UE vuole spiare l’uso di Internet da parte degli europei

UE

La regola richiederebbe a tutti i browser Internet di fidarsi di un certificato radice aggiuntivo emesso da un’agenzia (o da un’entità regolamentata) di ciascuno dei governi nazionali di ciascuno degli Stati membri dell’UE. Per i lettori non tecnici, spiegherò cos’è un certificato radice, come si è evoluta la fiducia in Internet e cosa fa l’Articolo 45 a questo. E poi metterò in evidenza alcuni commenti della comunità tecnologica su questo argomento.

La prossima sezione di questo articolo spiegherà come funziona l’infrastruttura fiduciaria di Internet. Queste premesse sono necessarie per comprendere quanto sia radicale l’articolo proposto. La spiegazione è destinata ad essere accessibile a un lettore non tecnico.

Il regolamento in questione riguarda la sicurezza di Internet. Qui, “internet” significa, in gran parte, i browser che visitano i siti web. La sicurezza in Internet è costituita da molti aspetti distinti. L’articolo 45 intende modificare  l’infrastruttura a chiave pubblica (PKI) , che fa parte della sicurezza Internet dalla metà degli anni ’90. La PKI è stata inizialmente adottata e poi migliorata nell’arco di 25 anni, per offrire agli utenti e agli editori le seguenti garanzie:

• Privacy della conversazione tra il browser e il sito web : browser e siti web conversano su Internet, una rete di reti gestita da  fornitori di servizi Internet e  operatori di livello 1 ; o  operatori di telefonia mobile  se il dispositivo è mobile. La rete stessa non è intrinsecamente sicura né affidabile. Il tuo  ficcanaso ISP di casa ,  un viaggiatore nella lounge dell’aeroporto  dove stai aspettando il tuo volo o  un fornitore di dati che cerca di vendere contatti agli inserzionisti  potrebbe voler spiarti. Senza alcuna protezione, un malintenzionato potrebbe visualizzare dati riservati come password, saldo della carta di credito o informazioni sanitarie.
• Assicurati di visualizzare la pagina esattamente nel modo in cui il sito web te l’ha inviata : quando visualizzi una pagina web, è possibile che sia stata manomessa dall’editore e dal tuo browser? Un censore potrebbe voler rimuovere i contenuti che non vuole che tu veda. I contenuti etichettati come “disinformazione” sono stati ampiamente soppressi durante l’isteria covid. Un hacker che ha rubato la tua carta di credito potrebbe voler rimuovere le prove dei suoi addebiti fraudolenti.
• Garantisci che il sito web che vedi sia realmente quello nella barra degli indirizzi del browser : quando ti connetti a una banca come fai a sapere che stai vedendo il sito web di quella banca e non una versione falsa che sembra identica? Controlla la barra degli indirizzi nel tuo browser. Il tuo browser potrebbe essere indotto con l’inganno a mostrarti un sito web falso che sembra identico a quello reale? Come fa il tuo browser a sapere con certezza che è collegato al sito corretto?

Agli albori di Internet non esisteva nessuna di queste garanzie. Nel 2010,  un plug-in del browser disponibile nello store dei componenti aggiuntivi  consentiva all’utente di partecipare alla chat di gruppo Facebook di qualcun altro in un hotspot di un bar. Ora, grazie a PKI, puoi essere abbastanza sicuro di queste cose.

Queste funzionalità di sicurezza sono protette con un sistema basato su  certificati digitali . I certificati digitali sono una forma di documento d’identità: la versione Internet della patente di guida. Quando un browser si connette a un sito, il sito presenta un certificato al browser. Il certificato contiene una chiave crittografica. Il browser e il sito Web collaborano con una serie di calcoli crittografici per impostare una comunicazione sicura.

Insieme, il browser e il sito web forniscono le tre garanzie di sicurezza:

• privacy : crittografando la conversazione.
• firme digitali crittografiche:  per garantire che  il contenuto non venga modificato in volo .
• verifica dell’editore : attraverso la catena di fiducia fornita da PKI, che spiegherò più dettagliatamente di seguito.

