Temo di aver creato un meme. O un mostro, non so. Ne tengo brevemente traccia perché un giorno, forse, qualcuno si chiederà come tutto è cominciato e nascerà una origin story come per i personaggi Marvel. O magari finirà nel dimenticatoio.

Tutto è iniziato con un mio tweet. Questo:

Non seguo più i loro deliri da un po': qualcuno sa come la stanno prendendo gli sciachimisti? Adesso che gli aerei civili praticamente non volano, che fine hanno fatto le "scie chimiche" che secondo loro era necessario spandere continuamente? https://t.co/pfZBUg6ghf

— Paolo Attivissimo (@disinformatico) April 5, 2020

Puntualmente è arrivata la risposta in tinta complottista:

In tempi distopici come quelli che stiamo vivendo eviterei di prendere in giro quei pochi che ancora si fanno domande: cappello di stagnola o meno siamo tutti sulla stessa b...arca https://t.co/5uWxxpzVlu

— Sampietrino (@FuocoDiPrometeo) April 5, 2020

Perché si sa, gli scienziati hanno smesso da tempo di farsi domande e gli unici valorosi rimasti a farsele sono quelli che credono alle tesi di complotto.

Io ho risposto così:

Io prendo in giro quelli che fanno domande idiote, tipo "Ma terminare ogni frase con la parola 'pinguino' mi proteggerà dal coronavirus?".

E quelli che blaterano di geoingegneria senza sapere cos'è. Pinguino.

— Paolo Attivissimo (@disinformatico) April 5, 2020

E la cosa ha preso piede un pochino:

Concordo.
Pinguino

— Carlo 🌍 (@CarloBencini) April 5, 2020

sono settimane che aerei di questo tipo girano , (particolamente sopra la lombardia) a parte gli immensi serbatoi di scie chimiche, ottima idea girare quando non c e nessun altro in volo……. ( cosi non ti nota nessuno)😀😀
dimenticavo; Pinguino

— LELLO PIROLA 60 (@ANLELLO) April 5, 2020

Hai dimenticato Pinguino alla fine della frase. Pinguino

— Alessandro Ambrosi EU (@a_ambrosi) April 5, 2020

Invitano la gente a uscire di casa perché il Coronavirus è falso e ora non ci sono scie, quindi si può farlo. Pinguino (tattico nucleare). Pinguino

— Maria Strada (@MeryStreet) April 5, 2020

Questo momentaneo divertissement della domenica mattina mi ha fatto pensare: e se affiancassimo al debunking il sovvertimento dei forum complottisti dall’interno, con un sorpasso a destra, proponendo ai loro partecipanti tesi di complotto ancora più estreme e ridicole delle loro, cosa succederebbe?

Le rare volte che mi è capitato di usare questa strategia su singoli individui l’effetto è stato dirompente. Il complottista pensava che avrei risposto alle sue tesi con un classico, pacato, documentato debunking e l’ho spiazzato proponendogli una tesi ancora più demenziale. Le reazioni in genere sono quattro:

• il complottista cerca di debunkare la mia tesi e si trova a dover usare gli stessi strumenti, la stessa logica e le stesse fonti che usano i debunker, entrando in conflitto con sé stesso;
• il complottista, sentendo la mia tesi, capisce che la sua, portata alle estreme conseguenze, lo mette in pericolo di vita (se hai scoperto un segreto terribile, i Poteri Fortissimissimi ti cercheranno per eliminarti) e capisce che gli conviene smettere;
• si rende conto di avere a che fare con un pazzo e lascia perdere;
• a volte, raramente, il complottista si rende conto dell’assurdità della propria tesi e capisce il proprio errore.

Se vi serve una Tesi Iperdemenziale come ispirazione, ve ne propongo una:

Sì, per proteggersi contro il coronavirus si può usare il potere della parola “pinguino” messa alla fine di ogni frase. Le forme curve delle sue lettere, infatti, intrappolano e disgregano le onde millimetriche delle antenne 5G che vengono usate per potenziare il coronavirus, ma solo se in minuscolo! Le prove: nessuno dei malati di coronavirus aveva usato questa precauzione, e guardate cosa è successo a loro. Non solo: gli scienziati dicono che il coronavirus è diverso dai precedenti in oltre 5000 punti. 5000 x 1.000.000 = 5 miliardi, ossia 5G!! E comunque male non fa! Vi diranno tutti che state dicendo una pazzia, ma “loro” vogliono farvi credere che non è vero, e questo dimostra che avete ragione! Dimostratemi che ho torto! Qual è il simbolo degli hacker? Il Pinguino di Linux! La prova finale: re Giorgio III d’Inghilterra già lo sapeva nel 1800, e tutto lo consideravano pazzo, ma lui diceva sempre “Some people say I'm mad, and say the word "penguin" after each sentence. But I believe that we two can make Britain great, with you as the Prince Regent, and I as King Penguin.” Ci sono le prove!

