Vai al contenuto
Strumenti digitali per sorvegliare i figli: attenzione a leggi e limiti

Strumenti digitali per sorvegliare i figli: attenzione a leggi e limiti

Ultimo aggiornamento: 2017/12/12 9:20.

Siete genitori preoccupati per i vostri figli e le loro attività online e vorreste usare la tecnologia per tenerli d’occhio? Non siete i soli: è un sentimento molto diffuso ma purtroppo a volte mal riposto.

Provo a mettere un po’ d’ordine negli aspetti legali, tecnici e pratici dei vari dispositivi tecnologici che oggi consentono a un genitore di creare una sorta di salvagente elettronico (o, per alcuni, guinzaglio) per i propri figli.

Che cosa si può fare tecnicamente?

Il bouquet di possibilità tecniche è decisamente ricco. È possibile tracciare la localizzazione, per sapere in ogni momento dove si trova il figlio, usando apposite app per smartphone o per smartwatch oppure dispositivi di tracciamento incorporati permanentemente negli indumenti o nella cartella, che utilizzano la rete cellulare. Lasciate perdere i vari chip sottopelle raccontati ogni tanto dai giornali: sono, per ora, solo storielle acchiappaclic a causa della loro portata limitatissima (qualche metro nelle condizioni migliori).

Questi dispositivi di localizzazione possono informare costantemente sulla posizione del minore oppure inviare un segnale soltanto se il minore si trova al di fuori di una zona o di un percorso prestabilito (per esempio non segue il normale tragitto casa-scuola), e in questo caso si parla di geofencing: in pratica si crea una sorta di “recinto” elettronico. Un’altra modalità è la localizzazione soltanto su richiesta del genitore: il figlio è libero di andare dove vuole e non viene sorvegliato costantemente, ma se il genitore ha bisogno può sapere dove si trova.

Esistono inoltre app, da installare su smartphone e computer usati dai figli, che consentono di monitorare a distanza qualunque loro attività online: telefonate, messaggi SMS, social network (compresi i messaggi criptati di WhatsApp), foto, mail e ogni cosa digitata sulla tastiera. In alternativa al monitoraggio, si possono imporre dei filtri o impostare degli allarmi: per esempio, si possono bloccare gli acquisti online, limitare gli orari e i tempi di utilizzo, si può impedire l’accesso a siti indesiderati o inadatti, si possono scegliere le persone con le quali il minore può chattare, oppure si può essere semplicemente avvisati in modo silenzioso quando il figlio fa una di queste cose.

Ma è legale?

Avrete notato che la tecnologia consente un livello di sorveglianza mai visto prima, degno di uno stato di polizia o di un Grande Fratello orwelliano. Se foste nei panni dei vostri figli, probabilmente non gradireste l’idea di essere pedinati e osservati costantemente.

La questione della legalità di questi sistemi di sorveglianza è complessa e non voglio sostituirmi agli esperti, ma ci sono alcuni criteri di fondo da considerare, come la Convenzione sui Diritti dell’Infanzia dell’ONU: in molti ordinamenti giuridici nazionali, i genitori hanno il diritto di correzione e controllo e l’obbligo di vigilanza ed educazione verso i minorenni, e in alcuni casi questo diritto e quest’obbligo possono prevalere sul diritto del figlio (anche minorenne) di avere una sfera privata. Per esempio un genitore solitamente può sorvegliare elettronicamente un minorenne se questo serve realisticamente a proteggerlo da un pericolo concreto (o a impedirgli comportamenti che possono danneggiare altri) ma non se la sorveglianza diventa morbosa o è spinta da semplice curiosità.

Va considerato, inoltre, che i genitori sono legalmente responsabili di quello che fanno i loro figli minorenni e che di solito gli abbonamenti alla rete telefonica cellulare o ai giochi online sono intestati ai genitori, per cui queste responsabilità normalmente giustificano una ragionevole sorveglianza.

Un altro criterio è la trasparenza: un conto è sorvegliare l’attività digitale dei figli di nascosto e un altro è farlo con il loro consenso o perlomeno avvisandoli che sono sorvegliati. Legalismi a parte, si tratta anche di decidere che tipo di rapporto si vuole avere con i propri figli.