Una buona identità dovrebbe essere difficile da contraffare. Nel mondo antico,  la fusione in cera di un sigillo  serviva a questo scopo. Le identità per gli esseri umani si sono basate sulla biometria. Il tuo viso è una delle forme più antiche. Nel mondo non digitale, quando devi accedere a un’impostazione soggetta a limiti di età, come ordinare una bevanda alcolica, ti verrà chiesto un documento d’identità con foto.

Un altro metodo biometrico precedente all’era digitale consisteva nel confrontare la tua nuova firma con penna e inchiostro con la tua firma originale sul retro del tuo documento d’identità. Poiché questi vecchi tipi di dati biometrici diventano più facili da contraffare, la verifica dell’identità umana si è adattata. Ora è normale che una banca ti invii un codice di convalida sul tuo cellulare. L’app richiede che tu superi un controllo dell’identità biometrica sul tuo telefono cellulare per visualizzare il codice come il riconoscimento facciale o l’impronta digitale.

Oltre ai dati biometrici, il secondo fattore che rende affidabile un documento d’identità è l’emittente. Gli ID ampiamente accettati dipendono dalla capacità dell’emittente di verificare che la persona che richiede un documento d’identità sia chi dice di essere. La maggior parte dei documenti d’identità più ampiamente accettati sono rilasciati da agenzie governative, come il Dipartimento dei veicoli a motore. Se l’agenzia emittente dispone di mezzi affidabili per tracciare chi e dove si trovano i suoi soggetti, come pagamenti di tasse, documenti di lavoro o utilizzo di servizi di distribuzione idrica, allora ci sono buone probabilità che l’agenzia possa verificare che la persona indicata sul documento d’identità sia quella persona.

Nel mondo online, i governi, per la maggior parte, non sono coinvolti nella verifica dell’identità. I certificati sono emessi da aziende del settore privato note come  autorità di certificazione  (CA). Mentre i certificati erano piuttosto costosi, le tariffe sono diminuite considerevolmente al punto che  alcuni sono gratuiti . Le CA più conosciute sono Verisign, DigiCert e GoDaddy. Ryan Hurst mostra  che le sette principali CA (ISRG, DigiCert, Sectigo, Google, GoDaddy, Microsoft e IdenTrust) emettono il 99% di tutti i certificati.

Il browser accetterà un certificato come prova di identità solo se il campo del nome sul certificato corrisponde al nome di dominio, che il browser mostra nella barra degli indirizzi. Anche se i nomi corrispondono, ciò implica che un certificato che dice “apple.com” appartenga al business dell’elettronica di consumo noto come Apple, Inc.? I sistemi di identità non sono a prova di proiettile. I bevitori minorenni  possono ottenere documenti d’identità falsi . Come gli ID umani, anche i certificati digitali possono essere falsi o non validi per altri motivi. Un ingegnere del software che utilizza strumenti open source gratuiti può creare un certificato digitale denominato “apple.com” con  pochi comandi Linux .

Il sistema PKI si affida alle CA per emettere qualsiasi certificato solo al proprietario del sito web. Il flusso di lavoro per acquisire un certificato è il seguente:

1. L’editore di un sito web si rivolge alla propria CA preferita per un certificato, per un dominio.
2. La CA verifica che la richiesta di certificato provenga dall’effettivo proprietario di quel sito. Come lo stabilisce la CA? La CA richiede che l’entità che effettua la richiesta pubblichi uno specifico contenuto su un URL specifico. La capacità di farlo dimostra che l’entità ha il controllo sul sito web.
3. Una volta che il sito web ha dimostrato la proprietà del dominio, la CA aggiunge una  firma digitale crittografica  al certificato utilizzando la propria chiave crittografica privata. La firma identifica la CA come emittente.
4. Il certificato firmato viene trasmesso alla persona o ente richiedente.
5. L’editore installa il certificato sul proprio sito Web, quindi potrebbe essere presentato ai browser.

Le firme digitali crittografiche sono “uno schema matematico per verificare l’autenticità di messaggi o documenti digitali”. Non sono la stessa cosa della firma di documenti online fornita da DocuSign e fornitori simili. Se la firma potesse essere falsificata, i certificati non sarebbero affidabili. Nel tempo la dimensione delle chiavi crittografiche è aumentata con l’obiettivo di renderne più difficile la contraffazione. I ricercatori di crittografia ritengono che le firme attuali, in termini pratici, siano impossibili da falsificare. Un’altra vulnerabilità si verifica quando alla CA vengono rubate le chiavi segrete. Il ladro potrebbe quindi produrre firme valide di quella CA.

Una volta installato, il certificato viene utilizzato durante la configurazione di una conversazione web. Il  Registro  spiega  come va:

Se il certificato è stato emesso da una CA nota e valida e tutti i dettagli sono corretti, il sito è attendibile e il browser tenterà di stabilire una connessione sicura e crittografata con il sito Web in modo che la tua attività sul sito non sia visibile a un intercettatore della rete. Se il certificato è stato emesso da una CA non attendibile, o il certificato non corrisponde all’indirizzo del sito Web, o alcuni dettagli sono errati, il browser rifiuterà il sito Web per il timore che non si connetta al sito Web effettivo desiderato dall’utente e potrebbe parlare con un imitatore.

Possiamo fidarci del browser perché il browser si fida del sito web. Il browser considera attendibile il sito Web perché il certificato è stato emesso da una CA “nota come valida”. Ma cos’è una “CA conosciuta come valida”? La maggior parte dei browser si affida alle CA fornite dal sistema operativo. L’elenco delle CA affidabili viene deciso dai fornitori di dispositivi e software. I principali fornitori di computer e dispositivi (Microsoft, Apple, produttori di telefoni Android e distributori Linux open source) precaricano il sistema operativo sui propri dispositivi con una serie di certificati root.

Questi certificati identificano le CA che hanno controllato e considerano affidabili. Questa raccolta di certificati radice è chiamata “trust store”. Per fare un esempio vicino a me, il PC Windows che sto utilizzando per scrivere questo pezzo ha 70 certificati root nel suo Trusted Root Certificate Store. Il sito di supporto di Apple  elenca tutte le root attendibili dalla versione Sierra di MacOS .

In che modo i fornitori di computer e telefoni decidono quali CA sono affidabili? Dispongono di programmi di audit e conformità per valutare la qualità delle autorità competenti. Sono inclusi solo quelli che passano. Vedi ad esempio  il browser Chrome  (che fornisce il proprio trust store anziché utilizzare quello presente sul dispositivo). L’EFF ( che si autodefinisce “la principale organizzazione no-profit che difende le libertà civili nel mondo digitale” )  spiega :

I browser gestiscono “programmi root” per monitorare la sicurezza e l’affidabilità delle CA di cui si fidano. Questi programmi root impongono una serie di requisiti che vanno da “come deve essere protetto il materiale della chiave” a “come deve essere eseguita la convalida del controllo del nome di dominio” a “quali algoritmi devono essere utilizzati per la firma del certificato”.

Dopo che una CA è stata accettata da un fornitore, il fornitore continua a monitorarla. I fornitori rimuoveranno le CA dal trust store nel caso in cui la CA non riesca a sostenere gli standard di sicurezza necessari. Le autorità di certificazione possono, e lo fanno, diventare canaglia o fallire per altri motivi. Il  Registro  riporta :

I certificati e le CA che li emettono non sono sempre affidabili e i produttori di browser nel corso degli anni hanno rimosso i certificati root CA dalle CA con sede in Turchia, Francia, Cina, Kazakistan e altrove quando si è scoperto che l’entità emittente o una parte associata intercettava file web traffico.

Nel 2022, il ricercatore Ian Carroll ha segnalato  problemi di sicurezza all’autorità di certificazione e-Tugra . Carroll “ha riscontrato una serie di problemi allarmanti che mi preoccupano per quanto riguarda le pratiche di sicurezza all’interno della loro azienda”, come le credenziali deboli. I rapporti di Carroll sono stati verificati dai principali fornitori di software. Di conseguenza, e-Tugra è stato  rimosso dagli archivi di certificati attendibili .

La  cronologia dei fallimenti delle autorità di certificazione  racconta di altri incidenti simili. 

Esistono ancora alcuni buchi noti nella PKI così come esiste attualmente. Poiché una questione particolare è importante per la comprensione dell’Articolo 45 dell’eIDAS, la spiegherò di seguito. L’attendibilità di una CA non è limitata ai siti Web che svolgono la propria attività con tale CA. Un browser accetterà un certificato da qualsiasi CA attendibile per qualsiasi sito Web. Non c’è nulla che impedisca alla CA di rilasciare a un utente malintenzionato un sito Web che non è stato richiesto dal proprietario del sito. Un certificato del genere sarebbe fraudolento in senso giuridico a causa del destinatario. Ma il contenuto del certificato sarebbe tecnicamente valido dal punto di vista del browser.

Se esistesse un modo per associare ciascun sito Web alla propria CA preferita, qualsiasi certificato per quel sito rilasciato da qualsiasi altra CA verrebbe immediatamente riconosciuto come fraudolento. Il pinning del certificato  è un altro standard che fa un passo in questa direzione. Ma come verrebbe pubblicata quell’associazione e come ci si potrebbe fidare di quell’editore?

Ad ogni livello di questo processo, la soluzione tecnica si basa su una fonte esterna di fiducia. Ma come si stabilisce questa fiducia? Affidandosi a una fonte ancora più fidata sul piano immediatamente superiore? Questa domanda illustra la natura del problema “ tartarughe, fino in fondo ”. La PKI ha una tartaruga in fondo: la reputazione, la visibilità e la trasparenza del settore della sicurezza e dei suoi clienti. La fiducia si costruisce a questo livello attraverso il monitoraggio costante, gli standard aperti, gli sviluppatori di software e le autorità di certificazione.

Sono stati emessi certificati fraudolenti. Nel 2013, ArsTechnica ha riferito che  un’agenzia francese è stata sorpresa a coniare certificati SSL spacciandosi per Google :

Nel 2011… i ricercatori di sicurezza  hanno individuato un certificato fasullo per Google.com  che dava agli aggressori la possibilità di impersonare il servizio di posta del sito web e altre offerte. Il certificato contraffatto è stato coniato dopo che gli aggressori hanno violato la sicurezza di DigiNotar con sede nei Paesi Bassi e hanno ottenuto il controllo dei suoi sistemi di emissione dei certificati.

Le credenziali SSL (Secure Sockets Layer) sono state firmate digitalmente da un’autorità di certificazione valida… In effetti, i certificati erano duplicati non autorizzati emessi in violazione delle regole stabilite dai produttori di browser e dai servizi delle autorità di certificazione.

Può verificarsi un’emissione di certificati fraudolenti. Una CA canaglia può emetterne uno, ma non andrà lontano. Verrà rilevato il certificato errato. La CA cattiva fallirà i programmi di conformità e verrà rimossa dai trust store. Senza l’accettazione, l’AC cesserà l’attività. La trasparenza dei certificati , uno standard più recente, consente un rilevamento più rapido dei certificati fraudolenti.

Perché una CA dovrebbe diventare canaglia? Che vantaggio può ottenere il malintenzionato da un certificato non autorizzato? Solo con il certificato, non molto, anche se firmato da una CA attendibile. Ma se il malintenzionato riesce a collaborare con un ISP o ad accedere in altro modo alla rete utilizzata dal browser, il certificato dà al malintenzionato la possibilità di infrangere tutte le garanzie di sicurezza della PKI.

L’hacker potrebbe sferrare un  attacco man-in-the-middle (MITM)  sulla conversazione. L’aggressore potrebbe inserirsi tra il browser e il sito web reale. In questo scenario, l’utente parlerebbe direttamente con l’aggressore e l’aggressore trasmetterebbe i contenuti avanti e indietro con il sito web reale. L’aggressore presenterebbe il certificato fraudolento al browser. Poiché è stato firmato da una CA attendibile, il browser lo accetterà. L’aggressore potrebbe visualizzare e persino modificare ciò che una delle parti ha inviato prima che l’altra parte lo riceva.

