, , , , , , , ,

Il diritto di accesso alla Rete nella giurisprudenza della Corte di Giustizia fra interessi economici e libertà fondamentali. Il caso Telenor Nemetzi.

di Giacomo Conti

Il diritto di accesso alla Rete si estrinseca come uno dei diritti fondamentali del nostro corpo elettronico.
A differenza dei diritti naturali del corpo materiale frutto della tradizione illuministica, quelli del corpo elettronico, si esplicano in una forma mediata in quanto – per esplicarsi – necessitano di servizi che vengono erogate da imprese e società private: i cosiddetti access provider.
L’uomo digitale si nutre, infatti, di dati e informazioni e ha un vero e proprio diritto a che i fornitori del servizio non limitino i suoi diritti naturali o, meglio, naturalmente discendenti dall’evoluzione tecnologica.
I pericoli di intese e cartelle fra questi player è particolarmente pericoloso in quanto può incidere o limitare il diritto di accesso alla Rete e ad un Internet aperta dell’uomo digitale.
Per questa ragione, il Reg. UE 2015/ 2120 che stabilisce misure riguardanti l’accesso a un’Internet aperta inserisce una disciplina correttiva agli accordi fra access provider che non devono in alcun modo limitare arbitrariamente questo diritto fondamentale della personalità elettronica.
L’art. 3 del Regolamento citato vieta agli accordi tra i fornitori di servizi di accesso alla Rete e gli utenti finali che incidono sulle condizioni e sulle caratteristiche commerciali e tecniche dei servizi di accesso a Internet quali prezzo, volumi di dati o velocità, e le pratiche commerciali adottate dai fornitori di servizi di accesso a Internet atte a limitare l’esercizio dei diritti degli utenti finali di diritto di accedere a informazioni e contenuti e di diffonderli, nonché di utilizzare e fornire applicazioni e servizi, e utilizzare apparecchiature terminali di loro scelta. La neutralità della Rete deve essere salvaguardata indipendentemente dalla sede dell’utente finale o del fornitore o dalla localizzazione, dall’origine o dalla destinazione delle informazioni, dei contenuti, delle applicazioni o del servizio, tramite il servizio di accesso a Internet.
La Corte di Giustizia dell’Unione Europea, nella recente sentenza in data 15 settembre 2020 avente ad oggetto le cause riunite C-807/18 e C-39/19Telenor Magyarország Zrt./ Nemzeti Média-és Hírközlési Hatóság Elnöke ha affrontato specificatamente il tema.
Il caso riguardava la conclusione di accordi mediante i quali gli utenti del servizio sottoscrivevano pacchetti di servizi dove a fronte di una «tariffa zero», venivano previste dai fornitori di servizi misure di blocco o rallentamento del traffico riguardante l’utilizzo di servizi e di applicazioni diverse dai servizi e dalle applicazioni specifici soggetti a tale «tariffa zero».
La Corte riteneva suddetto accordo idoneo a limitare l’esercizio dei diritti degli utenti finali in quanto le misure di rallentamento o di blocco del traffico sono basate non su requisiti di qualità tecnica del servizio, ma su considerazioni di ordine commerciale stabilite arbitrariamente dal fornitore del servizio.
Per questa ragione, la Corte riteneva violato l’art. 3 del Reg. UE 2015/2120 e l’accordo frutto di una prassi commerciale illegittima arrivando a fornire un importante indirizzo interpretativo a cui i giudizi nazionali si dovranno adeguare.

/da
, , , , ,

MySQLInjection: gestione dei rischi e corretta configurazione dei form nelle pagine html

di Jacopo Sabbadini

Uno degli attacchi più semplici che si possono portare contro un database è sicuramente il cosiddetto SQLInjection, che consiste nel utilizzare il linguaggio SQL per accedere ai dati di un database.
Facciamo un attimo di chiarezza su cosa sia un form e come funzioni a livello di backend del database; in poche parole, il form è l’interfaccia che vede l’utente, in cui inserisce i propri dati (ad esempio nome, cognome, data di nascita, password e via discorrendo) al momento della registrazione su un sito, o al momento del login sul sito stesso. Questi dati inseriti dall’utente vengono trattati dal database ed inseriti all’interno dello stesso, utilizzando la sintassi propria del database in esame (nel nostro caso SQL per un database scritto in MySQL).
Appare immediatamente evidente un problema: come fa la macchina a distinguere nel momento in cui viene digitata una stringa nel campo del form, tra una stringa che deve inserire all’interno del database (ad esempio il nome) e un comando nel proprio linguaggio?
Qui è necessaria la corretta configurazione del form, vi sono vari tools che permettono di filtrare quanto viene scritto dall’utente, in modo tale che qualsiasi cosa scriva non verrà mai interpretata come un comando.
Se questa precauzione però non viene presa, si rende l’intero database vulnerabile ad un injection, cioè l’inserimento dall’esterno di un comando.
A titolo dimostrativo useremo una macchina virtuale appositamente costruita con questa vulnerabilità.
Iniziamo con registrare un nuovo utente, lo chiameremo Pippo, password Topolino, signature Paperino

 

Una volta creato il nostro nuovo utente, vediamo come normalmente risponde il database ad una query normale, cioè inserendo i corretti parametri per username e password

 

Come si può vedere, nulla di strano, mi viene restituito a video un riepilogo delle informazioni inserite.
Vediamo però cosa succede se cambiamo leggermente il nostro username, e aggiungiamo un ‘, cioè un apice, alla fine del nome. Se il form fosse correttamente settato, dovrebbe semplicemente restituirci un errore in quanto non esiste nessun utente con lo username Pippo’.

 

 

In realtà ci viene restituita una videata in cui ci dice che il codice che abbiamo inserito contiene un errore, nello specifico: Query: SELECT * FROM accounts WHERE username=’Pippo ” AND password=” (0) [Exception]
Questo ci fa capire che in realtà il form non era correttamente configurato, e il database va in errore in quanto il comando che gli è stato dato non era sintatticamente corretto.
A questo punto, possiamo provare a passare un comando che riconosca come sintatticamente corretto, ad esempio dicendogli di cercare tutti i campi in cui il nome utente sia Pippo, oppure di mostrare a video tutti i campi in cui una condizione che sappiamo essere sempre vera (nell’es 1=1) appaia; questa condizione sarà ovviamente vera per ogni riga del database, e questo è il risultato:

 

Andando in errore il database, stampa a video TUTTE le linee al suo interno, comprensive di username e password. Questa tecnica può essere utilizzata per carpire non solo informazioni dalle tabelle di un database, ma anche per portare ulteriori attacchi al server stesso; la prima linea che ci viene stampata è infatti un utente con username admin e password admin; si potrebbe provare a connettersi direttamente al server usando queste credenziali, per prenderne il controllo, e per iniziare un’escalation di permessi.

Per concludere quindi, sempre controllare che le interfacce utente siano correttamente settate, altrimenti il backend più sicuro al mondo può essere bypassato con estrema semplicità.

/da
, , , , , ,

Il terzo pilastro del mercato unico digitale: il Geoblocking Regulation e il divieto di discriminazioni geografiche

di Giacomo Conti e Anna Lucia Calò

Il GDPR è, indubbiamente, un pilastro indispensabile sia per la tutela dei nostri diritti e libertà fondamentali sia per la creazione di un mercato unico digitale: nell’era dell’informazione, per costruire la fiducia dei consumatori nel mercato online, è indispensabile garantire che i dati personali circolino liberamente e siano adeguatamente protetti. Pertanto, il GDPR si erge a buon diritto come il primo pilastro del mercato unico digitale e, forse, il più noto e conosciuto ai più.

Al pari del GDPR, il Regolamento (UE) n.1807/18, conosciuto come Free Flow Data Regulation o FFD Regulation, mira a garantire la libera circolazione dei dati diversi dai dati personali all’interno dell’Unione e, allo scopo, detta disposizioni relative agli obblighi di localizzazione, alla messa a disposizione dei dati alle autorità competenti e alla portabilità dei dati non personali per gli utenti professionali.

La norma che si pone come imprescindibile completamento del GDPR trova, pertanto, il suo naturale campo di applicazione nell’ambito dei più disparati servizi che vengono erogati online: dall’archiviazione, Infrastructure-as-a-Service – IaaS, al trattamento di dati su piattaforme, Platform-as-a-Service – PaaS, o in applicazioni, Software-as-a-Service – SaaS (Cons. 17 Reg. 2018/1807).  Al pari del GDPR, il Free Flow Data Regulation, si pone come ulteriore pilastro del mercato unico digitale.

Il combinato disposto dei due regolamenti, per quanto indispensabile e imprescindibile, non è sufficiente a completare la realizzazione del mercato unico digitale e, soprattutto, a contrastare adeguatamente le nuove forme di discriminazione geografiche che si declinano in un mercato digitalizzato: un imprenditore che opera in ambito digitale può, infatti, arrivare a discriminare i clienti sulla base della provenienza geografica, localizzandone ad esempio l’indirizzo IP, oppure arrivare a reindirizzarli, in via automatica, a una distinta e diversa interfaccia rispetto a quella iniziale, che ovviamente presenta delle offerte diverse.

Questa prassi prende il nome di geoblocking: neologismo basato su una crasi del termine gèo di origine greca, che significa terra, globo o superficie terrestre e dell’inglese blocking, dal verbo inglese to block, che vuol dire bloccare, impedire o ostruire.

Nell’era digitale, una parte sempre crescente di attività economiche avviene online all’interno dei servizi che il Web offre e che tutti noi conosciamo e usiamo quotidianamente. Pertanto, il Mercato Unico inteso come spazio economico e geografico aperto e senza frontiere interne, grazie al quale merci, persone, servizi e capitali possono circolare liberamente va riconsiderato nella sua dimensione concettuale e declinazione digitale.

Le barriere digitali poste da molti fornitori di servizi dell’informazione nell’era dell’informazione appaiono altrettanto e forse anche più lesive delle barriere fisiche che gli Stati possono ergere contro la concorrenza straniera erigendo muri e ponendo frontiere.

In questo contesto, di profonda e continua evoluzione sociale e tecnologica, interviene il Regolamento (UE) 2018/302, noto come Geoblocking Regulation, che pone un divieto di discriminazione ingiustificata dei clienti nel commercio online sulla base della provenienza geografic: pietra miliare di questo regolamento è l’introduzione del divieto dei blocchi geografici ingiustificati nell’ambito dell’erogazione di servizi basti sulla Rete.

Il considerando 1 del Geoblocking Regulation evidenzia come, per conseguire il pieno potenziale del mercato interno come spazio l’eliminazione degli ostacoli fisici e materiali non è sufficiente se, nella sostanza, vengono frapposte barriere digitali che ostacolano lo sviluppo del mercato interno.

L’e-commerce transazionale, pur essendo una colonna portante del Mercato Unico, presenta gravi rischi per la tenuta del mercato stesso e, uno dei principali, è rappresentato proprio dai geoblocking. Attraverso questa attività, gli imprenditori possono arrivare a segmentare artificialmente il mercato interno, ostacolando la libera circolazione delle merci e dei servizi, limitando i diritti dei clienti e impedendo loro di beneficiare di una scelta più ampia e di condizioni ottimali.

Il GeoBlocking Regulation, per contrastare questo fenomeno, disciplina compiutamente i seguenti aspetti alla base delle transazioni online:
• accesso alle interfacce online;
• accesso a beni o servizi;
• non discriminazione per motivi legati al pagamento;
• accordi sulle vendite passive;
• assistenza ai consumatori.

Pertanto, chiunque, attivi o gestisca un servizio di e-commerce, non deve rispettare solo il GDPR, ma deve anche garantire il rispetto del GeoBlocking Regulation che, nella sua essenzialità – 11 articoli e 43 considerando – detta una disciplina complessa e articolata.

/da
, , ,

Profilassi e Psicosi, Privacy e Protocolli ai tempi del Coronavirus. Trattamenti di dati illeciti e autocertificazioni, diritti fondamentali e rispetto del GDPR

di Giacomo Conti e Giordano Serrra

“Più contagiosa che la peste, la paura si diffonde in un batter d’occhio”. – Nikolaj Gogol

“Coronavirus”, “Privacy”, ”Tracciamento degli spostamenti”, “droni per la videosorveglianza dei cittadini” “Limitazioni delle libertà fondamentali” and so on…

Quali sono i leit motif dietro a queste affermazioni?

Una scomposizione a fattore comune delle seguenti affermazione sottende quattro elementi fondamentali solo apparentemente scollegati fra di loro: psicosi, profilassi, protocolli e privacy.

Analizziamo, quindi, la relazione fra questi fattori: La stampa ha contribuito a creare un clima generale di ansia e psicosi collettiva inondandoci di dati sul contagio da Coronavirus a mo’ di bollettino di guerra (psicosi), il Governo e le Autorità Locali, come reazione alla psicosi creatasi hanno posto in essere misure di contenimento, più o meno maldestre, per contrastare il fenomeno del contagio aumentando la psicosi (profilassi). In questo contesto critico, hanno proliferato iniziative, pubbliche e private, che hanno inciso sui nostri spostamenti e su altri nostri diritti fondamentali compresa, la privacy intesa nel suo senso più puro: ossia il nostro diritto a non vedere invasa la nostra sfera privata da indebite ingerenze pubbliche e private (right to be left alone).

Tutti noi dovremmo sacrificare, del resto, una parte dei nostri diritti fondamentali a favore del bene collettivo e comune e per evitare la propagazione del contagio.

Tuttavia, sorge spontaneo chiedersi se davvero le iniziative pubbliche e private che sono proliferate limitando i nostri diritti fondamentali siano funzionali a raggiungere il bene comune oppure se le profilassi “fai da te” siano frutto di una poco funzionale psicosi che limita inutilmente i nostri diritti e contribuisce ad aumentare il clima di psicosi generale.

