La prossima Rituale Cena dei Disinformatici sarà, come l’anno scorso, un Pranzo, e si terrà domenica 18 settembre. Per ora segnatevi semplicemente la data: i dettagli arriveranno dopo.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

I podcast del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano i testi e i link alle fonti di questa puntata, sono qui sotto.

• Le parole di Internet: real-time bidding. Un rapporto rivela quanto è invasiva la pubblicità online
• Si parla ancora una volta di “UFO” al Congresso statunitense
• Realtà virtuale permette di simulare anche il tatto. Provato con sigarette, spazzolini da denti... e ragni?

È vero che i controller e alcuni accessori di molti dispositivi per realtà virtuale danno un cosiddetto feedback aptico, ossia una leggera sensazione tattile, come per esempio una vibrazione quando si colpisce qualcosa o si viene colpiti, però è un’esperienza molto limitata e si tratta spesso di accessori molto costosi e ingombranti.

Un gruppo di ingegneri alla Carnegie Mellon University ha però presentato una soluzione sperimentale che consente di fornire anche alcune esperienze tattili più intense senza la complicazione di dover indossare appositi accessori.

A un visore per realtà virtuale, un normale Oculus Quest 2 commerciale, è stata aggiunta una griglia di 64 trasduttori che emettono delle onde ultrasoniche dirette verso la bocca dell’utente. Sincronizzando opportunamente gli elementi di questa griglia è possibile generare, senza contatto e senza parti mobili, delle onde di pressione sufficienti per esempio a incavare la pelle del viso, come se qualcuno lo toccasse con un dito.

Questi trasduttori possono produrre sensazioni tattili precise, che sono descritte in un articolo scientifico nel quale i creatori del dispositivo presentano i loro risultati e gli scenari virtuali tattili che hanno realizzato: bere da una tazza o da una fontanella, con la sensazione del liquido che scorre sulle labbra; mettere in bocca una sigaretta virtuale e sentirne la pressione e la presenza sulle labbra; spazzolarsi i denti e percepire lo spazzolino sui denti come se fosse davvero presente. 

I ricercatori hanno anche creato un videogioco che simula una corsa in motocicletta, usando i trasduttori ultrasonici per far sentire sul viso degli utenti sperimentali l’effetto del vento, delle gocce di pioggia e degli schizzi delle pozzanghere.

Fin qui, insomma, tutto è molto sensato e piacevole: i volontari che hanno sperimentato questo dispositivo hanno effettivamente percepito delle sensazioni tattili abbastanza realistiche non solo sulle labbra ma anche sui denti e sulla lingua. Per i più romantici, Vivian Shen, studentessa di robotica al Carnegie Mellon e coautrice dell’articolo scientifico, ha spiegato al Daily Beast che i baci virtuali non riescono bene con questo sistema, perché la sensazione prodotta dagli ultrasuoni è troppo localizzata e puntiforme.

Invece i creatori di questo dispositivo hanno pensato bene di simulare la sensazione di attraversare una serie di ragnatele che toccano il viso per poi incontrare (cito dall’articolo scientifico) “un ragno [che] salta sulla bocca dell’utente, generando impulsi casuali in un’area di 1 centimetro che si sposta lateralmente, simulando zampe d’insetto che corrono sul lato del viso.” E come gran finale, il malcapitato utente deve sparare al ragno, “che esplode in poltiglia gelatinosa e schizza l’utente”, per poi trovarsi con un ragno più grande che sgocciola veleno in faccia.

Non so voi, ma credo che per ora mi accontenterò della realtà virtuale non tattile.

Quando vediamo una pubblicità su un sito Web, spesso quella pubblicità è stata inserita nel sito automaticamente al termine di un’asta silenziosa che è durata qualche millisecondo: il tempo che passa fra l’istante in cui clicchiamo su un link e l’istante in cui la pagina desiderata corrispondente compare sul nostro schermo. Quella velocissima asta in tempo reale, gestita dai grandi operatori pubblicitari di Internet, come per esempio Google, è il real-time bidding.

Funziona grosso modo così: immaginate di visitare il sito di promozione turistica di una certa località, per esempio Parigi. Nel momento in cui ne digitate il nome e premete Invio o cliccate sul suo link trovato in Google, Google stessa sa che probabilmente siete interessati a visitare Parigi e sa grosso modo dove vi trovate in base al vostro indirizzo IP. 

Il sistema di real-time bidding di Google può quindi annunciare alle agenzie pubblicitarie che siete una delle, per esempio, diciottomila persone che vivono nella vostra regione e che in quel momento sono interessate ad andare a Parigi. A quel punto chiede a queste agenzie quale è disposta ad offrire di più per far comparire una pubblicità di un suo cliente sul vostro schermo. Spesso Google sa già qual è il migliore offerente, perché le agenzie pubblicitarie hanno già immesso nei suoi database le loro offerte per i vari tipi di utente.

E così Google, nel giro di qualche millesimo di secondo, fa comparire sul vostro schermo la pubblicità dei prodotti gestiti dall’agenzia che ha offerto di più. 

---

Detto così sembra tutto abbastanza innocuo, ma c’è un problema. Secondo un recente rapporto dell’Irish Council for Civil Liberties o ICCL, una associazione irlandese per la tutela dei diritti civili, il real-time bidding è “la più grande violazione di dati personali mai vista”, che “agisce dietro le quinte nei siti web e nelle app, traccia quello che guardi, non importa quanto sia privato o sensibile, e registra dove vai. Ogni giorno trasmette continuamente questi dati su di te a una serie di aziende, permettendo loro di profilarti”.

Le società che gestiscono il real-time bidding, ossia principalmente Google ma anche Microsoft, Facebook e Amazon, raccolgono infatti molti dati su ciascun utente: non solo la localizzazione e il nome del sito che sta visitando, ma anche altre informazioni, per esempio tramite i cookie, e questo permette di costruire un profilo del valore pubblicitario di ciascun utente. Non ci sono salvaguardie tecniche che impediscano ad altre aziende senza scrupoli di utilizzare questi profili.

Infatti un’indagine del Financial Times ha segnalato che esiste un mercato illegale di scambio dei dati più sensibili, come l’appartenenza a un’etnia, l’orientamento sessuale, lo stato di salute e le opinioni politiche. L’ICCL segnala che la cosiddetta tassonomia, ossia l’elenco delle categorie di dati personali, redatta da IAB Tech Lab, un importante consorzio del settore pubblicitario online, include categorie come religione, divorzio, lutto, salute mentale, infertilità e malattie sessualmente trasmissibili.

Anche se i dati non sono esplicitamente associati al nome e cognome di un utente, sono comunque legati a un profilo che rappresenta una persona, nota 9to5Mac. E Techcrunch sottolinea che è tecnicamente molto facile fare reidentificazione, ossia riassociare un profilo a una persona specifica, usando informazioni come gli identificativi unici dei nostri dispositivi e la geolocalizzazione.

Il rapporto dell’ICCL getta finalmente luce sull’invasività e sulle dimensioni di questa incessante attività di profilazione di massa: Google, stando al rapporto, permette a ben 4698 aziende di ricevere dati di real-time bidding riguardanti gli utenti statunitensi. Per esempio, i venditori di dati hanno usato questo real-time bidding per profilare chi partecipava alle proteste del movimento attivista Black Lives Matter e il Dipartimento per la Sicurezza Interna statunitense lo ha usato per il tracciamento dei telefonini senza chiedere mandato.

Non si tratta di un problema solo statunitense: nonostante le leggi europee sulla privacy, più restrittive di quelle americane, secondo il rapporto dell’ICCL il comportamento online e la localizzazione degli utenti americani vengono tracciati e condivisi 107 mila miliardi di volte l’anno, mentre gli stessi dati degli utenti europei vengono raccolti comunque 71 mila miliardi di volte. In Germania, per esempio, le attività online di un utente vengono trasmesse ai circuiti di real-time bidding in media 334 volte al giorno, ossia circa una volta al minuto se si considera il tempo medio di uso di Internet degli utenti tedeschi (circa 326 minuti, ossia circa cinque ore e mezza). In Svizzera questa trasmissione avviene un pochino meno, circa 300 volte al giorno, e in Italia avviene 284 volte in media. 

