In Australia una legge contro la crittografia. Arrivano le backdoor di stato?

Dic 10, 2018 Marco Schiaffino Gestione dati, In evidenza, Malware, Mercato, News, Privacy, RSS, Scenario 0

Il governo australiano ha varato una legge che obbliga le aziende a collaborare con la polizia per violare i sistemi o impiantare spyware.

Tanto tuonò, che piovve. Dopo mesi di polemiche legate alle dichiarazioni di numerosi governi (Gran Bretagna in testa a tutti) che mettevano nel mirino i sistemi di crittografia end-to-end, è arrivata la prima legge che punta espressamente a scardinare i sistemi di tutela della privacy nelle comunicazioni digitali.

Il (non invidiabile) primato se lo è aggiudicato l’Australia, il cui governo ha promulgato una legge chiamata Assistance and Access Act.

La normativa avrebbe lo scopo, tanto per cambiare, di rendere più efficace l’azione delle forze di polizia e dei servizi segreti in chiave di lotta al terrorismo e prevede, in pratica, l’obbligo per le aziende IT di “aiutare“ gli agenti consentendogli di inserire più facilmente spyware e backdoor nei loro prodotti.

La richiesta, reiterata più volte da ambienti conservatori negli USA e in Inghilterra, nasce dalla frustrazione legata all’impossibilità di intercettare le comunicazioni dei sospetti che usano sistemi di messaggistica con crittografia end-to-end, il cui contenuto non può essere decrittato nemmeno dai fornitori del servizio.

Scontata l’opposizione degli operatori del settore, che considerano questo tipo di obbligo un vero boomerang. In primo luogo per quanto riguarda il rapporto di fiducia con gli utenti, che ormai considerano la tutela della privacy come uno dei fattori primari nella scelta di un servizio o di un prodotto.

Il loro timore, estremamente condivisibile, è che gli utenti li abbandonino quando dovessero sapere che i loro prodotti sono progettati per essere “bucati” dalle forze dell’ordine.

Le implicazioni però, sono anche di carattere più generale. Introdurre una vulnerabilità “programmata” in un software, infatti, apre alla possibilità che qualcuno trovi il modo di sfruttarlo anche se non avrebbe titolo a farlo.

Visto che ogni giorno leggiamo di nuove falle di sicurezza individuate nei prodotti IT, una politica del genere rischia di aumentare esponenzialmente i rischi che queste si moltiplichino e che i soliti cyber-criminali riescano a sfruttarle.

E non è tutto: alcuni sviluppatori fanno notare che gli operatori, in questo modo, vengono a trovarsi tra l’incudine e il martello. Da una parte, infatti, li si obbliga a rendere meno sicuri i loro prodotti con la giustificazione della lotta al terrorismo, dall’altra si minacciano multe milionarie se non si risponde ai rigorosi criteri di protezione dei dati del nuovo GDPR.

Ora vedremo cosa succederà. Molti prevedono tempi duri per l’Australia che, non essendo esattamente un mercato di prima linea (25 milioni di abitanti) rischia di essere “abbandonata” da chi non ha nessuna intenzione di piegarsi a un obbligo del genere.

Per essere più chiari la previsione è che applicazioni come Whatsapp o Telegram, che hanno fatto della privacy una bandiera, escludano gli utenti australiani.

Difficile capire cosa possa succedere ampliando il discorso a sistemi operativi e dispositivi. Come reagiranno i vari big del settore come Microsoft, Apple e Google?

Sul fronte opposto, la legge australiana rischia di rappresentare un precedente a cui altri governi potrebbero appellarsi per giustificare leggi simili. Comunque vada, qualche frizione è (più che) prevedibile.

Condividi l'articolo