Molte Pubbliche Amministrazioni e Imprese private hanno elaborato spontaneamente, a mo’ di anticorpi al Covid-19, moduli autocertificazione attraverso i quali raccolgono numerosi dati sullo stato di salute dei propri dipendenti, dati relativi agli spostamenti dove viene richiesto di dichiarare di non avere visitato le cosiddette “zone rosse”, dati relativi alla situazione familiare dove si richiede di non aver avuto contatto con coloro che vivono o sono stati in tali zone e, da ultimo, di non aver registrato una temperatura corporea superiore ai 37,2 C° nelle ultime due settimane.

Si pone quindi l’interrogativo se questi “anticorpi” di dubbia utilità e funzionalità che incidono sulla privacy di milioni di persone siano stati elaborati da corrette prassi di profilassi oppure se siano una risposta maldestra al fenomeno di psicosi che si è venuto a creare.

Queste prassi, i cui problemi sono evidenti, hanno richiesto l’intervento istituzionale da parte del Garante della Protezione dei Dati Personali.

L’Autorità ha, in primo luogo, chiarito che il trattamento dati per finalità di prevenzione dalla diffusione del Coronavirus deve essere svolto da soggetti che istituzionalmente esercitano queste funzioni in modo qualificato. In questo senso, l’accertamento e la raccolta di informazioni relative ai sintomi tipici del Coronavirus e alle informazioni sui recenti spostamenti di ogni individuo spettano agli operatori sanitari e al sistema attivato dalla protezione civile, che sono gli organi deputati a garantire il rispetto delle regole di sanità pubblica recentemente adottate.

In secondo luogo, è stato precisato che i datori di lavoro devono astenersi dal raccogliere, a priori e in modo sistematico e generalizzato, anche attraverso specifiche richieste al singolo lavoratore o indagini non consentite, informazioni sulla presenza di eventuali sintomi influenzali del lavoratore e dei suoi contatti più stretti o comunque rientranti nella sfera extra lavorativa. Il tutto, fermo l’obbligo del lavoratore di segnalare al datore di lavoro qualsiasi situazione di pericolo per la salute e la sicurezza sui luoghi di lavoro

Il Garante non ha, però, chiarito il dubbio fondamentale che veniva posto, ossia se anche i datori di lavoro possano trattare per finalità legate alla tutela della salute e sicurezza sul lavoro i dati, anche di carattere particolare, relativi all’infezione di Covid-19.

In questo senso, è venuto in parziale soccorso l’EDPB (European Data Protection Board o Comitato Europeo per la Protezione dei Dati) che ha fornito parziali delucidazioni su questo delicato aspetto.

Andrea Jelinek, l’attuale presidente del Comitato, ha precisato che “Data protection rules (such as GDPR) do not hinder measures taken in the fight against the coronavirus pandemic. However, I would like to underline that, even in these exceptional times, the data controller must ensure the protection of the personal data of the data subjects. Therefore, a number of considerations should be taken into account to guarantee the lawful processing of personal data.” In lingua italiana:“Le norme sulla protezione dei dati (come il GDPR) non ostacolano le misure prese nella lotta contro la pandemia di Coronavirus. Tuttavia, vorrei sottolineare che, in questi tempi eccezionali, il Titolare del trattamento dei dati deve garantire la protezione dei dati personali degli interessati. Pertanto, numerose considerazioni dovrebbero essere assunte per garantire il trattamento legale dei dati personali”.

Una corretta applicazione del GDPR esige, pertanto, una limitazione dei dati personali degli interessati al trattamento, ma questo non si può risolvere in una indiscriminata invasione della sfera personale del dipendente e, pertanto, queste iniziative fai da te devono essere arginate o, meglio, gestite nel rispetto della legalità e del principio di accountability.

Giusta, pertanto, la considerazione del Garante che inibisce le “iniziative autonome che prevedano la raccolta di dati anche sulla salute di utenti e lavoratori che non siano normativamente previste o disposte dagli organi competenti”.

Il Governo, avvertendo l’esigenza di contemperare il diritto alla privacy con quello alla salute dei soggetti interessati, ha adottato il cosiddetto “Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro”, anche passando attraverso le rappresentanze sindacali.

Il Protocollo concede ai datori di lavoro la possibilità di rilevare la temperatura corporea del personale, suggerisce alcuni accorgimenti nelle modalità di raccolta e conservazione dei dati.

Le disposizioni del protocollo invitano, in particolare, stabiliscono che il Titolare deve:

– conservare il dato raccolto non oltre il termine necessario e, comunque, non oltre il tempo giustificato per fare fronte all’emergenza (limitazione del tempo del trattamento),
– fornire immediatamente un’informativa sul trattamento dei dati ad hoc (trasparenza),
– individuare immediatamente il personale da impiegare per la raccolta del dato particolare, a procedere con la sua formazione e ad attuare senza ritardo tutte quelle contromisure idonee a proteggere i dati conservati (misure tecniche e organizzative).

Da ultimo, in caso di allontanamento dell’interessato dal luogo di lavoro per esigenze legate alla tutela della salute, questa delicata operazione deve essere effettuata con estrema delicatezza nel rispetto della dignità umana del dipendente.

A ben vedere, il Protocollo non rappresenta altro che una declinazione dei principi generali del GDPR che vengono declinati per fare fronte all’emergenza Covid-19 e si basa, in particolare, sui principi di accountability e di minimizzazione dei dati raccolti e del tempo della conservazione e di legalità del trattamento.

Fermo il rispetto delle regole imposte dal Protocollo, per rispettare le norme a protezione dei dati personali occorre, rispettare le norme dettate dal GDPR e dal buon senso.

In questo senso, sarà opportuno:

– mappare il trattamento a registro che dovrà essere debitamente aggiornato,

– adottare procedure organizzative adeguate a fronteggiare i rischi per i diritti e per le libertà fondamentali degli interessati che il trattamento dei dati da infezione Covid-19 pone,

– effettuare, verosimilmente, una valutazione di impatto,

– sentire il parere del DPO ove nominato o di un esperto della materia per gestire le criticità derivanti dal trattamento.

In altri termini, nulla di diverso da quanto ci richiedeva, già prima dell’affermarsi dell’emergenza Covid-19, il GDPR che, mai come in questi frangenti, rappresenta un baluardo dei nostri diritti fondamentali.

/da
, , , , , ,

Cookie Law e General Data Protection Regulation. Nell’attesa del Regolamento e-Privacy

di Anna Lucia Calò

Information Society, Personal Data e Cookie o identificativi di altro tipo

Il rapporto tra Cookie Law e General Data Protection Regulation in attesa del Regolamento e-Privacy

La crescita della Information Society è contraddistinta dall’emergere di nuovi servizi di comunicazione elettronica, e i beni di primaria importanza, nella moderna società dell’informazione, sono i dati personali, ovverosia, qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»).
Identificabile è la persona fisica che, può essere individuata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un “identificativo online” o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Le persone fisiche – come evidenziato nel considerando 30 del GDPR – possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, a marcatori temporanei (cookie) o a identificativi di altro tipo.
Questi identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere impiegate per realizzare profili delle persone fisiche e identificarle.

