Posted on by Andrea Monti

Quello che Apple non dice (sulla sicurezza dei propri prodotti)

Un articolo pubblicato da Wired, il 7 dicembre 2022 riporta la notizia che il progetto di cloud-side scanning per la ricerca automatizzata e senza mandato di una Corte di materiale pedopornografico memorizzato in iCloud è stato abbandonato in favore di altri approcci. Lo stesso giorno Apple ha annunciato l’adozione di nuove funzionalità di sicurezza per la protezione dei dati dei trattati tramite i propri device, rendendoli sempre più difficili da utilizzare contro la volontà dell’utente (sia esso un normale cittadino, un attivista politico, un giornalista o un criminale) – di Andrea Monti – Inizialmente pubblicato su Strategikon – un blog di Italian Tech

Non è dato sapere se le due iniziative siano collegate, o se il fatto che siano state rese pubbliche nello stesso periodo sia soltanto una coincidenza. Sta di fatto che l’annuncio del sistema di perquisizione preventiva degli spazi disco affittati agli utenti aveva acceso polemiche al calor bianco che rischiavano di macchiare l’immagine accuratamente costruita da Apple come azienda che mette la tutela dei diritti fondamentali al centro delle proprie azioni.

La notizia dell’incremento dell’impermeabilità dei prodotti alle “infiltrazioni” di governi (e) criminali rimuove l’ombra che si era formata sull’immagine di Apple, e che avrebbe potuto compromettere un componente essenziale del posizionamento di prodotto. Tuttavia, spento un focolaio di potenziali polemiche se ne potrebbe (ri)accendere un altro: quello, mai sopito, del limite all’obbligo di cooperazione con gli apparati dello Stato.

Il tema è significativamente assente nella comunicazione dei nuovi servizi e, in particolare, nel documento di oltre 200 pagine che spiega in modo più o meno comprensibile per i non addetti ai lavori —di certo non per l’utente tipo dei prodotti Apple— in che modo l’integrazione fra hardware, sistema operativo, applicazioni rende(rebbe) questi prodotti the most secure on the market, i più sicuri del mercato. Per quanto rappresenti un ottimo esempio di utilizzo della sicurezza come supporto al posizionamento del prodotto e fornisca una gran quantità di informazioni, il documento è, appunto, più interessante per quello che non dice. Da nessuna parte, infatti, si trovano riferimenti alla spinosissima questione del supporto alla magistratura e gli apparati di sicurezza (quantomeno) statunitensi per accedere a dati di interesse investigativo o pertinenti alla “sicurezza nazionale”.

La posizione di Apple sul punto è nota da tempo, fin da quando nel 2016 l’azienda rifiutò di cooperare fino in fondo con il FBI nell’indagine per la strage di S. Bernardino, negando, “in nome della privacy”, la disponibilità a inserire nei prodotti il modo per renderli accessibili alle forze dell’ordine. È evidente che le nuove funzionalità di protezione dei dati sono frutto della stessa linea strategica diretta alla creazione di “serrature” che sono di default non scardinabili (al netto degli errori che consentono di raggiungere, a volte, il risultato) e che possono rendere ancora più difficile alle istituzioni il condurre attività di indagine. Questo, però, non si può dire perché altrimenti si correrebbe il rischio di finire associati a casi come Encrochat o Sky ECC nei quali le autorità hanno ipotizzato una corresponsabilità fra fornitore di servizi di messagistica sicura e abuso da parte di clienti (in larga parte, coinvolti in azioni illecite).

