Non è la prima volta che si parla dei rischi di vulnerabilità di un protocollo come Bluetooth, che non è nato per quello che oggi gli si chiede di fare con immuni. Un po’ la stessa cosa che è accaduta con le automobili, che solo oggi iniziano a essere progettate ed equipaggiate per gestire la sicurezza di sistemi digitali che potrebbero creare problemi alla guida se bucati da remoto: quando erano stati inseriti a bordo i primi chip non si immaginava che un giorno l’auto sarebbe stata perennemente connessa, è stato necessario cambiare mentalità e approccio per farvi fronte.
Dicevamo, il Bluetooth non è perfetto: in più, il protocollo Google-Apple è stato messo assieme in fretta e furia in poche settimane. Inevitabile qualche errore di gioventù.
Quello che va sempre precisato è che, come nel caso di quanto si sta discutendo in queste ore (e che non riguarda immuni in sé: bensì il protocollo su cui non ha controllo e che sfrutta per essere compatibile con il massimo numero possibile di smartphone), un bug o una vulnerabilità non richiedono necessariamente di buttare via il bambino con l’acqua sporca.
Lo spirito di una norma come il GDPR, che poi è quella che sovrintende la privacy e la cybersecurity da noi in Europa, non è tanto dare delle regole da seguire: bensì fornire delle linee guida su cui impostare il proprio approccio alla questione della sicurezza. Qual è il bilanciamento tra rischi e vantaggi di una certa tecnologia, di come si è progettato un database, di come si regola l’accesso a certi dati? Bisogna svolgere una sorta di esercizio che pesi pro e contro di una determinata soluzione: non ne esiste alcuna priva di rischi, quel che si può fare è minimizzarli.
Sfruttare il bug in questione, di cui si vociferava da un po’, imporrebbe una concatenazione di azioni davvero improbabile: tantissime antenne Bluetooth disposte ovunque, o seguire costantemente un individuo per monitorare cosa fa; un lavoro di ricostruzione dell’identità a partire dai codici pseudo-anonimi, la cui complessità è di per sé notevole ma che aumentando il numero di individui si complica ulteriormente; la possibilità di tradurre queste informazioni in informazioni utili da monetizzare/sfruttare, altra azione che non è immediata.
Banalmente, gli unici che avrebbero gli strumenti e le risorse per mettere in pratica questo tipo di attività di tracciamento massiva sarebbero i Governi: che però volendo hanno mezzi più semplici per farlo. Dico per dire, basterebbe usare il GSM (la connessione dei nostri smartphone, infrastruttura già capillare e funzionante) per tracciare in modo molto più preciso ed efficace i cittadini: senza dover neppure preoccuparsi di risalirne all’identità, visto che sono già perfettamente identificati in quel caso. Per un attaccante privato sarebbe molto più semplice, ed economico, aggirare il problema facendo installare (con l’inganno) un trojan su uno smartphone: un cavallo di troia che scavalchi codici e pseudo-anonimizzazione e vada direttamente a captare informazioni più preziose e direttamente sfruttabili.
Il resto è materia da azzeccagarbugli e da complottisti.
