Uno degli elementi innovativi presenti nel testo della legge europea Digital Markets Act in arrivo riguarda le misure di interoperabilità secondo cui social media e app di messaggistica devono poter comunicare gli uni con le altre.
Una misura utile a spezzare il dominio delle big tech, ma che sta sollevando critiche da esperti di privacy e cybersecurity: c’è il rischio che questa interoperabilità indebolisca la crittografia delle app.
La questione è diventata attuale perché il 24 marzo 2022 è stato raggiunto un accordo tra Parlamento Europeo e Consiglio sul testo del Dma, che quindi non dovrebbe più cambiare nella sostanza, anche se per diventare effettivo, il testo deve ancora essere sottoposto all’approvazione del Parlamento Europeo e del Consiglio, diventando applicabile in tutti i paesi dell’Unione sei mesi dopo l’entrata in vigore, stabilita in venti giorni dalla pubblicazione in Gazzetta Ufficiale.
Digital Markets Act (DMA), c’è l’accordo tra Consiglio e Parlamento UE: le nuove regole
Indice degli argomenti
DMA: cosa dice la norma sulla messaggistica
In particolare, nel comunicato stampa la Commissione europea ha indicato esplicitamente che i servizi di messaggistica più importanti e diffusi quali WhatsApp, Facebook Messenger e iMessage, dovranno essere in grado di interagire, se richiesto, con le piattaforme più piccole. Gli utenti di piattaforme piccole o grandi dovranno essere in grado di scambiare messaggi, inviare file o effettuare videochiamate con le diverse app di messaggistica.
Per quanto riguarda, invece, l’interoperabilità dei social media, i legislatori hanno convenuto che tali disposizioni saranno valutate in futuro.
La norma dell’interoperabilità contenuta nel DMA va nella direzione di favorire la concorrenza, in modo che anche piccole startup possano avere possibilità di competere e innovare nell’ambiente delle piattaforme online senza dover rispettare condizioni che ne limitino lo sviluppo, e di impedire ai “gatepeeker” di mettere in atto pratiche commerciali scorrette nei confronti dei loro utenti e trarre vantaggio dalla loro posizione predominante.
Inoltre, favorire l’interoperabilità significa consentire agli utenti di scegliere liberamente tra le opzioni disponibili, sottraendoli all’apparente comodità – che spesso si trasforma in costrizione – di avere un unico fornitore di servizi.
Se consideriamo, ad esempio, la diffusione del servizio di messaggistica WhatsApp, considerata l’app di messaggistica mobile più diffusa al mondo con i suoi due miliardi di utenti mensili – come dichiarato dalla stessa azienda nell’intervista al Wall Street Journal, a febbraio 2020 – è estremamente difficile pensare che la nascita di una nuova piattaforma, per quanto innovativa possa essere, abbia successo. E d’altra parte, se tutti i nostri amici utilizzano WhatsApp, difficilmente saremo tentati di utilizzare un differente gestore di messaggistica.
Un passaggio nel testo del DMA risulta particolarmente significativo, ovvero come sia necessario “consentire a tutti i fornitori, su loro richiesta e gratuitamente, di interconnettersi” con i servizi di messaggistica offerti dai gatekeeper.
Questa interoperabilità deve essere garantita “a condizioni e qualità uguali a quelle disponibili o utilizzate dal gatekeeper, dalle sue filiali o dai suoi partner” e deve permettere “un’interazione funzionale con questi servizi, pur garantendo un alto livello di sicurezza e di protezione dei dati personali”.
DMA, Europa forte sulle norme ma è enorme la nostra “sudditanza tecnologica”
Le reazioni e le perplessità dei Gatekeeper
Will Cathcart, CEO di WhatsApp e Meta, sul suo profilo Twitter ha scritto senza mezzi termini che “l’interoperabilità può avere dei vantaggi, ma se non viene eseguita con attenzione potrebbe causare un tragico indebolimento della sicurezza e della privacy in Europa”. Come ha poi ulteriormente spiegato, il suo timore è che tutto quanto sia stato fatto in termini di sicurezza venga “mandato all’aria” senza che il DMA apporti reali vantaggi.
Cathcart ha sollevato perplessità anche riguardo alla privacy degli utenti. Attualmente, WhatsApp è in grado di limitare fortemente i messaggi di spam, e le possibilità per i suoi utenti di cadere preda del cosiddetto phishing.
