Coronavirus, app di tracciamento dei contatti: cos’è il Bluetooth e quanto è sicuro
“Il maggiore uso della tecnologia spingerà più malintenzionati ad attaccarla e ad attaccare le app che ne fanno uso. Occorre quindi maggiore cautela sia degli sviluppatori che degli utenti”
di ARTURO DI CORINTO per La Repubblica del 30 Aprile 2020
C’era una volta un re che adorava mangiare i mirtilli, e per questo lo chiamavano Harald Blåtand, Dente Blu, o Blue Tooth. Re Harald riunificò la Scandinavia e in suo onore Ericsson volle usare il soprannome del sovrano per il dispositivo che oggi consente ai telefoni, e quindi alle persone, di collegarsi fra di loro e scambiarsi dati, audio e video. Per gli appassionati di araldica, lo stesso simbolo del Bluetooth è la sovrapposizione delle iniziali runiche del sovrano. Questa tecnologia invisibile che ci aiuta ad ascoltare musica, usare il mouse e aprire i garage, è stata scelta da diversi Paesi, Italia compresa, per tracciare i potenziali contagiati dalla malattia Covid-19. E molti temono per la privacy.
Attenzione alla privacy
La tecnologia Bluetooth, BT per gli amici, è stata scelta perché meno intrusiva del Gps e di altri sistemi che geolocalizzano l’utente, ma è in grado di ricostruire la sua rete di contatti, calcolata sulla vicinanza dei dispositivi dove è montato, i telefonini, – da 10 a 100 metri – esattamente quello che serve alle autorità sanitarie per valutare il contatto tra due persone che possono essersi passate il contagio. Non è però chiaro se l’anonimizzazione sia realmente possibile. La tecnologia Bluetooth ha il potenziale per ”de-anonimizzare” vaste aree della popolazione e, se implementata come Trace Together di Singapore, condividere dati personali sensibili. La protezione del trasferimento e del database che conterrà i dati dei contatti diventa quindi cruciale per la privacy dei cittadini.
Certo, per avvisare i potenziali contagiati di aver avvicinato un malato e invitarli a fare un tampone, da qualche parte si deve pur cominciare. Per questo compito così delicato la tecnologia intitolata a Re Harald sembra una buona scelta, ma ha le sue controindicazioni.
stazione futuro riccardo luna
Una questione di ostacoli
BT è un protocollo radio soggetto a fattori ambientali, che possono potenziarne o indebolirne il segnale verso i dispositivi vicini in base alla distanza fisica e altri ostacoli, perciò il segnale sarà diverso se siamo a distanza, in un parco; vicini, all’interno di un palazzone densamente abitato o, ancora, in una casa con le mura spesse o con tante finestre. Inoltre non è capace di distinguere tra due persone che si trovano a distanza di un metro l’una dall’altra ma divise dalla parete condominiale o a due metri in un parco.
Nuovi impieghi del BT
Il BT per funzionare richiede un’associazione esplicita al dispositivo che deve attivare: che si tratti di collegare il telefono agli auricolari senza fili o alle casse per la musica. Ogni volta è necessario ”dirgli” che deve collegarsi a quel dispositivo, anch’esso dotato di Bluetooth, perché la connessione avvenga. Per questo viene da sempre considerata una tecnologia ”personale”. Ma adesso che i governi, compreso il nostro, vogliono usarla per l’app anti-pandemia, la tecnologia BT si offre al consumo di massa, e forse apre la strada ad usi impensati.
Secondo Nicola Blefari Melazzi, direttore del Consorzio interuniversitario per le telecomunicazioni: “Bluetooth potrà essere usato per tracciare il virus, ma potenzialmente anche per localizzare un utente e fornire un certo specifico servizio. Si tratta di un cambiamento davvero rilevante per questa tecnologia, che viene promossa quasi al rango di soluzioni di rete come il wi-fi o i cellulari”.
Le interferenze malevole
La prima considerazione che invece fanno gli esperti di cybersecurity è che in quanto protocollo di comunicazione che gestisce segnali a bassa frequenza, il BT va monitorato per evitare interferenze malevole, ingorghi e sovraccarichi che potrebbero determinare la propagazione di falsi positivi e falsi negativi e portare alla discriminazione di interi gruppi sociali.
