Stamattina l’Ufficio federale della sanità pubblica svizzero ha annunciato l‘avvio di un test pubblico di sicurezza per SwissCovid, l’app di tracciamento di prossimità finora usata per consentire di allertare anonimamente chi è stato vicino a una persona risultata poi positiva.

Avvio del Public Security Test per la funzione check-in nell’app #SwissCovid. Contribuite a verificare la sicurezza della nuova funzione e comunicate i risultati dei vostri test tramite il sito web dell’NCSC. https://t.co/nfqKVI5fTU

— BAG – OFSP – UFSP (@BAG_OFSP_UFSP) June 9, 2021

Il tweet è piuttosto ermetico: che cos’è la “funzione check-in”? E perché viene aggiunta a SwissCovid? Sono sempre un po’ sospettoso quando vedo aggiunte di questo genere, perché temo il classico feature creep che ha spesso conseguenze impreviste.

Questo è quello che ho trovato finora: l’annuncio del Centro Nazionale di Cibersicurezza dice che

Tra breve l'app SwissCovid sarà completata con l'applicazione «NotifyMe», che potrà essere impiegata nel quadro di eventi e riunioni. Il codice sorgente di SwissCovid verrà pertanto ampliato. 

e linka delle FAQ che citano CrowdNotifier (altre info qui), che parlano di un tracciamento di presenza (non più di prossimità) sicuro, decentrato e protettivo della privacy, allo scopo di  (traduco) “semplificare e accelerare il processo di notifica delle persone che hanno condiviso un luogo semipubblico con una persona positiva alla SARS-CoV-2 per un tempo prolungato, senza introdurre nuovi rischi per gli utenti e i luoghi.”

La documentazione di Crowd Notifier prosegue dicendo che (traduco) “i sistemi esistenti di tracciamento di prossimità (app di tracciamento dei contatti come SwissCovid, Corona Warn App e Immuni) notificano soltanto un sottoinsieme di queste persone: quelle che sono state abbastanza vicine per abbastanza tempo. Gli eventi attuali hanno reso evidente la necessità di notificare tutte le persone che hanno condiviso uno spazio con una persona positiva alla SARS-CoV-2.”

Sembra insomma che si voglia introdurre in SwissCovid una nuova funzione che generi una notifica semplicemente quando si va in un luogo affollato nel quale risulta poi che c’era qualche persona positiva al Covid, anche se non si è stati vicini alla persona per periodi prolungati.

A giudicare dagli schemi pubblicati, che vedete in testa a questo articolo, ci sono dei codici QR che vengono generati dal proprietario del luogo (o locale) e vengono scansionati dai visitatori.

Si tratta di una proposta, per ora, e il suo scopo è (traduco) “fornire un’alternativa al crescente uso di app con intenzioni analoghe che sono basate su una raccolta invasiva o che si prestano ad abusi da parte delle autorità.”

La questione è aperta e delicata: le app di questo genere consentono, se realizzate male, tracciamenti di massa decisamente inaccettabili. Se ci saranno novità, le segnalerò qui. Se scoprite qualcosa, i commenti sono come sempre a vostra disposizione.

I certificati COVID svizzeri, che facilitano gli spostamenti da un paese all’altro e la partecipazione ai grandi eventi, sono ancora in fase sperimentale (arriveranno entro fine mese, sia in forma digitale sia in forma cartacea). Sono però già disponibili per lo scaricamento le due app per la gestione di questi certificati.

La prima è l’app per gli utenti, quella che custodisce il certificato (anche per più persone) e si usa per esibirlo, si chiama Covid Certificate ed è qui per iOS (installabile anche su iPad, dalla versione 12.0 e successive) e qui per dispositivi Android (compatibile con Android 7.0 e successivi).

La seconda app è quella che serve per verificare i certificati; è usabile da chiunque per scansionare e verificare la validità dei certificati esibiti e si chiama Covid Certificate Check. La trovate qui per Android (7.0 e successivi) e qui per iOS (12.0 e successivi).

In attesa di poter usare queste app, diffidate delle imitazioni e delle app quasi omonime presenti negli Store: installate soltanto le versioni originali, che si possono riconoscere dal nome dello sviluppatore, che è l’Ufficio federale della sanità pubblica (UFSP/BAG).

Per tutti i dettagli sul funzionamento dei certificati COVID potete leggere questo mio articolo.