O se preferite questo capolavoro di Xkcd:


-- “L’11/9 è stato un autoattentato! Il carburante dei jet non brucia a temperatura sufficiente a fondere l’acciaio!”
-- “Beh, ricordati che il carburante non era l’unica cosa a bordo di quegli aerei. Avevano anche serbatoi degli agenti chimici per il controllo mentale usati dagli aerei di linea per fare le scie chimiche. Chissà a che temperatura brucia quella roba!”
-- “Accidenti, osservazione acuta!”

Buon lavoro.


Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Ieri sera è andato in onda uno speciale della Radiotelevisione Svizzera dedicato alla situazione della pandemia in corso, particolarmente per quanto riguarda il Canton Ticino.

La puntata è ovviamente dedicata soprattutto al personale sanitario, che è in prima linea in questa lotta, ma ho partecipato anch’io insieme al collega e amico debunker David Puente (da 1:15:20) per quel che riguarda la disinformazione sul coronavirus che viene veicolata dagli utenti via Internet, anche qui in Svizzera. L’avvocato Gianluca Padlina spiega quali possono essere le conseguenze legali della diffusione di notizie false.

Il mio spettinatissimo intervento è stato registrato a metà marzo: è per questo che mi vedete in un video ripreso in esterni da un operatore invece che in un collegamento in video streaming. C’è anche una piccola clip di mie raccomandazioni.

Pochi giorni fa, il 30 marzo, sono stato ospite di Nicola Colotti alla Rete Uno della Radiotelevisione Svizzera nel programma Millevoci, intitolato Internet delle…cose che ci tengono connessi con gli altri: dove e come corrono i (big)dati dell’emergenza pandemia, insieme con Alessandro Longo, giornalista direttore del portale Agenda Digitale; Walter Quattrociocchi, Direttore del Laboratorio di Data Science and Complexity all’Università di Venezia; e Angelo Consoli, responsabile del laboratorio di Cyber Security della SUPSI.

Se volete riascoltare il programma, è disponibile in streaming qui.

È disponibile la puntata di oggi del Disinformatico della Radiotelevisione Svizzera, condotta da me insieme a Francesca Margiotta restando in “distanziamento sociale”: io al Maniero Digitale e lei in studio. Non c’è streaming video.

Podcast solo audio: link diretto alla puntata.

Argomenti trattati: link diretto.

Podcast audio precedenti: archivio sul sito RSI, archivio su iTunes e archivio su TuneIn, archivio su Spotify.

App RSI (iOS/Android): qui.

Video: stavolta non c’è.

Archivio dei video precedenti: La radio da guardare sul sito della RSI.

Buona visione e buon ascolto!

Cose da fare quando sei chiuso in casa: guadagnare 75.000 dollari, e farlo legalmente. È quello che è riuscito a fare un ricercatore di sicurezza, Ryan Pickren, che ha scoperto una serie di falle tecniche che consentivano di prendere il controllo da remoto della telecamera degli iPhone, degli iPad e dei laptop Apple.

In Safari, il browser di Apple, c’erano infatti ben sette vulnerabilità (CVE-2020-3852, CVE-2020-3864, CVE-2020-3865, CVE-2020-3885, CVE-2020-3887, CVE-2020-9784 e CVE-2020-9787). Concatenandone tre in modo astuto e corretto, permettevano a un sito ostile di accedere alla telecamera e al microfono della vittima, due delle risorse che Apple protegge maggiormente per ovvie ragioni.

Tutto quello che doveva fare la vittima era aver autorizzato in precedenza l’uso della telecamera e del microfono da parte di una qualsiasi app di Apple, cosa che fanno praticamente tutti, e visitare il sito ostile con Safari (cosa facilissima da ottenere con un classico messaggio “clicca qui per vincere un premio” o simile).