Con la prospettiva di essere usato per milioni di dispositivi – gli smartphone nel mondo sono 3,5 miliardi -, gli hacker potrebbero decidere di trasformarlo in un target, sia contro l’app che contro il sistema di comunicazione dei contagi. Secondo Melazzi, “il maggiore uso di Bluetooth spingerà più malintenzionati ad attaccarla e ad attaccare le app che ne fanno uso. Occorre quindi maggiore cautela sia degli sviluppatori che degli utenti”.
L’attacco Knob (Key Negotiation of Bluetooth)
Solo pochi mesi fa, durante lo Usenix forum in California, alcuni ricercatori ne hanno mostrato la vulnerabilità. In sintesi, quando due dispositivi BT si connettono devono negoziare una chiave crittografica per cifrare i dati che si scambiano, secondo un meccanismo chiave-serratura. Se qualcuno si inserisce in questa fase con intenti malevoli, potrebbe riuscire a imbrogliare il dispositivo e indurlo a negoziare una chiave più debole rendendo così più facile indovinarla con un attacco di “forza bruta”, cioè la simulazione di tutte le possibili password (le chiavi) per aprirne la serratura e mandare false comunicazioni al BT ricevente, fino a rubare i dati del dispositivo ospite. È noto che possa accadere. Non è facile né immediato. Per fortuna funziona col BT tradizionale e meno con Bluetooth Low Energy, che è quello che oggi si usa di più. In ogni caso i produttori invitano a usare una password per proteggerne il funzionamento. La sicurezza del Bluetooth dipende infatti dalla sua classe e dalla versione.
Le versioni di BT e la sicurezza
A un primo livello BT si connette con qualsiasi dispositivo dotato di BT senza alcun tipo di autenticazione. É il più pericoloso. Al livello due richiede un pin di autenticazione, ma i criminali sono sempre in agguato ed è possibile un attacco. Al livello tre presuppone lo scambio di codici di sicurezza. Errori nel codice possono rendere il device vulnerabile. Il livello quattro usa protocolli di autenticazione robusti e complessi: siamo quasi al sicuro. Il Bluetooth 5.0. ha delle caratteristiche di sicurezza superiori ai precedenti quattro. Non significa che non abbia vulnerabilità. É solo che non sono note.
Ma ci sono altri accorgimenti da tenere in considerazione. Si dice che per funzionare i dispositivi Bluetooth debbano stare a pochi metri di distanza per essere accoppiati. Ciò significa che anche un potenziale hacker dovrebbe trovarsi a breve distanza per poter estrarre con successo i nostri dati. Eppure sono stati tentati con successo alcuni attacchi alla distanza di un miglio. Disattivare il Bluetooth quando non serve, quindi, pemette di neutralizzare in partenza la maggior parte di questi rischi di sicurezza. Ma col Bluetooth sempre accesso, come si farà?
Come tenersi al sicuro da attacchi malevoli
“Se il Bluetooth sarà sempre acceso, – spiega Odisseus, pseudonimo di un noto ricercatore informatico – questo verrà utilizzato in modi che ancora non possiamo bene immaginare. E se ad una persona poco tecnologica arriverà il messaggio di un malintenzionato che dice “accetti la connessione Bluetooth?” è certo che dirà di sì”. Insomma, è cruciale quindi rifiutare richieste di connessione provenienti da dispositivi sconosciuti, mantenere il firmware sempre aggiornato e usare dispositivi sicuri.
Il fattore umano
Il fattore umano resta fondamentale. A cominciare dal fatto che una volta aperto il nostro Bluetooth avviserà tutti i dispositivi vicini dicendo “Ehi, io sono qui”. Ne troverà molti e si potrebbe essere tentati di connetterli. Non fatelo. In aggiunta, se è importante scaricare l’app anti-pandemia dagli store ufficiali e tenerla costantemente aggiornata, la sicurezza dello smartphone che l’ha scaricata è fondamentale. La buona vecchia regola di avere un pin, una password, o il controllo biometrico per attivare il telefonino è fondamentale come rifiutare mail, sms, chat che richiedono un’installazione di software. Altrimenti, si richia – nella maggior parte dei casi – che qualcuno si impadronisca del telefono e di tutto quello che c’è dentro.