Ultimo aggiornamento: 2021/11/12 1:40.

Vado subito al sodo per chi ha fretta. Faccio tre asserzioni-scommessa:

• Il machine learning è semplicemente un riconoscimento di schemi (pattern recognition) e non costituisce “intelligenza” in alcun senso significativo della parola.
• Il riconoscimento di schemi fallisce in maniera profondamente non umana e in situazioni che un umano invece sa riconoscere in maniera assolutamente banale. Questo rende difficilissimo prevedere e gestire i fallimenti del machine learning e quindi rende pericolosa la collaborazione umano-macchina.
• Qualunque sistema di guida autonoma o assistita basato esclusivamente sul riconoscimento degli schemi è destinato a fallire in maniera imbarazzante e potenzialmente catastrofica.
  

Sono asserzioni molto forti, e le faccio sapendo di non essere un esperto di questi settori ma semplicemente un loro osservatore con un pizzico di esperienza personale: se vi fidate di me, lo fate a vostro rischio e pericolo, e sono disposto a cambiare idea di fronte a smentite documentate (e francamente sarei contento di perdere questa scommessa). Però temo che ignorare queste riflessioni possa essere un grosso pericolo per molti. 

Premetto inoltre che non sto dicendo che l’intelligenza artificiale è una bufala, ma che il machine learning viene spesso spacciato per “intelligenza”. E prima di criticare, vi chiedo di leggere attentamente le parole che ho scelto con cura nel formulare le mie asserzioni-scommessa.

Provo a spiegare cosa mi ha portato a queste conclusioni provvisorie.

Prima di tutto riassumo cosa si intende per machine learning: in estrema sintesi, si danno in pasto a un software tantissimi esempi di una cosa, tantissimi esempi di cose differenti (ossia che non sono quella cosa) e lo si “premia” quando riconosce correttamente la cosa in questione. Questo apprendimento automatico può raggiungere livelli di affidabilità altissimi e in molti casi funziona egregiamente. Il riconoscimento ottico dei caratteri (OCR) e il riconoscimento vocale sono esempi di grande successo del machine learning.

Ma si può dire che un sistema di OCR sia intelligente? Capisce che sta leggendo un sonetto di Shakespeare o una mail di spam, e può quindi adeguarsi di conseguenza? È in grado di considerare il contesto e capire che magnifica e magni fica sono due letture molto differenti e potenzialmente imbarazzanti, ma che la seconda potrebbe essere valida se lo scrivente si esprime in romanesco? Un lettore realmente intelligente lo capirebbe dal contesto (e dalla sua conoscenza delle attività sessuali umane). Un OCR no. Non è intelligente, perché non ha conoscenza del mondo reale, ma conosce soltanto delle forme (le lettere) e assegna loro una probabilità di corrispondere a uno dei modelli che conosce. Non sa nulla del loro significato e quindi non può correggersi di conseguenza. E non importa quanti miliardi di campioni di lettere o di parole gli dai: non acquisirà mai la comprensione del testo.

Ogni tanto questi sistemi di riconoscimento sbagliano, ma non è un problema. Se un sistema di OCR “legge” una parola al posto di un’altra non muore nessuno. Se Alexa crede che l’abbiate chiamata, quando invece stavate pronunciando il nome della vostra spasimata Alessia durante un momento di passione, il peggio che può succedere è che la registrazione del vostro amplesso finisca nel cloud di Amazon e venga scambiata fra i dipendenti dell’azienda che fanno il monitoraggio dei campioni audio. Imbarazzante, ma probabilmente non letale.

La ragazza che si chiama Alessia è un cosiddetto edge case: un caso limite, una situazione rara che però fa sbagliare il sistema di riconoscimento.

Questi sbagli avvengono in modi strani perché l’addestratore umano, quello che insegna al software a riconoscere una forma, non riesce a calarsi nella “visione del mondo” che ha quel software e non riesce ad anticipare tutti i modi possibili nei quali potrebbe prendere un granchio e a insegnargli a riconoscere tutti questi casi limite. 

Lo spiega benissimo uno che di queste cose ne capisce a pacchi, Andrej Karpathy, direttore del reparto di intelligenza artificiale di Tesla, in questa lezione magistrale del 2018, quando mostra queste immagini:

Altri due esempi fra tanti: un’auto caricata a coda in avanti su una bisarca è un’auto in contromano?

