È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify
e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: La scena del dazio dal film “Non ci resta che piangere” (1984)]

Questa scena, tratta dal film “Non ci resta che piangere” del 1984, è diventata simbolo di tante assurdità e cecità burocratiche. È un esempio decisamente ironico, e forse per raccontarvi la storia strana di informatica di questa settimana avrei dovuto citare qualche brano della serie TV distopica Il racconto dell’ancella, perché questa è la storia di un’app legata alla riproduzione umana ed è una storia che risponde perfettamente a una domanda che viene fatta spessissimo a chi si occupa di privacy e sicurezza digitale: “Ma che male c’è a dare qualche dato personale a un’app? Cosa vuoi che se ne facciano? Io non ho niente da nascondere”.

Siamo nel 2024, e negli Stati Uniti, non in un paese totalitario, le app di monitoraggio dell’ovulazione vengono usate per tracciare in massa la fertilità femminile, anche dai datori di lavoro, e per incriminare le donne che risultano sospette solo perché hanno un ciclo mestruale irregolare. Un dato che sembrava così innocuo è di colpo diventato potenziale indizio di reato.

Benvenuti alla puntata del 31 maggio 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo, e vorrei avvisarvi che questa puntata tocca temi molto delicati riguardanti la riproduzione e la sessualità.

[SIGLA di apertura]

Benvenuti a Gilead

Questa storia comincia con una segnalazione su Reddit, ad aprile scorso, di un’app per il monitoraggio del ciclo mestruale di nome Ovia (App Store; Google Play), che ha iniziato da poco, dice la segnalazione, a chiedere in quale stato risiede l’utente, perché quest’informazione è necessaria per poter continuare a usare l’app.

Dato che la fisiologia umana fondamentale non varia in base ai confini di stato, viene spontaneo chiedersi come mai ci sia bisogno di specificare lo stato di residenza in quest’app. È una domanda che coinvolge le decine di milioni di persone che nel mondo usano app di questo genere, come BabyCenter, Clue, My Calendar o Flo, per tenere traccia del proprio ciclo o di quello dei familiari.

Nel 2019 l’app Ovia era stata criticata (Washington Post) perché condivideva i dati di salute dei suoi utenti con i loro datori di lavoro. Lo faceva, e lo fa tuttora, in forma aggregata e anonimizzata, certo, ma soprattutto in un’azienda piccola risalire alle identità precise delle persone alle quali si riferiscono i dati di salute è piuttosto banale, specialmente per situazioni molto palesi come una gravidanza, che è solo uno dei dati raccolti da quest’app.

I datori di lavoro possono infatti sapere quanti dipendenti hanno avuto gravidanze a rischio o parti prematuri e possono vedere le principali informazioni di natura medica cercate dalle utenti, i farmaci assunti, l’appetito sessuale, l’umore, i tentativi di concepimento, il tempo medio necessario per ottenere una gravidanza e i tipi di parto precedenti. Tutti dati immessi dalle persone, incoraggiate a farlo dai buoni spesa, circa un dollaro al giorno, offerti dall’app.

L’azienda che ha sviluppato l’app, Ovia Health, dice che tutto questo consente alle aziende di “minimizzare le spese sanitarie, scoprire problemi medici e pianificare meglio i mesi successivi” e aggiunge che la sua app “ha permesso alle donne di concepire dopo mesi di infertilità e ha anche salvato le vite di donne che altrimenti non si sarebbero rese conto di essere a rischio”.

Anche altre app dello stesso genere sono state criticate fortemente da Consumer Reports, una influentissima associazione statunitense di difesa dei consumatori, e da associazioni di attivisti tecnologici come la brasiliana Coding Rights, perché non tutelavano affatto la riservatezza delle persone, per esempio permettendo l’accesso ai dati sanitari altrui a chiunque conoscesse l’indirizzo di mail della persona presa di mira oppure passando direttamente i dati mestruali a Facebook.

Uno studio del 2019, pubblicato dal prestigioso British Medical Journal, ha rilevato che il 79% delle app relative alla salute disponibili nel Play Store di Google condivideva con terzi i dati sanitari degli utenti.

C’è un nome per questo sfruttamento commerciale dei dati sanitari delle donne: femtech. Alcune stime indicano che il mercato femtech, che “include le app di tracciamento mestruale, nutrizionale e di benessere sessuale”, potrebbe valere fino a 50 miliardi di dollari entro il 2025 (Washington Post).

Già così lo scenario era piuttosto orwelliano, ma il 2 maggio 2022 è successo qualcosa che ha trasformato una sorveglianza invadente in una trappola inquietante.

Da diritto a reato

In quella data, infatti, la stampa ha reso pubblica una bozza di parere della Corte suprema statunitense che indicava che il diritto costituzionale all’aborto, vigente in tutto il paese da quasi cinquant’anni, sarebbe stato eliminato, come è poi appunto avvenuto. Nel giro di pochi mesi, numerosi stati americani hanno vietato l’aborto quasi completamente, in qualunque circostanza, senza eccezioni per violenza sessuale o incesto e anche se la vita della donna è in pericolo (CNN).

In altre parole, un atto che per mezzo secolo era un diritto è diventato di colpo un reato. E altrettanto di colpo, i dati accumulati dalle app di tracciamento mestruale sono diventati potenziale indizio o prova di reato, come hanno fatto notare sui social network varie persone esperte di sicurezza informatica, come Eva Galperin, della Electronic Frontier Foundation o l’attivista e avvocato Elizabeth McLaughlin, che hanno consigliato esplicitamente di smettere di usare queste app e di cancellare tutti i dati.

