Il Parlamento Europeo approva il “Chat Control” e apre la strada alla sorveglianza di massa

La UE sta sdoganando la sorveglianza di massa, strumento molto utile per una classe dominante in crisi in tempi in cui l’unica promessa che è sicura di mantenere verso i popoli che governa è quella di cacciarli in un’escalation bellica senza fine. Ma nel voto appena avvenuto a Strasburgo ci sono anche altri due problemi: la libertà di manovra lasciata alle Big Tech e le modalità di votazione, che hanno palesato la natura delle istituzioni europee, che è tutto fuorché democratica.

Il 9 luglio, il Parlamento Europeo ha approvato la proroga di una norma temporanea già sostenuta dal Consiglio dell’Unione Europea, all’unanimità. Si tratta della misura definita come “Chat Control”, che ha sollevato un acceso dibattito perché, nei fatti, permette il controllo di una gran quantità di dati privati da parte delle aziende di messaggistica e posta elettronica.

Con la formula “Chat Control” si intende una norma che permette ai fornitori di servizi di analizzare, in maniera volontaria, i contenuti, e di rimuoverli e segnalarli nel caso dell’individuazione di materiale pedopornografico o di messaggi finalizzati all’adescamento. Tale misura era in scadenza, ma è stata appunto prorogata fino al 3 aprile 2028.

A rimanere in dubbio è perso l’ampiezza dei poteri da concedere alle aziende. Infatti, tramite emendamento, le comunicazioni protette dalla cosiddetta “crittografia end-to-end”, ovvero dal quel sistema crittografico che consente la lettura del contenuto inviato solo sui dispositivi del mittente e del destinatario, rimangono fuori da questo provvedimento.

Sarà un software a effettuare una prima disamina dei contenuti controllati. Se l’algoritmo troverà una corrispondenza o un’elevata probabilità di illecito, allora verrà fatta una segnalazione poi controllata da revisori umani, autorità nazionali, forze di polizia e, nel futuro impianto, un Centro adibito a questo compito.

C’è però un problema enorme. Il software, per il modo in cui riconosce casi passibili di finire sotto segnalazione, usa meccanismi che rischiano di provocare una gran quantità di errori (i file esaminati possono essere milioni e milioni al giorno), e a dirlo è il Garante europeo della protezione dei dati (EDPS).

Ma soprattutto, l’EDPS ha sottolineato che la norma approvata non definisce garanzie chiare sui limiti del monitoraggio delle imprese private, lasciando loro ampia discrezionalità. Questo potrebbe finire col colpire in particolare soggetti protetti da obblighi di riservatezza, come giornalisti, avvocati, e altri professionisti.

Il Garante ha infine criticato la possibilità che una norma nata in maniera eccezionale e temporanea nel 2021 diventa solida architettura della UE, nonostante l’impatto non chiarito sui diritti fondamentali dei suoi cittadini. Dietro il velo della lotta a crimini terribili, nei fatti un algoritmo metterà in mano a privati la gestione di una quantità enorme di dati riservati, che possono inoltre diventare anche strumento politico per una UE sempre più dedita alla censura, le sanzioni e la propaganda di guerra.

C’è poi la specifica di come il Parlamento Europeo ha votato tale proroga. Il testo era già stato respinto per ben due volte a marzo, ma la democraticissima presidente Roberta Metsola lo ha ripresentato ricorrendo a una procedura d’urgenza, così che al voto del 9 luglio fosse necessaria la maggioranza assoluta dell’Aula per respingere il provvedimento.

È così è accaduto che 314 parlamentari si sono espressi contro, e solo 276 a favore, ma alla fine il voto ha dato ragione a questi ultimi, perché a Metsola non andava giù l’opinione espressa dai colleghi precedentemente, per ben due volte. I due emendamenti decisivi per la tutela della crittografia hanno superato di poco la maggioranza assoluta richiesta (fissata a 360 voti), ottenendo rispettivamente 369 e 362 consensi.

Il provvedimento non è comunque entrato automaticamente in vigore. Il Consiglio deve decidere se accettare le modifiche inserite entro i prossimi tre mesi, e solo a quel punto il regolamento sarà adottato. Se invece il via libera non ci sarà, allora si aprirà un negoziato formale tra Parlamento e Consiglio per trovare un testo comune. Solo se questa mediazione non raggiungerà alcun risultato allora la proposta decadrà definitivamente.

