Questa mattina ho tenuto a Roma una audizione sul tema delle intercettazioni per la 2a Commissione Giustizia del Senato della Repubblica, nell’ambito dell’Indagine Conoscitiva promossa a dicembre dello scorso anno. Nella stessa mattinata sono stati auditi – sempre sul tema delle intercettazioni – anche Carlo Bartoli, Presidente del Consiglio Nazionale Ordine dei Giornalisti, Bruno Azzolini, Presidente Sezione GIP Tribunale di Roma e Giorgio Spangher, Professore Ordinario di Procedura Penale presso La Sapienza di Roma.

Il mio intervento ha seguito, ad alcuni giorni di distanza, quello del collega Ing. Paolo Reale e – per focalizzare l’attenzione su aspetti tecnici non banali – ho ripreso le importanti questioni da lui sollevate, cercando di chiarirle ulteriormente anche con esempi e spunti di riflessione. Il punto centrale dell’interesse era ovviamente quello dei captatori, programmi equiparabili a malware per la tipologia di comportamento spesso definiti anche trojan di Stato, che rispetto ai mezzi delle intercettazioni tradizionali godono ancora di un alone d’incertezza che si ripercuote, ovviamente, anche sugli aspetti legislativi.

Riprendendo i temi trattati dal Collega Ing. Reale, che ha ben chiarito le ampie potenzialità di questi software che hanno un comportamento simile ai malware, nel mio intervento ho cercato di portare avanti il discorso e ragionare – in base anche alle questioni poste dai Senatori durante la scorsa audizione – su come limitare, controllare, regolamentare (dal punto di vista tecnico, in questo caso) i captatori.

Importante capire il motivo per il quale i captatori sono così rilevanti nell’ambito di alcuni tipi d’indagine, al punto da fornire apporto investigativo enormemente più strategico rispetto alle intercettazioni tradizionali (telefoniche, telematiche, SMS, email, etc…).

La questione principale che li rende così importanti è legata alla protezione dei dati, in particolare alla cifratura, che viene ormai applicata ovunque. I nostri telefoni, i PC portatili, le chat che scambiamo con i nostri contatti, i siti che visitiamo, le telefonate normali ma anche quelle cosiddette “VoIP” (cioè per le quali si utilizza la rete Internet), l’accesso alla posta elettronica e ormai anche alcune mailbox sui mail server presso i provider: è tutto cifrato, cioè i dati viaggiano e vengono salvati sui dispositivi in modo che senza l’opportuna chiave non possano essere decifrate e non sempre la chiave è disponibile o si può ottenere con tecniche di forzatura delle password.

Risulta essenziale limitare, dal punto di vista tecnico, i captatori in modo che possa essere regolamentato oggettivamente:

• cosa devono fare, oltre che dove e quando devono operare (problema che con le intercettazioni tradizionali è meno rilevante: quelle telefoniche registrano telefonate, un tracker GPS la posizione, etc…);
• chi può avere accesso ai dati captati (problema rilevante e in parte comune con le intercettazioni tradizionali ma che in questo caso è maggiormente sentito).

Per regolamentare questi aspetti, diventa strategica la “certificazione” di cui il collega ha parlato nel suo intervento di giovedì scorso, unita a un “tavolo tecnico” che dovrebbe gestire tali accreditamenti e certificazioni. L’idea è quella di autorizzare “programmi” solo se sono stati prima oggetto di esame, banalmente verificando cosa fanno e chi può poi utilizzare i dati intercettati.

Ovviamente dal punto di vista teorico sembra semplice, ma a realizzarle un tale controllo preventivo dei captatori si rischia di bloccare l’intero processo. Il tempo scorre velocemente nel mondo della sicurezza informatica, un dispositivo sul quale si riesce a installare e far funzionare un malware può non essere più compatibile dopo pochi giorni o settimane, perché ad esempio può essere nel frattempo aggiornato il sistema operativo e il “trucco” utilizzato per “bucare” il sistema non funzionare più.