I c.d. cookie, nati come dispositivi semplificativi e agevolativi della navigazione online, sono usati per differenti e molteplici finalità e, nel linguaggio normativo, sovente, sono definiti “marcatori”.
“I cookie – come spiega il Garante per la Protezione dei Dati Personali, nel provvedimento
n. 229 dell´8 maggio 2014 – sono stringhe di testo di piccole dimensioni che i siti visitati dall’utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente. Nel corso della navigazione su un sito, l’utente può ricevere sul suo terminale anche cookie che vengono inviati da siti o da web server diversi (c.d. “terze parti”), sui quali possono risiedere alcuni elementi (quali, ad esempio, immagini, mappe, suoni, specifici link a pagine di altri domini) presenti sul sito che lo stesso sta visitando”.

L’impiego dei cookie è regolamentato dalla Direttiva europea n.58/2002 – nota come Cookie Law o Direttiva e-Privacy – relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche.
Comprendere i motivi soggiacenti il varo di questa direttiva – contenente specifiche e precise guidelines nell’ambito del trattamento dei dati personali con i c.d. mezzi elettronici – non è difficile, e comunque, emergono, distintamente, solo anatomizzando il considerando 5, in cui il legislatore europeo, pone in evidenza che: “nelle reti pubbliche di comunicazione, l’introduzione di nuove tecnologie digitali avanzate pongono esigenze specifiche con riguardo alla tutela dei dati personali e della vita privata degli utenti.”
Non solo, nel medesimo considerando, è specificato molto chiaramente che: “l’accesso alle reti digitali mobili è ormai a disposizione e alla portata di un vasto pubblico. Queste reti digitali hanno grandi capacità e possibilità di trattare i dati personali.”
E, in ultimo, indica che: “il positivo sviluppo transfrontaliero di questi servizi dipende in parte dalla fiducia che essi riscuoteranno presso gli utenti in relazione alla loro capacità di tutelare la loro vita privata”. I servizi di comunicazione elettronica, accessibili al pubblico attraverso Internet, schiudono nuove opportunità agli utenti ma, implicano anche nuovi rischi per i loro dati personali e la loro vita privata, come puntualizzato nel successivo considerando 6 della direttiva n.58/02.

A distanza di anni dall’adozione della Cookie Law, nel 2016 è entrato in vigore un General Data Protection Regulation (n.679/16), notoriamente celebre con l’acronimo GDPR, che ha rinnovato e riformulato, totalmente, la normativa in materia di data protection. Quindi, allo stato attuale, come si pone, la direttiva e-privacy rispetto al GDPR?

Dunque, per il momento, è la Direttiva e-Privacy 2002/58/CE – modificata nel 2009 dalla Direttiva 136/CE – a regolamentare e disciplinare l’uso dei cookie e il consenso al loro utilizzo, e questo sia prima del GDPR sia dopo la sua piena attuazione – 25/5/18 – e fino al momento in cui non sarà adottato il nuovo Regolamento e-Privacy che, sostituirà l’attuale direttiva che, non è stata assolutamente abrogata o modificata dal GDPR.
Non a caso, l’art. 95 del GDPR (Rapporto con la direttiva 2002/58/CE) precisa che, il GDPR non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell’Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla direttiva 2002/58/CE.
La Cookie Law, precisa ed integra il GDPR, al fine di tutelare la vita privata e la riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche, dato che, le strumentazioni terminali degli utenti di reti di comunicazione elettronica e ogni informazione memorizzata in tali apparecchiature, fanno parte della sfera privata dell’utente.

Gli obblighi della normativa europea in materia cookie sono stati recepiti in Italia, con il d.lgs.69/12, che ha riformulato l’art. 122 (Informazioni raccolte nei riguardi dell’contraente o dell’utente) del d.lgs. 196/2003, e, l’unica modifica apportata all’art.122, con il d.lgs.101/18, consiste nella soppressione del riferimento “all’articolo 13, comma 3 del d.lgs.196/03″.
Per la corretta regolamentazione di tali dispositivi, è necessario distinguerli sulla base delle finalità perseguite da chi li utilizza e, in tale direzione si è mosso il legislatore italiano, che, ha ricondotto l’obbligo di acquisire, il consenso preventivo e informato degli utenti on-line, all’installazione di cookie utilizzati per finalità diverse da quelle “meramente tecniche”.

Al riguardo – come indica il Garante nel provv.
n. 229/14 – si individuano due macro-categorie: cookie tecnici e cookie di profilazione. In breve, per l’installazione dei cookie tecnici, non è richiesto il consenso degli utenti ma è necessario fornire l’informativa ex art. 13 del GDPR, mentre, i c.d. cookie di profilazione, possono essere installati sul terminale dell’utente, esclusivamente se questo abbia manifestato il proprio consenso, dopo essere stato informato con le c.d. modalità semplificate, indicate dal Garante nel medesimo provvedimento, relativo, infatti, all’individuazione delle modalità semplificate per l´informativa e l´acquisizione del consenso per l´uso dei cookie.

Nello specifico, l’art.122, comma 1, del d.lgs.196/03, dispone che, l’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate (cookie di profilazione) sono consentiti – unicamente – a condizione che il contraente o l’utente abbia espresso il proprio consenso* dopo essere stato informato con modalità semplificate e, ai fini dell’espressione del consenso ex art.122, possono essere utilizzate specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l’utente.
Gli obblighi di informativa e consenso per l´uso dei cookie, incombono sul titolare del sito web che installa i cookie di profilazione, mentre, per i c.d. cookie di terze parti – installati tramite il sito – gli obblighi di informativa e consenso, gravano sulle terze parti, ma il titolare del sito – intermediario tecnico tra le terze parti e gli utenti – è tenuto a inserire nell´informativa “estesa” i link aggiornati alle informative e ai moduli di consenso delle terze parti stesse, come indica e specifica il Garante nel provvedimento n. 229 dell´8 maggio 2014.

Ciò – continua l’art.122, comma 1 del d.lgs.196/03 – non vieta l’eventuale archiviazione tecnica o l’accesso alle informazioni già archiviate se finalizzati unicamente ad effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dal contraente o dall’utente a erogare tale servizio (cookie tecnici).
A questo riguardo, è opportuno precisare che, le disposizioni dettate in tema di informativa e consenso per i cookie tecnici, valgono anche per i c.d. cookie analytics, solo nelle ipotesi in cui, questi ultimi sono impiegati a “fini di ottimizzazione del sito direttamente dal titolare del sito stesso, che potrà raccogliere informazioni in forma aggregata sul numero degli utenti e su come questi visitano il sito” (cfr. prov.n.229/14 del Garante).
Salvo quanto previsto dal comma 1 dell’art.122, con riferimento ai cookie tecnici e di profilazione, è – comunque – vietato l’uso di una rete di comunicazione elettronica per accedere a informazioni archiviate nell’apparecchio terminale di un contraente o di un utente, per archiviare informazioni o per monitorare le operazioni dell’utente.

L’art. 122 del d.lgs. 196/2003, trova applicazione per tutti i siti web che installano cookie sui terminali degli utenti, utilizzando per il trattamento, strumenti siti sul territorio dello Stato, a prescindere dalla presenza di una sede nel territorio.
Le violazioni delle disposizioni di cui all’art.122, sono soggette alla sanzione amministrativa di cui all’articolo 83, paragrafo 5, del GDPR, come previsto dall’art. 166 – Criteri di applicazione delle sanzioni amministrative pecuniarie e procedimento per l’adozione dei provvedimenti correttivi e sanzionatori – del Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) n. 2016/679.

Come noto, l’applicazione della Direttiva UE n.58/02 – relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche – negli Stati UE non è unitaria, tuttavia, la Cookie Law o Direttiva e-Privacy, come anticipato, è destinata ad essere sostituita dal Regolamento e-Privacy, attualmente ancora in fase di esame, che, a differenza della direttiva, non necessiterà di un provvedimento di recepimento interno da parte di ogni singolo Stato UE, ma esattamente come la direttiva che andrà a sostituire, opererà di concerto con il GDPR, e, rientra nel novero delle misure dirette alla realizzazione del “Digital Single Market”, poiché mira ad assicurare la funzionalità e la sicurezza dei servizi digitali, quindi, una migliore protezione della sfera privata e anche nuove opportunità economiche.

*Per chi volesse esaminare in modo approfondito la tematica relativa alla dichiarazione di consenso con riferimento ai cookie, mi riporto al testo della Sentenza della Corte – Grande Sezione – del 1° ottobre 2019 (Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV contro Planet49 GmbH.
Rinvio pregiudiziale – Direttiva 95/46/CE – Direttiva 2002/58/CE – Regolamento (UE) 2016/679 – Trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche – Cookie – Nozione di consenso dell’interessato – Dichiarazione di consenso mediante una casella di spunta preselezionata. Causa C-673/17) reperibile al seguente url: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:62017CJ0673.

/da
,

BLOCKCHAIN, CRIPTOSCAM E PONZIE SCHEME: IL CASO ONECOIN

di Giacomo Conti

Il caso

“La blockchain è il futuro e cambierà il mondo”, “Tutti nel futuro useremo criptovalute”, “Se non investi in criptovalute sei uno sprovveduto ”.
Chi non ha mai sentito parlare di criptovalute, blockchain, di BitCoin, Ethereum alzi pure la mano.

Si faccia avanti, invece, chi ha sentito parlare del caso OneCoin, offerta dai promotori come il nuovo BitCoin e la moneta elettronica del futuro.
Questo caso dovrebbe mettere in guardia ogni investitore che decida, più o meno consapevolmente, di investire i propri in vere e proprie truffe.

Ci tengo a precisare come non ritenga le criptomonete, in sé, delle truffe; tuttavia, molti utilizzano criptomonete, reali o inesistenti, per truffare la gente e questo dato è innegabile.
Mi sforzerò, per esigenza di sintesi di riassumere il caso in breve precisando che i fatti sono stati istruiti dall’Autorità Garante della Concorrenza e del Mercato che ha comminato significative sanzioni per le società che vendevano questa criptomoneta disponendo la cessazione delle attività di vendita.

Lo scopo di queste società era (ed è ancora) quello di promuovere l’adesione al programma di acquisto e di diffusione della “criptomoneta” OneCoin.
La società prometteva, infatti, falsamente ingenti guadagni: ad esempio, l’acquisto del pacchetto da € 27.530 avrebbe consentito di ottenere un controvalore di € 3.000.000 dopo solo due anni dall’adesione al programma!
Addirittura, secondo i promotori di OneCOin, la criptomoneta dovrebbe performare meglio di Amazon, la cui azione era quotata nel 2015 intorno ai Trecento Dollari per arrivare a raggiungere, a distanza di cinque anni, un valore di poco superiore a 1800 dollari.

Per attirare nuovi investitori, i promotori premiavano i membri con dei bonus, che costituivano, in realtà, l’unica, effettiva e reale remunerazione del programma derivante dall’acquisto della criptomoneta.
L’adesione al programma richiedeva, infatti, l’acquisto necessario di un kit di formazione abbinato ad una certa quantità di “moneta” o tokens.

Lo schema piramidale realizzato prevedeva, infatti una fee d’ingresso, da pagarsi in Euro, Dollari o altra moneta reale, necessaria per entrare nel sistema e per convincere altri consumatori della bontà del prodotto e un’attività di indottrinamento degli associati attraverso i pacchetti di formazione.
Il sistema di bonus prevedeva, in questo senso, un bonus diretto per l’adesione di ogni nuovo membro che investe in OneCoin, un network bonus per la creazione di una rete di vendita propria, un matching bonus per chi, in possesso del pacchetto “Trader”, riesca ad avere al primo livello della rete altri due membri che acquistino il suo stesso kit e, infine, altre provvigioni collegate alla grandezza della “piramide” costruita e al volume di vendite effettuate individualmente, erogate su base discrezionale dalla società promotrice per i vertici più in alto dello schema piramidale.
I promotori enfatizzavano, infatti, la circostanza che “OneCoin è un investimento dagli alti rendimenti” e che il suo andamento “sarà uguale al Bitcoin non appena la moneta sarà attiva”, senza tuttavia fornire dettagli circa l’algoritmo su cui si sarebbe dovuta basare la sedicente criptomoneta e l’effettivo funzionamento del processo di mining.
OneLife e gli altri professionisti promuovevano OneCoin sulla base della promessa di incremento di valore correlata al semplice trascorrere del tempo, senza che l’aderente dovesse svolgere alcuna attività.

Come nei più classici dei Ponzie Scheme, le società non fornivano alcuna spiegazione dei meccanismi che porterebbero alla crescita del valore e non ne chiarivano il reale significato, omettendo scientemente di indicare quali siano le ragioni su cui basasse la loro previsione così ottimistica posto che i sistemi di generazione della criptomoneta erano inesistenti.

Infatti, durante l’istruttoria, l’Autorità Garante accertava che la criptomoneta OneCoin, di cui non è stato possibile verificare l’esistenza e la consistenza, era un pretesto per un sistema che aveva esclusivamente come obbiettivo l’inserimento di nuovi consumatori che erano l’unico mezzo di sostentamento.
Dopo avere analizzato i fatti, possiamo trarre le seguenti lezioni per operare scelte oculate e consapevoli quando decidiamo di investire in criptomonete sulla scorta dell’entusiasmo o con poche informazioni a nostra disposizione.


E la morale della vicenda? Analizziamo tre secoli di morale raccontata da fiabe e da fatti storici

In primo luogo, non esistono guadagni facili e chi ce li promette è, molto probabilmente, in mala fede o ci sta truffando.
Sin dalla scuola elementare ci insegnano la storia di Pinocchio e del Gatto e della Volpe che invitano l’ingenuo burattino a seminare i suoi zecchini d’oro guadagnati col duro lavoro per poi sottrarglieli nel sonno.
La storia venne scritta da Carlo Collodi a sul finire dell’ottocento e, seppure rivolta a bambini, aveva un significativo messaggio non solo morale, ma anche pratico che si può riassumere, senza banalizzare eccessivamente la storia in un: “Diffidate dal Gatto e la Volpe e tenetevi stretti i vostri zecchini d’oro guadagnati col sudore e con la fatica”.

