Combattere il coronavirus usando il bluetooth dei nostri smartphone (fatto male)
In tempi di covid-19 si sta parlando sempre di più di contact tracing, e che vogliamo o meno la tendenza non si fermerà. C’è chi si preoccupa di rischio della violazione della privacy, c’è chi dice che tracciare lo spostamento delle persone è indispensabile per contrastare il coronavirus.
Io non mi occuperò di politica. In realtà non me ne sono mai occupato in quanto non ne sono competente, ma in quanto tecnico cerco di vedere le cose dal mio punto di vista. Preciso che non me ne frega niente della geolocalizzazione dei cittadini, in quanto sia chiaro che è almeno un decennio che gli operatori telefonici hanno la possibilità di geolocalizzare i propri utenti. Basti pensare che già ai tempi dei telefoni gsm c’era la possibilità di visualizzare sul display del proprio cellulare la provincia di appartenenza della cella alla quale eravamo agganciati.
Apple e Google non sono da meno, infatti sanno perfettamente dove sono localizzati tutti i loro dispositivi. Google in particolare ha allestito una bella sezione del suo sito, google.com/covid19, dove è possibile esplorare la mappa degli spostamenti dei cittadini in tutto il mondo. Non estendiamo il discorso ai vari Facebook e Twitter per non dilungarci più di tanto.
Arriviamo al dunque.
È giunta ai miei occhi la notizia di un nuovo sistema di Contact Tracing, in particolare parliamo di DP-3T, documentazione disponibile su GitHub, che permetterebbe la tracciatura di soggetti infetti tramite bluetooth.
Un tal Nicky Case ci ha fatto un fumetto per rendere la spiegazione più appetibile, ma io la spiego ugualmente giusto per rendere l’articolo più completo.
Il sistema si basa sul bluetooth e sull’installazione massiva di un’applicazione. Quando usciamo di casa il telefono si interfaccia, sempre con il bluetooth, con tutti coloro che hanno la medesima applicazione e comincia con lo scambio di messaggi codificati. Se previo controllo medico scoprite di essere positivi al covid-19, tramite l’app è possibile comunicare a coloro con la quale avete comunicato con il bluetooth nei giorni pregressi la probabile infezione. Il tutto senza intaccare la privacy dell’utente in quanto il GPS, in questo caso, non viene utilizzato.
A tutto questo c’è solamente un piccolo problema
Il sistema ha un ottimo principio, peccato però che probabilmente chi ha ideato questa struttura ha dimenticato come funziona il bluetooth, di cui l’app fa uso.
Affinché due dispositivi colloquino via bluetooth, è necessario eseguire il pairing, fattibile in due modalità
- fisso, quando bisogna collegare dispositivi di nostra proprietà, quali auricolari, autoradio, smartwatch, computer e altro. Si esegue questo tipo di pairing affinché il nostro dispositivo riconosca come “familiare” tutti gli altri per poter eseguire una connessione sicura. In questo caso, in fase di pairing, bisogna inserire dei codici di interfacciamento.
- temporanea, se dobbiamo condividere file con dispositivi di conoscenti, quali smartphone o computer. In questo caso non è necessario il pairing, basta infatti accettare manualmente il file (operazione che va fatta per ogni invio) che il conoscente vuole inviarci, e la connessione si chiude la.
Aggiornamento: Precisiamo che il contact tracing non necessita di pairing, per ulteriori informazioni abbiamo scritto un più recente articolo che spiega come funziona il contact tracing nel dettaglio.
I due punti hanno in comune il fatto che se necessario, il collegamento deve essere avviato esclusivamente con dispositivi conosciuti. Infatti la regola fondamentale, NECESSARIA, affinché il nostro smartphone resti al sicuro, è di accettare solo ed ESCLUSIVAMENTE connessioni con dispositivi di conoscenti, in quanto il sistema contiene falle che potrebbero dare il controllo del nostro smartphone a chiunque.
Basti pensare al famosissimo BlueBorne, oppure al recentissimo BlueFrag, due malware in grado di collegarsi al vostro smartphone e di prenderne il possesso.
Considerando che lo smartphone contiene tutta la nostra vita, quali username e password di tutti i nostri profili online, e grazie all’Unione Europea è diventato anche il token di accesso e di gestione del nostro conto bancario, del nostro account della pubblica amministrazione (spid), e che ci gestiamo anche i codici per il 2FA (che è bypassabile, ma questo è un altro discorso), ci rendiamo conto che il sistema potrebbe anche aiutarci a combattere la diffusione del virus, ma rendiamoci conto che creare una falla informatica su vasta scala con questi materiali, è un attimo.
Non scrivo queste parole per spaventare, probabilmente nessuno se ne fregherà più di tanto, ma il fulcro del discorso è che se l’app che utilizza il DP-3T permette l’interscambio automatico di dati via bluetooth con chiunque abbia l’app installata, vuol dire chiaramente che il bluetooth deve essere attivo, visibile, e accessibile. L’app sarà anche in grado di gestire solo quei messaggi, ma resta il fatto che il dispostivo stesso a livello di hardware è a rischio di attacco.
Sarà infatti sufficiente, con tutti i dispositivi abilitati e aperti, andare al supermercato più in centro in piena ora di punta, e beccarsi tutti i dispositivi nel raggio di 10 metri.
Il sistema non è sicuro, almeno per gli smartphone.