L'infelice vicenda della #PasswordDiStato

Pur sovrastata dalle notizie giustamente più importanti sulle tensioni internazionali, non è passata sotto silenzio (almeno tra gli addetti ai lavori), anzi ha suscitato un discreto putiferio, l'intervista radiofonica della ministro dell'innovazione in cui proponeva una "password di stato" per ogni cittadino, utile non solo per l'autenticazione verso i servizi online della Pubblica Amministrazione, ma anche per tutti gli altri. Putiferio che è stato seguito da due precisazioni via social della stessa ministro, e dalle prese di posizione più o meno autorevoli da parte della stampa e della politica.

Premetto che (spiegherò tra poco il perché) ho seguito poco il putiferio, le precisazioni e le prese di posizione; ma quel poco che ho sentito si annovera maggiormente nel calderone delle "poche idee ma ben confuse". E quindi non potevo esimermi dal dire la mia.

Conoscere la "proposta"

Per iniziare, consiglio l'ottimo riassunto della vicenda, che include anche i leciti dubbi che comunque ogni buon informatico deve porre, di Paolo Attivissimo.

Vale la pena anche questo breve articolo che la stessa ministro ha postato su Linkedin.

Cosa ho capito io

Personalmente, ho sentito per la prima volta parlare di questa vicenda con una segnalazione della (prima?) precisazione, per cui per me la questione si era già parzialmente sgonfiata. Per farla breve, a me è sembrato che la prima reazione all'intervista radiofonica abba indotto molti, sentendo l'espressione "password di stato", a pensare che si trattasse di un sistema di autenticazione unico, fornito dallo Stato, in cui la password viene impostata dallo Stato stesso e non è modificabile da noi. La posizione (dopo il chiarimento) della ministro fa riferimento invece al potenziamento dell'utilizzo della SPID anche verso servizi non necessariamente relativi ai pubblici servizi o alla pubblica amministrazione.

Glossario minimo

Prima di passare alle mie opinioni, bisogna capire di che stiamo parlando.

L'autenticazione, nel mondo informatico, è quel processo che verifica l'identità di un utente. Nella stragrande maggiornanza dei casi, ciò avviene attraverso l'inserimento di due  parametri: il nome utente (che non è segreto), che lo identifica; e la password (segreta) che lo conferma. Il sistema funziona solo e soltanto se l'utente è l'unico a conoscere la sua password. Per ovviare a tutti i problemi che questo sistema ha, sono stati implementati altri sistemi come l'autenticazione a 2 fattori (oltre alla password si richiede un ulteriore codice di verifica legato ad un oggetto posseduto, come lo smartphone) e la biometria (impronte digitali, riconoscimento facciale).

La SPID è un sistema di autenticazione che prevede una verifica preventiva dell'identità reale dell'utente e sia ad essa collegata a tutti i fini di legge, per cui ogni operazione effettuata tramite la SPID è riconducibile ad un preciso cittadino italiano (in realtà essendo un'implementazione italiana di una direttiva europea, la SPID è utilizzabile anch in tutti i paesi UE e gli equivalenti sono utilizzabili in Italia). Attualmente la SPID è gestita da 9 operatori privati per conto dello Stato, ed è gratuita (per i primi due anni). Molti servizi pubblici centrali la richiedono (INPS, Agenzia delle Entrate, etc) mentre molti servizi locali ancora no.