In secondo luogo, evitiamo di farci abbindolare da parole altisonanti, come blockchain, criptovalute, innovazioni e futuro e tentiamo di investire su cose di cui riusciamo a comprendere, più o meno approfonditamente, il funzionamento.
Già nel secolo scorso Charles Ponzie proponeva, infatti, mirabolanti guadagni da investimenti offshore e da operazioni di alta finanza a investitori non istituzionali e non formati.
Impariamo anche questa lezione oltre a quelle che il Secolo Breve ci ha insegnato e che abbiamo già colto.

Tertium, se alcune persone che ci vendono cose che non riusciamo a capire ci propongono anche attività di formazione è altamente probabile che queste vogliano inserirci in un piano di indottrinamento per fidelizzarci al loro programma e per convincerci a introdurre nuovi membri.
Questo è un processo realizzato comunemente da sette e da fanatici e teso a obnubilare il nostro senso critico che, molte volte, è l’unica cosa che ci può salvare.
Informiamoci bene, anche attraverso Internet e con fonti affidabili a cosa andiamo incontro.

Da ultimo, chi ci promette guadagni semplicemente per coinvolgere altre persone nei suoi schemi è inserito in uno schema piramidale e, se vogliamo davvero bene a chi intendiamo coinvolgere è meglio che ci informiamo bene sull’attività di chi ci ha coinvolto, sperabilmente, prima di essere già indottrinati.

Per chi volesse approfondire ulteriormente il tema, mi riporto al testo del provvedimento dell’AGCM è reperibile al seguente url: https://www.agcm.it/dotcmsDOC/allegati-news/PS10550_scorrsanz.pdf.

/da
, , , ,

PCT e software gestionali. Quali alternative open source a Consolle Avvocato?

di Guglielmo Marchelli

La graduale introduzione del processo civile telematico, fino alla sua definitiva obbligatorietà a decorrere dal 31/12/2014 per tutti i Tribunali e 30/06/2015 per le Corti d’Appello, ha imposto agli operatori del settore l’adozione di specifici programmi per elaboratore, onde effettuare il deposito e l’estrazione, presso gli uffici competenti, degli atti giudiziari in formato elettronico.
Il sistema prevede la creazione di una cd. “busta telematica”, ovvero, di un archivio (*.enc) contenente gli atti (firmati digitalmente dal professionista) che viene crittografato con la chiave pubblica dell’ufficio giudiziario di destinazione ed inviato a mezzo PEC dall’indirizzo mittente del professionista abilitato.
É altresì previsto un sistema di consultazione dei fascicoli di causa da parte del professionista incaricato, ma anche dal cittadino o del soggetto “parte” del giudizio civile, attraverso appositi “Punti di Accesso” che prevedono un sistema di autenticazione basato su certificato rilasciato da appositi certificatori accreditati, normalmente inserito nel dispositivo di firma elettronica.
Svariate critiche si potrebbero muovere al sistema di deposito telematico anzi descritto.
In effetti, per fare un paragone con il passato, sarebbe come dire che l’avvocato (o il CTU), per depositare i propri atti, dovesse ogni volta spedire al Tribunale un plico raccomandato a/r, in luogo di recarsi personalmente in Cancelleria.
È lecito domandarsi se fosse stato più opportuno implementare il deposito degli atti mediante autenticazione sul Punto di Accesso e caricamento diretto dei file (upload) sul server ministeriale, in combinazione con strumenti tecnici di tracciatura (log), tali da consentire la riferibilità del deposito al professionista titolare del dispositivo di autenticazione e l’apposizione della data certa alla busta (es. mediante marcatura temporale della busta).
Si sarebbe potuto così evitare l’inutile consumo di risorse che oggi avviene con lo scambio di messaggi PEC di svariate decine di Megabyte fra professionista e Cancelleria (allo stato il PCT prevede ben 4 ricevute PEC, fra cui la prima che restituisce al mittente l’intero archivio .enc).
Dopo l’introduzione del processo telematico si è potuto assistere al proliferare di programmi per elaboratore più o meno avanzati, sviluppati quasi esclusivamente per il sistemi operativi MS Windows e rilasciati con licenza “closed source”.
Tali applicativi, oltre a non essere multi-piattaforma, vengono distribuiti ad un prezzo molto elevato rispetto alle funzionalità effettivamente offerte.
Molte software house produttrici hanno adottato una strategia commerciale consistente nel “fidelizzare” numerosi utenti mediante la stipula di convenzioni pluriennali con gli ordini professionali, concedendo in un primo momento il proprio software ad un importo “scontato”, per poi alzare notevolmente i prezzi e/o recedere dalla convenzione, onde imporre il proprio prezzo all’utente ormai abituato ad utilizzare quel determinato “prodotto”.
La conservazione e la gestione dei dati mediante questi programmi avviene, molto spesso, mediante formati proprietari sviluppati dalla stessa software house, con evidente rischio per la portabilità dei dati stessi (anche personali), qualora il professionista volesse migrare verso altri applicativi (cd. “lock-in”).
Certamente, non è questa la sede per sindacare la liceità o l’eticità di tali strategie commerciali (Mi limito ad osservare che l’Antitrust nel 2016 ha aperto un’istruttoria tesa ad “accertare eventuali condotte abusive che avrebbero riguardato l’intera filiera dei sistemi informatici per lo svolgimento di servizi che attengono alla funzione giudiziaria”.).
In verità, parliamo di programmi piuttosto semplici che uniscono gli schemi ministeriali per creazione ed invio telematico delle cd. “buste” a mezzo pec, con il servizio gratuito di consultazione dei fascicoli (il tutto eventualmente condito con un gestionale un po’ datato per l’amministrazione delle pratiche dello studio).
Quello che, tuttavia, è bene chiarire, è che tutti i programmi per elaboratore atti ad effettuare il deposito telematico e/o la consultazione dei fascicoli PCT, non erogano, né potrebbero erogare funzionalità e/o servizi diversi e più avanzati rispetto a quelli messi a disposizione ed implementati sul server ministeriale.
In verità, tutte le operazioni essenziali di deposito e di consultazione e di estrazione atti, possono essere effettuate gratuitamente, con la combinazione di applicativi liberamente reperibili sul web.
La consultazione e l’estrazione di “duplicati” e di copie di atti e provvedimenti dai fascicoli telematici possono essere effettuati, previa autenticazione con il proprio certificato, mediante l’accesso diretto al portale del Ministero, pst.giustizia.it (all’interno del quale sono anche elencati numerosi altri punti di accesso privati e pubblici).
Le funzionalità di deposito telematico possono invece essere effettuate mediante l’installazione dell’applicativo SLPCT (www.slpct.it): un software redattore e creatore di buste completamente gratuito, che opera in combinazione con i più diffusi client di posta elettronica.
Detto software -rilasciato con licenza “open source”- viene costantemente aggiornato con l’evolversi degli schemi ministeriali del PCT ed è liberamente installabile su tutti i computer all’interno del proprio studio.
SLPCT è perfettamente multi-piattaforma poiché è sviluppato per i principali S.O. desktop (Ms Windows, Linux, MacOS).
Non possiamo soffermarci sulla differenza fra “freeware” da un lato e “free software” / “open source” dall’altro (nelle loro svariate e sottili distinzioni), tuttavia, vorrei da ultimo sottolineare che le considerazioni che precedono non sono limitate al PCT ma possono essere estese a tutti gli strumenti software dedicati alle professioni legali.

