dal duo Google – Apple, il risultato sarà una inevitabile spaccatura con l’ecosistema digitale Cinese, in cui l’epidemia ha avuto origine e dove notoriamente, tutti i servizi di Big G non sono accessibili. In questa situazione, non si rischia in futuro, usando sistemi digitali diversi, di compromettere gli sforzi fatti dai vari Paesi per limitare la diffusione del virus?
- App Immuni: alla luce dei fatti, ci si chiede se questo strumento servirà davvero, se si riuscirà a farlo adoperare alla maggioranza delle persone (o almeno al minimo indispensabile per essere considerata utile), e se sarà o meno, visti i bug presenti e ancora irrisolti, un pericolo per la privacy: staremo a vedere, ma ricordiamoci che in gioco, ci sono i diritti fondamentali dei cittadini.
Oggi c’è già chi minimizza sulla privacy perché “la salute è più importante di qualche informazione privata e poi tanto, chi non ha nulla da nascondere, non ha nulla di cui preoccuparsi” e per questo chiede a gran voce che venga imposta l’obbligatorietà.
Chissà se chi la pensa in questo modo cambierebbe idea ascoltando la voce di Edward Snowden: “non puoi pensare che non ti interessa la privacy perché non hai nulla da nascondere, sarebbe come dire che non ti interessa la libertà di stampa perché non ti piace leggere o che non ti importa della libertà di culto perché non credi in Dio. La privacy è l’espressione individuale di un diritto collettivo. Ma quando costruiscono un sistema che cataloga, immagazzina, sfrutta gli scambi tra esseri umani, per usarli contro di noi, devi stare in guardia e chiederti: e ora cosa ci succederà?”