Fonte

L’Europol fa pressione sulle Big Tech per superare la crittografia, ma chi è nel mirino?

A Davos, a catturare l’attenzione sono stati ovviamente i vari governanti che hanno discusso di un mondo sempre più diviso, in crisi e in conflitto. Ma a partecipare ai lavori c’erano soprattutto grandi attori privati, e anche altre istituzioni.

Tra queste c’era l’Europol con la sua direttrice esecutiva, Catherine De Bolle, che è tornata all’attacco dei giganti della tecnologia sul pericolo costituito dalla crittografia per il lavoro delle forze dell’ordine. Tali società, ha detto, hanno una “responsabilità sociale” di fronte alla polizia.

Nulla ci può trovare più d’accordo sul fatto che l’iniziativa privata porta con sé una responsabilità sociale, che spesso viene dimenticata o subordinata al profitto. Però non può non balzare agli occhi che questa responsabilità venga evocata solo solo sul piano spionistico-poliziesco. Sarebbe forse più credibile, come principio, se venisse ricordata anche quando si tratta di salari e condizioni di lavoro.

In un’intervista al Financial Times De Bolle ha infatti sottolineato come la raccolta di prove in casi che coinvolgono attività online spesso si scontri con un muro fatto dalla crittografia end-to-end delle piattaforme di messaggistica. “L’anonimato non è un diritto fondamentale”, ha affermato.

Ad aprile 2024, dall’Europol era già arrivata una dichiarazione simile per perorare la causa della rimozione di questo tipo di crittografia. “Le misure di privacy attualmente in fase di implementazione – scriveva – impediranno alle aziende tecnologiche di rilevare eventuali illeciti”.

Tra di essi vengono sempre citati ovviamente il traffico di droga, il “terrorismo”, e uno dei dei reati più odiosi, ovvero l’abuso sui minori.

Ma un’altra parte dell’intervista rilasciata da De Bolle al giornale britannico desta parecchie preoccupazioni. Infatti, la direttrice dell’organo di polizia ha parlato anche del pericolo di “ingerenze straniere” che passa proprio attraverso le piattaforme di messaggistica.

Ha contestualmente palesato la volontà di “ampliare l’uso dell’intelligenza artificiale nelle indagini dell’agenzia e analizzare le “minacce ibride”, come le recenti accuse contro la Russia di aver tagliato i cavi sottomarini nel Baltico”.

L’anno scorso la presidente della Commissione UE Ursula von der Leyen ha espresso l’intenzione di aumentare il personale Europol e di rafforzarne il mandato per “divenire un’agenzia di polizia realmente operativa”. Ciò ne cambierebbe profondamente il peso e il ruolo nell’architettura europea.

Ad oggi, l’Europol non ha giurisdizione se incappa in attività criminali che si svolgono a livello statale e, come ha detto De Bolle, per far sì che questo accada servirebbe una nuova legislazione. Cosa che von der Leyen sembra non aver affatto escluso.

Ma anche se tutto rimanesse com’è, è evidente che con la “minaccia ibrida” proveniente dall’estero sarebbe facile etichettare sotto questa “fattispecie” anche molte iniziative di opposizione che, in quanto tali, vengono sempre più facilmente associate a un’ingerenza di potenze considerate ostili (criticare l’invio di armi in Ucraina, per esempio, costa quasi sempre l’accusa di “filo-putinismo”).

A marzo l’Europol pubblicherà anche la sua valutazione quadriennale sulla criminalità organizzata, in cui vi saranno anche indicazioni sulle “interferenze straniere”. Vedremo come tale questione verrà affrontata, soprattutto considerato che il quadro della sorveglianza di massa che si va delineando in Europa è sempre più pieno di ombre, come è evidente anche dai contenuti dell’AI Act.

Insomma, c’è il pericolo che una richiesta che ufficialmente viene fondata su “nobili e condivisibili questioni” possa sfociare velocemente verso un’altra misura di repressione e censura.

