Un interrogativo che nelle ultime settimane assilla, chi più, chi meno, un po’ tutti è quello relativo alla sicurezza delle app per il Contact Tracing, strumenti tanto consigliati quanto discussi per il contenimento della Pandemia da COVID-19.

A provare a rispondere al quesito, ci hanno pensato i ricercatori di Check Point Software Technologies LTD., principale fornitore di soluzioni di cybersecurity a livello globale, che per farlo stanno esaminando attentamente le app di Contact Tracing.

Piccolo spoiler su quello che verrà dopo (e leggete bene, non limitatevi ad un solo pezzo per poi gridare al complotto): “Da una prima analisi sull’app Immuni sembra che i dati raccolti siano effettivamente quelli dichiarati e che quindi la nostra privacy sia garantita.”

Il comunicato

Come cita la nota stampa diffusa poco fa, i ricercatori hanno suddiviso gli ambiti di preoccupazione in quattro punti:

I dispositivi possono essere tracciati.
Poiché alcune applicazioni di tracciamento, tra cui l’App italiana Immuni, si affidano al Bluetooth Low Energy (BLE), i dispositivi trasmettono pacchetti handshake che facilitano l’identificazione del contatto attraverso altri dispositivi. Se non implementato correttamente, gli hacker possono tracciare il dispositivo di una persona mettendo in correlazione i dispositivi con i rispettivi pacchetti di identificazione.

I dati personali possono essere compromessi.
Naturalmente, le app memorizzano sui dispositivi i login dei contatti, le chiavi di cifratura e altri dati sensibili. I dati sensibili dovrebbero essere criptati e memorizzati nell’applicazione sandbox e non in luoghi condivisi. Perfino all’interno di sandbox, ottenendo i privilegi root o l’accesso fisico al dispositivo, si potrebbero compromettere i dati, soprattutto se vi sono memorizzate informazioni sensibili, come le posizioni GPS.

Intercettazione del traffico di un’app.
Gli utenti possono essere soggetti ad attacchi “man-in-the-middle” e all’intercettazione del traffico dell’app se tutte le comunicazioni salvate sul server dell’applicazione non sono adeguatamente criptate.

Possibile circolazione di falsi rapporti sanitari.
I ricercatori affermano quanto sia importante che le applicazioni di contact tracing eseguano l’autenticazione nel momento in cui le informazioni vengono inviate ai propri server, come quando un utente pubblica le proprie diagnosi e i registri dei contatti. Senza un’adeguata autorizzazione, infatti, si potrebbero riempire i server con falsi rapporti sanitari, compromettendo l’affidabilità dell’intero sistema.

“Il giudizio sulle app di contact tracing non è ancora definitivo, le preoccupazioni ci sono perché è importante che queste app per il tracciamento Covid-19 mantengano un delicato equilibrio tra privacy e sicurezza, in quanto una scarsa implementazione degli standard di sicurezza potrebbe mettere a rischio i dati degli utenti. Bisogna leggere con attenzione le informazioni che dichiarano di raccogliere ma, sebbene il ragionamento sulla privacy sia importante quando si tratta di app legate ai governi, dobbiamo pensare in modo olistico anche alla nostra vita “digitale” e chiederci quali dati, anche ben più personali e sensibili, stiamo già fornendo e quali autorizzazioni abbiamo concesso, in modo più o meno consapevole, alle altre app che abbiamo scaricato sul nostro smartphone e che utilizziamo quotidianamente.

Da una prima analisi sull’app Immuni sembra che i dati raccolti siano effettivamente quelli dichiarati e che quindi la nostra privacy sia garantita. Il server Sogei per la raccolta e stoccaggio (temporaneo) dei dati è protetto in modo solido e quindi dubito che si possano temere manipolazioni o furti di dati da li, anche perché si tratterebbe di informazioni di poco valore per degli hacker. Il rischio maggiore che vedo nell’app italiana è che venga scaricata un’app fake che ovviamente non si limiterebbe a fare quello che dovrebbe fare Immuni ma potrebbe compromettere il nostro smartphone.

David Gubiani, Regional Director Security Engineering di Check Point per il Sud Europa.

Check Point suggerisce come rimanere protetti

I ricercatori di Check Point, infine, suggeriscono agli utenti un paio di linee guida, tanto basilari quanto importanti, per rimanere protetti:

  • Scaricare app solo dagli store ufficiali.
    Sono i soli ad essere autorizzati dalle agenzie governative a pubblicare tali applicazioni. Non seguire, per scaricare l’app, link che arrivano da altri canali (come messaggi o email).
  • Utilizzare soluzioni per la sicurezza mobile.
    Per verificare che gli smartphone non siano stati compromessi e per proteggerli dai malware. Valida nel caso in cui lo smartphone sia sprovvisto di una protezione sulle applicazioni.

Check Point, infine, comunica che continuerà ad analizzare le applicazioni per il tracciamento COVID-19 e la loro struttura, al fine di ricavare risposte più precise.

A onor di cronaca, ricordiamo che in Italia l’app di riferimento, nell’ambito del tracciamento dei contatti, scelta dal governo è Immuni (sito ufficiale).


Per non perdere nemmeno un articolo di coseacaso.tech, iscriviti al nostro canale Telegram. Se questo articolo ti è piaciuto, invece, puoi condividerlo sui social e seguirci su Facebook, Instagram, Twitter e sul nostro Canale YouTube. Vuoi aiutare il nostro Blog a crescere? Acquista su Amazon partendo da qui!
Desideri collaborare con noi? Mandaci una mail!