La mia opinione

1.  È evidente che l'espressione "password di stato" sia stata infelicissima; ciò nonostante, ritengo che l'idea di una password imposta dallo Stato fosse così balzana che nemmeno i nostri più scriteriati amministratori della cosa pubblica potessero concepirla, e che essa sia frutto solo delle più becere propagande ideologiche e politiche che infestano i media italiani ed i social
2. Chiarito che si parla della SPID, l'idea di un suo utilizzo per i servizi online più disparati pone una serie di problematiche ben descitte da Attivissimo nell'articolo precedentemente segnalato, per cui la ritengo poco praticabile
3. Tuttavia, se l'alternativa alla SPID (sempre per i servizi online non pubblici) è quella di utilizzare sempre la stessa password, o peggio le credenziali di Facebook, Google, Twitter o Linkedin, allora siamo alla demenza più totale: meglio mille volte il nostro Stato, per quanto malandato (sotto tutti i punti di vista), piuttosto che privati colossi esteri bramosi di raccogliere e rivendere al miglior offerente tuttle le informazioni possibili su di noi
4. Quanto appena detto vale esclusivamente se con "Stato" intendiamo le istituzioni al servizio del cittadino, e non organizzazioni private legate a doppio filo a questo o quel partito (per essere chiari: Casaleggio)
5. Il paventato pericolo che dall'uso della SPID lo Stato raccolga informazioni su di noi che non avrebbe avuto altrimenti, è reale; ma non è nemmeno un automatismo, tecnicamente svincolare completamente il processo di autenticazione da ciò che avviene dopo è fattibile; ed il legame (questo sì, inevitabile) che rimane tra ciò che facciamo e la nostra identità può essere regolato correttamente secondo la normativa europea sui dati personali (da notare che il ministro stesso su Linkedin fa riferimento alla necessità di interpellare il Garante, come previsto dalla legge ma mai avvenuto in casi precedenti...)
6. Fatto salvo tutto questo, il problema ultimo che nessuno sembra voler affrontare è che la maggioranza della popolazione italiana, semplicemente, non è in grado di capire ed utilizzare gli strumenti che gli vengono messi a disposizione; finché sarà così, a mio parere parlare di "innovazione" (soprattutto da parte di chi non ha le competenze per capire cosa significhi) è totalmente inutile.
   

Computer quantistici, rivoluzione presunta

Pochi giorni fa, Google ha annunciato di aver raggiunto la supremazia quantistica, ossia di aver fatto funzionare un computer quantistico per effettuare in 200 secondi un calcolo che un computer tradizionale avrebbe fatto in 10000 anni.

Non voglio qui spiegare cos'è un computer quantistico (è comunque una tecnologia di cui si parla da decenni), ma analizzare le conseguenze del suo avvento (che, sia chiaro, non è poi così imminente: siamo ancora in fase di prototipi, la commercializzazione per i comuni mortali è ancora lontana).

La prima e più evidente conseguenza riguarda le nostre "amate" password: se oggi, con i pur potentissimi computer moderni, le password da 8 caratteri (purché non banali) sono considerate abbastanza sicure, l'avvento dei computer quantistici le renderà sostanzialmente inutili perché indovinabili in pochi secondi.

In pratica, per mantenere lo stesso livello di sicurezza di una password da 8 caratteri, bisognerà passare a una da 13 o 14 caratteri. Sopravviveremo.

Una seconda considerazione invece deriva dal fatto che dovrebbero diventare molto più veloci quei calcoli che oggi sono i più complessi: le simulazioni.

Le simulazioni servono principalmente per fare previsioni: a partire da quelle del meteo (o del clima), e via via dinamiche varie, da quelle delle traiettorie dei corpi celesti, all'evoluzione sociale umana, etc. Il vero problema delle simulazioni non è però la quantità di calcoli necessaria: è la conoscenza reale del fenomeno che si vuole simulare, e la capacità di trasformarla in un modello matematico.

Primo esempio: le leggi che governano l'evoluzione dell'universo sono ormai acclarate con un buon grado di certezza; in questo caso, la capacità di calcolo dei nuovi computer permetterà sicuramente di andare oltre le nostre capacità attuali, permettendo nuove scoperte.

Secondo esempio: l'evoluzione del clima è probabilmente il problema con complessità più elevata che si affronti ai nostri giorni; ma al contrario di quello che la narrativa mediatica racconta, le dinamiche ed i fattori che la regolano sono note con estrema approssimazione (cioè: nessuno ne capisce ancora quasi nulla). Se i modelli di oggi falliscono nel fare previsioni accurate, il computer quantistico che userà gli stessi modelli permetterà di avere sì previsioni a più lungo termine, ma ancora più inaccurate ("propagazione dell'errore").