L’affermazione di De Bolle – per la quale senza il superamento della crittografia end-to-end “non sarà possibile far rispettare la democrazia” – se diventerà realtà, lo sarà nella maniera distorta tipica delle democrature in cui ormai viviamo.

Fonte

Telegram, la Francia e l'UE

Agosto è certamente finito col botto per chi si occupa di piattaforme, con l’arresto, in gran parte inaspettato, di Pavel Durov, 39enne fondatore della app Telegram.

In estrema sintesi la vicenda: il cofondatore di origine russa (ma con passaporto anche emiratino, francese e di Saint Kitts and Nevis) della piattaforma di messaggistica (ormai quasi un social media) è stato arrestato mentre scendeva dal suo jet privato in Francia.

Rimasto in custodia della polizia per 24 ore, poi prolungate a 96, è stato infine rilasciato mercoledì 28 agosto, dopo essere stato messo formalmente sotto accusa con una serie di capi d’imputazione ancora vaghi ma che sembrano concentrarsi sull’idea che Telegram non collabori abbastanza a fronte di inchieste su specifiche attività criminali che si svolgono sulla piattaforma.

Durov ha ottenuto la libertà su cauzione (di 5 milioni di euro), non potrà lasciare la Francia e dovrà presentarsi a una stazione di polizia due volte alla settimana.

Francia ed Europa

Le norme europee non c’entrano nulla con la vicenda, e sebbene sia piuttosto evidente, dei portavoce della Commissione si sono sentiti in dovere di specificarlo. A muoversi è la Francia e la procura di Parigi.

“La quasi totale assenza di risposta di Telegram alle richieste giudiziarie è stata portata all’attenzione della sezione criminalità informatica (J3) del tribunale nazionale della criminalità organizzata (JUNALCO) presso la procura di Parigi, in particolare dall’ufficio nazionale per i minori (OFMIN)”, è scritto in un comunicato della procura (che contiene la lista di capi d’accusa).

Tutto nasce nel febbraio 2024 quando il tribunale di Parigi apre un’inchiesta preliminare e incarica l’OFMIN di condurre l’indagine. Il Centro per la lotta contro la criminalità informatica (C3N) e l’Ufficio nazionale antifrode (ONAF) hanno successivamente preso in carico l’inchiesta.

Secondo quanto riportato da Politico, i primi problemi di Durov partono da un’indagine separata incentrata su abusi sessuali su minori in cui un sospettato avrebbe usato Telegram per adescare ragazze minorenni minacciando di diffondere CSAM (Child Sexual Abuse Material) sui social media e rivelando anche uno stupro.

Ma alle richieste delle autorità francesi per identificare il sospettato, Telegram non avrebbe dato risposta, dando luogo così a un’indagine preliminare sulla sua riluttanza a collaborare con le forze dell’ordine su una questione penale.

Anche se l’UE non c’entra con l’indagine francese, potrebbe metterci il carico a breve, in virtù del DSA, il Digital Services Act. Da febbraio la nuova legge obbliga tutte le piattaforme che operano nell’UE a proteggere gli utenti online da contenuti illegali e dannosi. Ma quelle con più di 45 milioni di utenti attivi mensili sono soggette a obblighi più stringenti e sono regolamentate direttamente dalla Commissione (invece che dalle autorità nazionali).

Telegram, nel mirino proprio per le sue funzioni da social media (con gruppi e canali da migliaia di utenti), era finora sfuggita alle maglie più strette poiché a febbraio ha dichiarato di avere solo 41 milioni di utenti nei 27 Paesi dell’UE. E a fare da controllore dovrebbe essere l’autorità di telecomunicazioni belga, BIPT. Ma la Commissione avrebbe dubbi al riguardo.

“In base al Digital Services Act (DSA) dell’Ue – scrive il Financial Times – Telegram avrebbe dovuto fornire un numero aggiornato questo mese, ma non l’ha fatto, dichiarando solo di avere 'significativamente meno di 45 milioni di utenti (recipients) attivi medi mensili nell’UE'”.

L’incapacità di fornire i nuovi dati pone Telegram in violazione del DSA, hanno dichiarato due funzionari dell’UE, aggiungendo che è probabile che l’indagine dell’Unione europea scopra che il numero reale è superiore alla soglia per le “piattaforme online molto grandi”. Tale designazione comporta maggiori obblighi di conformità e di moderazione dei contenuti, di auditing da parte di terzi e di condivisione obbligatoria dei dati con la Commissione europea.