Tutto cambia se il figlio non è minorenne: in tal caso qualunque sorveglianza occulta non consensuale è quasi sicuramente illegale, salvo casi molti particolari legati per esempio a condizioni mediche o psicologiche.

Il consiglio pratico è quindi di limitare la sorveglianza allo stretto indispensabile per la protezione dei figli, distinguere bene fra minorenni e maggiorenni, e scegliere se possibile la via del consenso.

Sorveglianza soft

Se si tratta semplicemente di sapere dove si trova un figlio in momenti specifici della giornata (e se un figlio vuole rassicurare i genitori ansiosi), esistono vari sistemi semplici e gratuiti di localizzazione volontaria, basati sugli smartphone, come Life360.

Per esempio, il figlio può condividere la propria localizzazione con i genitori usando WhatsApp: apre una chat (anche di gruppo), tocca l’icona degli allegati, sceglie Posizione e poi Condividi posizione attuale e decide un limite di tempo per il quale segnalare la propria posizione. Le istruzioni di WhatsApp sono qui.

La stessa condivisione temporanea della localizzazione è possibile in Google Maps: al figlio basta toccare il pallino blu che indica la propria posizione, scegliere Condividi la tua posizione, scegliere una durata e un destinatario. Le istruzioni di Google sono qui.

Se figlio e genitore usano Facebook Messenger, possono condividere la posizione aprendo una conversazione, toccando il simbolo “+” e poi toccando Luogo. Le istruzioni di Facebook sono qui.

Sorveglianza approfondita e non consensuale

Credit: Gadgetblog.

Ci sono, purtroppo, casi in cui il consenso non c’è o non basta: un figlio ribelle, che ha cattive compagnie, che ha sviluppato una dipendenza da videogiochi o da social network, che è preso di mira da un bullo a scuola o da un molestatore che gli spegne lo smartphone, che ha problemi di attenzione, memoria o orientamento, o più semplicemente un figlio molto piccolo che non sa come usare uno smartphone o uno più grande che si sta divertendo troppo e si dimentica che doveva attivare la localizzazione per non impensierire i genitori.

In casi come questi ci sono dispositivi di localizzazione automatici e autonomi da integrare negli indumenti (per esempio nelle scarpe) o cucire dentro una cartella o zainetto. Ci sono anche braccialetti, smartwatch e ciondoli, che hanno a volte anche una funzione di allarme. Hanno una propria batteria e una propria SIM, per cui funzionano senza dipendere da un telefonino, e in molti casi la loro batteria si carica senza doverli rimuovere dal loro alloggiamento.

Per sorvegliare completamente le attività online servono invece applicazioni apposite, alcune delle quali sono completamente invisibili se l’utente non è particolarmente esperto. Ne trovate un buon elenco qui su Laleggepertutti.it.

L’altra faccia della sorveglianza

Le possibilità sono tante, insomma, ma ci sono anche alcuni rischi che è meglio considerare attentamente. Per esempio, questi gadget digitali possono creare l’illusione del controllo, perché il figlio usa il telefonino o la connessione Internet di qualcun altro e non lascia tracce sul proprio, oppure affida il telefonino a un compagno che resta a scuola e quindi elude la geolocalizzazione.

Non bisogna trascurare, inoltre, il costo di alcuni di questi sistemi e l’onere di sfogliare grandi quantità di dati, schermate e spostamenti ogni giorno, e c’è anche il rischio che altri possano mettere le mani su tutte queste informazioni sensibili accumulate. Ma le infinite opzioni di localizzazione e di sorveglianza sono anche una buona occasione per educare i figli a non dare a terzi con leggerezza le proprie informazioni, anche se non sembrano particolarmente private. Il battito del cuore e i movimenti del polso registrati da uno smartwatch, per esempio, possono sembrare irrilevanti in termini di privacy, ma in realtà possono essere usati anche per monitorare l’attività sessuale.

Gli smartphone Android hanno tracciato la posizione anche a localizzazione spenta

Gli smartphone Android hanno tracciato la posizione anche a localizzazione spenta

È piuttosto ben noto che gli smartphone hanno funzioni di geolocalizzazione, utili per esempio per orientarsi in una città o per trovare il ristorante più vicino. Ad alcuni utenti questa localizzazione dà fastidio perché significa regalare alle aziende la cronologia di dove vanno, per cui la spengono usando le apposite opzioni del telefonino. Problema risolto? No.