/da
, , , , ,

L’INDIRIZZO IP E’ UN DATO PERSONALE?

di Alessandro Bottonelli

 

Secondo la Commissione Europea, parrebbe di si (V. risposta ufficiale). Eppure chi avesse interpretato che da solo un Indirizzo IP è “dato personale” ha forse preso una abbaglio? Notare che si considerano dati personali tutte le informazioni relative a una persona vivente identificata o identificabile. Anche le varie informazioni che, raccolte insieme, possono portare all’identificazione di una determinata persona costituiscono i dati personali”. Notare il raccolte insieme. Dopo la premessa, segue una lista esemplificativa di possibili dati personali, fra cui spicca: “un indirizzo IP”. Le informazioni della lista d’esempio sono individualmente “dati personali”? O sono tali quando sono informazioni che assemblate fra loro identificano una persona fisica? (v. ancora il raccolte insieme).

La tesi dell’autore è che da solo un indirizzo IP non identifica una persona fisica. Nella migliore delle ipotesi, e non sempre, identifica una macchina o meglio un sistema (PC, Server, Stampante, Disco di Rete, Router, qualunque cosa). Di per sè l’indirizzo IP non ci dice nulla della “persona” (fisica!) dietro al o ai sistemi¦ quando una persona c’è! (v. IoT, domotica ed altro).

Legare un IP pubblico ad un interessato (persona fisica: individuo appartenente alla specie homo-sapiens) richiede molti altri dati da correlare fra loro temporalmente e logicamente. E quasi mai oltre ogni ragionevole dubbio. Molti di questi altri dati sono accessibili solo alle c.d. “LEA” (Law Enforcemente Agencies) a fronte di specifiche circostanze e mandati. Da notare che le “LEA” sono escluse dal campo di applicazione (o “scope“) del GDPR. Anche per un’azienda di qualunque dimensione è difficile legare con assoluta certezza un IP privato delle proprie reti interne ad una persona fisica. Anche quando (quando?) si raccolgano a norma i log.

In sintesi: un indirizzo IP da solo non è, di per sé, dato personale: difficile da esso identificare univocamente una persona fisica. Servono altri dati.

A supporto di questa tesi occorre una spiegazione tecnica: che si spera d’aver reso il più possibile accessibile a tutti. Un indirizzo IP è ¨ la proprietà   di uno o più sistemi. Non è una proprietà dell’interessato che forse sta usando il sistema: se c’è¨ almeno un umano dietro al sistema. Non è neanche una proprietà della o delle macchine che compongono il sistema. E spesso è una proprietà volatile, non fissa nel tempo (i c.d. “ip dinamici”). Per parafrasare: sarebbe come sostenere che la “targa”, e non necessariamente permanente, di una automobile identifichi il suo guidatore. O, peggio, sostenere che la targa, mutevole, di un autobus identifichi tutti i suoi passeggeri (quando più¹ sistemi condivisi da più¹ persone condividono lo stesso IP).Per esemplificare e semplificare, prendete il vostro PC (ma vale per qualunque sistema/macchina: un server, una WebCam, un Televisore, ecc.).

Fig. 1 – la “pila” o “catena” apri in nuova scheda

Fate riferimento alla figura 1. Pensate al PC o qualunque altro oggetto di rete. Da spenta la macchina è un semplice “pezzo di ferro”, senza alcuna proprietà e men che meno un indirizzo IP. Da acceso il pezzo di ferro diventa sistema grazie al Sistema Operativo “OS” installato sulla macchina, non importa quale OS, anzi, una singola macchina potrebbe diventare più sistemi (questione qui non approfondita) che condividono lo stesso indirizzo IP. Fra le tante cose che fa, l’OS inizializza la c.d. Scheda di Rete (NIC o “Network Interface Card“), di qualunque natura essa sia: wifi, cablata o altro. Per i puristi: la NIC ha, anzi avrebbe, una proprietà unica di fabbrica chiamata MAC-Address, peccato che esso sia riprogrammabile dall’OS e serva solo alla rete locale, quindi è un’informazione che va perduta oltre il primo router: quindi la NIC non identifica neanche il pezzo di ferro. Finita di inizializzare la NIC, il Sistema Operativo (forse!) associa alla NIC un “indirizzo IP” della rete locale, ma anche due, tre o dieci indirizzi IP: nulla lo impedisce. Concluso tutto questo processo, il sistema (non la macchina, non i suoi utenti!) ha uno o più indirizzi IP. Che sia stato o meno riprogrammato, il MAC-Address è “informazione perduta”: non arriva ad InterNet. È probabile che il sistema o sistemi della rete locale subiscano il c.d. “NATting”: tutto e tutti si presentano ad internet con un solo indirizzo IP pubblico. Le informazioni MAC-Address e IP address della rete locale sono andate perdute.

In conclusione. Organizzazioni con uno o migliaia di sistemi “dentro” la propria rete locale si presentano ad Internet con un unico indirizzo IP: come si lega quell’indirizzo al o agli umani, se ce ne sono, che stanno usando quell’indirizzo? Come anticipato, si può fare: ma è¨ un esercizio difficile proprio come provare a legare la targa (mutevole!) di un autobus a tutti i suoi passeggeri! O, peggio, tentare di legare il codice radio di una nave traghetto che trasporta più autobus prima agli autobus e poi ai passeggeri di ogni autobus.

In realtà , la parafrasi è imperfetta. È più facile per una “LEA” (Law Enforcement Agency”) legare il codice radio della nave traghetto agli autobus attraverso il manifesto di carico della nave e con qualche altro passaggio arrivare ai passeggeri degli autobus. Il codice radio del traghetto e le targhe degli autobus sono statici. Invece gli indirizzi IP (le targhe e codici radio della parafrasi) sono spesso volatili: rendendo l’esercizio ben più complicato.

/da
, , , ,

Aggiornamenti e vulnerabilità del sistema Linux. Bug, Access Point e Wi-Fi.

di Paolo Montali

 

L’overflow del buffer può essere attivato nei chip Wi-Fi Realtek

Qualsiasi Software, allo stato attuale delle cose, presenta delle vulnerabilità. Per vulnerabilità, si intendono delle debolezze che vengono (spesso) inconsapevolmente create dagli sviluppatori e che possono essere utilizzate da parte di malintenzionati per entrare all’interno di un sistema.

Questo è noto agli sviluppatori, per cui le case di software si preoccupano, nei loro reparti di ricerca e sviluppo, di miigliorare gli aspetti di sicurezza e in generale di andare ad eliminare mano a mano le vulnerabilità e in generale qualsiasi tipo di “bug” che si sia manifestato o sia stato rilevato, in fase di testing, così come a seguito delle segnalazioni da parte dei Clienti/utilizzatori.