Va notato che queste sono stime per difetto, dato che non includono le attività di real-time bidding di Facebook e Amazon ma si basano su un archivio di dati di Google che copre un periodo di 30 giorni e che è disponibile soltanto agli operatori del settore ma che l’ICCL è riuscito ad avere da una fonte confidenziale insieme a molti altri dati tecnici importanti.

Secondo l’agenzia Gartner, citata da The Register, le industrie del settore del real-time bidding giustificano le proprie pratiche usando una clausola del regolamento europeo sulla protezione dei dati (GDPR), ma molti enti di regolamentazione hanno respinto questa giustificazione e ci sono azioni legali in corso nel Regno Unito, in Belgio, in Germania e in Irlanda per limitare fortemente questo real-time bidding. Nel frattempo, ricordatevi che quando navigate in Internet non siete mai veramente soli. 

Fonti aggiuntive: BBC, Le Monde.

Ultimo aggiornamento: 2022/05/18 21:15.

Il 17 maggio scorso si è tenuta un’audizione pubblica presso il Congresso degli Stati Uniti sul tema degli oggetti volanti non identificati (o meglio “fenomeni aerei non identificati”, per usare il termine formale che è in voga oggi). È la prima in ben cinquant’anni, e la notizia ha scatenato le fantasie giornalistiche e l’entusiasmo di chi spera che arrivino rivelazioni su visite di extraterrestri, ma i fatti sono un po’ più terra terra, per così dire.

Prima di tutto, si tratta di un’audizione presso un sottocomitato per l’intelligence della Camera dei Rappresentanti, ossia la camera bassa del Congresso, non di una presentazione di fronte al Congresso intero. Però l’hanno fatta due alti funzionari dell’intelligence militare degli Stati Uniti, Ronald Moultrie e Scott Bray, per cui non è da trascurare. Bray, in particolare, è vicedirettore per l’intelligence navale, mentre Moultrie è sottosegretario alla difesa per l’intelligence e la sicurezza nell’amministrazione Biden.

L’audizione pubblica, che può essere vista integralmente su YouTube (inizia a circa 8 minuti e dura circa un’ora e un quarto), è stata seguita da una sessione a porte chiuse per proteggere i segreti militari statunitensi. Arriva a quasi un anno di distanza dalla pubblicazione di un rapporto preliminare governativo statunitense che riunisce oltre 140 casi di fenomeni aerei non identificati, osservati da piloti militari degli Stati Uniti dal 2004 in poi.

Le premesse, insomma, sono abbastanza interessanti, ma Scott Bray ha messo bene in chiaro che non sono stati raccolti materiali e non sono state rilevate emanazioni che possano suggerire qualcosa di non terrestre: “we have no material, we have detected no emanations, within the UAP task force that would suggest it is anything non-terrestrial in origin” (a 1h:00m:04s). 

Gli ha fatto eco Eric Crawford, del sottocomitato antiterrorismo della Camera dei Rappresentanti: “non si tratta di trovare veicoli spaziali alieni, ma di fornire intelligence dominante su tutto lo spettro tattico, operativo e strategico” (“It's not about finding alien spacecraft. It's about delivering dominant intelligence across the tactical, operational, and strategic spectrum”, a 36:45).

 I funzionari, inoltre, hanno sottolineato che l’obiettivo primario è valutare eventuali minacce alla sicurezza nazionale, perché questi fenomeni “costituiscono un rischio potenziale per la sicurezza dei voli e un rischio generale per la sicurezza”.

Scott Bray, inoltre, ha fatto un vero e proprio debunking: a 27:25 ha presentato due video, ottenuti con un sensore per visione notturna, che mostrano una serie di oggetti triangolari lampeggianti, ripresi da personale della Marina Militare degli Stati Uniti. Molti appassionati di ufologia considerano questi video come una prova dell’esistenza di veicoli extraterrestri triangolari, ma Bray ha spiegato che si tratta, molto banalmente, di piccoli velivoli terrestri senza pilota, che sembrano avere una forma triangolare soltanto perché la loro immagine sfocata viene distorta dall’uso del dispositivo per visione notturna, che ha un diaframma dotato di un’apertura triangolare. Questa distorsione è ben nota a chi fa fotografia con il nome di bokeh.

