Categoria: privacy

Pechino abbiamo un problema, olimpico

Hacker’s Dictionary. Il Citizen Lab di Toronto, un privacy watchdog, denuncia pesanti falle di sicurezza nell’app cinese obbligatorio per atleti e giornalisti in viaggio per le Olimpiadi invernali di Pechino

di ARTURO DI CORINTO per Il Manifesto del 27 Gennaio 2022

Atleti e giornalisti in partenza per le Olimpiadi di Pechino del 4 Febbraio hanno dovuto scaricare sul proprio telefonino l’app My2022 e inviare tramite l’app informazioni sanitarie e di viaggio, inclusi i risultati dei test Covid-19 e i certificati di vaccinazione. Fin qui tutto “normale”.

Però l’app, nata per monitorare la salute dei partecipanti, include funzionalità che consentono agli utenti di segnalare contenuti “politicamente sensibili” e contiene al suo interno un elenco di 2.442 parole chiave proibite, illegalwords.txt, che include un’ampia varietà di argomenti politici sensibili come lo Xinjiang e il Corano, il Tibet e il Dalai Lama, Xi Jinping e i Falun Gong. Oltre alle raccomandazioni turistiche, le mappe e il monitoraggio anti-covid, l’app raccoglie una lista molto ampia di dati sensibili come le informazioni mediche e il monitoraggio giornaliero dello stato di salute dell’utente.

Però non convalida i certificati di sicurezza crittografica e questo potrebbe consentire a dei malintenzionati di intercettare le comunicazioni via smartphone e rubare dati personali inducendo l’app a connettersi con un host dannoso.

A scoprire che l’app ha una vulnerabilità che, se sfruttata, consente l’accesso a terze parti è stato il Citizen Lab di Toronto, un Internet watchdog secondo cui la falla di sicurezza renderebbe i dati personali, inclusi file audio, stato di salute, informazioni sul passaporto, storia medica e di viaggio, facilmente accessibili a “terze parti”.

Pubblicato il 18 gennaio, il rapporto del Citizen Lab che lo afferma, ha anche rilevato che alcuni dati sensibili vengono trasmessi tramite l’app a un host senza alcuna protezione e, di conseguenza, i dati «possono essere letti da qualsiasi intercettatore passivo, come qualcuno nel raggio di accesso Wi-Fi non protetto».
L’app, obbligatoria, non è stata compromessa o manipolata da ignoti hacker ma è un prodotto realizzato da una compagnia di stato cinese, la Beijing Financial Holdings Group.

Lo stesso giorno l’azienda di cybersecurity Internet 2.0 ha pubblicato un documento che mostra come la legislazione cinese sulla sicurezza nazionale favorisca la sorveglianza statale attraverso la progettazione di applicazioni mobili e ha avvertito che «tutti gli atleti e i visitatori in Cina per le Olimpiadi saranno esposti a tali leggi».

Per questo, dopo aver stilato una lista di pratiche di sorveglianza assai diffuse in Cina ha suggerito ai partecipanti alle Olimpiadi di Pechino che arrivano dall’estero di lasciare i telefoni a casa e di utilizzare all’interno della Cina solo dei burner phone per impedire che i dati privati del loro account cloud vengano raccolti dalle app mobili degli operatori cinesi.

Un burner phone è un telefono cellulare prepagato, piuttosto economico, pensato per un utilizzo a breve termine. Acquistato in contanti, il suo utilizzo è spesso associato a una scheda Sim prepagata non collegata alla propria identità. I media governativi cinesi si sono affrettati a liquidare il rapporto del Citizen Lab come propaganda e anche il Comitato Olimpico Internazionale (Cio) ne ha respinto le accuse.

Eppure è stato lo stesso Comitato Olimpico degli Stati Uniti a suggerire ai suoi atleti di portare un burner phone a Pechino poiché bisogna «supporre che ogni dispositivo e ogni comunicazione, transazione e attività online saranno monitorati». E il gruppo di atleti tedeschi, Athleten Deutschland, ha dichiarato che «è inspiegabile e irresponsabile da parte del Cio richiedere ai partecipanti di utilizzare un’app con vulnerabilità di sicurezza così evidenti». Pechino, su privacy e sicurezza abbiamo un problema: olimpico.