Crittografia

I capi di imputazione citano anche due norme sull’importazione e fornitura di servizi/strumenti di crittografia, per le quali mancherebbe della documentazione (dichiarazione di conformità).

A livello legale di queste norme francesi se ne parla qua: “la fornitura, l’importazione e l’esportazione di mezzi crittografici in e dalla Francia sono soggette a una dichiarazione preventiva o a un’autorizzazione preventiva dell’ANSSI (l’agenzia nazionale per la cybersicurezza, ndr), a seconda delle funzionalità tecniche e dell’operazione commerciale (fornitura o importazione).”

Qui il link alla pagina dell’ANSSI che ne parla.

Questa situazione sembra per ora secondaria nella vicenda, malgrado una parte della stampa americana, nota la giornalista statunitense Marcy Wheeler, continui a discuterne come se si trattasse di un crimine relativo all’uso della crittografia, quando avrebbe a che fare con una registrazione.

“Signal, l’applicazione di messaggistica cifrata più protettiva – scrive Wheeler – si è registrata in base a questa legge quando ha richiesto per la prima volta di offrire Signal negli app store francesi. Quindi, no, loro [Signal, diversamente da Telegram, ndr] non saranno perseguiti in base a questa legge, perché stanno seguendo la legge”.

Il riferimento della giornalista a Signal sembra prendere spunto da alcuni post di uno dei principali sviluppatori di Signal (oggi ad Apple) Frederic Jacobs, che dice di ricordarsi l’incombenza burocratica per pubblicare l’app nell’App Store in Francia. E aggiunge: “Un buon promemoria per ricordare che la Francia è uno dei rari paesi al mondo ad avere l’obbligo di dichiarazione quando si importa **crittografia**.
Anche se non è necessaria l’approvazione, è fondamentale presentare una dichiarazione accurata del sistema di crittografia all’agenzia per la cybersicurezza ANSSI. Secondo i pubblici ministeri, Telegram non ha compilato accuratamente la sua dichiarazione”.

Che dice Signal?

Più in generale vale la pena riportare interamente una risposta data da Meredith Whittaker, presidente di Signal, al giornalista Andy Greenberg (l’intervista merita tutta comunque), dopo l’arresto di Durov in Francia.

Greenberg chiede a Whittaker, che è appena stata in Francia e appare interessata all’Europa anche come possibile alternativa alla sede di Signal: “Ha davvero senso cercare questo tipo di flessibilità giurisdizionale in Europa quando il fondatore di Telegram Pavel Durov è stato appena arrestato in Francia? Questo vi fa riflettere sul futuro di Signal nell’UE?”

Risponde la presidente di Signal: “Beh, per cominciare, Telegram e Signal sono applicazioni molto diverse con casi d’uso molto diversi. Telegram è un’app di social media che consente a un individuo di comunicare con milioni di persone contemporaneamente e non fornisce una privacy significativa o una crittografia end-to-end. Signal è esclusivamente un’applicazione per comunicazioni private e sicure, senza funzioni di social media. Quindi stiamo già parlando di due cose diverse.
E ad oggi [27 agosto 2024] ci sono troppe domande senza risposta e poche informazioni concrete sulle motivazioni specifiche dietro l’arresto di Durov perché io possa darvi un’opinione informata. Per quanto riguarda la questione più ampia, siamo realisti: non c’è nessuno Stato al mondo che abbia un bilancio ineccepibile sulla crittografia.
Ovunque nel mondo ci sono anche campioni della privacy delle comunicazioni, inclusi molti nel governo francese e in Europa. Coloro che si battono da tempo per la privacy riconoscono che si tratta di una battaglia continua, con alleati e avversari ovunque. Cercare di dare priorità alla flessibilità non significa idealizzare una giurisdizione o l’altra.
Siamo consapevoli delle acque in cui dobbiamo navigare, ovunque siano. Vediamo un’enorme quantità di sostegno e di opportunità in Europa. E ci sono grandi differenze tra gli Stati. La Germania sta prendendo in considerazione una legge che imponga la crittografia end-to-end, mentre la Spagna è stata in testa nel cercare di minare la crittografia. Insomma, ancora una volta, non si tratta di un monolite”.