The "Green Pyramid" video has been confirmed by the ONI as being bokeh. Here's where they showed it to the committee and explained it. pic.twitter.com/oYAsUtYLc9

— Mick West (@MickWest) May 17, 2022

È la stessa spiegazione alla quale erano arrivati molti esperti di analisi video oltre un anno fa (ne avevo scritto qui a maggio 2021), ma è comunque interessante sentirla esplicitata da un addetto ai lavori dell’intelligence militare.

Tuttavia durante l’audizione è stato anche presentato un altro avvistamento ripreso in video (qui, a 1:10 circa, e a 25:50 nel video integrale) che riaccenderà gli entusiasmi di chi spera che queste riprese siano indicazioni di visitatori extraterrestri. È uno spezzone cortissimo, registrato attraverso il tettuccio trasparente di un caccia F/A-18, che mostra (a 48:50 circa) un piccolo oggetto sferico sgranato sullo sfondo azzurro del cielo. 

Ed è questo, per ora, il problema fondamentale: nonostante i progressi nei sensori e nelle fotocamere, nonostante il fatto che ormai giriamo tutti con una fotocamera in tasca, le riprese di presunti “UFO” continuano a mostrare soltanto forme sfuocate e confuse. Forse il fenomeno ha un’altra spiegazione molto più terrestre e vicina a noi, e si chiama “scarsa conoscenza dei fenomeni ottici e della fotografia”. Ma non forma un acronimo così accattivante come UFO.

Fonti aggiuntive: Gizmodo, Reuters, Metabunk, The Register.

Ultimo aggiornamento: 2022/05/18 8:45.

Oggi (17/5) mi è stato segnalato un tweet di Carlo Calenda che proponeva, per l’ennesima volta, l’obbligo di identificarsi presso i social network: “Unica soluzione l’obbligo di registrarsi con identità verificata! Basta ragazzini di 10 anni che si espongono, profili falsi/anonimi che insultano. La libertà è responsabilità. A questo ho dedicato un capitolo nel mio libro “la libertà che non libera” [link al suddetto libro su Amazon]”.

Ho provato pacatamente a rispiegare quali sono i problemi di questa proposta (e ci hanno riprovato anche Massimo Mantellini e Stefano Zanero), ed è iniziata la fiera dei commentatori che pensavano di risolvere con un tweet problemi che hanno messo in crisi gli esperti e le menti migliori del settore. Per cui propongo di adottare un hashtag che riassuma concisamente questo comportamento: #checcevoismo.

Checcevoismo, s.m. Atteggiamento delle persone che credono che il lavoro altamente professionale e sofisticato di qualcun altro sia facile e che sarebbero in grado di farlo anche loro e pure meglio. Etim. Romanesco “che ce vo’”, “che ci vuole”, sarcasmo usato per affermare che un dato compito è ritenuto facile.

Credo di averlo coniato io l’anno scorso; non ne trovo altri usi precedenti online, ma potrei sbagliarmi.

Raccolgo qui il thread di Zanero, datato 2019, per comodità di lettura:

Innanzitutto bisognerebbe chiarire quale problema vogliamo affrontare:
A) le fake news?
B) gli insulti o la diffamazione a mezzo social?
C) apologia di reato, minacce, etc?
D) le botnet di account finti, troll e simili che infestano i dibattiti?

E non vale rispondere “tutti”.

Sono cose diverse e hanno soluzioni diverse. Il cosiddetto “anonimato online” in realtà già non esiste: esiste lo pseudonimato, ovvero la possibilità di usare un nickname o un nome finto anziché quello vero. Ora, lo pseudonimato è positivo.

Consente a un giovane LGBT di chiedere informazioni o conoscere persone senza rischi; consente a un oppositore politico di pubblicare la sua opinione senza ritorsioni; protegge in generale i deboli dai forti e dai bulli: non tutti sono o devono essere eroi per esprimersi!

Quindi “eliminare lo pseudonimato” non solo non è fattibile come vedremo, ma non è nemmeno desiderabile: i dittatori e i bulli detestano lo pseudonimo che consente di dire che il re è nudo.

In realtà ciò che alcuni vorrebbero è “poter punire chi commette reati” (punti B e C) e “impedire l’uso di botnet o account finti” (punto D). Per la prima cosa il problema in realtà è inesistente, per la seconda cosa il problema non è risolvibile con una legge, vediamo perché.

