jump to navigation

L’App di Google ed Apple per il Contact Tracing Covid-19 venerdì 8 Maggio 2020

Posted by andy in Information Security, Internet e società, privacy, tecnologia, Uncategorized.
Tags: , , , , , , , , ,
add a comment

Google ed Apple sono sempre in prima linea per aiutare gli utenti, rigorosamente gratis perché, come è noto, sono sono organizzazioni no-profit di beneficenza.

Ed anche con l’emergenza CoronaVirus non hanno perso tempo, e (pur essendo concorrenti) sono riuscite a mettersi d’accordo in un instante su uno standard di interoperabilità per realizzare un’app di contact tracing per tracciare i contatti da CoronaVirus.

Occorre intanto fare una precisazione: Android (Google) ed iOS (Apple) si spartiscono praticamente la totalità del mercato mondiale dei dispositivi mobili (circa i tre quarti del mercato per Android, un quarto per iOS, ed un misero 1% ad altri sistemi operativi).

E veniamo agli aspetti inerenti la privacy, tanto cari alle persone (che su FaceBook, WhatsApp, Instagram, etc. raccontano ogni istante della propria vita, cosa fanno, dove sono, i propri pensieri ed i propri gusti e le proprie preferenze).

In nessun caso le app prescelte potranno raccogliere informazioni sulla geolocalizzazione dei soggetti: ciò significa che chi gestirà i sistemi di raccolta e correlazione delle informazioni non avrà accesso a tale informazione.

È invece vero che Google ed Apple conosceranno tutti gli utenti che hanno installato l’app (per poterla installare occorre un account Google / Apple), e la loro posizione (come pensate che queste aziende possano conoscere in ogni istante lo stato del traffico di ogni strada del pianeta ed offrirvi informazioni pertinenti alla vostra posizione?).

Devo deludere coloro che pensano che la geolocalizzazione di un dispositivo si possa fare soltanto mediante il GPS: può essere fatta in vari altri modi che, se usati in combinazione, possono aumentare la precisione ottenuta con un singolo approccio; è possibile geolocalizzare un dispositivo mediante la celle telefoniche a cui si aggancia, le reti Wi-Fi a cui si connette, il suo indirizzo IP, nonché eventuali connessioni Bluetooth.

Esistono poi altri attori ‘trasversali’, che si possono inserire nel mezzo, tra l’app e Google/Apple: tanto per non fare nomi, scegliamo un produttore a caso: Xiaomi (altrettanto vale per altri produttori, in relazione alla loro aggressività commerciale).

Chi ha acquistato uno smartphone Xiaomi avrà certamente notato che ogni app preinstallata sul dispositivo chiede l’accettazione della politica per la privacy di Xiaomi (che naturalmente l’utente legge per filo e per segno fino all’ultima riga!) e di concedere a tali app un mare di autorizzazioni.

Grazie a tali autorizzazioni il vostro smartphone invierà al produttore un mare di informazioni, ed anche se qualche informazione non viene inviata oggi, potrà essere inviata dopo il prossimo aggiornamento delle app (ad esempio, quali app sono installate, quali dispositivi Bluetooth vengono incrociati, la vostra posizione, etc.).

Passiamo ad un’altra considerazione: Google ed Apple si sono affrettate provveduto a sviluppare e rendere disponibili le librerie software che servono per sviluppare le applicazioni, fornendo anche esempi di codice, per facilitare il lavoro degli sviluppatori.

La disponibilità di queste librerie implica che le applicazioni di tracciamento utilizzeranno software e servizi sviluppati da altri, su cui non vi è controllo, e addirittura, per la legge sulla protezione della proprietà di ingegno, è vietato ed è un reato effettuare il reverse engineering del codice per capire cosa effettivamente faccia …

Quindi, anche se chi sviluppa l’applicazione ed il servizio che riceverà i dati non potranno raccogliere informazioni sull’identità e sulla geolocalizzazione dell’app e dell’utente, questo non è necessariamente vero per Google ed Apple, che in ogni istante dispongono dell’identità del dispositivo e dell’utente che lo utilizza (oltre ad un mare di altre informazioni – si veda sopra).

L’idea poi che il memorizzare le informazioni soltanto localmente sul dispositivo dell’utente serva a garantire la privacy, in realtà serve soltanto a non rendere disponibile centralmente ai governi l’informazione, mentre Google ed Apple (almeno per i propri ecosistemi) già la possiedono, grazie al fatto che grazie alla geolocalizzazione ed alle reti di contatti già possedute possono sapere chi è stato vicino a chi (non stupitevi: già anni fa FaceBook inferiva conoscenze tra persone grazie al ripetersi di situazioni in cui due o più persone con account FB si trovassero nel medesimo luogo nello stesso momento …).

Se poi il sistema centrale che raccoglie le informazioni delle app è il loro, e non uno predisposto ad hoc da ogni governo, ci si rende conto che Google ed Apple disporranno (come società private) di una mappa mondiale dei possibili contagi mentre i singoli governi potranno accedere probabilmente soltanto ad un sottoinsieme di tali informazioni.

E questo potrebbe spiegare la fretta con cui questi due colossi, pur essendo concorrenti,  si sono messi d’accordo: sapere chi è potenzialmente infetto (o lo è stato) e chi è potenzialmente interessato a vaccini e farmaci per la cura dell’infezione rappresenta un mercato praticamente infinito per le case farmaceutiche.

Utilizzi ancora peggiori di queste informazioni possono includere l’ostracizzazione di persone risultate positive, la discriminazione nell’accesso ad aziende o territori, o anche nella selezione del personale da parte delle aziende.

Inoltre, mentre gli Stati si impongono dei termini per la conservazione di queste informazioni, chi potrà mai andare a controllare se Google ed Apple le distruggeranno veramente, e quando?

Ed in conclusione, visto che queste considerazioni le può fare qualsiasi cittadino, ritengo che il problema meriti un serio approfondimento da parte del Garante per la Privacy, tenendo conto che è in ballo una questione di trattamento di dati personali e sanitari.

Qualche riferimento: