📬 Ben ritrovato caro cyber User, oggi NINAsec sente la forte necessità di lessare abbastanza i cabassisi su questo tema.
Il tutto inizia da qui:
Ah, a proposito, prima di iniziare è doveroso che guardiate lo spiegone di Ciao Internet esattamente su questo tema.
Tornando al mio post, NINAsec inizia sottolineando che, prendere la frase
Tecnicamente non puoi sapere che età ha un minore all’interno di un insieme, senza conoscere l’età di tutti i componenti dell’insieme
estraporarla dal suo contesto originale, chiamarla teorema e analizzarla, non ha alcun senso. In secondo luogo chiamarla teorema è il modo migliore per dimostrare di non sapere cosa sia un teorema: questa è un’enunciazione argomentativa, espressa in linguaggio naturale, e per giunta, nemmeno sempre vera a livello generalizzato, non perchè sia una bugia, ma semplicemente perchè un’enunciazione argomentativa vale, se presa nel giusto contesto, altrimenti no.
Detto questo, NINAsec ora cercherà di spiegarla in maniera chiara, nel giusto contesto per il quale è stata concepita.
L’Unione Europea, come già annunciato da mesi, vuole risolvere definitivamente l’annoso problema della sicurezza online dei minori (e chi è che non vorrebbe, aggiungo io). Per fare questo, si è dotata di studi scientifici che attestino le problematiche sulla salute (mentale) delle persone utilizzatrici dei social network più diffusi, stabilendo che sì, l’utilizzo fa male e fa molto male in età di sviluppo dell’essere umano. Ci sono molti fattori critici come lo scroll infinito, dipendenza data dalla struttura attuale degli algoritmi, alto rischio di depressione e altri problemi legati alla salute mentale sui minori di 15 anni.
[per questo ziobudda.org, itagora.it, ilglobale.it e tutti i miei blog sono in perfetto stile Web anni ‘90 primi ‘00]
Queste sono le basi che hanno fatto partire la battaglia. Il modo migliore per affrontarla, viene spontaneo dirlo, sarebbe accompagnare il minore ad una ottimale igiene digitale, educarlo all’utilizzo di tali realtà in maniera consapevole, con programmi che partana già sui genitori. Nessuno c’ha mai provato concretamente a portare avanti questo impianto, coinvolgendo per esempio le scuole, i programmi ministeriali di istruzione, quindi questa soluzione è fallita sul nascere, niente da fare. Zero buonsenso, quindi andiamo oltre.
La soluzione che invece sembra ottimale, stando alla visione della Commissione europea, è aggiungere una nuova normativa: EU KIDS Act, presentato con una proposta concreta, ufficialmente al mondo il 17 settembre.
Per come è concepita ora questa proposta, il nuovo regolamento costringerebbe social network, piattaforme di video-sharing, giochi online, app store, AI companion e chatbot conversazionali, con esclusioni per servizi a basso rischio (come piattaforme open source, risorse educative/scientifiche non profit e servizi pubblici) a:
Accesso graduale per età
I minori sotto i 13 anni non dovrebbero accedere ai social media; per alcuni servizi video child-friendly è possibile un uso supervisionato tramite account del genitore/tutore.
Dai 13 ai 14 anni sono previsti “mini account” creati e controllati dal genitore o tutore, con funzioni limitate.
Dai 15 anni si può creare un account autonomo, ma l’esperienza deve restare progettata per proteggere utenti minorenni fino ai 18 anni.
Per i nuovi account nelle piattaforme interessate è prevista una verifica dell’età; gli account esistenti non sono necessariamente sottoposti a verifica retroattiva indiscriminata, ma a controlli proporzionati.
Sicurezza by-design (wow bellissimo!)
I Big Player devono progettare prodotti e funzioni sicuri prima che il minore li utilizzi.
Ruolo dei genitori
Qui si prova a coinvolgere le famiglie, cercando di recuperare quanto si è perso da ciò che abbiamo visto poco fa. Questa doveva essere il pilastro principale, che però, nessuno vuole sviluppare, e quindi è diventato un piccolo slogan marginale della proposta.
Quello su cui ci concentriamo per contestualizzare, sarà il pilastro della verifica dell’età.
Il significato della mia frase iniziale (tanto contestata), è proprio qui e non vuole dire che Facebook, Instagram e TikTok debbano archiviare nel proprio database il valore “età” di ogni singolo utente, ma che debbano necessariamente dotarsi di un sistema che possa certificargliela, questa età. E, per quanto si chiami KIDS Act, questo meccanismo DEVE necessariamente impattare su TUTTI gli utenti, non solo sui minori. Questo è il significato della frase.
Possiamo ora discuttere di come si traduce tecnicamente questa verifica, ma l’accezione secondo cui TUTTI gli utenti saranno impattati, non cambia.
Per come è strutturata attualmente la proposta (che da ora fino a tendenzialmente 12 mesi sarà sottoposta a continue revisioni, votazioni, modifiche e aggiornamenti), non impone una specifica implementazione software. Tuttavia, richiede che le EU Age Verification Solutions siano conformi a uno schema europeo che include l’uso di zero-knowledge proofs per prevenire il tracciamento dell’identità e la correlabilità delle verifiche online; inoltre, il testo indica le ZKP come tecnologia di riferimento per massimizzare privacy e protezione dei dati. Che detto così va benissimo, se non fosse che l’implementazione tecnica di questa tecnologia è il fatto veramente discriminante di tutta la faccenda e qui viene completamente ignorato.
Il comma 51 dei visti iniziali è inequivocabile:
To ensure the highest level of privacy and data protection, age assurance solutions used should be based on state-of-the-art technology and be zero knowledge proof
Il comma 53 della stessa sezione subito dopo precisa che la soluzione di verifica deve provenire da una terza parte indipendente e che le soluzioni conformi devono usare ZKP per prevenire il tracking dell’identità e la linkability online:
…requirements of the EU age verification scheme, such as the use of Zero Knowledge Proof to prevent identity tracking and online linkability
Sono tutte rassicurazioni forti, ma si legge a chiare lettere una grande, immensa confusione tecnica che mette sullo stesso piano, possibilità di tecnologie realmente ZKP, con tecnologie “offerte da terze parti” che funzioneranno come intermediario per la certificazione. Spostando quindi il concetto più verso una verifica simil-KYC che zero knowledge.
Ma quindi i social non sapranno nulla davvero?
Inoltre la norma dice chiaramente al comma 52 degli stessi visti, che consentirà ai servizi soggetti agli obblighi, di conservare, in relazione a un account, un age signal che confermi il superamento di una determinata soglia, per evitare di ripetere l’age assurance per la stessa o per soglie inferiori. Questi dati non potranno essere rivenduti a terzi, ma è molto diverso da dire “Facebook riceve solo un OK”, perchè invece Facebook è autorizza a conservare non solo un OK, ma il dettaglio se l’account è +13, +15 o +18 e questa è una normalissima forma di profilazione di Internet. Niente di nuovo e niente di migliore dal Web che è diventato negli ultimi 15 anni, anzi peggiorativo.
Anche la relazione genitoriale è un dettaglio che la norma consente alle piattaforme di conservare. Quindi chiediamoci spontaneamente: considerando i dati di profilazione che già le piattaforme conoscono dei propri utenti, quanto ci mettono ad identificare chi è il padre di chi partendo da account A e account B legati da relazione genitoriale (anche se non gli diciamo Nome Cognome del padre e Nome Cognome del figlio)?
Quali prospettive dobbiamo aspettarci?
NINAsec personalmente vorrebbe per esempio che un meccanismo di questo tipo, se proprio si deve mettere in piedi (visto che abbiamo perso la battaglia sul buon senso e sulla responsabilità genitoriale), fosse basato su Longfellow ZK con una implementazione di Wallet solida, che tutelerebbe realmente la privacy degli utenti, invece bene che vada verrà calato con l’attuale Age Verification Solution Toolbox collegato all’ecosistema EUDI, che pure utilizza Longfellow ma lo implementa male, basti vedere cosa è successo ad aprile dopo poche ore dal lancio in anteprima.