Esistono due tipi di regole che si potrebbe cercare di imporre: 1) imporre a chiunque di usare IL PROPRIO NOME per twittare o 2) imporre a chiunque di lasciare presso il social network dei dati identificativi, pur continuando a usare uno pseudonimo

La soluzione 1 abbiamo già detto essere sbagliata, ma entrambe sono equivalenti nell’essere irrealizzabili e inutili. Già ora, chiunque usi un social network è rintracciabile (a meno di casi particolari) sulla base del proprio IP. Tale IP va chiesto mediante rogatoria.

Le obiezioni qui di solito sono che a) la rogatoria si fa solo per i reati b) è inefficiente e c) a volte l’IP è mascherato. Alla a) si risponde che è giusto così, solo i reati vanno repressi. Alla b) si risponde che anche nella soluzione 2 sopra si dovrà comunque fare rogatoria.

Rimane la c). Ma pensateci: questa legge si applicherà solo in Italia. Chi è in grado di mascherare l’indirizzo IP, sarà anche in grado di passare per straniero. Semplicemente questa proposta di legge penalizzerà i cittadini rispettosi della stessa e non influenzerà gli altri.

Un ulteriore problema che rende tutte queste ipotesi pura fantasia è: anche volendo chiedere “i documenti” per registrarsi “col proprio nome”, come si verificano quei documenti? Perché mandare un documento alterato è un amen. Di nuovo si colpiscono solo i cittadini onesti.

Infine, tutto quanto sopra (che è comunque inutile) toccherebbe solo i casi B e C da cui siamo partiti. Non i casi A e D perché ovviamente chi crea account fake a raffica banalmente non opera dall’Italia. Finita lì.

Stefano Quintarelli mi segnala questo suo intervento video (in inglese) sull’argomento, che propone alcune possibili soluzioni (da 7m00s in poi per 15 minuti circa):

Nella puntata ho raccontato anche la teoria secondo la quale la disastrosa situazione di esaltazione dell’ignoranza in cui ci troviamo sarebbe in realtà tutta colpa di Mike Bongiorno: se vi incuriosisce sapere perché, trovate la puntata su Spotify, Spreaker e Mixcloud. Buon ascolto!

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

I podcast del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano i testi e i link alle fonti di questa puntata, sono qui sotto.

• Russi saccheggiano trattori ucraini, che vengono brickati da remoto. Ma c’è poco da ridere
• Apple, Google e Microsoft si alleano per un prossimo futuro senza più password. Bene, ma come funzionerà?
• Antibufala: la NASA vuole mandare nello spazio foto di nudi per comunicare con gli alieni

“Nasa, foto di uomini nudi per comunicare con gli alieni”. Così titola, perlomeno, il Corriere dello Sport italiano, e non è l’unico giornale a proporre titoli del genere. “Gli scienziati inviano nello spazio immagini piccanti di nudo di esseri umani nella speranza di attirare gli alieni” (“Scientists send racy nude pics of humans to space in the hope of attracting aliens”): titola così il Daily Star britannico. Il Corriere della Sera parla più blandamente di “Immagini di «nudo» per comunicare con gli alieni: l’idea in un nuovo studio della Nasa”. E la CNN ribadisce: “Ricercatori vogliono mandare nello spazio illustrazioni di nudo di esseri umani” (“Researchers want to send nude illustrations of humans into space”). Titoli analoghi sono comparsi nei media di tutto il mondo.

Ma in realtà non c’è nessun piano della NASA per mandare selfie intimi a ET per attirarlo. La notizia è una bufala, nata da un articolo dell’edizione statunitense del tabloid britannico The Sun che è stato pubblicato il 3 maggio scorso ed è stato poi ripreso e rilanciato dalle altre testate. In questo articolo del Sun si dice che “Scienziati della NASA intendono lanciare nello spazio immagini di esseri umani nudi nella speranza di attirare a noi gli alieni” (“NASA scientists plan to launch pictures of naked humans into space in the hope of luring aliens to us.”) e si cita una ricerca pubblicata sul sito Arxiv.org.