È emerso che Google ha raccolto le coordinate di localizzazione dei telefonini Android, e quindi dei loro utenti, anche quando le opzioni di localizzazione erano spente, non c’era inserita una SIM e non c’erano app installate. La scoperta riguarda qualunque telefonino Android e questa raccolta di dati non è in alcun modo disattivabile dall’utente se non spegnendo completamente il telefonino o mettendolo in modalità aereo.

Google ha confermato, ammettendo che dall’inizio di quest’anno ha raccolto questi dati usando i segnali delle antenne delle reti cellulari e facendo triangolazione. Secondo Google, questi dati servivano per provare a recapitare meglio le notifiche e i messaggi, non sono stati conservati e non verranno più raccolti a partire dalla fine di novembre 2017. Peccato non aver pensato di avvisarci che i nostri dispositivi non rispettavano i nostri desideri.

Google non è nuova a questo genere di raccolta di dati non annunciata: nel 2010 era stata colta a raccogliere per anni password, nomi utente e mail private tramite i Wi-Fi delle sue auto usate per creare le mappe e le foto di Street View, finendo davanti alla Corte Suprema degli Stati Uniti e ricevendo sanzioni e proteste da Francia, Australia, Regno Unito e molti altri paesi. Anche in quell’occasione, Google aveva detto che non raccoglieva e conservava questi dati, ma poi era emerso che lo faceva eccome.

Fonte aggiuntiva: Engadget.

Germania, niente smartwatch microspia per i bambini

Germania, niente smartwatch microspia per i bambini

La Bundesnetzagentur, l’agenzia governativa tedesca per le infrastrutture, ha annunciato lunedì scorso che in Germania gli smartwatch per bambini che hanno una funzione di ascolto e monitoraggio a distanza sono proibiti e vanno distrutti, perché sono l‘equivalente di una microspia.

Le indagini dell’agenzia hanno infatti scoperto che i genitori li stavano usando per origliare gli insegnanti durante le lezioni a scuola.

L’agenzia ha spiegato che i genitori possono inoltre usare questi smartwatch, dotati di carta SIM, per ascoltare di nascosto i bambini e l’ambiente in cui si trovano. Tramite un’app, possono comandare questi orologi in modo che chiamino un numero telefonico desiderato senza che se ne accorga chi li indossa o chi sta nelle vicinanze e così intercettare le conversazioni: queste funzioni sono proibite secondo la legge tedesca.

La Bundesnetzagentur raccomanda in particolare alle scuole di fare molta attenzione agli studenti che indossano smartwatch dotati di funzioni di ascolto e ordina a chi li ha comprati di distruggerli e di mandare all’agenzia una prova dell’avvenuta distruzione, seguendo queste istruzioni.

Non è la prima volta che un dispositivo smart viene proibito dalle autorità o sconsigliato dalle associazioni di difesa dei consumatori o dagli esperti d’informatica a causa di queste funzioni di sorveglianza nascosta: nel 2016 era successo con alcuni robot e bambole e a marzo 2017 era capitato con i CloudPets.

Il presidente della BNA, Jochen Homann, ha detto che “l’ambiente dei bambini va protetto”, anche perché una ricerca di un’associazione di difesa dei consumatori norvegese ha scoperto che molti di questi smartwatch non hanno alcuna protezione informatica e quindi possono essere abusati facilmente da sconosciuti per pedinare i bambini, parlare con loro di nascosto e scattare foto.

Video: se la telecamera di sorveglianza di casa comincia a parlarti, hai un problema

Video: se la telecamera di sorveglianza di casa comincia a parlarti, hai un problema

Ho parlato spesso del rischio che un dispositivo collegato alla rete informatica domestica possa essere sfruttato dagli aggressori. Ma un conto è la teoria, un altro è vedere le cose la pratica.

Una donna olandese, Rilana Hamer, ha pubblicato su Facebook un video (attenzione: contiene turpiloquio in inglese) nel quale mostra che la sua telecamerina di sorveglianza via Internet, che aveva comprato per tenere d’occhio il suo cagnolino mentre lei è fuori casa, ha cominciato a muoversi da sola e a parlarle.