Veniamo ora al sinistro eIDAS dell’UE, l’articolo 45. Questa proposta di regolamento impone a tutti i browser di fidarsi di un paniere di certificati provenienti da CA designate dall’UE. Ventisette per l’esattezza: uno per ogni nazione membro. Questi certificati saranno chiamati  Certificati di Autenticazione del Sito Web Qualificati . L’acronimo “QWAC” ha uno sfortunato omofono per  ciarlataneria  – o forse la CE ci sta trollando.

I QWAC verrebbero emessi da agenzie governative, o da ciò che Michael Rectenwald chiama  governamentalità : “corporazioni, aziende e altri enti dello stato che altrimenti sono chiamati ‘privati’, ma che in realtà operano come apparati statali, nel senso che stanno applicando narrazioni e dettami statali.

Questo schema porterebbe i governi membri dell’UE un passo avanti verso il punto in cui potrebbero attaccare i propri cittadini. Avrebbero anche bisogno di accedere alle reti. I governi sono nella posizione di farlo. Se l’ISP fosse gestito come un’impresa statale, lo avrebbero già. Se gli ISP fossero aziende private,  le autorità locali  potrebbero utilizzare i poteri di polizia per ottenere l’accesso.

Un punto che non è stato sottolineato nella conversazione pubblica è che un browser in uno qualsiasi dei 27 paesi membri dell’UE dovrebbe accettare ogni singolo QWAC, uno per ciascun  membro dell’UE . Ciò significa che un browser, ad esempio, in Spagna, dovrebbe fidarsi di un QWAC di entità in Croazia, Finlandia e Austria. L’utente spagnolo che visita un sito web austriaco dovrebbe transitare su porzioni Internet austriache. Le questioni sopra sollevate si applicherebbero a tutti i paesi dell’UE. 

Il Register, in un pezzo intitolato  Bad eIDAS: Europe ready to intercept, spy on your cryptopted HTTPS Connections,  spiega un modo in cui questo potrebbe funzionare:

[T] quel governo può chiedere alla sua CA amichevole una copia del certificato [QWAC] in modo che il governo possa impersonare il sito Web – o chiedere qualche altro certificato che i browser si fideranno e accetteranno per il sito. Pertanto, utilizzando un attacco man-in-the-middle, il governo può intercettare e decrittografare il traffico HTTPS crittografato tra il sito Web e i suoi utenti, consentendo al regime di monitorare esattamente ciò che le persone stanno facendo con quel sito in qualsiasi momento.

Una volta penetrato lo scudo della crittografia, il monitoraggio potrebbe includere il salvataggio delle password degli utenti e il loro utilizzo in un secondo momento per accedere agli account di posta elettronica dei cittadini. Oltre al monitoraggio, i governi potrebbero modificare i contenuti in linea. Ad esempio, potrebbero rimuovere le narrazioni che vogliono censurare. Potrebbero allegare fastidiosi  fact check  e  avvisi sui contenuti  alle opinioni dissenzienti.

Allo stato attuale delle cose, le CA devono mantenere la fiducia della comunità dei browser. I browser attualmente avvisano l’utente se un sito presenta un certificato scaduto o comunque non attendibile. Ai sensi dell’articolo 45, gli avvertimenti o l’espulsione degli abusatori della fiducia sarebbero vietati. Non solo i browser hanno il dovere di fidarsi dei QWAC, ma l’articolo 45 vieta ai browser di mostrare un avviso che indica un certificato firmato da un QWAC.

Last Chance for eIDAS  (un sito web che mostra il logo Mozilla) si oppone all’articolo 45:

Qualsiasi stato membro dell’UE ha la possibilità di designare chiavi crittografiche per la distribuzione nei browser Web e ai browser è vietato revocare la fiducia in queste chiavi senza il permesso del governo.

…Non esiste alcun controllo o equilibrio indipendente sulle decisioni prese dagli Stati membri rispetto alle chiavi che autorizzano e all’uso che ne fanno. Ciò è particolarmente preoccupante dato che il rispetto dello stato di diritto  non è stato uniforme  in tutti gli Stati membri, con casi documentati di  coercizione da parte della polizia segreta  per scopi politici.