Il rischio che quei dati vengano usati contro le utenti, infatti, è decisamente concreto. Anche prima di quel grande scossone del 2022, era già capitato che funzionari governativi statunitensi che sostenevano idee antiabortiste si procurassero dati provenienti da queste app. Nel 2019 l’ex direttore tecnico sanitario del governo del Missouri, Randall Williams, aveva fatto redigere uno spreadsheet che tracciava le mestruazioni delle donne che avevano visitato le sedi di Planned Parenthood, una organizzazione no-profit che fornisce assistenza alla procreazione pianificata (CNN). E lo stesso anno il direttore del programma di reinsediamento dei rifugiati, Scott Lloyd, attivista contro l’aborto, aveva dichiarato di aver tracciato i cicli mestruali delle giovanissime migranti nel tentativo di impedire che abortissero (Harper’s Bazaar).

È facile pensare che queste siano situazioni estreme che si verificano negli Stati Uniti e che non potrebbero mai capitare qui da noi grazie ai paletti imposti alle aziende dal GDPR e dalla Legge federale sulla protezione dei dati, ma secondo Lee Tien, consulente legale della Electronic Frontier Foundation, anche le aziende europee sono soggette alle procedure legali statunitensi grazie a vari trattati internazionali, e quindi è possibile che i dati personali di un’app di tracciamento sanitario europea possano essere comunque richiesti da un’azione legale che parte dagli Stati Uniti (KFF Health News).

Sono situazioni come questa che fanno dire agli esperti di sicurezza informatica, come Mikko Hyppönen, che argomentare che non c’è da preoccuparsi per queste raccolte di massa di dati personali, perché tanto siamo cittadini onesti e non abbiamo niente da nascondere, semplicemente “non ha senso”.

Non ha senso perché un dato, una volta rilasciato, è rilasciato per sempre, e non abbiamo idea se un dato che oggi non è problematico lo sarà invece in futuro. Un altro esempio in questo senso arriva sempre dagli Stati Uniti, ma in un campo che a prima vista sembra completamente differente: i sistemi di lettura automatica delle targhe dei veicoli.

Diffusissimi fra le forze di polizia e anche fra le aziende, questi sistemi memorizzano oltre un miliardo di passaggi di veicoli ogni mese. L’intento originale era usarli per tracciare i veicoli coinvolti in reati, cosa difficilmente criticabile, ma come fa notare la rivista Wired, questi sistemi possono anche tracciare i veicoli che attraversano un confine di stato, per esempio per portare una persona in uno stato in cui l’aborto è ancora legale. E dato che le targhe sono per definizione esposte al pubblico, non occorre un mandato per procurarsi i dati raccolti da questi lettori automatici (EFF; The Guardian).

Come dice Hyppönen, “possiamo forse fidarci dei nostri governi attuali… ma ci fidiamo ciecamente di qualunque possibile governo futuro, di un governo che potremmo avere fra cinquant’anni?”

[CLIP: citazione di Mikko Hyppönen, tratta da un TEDx Talk del 2011: “And while we might trust our governments right now […], do we blindly trust any future government, a government we might have 50 years from now?”]

Resistenza digitale

La segnalazione su Reddit dalla quale è partita questa storia è diventata virale ed è stata accompagnata da ulteriori avvisi di altri utenti, pubblicati direttamente nelle pagine di download dell’app di tracciamento mestruale in questione per mettere in guardia chi la scarica. Il consiglio ricorrente, in questi avvisi, è non solo di non usare questa app, ma di non usare nessuna app che raccolta dati legati alla sfera intima e di tornare ai vecchi sistemi cartacei: il calendario o l’agendina di una volta, insomma. La paura, infatti, è che una donna che ha un ciclo irregolare possa essere identificata erroneamente come una persona che ha abortito e venga quindi accusata di un reato che non ha commesso, con tutto quello che ne consegue.

Certo, oggi siamo tutti abituati a fare qualunque cosa tramite app, ma la comodità di avere tutto nello smartphone ha un prezzo, e quel prezzo può cambiare in qualunque momento, difficilmente a favore di noi utenti.

Nel frattempo, grazie alle segnalazioni di questo problema è nata una forma di resistenza informatica molto particolare: numerose persone di ogni orientamento stanno scaricando queste app, il cui uso è solitamente gratuito, e le stanno adoperando per tracciare qualunque evento ciclico tranne le mestruazioni. L’intento è riempire di dati fasulli e incomprensibili gli archivi delle aziende che gestiscono queste app, in modo da contaminare il loro database, fargli perdere valore commerciale e impedire agli algoritmi predittivi di funzionare correttamente.

Visto il numero elevatissimo di utenti, questo tipo di sabotaggio probabilmente non sarà molto efficace dal punto di vista pratico e diretto, ma aiuterà a far conoscere il problema e a far capire perché le leggi sulla privacy dei dati sembrano una scocciatura ma sono in realtà così importanti. Servono, in sostanza, a evitare che si passi dal non avere nulla da nascondere al non avere più nulla da nascondere.

Ultimo aggiornamento: 2024/05/17 9:05.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: audio tratto da “Mr. Robot”: “Che stai facendo di preciso?” “Sto hackerando l’FBI”]

Hackerare l’FBI può sembrare il desiderio proibito di ogni criminale informatico, ed è sicuramente una frase ad effetto che colpisce, come dimostra bene questo spezzone tratto dalla serie televisiva Mr. Robot, ma in realtà al criminale medio conviene dedicarsi a bersagli meno ambiziosi ma più remunerativi: alberghi, piccole aziende, e anche ospedali.

Questo è lo scenario che emerge dalla lettura del nuovo rapporto semestrale dell’Ufficio federale della cibersicurezza svizzero o UFCS, che è scaricabile anche in italiano, illustra le tecniche di attacco più diffuse sul territorio nazionale e propone soluzioni di difesa, per fare prevenzione, e di supporto, per i casi in cui la difesa non basta.

Benvenuti alla puntata del 17 maggio 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica.

Io sono Paolo Attivissimo, e nella puntata precedente ho raccontato le statistiche salienti e le principali tecniche di attacco informatico citate in questo rapporto semestrale. In questa puntata provo invece a raccontarvi i rimedi proposti dal rapporto, che ciascuno di noi può adottare per migliorare la propria sicurezza informatica.