Rilana racconta di essere tornata a casa e di aver sentito una voce proveniente dalla telecamera, che si rivolgeva a lei in francese, dicendole “Bonjour madame”. Si è spaventata così tanto che ha scollegato la telecamera dall’alimentazione e l’ha chiusa in una scatola.

La donna pensava di essere impazzita, ma ha raccontato l’episodio a un amico e ha deciso di ricollegare la telecamera per documentare in video il fenomeno. Puntualmente sono ritornate le voci.

Questo genere di attacco avviene perché molte di queste telecamerine di sorveglianza contengono software difettoso e non aggiornato e vengono spesso installate senza cambiarne le password di accesso predefinite. Molti utenti non sanno che una telecamera connessa a Internet è rilevabile da chiunque con gli appositi motori di ricerca (come Shodan.io) e quindi è un bersaglio facile per ficcanaso e burloni.

La donna, giustamente, si chiede “Che cosa ha visto di me questa persona? La mia casa, le mie cose personali…la mia privacy”. Prima di installare in casa dispositivi come questi, insomma, pensiamoci bene e dedichiamo qualche minuto a leggere il manuale d’istruzioni per cambiare le password predefinite e scaricare gli aggiornamenti del software di controllo.

Quanto siamo tracciabili e spiabili tramite app e pubblicità: inchiesta della TV svizzera

Quanto siamo tracciabili e spiabili tramite app e pubblicità: inchiesta della TV svizzera

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora.

Ieri sera è andata in onda una puntata del programma di difesa dei consumatori Patti Chiari della Radiotelevisione Svizzera di lingua italiana dedicata interamente alla questione del tracciamento commerciale, truffaldino o criminale reso possibile dalla disinvoltura con la quale gli utenti installano sui propri smartphone tante app senza fare alcun controllo su quali dati personali vengono letti e collezionati da queste app. Basta che sia un bel giochino e sia gratis, e gli utenti installeranno qualunque cosa.

Ho partecipato al programma sia nei servizi di redazione, sia in studio, dove c’era anche l’Incaricato federale per la protezione dei dati del governo svizzero, Adrian Lobsiger.

Potete rivedere la puntata qui (o nell’embed qui sotto) insieme ai video di accompagnamento che ampliano le spiegazioni e le informazioni per imparare a difendersi dall’invadenza delle app ficcanaso. Complimenti anche a Cryms per la creazione dell’app dimostrativa e a Compass Security per la dimostrazione di come rubare account e identità digitali a una vittima usando semplicemente un’app.

I tutorial di accompagnamento:

  • Come impostare le autorizzazioni su Android, iPhone, Google e Facebook
  • Interviste a Michal Kosinski, al sottoscritto e ad Alessandro Trivilini, docente del Dipartimento di tecnologie innovative della SUPSI.
  • Big Data: il caso Trump e Cambridge Analytica, rapporti tecnici e programmi di prevenzione
  • Notizie correlate alla raccolta di dati da parte dei social network
  • I commenti dei telespettatori e le mie risposte.
Google smetterà di leggere la vostra posta su Gmail

Google smetterà di leggere la vostra posta su Gmail

Probabilmente sapevate già che Google legge la mail di tutti gli utenti della versione gratuita di Gmail, e che quindi inevitabilmente legge anche le mail di chi non usa Gmail ma scambia messaggi con un utente Gmail.

Molti, però, lo hanno scoperto soltanto adesso che Google ha annunciato che smetterà prossimamente di effettuare questa lettura di massa. Come sempre, quando qualcuno offre un servizio gratuito, vuol dire che c’è un altro tipo di prezzo da pagare.

Intendiamoci, non si tratta di una lettura manuale da parte di un dipendente di Google, ma di una scansione automatica del testo di tutte le mail di tutti i suoi utenti non paganti, fatta allo scopo di proporre all’utente pubblicità riguardante gli argomenti citati nei messaggi, compresi temi delicati come la salute, le situazioni sentimentali, i problemi economici o i figli. Se usate Gmail e vi siete mai chiesti come mai quando leggete la vostra mail vi compaiono pubblicità che si riferiscono proprio alle cose di cui scrivete, ora avete almeno una parte della risposta.