Una bici montata di traverso sul retro di un’auto è una bici che mi sta tagliando la strada e devo quindi frenare?

Di recente su Reddit è stato pubblicato un bell’esempio di questi edge case: un camion ha dei cartelli di stop dipinti sul portellone posteriore, e il sistema di riconoscimento ottico dei cartelli di una Tesla li etichetta e li mostra come se fossero cartelli reali.

Cosa succede se il sistema di decisione dell’auto ritiene che quei cartelli siano reali e quindi inchioda in mezzo alla strada, creando la situazione perfetta per un tamponamento a catena? Ìl sistema è sufficientemente sofisticato da tenere conto del contesto e quindi “sa” che i cartelli stradali normalmente non si muovono lungo le strade, per cui rigetta il riconoscimento e lo ignora nelle sue decisioni di guida?

Un conducente umano, avendo conoscenza del mondo, non avrebbe la minima esitazione: sono cartelli dipinti sul retro di un camion, li posso tranquillamente ignorare. Un sistema di guida autonoma o assistita sarà altrettanto consapevole? E il conducente saprà anticipare questi possibili errori che lui non farebbe mai?

Beh, direte voi, dai, una cosa del genere sarà un caso raro. Poi succede questo:

Una Tesla Model 3 viaggia a 130 km/h e mostra un flusso costante di semafori che appaiono dal nulla sulla corsia del conducente. 

Un essere umano sa in un millisecondo che questo è impossibile, perché ha conoscenza del mondo e sa che i semafori non volano e non compaiono dal nulla; il sistema di guida assistita di Tesla no, perché non “sa” realmente che cosa sono i semafori nel mondo reale e quindi non “sa” che non possono apparire dal nulla a 130 km/h.

Che cosa ha causato questo clamoroso errore di riconoscimento? Un camion che trasportava semafori.

Eh dai, ma i semafori erano spenti, obietterete voi. Poi succede questo:

Questo è esattamente il tipo di errore che un conducente umano non farebbe mai e che invece un sistema di guida basato esclusivamente sul riconoscimento delle immagini farà, e farà in circostanze imprevedibili. Con conseguenze potenzialmente mortali. Se state valutando un’auto dotata di questi sistemi, pensateci bene. Se ne avete una, pensateci ancora di più.

Certo, gli umani commettono altri tipi di errori, per cui alla fine l’obiettivo non è creare un sistema di guida assolutamente infallibile, ma semplicemente uno che fallisca mediamente meno (ossia causi meno incidenti) della media dei conducenti umani.

Tutto questo vuol dire che la guida autonoma basata sul riconoscimento puro degli schemi è impossibile? No. Una soluzione potrebbe essere semplificare l’ambiente operativo (strade su misura, rigidamente normate, accessibili solo a veicoli autonomi/assistiti). Per esempio, un ascensore (che in sostanza è un treno verticale in una galleria verticale chiusa) è un sistema di “guida autonoma” affidabilissimo, che richiede pochissima “intelligenza” grazie a un ambiente operativo ipersemplificato.

Allo stesso tempo, va notato che ci sono esempi di sistemi che interagiscono egregiamente con un ambiente operativo complesso pur avendo una “intelligenza” molto limitata: le api. Con un solo milione di neuroni riescono a navigare, interagire con i fiori, comunicare con le altre api, gestire gli aggressori e avere una società complessa e organizzata (hanno persino delle “votazioni”). Noi abbiamo cento miliardi di neuroni (centomila cervelli d’ape) a testa e non riusciamo a capire come indossare una mascherina o perché. Chiaramente c’è un margine di ottimizzazione che le api sfruttano e noi no, ma è anche vero che un’ape va in crisi quando incontra l’edge case di una cosa che non esiste in natura, tipo una barriera trasparente (il vetro di una finestra).

È anche possibile che estendendo il concetto di riconoscimento degli schemi all’asse del tempo (ossia imparando a riconoscere come cambia un oggetto nel corso del tempo) ed estendendo il concetto di schema a oggetti complessi (incroci, rotatorie, attraversamenti pedonali) si riesca a ottenere risultati accettabili. Ma questo richiede un database di esempi colossale, una classificazione vastissima e una potenza di calcolo ancora più colossale. Nessuno dei sistemi attualmente in commercio ci si avvicina, come spiega bene Filip Piekniewski. Siate prudenti.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o altri metodi.