Ma un portavoce della NASA ha fatto chiarezza: ha dichiarato al celebre sito antibufala Snopes.com che “la ricerca non è un’iniziativa affiliata all’agenzia spaziale e che due degli autori dello studio, Jonathan Jiang e Kristen Fehy, che sono dipendenti del Jet Propulsion Laboratory della NASA, ‘hanno contribuito allo studio solo perché parte del lavoro interseca le loro aree di competenza, ma non si tratta di lavoro commissionato dalla NASA e la NASA non sta lavorando a una trasmissione di questo genere.’”

Inoltre, nota sempre Snopes.com, le notizie pubblicate si basano su una bozza dello studio, pubblicata senza essere stata sottoposta a revisione rigorosa da parte di esperti (il cosiddetto peer review), mentre lo studio riveduto e corretto è in realtà disponibile sulla rivista scientifica Galaxies.

La NASA, insomma, non c’entra nulla, contrariamente a quanto hanno scritto molti giornali. Non solo: l’articolo scientifico non parla affatto di foto di persone nude, ma si limita a proporre di includere in un eventuale messaggio radio inviato nello spazio un disegno molto schematico di un uomo e di una donna, entrambi nudi e in piedi, che alzano ciascuno una mano in segno di saluto. 

Il disegno è tutt’altro che piccante, checché ne dica il Daily Star: ricorda semmai la grafica monocromatica e a quadrettoni dei videogiochi degli anni Ottanta. 

E non c’è nessun intento di usare questi nudi per “attirare” gli alieni: il disegno, secondo i ricercatori che hanno redatto l’articolo scientifico, servirebbe solo per fornire a chiunque ricevesse il messaggio un’immagine delle creature che l’hanno trasmesso, insieme a tante altre informazioni matematiche e scientifiche. Tutto qui: non c’è nessun intento di sedurre gli extraterrestri usando le grazie delle forme maschili e femminili terrestri.

Snopes.com ha poi contattato direttamente uno degli autori di questa ricerca, Jonathan Jiang, che ha spiegato che si tratta semplicemente di uno studio ipotetico su come mandare un messaggio contenente informazioni tecniche, biologiche e scientifiche ad eventuali forme di vita presenti nella nostra galassia; non c’è alcun intento o piano concreto di inviarlo davvero. 

Oltretutto un’immagine praticamente identica è stata già inviata fisicamente nello spazio, su una targa metallica a bordo delle sonde interstellari Pioneer 10 e 11 nel lontano 1973, con una differenza importante: nella versione degli anni Settanta solo l’uomo alzava la mano in segno di saluto, mentre nella versione odierna proposta dai ricercatori la donna saluta alla pari, in segno di uguaglianza e parità. 

Insomma, molto rumore per nulla: dei ricercatori hanno fatto uno studio sulla comunicazione scientifica interstellare e i giornalisti hanno messo in evidenza soltanto la parte più pruriginosa del loro lavoro, tralasciando tutto il resto, come capita purtroppo molto spesso.

Già sentire che Apple, Google e Microsoft si alleano per fare qualcosa insieme fa notizia. Se poi l’alleanza in questione ha lo scopo di abolire definitivamente le password, la notizia diventa quasi incredibile. Ma stavolta pare proprio che si faccia sul serio e che ci si possa preparare alla scomparsa delle password, che verranno sostituite da un sistema semplice e universale chiamato FIDO. Provo a raccontarvi come funzionerà e come un sistema più semplice possa essere più sicuro di quello complicato attuale.

Ci sono tre modi fondamentali per autenticarsi informaticamente: qualcosa che sai (per esempio una password o un PIN), qualcosa che hai (un dispositivo, tipo una tessera o smart card) e qualcosa che sei (un’impronta digitale oppure un altro dato biometrico, come per esempio il volto).

Proteggere i propri dati e i propri account usando soltanto il “qualcosa che sai”, ossia le password, come facciamo oggi, è scomodo, macchinoso e profondamente insicuro. Molti utenti cercano di ridurre questa scomodità utilizzando password facili da ricordare (e quindi facili da indovinare per i ladri) e adoperando la stessa password dappertutto, col rischio di vedersi rubare tutti gli account in caso di furto di quella singola password.