Se questa prassi di Google vi sembra piuttosto invadente, siete in buona compagnia: Microsoft sottolineò questo comportamento di Google in questa pubblicità impietosa nel 2013:

Inoltre Google è già stata oggetto di azioni legali per questa sua lettura di massa della corrispondenza digitale, che costituirebbe una forma di intercettazione e di violazione della privacy, tanto che nel 2014 l’azienda smise di effettuare questa lettura delle mail per alcune categorie di utenti, come gli studenti e i docenti e gli utenti della versione commerciale dei suoi servizi, chiamata GSuite. Ma gli utenti comuni sono rimasti finora esclusi da questa misura protettiva, che entrerà in vigore, secondo l’annuncio di Google, nei prossimi mesi e comunque entro fine anno.

Ma attenzione: questo cambiamento di rotta non significa che Google smetterà di leggere la vostra corrispondenza. Continuerà infatti a farlo, ma non più per scopi legati alla personalizzazione delle pubblicità: lo farà per esempio per filtrare lo spam e bloccare i messaggi che contengono virus riconosciuti o tentativi di furto di password, e lo farà per proporre risposte automatiche e per consentirvi di effettuare ricerche nel vostro archivio di posta.

Se siete un po’ sospettosi come me di fronte a questo genere di gesto di apparente generosità, non avete torto: Google, infatti, ha comunque mille altri modi per sapere tutto di noi e personalizzare le pubblicità mirate che sono la sua principale fonte di incassi. Lo può fare, per esempio, attingendo alla cronologia di tutto quello che cerchiamo in Google o che guardiamo su Youtube.

Se volete evitare pubblicità troppo personali e magari imbarazzanti, potete andare a Myaccount.google.com, scegliere Impostazioni annunci, Gestisci le impostazioni annunci e poi selezionare Disattiva nella sezione Personalizzazione degli annunci. Continuerete comunque a vedere pubblicità nel vostro Gmail, ma perlomeno non sarà pubblicità rivelatrice.

Fonti: Ars Technica, Bloomberg.

Ecco come vengono sfruttati in concreto i dati delle nostre navigazioni

Ecco come vengono sfruttati in concreto i dati delle nostre navigazioni

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2017/06/06 14:00.

Se volete farvi un’idea di come vengono utilizzati in pratica i dati che riversiamo più o meno inconsapevolmente in Internet, c’è una ricerca molto interessante pubblicata dall’austriaca Cracked Labs: s’intitola Corporate Surveillance in Everyday Life: How Companies Collect, Combine, Analyze, Trade, and Use Personal Data on Billions.

Ne cito giusto tre esempi:

– A Singapore, un’azienda calcola l’affidabilità delle persone per i prestiti basandosi sull’uso del telefonino, sulle applicazioni adoperate, sulle transazioni con le società di telecomunicazioni e sui dati immessi nel Web e nei social network, compresi i clic e il modo in cui vengono immessi i dati nei moduli da compilare online. Vengono valutati persino l’uso della batteria e il suo scaricamento eccessivo.

– La compagnia assicurativa Aviva fa previsioni sulla salute individuale per malattie come diabete, cancro e depressione usando i dati dei consumatori usati tradizionalmente per il marketing, che ha comperato da un data broker.

– Nei casinò di Las Vegas si usa la predictive analytics per stimare il walk-away pain point, ossia il punto in cui un giocatore sta soffrendo così tanto per le proprie perdite da decidere di andarsene, e intervenire offrendogli buoni pasto gratuiti per farlo restare.

Il rapporto fa anche i nomi dei grandi aggregatori di dati: non solo Facebook, Google, Microsoft, Apple e Roku, con i loro ID pubblicitari (pag. 68 del rapporto), ma anche aziende come Acxiom, Experian e Oracle, e le media company, gli operatori telefonici, i fornitori di servizi Internet, le catene alberghiere, le compagnie aeree. Tutto senza che ce ne accorgiamo.

Fonte aggiuntiva: The Register.

Fonte di documenti segreti NSA incastrata (anche) dalla cronologia di Google

Fonte di documenti segreti NSA incastrata (anche) dalla cronologia di Google

Reality Winner, la dipendente di un’azienda collegata all’NSA che è accusata di aver passato alla stampa documenti segreti, è stata incastrata da vari errori operativi oltre a quello della stampa dei documenti su una stampante che li contrassegnava con un codice identificativo segreto (raccontata qui).