SPOILER: bucata in due minuti.
E male che vada? Beh male che vada, e non è un’ipotesi troppo remota vista la grande libertà interpretativa che la norma lascia alle piattaforme e visto anche l’importante accavallamento che punti di questa norma collimino con DSA, DMA, AI Act e AVMSD già esistenti, l’implementazione di sistemi come Persona che normalizzeranno l’atto di fotografare il proprio documento d’identità per girare tra servizi Internet. Persona si interpone tra il social network di turno e l’utente, offrendo al social network la certificazione dell’account, facendo in modo che il social network non debba accedere a questi dati personali in maniera diretta, ma Persona (intermediario certificante) sì. Linkedin già lo usa per gli utenti verificati. Di fatto è un abominio che accentra documenti personali presso una terza parte, sotto la giurisdizione di Stati extra-comunitari (USA) e che se un giorno viene bucata o qualcuno decide di spulcirci dentro, la privacy di chiunque è sotto le scarpe.
Ovviamente visto che siamo tutti bravi come acchers, non vale nemmeno la pena di ricordare che tutto quello che è contenuto nella norma, qualsiasi implementazione ne venga fatta (bella, brutta, buona o cattiva), è sempre e comunque scavalcabile in tempo 0 da qualsiasi minore che non voglia rispettarla. Sia utilizzando applicativi per bypassare la giurisdizione della norma, sia molto più semplicemente coinvolgente (consapevolmente o meno) il maggiore di turno (zio, nonno, nonna, fratello…), presente a tiro in casa in quel momento, come prova della propria fascia di età.
Quindi sì, tornando alla frase iniziale, la norma non si può attuare se non certifichi l’età di TUTTI. Puoi farlo più o meno bene, più o meno privacy-preserving, ma devi farlo per TUTTI e per TUTTI avrai (come big tech in questo caso) una profilazione ancora più arricchita da una certificazione statuale, di fasce di età e relazioni genitoriali, per tutta la tua utenza (almeno quella futura alla norma, per la verifica retroattiva la norma lascia libertà alla piattaforma di “controlli proporzionati”) che un domani, nessuno può sapere che fine farà o che utilizzi se ne possano fare.
Quindi davvero vogliamo perdere la nostra battaglia perchè non siamo in grado di educare i nostri figli e istruire i nostri cittadini, alle tecnologie, al loro utilizzo e a Internet? È dunque l’unico modo con il quale possiamo andare avanti, avere il cane da guardia in giro per Internet che sorvegli quanti anni abbiamo, ogni piattaforma cui mettiamo piede?
Era questo l’Internet che ci aspettavamo e che adesso ci meritiamo?
Anche quest’oggi abbiamo concluso, ti ringrazio per il tempo e l’attenzione che mi hai dedicato, augurandoti un buon fine settimana, ti rimando al mio blog e alla prossima settimana per un nuovo appuntamento con NINAsec.
Il network
Con questo piccolo schema riepilogo in breve i punti di riferimento che alimento con i miei contenuti, su diversi fronti, quasi quotidianamente.
Itagora.it - l’agorà italiana, un portale come non se ne vedono da un po’;
Ransomfeed.it - piattaforma di monitoraggio ransomware, realtime;
inSicurezzaDigitale.com - blog di sicurezza informatica con approfondimenti tematici;
Cyber-News.it - portale italiano con i migliori contributi cyber dalle news quotidiane;
SecureBulletin.com - news internazionali su cyber security, analisi e frodi;
Spcnet.it - notizie geek;
ilGlobale.it - note politiche e di economia, di rilevanza internazionale;
Ziobudda.org - notizie Linux, open source e software libero, segnalabili e commentabili (socialnews).
Androidiani.net - la più grande community sul mondo Android italiana, con forum e aggiornamenti quotidiani.
DarioFadda.it - il raccoglitore di tutto questo, con un suo feed RSS generale, per non perdere niente di quello che pubblico.