Haven't seen the details of this yet, but I hope they are extremely thoughtful. Interoperability can have benefits, but if it's not done carefully this could cause a tragic weakening of security and privacy in Europe. https://t.co/mEWgQr3D2Z
— Will Cathcart (@wcathcart) March 25, 2022
Anche le fake news e gli incitamenti all’odio sono fortemente limitati da WhatsApp che è in grado di individuare questo tipo di messaggi, e bloccarli. Le altre piattaforme sarebbero in grado di fare altrettanto? La crittografia end-to-end, garantisce la privacy e la sicurezza a milioni di utenti, ma se una parte esterna subentrasse, sarebbero ancora garantite?
Criticando l’operato dei legislatori europei, Cathcart ha anche detto “da quello che ho potuto vedere, gli esperti non sono stati consultati”.
Apple al momento non ha rilasciato alcun commento specifico sulla norma dell’interoperabilità, ma attraverso il suo portavoce Fred Sainz ha detto “siamo preoccupati dal fatto che alcune disposizioni del DMA creeranno vulnerabilità di privacy e sicurezza non necessarie per i nostri utenti”.
Anche Google, da parte sua, non ha rilasciato commenti sull’interoperabilità, ma ha affermato che “sebbene sosteniamo molte delle ambizioni del DMA in merito alla scelta dei consumatori e all’interoperabilità, siamo preoccupati che alcune di queste regole possano ridurre l’innovazione e la scelta a disposizione degli europei”.
Accordo dell’UE sul Digital Markets Act: perché è notizia importante
I timori degli esperti su crittografia e dma
Molti sono gli esperti che ritengono che l’applicazione della norma sull’interoperabilità, così come è contenuta nel DMA, sia impossibile da applicarsi. La motivazione alla base delle critiche è che la crittografia end-to-end, oggi offerta dalle piattaforme di messaggistica, dovrebbe essere fortemente indebolita per permettere l’interoperabilità voluta dal DMA, e ciò renderebbe molto meno sicure ed esposte le conversazioni degli utenti.
Steven Bellovin, acclamato ricercatore che si occupa di sicurezza informatica e professore di informatica alla Columbia University, uno dei più affermati crittografi del mondo, ha affermato che a oggi non esistono soluzioni semplici tali da conciliare sicurezza e interoperabilità dei servizi di messaggistica crittografati. Per poter conciliare forme di crittografia “differenti”, dice, l’unica strategia è che una delle due cambi la sua architettura.
Nadim Kobeissi, esperto di crittografia, noto per aver creato l’app di chat desktop crittografata E2E open source Cryptocat e la startup Capsule Social, una piattaforma editoriale decentralizzata, ha affermato che “è molto probabile che si verifichi un grave peggioramento delle tecniche crittografiche per accogliere questa proposta”.
Alex Stamos, ex capo della sicurezza informatica di Facebook e oggi alla Stanford Internet Observatory ha detto: “Scrivere la legge per dire ‘Dovresti consentire l’interoperabilità totale senza creare rischi per la privacy o la sicurezza’ è come ordinare ai medici di curare il cancro”.
Esistono però anche voci fuori dal coro. Matrix, una organizzazione non-profit che sta sviluppando uno standard open source per la crittografia, ha pubblicato diversi post nel proprio blog in cui esprime apprezzamenti per l’introduzione del DMA.
Esistono soluzioni?
La crittografia end-to-end (letteralmente, “da un estremo all’altro”), consente di criptare il contenuto di un messaggio dal dispositivo di partenza e decriptarlo in quello di destinazione, salvaguardando la segretezza del messaggio: solo le persone che stanno comunicando sono in grado di leggere il messaggio, perchè agli intermediari è impedito l’accesso alle chiavi di cifratura.
Certamente, sarebbe possibile esporre il contenuto costruendo una “back door” (o “porta di servizio”) ma questo esporrebbe i dati degli utenti anche a eventuali hacker e malintenzionati. E la crittografia end-to-end per essere considerata sicura deve essere esente da back door.
Chi ci garantisce che sia realmente così?
Sono molti i governi che da tempo lamentano il fatto di non poter accedere alle potenziali conversazioni di terroristi, trafficanti, pedofili e criminali di vario genere e che in vario modo vorrebbero fortemente limitare l’utilizzo della crittografia end-to-end.