È disponibile il podcast di oggi de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto da me insieme a Tiki. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• “Muore a 84 anni Carla Frozi, ballerina espressa italiana”: un perfetto esempio di sham news
• Guida a TikTok per genitori, in italiano
• WhatsApp cambia idea di nuovo
• Trading online fasullo, illusione completa

Il podcast di oggi, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto!

Newsweek ha segnalato un thread diventato virale su Twitter che spiega benissimo il reale potere dei sistemi di tracciamento pubblicitario e ribadisce il concetto che la paura diffusa che gli smartphone ascoltino le nostre conversazioni per proporci i prodotti di cui parliamo è infondata per una ragione molto semplice: non hanno bisogno di farlo perché hanno già tutto quello che serve, e glielo abbiamo fornito noi.

Il thread è stato pubblicato da Robert G. Reeve, che lavora nel settore della tecnologia informatica relativa alla privacy e conosce da vicino la questione.

In sintesi: Reeve è stato a casa di sua madre per una settimana, e si è visto comparire sul telefonino la pubblicità del dentifricio usato da lei e che ha usato anche lui. Non hanno mai parlato del dentifricio in questione. Allora come fa lo smartphone a proporglielo?

Oltre a raccogliere sistematicamente dati come la geolocalizzazione, l’uso delle tessere fedeltà, le prenotazioni e gli acquisti, le applicazioni installate sui telefonini usano la geolocalizzazione correlata: prendono nota di chi si trova regolarmente nelle sue vicinanze e ricostruiscono così la rete dei suoi contatti (amici, colleghi, famiglia).

I pubblicitari usano questa correlazione per mostrargli pubblicità basate sugli interessi di chi gli sta intorno. Cose che non vuole, ma che qualcuno dei suoi contatti potrebbe volere. Lo scopo, dice Reeve, è istigare subliminalmente a parlare di quel prodotto (nel suo caso, il dentifricio). “Non ha mai avuto bisogno di ascoltarmi per farlo. Sta semplicemente confrontando metadati aggregati”.

Reeve conclude notando che questi fatti tecnici sono noti e pubblicati da tempo, ma non indignano nessuno. Tantissime persone hanno rinunciato alla propria privacy. “Conoscono il dentifricio usato da mia madre. Sanno che ero da mia madre. Sanno che io sono su Twitter. Ora ricevo pubblicità su Twitter per il dentifricio di mia madre. I tuoi dati non riguardano soltanto te: riguardano anche il fatto che possono essere usati contro tutte le persone che conosci e anche quelle che non conosci, per plasmare inconsciamente i comportamenti”.

Reeve conclude segnalando gli ultimi aggiornamenti di Apple, che consentono di bloccare buona parte di questo tipo di tracciamento. “Se non altro, rendiamoglielo difficile”, conclude.

Questo è il thread completo originale:

I'm back from a week at my mom's house and now I'm getting ads for her toothpaste brand, the brand I've been putting in my mouth for a week. We never talked about this brand or googled it or anything like that. As a privacy tech worker, let me explain why this is happening.

First of all, your social media apps are not listening to you. This is a conspiracy theory. It's been debunked over and over again. But frankly they don't need to because everything else you give them unthinkingly is way cheaper and way more powerful.

Your apps collect a ton of data from your phone. Your unique device ID. Your location. Your demographics. Weknowdis. Data aggregators pay to pull in data from EVERYWHERE. When I use my discount card at the grocery store? Every purchase? That's a dataset for sale.

They can match my Harris Teeter purchases to my Twitter account because I gave both those companies my email address and phone number and I agreed to all that data-sharing when I accepted those terms of service and the privacy policy.

Here's where it gets truly nuts, though. If my phone is regularly in the same GPS location as another phone, they take note of that. They start reconstructing the web of people I'm in regular contact with.

The advertisers can cross-reference my interests and browsing history and purchase history to those around me. It starts showing ME different ads based on the people AROUND me. Family. Friends. Coworkers.

It will serve me ads for things I DON'T WANT, but it knows someone I'm in regular contact with might want. To subliminally get me to start a conversation about, I don't know, fucking toothpaste. It never needed to listen to me for this. It's just comparing aggregated metadata.