In soldoni, Whittaker al momento non appare preoccupata di quanto accaduto a Telegram perché (integro un po’ quello che dice con altre info) Signal non ha funzioni che la renderebbero simile a un social; implementa la crittografia end-to-end su tutto, e non tiene metadati, quindi significa che anche volendo non ha dati da dare; si è registrata regolarmente in Francia; non fa profitti sulle attività dei suoi utenti, perché è una no profit.

La reazione di Telegram e Durov

Negli ultimi giorni c’è stata un po’ di discussione in relazione al linguaggio usato nelle FAQ di Telegram, perché ci sono state delle recentissime modifiche. In particolare sarebbe stata rimossa una frase che diceva; “Tutte le chat di Telegram e le chat di gruppo sono private tra i partecipanti. Non elaboriamo alcuna richiesta relativa alle stesse”. Tuttavia altri fanno notare che la stessa frase sarebbe ancora presente in altri punti delle FAQ.

Eviterei le congetture in punta di FAQ. Più interessante semmai l’intervento dello stesso Pavel Durov nel suo canale Telegram (si firma Du Rove, trasposizione goliardica del suo nome con la quale avrebbe ottenuto il già controverso passaporto francese, come raccontato da Mediapart).

In sostanza Durov sembra riconoscere che Telegram può fare di più contro la presenza di attività criminali, dice che non è un “paradiso anarchico” e appare molto dialogante.

Scrive Durov o se preferite Du Rove: “Ascoltiamo la voce di chi dice che [quello che abbiamo fatto finora. ndr] non è abbastanza. L’improvviso aumento del numero di utenti di Telegram a 950 milioni ha causato problemi di crescita che hanno reso più facile per i criminali abusare della nostra piattaforma. Ecco perché mi sono posto l’obiettivo personale di assicurare un miglioramento netto su questo aspetto. Abbiamo già avviato tale processo internamente e presto condividerò con voi ulteriori dettagli sui nostri progressi”.

Vedremo i prossimi sviluppi.

Fonte

USA: Apple e la guerra alla privacy

di Michele Paris

Grazie a un’ingiunzione emessa questa settimana da un giudice federale, l’amministrazione Obama ha fatto un passo avanti forse decisivo nell’acquisizione degli strumenti necessari a penetrare i sistemi di sicurezza dei telefoni cellulari in possesso di utenti privati. La giustificazione per questa mossa dalle gravissime implicazioni è la necessità di accedere al contenuto dell’iPhone appartenuto a uno dei due attentatori che lo scorso anno erano stati protagonisti del sanguinoso attacco a un centro conferenze di San Bernardino, in California.

Il giudice Sheri Pym del tribunale distrettuale federale della California centrale ha imposto martedì a Apple di trovare un modo, ovvero di realizzare un apposito software, per “bypassare e disabilitare” il sistema crittografico che fa parte del sistema operativo iOS9 e che serve a proteggere la privacy dei propri smarthphone.

Gli agenti dell’FBI non sono infatti in grado di accedere all’iPhone del defunto Syed Rizwan Farook a causa del sistema che prevede l’auto-cancellazione dei dati dopo avere effettuato dieci tentativi di sbloccarlo. Questa sicurezza non consente il ricorso al metodo solitamente utilizzato dalla polizia federale americana per penetrare i dispositivi elettronici, provando cioè tutte le possibili password fino all’individuazione di quella corretta.

In questa vicenda, la posta in gioco è enormemente più grande di un telefono appartenuto a un terrorista morto. Tramite l’ordine emesso contro Apple, e con l’immancabile riferimento alla lotta al terrorismo, il governo americano intende attribuirsi la facoltà di aggirare i sistemi crittografici dei dispositivi per riuscire a monitorare le comunicazioni elettroniche che restano attualmente al di fuori della propria portata.

Un “dibattito” sul bisogno delle autorità di polizia di avere uno strumento pseudo-legale per eludere gli ostacoli rappresentati dalla crittografia è in corso da tempo negli Stati Uniti e non solo. Gli attentati degli ultimi mesi, tra cui appunto quello di San Bernardino e quelli di Parigi, avevano dato l’occasione ai vari governi di tornare alla carica per abbattere uno degli ultimi muri rimasti contro l’invadenza dei servizi di sicurezza.