Pickren ha segnalato il problema con la massima discrezione ad Apple, che ha un bug bounty, ossia un programma di ricompense per chi segnala in maniera responsabile i difetti dei suoi prodotti, e l’azienda lo ha ringraziato dandogli appunto 75.000 dollari.

Niente panico: le falle più gravi sono state risolte dalle versione 13.0.5 in poi di Safari, uscita a fine gennaio, e le altre sono state messe a posto con Safari 13.1 a fine marzo. Se non avete ancora aggiornato Safari, fatelo.

Se vi interessano i dettagli tecnici delle scoperte di Pickren, li trovate qui in versione estesa e qui in sintesi.

Sistematicamente, durante ogni evento drammatico di portata mondiale, dalle guerre ai terremoti alle pandemie, i media ci propongono scene di accaparramento nei supermercati. In tutto il mondo, in queste scene c’è un prodotto immancabile: la carta igienica. Perché?

Sono state presentate numerose teorie psicologiche per giustificare questo strano comportamento, dal bisogno di fare un gesto che dia una sensazione di controllo della situazione allo spirito imitativo, per cui vediamo qualcuno fare scorta di carta igienica e quindi tendiamo a fare altrettanto.

Ma ci sono anche alcune spiegazioni che hanno poco a che fare con la psicologia e molto con la creazione di miti e disinformazione.

Una teoria, proposta per esempio dalla ricercatrice di comportamenti dei consumatori Kit Yarrow su Ars Technica, è che la sparizione della carta igienica sia in realtà un fenomeno mediatico: riceviamo la maggior parte delle informazioni in forma visiva, e quindi un oggetto ingombrante e vistoso come un pacco di carta igienica spicca di più rispetto a una scatoletta di tonno, sia nel carrello della spesa pieno, sia come spazio vuoto sugli scaffali, e quindi finiscono per essere privilegiate le immagini di carta igienica. Il consumatore con il megapacco da trentadue rotoli sottobraccio è sicuramente più fotogenico di un cliente con otto scatole di spaghetti o penne lisce.

Queste immagini sono incoraggiate nei media anche dall’aspetto leggermente ridicolo e assurdo dell’incetta di carta igienica rispetto a una più sensata scorta di zucchero, detersivo o disinfettante per le mani.

Il fenomeno, insomma, sarebbe una creazione dei media. Quasi una fake news.

Un’altra teoria si basa su un’osservazione ancora più concreta, e vale in particolare per il momento che stiamo vivendo: l’improvviso cambiamento delle nostre abitudini, con un’ampia fetta della popolazione che rimane in casa invece di andare a scuola o al lavoro, ha come conseguenza il fatto che si consuma più carta igienica a casa (circa il 40% in più) e molta meno nei luoghi pubblici, e la produzione per questi due settori segue filiere completamente separate: piccoli pacchi di carta di elevata qualità da una parte, grandi rotoli di qualità più industriale consegnati su pallet dall’altra, spesso prodotti da aziende distinte.

Questo causerebbe un effettivo aumento della necessità di carta igienica per uso domestico e spiegherebbe il momentaneo svuotamento degli scaffali mentre la produzione si adegua all’aumento di domanda domestica e al calo di quella di scuole, uffici, stadi, aeroporti, stazioni, autogrill, ristoranti e altro ancora.

Oltretutto le grandi dimensioni dei pacchi di carta igienica al supermercato comportano il fatto che bastano pochi acquisti in più per svuotare uno scaffale di carta; questo non vale, invece, per altri prodotti ben più compatti.

Se almeno una di queste teorie è valida, possiamo smettere di dare la colpa di queste momentanee penurie alla stupidità del genere umano. Però ammettiamolo: la tesi della stupidità dava più soddisfazione.

Da fine marzo gira in Rete un allarme rimasto finora privo di qualunque conferma: secondo alcuni utenti Houseparty, l’app per le videochiamate di gruppo offerta da Epic Games (quella di Fortnite), sarebbe pericolosa.

Sui social network si sono diffusi messaggi secondo i quali Houseparty permetterebbe ai criminali di rubare le password di altri servizi, come per esempio Spotify o Netflix, o ruberebbe essa stessa queste password.

La diceria si è diffusa in maniera così esplosiva, grazie anche ad articoli su The Sun e sul Mirror (due tabloid sensazionalisti britannici), che Epic Games ha annunciato che darà un milione di dollari alla prima persona che porterà prove di quella che chiama “campagna diffamatoria commerciale pagata”.

Di fatto, finora nessuno è riuscito a dimostrare che Houseparty faccia quello di cui è accusata. Le testimonianze raccolte fin qui, per esempio dalla BBC, puntano tutte nella stessa direzione: un utente di Houseparty riceve un messaggio che lo avverte del presunto allarme, poco dopo gli viene rubato in altro modo un account di qualche altro servizio, e mette erroneamente in relazione le due cose.

Non c’è motivo di temere furti di password da parte di Houseparty, che è stata esaminata dagli esperti e proviene da un’azienda di buona reputazione. Usatela pure, ma è importante tenere presente che nessuno regala niente, per cui Houseparty va tenuta d’occhio perché raccoglie dati personali, come per esempio la geolocalizzazione. Tuttavia è possibile disabilitare la geolocalizzazione, usare uno pseudonimo, scollegare Houseparty dalle altre app social e usare una modalità “privata” per impedire a estranei di unirsi a una conversazione, come segnala Techcrunch.


Fonti aggiuntive: Graham Cluley.

Se Zoom non vi va a genio per le sue limitazioni, difficoltà d’uso o vulnerabilità, che alternative ci sono per le videoconferenze?

Eccone alcune che offrono un buon livello di sicurezza (in particolare la crittografia della comunicazione). Se ne avete altre da suggerire, segnalatele nei commenti.

• BlueJeans
• FaceTime (fino a 32 persone, solo macOS e iOs)
• Google Duo (fino a 12 partecipanti)
• Google Hangouts Meet (fino a 250 partecipanti)
• Houseparty (fino a 8 partecipanti; per iOS, Android, macOS, Google Chrome)
• Jitsi (open source, fino a 75 partecipanti; disponibile presso vari fornitori, anche svizzeri)
• Signal (solo per videochiamate a due; disponibile per Android / iOS / MacOS / Windows / Linux)
• Sonata (della ticinese Exion)
• Skype (fino a 50 partecipanti)
• Teams di Microsoft (limiti variabili)
• Webex (fino a 100 partecipanti) 
• Whatsapp (solo 4 partecipanti) 
• Whereby (fino a 50 partecipanti)

Ultimo aggiornamento: 2020/04/19 15:30. 

I tantissimi nuovi utenti di Zoom stanno imparando a proprie spese che questo servizio di videoconferenze ha dei seri problemi di privacy e di sicurezza, come ho già accennato la settimana scorsa, sia per via dei suoi difetti tecnici, sia a causa dell’impreparazione e dell’eccessiva fiducia degli utenti.

Zoom ha dichiarato di essere passata dalla gestione di circa 10 milioni di utenti giornalieri a oltre 200 milioni, di aver risolto una falla di sicurezza che permetteva di rubare le credenziali degli utenti Windows, un’altra che permetteva di prendere il controllo di webcam e microfono di un Mac e di aver smesso di passare dati a Facebook nella versione iOS dell’applicazione. Se usate Zoom, quindi, aggiornate l’applicazione in modo da usare la versione più recente e robusta.

Ma alcuni problemi sono rimasti. Il primo è che le videoconferenze fatte con Zoom non sono completamente cifrate (non è una vera crittografia end-to-end, ma è una crittografia parziale, nonostante le dichiarazioni ambigue della Zoom Video Communications), per cui in teoria l’azienda potrebbe accedere alle comunicazioni dei suoi utenti. Questo rende piuttosto discutibili scelte come quella del primo ministro britannico, Boris Johnson, di tenere una riunione di gabinetto tramite Zoom e oltretutto vantarsene pubblicamente.

This morning I chaired the first ever digital Cabinet.

Our message to the public is: stay at home, protect the NHS, save lives. #StayHomeSaveLives pic.twitter.com/pgeRc3FHIp

— Boris Johnson #StayHomeSaveLives (@BorisJohnson) March 31, 2020

Il secondo problema si chiama Zoombombing: incursioni di bande di utenti all’interno di videoconferenze altrui, spesso per origliare oppure per pubblicare materiale osceno o lanciare insulti fino a costringere gli utenti legittimi a interrompere la sessione. Ho assistito in diretta ad alcuni di questi attacchi, e non sono per nulla piacevoli da subire, specialmente se si tratta di un docente che sta facendo lezione e compaiono di colpo video di torture o altre violenze sullo schermo di tutti gli studenti.