The other thing is, this is just out there in the open. Tons of people report on this. It's just, nobody cares. We have decided our privacy just isn't worth it. It's a losing battle. We've already given away too much of ourselves [link a due articoli che ne parlano].

So. They know my mom's toothpaste. They know I was at my mom's. They know my Twitter. Now I get Twitter ads for mom's toothpaste. Your data isn't just about you. It's about how it can be used against every person you know, and people you don't. To shape behavior unconsciously.

Apple's latest updates let you block apps' tracking and Facebook is MAD. They're BEGGING you to just press accept and go back to business as usual. Block the fuck out of every app's ads. It's not just about you: your data reshapes the internet [link ad articolo sull’argomento].

The internet is never going to be the wacky place it was when I had a Livejournal and people shared protean gifs in the form of YTMNDs. Big business has come to suck the joy (and your dollars) out of it. At least make it hard for them.

Ultimo aggiornamento: 2021/06/04 23:20.

Non dite che non ve l’avevo detto: il tanto annunciato rapporto del governo statunitense sui fenomeni aerei non identificati, attesissimo dagli ufologi che promettevano che avrebbe contenuto grandi rivelazioni e avrebbe segnato l’inizio di una nuova era di ammissioni di visite extraterrestri, è uscito (nel senso che il suo contenuto è stato comunicato agli addetti governativi di livello superiore) ed è un flop. Non contiene nessuna prova di avvistamenti di veicoli alieni. Nessuna rivelazione. Niente.

Lo ha annunciato poco fa il New York Times, scrivendo che gli addetti all’intelligence non hanno trovato prove che i recenti avvistamenti da parte di piloti della Marina statunitense siano veicoli spaziali extraterrestri. Non sono ancora in grado di spiegare cosa siano gli oggetti ripresi. Tutto qui.

Il NYT ha successivamente cambiato il titolo, rispetto a quello iniziale che vedete qui, in “U.S. Finds No Evidence of Alien Technology in Flying Objects, but Can’t Rule It Out, Either”.

Dal rapporto, che verrà fornito al Congresso degli Stati Uniti il 25 giugno, si evince, secondo il NYT, che la stragrande maggioranza degli oltre 120 episodi documentati nell’arco degli ultimi due decenni non è legata a tecnologie avanzate militari o governative statunitensi; potrebbe trattarsi di veicoli di altre potenze militari terrestri. Il rapporto non contiene nient’altro di significativo.

Molto rumore per nulla, come previsto. Gli ufologi infervorati continueranno ad attaccarsi al fatto che il rapporto non esclude esplicitamente e categoricamente l’ipotesi dei veicoli extraterrestri e continueranno a fantasticare (il rapporto non esclude esplicitamente e categoricamente neanche l’ipotesi che si tratti delle renne di Babbo Natale, se è per quello). I giornalisti acchiappaclic continueranno a scrivere fiumi di fuffa sull’ennesimo video sgranato, senza fare uno straccio di verifica tecnica. E il circo continuerà a girare ed esibirsi al pubblico con lo slogan di sempre: più gente entra, più bestie si vedono.

Ne ho parlato anche su Wired.it con Emilio Cozzi.

---

A tutti gli ufologi scornati che ce l'hanno con me: intendiamoci bene. La vita extraterrestre mi interessa così tanto, e la ritengo così plausibile, che ho fatto gratuitamente da interprete per l'astrofisica Jill Tarter (progetto SETI) pochi giorni fa. 

C’è gente che fa ricerca seria di civiltà extraterrestri. Usa il metodo scientifico e investe tempo e denaro per tentare di dare risposta a una delle più belle e profonde domande dell'umanità. A questa gente dono volentieri il mio tempo.

A chi invece crede che qualunque video sgranato di cosi che si muovono sia una prova inconfutabile di visite extraterrestri, senza prima considerare tutte le altre spiegazioni normali, dico solo una cosa: non siate così creduloni. C'è gente che specula sulla vostra credulità. Giornalisti in cerca di clic facili e ufologi ciarlatani che vendono libri paccottiglia e spennano soldi a chi va ai loro convegni a sentir raccontar frottole spacciate per fatti.