Il presidente Obama si era rifiutato di appoggiare pubblicamente un’eventuale nuova legge che fornisse alle forze di polizia gli strumenti per aggirare i sistemi crittografici, ma la sua decisione non era basata su questioni di principio, bensì era dettata solo da ragioni di opportunità, vista la vastissima opposizione popolare e delle stesse compagnie informatiche.

A testimonianza della determinazione con cui il governo USA intende comunque raggiungere questo obiettivo, il giudice Pym ha addirittura fatto riferimento a un’oscura legge – “All Writs Act” – che, nella sua forma originaria, è stata scritta nel XVIII secolo. Grazie a un’interpretazione elastica di essa, un giudice può attribuirsi ampie facoltà di imporre a “parti terze” l’esecuzione di un ordine del tribunale, sospendendo in sostanza le restrizioni ai poteri dello stato previste dalla Costituzione.

Le rassicurazioni della Casa Bianca sul caso in corso in California sono da prendere a dir poco con le molle. In una conferenza stampa, il portavoce del presidente, Josh Earnest, ha garantito che il Dipartimento di Giustizia non sta cercando di ottenere un modo per accedere “dalla porta di servizio” agli smartphone protetti da crittografia, ma l’ingiunzione a Apple è limitata a “un solo dispositivo”.

In realtà, il governo sta cercando di assicurarsi il potere di fare precisamente quanto dice di escludere. A provarlo ci sono non solo le numerose dichiarazioni degli ultimi mesi di vari esponenti politici e dell’apparato della sicurezza nazionale, tra cui il direttore dell’FBI James Comey, sulla necessità di limitare i sistemi crittografici, ma anche i precedenti dell’Agenzia per la Sicurezza Nazionale (NSA), i cui programmi di sorveglianza globale sono stati rivelati da Edward Snowden.

L’amministratore delegato della Apple, Tim Cook, ha fatto riferimento alle implicazioni dell’ordine emesso dal giudice californiano nella dichiarazione con cui ha annunciato che la sua azienda intende appellarsi  per renderlo nullo. Cook ha affermato che “una volta creata, la tecnica [per aggirare la crittografia dell’iPhone] può essere usata all’infinito, su qualsiasi dispositivo”, come un “passepartout in grado di aprire centinaia di milioni di serrature”.

“Il governo”, ha spiegato Cook, “sta chiedendo a Apple di hackerare i suoi stessi utenti”, visto che il software richiesto potrebbe essere usato per “intercettare i vostri messaggi, accedere alle vostre informazioni sanitarie o finanziarie, individuare la vostra posizione e addirittura attivare il microfono o la fotocamera del vostro telefono senza che ve ne rendiate conto”.

La presa di posizione del numero uno di Apple non deve comunque trarre in inganno sulla disposizione verso le richieste del governo americano di questa e delle altre compagnie tecnologiche, rimaste non a caso in larga misura in silenzio in questi giorni. Solo mercoledì, ad esempio, il CEO di Google, Sundar Pichai, ha tardivamente appoggiato il collega di Apple, limitandosi però a esprimere il proprio parere con una serie di “tweet”.

Per cominciare, come ha rivelato Snowden, queste aziende collaborano quanto meno da oltre un decennio con il governo per garantire alla NSA e alle altre agenzie federali l’accesso ai propri server e, di conseguenza, alle informazioni private dei loro utenti. Lo stesso Tim Cook, inoltre, ha assicurato che Apple intende continuare a collaborare con il governo nella farsa della “guerra al terrore”, visto che “quando l’FBI ha richiesto dei dati [relativi ai propri clienti], essi sono stati forniti”.

La resistenza mostrata da Apple alla richiesta di sbloccare l’iPhone di Syed Rizwan Farook è insomma motivata soltanto da ragioni di ordine economico. L’indebolimento dei sistemi di sicurezza installati sui propri prodotti, garantendo l’accesso a essi da parte del governo USA e possibilmente anche da hacker, assesterebbe un grave colpo all’immagine della compagnia, penalizzandola in maniera sensibile visto il livello di competitività globale in questo segmento di mercato.