[SIGLA di apertura]

Svizzera, colabrodo digitale?

“Sul piano della cibersicurezza, in Svizzera si riscontrano attualmente le seguenti sfide principali:

• elevata vulnerabilità dell’economia, delle autorità, degli istituti di formazione e della popolazione nel ciberspazio;
  
• insufficiente capacità di reazione in caso di ciberincidenti e crisi di rilevanza sistemica;
  
• scarsa maturità dei prodotti e dei servizi digitali in termini di cibersicurezza e assenza di meccanismi di controllo della qualità;
  
• comprensione non abbastanza avanzata della problematica della cibersicurezza da parte degli ambienti economici, in seno alla società e a livello politico;
  
• mancanza di trasparenza e insufficienza di dati per una corretta valutazione delle dichiarazioni in materia di cibersicurezza e per la definizione di corrispondenti misure politiche ed economiche;
  
• scarsa protezione degli attori non contemplati tra le infrastrutture critiche;
  
• zone grigie giuridiche e coordinamento lacunoso degli strumenti per la cibersicurezza tra autorità e operatori privati.”
  

Parole di fuoco, e mi affretto a chiarire che non sono parole mie: sono tratte testualmente dalla pagina iniziale della Strategia dell’Ufficio federale della cibersicurezza UFCS, un documento scaricabile dal sito dell’amministrazione federale e pubblicato il 6 maggio scorso. 

 

Lo stesso documento riporta inoltre dei numeri davvero notevoli:

Negli ultimi anni il numero di segnalazioni di ciberincidenti che hanno provocato danni è aumentato di circa il 30 per cento l’anno. Il numero di segnalazioni provenienti da infrastrutture non critiche è quasi triplicato negli ultimi dodici mesi. Nel 2023 l’UFCS ha elaborato 187000 segnalazioni di phishing e ha identificato e chiuso in Svizzera 8223 siti web utilizzati per operazioni di phishing. Nel quadro di diverse centinaia di segnalazioni, l’UFCS ha individuato la presenza di malware presso infrastrutture critiche, provvedendo alla loro eliminazione in collaborazione con le aziende colpite. In media ogni 40 ore l’UFCS riceve una segnalazione concernente un’infezione da malware e una relativa richiesta di supporto per la gestione dell’incidente.

Il resto del documento ha un tono più positivo, con una sorta di chiamata alle armi basata su quattro pilastri, ossia:

• rendere comprensibili le minacce informatiche

• mettere a disposizione strumenti di prevenzione degli attacchi informatici
  

• ridurre i danni di questi attacchi

• e aumentare la sicurezza dei prodotti e dei servizi digitali.

  
  

La sicurezza informatica viene descritta dal documento come “un compito congiunto della politica, dell’economia, delle scuole universitarie e della società”, con buona pace di chi ancora pensa che sia un compito che riguarda solo i tecnici e gli smanettoni.

Questa nuova visione si rispecchia anche, e molto concretamente, in questa nuova veste di ufficio federale presso il Dipartimento della difesa, della protezione della popolazione e dello sport; l’UFCS dal primo gennaio 2024 subentra al Centro nazionale per la cibersicurezza, che faceva parte del Dipartimento federale delle finanze, e diventa il “centro di competenza della Confederazione per le ciberminacce”.

Quelle parole pesanti iniziali, che sembrano dipingere la Svizzera come un colabrodo digitale, vengono però mitigate nel rapporto semestrale più recente da Florian Schütz, direttore dell’Ufficio federale della cibersicurezza, che sottolinea che “[i]n un confronto internazionale, la Svizzera si colloca a metà classifica”. C’è insomma chi sta molto peggio, ma anche chi sta molto meglio.

Vediamo cosa si può fare concretamente per salire in questa classifica, partendo da un caso molto concreto: le truffe alberghiere legate a Booking.com.

L’UFCS spiega la tecnica di attacco delle false mail di Booking.com

Nella seconda metà del 2023 molte persone sono state colpite da una particolare truffa riguardante le prenotazioni di alberghi, nella quale il messaggio dei truffatori arrivava davvero da Booking.com, tanto che era disponibile anche nell’app e nel sito web di questo noto intermediario online, ed era stato realmente spedito dall’albergo dove era stata fatta la prenotazione.

Il messaggio avvisava che la prenotazione fatta dalla vittima rischiava di essere annullata perché la carta di credito del cliente non era stata verificata con successo. Per tentare una nuova verifica si doveva cliccare su un link cortesemente fornito, ed era qui che scattava la truffa: il link portava a un sito il cui nome somigliava a quello di Booking.com e che chiedeva di immettere i dettagli della carta di credito. Se la vittima non se ne accorgeva, forniva i dati della sua carta ai malviventi. Ne avevo parlato nel podcast del 17 novembre 2023.

Il rapporto dell’UFCS getta finalmente luce sulla tecnica usata dai criminali per mettere a segno il loro attacco: riuscivano a farsi dare le credenziali d’accesso dell’account Booking.com dell’albergo usando vari metodi di persuasione per “indurre il personale dell’albergo a cliccare su un link e installare un programma nocivo”.

Per esempio, dice il rapporto, si faceva credere che un ospite fosse stato ricattato con immagini pornografiche che si presumeva fossero state scattate nella camera dove soggiornava. Il mittente concedeva due giorni all’hotel per chiarire la questione e scoprire il colpevole, altrimenti sarebbe stato ritenuto complice. Quale prova dell’accaduto, l’intera documentazione del caso sarebbe stata archiviata, secondo i criminali, in un file scaricabile tramite un link indicato nell’e-mail. Cliccando sul link, però, veniva scaricato un malware che registrava tutti i dati d’accesso disponibili e li trasmetteva ai truffatori, permettendo a loro di visualizzare le prenotazioni attuali dell’albergo effettuate tramite le varie piattaforme online come Booking.com.