Alcuni utenti usano l’autenticazione a due fattori: per collegarsi a un account su un dispositivo nuovo devono digitare non solo la password ma anche un codice usa e getta, ricevuto tramite mail o SMS o generato da un’app sullo smartphone. Questo migliora parecchio la sicurezza, perché il ladro deve scoprire la password e anche intercettare questo codice usa e getta: deve insomma scoprire il “qualcosa che sai” e impossessarsi fisicamente di un “qualcosa che hai” (ossia lo smartphone della vittima sul quale arriva il codice). Ma questo sistema è macchinoso, richiede che l’utente si ricordi la password e digiti anche un codice distinto per ciascun servizio, e comunque i ladri informatici di oggi sanno creare trappole per carpire anche questi dati.

Microsoft, Google e Apple propongono invece, tramite il sistema FIDO, di lasciar perdere le password e i codici da digitare manualmente e di usare al loro posto una chiave digitale unica, valida per tutte e tre queste aziende e probabilmente anche per molti altri fornitori di servizi che si accoderanno a questa alleanza di giganti informatici. Questa chiave è un codice crittografico estremamente complesso che viene conservato sullo smartphone, sul tablet o sul computer dell’utente (o anche su tutti questi dispositivi contemporaneamente) e, volendo, viene conservato anche su Internet, e che l’utente non ha mai bisogno di digitarlo. FIDO è un sistema di sicurezza completamente passwordless, ossia senza password.

In pratica, se voglio accedere a un mio account, mi basta il “qualcosa che sei”, per esempio il sensore d’impronta o il riconoscimento facciale del mio dispositivo. Tutto qui. Il volto o l’impronta non vengono trasmessi via Internet: restano nel dispositivo.

Se cambio o perdo il mio dispositivo, posso recuperare questa chiave usando un altro dispositivo già autenticato sul quale ho già la medesima chiave. Anche qui, niente password di recupero. Il sistema FIDO resiste ai furti perché non posso essere indotto con l’inganno a digitare password o codici nel sito dei truffatori, visto che non ho nulla da digitare.

Inoltre quando accedo a un sito usando un nuovo dispositivo, il mio smartphone o altro dispositivo che contiene la mia chiave deve essere fisicamente nelle immediate vicinanze di quel nuovo dispositivo mentre lo autorizzo. Questa vicinanza viene verificata tramite una trasmissione Bluetooth. E così se voglio, per esempio, leggere la mia posta di Gmail sul computer di qualcun altro, devo solo visitare Gmail con quel computer, scrivere il mio indirizzo di mail e poi toccare il sensore d’impronta o guardare la telecamera del mio smartphone per autenticarmi.

Il controllo di vicinanza tramite Bluetooth impedisce a un ladro remoto di entrare nel mio account convincendomi con l’astuzia a confermare il suo accesso sul mio smartphone, e durante questo scambio di dati via Bluetooth il mio telefonino verifica anche che il computer si stia collegando al sito vero e non a un sito truffaldino che gli somiglia nel nome e nella grafica. In caso di furto del telefonino, il ladro dovrebbe riuscire a scavalcare il sensore d’impronta o il riconoscimento facciale per poter tentare di usare la chiave.

Tutto questo dovrebbe funzionare con qualunque sistema operativo (Windows, iOS, Android o altri), con qualunque browser moderno e con qualunque dispositivo recente.

Troppo semplice per essere sicuro? Troppo bello per essere vero? Lo scopriremo presto. La FIDO Alliance, che coordina lo sviluppo di questo sistema e include anche Intel, Qualcomm, Amazon e Meta oltre a banche e gestori di carte di credito, prevede che FIDO comincerà ad entrare in funzione entro la fine del 2022. In Giappone, già circa 30 milioni di utenti Yahoo sono già passwordless.  

È vero che si sente parlare di eliminazione delle password da almeno un decennio, ma la collaborazione di Apple, Google e Microsoft e il fatto che con il sistema FIDO tutto il necessario è già nelle mani di alcuni miliardi di utenti, che non devono comprare dispositivi appositi, potrebbero fare davvero la differenza.

Maggiori dettagli sul sistema FIDO sono reperibili sul sito Fidoalliance.org, nel blog ufficiale di Google e sul sito di Microsoft.

Fonte aggiuntiva: Ars Technica.