Per il New York Times, infatti, i vertici di Apple si auguravano di risolvere le difficoltà di accesso al dispositivo in questione senza il bisogno di creare un apposito software e, soprattutto, hanno mostrato non poca irritazione di fronte alla decisione del governo di rendere pubblica la propria richiesta di eludere la crittografia invece di ricorre a una procedura o a un accordo segreto.

Lo stesso quotidiano ha raccontato di frenetiche discussioni il mese scorso tra gli avvocati di Apple e gli uomini del Dipartimento di Giustizia di Washington per convincere la compagnia a cedere e ad accogliere le richieste del governo. Solo quando si è accertato che non era possibile giungere a un compromesso, il governo ha proceduto con la richiesta di ingiunzione in tribunale e Apple ha deciso di rendere pubblico il proprio dissenso.

Lo stallo, ad ogni modo, potrebbe essere risolto dalla Corte Suprema nel prossimo futuro, anche se in molti credono che il Congresso abbia intenzione di intervenire per approvare una legge che, verosimilmente con appoggio bipartisan, imponga alle compagnie tecnologiche di creare un accesso agli smartphone protetti da crittografia, accontentando finalmente le agenzie governative e contribuendo a smantellare ancor più le residue garanzie di privacy e i diritti democratici dei cittadini.

Fonte

USA: l’FBI contro la crittografia

di Mario Lombardo

I recenti episodi di terrorismo in Francia e negli Stati Uniti hanno rianimato un dibattito di cui non si sentiva la necessità sui rischi presumibilmente connessi alle comunicazioni criptate degli utenti privati che utilizzano dispositivi elettronici. Negli USA, in particolare, esponenti politici e dell’apparato della sicurezza nazionale stanno in questi giorni chiedendo a gran voce iniziative legali che consentano alle autorità di penetrare questi sistemi utilizzati da molte aziende tecnologiche per garantire la sicurezza e la privacy dei loro clienti.

Già dopo gli attentati del 13 novembre a Parigi, qualche voce all’interno del governo americano aveva preso di mira i sistemi di crittografia, accusati di facilitare le comunicazioni tra terroristi pur senza alcuna prova concreta in relazione agli autori della strage nella capitale francese.

Il direttore dell’FBI, James Comey, era stato in quell’occasione tra i più fermi sostenitori della necessità di dotare l’Agenzia per la Sicurezza Nazionale (NSA) degli strumenti legali per accedere alle comunicazioni criptate degli utenti privati.

Il sistema definito in inglese “End-to-end encryption” (E2EE) garantisce la sicurezza delle comunicazioni attraverso la rete internet tra due dispositivi, impedendo che i dati scambiati vengano intercettati da terzi. In questo modo, i dati inviati da un utente vengono appunto criptati e possono essere decodificati solo dal dispositivo che li riceve.

La chiave per accedere alle comunicazioni è normalmente sconosciuta anche ai provider dei servizi di rete e ai realizzatori delle applicazioni. I sistemi di crittografia sono previsti su molti modelli di smartphone ormai da qualche tempo, in particolare dopo le rivelazioni sugli abusi della NSA da parte di Edward Snowden, e garantiscono livelli di privacy variabile.

Il numero uno dell’FBI ha comunque sfruttato anche il recente attentato di San Bernardino, in California, per tornare all’attacco della crittografia. Nel corso di un’audizione davanti alla commissione Giustizia del Senato USA, mercoledì Comey ha definito “utile” un intervento del Congresso di Washington su tale questione.

Per il capo del “Bureau”, sarebbe vitale nella guerra al terrore avere accesso alle comunicazioni codificate, sia pure dietro mandato di un tribunale. Comey ha citato poi discussioni che egli stesso avrebbe avuto con i vertici di alcune compagnie tecnologiche, giungendo alla conclusione che la scelta di queste ultime di dotare i propri dispositivi con questi sistemi non risponde a uno scrupolo per la privacy degli utenti ma ha a che fare piuttosto con ragioni di “business”. Per l’FBI, insomma, le aziende dovrebbero accogliere le richieste provenienti dal governo e convincersi dell’opportunità di realizzare sistemi di crittografia accessibili.