In una  lettera aperta firmata da diverse centinaia di ricercatori di sicurezza e scienziati informatici :

L’articolo 45 vieta inoltre i controlli di sicurezza sui certificati web dell’UE, a meno che non siano espressamente consentiti dalla normativa quando si stabiliscono connessioni di traffico web crittografate. Invece di specificare una serie di misure minime di sicurezza che devono essere applicate come linea di base, specifica di fatto un limite superiore alle misure di sicurezza che non può essere migliorato senza il permesso dell’ETSI. Ciò va contro le norme globali ben consolidate secondo cui le nuove tecnologie di sicurezza informatica vengono sviluppate e implementate in risposta ai rapidi sviluppi tecnologici.

La maggior parte di noi si affida ai propri fornitori per curare l’elenco delle CA attendibili. Tuttavia, come utente, puoi aggiungere o rimuovere certificati come preferisci sui tuoi dispositivi. Microsoft Windows dispone di uno  strumento per farlo . Su Linux, i certificati root sono file posizionati in un’unica directory. Una CA potrebbe non essere attendibile semplicemente eliminando il file. Sarà vietato anche questo? Steve Gibson, noto esperto di sicurezza,  editorialista e conduttore del  podcast di lunga data Security Now  chiede :

Ma l’UE afferma che i browser saranno tenuti a rispettare queste nuove autorità di certificazione non provate e non testate e quindi tutti i certificati che emettono, senza eccezioni e senza ricorso. Ciò significa che la mia istanza di Firefox sarà legalmente obbligata a rifiutare il mio tentativo di rimuovere tali certificati?

Gibson osserva che alcune aziende implementano una sorveglianza simile sui propri dipendenti all’interno della propria rete privata. Qualunque sia la tua opinione su tali condizioni di lavoro, alcuni settori hanno legittimi motivi di audit e conformità per monitorare e registrare ciò che i loro dipendenti stanno facendo con le risorse aziendali. Ma, come continua Gibson  ,

Il problema è che l’UE e i suoi paesi membri sono molto diversi dai dipendenti di un’organizzazione privata. Ogni volta che un dipendente non vuole essere spiato, può utilizzare il proprio smartphone per aggirare la rete del proprio datore di lavoro. E ovviamente la rete privata di un datore di lavoro è proprio questo, una rete privata. L’UE vuole farlo per l’intera Internet pubblica dalla quale non ci sarebbe scampo.

Ora abbiamo stabilito la natura radicale di questa proposta. È giunto il momento di chiedersi: quali ragioni offre la CE per motivare questo cambiamento? La CE afferma che la verifica dell’identità tramite PKI non è adeguata. E che questi cambiamenti sono necessari per migliorarlo. 

C’è qualcosa di vero nelle affermazioni della CE? L’attuale PKI nella maggior parte dei casi richiede solo la richiesta di dimostrare il controllo del sito web. Anche se questo è già qualcosa, non garantisce, ad esempio, che la proprietà web “apple.com” sia di proprietà della società di elettronica di consumo nota come Apple Inc, con sede a Cupertino, in California. Un utente malintenzionato potrebbe ottenere un certificato valido per un nome di dominio simile a quello di un’azienda nota. Il certificato valido potrebbe essere utilizzato in un attacco che si basava sul fatto che alcuni utenti non guardassero abbastanza attentamente da notare che il nome non corrispondeva perfettamente. Questo è successo al  processore di pagamento Stripe .

Per gli editori che desiderano dimostrare al mondo che sono veramente la stessa entità aziendale, alcune CA hanno offerto  certificati di convalida estesa (EV) . La parte “estesa” consiste in ulteriori convalide rispetto all’azienda stessa, come l’indirizzo aziendale, un numero di telefono funzionante, una licenza commerciale o una costituzione e altri attributi tipici di un’impresa in funzionamento. I veicoli elettrici sono elencati a un prezzo più alto perché richiedono più lavoro da parte dell’autorità competente.

I browser erano soliti mostrare feedback visivi evidenziati per un veicolo elettrico, come un colore diverso o un’icona di blocco più robusta. Negli ultimi anni i veicoli elettrici non sono stati particolarmente apprezzati sul mercato. Per lo più sono morti. Molti browser non mostrano più il feedback differenziale.