Uno di questi, particolarmente grave, emerge dagli atti del processo già in corso contro la Winner: il 9 novembre 2016 la donna usò il computer del suo posto di lavoro (presso l’aviazione militare statunitense) per cercare in Google la risposta a una domanda particolarmente ingenua: “Do top secret computers know when a
thumb drive is inserted?”
. Una bella dimostrazione del fatto che la cronologia delle ricerche in Google può essere molto rivelatrice.

Se volete vedere la vostra, collegatevi al vostro account Google e poi visitate https://myactivity.google.com/myactivity. Buon divertimento.

Le app che sussurrano ai pubblicitari: tracciamento degli smartphone tramite ultrasuoni

Le app che sussurrano ai pubblicitari: tracciamento degli smartphone tramite ultrasuoni

Siete il tipo di persona che cerca di non ascoltare le pubblicità televisive o nei centri commerciali per non farsene influenzare negli acquisti? È uno sforzo nobile, ma forse non avete considerato che il vostro smartphone potrebbe ascoltarle comunque di nascosto per voi e manipolarvi di conseguenza.

Alcuni ricercatori dell’Università Tecnica di Braunschweig, in Germania, hanno pubblicato un’indagine sul mondo dei cosiddetti beacon ultrasonici (Privacy Threats through Ultrasonic Side Channels on Mobile Devices). Si tratta di suoni acutissimi, che l’orecchio umano non è in grado di percepire ma che il microfono di un telefonino capta senza problemi.

Questi suoni vengono inseriti segretamente nell’audio delle pubblicità o nella musica dei centri commerciali e vengono ricevuti altrettanto segretamente da varie app per dispositivi Android (i ricercatori hanno studiato solo dispositivi Android e non hanno raccolto dati su comportamenti analoghi di app per iPhone). In questo modo è possibile sapere per esempio quali programmi televisivi state guardando e anche in quale punto di un centro commerciale vi trovate, anche se avete spento la localizzazione tramite GPS. Una forma di sorveglianza decisamente invadente e soprattutto spesso non dichiarata.

Non è un problema teorico: i ricercatori hanno trovato questi sistemi di pedinamento ultrasonico in quattro dei 35 centri commerciali che hanno visitato in due città europee (non specificate nella ricerca). Hanno inoltre rilevato numerose app Android che ascoltano questi segnali nascosti: app di aziende come Shopkick, Lisnr o Signal360, che sfruttano questa tecnica per sapere quando entrate in uno dei centri commerciali convenzionati e bombardarvi di pubblicità o di buoni acquisto su misura.

I ricercatori tedeschi dichiarano inoltre di aver trovato in Google Play oltre 200 esempi di app contenenti il sistema di tracciamento ultrasonico della Silverpush. Molte di queste app sono state scaricate milioni di volte, sono legate a marchi commerciali molto conosciuti e si presentano come app dedicate a tutt’altro scopo; pochissime, oltre a quelle che ho citato prima, avvisano chiaramente l’utente che sorvegliano e registrano le sue abitudini tramite suoni diffusi nell’ambiente e captati dallo smartphone. L’azienda, però, ha dichiarato di aver interrotto l’uso di questa tecnologia.

Molte persone non sono particolarmente turbate dall’idea di regalare informazioni personali ai pubblicitari in cambio di qualcosa, però ci tengono comunque a sapere se e quando vengono tracciate commercialmente, in modo da poter fare perlomeno una scelta informata: se volete tutelarvi contro questo genere d’invasione silenziosa della vostra vita e avete uno smartphone dotato di Android 6.0 o successivo, potete andare in Impostazioni – App, toccare l’icona dell’ingranaggio, scegliere Autorizzazioni app e poi Microfono per avere un elenco delle app che hanno il permesso di usare il microfono. Se ne vedete qualcuna che non conoscete, toglietele il permesso toccando il selettore a scorrimento a destra del nome dell’app.

Se non volete dedicarvi a questo genere di acrobazie, prendete perlomeno l’abitudine di installare solo le app che vi servono veramente: questa è comunque una buona precauzione per evitare non solo il tracciamento ultrasonico ma anche molte truffe e infezioni informatiche e vari bombardamenti pubblicitari indesiderati, in modo da non dover passare dall’uomo che sussurrava ai cavalli all’app che sussurra ai pubblicitari.