Altra problematica da affrontare, il fatto che una volta certificato un programma, non dovrebbe essere modificato e dovremmo essere sicuri che ciò che è stato caricato sul dispositivo da intercettare sia proprio il software certificato

Resta poi da capire come garantire che il sistema abbia funzionato come doveva, che abbia captato solo ciò che era stato impostato per captare, quando e dove (posizioni GPS, colloqui con legale, etc…). In sostanza, è essenziale essere certi che nessuno abbia visionato i dati captati in modo abusivo: per poter ottenere questo tipo di garanzia entrano in gioco tracciamento immodificabile e con data certa degli eventi e le tecniche di archiviazione sicura e condivisa di segreti.

Per il tracciamento immodificabile degli eventi, i sistemi devono documentare tutto ciò che avviene in modo che non possa essere tolto, modificato o aggiunto un pezzetto: qui può venire in soccorso il concetto di blockchain, cioè di catena di elementi informativi legati tra loro: tra l’altro si potrebbe fare uso anche delle varie blockchain attualmente in uso per legare i dati a una data specifica (questo per dimostrare che i dati non sono stati alterati, quantomeno ex post). Ovviamente il tracciamento va mantenuto anche sulle attività di visione del materiale captato, oltre a quelle di captazione, così da coprire a 360 gradi il processo e garantire dall’inizio alla fine il ciclo di apprensione e visione dei dati.

Per l’archiviazione sicura, l’idea è di fare in modo che i dati intercettati finiscano in un “contenitore” che soltanto chi è autorizzato possa aprire, se possibile anche impostando combinazioni di profili (es. un PM insieme a un Agente di PG e un Cancelliere).

La tecnologia ci permette di condividere matematicamente un segreto, in modo simile a come potremmo costruire fisicamente uno scrigno che richieda l’utilizzo di più chiavi in contemporanea per essere aperto. Esistono diversi modi per ottenere questo risultato: la mia tesi di dottorato, dal titolo “Security, privacy and authentication in shared access to restricted data“, verteva proprio su uno di questi protocolli, chiamato “Secret Sharing”, ideato dal Prof. Shamir e ideale per schemi di condivisione di segreti in contesti quali l’accesso alle intercettazioni che deve essere regolamentato in modo preciso e robusto.

Nel corso dell’intervento – visionabile integralmente nel link riportato qui sotto – ho cercato di affrontare questi temi, semplificandoli il più possibile e fornendo spunti di riflessione, elementi tecnici e possibili scenari che ritengo d’interesse tecnico per la questione specifica.

Ultimo spunto, certamente avvenieristico e da valutare con cura ma non scartare a priori, è quello di prendere in considerazione l’intelligenza artificiale per poter prendere decisioni in tempi rapidi, fare valutazioni su scenari, posizioni, attività in corso e guidare il sistema nel gestire le situazioni nel modo ottimale. Modelli come OpenAI si stanno dimostrando eccellenti in alcuni contesti specifici e sembrano in evoluzione rapida al punto che tra un paio di anni potranno fornire un apporto in diversi scenari.

I Senatori hanno manifestato vivo interesse circa i captatori con domande e osservazioni anche dopo la breve audizione, il che mi fa ritenere che che questi interventi e quelli che seguiranno potranno fornire validi elementi a supporto di chi deve ascoltare e comprendere il contributo tecnico degli esperti così da poterlo utilizzare per formulare leggi e riforme che permettano lo svolgimento delle indagini nel rispetto della Giustizia e della vita privata delle persone.

Ho, tra l’altro, ribadito la disponibilità dell’Osservatorio Nazionale d’Informatica Forense (ONIF) a fornire il proprio contributo alle Istituzioni avendo ormai da anni messo insieme un gruppo di esperti in informatica forense che con passione dedicano del tempo per sensibilizzare e divulgare ai non addetti ai lavori metodologie, principi, limiti e modalità operative alla base della nostra professione.

Mi auguro di poter essere stato utile e che l’emozione non mi abbia fatto parlare troppo veloce… per chi ha qualche minuto da perdere, l’audizione è visibile sul sito del Senato al seguente link, il mio intervento è al minuto 01h:28m:04s.

Per chi volesse visionare anche l’intervento precedente, del collega Ing. Paolo Reale, sempre per la 2a Commissione Giustizia del Senato della Repubblica come parte del’Indagine Conoscitiva sulle Intercettazioni, può trovare il filmato integrale al seguente link.