È incredibile, e piuttosto imbarazzante, che ancora adesso ci siano sistemi informatici che possono essere infettati semplicemente cliccando su un link e che ci siano persone che sul posto di lavoro aprono gli allegati eseguibili ricevuti, senza il minimo controllo di sicurezza. E infatti il rapporto dell’UFCS raccomanda, soprattutto agli alberghi, che “si trovano a dover aprire molti documenti trasmessi dagli ospiti”, di non dimenticare mai che“I file eseguibili non devono […] essere aperti per nessuna ragione” e raccomanda anche di “pensare a una strategia che permetta di tenere i computer destinati alla comunicazione con gli ospiti separati dal resto della rete”: la cosiddetta segmentazione della rete. Semplici comportamenti preventivi, che non sono certo una novità ma che continuano a non essere adottati.

Eppure le risorse informative per tenersi aggiornati sulle minacce informatiche e sulle procedure ottimali per ridurle o eliminarle non mancano.

Risorse e tecniche per contrastare il crimine informatico

Il rapporto semestrale dell’Ufficio federale della cibersicurezza elenca moltissimi siti che offrono informazioni chiare e dettagliate, senza gergo tecnico, per migliorare la sicurezza informatica di tutti. Siti come Cybercrimepolice.ch, Ebanking – ma sicuro, il sito della Prevenzione Svizzera della Criminalità, iBarry.ch, S-u-p-e-r.ch e altri ancora, di cui trovate tutti i link presso Disinformatico.info.

L’UFCS tocca inoltre un altro tasto dolente della sicurezza informatica: quando un sito viene attaccato o è in pericolo, spessissimo è molto difficile trovare le informazioni di contatto del suo responsabile della sicurezza per avvisarlo della situazione, e questo fa perdere tempo prezioso a chi vorrebbe appunto avvisare del rischio informatico. A volte queste informazioni di contatto non sono nemmeno pubblicate.

L’Ufficio federale della cibersicurezza propone una soluzione semplice e standardizzata a questo problema, che si chiama Security.txt. In sostanza, i gestori dei siti sono invitati a creare un documento di testo contenente le informazioni di contatto per le questioni di sicurezza e a renderlo pubblicamente consultabile. Tutto qui. Questo documento ha un nome standard, cioè appunto security.txt, ed è messo a disposizione in una cartella altrettanto standard del sito, vale a dire .well-known.

In questo modo chi deve lanciare un allarme su un qualsiasi sito colpito da un attacco o a rischio di attacco può andare a colpo sicuro e può raggiungere direttamente il responsabile della sicurezza informatica di qualunque sito, senza perdere tempo in ricerche e soprattutto senza disperarsi a cercare di spiegare al centralinista o a varie altre persone non addette ai lavori i dettagli tecnici di un attacco informatico prima di riuscire finalmente a parlare con la persona giusta.

“Secondo quanto rilevato dall’UFCS”, a oggi “in Svizzera applicano questo standard già alcune migliaia di siti ma, considerato che i siti attivi sono milioni” c’è “ancora margine di miglioramento. L’UFCS invita le imprese, le organizzazioni e le amministrazioni presenti sul territorio nazionale ad applicare questo standard di sicurezza”, notando che questo standard è in corso di adozione anche presso l’amministrazione federale: se volete vedere un esempio pratico di questo modo di indicare rapidamente le coordinate di contatto, potete visitare www.admin.ch/.well-known/security.txt. L’UFCS ha anche predisposto una guida apposita sulla comunicazione delle vulnerabilità per le organizzazioni e le imprese.

Dal documento di strategia emerge anche un altro aspetto importante di questo Ufficio federale: non si limita a fornire istruzioni e chiedere che gli utenti facciano i loro compiti, ma (cito) “assiste le vittime nella gestione degli eventi fornendo loro consulenza tecnica nonché assistenza sul piano organizzativo. A seconda del potenziale di danno, le prestazioni di supporto spaziano dalla semplice consulenza fino alla gestione integrale della crisi informatica (protezione tecnica e ripristino compresi)”. Naturalmente “le prestazioni dell’UFCS sono fornite ai privati in via sussidiaria”, per cui chi ha le risorse per gestire in proprio la sicurezza è tenuto a farlo, ma le tante piccole imprese che fanno perennemente fatica a stare al passo con le novità di sicurezza informatica possono avere un supporto concreto e coordinato.

L’importante, come sempre, è il primo passo: capire che la sicurezza informatica non è un gioco e non è il problema di qualcun altro, ma ci tocca tutti.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

—

[CLIP: Inno nazionale nordcoreano]

Riconoscete questo inno nazionale? È quello di un paese che ha 26 milioni di abitanti e possiede in tutto circa trenta siti Internet. Sì, avete sentito bene: trenta. È la Corea del Nord, che è al centro di due delle tre storie strane dal mondo informatico di questa puntata del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato appunto alle notizie e alle storie insolite dell’informatica. La terza storia, invece, riguarda le smart TV che fanno impazzire i PC Windows e soprattutto i loro utenti, creando guasti misteriosi. Benvenuti alla puntata del 3 maggio 2024. Io sono Paolo Attivissimo.

[SIGLA di apertura]

La smart TV che fa impazzire i PC Windows

Le cosiddette “smart TV”, ossia praticamente ogni modello di televisore recente, non sono affatto televisori nel senso tradizionale del termine. Non sono più apparecchi passivi, che ricevono un segnale via cavo o via etere e lo presentano sullo schermo: sono veri e propri computer, carrozzati come se fossero televisori, e quindi hanno tutti i pregi ma anche tutte le magagne dei computer. Solo che spesso ce ne dimentichiamo: li compriamo, sempre più grandi, più nitidi, li colleghiamo a Internet, e non ci pensiamo più.