Fonti aggiuntive: Ars Technica.

No, la CIA non ti spia: Wikileaks gonfia la fuga di dati “Vault 7”

No, la CIA non ti spia: Wikileaks gonfia la fuga di dati “Vault 7”

Ultimo aggiornamento: 2017/03/14 13:40. 

Martedì scorso Wikileaks ha diffuso circa mezzo gigabyte di dati e documenti che, a suo dire, provengono direttamente dagli archivi della CIA e rivelano molti degli strumenti informatici dell’agenzia governativa statunitense. La compilation, chiamata Year Zero, farebbe parte di una collezione più ampia che Wikileaks chiama Vault 7. Le prime verifiche indipendenti indicano che almeno alcuni dei documenti pubblicati sono autentici.

La rivelazione è molto spettacolare: nei documenti vengono descritti strumenti decisamente inquietanti, capaci per esempio di infettare qualunque smartphone, di prendere il controllo di qualunque Smart TV della Samsung e trasformarla in un microfono permanentemente acceso anche quando il televisore sembra spento, e soprattutto viene elencata una serie di falle informatiche presenti in vari prodotti, compresi i computer Windows e Apple e molti antivirus, e tenute segrete per poterle sfruttare al momento opportuno. Secondo Wikileaks la CIA avrebbe anche modi per “scavalcare la cifratura” che protegge WhatsApp, Signal, Telegram e molte altre app di messaggistica ritenute sicure. Ma se avete una Smart TV o uno smartphone o un computer e state pensando di buttarli e di rinunciare a difenderli perché la CIA vi spia, è il caso che prendiate un bel respiro e non vi facciate prendere dal panico. Anche se l’esame di questi circa 8700 documenti è appena iniziato, ci sono già parecchi miti da smontare.

Prima di tutto, come principio generale, quasi tutti gli strumenti di spionaggio catalogati da Year Zero sono concepiti per infettare un singolo dispositivo per volta (le TV Samsung vanno infettate infilando una chiavetta USB) e non consentono sorveglianze di massa. Le probabilità che la CIA si prenda la briga di infettare personalmente i vostri dispositivi sono quindi estremamente basse (se non lavorate in ambienti particolarmente delicati).

Se avete paura per la vostra sicurezza informatica, è infinitamente più probabile che subiate un attacco di phishing o di ransomware fatto a caso da una delle tante bande di criminali informatici o che il vostro collega devasti i computer dell’azienda scaricandovi giochini o video infetti o rispondendo alla mail di un funzionario nigeriano che gli offre di spartire una grande somma di denaro (un’industria truffaldina che racimola almeno un miliardo di dollari l’anno). Conviene concentrarsi sulla difesa da questi pericoli realistici e non su quelli ispirati da James Bond.

In secondo luogo, la fuga di queste notizie riservatissime ha molte conseguenze positive per noi tutti. Certo, è una figuraccia per la CIA, ma è anche una conferma chiarissima delle ragioni che avevano spinto Tim Cook, boss di Apple, a rifiutarsi di collaborare con gli inquirenti statunitensi nello sbloccare l’iPhone di uno dei terroristi dell’attentato di San Bernardino nel 2016. Cook diceva che creare un grimaldello capace di sbloccare quell’iPhone avrebbe compromesso la sicurezza di tutti gli utenti iPhone del mondo, perché prima o poi quel grimaldello sarebbe sfuggito al controllo del governo e sarebbe finito nelle mani sbagliate. All’epoca quest’ipotesi era sembrata un po’ fantasiosa ed eccessivamente priva di fiducia verso le autorità: adesso i documenti della CIA trafugati dimostrano che era corretta.

Una seconda conseguenza positiva delle rivelazioni è che adesso le aziende che producono hardware e software possono sapere di queste falle tenute nascoste e correggerle. Va notato che in questa prima tranche di documenti ci sono solo informazioni generali sugli strumenti d’attacco ma non ci sono gli strumenti veri e propri, per cui è difficile che i criminali informatici possano usare questa fuga di dati per creare nuovi attacchi.