Imparate come funziona una fotocamera, come funziona un radar, come funziona una telecamera a infrarossi, come si fanno gli effetti speciali (digitali e analogici). Studiate astronomia, fisica, ottica. Capirete da soli quanti video "ufologici" sono in realtà fenomeni normalissimi. E non vi farete fregare dai ciarlatani.

Essere scettici sui video ufologici non è negare la vita intelligente nell'universo: è semplicemente non volere essere fregati dai ciarlatani e dagli autoinganni di chi vuole credere a tutti i costi. Studiate. Strada facendo, scoprirete fenomeni straordinari ma veri. Provateci.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o altri metodi.

Pubblicazione iniziale: 2021/06/04 1:17. Ultimo aggiornamento: 2021/06/17 15:30.

Chiunque può testare la sicurezza del software che gestirà il “certificato Covid” svizzero che certificherà l’avvenuta vaccinazione, la guarigione o il risultato negativo di un test e sarà necessario o facilitante per esempio per viaggiare oltre frontiera e per partecipare alle grandi manifestazioni (secondo le modalità dettagliate qui e in queste FAQ). Il codice sorgente e la documentazione sono disponibili per l’esame qui su GitHub.

La versione svizzera del certificato Covid sarà compatibile con quella dell’UE (spesso chiamata impropriamente green pass dai giornalisti che si sono ispirati male a un sistema israeliano) e viceversa; sarà introdotta gradualmente a partire dal 7 giugno. 

2021/06/17:15.30. Il certificato è stato distribuito.

Il certificato Covid sarà in sostanza un codice QR non falsificabile, stampato su carta (o fornito come PDF) oppure contenuto all’interno di un’apposita app che fa da wallet. Il certificato conterrà una firma elettronica della Confederazione che consente la verifica del certificato stesso senza trasmettere o salvare dati personali.

L’app per gli utenti si chiamerà Covid Certificate; dovrebbe essere pubblicata dall’Ufficio Federale della Sanità Pubblica (UFSP) e dovrebbe quindi comparire per esempio qui nel Play Store Android (ci sarà anche una versione iOS) dal 7 giugno 2021. L’app sarà gratuita (fonte: Dipartimento Federale delle Finanze).

Ci sarà anche un’app per verificare i certificati, chiamata Covid Certificate Check,* e ci sarà un sito riservato ai generatori autorizzati di questi certificati, presso www.covidcertificate.admin.ch (attualmente non operativo).**

Il progetto è stato affidato alla società zurighese Ubique (la stessa che ha prodotto SwissCovid) e ad altre due aziende svizzere, basandosi sul protocollo sviluppato dall’EPFL e sotto la supervisione dell’Ufficio Federale dell’Informatica e della Telecomunicazione (UFIT), scrive Le Temps.

Ecco qualche screenshot dalla versione Android non definitiva dell’app per gli utenti in italiano (le altre lingue disponibili sono tedesco, francese e inglese):

Queste, invece, sono immagini non definitive dell’app per verificatori:

Il funzionamento dovrebbe essere grosso modo il seguente.

L’utente richiederà il certificato, che sarà disponibile entro fine giugno e verrà fornito dai centri di vaccinazione, dai medici, dagli ospedali, dalle farmacie e dai centri di test (come spiega la RSI) e potrà importarlo nell’app Covid Certificate facendone una scansione. Chi verrà vaccinato con l’ultima dose prima della fine di giugno (come me) dovrà consultare il sito del Cantone per informazioni su come richiedere il certificato; chi verrà vaccinato dopo la fine di giugno riceverà il certificato automaticamente in forma elettronica (o, su richiesta, in PDF sul posto), come descritto qui.

L’utente esibirà questo certificato su richiesta (nei casi previsti) a un verificatore, che userà l’app di verifica Covid Certificate Check per leggere il codice QR ed accertarsi che il certificato sia autentico e non sia stato revocato.

Il verificatore che usa l’app potrà vedere solo “il nome, il cognome, la data di nascita e l’indicazione della validità del certificato COVID” (comunicato stampa del 4/6).

Il PDF conterrà un grande codice QR e alcuni dati stampati in chiaro: nome, cognome e data di nascita del titolare; numero di dose, marca, fabbricante del vaccino; data di vaccinazione; paese; ente emittente. L’app, invece, mostrerà solo il codice QR e il nome e la data di nascita della persona, perlomeno nella schermata principale.