Ci ha dovuto pensare, e ha dovuto farlo a lungo, Priscilla Snow, che è una musicista e audio designer che vive a Montreal, in Canada e racconta la sua strana avventura in un post su Cohost.org. Il suo PC Windows faceva le bizze in maniera insolita: le impostazioni video erano inaccessibili, un’interfaccia per una tastiera MIDI aveva smesso di funzionare, le schede di acquisizione video avevano problemi a connettersi, e altre cose di questo genere. Tutti malfunzionamenti di un tipo che ogni utente Windows conosce bene: quello che compare senza motivo e a volte scompare o si risolve senza motivo, e si sopporta perché…. perché i computer sono fatti così. Un riavvio, una reinstallazione di un driver, e passa la paura.

Priscilla Snow narra il suo caso come un racconto giallo, spiegando che a un certo punto le è scomparsa dal PC la Taskbar, cioè la barra delle applicazioni, cosa che le rendeva praticamente impossibile usare il computer, per cui ha proceduto alla maniera solita: ha aggiornato i driver e riavviato il PC.

La barra delle applicazioni è tornata, ma sei giorni dopo il problema si è ripresentato pari pari. A quel punto, esasperata dalla lunga serie di magagne, è andata a caccia di soluzioni e ha trovato su Reddit una discussione che descriveva gli stessi sintomi capitati a un altro utente Windows, che ne dava la colpa alla sua smart TV della marca Hisense.

Indovinate di che marca era la smart TV di Priscilla.

Secondo le informazioni pubblicate dall’altro utente Windows su un forum di supporto tecnico di Microsoft, i televisori di questa marca si annunciano continuamente sulla rete locale come se fossero nuovi dispositivi con un identificativo sempre differente (tecnicamente generano degli UUID casuali per i servizi di rete UPNP), e Windows diligentemente aggiunge tutti questi nuovi identificativi alle proprie liste di dispositivi.

Ma a furia di aggiungere dispositivi ogni qualche minuto, queste liste diventano enormi e ingestibili e Windows comincia a malfunzionare. Ovviamente non dice qualcosa di utile tipo “la lista dei dispositivi è troppo grande e va vuotata”, ma manifesta sintomi che mai e poi mai un utente normale collegherebbe a una smart TV che ha chiari problemi di identità e continua a cambiare nome.

Per risolvere il problema è necessario cancellare faticosamente centinaia di chiavi dal Registro di Windows e poi disabilitare la configurazione automatica dei dispositivi di rete nelle impostazioni di Windows. La musicista trasformatasi in detective del PC lo ha fatto e tutto ha ripreso a funzionare perfettamente. Una soluzione alternativa è non collegare mai la smart TV della Hisense alla rete locale ma darle una connessione separata oppure, meglio ancora, non comprarla affatto, dice.

Morale della storia: conviene sempre collegare alla rete di lavoro solo i dispositivi strettamente indispensabili e isolare tutti gli altri, e bisogna ricordare che a volte i problemi di Windows non sono colpa di Windows ma di altri dispositivi che non verrebbe mai in mente di considerare colpevoli. Oltre che studiare informatica, bisogna studiare anche le tecniche del tenente Colombo.

Fonte aggiuntiva: Ars Technica.

Se l’infezione arriva tramite l’antivirus

Molti pensano che gli antivirus siano tutti uguali e scelgono il primo che trovano, magari quello preinstallato sul computer o quello proposto dal negoziante al momento dell’acquisto del computer. Ma non è sempre così, e la scelta va fatta con attenzione, evitando soprattutto di fidarsi di pubblicità o inviti che si incontrano online, perché l’antivirus è uno dei pochi software che per necessità deve avere il controllo totale del computer o del dispositivo in generale e quindi è in una posizione di potere molto speciale, ed è molto vulnerabile. È una posizione di cui qualcuno potrebbe approfittare.

È infatti emerso che eScan, un servizio antivirus basato in India, ha diffuso i propri aggiornamenti usando un metodo non sicuro (cioè il vecchio protocollo HTTP al posto del moderno HTTPS protetto dalla crittografia) e non ha protetto questi aggiornamenti con una firma digitale che li avrebbe autenticati, e ha continuato a farlo per cinque anni.

Due errori davvero dilettanteschi, che hanno permesso a degli aggressori informatici di sostituire gli aggiornamenti autentici con delle versioni modificate, che installavano sui computer degli utenti di questo antivirus una backdoor, ossia un programma che dava pieno accesso remoto nascosto a quei computer.

In pratica gli utenti di eScan credevano di scaricare un antivirus che li proteggeva e invece scaricavano un malware che li infettava e che in alcuni casi usava i loro computer e la loro bolletta elettrica per generare criptovalute a favore degli aggressori, probabilmente legati al governo nordcoreano, che ha generato miliardi di dollari di criptovalute usando malware installato sui dispositivi di vittime inconsapevoli (Ars Technica).

La scoperta di questo difetto imbarazzante di eScan è stata annunciata da un’altra azienda del settore, Avast (o come dicono molti àvast), a fine aprile, ed è stata confermata dalle autorità informatiche nazionali indiane. Ora eScan ha risolto il problema, ma il danno sui computer dei suoi utenti resta.

E il modo migliore per eliminarlo è usare un altro antivirus, sperando naturalmente di non cadere dalla padella nella brace.

La Corea del Nord fa soldi illeciti con i cartoni animati di Amazon

C’è un paese che ha 26 milioni di abitanti e circa trenta siti Internet in tutto. È la Corea del Nord, dove pochissime persone possono usare Internet e quelle poche possono farlo solo per un’ora per volta e devono avere accanto qualcuno che approva la loro attività ogni cinque minuti, secondo le testimonianze raccolte da Wired.com.

Gli studiosi che scandagliano la minuscola presenza Internet di questo paese hanno scoperto una stranezza: degli animatori nordcoreani collaborano di nascosto alla produzione di serie televisive animate di Amazon e Max, eludendo le sanzioni internazionali e portando valuta estera preziosa al governo locale.