Allo stesso tempo la pubblicazione dei documenti da parte di Wikileaks ha messo in luce un problema di sicurezza generale: è giusto che un governo scopra delle falle di sicurezza nei prodotti di largo consumo, usati dai suoi stessi cittadini e dalle sue aziende strategiche, e le tenga segrete per poterle sfruttare, invece di informare le aziende produttrici e consentire di correggerle? È vero che conoscere queste falle conferisce un vantaggio nella lotta al terrorismo e nel controspionaggio, ma allo stesso tempo compromette la sicurezza dei cittadini e delle infrastrutture che il governo è tenuto a proteggere, come nota la Electronic Frontier Foundation. È difficile argomentare in modo credibile che siccome da qualche parte ci potrebbe essere un terrorista che usa una TV della Samsung è meglio lasciare milioni di persone esposte al rischio di intrusione e di stalking. Per fare un paragone, è come se un poliziotto passasse davanti a casa vostra, si accorgesse che la serratura della vostra porta di casa è difettosa, e invece di avvisarvi che è meglio cambiarla se ne andasse via facendo finta di niente e prendendo nota del difetto, caso mai gli dovesse servire entrare di soppiatto.

Inoltre le tecniche di intrusione descritte nei documenti resi pubblici fin qui non rivelano nulla di straordinario: si sospettava già da tempo che i servizi di sicurezza di vari governi ne disponessero e questi documenti non hanno sorpreso gli esperti. Semmai questi documenti sono interessanti perché mostrano dall’interno il modo di operare di una delle agenzie più segrete del mondo, spesso con risultati sorprendenti. Per esempio, i documenti trafugati mostrano che la CIA acquista attacchi informatici da società commerciali e da agenzie governative di altri paesi.

Per fare un altro esempio, i nomi dei vari strumenti d’attacco informatico sono presi spesso dalla cultura geek e giovanile. Spicca, per esempio, il programma Weeping Angel, “Angelo piangente”, che serve per attaccare le Smart TV: è una chiarissima citazione del telefilm britannico Doctor Who. Ci sono moltissimi nomi comici o ridicoli o citazioni da memi o videogiochi, come Philosoraptor o DRBOOM, e c’è addirittura una collezione di emoticon personalizzate (mostrata anche qui e nel documento originale): paradossalmente, questa fuga di dati umanizza parecchio gli operatori senza nome dell’agenzia.

Purtroppo il clamore giornalistico e un po’ di esagerazione drammatica stanno creando parecchi equivoci. Forse il più importante è che nei documenti resi pubblici non viene affatto detto che la CIA ha compromesso la crittografia di WhatsApp, Signal o Telegram, ma che è in grado di intercettare le digitazioni degli utenti in generale se riesce a infettare l’intero smartphone sul quale girano queste app. Quindi la sicurezza di queste app non è stata violata e non è affatto il caso di abbandonarle pensando “tanto è tutto inutile”: semplicemente, come per qualunque app, se il dispositivo è stato compromesso non c’è nulla che l’app possa fare per proteggere il suo utente. Anzi, secondo Moxie Marlinspike, creatore di Signal, il fatto che la CIA debba ricorrere all’infezione individuale dello smartphone significa che la crittografia di Signal è robusta contro le intercettazioni di massa. E se un intruso ha accesso fisico ai vostri dispositivi personali vuol dire che potrebbe fare ben di peggio, per esempio installando microspie tradizionali, senza prendersi la briga di architettare complicate infezioni.

Inoltre il fatto che la CIA sviluppi o tenti di sviluppare strumenti informatici d’attacco non significa necessariamente che li usi o che li abbia creati con successo. Per esempio, l’idea che la CIA studi tecniche per infettare i sistemi computerizzati che controllano il funzionamento delle nostre automobili per avere un modo di compiere delitti perfetti senza lasciare tracce è inquietante, soprattutto per chi ha un’auto interconnessa o addirittura aggiornabile via software da remoto (Tesla, per esempio, ma anche le altre marche che hanno centraline aggiornabili con un intervento locale), ma non vuol dire che ci sia riuscita, che lo faccia e che i costruttori di auto non possano prendere contromisure. Di fronte al rischio quotidiano di un incidente stradale, questi pericoli finiscono per essere puramente teorici.

Se volete leggere i dettagli di questa vicenda, consiglio gli articoli di Stefania Maurizi su Repubblica e di Carola Frediani su La Stampa.

Fonti aggiuntive: Washington Post, The Register, Gizmodo, Reuters, The Intercept.