In termini di privacy, non ci sarà un archivio centrale: ogni persona dovrà provvedere a custodire il proprio certificato sul proprio dispositivo digitale o su carta. “I dati personali non sono salvati a livello centrale dall’Amministrazione federale e quelli necessari per la firma elettronica del certificato vengono cancellati dal sistema della Confederazione non appena il certificato è stato generato e trasmesso”, dice il suddetto comunicato stampa, e non viene fatto alcun tracciamento delle verifiche. In caso di smarrimento del certificato bisognerà richiederne uno nuovo.

---

La decisione di effettuare un test di sicurezza pubblico è stata annunciata dall’Ufficio Federale dell’Informatica e della Telecomunicazione (UFIT). Ulteriori dettagli verranno resi pubblici oggi (venerdì 4 giugno) e verranno pubblicati qui sul sito dell’UFSP.

Si tratta di un progetto open source di massima trasparenza: come dicevo, il codice sorgente è già liberamente esaminabile e disponibile su GitHub; le condizioni e regole di partecipazione al test di valutazione della sicurezza, con le relative garanzie di non perseguibilità, sono pubblicate sul sito del Centro Nazionale per la Cibersicurezza insieme al modulo per la notifica dei problemi riscontrati e all’elenco di quelli già scoperti (fra i quali figura una password hardcoded).

Il periodo di verifica pubblica è iniziato il 31 maggio scorso e complementa i test già condotti dall’Istituto Nazionale di Test per la Cibersicurezza (NTC). Non sono previste ricompense (niente bug bounty, insomma).

Oltre al codice sorgente delle app per Android e iOS e dei servizi di generazione dei certificati, con la documentazione delle loro architetture, su GitHub si trovano anche le presentazioni che descrivono l’aspetto, i principi e la tabella di marcia dell’app e del documento cartaceo.

Frugando un pochino nella documentazione si trovano anche la guida rapida e le istruzioni per i “superutenti” (gli incaricati di generare i certificati) e per la loro formazione. Nulla che interessi al comune cittadino, ma interessante per chi vuole studiare le procedure interne del sistema.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico) o altri metodi.

Ma c’è anche un’altra categoria di truffatori che usa la stessa tecnica del corteggiamento lento: quella delle false offerte di trading online. Sophos Labs ha pubblicato un rapporto, Fake Android and iOS apps disguise as trading and cryptocurrency apps, che descrive questa tecnica in dettaglio.

I truffatori costruiscono un sito di falsa compravendita di valute tradizionali o di criptovalute, creano una falsa app che somiglia molto a quella di una società reale del settore, e poi selezionano le potenziali vittime attraverso i loro profili sui social network, scegliendo quelle più vulnerabili, e le corteggiano a lungo, esattamente come fanno i truffatori del romance scam.

Questi criminali riescono poi a far firmare digitalmente le loro app fasulle usando aziende terze, in modo che possano essere installate sugli iPhone eludendo i controlli di sicurezza di Apple. Però non mettono queste app nell’App Store, dove desterebbero troppe attenzioni e ulteriori controlli. Convincono le loro vittime a installarle senza passare dall’App Store, usando invece l’installazione mediante le tecniche di provisioning adoperate normalmente dalle aziende per gestire gli smartphone dei propri dipendenti. 

I truffatori giustificano questa forma insolita di installazione dicendo che si tratta di un’app “speciale”, riservata ai clienti più esclusivi e selezionati. Propongono alla vittima un piccolo investimento iniziale, con la promessa di un guadagno notevole: se la vittima cade nella trappola e manda i soldi, i truffatori se li intascano ma fanno credere alla vittima, tramite l’app, che il suo investimento sta andando benissimo e fruttando denaro a palate. Spesso propongono di aumentare la somma investita, per aumentare ulteriormente i rendimenti. Ma è tutta un’illusione.

Mi è capitato di assistere vittime di questo raggiro: ci mettono molto tempo a rendersi conto che è tutta una messinscena e hanno perso tutto il denaro che hanno inviato. Non ci vogliono credere: faticano ad accettare di essere stati ingannati. Continuano a obiettare che hanno un estratto conto in mano, nel loro telefonino, e che quindi non può trattarsi di una truffa. E non è facile convincerli che l’app è falsa, l’estratto conto è finto, la “banca” non esiste e che l’unica cosa da fare è rassegnarsi alla perdita dei soldi e iniziare la procedura di denuncia. Cosa che fanno molto raramente, per non soffrire ancora più a lungo.