Questi vandalismi sono resi possibili dal fatto che ogni videoconferenza fatta con Zoom ha un numero identificativo composto da 9, 10 o 11 cifre, che può essere scoperto facilmente ed è tutto quello che serve per aggiungersi a una sessione se non sono state prese altre misure di protezione.

L’esperto di sicurezza Brian Krebs nota che esistono degli strumenti di wardialing che tentano tutti i numeri identificativi possibili delle sessioni Zoom, e i risultati non sono confortanti: nel giro di un’ora i ricercatori che hanno usato uno di questi strumenti hanno trovano in media 110 sessioni prive di password e quindi attaccabili. Molte appartenevano a banche, società di consulenza internazionali, aziende con contratti governativi e altre società del settore finanziario.

Automated Zoom conference meeting finder 'zWarDial' discovers ~100 meetings per hour that aren't protected by passwords. The tool also has prompted Zoom to investigate whether its password-by-default approach might be malfunctioning https://t.co/dXNq6KUYb3 pic.twitter.com/h0vB1Cp9Tb

— briankrebs (@briankrebs) April 2, 2020

Zoom ha pubblicato una guida dettagliata su come configurare l’applicazione in modo da bloccare questi attacchi, ma al momento è disponibile soltanto in inglese; Aranzulla.it ha una miniguida in italiano.

Se usate un Mac e avete bisogno di partecipare a un incontro tramite Zoom, consiglio di non installare l’applicazione ma di aprire il link al meeting usando Google Chrome e attendere qualche secondo che compaia l’invito “click here to launch the meeting”. Cliccandovi sopra, comparirà la dicitura “If you cannot download or run the application, join from your browser”: cliccate su “join from your browser” e autorizzate l’accesso alla telecamera e al microfono.

Questo articolo è stato reso possibile dalla donazione straordinaria di C.A., che ringrazio pubblicamente. Ultimo aggiornamento: 2020/04/04 22:50.

Da giorni sto cercando di scrivere un articolo che risponda a tutti quelli che mi chiedono perché temo che un’app di tracciamento di massa finalizzata alla lotta alla pandemia da coronavirus sia inutile nel caso migliore e pericolosa nel caso peggiore. Comincio a pubblicare questa prima parte, altrimenti non ne esco più.

Di fronte all’aumentare tragico dei morti e alla paralisi delle attività che sta lasciando senza soldi per vivere tante persone, moltissimi stanno invocando un’app, sullo stile di quelle usate in Cina, a Singapore o in Corea, che consenta di tornare alla vita normale, di poter uscire di casa e di poter tornare a lavorare. La disperazione è tale che molti sono disposti a rinunciare alla propria privacy pur di uscire da questo dramma e trovano grottesca e assurda l’idea di anteporre la riservatezza delle persone alla sopravvivenza delle persone stesse.

Fonte: Valigiablu.it.

Pensieri come “Non me ne faccio niente della mia privacy se sono morto o senza lavoro” sono molto diffusi e umanamente comprensibili. Ma il panico è cattivo consigliere, ed è proprio nei momenti di panico che bisogna essere razionali, per evitare di fare scelte che peggiorino le cose invece di risolverle.

Lascio da parte momentaneamente il fatto che la privacy è un diritto fondamentale per il quale si è combattuto a lungo, del cui valore ti accorgi solo quando lo perdi e che non va sacrificato senza pensarci bene e sottolineo che l’app di tracciamento è cosa ben diversa dal rilevamento di massa della localizzazione dei telefonini in forma anonimizzata che è già in corso per esempio in Italia e in Svizzera.

In sintesi, le mie obiezioni principali sono queste:

• Un’app, da sola, non risolverà il problema; serviranno anche misure costose e difficili, di tipo sanitario, ma temo che molti stiano pensando di limitarsi a fare l’app, che costa poco, senza fare tutto il resto, che costa tanto.
• Un’app è inutile se non la installano in tanti: come si convince la gente a installarla? La si obbliga? Se la si obbliga, come si fa? E chi non ha uno smartphone? Chi non vuole essere tracciato (non solo i criminali e i clandestini, ma chiunque abbia semplicemente una tresca sentimentale o un incontro di lavoro confidenziale)? Chi non deve essere tracciato perché per legge non deve essere tracciabile (polizia, giornalisti, medici)? Che percentuale della popolazione deve installarla affinché sia efficace?
• Un’app rischia di non funzionare: se si basa sulla geolocalizzazione dei cellulari per dirmi se sono stato vicino a una persona contagiosa, come potrà funzionare se vado per esempio in un centro commerciale, al chiuso? Chi controlla la validità dei dati raccolti? Sono previste multe per chi li altera o “dimentica” a casa il telefonino? Ispezioni? “Favorisca la patente e il cellulare, grazie”?
• Che si fa con chi viene segnalato dall’app? Supponiamo che il mio vicino di casa o collega di lavoro sia segnalato (a torto o a ragione) come contagioso. Chi vigila sul suo auto-isolamento? Qual è l’incentivo a collaborare, visto che isolarsi significa spesso perdere il lavoro? Ci sono le risorse mediche per utilizzare queste segnalazioni (per esempio facendo test, visto che per esempio in Italia non si riesce a farne a sufficienza)?
• Sarà tecnicamente gestibile l’enorme massa di dati di tracciamento? Quali risorse informatiche bisogna predisporre per poter pedinare decine di milioni di persone ventiquattr’ore su ventiquattro?

Tornando alla questione del diritto alla riservatezza:

• Chi custodirà questi dati? Gli spostamenti e le abitudini di milioni di cittadini fanno gola a moltissimi operatori: sia commerciali, sia governativi. A chi finiranno in mano? E se vi fidate del governo attuale, siete disposti a mettere una mano sul fuoco anche per tutti i governi futuri possibili?
• Che fine faranno questi dati? Come possiamo garantire che non verranno usati per altri scopi? La pandemia da Covid-19 passerà, prima o poi, ma i dati raccolti resteranno? Un tracciamento di massa è il sogno proibito di ogni aspirante dittatorucolo e fan delle dittature (fino al momento in cui finisce sotto la dittatura di qualcun altro) e sarebbe perfetto per contrastare qualunque opposizione politica organizzata (o per sapere se e quando sei andato al seggio a votare).
• Come e quando sarà revocabile questa violazione “temporanea” della privacy? La pandemia da Covid-19 passerà, prima o poi, ma ci sarà sempre lo spauracchio della prossima epidemia che giustificherà il mantenimento della sorveglianza di massa. Oppure si dirà che l’app aiuta a prevenire il crimine (come se i criminali fossero così scemi da farsi tracciare quando vanno a rubare), quindi tanto vale tenerla. Molti diranno che per il bene comune vale la pena di accettare la sorveglianza, perché tanto non hanno niente da nascondere (fino al momento in cui si rendono conto che invece hanno qualcosa da proteggere). Chi invocherà il diritto alla privacy verrà facilmente zittito chiedendogli come mai ci tiene tanto e che cosa ha mai da nascondere se non fa niente di male. E saranno in pochi a dire “ma se non faccio niente di male, allora perché mi vuoi sorvegliare?”

La mia preoccupazione, insomma, è che si stia pensando a un’app magica che risolva tutto, ma senza neppure aver chiarito cosa farà e come funzionerà; anzi, senza neanche aver capito se funzionerà. Dobbiamo fare attenzione alla facile ma falsa dicotomia “o app, o milioni di morti”.

Rispondo subito alle contro-obiezioni più frequenti:

• “Ma tanto siamo già tutti tracciati, che male c’è?”: No, non siamo tutti tracciati. Quando vai dal medico, non sei tracciato. Quando vai a un consultorio dopo una violenza, quando vai da un andrologo, quando vai dal tuo avvocato, quando compri un giornale, non sei tracciato. Quando lasci il telefono a casa o lo tieni spento, non sei tracciato. Qui si propone di introdurre un tracciamento continuo e di massa. Un tracciamento nel quale se ti si scarica il telefonino di notte, ti bussa la polizia alla porta (come a Taiwan) o dove si è sospettati di furto perché si è passati vicino alla casa svaligiata (come negli Stati Uniti).
• “Ma tanto Google, Facebook e Apple sanno già tutto di noi”: A parte il fatto che non è vero (avete dato a Google la vostra cartella medica?), ragionare in questo modo è come dire “Mi sono già amputato due dita con la motosega, tanto vale tranciarsene un terzo”.
• “Ma tanto siamo già controllati perché il governo ci obbliga a stare in casa”. No. Un conto è tenere chiusa la porta di casa, un altro è tenere un registro di chi entra e chi esce, con chi e a che ora di quale giorno.
• “Ma allora qual è l’alternativa?” Non lo so. Come informatico, posso solo dire che questo metodo rischia di non funzionare. Se qualcuno ti avvisa che il cancro non si cura con le caramelle, non gli credi perché non sa proporti una cura che invece funziona?