La scoperta è stata fatta grazie a un errore delle impostazioni di sicurezza di un sito nordcoreano, come descritto dettagliatamente in un rapporto liberamente scaricabile presso 38north.org. L’errore permetteva a chiunque, anche senza password di accesso, di osservare il traffico di dati su questo sito, che era un server per servizi cloud, uno dei tanti usati per lo scambio di dati dagli utenti informatici nordcoreani, che normalmente non hanno accesso diretto a Internet.

Tenendo d’occhio questo server maldestramente esposto, i ricercatori hanno notato che ogni giorno vi compariva una serie di file che includevano bozzetti e istruzioni particolareggiate di lavorazione non per armi o per altre cose tipicamente associate al governo nordcoreano, ma per cartoni animati, comprese serie popolari come Invincible di Amazon o Octonauts della BBC e molte altre.

A quanto pare, insomma, le case di produzione occidentali, a furia di subappaltare i progetti, finiscono per affidarsi a fornitori cinesi, che a loro volta subappaltano a ditte nordcoreane, aggirando così le sanzioni internazionali che vietano collaborazioni di questo tipo. Queste case di produzione dicono di essere inconsapevoli di questa situazione.

Lo scopo, secondo gli esperti osservatori dell’Internet nordcoreana, è portare soldi nelle casse dello stato e finanziare le sue ambizioni militari. Si sapeva già che i criminali informatici del paese usano attacchi legati alle criptovalute per guadagnare denaro per il regime e che gli informatici nordcoreani si fanno assumere dalle aziende statunitensi e di altri paesi come lavoratori remoti fingendo di essere giapponesi (Japan Times) o cinesi (Treasury.gov) e poi girano i propri compensi al governo. Ora salta fuori che guardando un cartone animato su Amazon c’è il rischio di finanziare le armi di una dittatura. Viviamo decisamente in tempi interessanti e surreali.

Fonte aggiuntiva: Ars Technica.

Ultimo aggiornamento: 2024/04/28 22:20.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate qui sul sito della RSI (si apre in una finestra/scheda separata) e lo potete scaricare qui.

Le puntate del Disinformatico sono ascoltabili anche tramite iTunes, Google Podcasts, Spotify e feed RSS.

—

[CLIP: Discussione finale fra HAL e David Bowman da “2001 Odissea nello spazio” (1968)]

È facile considerare l’intelligenza artificiale come nient’altro che l’ennesima novità tecnologica, uno strumento informatico in più, un ausilio al quale ci abitueremo presto. Nessuno si è agitato o ha proclamato la catastrofe sociale per l’introduzione del controllo ortografico o del riconoscimento vocale. Quindi perché così tanto clamore, e in alcuni casi panico, proprio intorno all’intelligenza artificiale?

L’esperto di sicurezza informatica Bruce Schneier, autore di numerosi libri sulle tematiche digitali e membro del direttivo della Electronic Frontier Foundation, una delle associazioni di punta nella tutela dei diritti digitali, ha pubblicato un saggio, intitolato AI and Trust, nel quale spiega molto bene questa anomalia partendo da un concetto sociale, non tecnologico: la fiducia. E spiega perché noi, come esseri umani, siamo particolarmente vulnerabili alla natura seducente dell’intelligenza artificiale.

Le sue parole sono al centro della puntata del 26 aprile 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Benvenuti. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Premessa: due tipi di fiducia da distinguere

“La fiducia”, dice Bruce Schneier, “è essenziale per la società. Gli esseri umani, come specie, tendono a fidarsi gli uni degli altri.” Prendiamo un mezzo pubblico o camminiamo per strada dando per scontato di poterci fidare del conducente di quel veicolo e del fatto che non verremo aggrediti dai passanti. La fiducia è l’impostazione di default della società, per così dire.

E ci sono due tipi di fiducia: quella interpersonale, basata sulla conoscenza diretta di una persona, e quella sociale, basata sui meccanismi e sulle regole condivise che inducono le persone a comportarsi mediamente in modo affidabile. “Il sistema non è perfetto”, nota ovviamente Schneier: “ci saranno sempre persone che abusano della nostra fiducia, ma il fatto che la maggior parte di noi sia affidabile per la maggior parte del tempo è sufficiente. […] Le leggi e le tecnologie di sicurezza sono sistemi di fiducia che ci obbligano a comportarci in modo affidabile”, consentendo società più grandi e complesse e permettendo la cooperazione tra sconosciuti.

Da qui in poi vi riporto in sintesi le parole chiarissime di Bruce Schneier, tradotte con il suo permesso. La traduzione integrale del suo saggio è disponibile presso Disinformatico.info.

A causa dell’ampiezza e della complessità della società, abbiamo sostituito molti dei rituali e dei comportamenti tipici della fiducia interpersonale con meccanismi di sicurezza che garantiscono affidabilità e prevedibilità, ossia la fiducia sociale. Ma poiché usiamo lo stesso termine “fiducia” per entrambi [i tipi], li confondiamo regolarmente. E quando lo facciamo, commettiamo un errore di categorizzazione. Lo facciamo continuamente: con i governi, con le organizzazioni, con i sistemi di tutti i tipi, e soprattutto con le aziende. Possiamo pensare a loro come amiche, quando in realtà sono servizi. Le aziende non sono morali; sono immorali, nella misura in cui la legge e la loro reputazione gliela fanno passare liscia.

Di conseguenza, le aziende si approfittano regolarmente dei loro clienti, maltrattano i loro lavoratori, inquinano l’ambiente e fanno pressioni per modificare le leggi in modo da poter fare queste cose ancora di più.

Sia il linguaggio che le leggi, dice Schneier, rendono facile commettere questo errore di categorizzazione. Usiamo la stessa grammatica per le persone e le aziende. Immaginiamo di avere rapporti personali con i marchi. Diamo alle aziende alcuni degli stessi diritti che diamo alle persone.