Dunque, Apple risolve il problema con un mirabile esempio di reframing. I suoi esperti di comunicazione cambiano la cornice che sta attorno al quadro. L’immagine —dati “blindati”— è sempre la stessa, ma cambia il contesto: il punto non è impedire ai governi di fare le indagini, ma proteggere cittadini e attivisti dalla violazione dei loro diritti. Questo cambio di contesto rende più accettabile, o meno immediatamente inaccettabile, il fatto difficilmente discutibile che usare prodotti Apple pregiudica le indagini giudiziarie e le attività per la sicurezza degli Stati. Tuttavia, rimane altrettanto fermo un altro, non irrilevante dettaglio: l’ostruzione tecnologica alle indagini e alla raccolta informativa da parte dei servizi segreti blocca l’operato di tutti gli Stati, e non solo di quelli “canaglia” che reprimono i “diritti fondamentali”.

Sarebbe semplicistico negare questa conclusione, come, d’altro canto, sarebbe altrettanto semplicistico negare l’esistenza di una diffusa preoccupazione sul modo in cui vengono utilizzate le tecnologie dell’informazione da parte degli Stati anche occidentali. Ne sono testimonianza, in Italia, le polemiche sull’esteso ricorso ai “captatori informatici”, alle intercettazioni telefoniche e alle attività (ignote ai più ma non meno invasive, come segnalato nel dicembre 2021 in un’audizione alla Camera dall’Associazione Italiana Internet Provider) di “filtraggio” del traffico DNS per bloccare l’accesso a siti internet stranieri. In Italia questo è consentito non solo alla magistratura ma addirittura ad autorità indipendenti (come l’Antitrust e quella per le comunicazioni), e semplici agenzie (come quella dei monopoli). Se solo un magistrato dovrebbe poter decidere se, come e quando interferire nei diritti di persone non coinvolte in attività illecite, diventa lecito domandarsi come mai questo sia consentito anche ad entità che non appartengono all’ordine giudiziario.

A prescindere da questi aspetti, forse eccessivamente tecnico-giuridici, rimane il tema di più alto livello dell’esistenza e della possibilità di imporre un limite all’operato di Big Tech che sempre di più, oltre ad essere elemento strutturale del sistema di controllo dei cittadini, rappresenta un potere autonomo che negozia da pari a pari con gli Stati in un nuovo sistema multipolare.

In linea di principio, non spetta e non può spettare ad un’azienda privata il potere/diritto di decidere cosa sia “giusto” fare e quali sono i limiti all’agire dello Stato. In concreto, tuttavia, la sostanziale confessione di fallimento e impotenza degli Stati e, per quanto ci riguarda, dell’Unione Europea, ha sdoganato il concetto di voluntary cooperation, cioè della necessità che gli operatori privati adottino “spontaneamente” delle procedure per garantire quello che le Istituzioni non sono, non possono o non vogliono fare. Gestire le innumerevoli segnalazioni di “illecito” rischia di paralizzare l’attività di polizia, e dunque le si delegano ai cosiddetti “Trusted Flagger” privati —delatori, in altri termini); rimuovere contenuti non palesemente illegali ma “controversi” richiederebbe un processo, ma “c’è altro da fare” e dunque meglio imporre —e dunque attribuire il potere— alle piattaforme di valutare in autonomia il da farsi; le indagini si basano sull’acquisizione e la conservazione di dati, ma non c’è modo di creare un’infrastruttura pubblica in grado di farlo: meglio trasformare gli operatori di accesso in estensioni degli uffici investigativi ordinando loro la conservazione indiscriminata dei dati di traffico telematico, e spingendo verso la creazione di un DNS europeo che consentirà la centralizzazione delle azioni di blocco e filtraggio.

Questa sostanziale e inaccettabile delega di funzioni dello Stato alle strutture private è giustificata in nome del do the right thing, la scorciatoia etica per evitare la responsabilità politica di adottare decisioni impopolari. Ma dalla voluntary cooperation al do-it-yourself  il passo è breve e, da questo punto di vista, non si può certo biasimare Apple per avere ancora una volta precorso i tempi specie perché, visto lo spirito del tempo, non è affatto detto che i “cattivi” siano soltanto quelli che stanno “dall’altra parte”. 

Possibly Related Posts: