La scoperta di una grossa falla di sicurezza offre lo spunto per capire quanto sia importante tenere conto della protezione dei dati nella progettazione di questi strumenti
Nome, cognome, coordinate gps del luogo di quarantena, centri medici in cui è stato visitato. Sono questi i dati sensibili dei cittadini del Qatar che chiunque avrebbe potuto facilmente ottenere a partire dal codice identificativo nazionale (il numero di carta d’identità, in pratica) dalla app di contact tracing per gestire il contagio da coronavirus adottata dal paese arabo. È quanto emerge da un’indagine di Amnesty Security Lab, divisione dell’associazione non governativa, su Ehteraz, la app qatariota. Un’inchiesta che porta alla ribalta la questione della sicurezza informatica delle app adottate dai governi per ricostruire i contatti a rischio infezione da Covid-19.
Problema di autenticazione
Ma andiamo con ordine. Il Qatar non è famoso per la libertà d’espressione, e come conseguenza il rispetto della privacy dei suoi cittadini, quindi nella progettazione della sua app di contact tracing non si è tenuto molto conto di questo aspetto. Inoltre, l’installazione di Ehteraz è stata imposta alla popolazione: chi non la utilizza rischia il carcere fino a tre anni e una multa fino a 55mila dollari. Questo, ovviamente, ha portato al download in massa del software.
Poca cura dei principi di privacy e diffusione su larga scala: terreno fertile per analizzare cosa può andare storto con un’app così complessa e sensibile. Amnesty è partita richiedendo, via app, un codice Qr col semplice invio del codice identificativo nazionale. Chiunque in possesso del codice di qualcuno, può richiederne a suo nome un Qr. E in base al codice Qr è possibile risalire a diverse informazioni sensibili dell’utente. Già a partire dal colore del codice di rischio: giallo, se l’utente è in quarantena: grigio, se l’utente è “sospetto” e verde se invece ha il totale lasciapassare. La lettura del Qr code, poi, ha consentito agli esperti di Amnesty du accedere ad altri dati: nome e cognome in inglese e arabo, coordinate gps dell’eventuale luogo di quarantena, centri medici dove viene gestita l’eventuale infezione dal virus.
Generazioni multiple
Considerando, poi, che il codice identificativo segue uno schema fisso nella creazione, un po’ come avviene per il nostro codice fiscale, è stato possibile generarne in sequenza e casualmente. E si noti che, sebbene si parli in questo caso di vulnerabilità, questa, più che tecnica, è progettuale.
Il governo del Qatar, informato del problema, ha già provveduto a risolvere il problema, ma da questa storia impariamo cosa può succedere se la privacy non viene gestita come elemento organico del progetto.
È un tema che riguarda da vicino anche lo sviluppo delle medesime app in Europa. Qualche giorno fa è stata pubblicata una parte del codice sorgente di Immuni, l’applicazione scelta dal governo italiano, che dovrebbe debuttare presto, dopo un periodo di test in alcune Regioni. Quella porzione rappresenta una parte del progetto: il frontend. Gran parte del lavoro viene sviluppato dall’interfaccia di Apple e Google e manca ancora il codice del backend, cioè quella parte di software che risiede in un server ed è incaricata di valutare se e come un dato dispositivo meriti la famigerata notifica di rischio di contagio.
Leggi anche