Nonostante i punti deboli ancora esistenti, la PKI è migliorata notevolmente nel tempo. Man mano che i difetti sono stati compresi, sono stati affrontati. Gli algoritmi crittografici sono stati rafforzati, la governance è migliorata e le vulnerabilità sono state bloccate. La governance basata sul consenso degli operatori del settore ha funzionato piuttosto bene. Il sistema continuerà ad evolversi, sia tecnologicamente che istituzionalmente. A parte l’ingerenza dei regolatori, non c’è motivo di aspettarsi il contrario.

Dalla storia poco brillante dei veicoli elettrici abbiamo imparato che al mercato non interessa molto la verifica dell’identità aziendale. Tuttavia, se gli utenti di Internet lo volessero, non sarebbe necessario rompere la PKI esistente per fornirglielo. Sarebbero sufficienti alcune piccole modifiche ai flussi di lavoro esistenti. Alcuni commentatori hanno proposto di modificare l’  handshake TLS ; il sito web presenterebbe un certificato aggiuntivo. Il certificato primario funzionerebbe come adesso. Il certificato secondario, firmato da un QWAC, implementerebbe gli standard di identità aggiuntivi che la CE afferma di volere.

Le presunte ragioni della CE per l’eIDAS semplicemente non sono credibili. Non solo le ragioni addotte sono poco plausibili, ma la CE non si preoccupa nemmeno delle solite lamentele ipocrite su come dobbiamo sacrificare libertà importanti in nome della sicurezza perché affrontiamo la grave minaccia di [scegli uno] traffico di esseri umani, sicurezza dei bambini, riciclaggio di denaro. , evasione fiscale o (il mio preferito)  cambiamento climatico . Non si può negare che l’UE ci stia illudendo.

Se la Commissione Europea non è onesta riguardo alle sue vere motivazioni, allora cosa cerca?

Gibson vede  un intento nefasto :

E c’è solo una possibile ragione per cui vogliono [imporre ai browser di fidarsi dei QWAC], ovvero consentire l’intercettazione al volo del traffico web Internet , esattamente come accade all’interno delle aziende. E questo è riconosciuto.

(Ciò che Gibson intende per “intercettazione del traffico web” è l’attacco MITM descritto sopra.) Altri commenti hanno evidenziato le sinistre implicazioni per la libertà di parola e la protesta politica. Hurst  in un saggio di lunga durata  sostiene un argomento scivoloso:

Quando una democrazia liberale stabilisce questo tipo di controllo sulla tecnologia sul web, nonostante le sue conseguenze, getta le basi affinché governi più autoritari possano seguirne l’esempio impunemente.

Mozilla  citato in techdirt  (senza collegamento all’originale) dice più o meno la stessa cosa:

[F]orzare i browser a fidarsi automaticamente delle autorità di certificazione sostenute dal governo è una tattica chiave utilizzata dai regimi autoritari, e questi attori sarebbero incoraggiati dall’effetto legittimante delle azioni dell’UE…

Gibson fa  un’osservazione simile :

E poi c’è lo spettro molto reale di quali altre porte si apriranno: se l’UE mostra al resto del mondo di poter dettare con successo i termini di fiducia per i browser web indipendenti utilizzati dai suoi cittadini, quali altri paesi seguiranno con leggi simili? ? Ora tutti possono semplicemente richiedere che i certificati del proprio paese vengano aggiunti. Questo ci porta esattamente nella direzione sbagliata.

L’Articolo 45 proposto è un attacco alla privacy degli utenti nei paesi dell’UE. Se adottata, rappresenterebbe un enorme passo indietro non solo nella sicurezza di Internet, ma nell’evoluto sistema di governance. Sono d’accordo con Steve Gibson che:

Ciò che non è completamente chiaro, e che non ho riscontrato da nessuna parte, è una spiegazione dell’autorità con cui l’UE immagina di poter dettare la progettazione del software di altre organizzazioni. Perché è a questo che si riduce la questione.