I “bug” sono ancora più pericolosi nei sistemi di connettività o di networking, in quanto, vista la loro funzione di apparati per l’interconnessione di computer, possono consentire di aprire delle porte che dovrebbero restare chiuse.

Questo è il motivo per cui è fondamentale tenere aggiornati tutti i sistemi ad ogni livello, dai BIOS o firmware dei Computer e dei vari dispositivi di networking, ai Sistemi Operativi, a tutti gli applicativi utilizzati sui computer, fino agli ERP o sistemi gestionali.

Oggi ci occupiamo del problema del mancato aggiornamento degli apparati Wi-FI con CHIP Realtek.

Le reti Wi-Fi sono una grande comodità, ma spesso ci dimentichiamo che anche questi apparati sono dotati di software per funzionare. A bordo hanno un sistema operativo (Linux) sul quale vengono implementati dei software per l’implementazione degli standard di comunicazione e per la gestione delle regole di connettività.

E’ stato verificato che gli Access Point con CHIP Realtek non patchati possono essere attaccati sfruttando le onde Wi-Fi, causando l’overflow nel buffer del nucleo (kernel) del Sistema Operativo Linux e creando il blocco o il controllo totale da parte dell’attaccante, dei computer connessi.

Il bug rilevato, si trova nel driver RTLWIFI, che viene utilizzato per gestire i chip Wi-Fi Realtek. La vulnerabilità causa un overflow del buffer nel kernel Linux quando una macchina con un chip Wi-Fi Realtek si trova nel raggio di azione di un dispositivo “malevolo”.

E’ stato verificato che come minimo, gli exploit possono causare un arresto anomalo del sistema operativo e possono consentire a un hacker di ottenere il controllo completo del computer connessi. Il difetto risale alla versione 3.10.1 del kernel Linux rilasciato nel 2013.

Purtroppo sappiamo bene che ci sono molti dispositivi che non vengono aggiornati, per cui potremmo avere nei nostri uffici o nelle nostre case dispositivi con questo bug.

‘Il problema è serio’, ha detto ad Ars Nico Waisman, un ingegnere capo della sicurezza presso Github. ‘È una vulnerabilità che, nei sistemi che utilizzano il driver Realtek (RTLWIFI), attiva un overflow in remoto tramite Wi-Fi sul kernel Linux.

La vulnerabilità è stata denominata CVE-2019-17666. Gli sviluppatori hanno proposto una correzione intorno alla metà del mese di Ottobre 2019, che probabilmente verrà incorporata nel kernel del sistema operativo nei prossimi giorni o settimane. Solo dopo ciò la correzione si farà strada in varie distribuzioni Linux.

/da
, , ,

LASCIATE OGNI SPERANZA VOI CHE TRATTATE DATI PERSONALI. CHE COSA DEVE REALMENTE TEMERE CHI NON RISPETTA IL GDPR?

di Giacomo Conti

 

Il GDPR è stata una norma, per molti aspetti, molto mal compresa che ha destato una significativa ed ingiustificata paura e incomprensione fra titolari e responsabili del trattamento nonché fra gli stessi consulenti ed operatori del diritto.

Si è assistito, infatti, a prassi poco virtuose – per usare un eufemismo – fra cui spiccano consulenze difensive finalizzate a creare inutili e vuoti scudi di carta e inutile formazione, nonché terrorismo psicologico operato al solo fine di lucrare sulla paura innestata da questa nuova norma. Molti hanno anche sospeso trattamenti pienamente legittimi per paura di improbabili sanzioni.

Questa paura è frutto, principalmente, di una cattiva interpretazione e, soprattutto, del temutissimo art. 83 GDPR il quale stabilisce che le sanzioni derivanti da una violazione della normativa possono raggiungere cifre molto significative che possono ammontare fino a 20 Milioni di Euro oppure al 4% del fatturato mondiale annuo.

Molti hanno interpretato la disposizione nel senso che anche la PMI con un fatturato annuo di qualche milione di Euro che si limita a trattare i dati dei propri dipendenti su scala non elevata potrebbe essere sanzionata per milioni e milioni di Euro in caso di violazione del GDPR e pertanto: “Guai a voi che non vi adeguate!”.

“Giusto?” In realtà non può esserci un’interpretazione peggiore della disposizione in esame e, è doveroso precisarlo, una veloce lettura delle Guidelines on Fines dell’EPBD (ai tempi Working Party 29) e una comprensione sommaria del case based aproach alla base dell’applicazione della sanzione avrebbe dovuto condurre chiunque a giungere a differenti conclusioni.

Come si evince da una lettura, sempre superficiale dei considerando al GDPR, emerge come la norma sia espressione di un basilare principio di civiltà e sia nata per garantire la circolazione del dato personale nel rispetto dei diritti fondamentali della persona fisica in una società sempre più tecnologica che si basa sempre di più su uno scambio di dati personali contro servizi.

Tenuto conto di queste coordinate interpretative è autoevidente come non sia la sanzione pecuniaria il principale pericolo che corrono titolari e responsabili di trattamento posto che il GDPR, evidentemente, non è nato per punire imprenditori ed operatori economici che trattano dati personali.

Del resto, è evidente come sia facile per grandi realtà e per operatori OTT accantonare fondi e risorse per fare fronte ad eventuali sanzioni oppure rincarare il prezzo di alcuni dei loro beni o servizi senza subire un grande danno.

Se, da un lato, l’art. 83 GDPR è sopravvalutato; dall’altro, si parla troppo poco dell’art. 58 GDPR e dei poteri conformativi e inibitori di cui sono dotate le Autorità Garanti che possono anche imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento.

Una sanzione di questo tipo, al contrario di una sanzione pecuniaria, ha un effetto letteralmente paralizzante sul business e può determinare un vero e proprio fallimento di società e startup che si basano su un trattamento illecito dei dati personali.

Si pensi, ad esempio, ad un’applicazione che raccoglie online dati di natura medica senza chiedere il consenso per il trattamento di dati idonei a rivelare la salute dell’interessato e senza informare adeguatamente gli interessati (magari addirittura omettendo un’informativa in lingua italiana) e senza valutare in alcun modo i rischi per i soggetti coinvolti nel trattamento.

Inutile dire come nessuna sanzione economica potrebbe essere adeguatamente punitiva e come solo un divieto di trattamento, con conseguente chiusura del business, potrebbe tutelare adeguatamente gli interessati. Ugualmente, un eventuale ordine di sospendere i flussi di dati verso un destinatario in un paese terzo o un’organizzazione internazionale può avere conseguenze disastrose per un’organizzazione aziendale.

Si pensi, in secondo luogo a un grosso gruppo che perde il controllo dei dati dei propri clienti rischia di perdere la fiducia di questi e di vedere pregiudicata la sua immagine e reputazione se i clienti arrivano a percepire che le loro informazioni personali non sono adeguatamente protette.

Un pregiudizio reputazionale e una perdita di clientela, sicuramente, rappresenta un pregiudizio per il business più significativo di una qualunque sanzione pecuniaria.

/da