Alle aziende piace che commettiamo questo errore di categoria (lo commette anche Schneier, scherzosamente, usando questo concetto di piacere). Piace perché traggono profitto quando pensiamo a loro come amiche. Utilizzano mascotte e testimonial. Hanno account sui social media, e questi account hanno una propria personalità. Si riferiscono a loro stesse come se fossero persone. Ma non sono nostre amiche: le aziende non sono in grado di avere questo tipo di relazione.

Stiamo per commettere lo stesso errore di categorizzazione con le intelligenze artificiali: le considereremo nostre amiche quando non lo sono.

La seduzione dell’IA, spiegata

A questo punto del suo saggio, Bruce Schneier nota che le intelligenze artificiali del prossimo futuro saranno controllate dalle aziende, che le useranno per raggiungere l’obiettivo di massimizzare il profitto. Non saranno nostre amiche: nel caso migliore saranno servizi utili. Più probabilmente, ci spieranno e cercheranno di manipolarci.

Questa non è una novità. La sorveglianza e la manipolazione sono il modello di business di Internet. I risultati delle vostre ricerche in Google sono preceduti da link che qualcuno ha pagato per mostrare. I vostri feed di Facebook e Instagram sono pieni di post sponsorizzati. Le ricerche su Amazon restituiscono pagine di prodotti i cui venditori hanno pagato per essere piazzati in quelle pagine.

Questo è il modo in cui funziona Internet. Le aziende ci spiano mentre utilizziamo i loro prodotti e servizi. I broker di dati acquistano i dati di sorveglianza dalle aziende più piccole e creano dossier dettagliati su di noi. Poi rivendono queste informazioni a queste e altre aziende, che le combinano con i dati raccolti da loro per manipolare il nostro comportamento, al servizio dei loro interessi e a spese dei nostri interessi.

Utilizziamo tutti questi servizi come se fossero nostri agenti, che lavorano per noi. In realtà, sono agenti doppiogiochisti, che lavorano segretamente anche per i loro proprietari aziendali. Ci fidiamo di loro, ma non sono degni di fiducia. Non sono amici, sono servizi.

Non sarà diverso con l’intelligenza artificiale, e il risultato, secondo Bruce Schneier, sarà molto peggiore, per due motivi.

Il primo motivo è che questi sistemi di intelligenza artificiale saranno più relazionali. Converseremo con loro, utilizzando il linguaggio naturale. E così attribuiremo loro spontaneamente delle caratteristiche simili a quelle umane.

Questa natura relazionale renderà più facile il lavoro di questi doppiogiochisti. Il vostro chatbot vi ha consigliato una particolare compagnia aerea o un hotel perché è davvero l’offerta migliore, in base alle vostre particolari esigenze, o perché l’azienda di intelligenza artificiale ha ricevuto una tangente da quei fornitori? Quando gli avete chiesto di spiegare una questione politica, ha orientato la sua spiegazione verso la posizione dell’azienda, o del partito politico che le ha dato più soldi? L’interfaccia conversazionale aiuterà a nascondere le loro intenzioni.

Il secondo motivo di preoccupazione è che queste intelligenze artificiali saranno più intime. Una delle promesse dell’intelligenza artificiale generativa è un assistente digitale personale, che agisce come vostro rappresentante verso gli altri e come maggiordomo con voi. Questo richiede un’intimità maggiore rispetto a un motore di ricerca, a un provider di e-mail, a un sistema di archiviazione cloud o a un telefono. Desidererete che questo assistente sia con voi 24 ore su 24, 7 giorni su 7, e che si istruisca costantemente su tutto ciò che fate. Sarete voi a volere che sappia tutto di voi, in modo da poter lavorare nel modo più efficace per vostro conto.

E questo assistente vi aiuterà in molti modi. Noterà i vostri stati d’animo e saprà cosa suggerirvi, anticiperà le vostre esigenze e lavorerà per soddisfarle. Sarà il vostro terapeuta, life coach e consulente relazionale.

Vi verrà spontaneo considerarlo un amico: vi rivolgerete a lui in linguaggio naturale, e lui farà lo stesso con voi. Se è un robot, avrà un aspetto umanoide o almeno simile a un animale. Interagirà con tutta la vostra esistenza, proprio come farebbe un’altra persona.

Il suo uso del linguaggio naturale è decisivo, in questo caso, perché siamo portati automaticamente a pensare agli altri che parlano la nostra lingua come persone, mentre a volte abbiamo problemi a trattare come persone chi parla una lingua diversa dalla nostra.

Prosegue Schneier:

[…] Vorrete fidarvi di questo assistente, che userà i vostri stessi modi di fare e riferimenti culturali, avrà una voce convincente, un tono sicuro e un modo di fare autorevole. La sua personalità sarà ottimizzata esattamente su ciò che vi piace e a cui reagite. Si comporterà in modo affidabile, ma non sarà affidabile. Non sapremo come è stata addestrata, quali sono le sue istruzioni segrete o i suoi pregiudizi, accidentali o intenzionali.

Sappiamo però che queste intelligenze artificiali vengono create con costi enormi, per lo più in segreto, da aziende che massimizzano il profitto per il proprio beneficio.

Non è un caso che queste intelligenze artificiali aziendali abbiano un’interfaccia simile a quella umana. Non è inevitabile: è una scelta progettuale. Le si potrebbe progettare per essere meno personali, meno simili all’essere umano, più dichiaratamente dei servizi, come i motori di ricerca. Le aziende che stanno dietro queste intelligenze artificiali […] sfrutteranno il fatto che le scambiamo per amiche, e potremmo non avere altra scelta che usarle.

Chi ci darà una IA affidabile?

A volte, infatti, non abbiamo altra scelta che fidarci di qualcuno o qualcosa perché è potente, spiega Bruce Schneier. Siamo costretti a fidarci della polizia locale, perché è l’unica autorità di polizia in città. Siamo costretti a fidarci di alcune aziende, perché non ci sono alternative valide […]. Ci troveremo nella stessa posizione con le intelligenze artificiali: non avremo altra scelta che affidarci ai loro processi decisionali.