Per evitare queste trappole valgono tre consigli fondamentali:

• Se una proposta sembra troppo bella per essere vera, probabilmente non è vera. Lo so che nel mondo delle criptovalute possono capitare rendimenti (ma anche tracolli) vertiginosi, ma normalmente non capitano tutti i giorni.
• Verificate che chi fa la proposta di investimento sia credibile: chiedete a una persona esperta del settore se ne ha mai sentito parlare, e specificate con precisione il nome del proponente (spesso i truffatori usano nomi molto simili a quelli di banche o società finanziarie reali).
• Non installate mai app che non sono nello store ufficiale, a meno che siano state fornite dal vostro datore di lavoro. Non abboccate a scuse del tipo “sei un cliente speciale, ti stiamo dando un’anteprima” o altre bugie analoghe.
  

Fonte aggiuntiva: Sophos.

Nuova puntata nella saga dei cambiamenti di WhatsApp. I nuovi termini di utilizzo di cui si parla ormai da mesi, quelli che dovevano entrare in vigore l’8 febbraio ma poi sono stati posticipati al 15 maggio, adesso sono cambiati ancora una volta.

WhatsApp aveva annunciato una riduzione graduale delle funzioni per chi non avesse accettato le nuove regole. E invece no. WhatsApp ha cambiato di nuovo idea e ora dice che non prevede più di limitare il funzionamento dell’app per chi non ha ancora accettato le nuove condizioni di utilizzo. 

L’azienda ha infatti dichiarato a TheNextWeb che le “recenti discussioni con varie autorità e vari esperti di privacy” l’hanno portata a decidere di ”non avere intenzione di limitare la funzionalità di WhatsApp”, ma di “continuare a ricordare agli utenti periodicamente questo aggiornamento.”

WhatsApp ha aggiornato la propria pagina informativa, scrivendo che non intende al momento “rendere questi promemoria persistenti né limitare le funzionalità dell'applicazione [...] WhatsApp non eliminerà il tuo account se non accetti l'aggiornamento.”

Secondo Punto Informatico, il doppio cambiamento è probabilmente legato “alle pressioni ricevute da alcuni paesi, tra cui la Germania, oppure alla fuga di utenti verso i servizi concorrenti (Telegram e Signal, in particolare)”.

Sia come sia, WhatsApp sta creando una gran confusione che non sembra indicare una pianificazione attenta e ponderata. Non saranno contenti quelli che hanno accettato le nuove condizioni, sotto la “minaccia” di essere banditi dall’app e quindi di perdere tantissimi contatti interpersonali, e ora scoprono che avrebbero potuto benissimo fare a meno di accettare.

Spiega cose molto pratiche e utili, come i limiti minimi di età fissati nell’app (TikTok è destinato a utenti di almeno 13 anni). L’app di TikTok è classificata come riservata a chi ha più di 12 anni nell’App Store di Apple ed è classificata come app per adolescenti sul Play Store di Google. Di conseguenza, se il telefonino del minore è impostato in modo da usare i controlli parentali, TikTok non sarà scaricabile. Se volete sapere come impostare questi controlli parentali, consultate le istruzioni per dispositivi Apple e per dispositivi di altre marche (anche queste disponibili in italiano).

Se non volete essere così drastici ma preferite accompagnare il minore su TikTok, c’è l’opzione Collegamento Famigliare, che permette di decidere quanto tempo può essere speso su TikTok giornalmente, limitare la visibilità dell’account, i commenti ricevuti e altro ancora. Per attivare questa opzione bisogna che il genitore abbia un proprio account TikTok e poi bisogna collegare i due account come descritto nella guida Per i genitori.

TikTok consiglia inoltre di rendere “privati” gli account dei minori. Questo non vuol dire che le cose che fanno su TikTok siano realmente private (la foto, il nome utente e la biografia, per esempio, restano visibili a tutti), ma offre un po’ di protezione in più. Per esempio, un account “privato” permette di scegliere chi guarda i contenuti pubblicati dal minore, chi lo segue e chi gli manda messaggi. Certo, questo è contrario all’idea di TikTok che molti hanno, ossia di cercare il maggior numero possibile di follower; ma è una scelta prudente.