Comey ha ricordato infatti che molte compagnie operano già secondo le indicazioni delle autorità, con sistemi cioè penetrabili in presenza di un mandato emesso da un giudice. Significativamente, lo stesso direttore dell’FBI ha aggiunto che fino a dodici mesi fa non vi era particolare interesse tra gli acquirenti a scegliere un dispositivo che garantisse la privacy totale. Il cambiamento di attitudine di molti è avvenuto proprio in seguito alle rivelazioni di Snowden sui rischi per la privacy nelle comunicazioni elettroniche.

L’insistenza con cui viene chiesto un giro di vite sulla crittografia è la conseguenza del fatto che questo sistema è uno degli ultimi baluardi rimasti, e facilmente ottenibile, per la difesa del diritto alla riservatezza dei cittadini. L’esistenza di un buco nero nel quale agenzie governative come la NSA non possono penetrare per controllare le comunicazioni risulta perciò intollerabile.

Nel tentativo di creare un clima di emergenza, come se la presenza dei sistemi E2EE sui dispositivi elettronici assicurasse l’organizzazione continua di trame terroristiche al di fuori dei radar delle autorità, pur senza presentare alcuna prova Comey ha citato un esempio concreto della possibile interferenza della crittografia su un’indagine dell’FBI.

Il caso sarebbe stato quello dello scorso maggio a Garland, nel Texas, quando due uomini armati attaccarono un sito espositivo dove era in corso una provocatoria mostra con immagini del profeta Muhammad. Secondo Comey, poco prima dei fatti uno dei due attentatori aveva “scambiato 109 messaggi con un terrorista all’estero”, il cui contenuto rimase off-limit per le forze di polizia.

Come ha ricordato la testata on-line The Intercept, in realtà, l’FBI teneva sotto sorveglianza da tempo uno dei due uomini e, anche con gli strumenti a disposizione, era venuto a conoscenza dei piani terroristici. L’FBI sostenne di avere avvertito la polizia della città di Garland circa la minaccia imminente, anche se quest’ultima avrebbe poi negato di essere stata allertata dai federali.

Nel recente attacco di San Bernardino non è in ogni caso chiaro se i due attentatori abbiano utilizzato un sistema di codifica sui propri dispositivi per organizzare la strage. Ciò non ha però impedito a Comey di indicare la crittografia come un ostacolo nella lotta al terrorismo.

Prevedibilmente, nemmeno i senatori della commissione Giustizia hanno mostrato qualche scrupolo per il diritto alla privacy dei cittadini. Anzi, molti di essi hanno riconosciuto la presunta minaccia e prospettato iniziative di legge per il prossimo futuro.

La ex presidente della commissione del Senato per i Servizi Segreti, la democratica Dianne Feinstein, ha affermato che, “se c’è un complotto in atto tra sospetti terroristi che usano dispositivi criptati”, le loro comunicazioni codificate “devono poter essere penetrate”. Per il falco repubblicano John McCain, invece, dopo i fatti di Parigi – nei quali, come già spiegato, non è stata raccolta nessuna prova sull’uso da parte degli attentatori di sistemi di comunicazione criptati – “lo status quo non è più sostenibile”.

Alla Casa Bianca, per il momento, sembra prevalere una certa prudenza, anche se dal Dipartimento di Giustizia già qualche mese fa si era detto che, in qualche modo, sarebbe stato “necessario” costringere le compagnie tecnologiche a piegarsi sulla questione della crittografia.

L’atteggiamento dell’amministrazione Obama potrebbe riflettere lo scarso entusiasmo diffuso tra queste aziende per una modifica dell’attuale sistema. Dopo le rivelazioni di Snowden c’è infatti maggiore consapevolezza tra gli utenti americani circa i rischi per la loro privacy e un passo indietro da parte delle maggiori compagnie su pressioni del governo potrebbe provocare contraccolpi negativi per gli affari.

Molti esperti, infine, fanno notare come un allentamento della sicurezza per consentire al governo di intercettare le comunicazioni criptate potrebbe far aumentare il rischio che queste stesse comunicazioni possano essere esposte ad attacchi non autorizzati, favorendo il rischio del furto di dati o di violazione della privacy.

Fonte