Pensiamo per esempio agli Stati Uniti, dove il Cloud Act (Clarifying Lawful Overseas Use of Data Act) consente a un qualsiasi giudice di accedere a dati considerati rilevanti anche quando appartengano a un cittadino straniero e il FISA (Foreign Intelligence Surveillance Act), dove nella sezione 702 autorizza, senza che sia necessario il benestare di un giudice, la raccolta di qualunque informazione transiti su dispositivi digitali di cittadini non USA da parte della agenzie federali americane. Oppure all’India, che nel 2021, ha cominciato a lavorare a una legge che, se applicata, obbligherebbe i gestori delle app di messaggistica a tracciare tutti i messaggi che vengono scambiati e ad allegare “impronte digitali” associate ai messaggi per identificare gli utenti.
Inizialmente anche l’Unione Europea sembrava perseguire questo approccio, ma nell’ultima versione del Digital Service Act (DSA), la “legge sui servizi digitali”, una proposta – in corso di definizione – parallela per regolamentare le piattaforme online, ha riconosciuto l’importanza della crittografia end-to-end per prevenire la sicurezza e la privacy degli utenti, portando a contemperare nel DMA crittografia e interoperabilità.
Ma è possibile garantire l’interoperabilità e la sicurezza delle comunicazioni?
Sembrano due le possibili soluzioni per consentire alla crittografia di funzionare tra piattaforme di messaggistica di aziende diverse.
La prima prevede che i gatekeeper permettano l’accesso alle APIs (Application Programming Interfaces o “Interfacce di Programmazione”) collegate ai loro servizi di messaggistica. Come dice la parola stessa, le APIs sono un insieme di interfacce, funzioni, procedure che possono venire invocate tra sistemi diversi e ne permettono la comunicazione. Applicata alla messaggistica però, tale strategia, insoddisfacente per molti, richiederebbe che i messaggi scambiati tra due piattaforme con schemi di crittografia differenti (e incompatibili) siano decrittografati e ricrittografati durante il passaggio, interrompendo quindi il processo della crittografia end-to-end e creando punti di vulnerabilità che potrebbero essere intercettati da un cybercriminale.
La seconda, prevede l’implementazione di uno standard di crittografia universale. In particolare, i sostenitori dell’interoperabilità, affermano che tutte le aziende dovrebbero adottare le stesse soluzioni per quanto riguarda la crittografia.
Un esempio in questo senso può essere quello seguito da Signal, l’app di messaggistica open source considerata alternativa a WhatsApp o Telegram, che da tempo utilizza l’approccio di “Diffie-Hellman”: inventato nel 1976, è un protocollo crittografico che consente a due entità di stabilire una chiave condivisa e segreta utilizzando un canale insicuro (ad esempio pubblico) di comunicazione, senza che le due parti si conoscano o si siano precedentemente scambiate informazioni.
Sebbene questo tipo di approccio sia vulnerabile all’attacco “Man in the middle”, mediante il quale un terzo può frapporsi tra i due interlocutori, falsificare le chiavi pubbliche ed ingannare le due parti, è possibile aggiungere allo scambio di chiavi una fase di autenticazione oppure certificare la bontà delle chiavi tramite un algoritmo o una Autorità Certificativa (Certification Authority), in modo da limitare l’eventualità di questo tipo di attacco. L’approccio “Diffie-Hellman” si è rivelato robusto ed è alla base di molti sistemi crittografici come il TLS (Transport Layer Security), ovvero la crittografia della comunicazione tra applicazioni Web e server.
Quindi implementare l’approccio di Diffie-Hellman o altri equivalenti più recenti, come l’Extensible Messaging and Presence Protocol (Xmpp) o il protocollo Matrix, renderebbe tecnicamente possibile per piattaforme differenti scambiarsi messaggi mantenendo la segretezza delle informazioni, ma i relativi costi sia in termini di risorse che di tempi sarebbero significativi e pertanto sussiste il rischio che nel passaggio all’interoperabilità si faccia ricorso a shortcuts che potrebbero compromettere la sicurezza e la privacy delle comunicazioni; di qui i timori, sopra menzionati, degli esperti.
Conclusioni
Non si tratta, pertanto, di un problema tecnologico, ma, con le soluzioni oggi disponibili, di un problema di business, sia perchè modificare l’approccio alla crittografie e alle funzionalità nelle app di messaggistica potrebbe richiedere anni ed enormi costi in termini economici e di risorse, sia perchè l’implementazione dell’interoperabilità non sembra destinata a portare benefici alle grandi Big Tech, i gatekeeper individuati dal DMA, ma anzi potrebbe minare la loro posizione di privilegio.
Sarà sufficiente a bilanciare il rapporto costi/ricavi dei gatekeeper il timore di incorrere in pesanti sanzioni, che come annunciato, potranno arrivare fino al 10% del fatturato e fino al 20% in caso di violazione ripetute?