La risposta alla proposta dell’Articolo 45 è stata estremamente negativa. L’EFF nell’articolo  45 ridurrà la sicurezza web di 12 anni  scrive: “Questa è una catastrofe per la privacy di tutti coloro che utilizzano Internet, ma in particolare per coloro che utilizzano Internet nell’UE”.

L’iniziativa eIDAS rappresenta un quattro allarmi per la comunità della sicurezza. Mozilla, produttore del browser web open source Firefox, ha pubblicato una  dichiarazione congiunta del settore  in cui si oppone. La dichiarazione è firmata da un elenco stellare di società di infrastrutture Internet tra cui la stessa Mozilla, Cloudflare, Fastly e la Linux Foundation.

Dalla  lettera aperta  menzionata sopra:

Dopo aver letto il testo quasi finale, siamo profondamente preoccupati per il testo proposto per l’articolo 45. L’attuale proposta espande radicalmente la capacità dei governi di sorvegliare sia i propri cittadini che i residenti nell’UE fornendo loro i mezzi tecnici per intercettare i dati crittografati traffico web, oltre a indebolire i meccanismi di controllo esistenti su cui fanno affidamento i cittadini europei.

Dove va a finire? Il regolamento è stato proposto da tempo. La decisione finale era prevista per novembre 2023. Da allora le ricerche sul web non mostrano più informazioni su questo argomento. 

Negli ultimi anni è aumentata la censura totale in tutte le sue forme. Durante la follia del covid, il governo e l’industria hanno collaborato per creare un  complesso industriale e di censura  per promuovere in modo più efficiente false narrazioni e reprimere i dissidenti. In questi ultimi anni, gli scettici e le voci indipendenti hanno reagito,  nei tribunali , e creando   piattaforme  neutrali dal punto di vista .

Anche se la censura della parola continua a rappresentare un grande pericolo, i diritti di scrittori e giornalisti sono tutelati meglio di molti altri diritti. Negli Stati Uniti, il  Primo Emendamento  prevede una protezione esplicita della parola e la libertà di criticare il governo. I tribunali possono essere del parere che qualsiasi diritto o libertà non tutelati da un linguaggio normativo altamente specifico sia un gioco leale. Questo potrebbe essere il motivo per cui la resistenza ha avuto più successo in termini di discorso rispetto ad altri sforzi per fermare altri abusi di potere come  le quarantene  e i blocchi della popolazione.

Invece di un nemico ben difeso, i governi stanno spostando i loro attacchi su altri livelli dell’infrastruttura Internet. Questi servizi, come la registrazione del dominio, DNS, certificati, processori di pagamento, hosting e app store, consistono in gran parte in transazioni sul mercato privato. Questi servizi sono molto meno protetti della libertà di parola perché, nella maggior parte dei casi, non esiste alcun diritto di acquistare un servizio specifico da una particolare azienda. E i servizi più tecnici come DNS e PKI sono meno compresi dal pubblico rispetto alla pubblicazione sul web.

Il sistema PKI è particolarmente vulnerabile agli attacchi perché funziona in base alla reputazione e al consenso. Non esiste un’unica autorità che governa l’intero sistema. I giocatori devono guadagnarsi una reputazione attraverso la trasparenza, la conformità e la segnalazione onesta dei fallimenti. E questo lo rende vulnerabile a questo tipo di attacchi dirompenti. Se la PKI dell’UE cade nelle mani dei regolatori, mi aspetto che altri paesi seguano lo stesso. Non solo la PKI è a rischio. Una volta dimostrato che altri livelli della situazione possono essere attaccati dai regolatori, anch’essi verranno presi di mira.

Fonte: https://www.zerohedge.com/technology/eu-wants-spy-europeans-internet-use
Scritto da Robert Blumen tramite The Brownstone Institute
Tradotto da Carlo Makhloufi Donelli

Di questi argomenti abbiamo già parlato anche qui:
https://ita.li.it/2023/11/14/ediw-eurodigital-identity-wallet-sicurezza-o-tirannia/
https://ita.li.it/2023/01/15/come-possiamo-fidarci-delle-istituzioni-che-hanno-mentito/