La questione è complessa, insomma. Cominciamo a vedere cosa ne pensano gli esperti. Vi consiglio di leggere le loro riflessioni per intero, se possibile, prima di farvi un’opinione.

Ho chiesto a Sarah Jamie Lewis di OpenPriv (già nota per il suo lavoro sulle falle del voto elettronico svizzero), che ha scritto un bel thread pubblico sull’argomento. Mi ha scritto questo:

Per quel che ne so, esiste una sola proposta di fornire un’app di segnalazione che protegga la privacy [HelpWithCovid], e proviene da (credo) il MIT, ma non ha né fondi né una tabella di marcia. Credo che cominceremo a vedere una sorveglianza di massa molto più in fretta di quanto sia possibile sviluppare e applicare una soluzione che tuteli la privacy. Sorvegliare i metadati dei telefoni è banale e molti governi hanno già una certa infrastruttura di supporto. Se sia utile, non ne sono certa. È sicuramente più uno strumento di feedback (per esempio quante persone ci sono in una certa area e stanno violando l’isolamento / dove assegnare risorse) che di sorveglianza di una persona specifica. La maggior parte degli operatori telefonini ha già le risorse tecniche per gestire cose come, per esempio, i grandi eventi sportivi.

Ho sentito anche Mikko Hypponen, di F-Secure:

Se il governo crea un’app di tracciamento, che può essere usata dai cittadini per segnalare le proprie condizioni e la propria localizzazione, è ottimo. Ma se il governo inizia un tracciamento di massa non volontario di tutti, è molto più complicato. Il mio consiglio è fare in modo che il tracciamento degli spostamenti dei cittadini resti volontario il più a lungo possibile. Il tracciamento non volontario è un cambiamento molto importante: non va usato se non è assolutamente necessario, va abolito permanentemente appena possibile e va fatto il più trasparentemente possibile.

Raccomando inoltre di leggere queste fonti, che forniscono moltissimi dettagli su come funzionano realmente le app di cui si parla tanto e le misure sanitarie e di sorveglianza prese nei paesi solitamente citati come esempi virtuosi di controllo della pandemia:

• Bruce Schneier e la Electronic Frontier Foundation (che fra l’altro sollevano la questione spinosissima di cosa succede se una persona viene identificata erroneamente come da mettere in quarantena: esiste una procedura di ricorso e rettifica?).
• La spiegazione in video di Alex Orlowski di come “una App per fermare il #COVID19 come la coreana non funzionerà”.
• Il Post (in Corea del Sud la “riduzione dei contagi è stata attribuita soprattutto all’impiego estensivo dei test per identificare rapidamente i casi positivi, isolandoli dal resto della popolazione, mentre non è ancora chiaro se i sistemi di sorveglianza abbiano avuto un ruolo rilevante”).
• Il Garante per la protezione dei dati personali italiano, Antonello Soro (“[...] mi sfugge l'utilità di una sorveglianza generalizzata alla quale non dovesse conseguire sia una gestione efficiente e trasparente di una mole così estesa di dati, sia un conseguente test diagnostico altrettanto generalizzato e sincronizzato. Premesso questo, non esistono preclusioni assolute nei confronti di determinate misure in quanto tali. Vanno studiate però molto attentamente le modalità più opportune e proporzionate alle esigenze di prevenzione, senza cedere alla tentazione della scorciatoia tecnologia solo perché apparentemente più comoda, ma valutando attentamente benefici attesi e "costi", anche in termini di sacrifici imposti alle nostre libertà”).
• Il Comitato Europeo per la Protezione dei Dati dell’UE (“even in these exceptional times, the data controller and processor must ensure the protection of the personal data of the data subjects [...] any measure taken in this context must respect the general principles of law and must not be irreversible. Emergency is a legal condition which may legitimise restrictions of freedoms provided these restrictions are proportionate and limited to the emergency period.”).
• L’ex Garante della privacy italiano Francesco Pizzetti su Formiche.net.
• Covid-19 e protezione dei dati personali, de L’Asino di Buridano (“L’elemento attrattivo che induce all’utilizzo di tale app è la possibilità di controllare se nelle vicinanze ci sono altre persone contagiate. Per questo l’applicazione ha potuto riscuotere successo anche tra i non contagiati, considerato che in Sud Corea si è imposta la quarantena anche a coloro che sono entrati in contatto – anche essere stati nella stessa stanza di un individuo che ha mostrato i sintomi del Coronavirus – con un infettato.”).
• Coronavirus: l’uso della tecnologia, il modello coreano e la tutela dei dati personali, su Valigiablu, che nota che basta un solo incosciente (che in quanto tale magari non installa l’app) per causare migliaia di contagi (“La Corea del Sud è passata in pochi giorni da qualche decina di infetti a decine di migliaia. Il focolaio di coronavirus è stato per lo più la conseguenza del comportamento incosciente del cosiddetto “paziente 31”, un membro di una chiesa locale (Shincheonji) che avrebbe portato ad infettare quasi 5.000 persone (di cui 29 morte).”) e che non si tratta semplicemente di installare un’app di localizzazione (“la legge coreana (modificata dopo l’epidemia di MERS del 2015) consente alle autorità di accedere ai dati delle telecamere, a quelli di tracciamento tramite GPS da telefoni e automobili, alle transazioni con carta di credito e altri dati personali per finalità di controllo delle malattie infettive”).
• Cellulari, app e privacy ai tempi della pandemia su ZEUS News (“In Italia [...] sono attualmente attive almeno due iniziative di sviluppo di applicazioni di questo tipo [...] Questo processo, come molto spesso avviene nel nostro Paese, è però del tutto opaco, e questa, solo questa, è una caratteristica negativa e da avversare. Non solo perché processi che coinvolgono un'intera società democratica devono essere trasparenti per definizione, visto che non ci sono segreti di Stato in ballo, ma le vite di tutti”).
• Coronavirus, come funzionano il controllo delle celle e il tracciamento dei contagi. Il Garante: «Non bisogna improvvisare» di Martina Pennisi sul Corriere della Sera (con l’indicazione di quali operatori privati in Italia si stanno già muovendo per creare app).
• The Shield: the open source Israeli Government app which warns of Coronavirus exposure di Graham Cluley (che analizza l’app israeliana di tracciamento anti-coronavirus: è facoltativa, i dati di localizzazione restano sul telefono, ed è open source).
• L’analisi di TraceTogether, l’app del governo di Singapore, su MobiHealthNews.com (solo Bluetooth per rilevare i telefoni nelle immediate vicinanze, dati tenuti sul telefono, zero geolocalizzazione, dati cancellati dopo 21 giorni).
• La proposta di app di tracciamento decentralizzata e protettiva della privacy di Zcash (che include anche altre info su TraceTogether).
• La proposta di Pan-European Privacy-Preserving Proximity Tracing di una nascente non-profit svizzera di cui fanno parte vari istituti e università in Europa.
• Il progetto Safe Paths del MIT (dati di localizzazione salvati sul telefono, scaricati solo per chi è infetto). 
• Covid Watch (app di tracciamento open source che usa Bluetooth su smartphone o altri dispositivi Bluetooth a bassissimo costo)
• Fabio Sabatini segnala uno studio che “mostra che il tracciamento digitale dei potenziali contagiati è *essenziale* per fermare l'epidemia, e suggerisce che ogni ritardo nella sua attuazione potrebbe avere un costo sociale molto elevato”). Lo studio è Quantifying SARS-CoV-2 transmission suggests epidemic control with digital contact tracing (preprint non riveduto, su MedRxiv; versione su Science).
• La discussione fra Alfonso Fuggetta, Stefano Zanero e il sottoscritto.
• Stefano Zanero: “Quando vi dicono che la Corea del Sud ha sconfitto il virus coi big data, i cellulari e le app, ricordatevi che non vi stanno dicendo una cosa corretta. Principalmente il metodo coreano si basa su molti, moltissimi test” (linka questo articolo di Bloomberg.com).
• Top10VPN ha pubblicato un elenco dettagliato dei paesi (una ventina) che usano forme di tracciamento digitale come misura anti-coronavirus; altre info sul tema sono su Business Insider.

Proseguirò queste riflessioni in un altro articolo. Nel frattempo, personalmente considererò accettabile un’app di sorveglianza quando i primi a essere obbligati a installarla saranno i politici che la propongono, i loro coniugi e i loro figli.


Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.