E la confusione fra amico e servizio aiuterà a mascherare questa disparità di potere. Dimenticheremo quanto sia potente l’azienda che sta dietro l’intelligenza artificiale, perché ci fisseremo sulla “persona” che pensiamo che l’intelligenza artificiale sia.

Schneier elenca poi alcuni modi in cui le intelligenze artificiali possono fallire.

C’è la frode vera e propria, in cui l’intelligenza artificiale sta effettivamente cercando di rubarvi qualcosa. C’è il più prosaico errore di competenza, in cui pensate che questa intelligenza artificiale sia più esperta di quanto non sia realmente, perché si comporta ostentando sicurezza. C’è l’incompetenza, quando si crede che l’intelligenza artificiale sia in grado di fare qualcosa che non è in grado di fare. C’è l’incoerenza, quando ci si aspetta erroneamente che una intelligenza artificiale sia in grado di ripetere i propri comportamenti. E c’è l’illegalità, quando si confida, erroneamente anche qui, che l’intelligenza artificiale rispetti la legge.

Tutto questo vuol dire che abbiamo bisogno di un’intelligenza artificiale affidabile, di cui si conoscano il comportamento, i limiti e l’addestramento [nel podcast ho detto “formazione,” che è sbagliato: qui si intende proprio il training] i cui pregiudizi siano compresi e [vengano] corretti, di cui si capiscano gli obiettivi e che non tradirà segretamente la vostra fiducia a favore di qualcun altro.

Secondo Schneier,

[…] il mercato non fornirà spontaneamente queste cose, perché le aziende massimizzano i profitti, a spese della società. E gli incentivi del capitalismo di sorveglianza sono troppo forti per resistere. Sono invece i governi a fornire i meccanismi di base per la fiducia sociale, che è essenziale per la società. Pensiamo al diritto contrattuale, alle leggi sulla proprietà, alle leggi che proteggono la vostra sicurezza personale e a tutte le norme di salute e sicurezza che vi permettono di salire su un aereo, mangiare al ristorante o acquistare un farmaco senza preoccupazioni.

I governi possono fare tutto questo per l’intelligenza artificiale. Abbiamo bisogno di leggi sulla trasparenza dell’intelligenza artificiale: quando viene utilizzata, come viene addestrata, quali pregiudizi e tendenze ha. Ci servono leggi che regolino la sicurezza dell’intelligenza artificiale e della robotica e dicano quando è permesso che l’intelligenza artificiale abbia un impatto sul mondo. Abbiamo bisogno di leggi che impongano l’affidabilità dell’intelligenza artificiale, il che significa la capacità di riconoscere quando queste leggi vengono infrante. E servono sanzioni sufficientemente elevate da incentivare un comportamento affidabile.

Molti Paesi stanno valutando leggi sulla sicurezza delle intelligenze artificiali – l’Unione Europea è la più avanti – ma secondo Schneier si sta commettendo un errore cruciale: si cerca di regolamentare le intelligenze artificiali e non gli esseri umani che vi stanno dietro.

[…] Se vogliamo un’intelligenza artificiale affidabile, dobbiamo richiedere controllori dell’intelligenza artificiale affidabili. Abbiamo già un sistema per queste cose: i fiduciari. […] Medici, avvocati, commercialisti… sono tutti agenti di fiducia. Hanno bisogno di un accesso straordinario alle nostre informazioni e a noi stessi per svolgere il loro lavoro, e quindi hanno ulteriori responsabilità legali per agire nel nostro migliore interesse. Hanno una responsabilità fiduciaria nei confronti dei loro clienti.

Abbiamo bisogno della stessa cosa per i nostri dati. L’idea di un fiduciario dei dati non è nuova, ma è ancora più vitale in un mondo di assistenti di intelligenza artificiale generativi.

Modelli di IA pubblici

Secondo Schneier serve anche un’altra cosa: quelli che lui definisce modelli di intelligenza artificiale pubblici. 

Sistemi costruiti dal mondo accademico, da gruppi non profit [nel podcast ho detto “no-profit”, ma è sbagliato] o dal governo stesso, che possono essere posseduti e gestiti dai singoli individui. Non si tratta di un modello di intelligenza artificiale aziendale che il pubblico è semplicemente libero di utilizzare. Non è un modello di intelligenza artificiale aziendale che il governo ha concesso in licenza. Non è nemmeno un modello open source che il pubblico è libero di esaminare e modificare. Un modello pubblico è un modello costruito dal pubblico per il pubblico. Richiede una responsabilità politica, non solo una responsabilità di mercato, dice Schneier.

Ciò significa apertura e trasparenza, abbinate alla capacità di rispondere alle richieste del pubblico. Dovrebbe anche essere disponibile, quest’intelligenza artificiale, a chiunque per costruirci sopra. Ciò significa accesso universale, e costituisce una base per un libero mercato delle innovazioni nell’intelligenza artificiale. Tutto questo sarebbe un contrappeso all’intelligenza artificiale di proprietà delle aziende.

Il saggio di Schneier si conclude con questa riflessione:

Non potremo mai trasformare le intelligenze artificiali in nostri amici, ma possiamo trasformarle in servizi affidabili e non doppiogiochisti. Però possiamo farlo solo se il governo lo impone. Perché lo scopo del governo è creare fiducia sociale […]. Nella misura in cui un governo migliora la fiducia generale nella società, ha successo. E nella misura in cui non lo fa, fallisce. […] Abbiamo bisogno che il governo limiti il comportamento delle aziende [nel podcast ho detto “Abbiamo bisogno di un governo per limitare il comportamento delle aziende”] e delle intelligenze artificiali che le aziende costruiscono, distribuiscono e controllano. Il governo deve imporre sia prevedibilità che affidabilità.

È così che possiamo creare la fiducia sociale di cui la società ha bisogno per prosperare.

– Bruce Schneier, AI and Trust, dicembre 2023