Ad onor del vero, la possibilità di aumentare i calcoli eseguibili permetterà di eliminare le approssimazioni che vengono volutamente introdotte nei modelli proprio per limitare il tempo necessario all'esecuzione dei calcoli; quindi un vantaggio, com'era prevedibile, si ha comunque.

Ma in ogni caso, senza l'intelligenza umana, anche il computer quantistico rimane un inutile ammasso di (costosissima) ferraglia.

AGGIORNAMENTO: IBM contesta la misura della prestazione rispetto ad un computer tradizionale, cioè lo stesso calcolo che il computer quantistico di Google ha fatto in 200 secondi, un computer di IBM lo avrebbe eseguito in circa 2 giorni e mezzo, invece di 10000 anni. Una bella differenza, che comunque non sminunisce il salto tecnologico; personalmente non sono in grado di giudicare chi abbia ragione, semplicemente la posizione di IBM mi sembra più plausibile.

AGGIORNAMENTO 2: un altro interessante articolo (anche se abbastanza tecnico), sostiene che in pratica il "calcolo" eseguito da Google non ha una reale utilità; ma la parte interessante è che pare che al momento i computer quantistici non siano programmabili nel senso tradizionale del termine. Questo vuol dire che finchè non sarà superato questo limite (se mai lo sarà), il computer quantistico sostanzialmente non serve a nulla! Lunga vita al computer tradizionale... ed ai programmatori.

Lo nero periglio che vien dal web: i pirati informatici!

L'avete capito il titolo? No? Male, malissimo! Fà il verso a un episodio di uno dei capolavori assoluti della commedia italiana, L'armata Brancaleone (di Mario Monicelli, 1966), nell'originale "lo nero periglio" veniva dal mare e non dal web, ed erano i pirati saraceni (saracini, nel film). Tutto questo per introdurre il tema del post, ossia il pirata informatico, e più precisamente l'uso della parola con cui viene comunemente indicato, ossia hacker.

Quando l'informatica era roba rinchiusa nelle università o in qualche azienda agli albori dell'innovazione digitale, il significato di Hacker era ben diverso da quello che poi la prassi (sbagliata!) gli ha affibbiato. Esso non era il pirata informatico, ma colui che, grazie ad una conoscenza estremamente approfondita delle tematiche digitali, era in grado di inventarsi nuove tecnologie o utilizzi di quelle esistenti. La connotazione del termine era assolutamente positiva, mentre il pirata informatico aveva un nome diverso, cracker, ossia colui che "rompe" (crack), cioè danneggia, i sistemi informatici. In realtà, i due termini si differenziavano non tanto per le capacità tecniche, che possiamo considerare identiche, ma per lo scopo per cui venivano utilizzate: creare innovazione, nel caso di hacker, contro delinquere, nel caso di cracker. Per certi versi, entrambi i generi hanno portato il loro contributo alla rivoluzione digitale di inizio millennio, perché combattere i cracker ha profondamente sviluppato il concetto di sicurezza informatica. Volendo portare un esempio di hacker secondo questa accezione "antica", non posso che citare Linus Torvalds, ossia colui che, insoddisfatto dei sistemi operativi proprietari della galassia Unix, nonché dei primi tentativi di creare degli Unix gratuiti in campo didattico, creò Linux, che oggi è il sistema operativo più famoso ed utilizzato al mondo.

Come si diceva all'inizio, oramai il termine hacker ha assunto valenza negativa, tant'è vero che è stata coniata una terminologia diversa per designare gli hacker "buoni": gli ethical hacker, ossia gli hacker che hanno motivazioni etiche. Letteralmente, almeno secondo l'accezione correntemente in uso, gli ethical hacker sono coloro che vanno alla caccia di vulnerabilità dei sistemi informatici e che, invece di sfruttarle a loro esclusivo vantaggio (questi sono gli hacker "normali", cioè cattivi), le rivelano direttamente e solo alle aziende produttrici (nel caso dell'hardware) o sviluppatrici (nel caso di software) perché vengano corrette. In qualche caso ci guadagnano qualche soldino, perché le aziende pagano ricompense a chi scova queste vulnerabilità (evidentemente gli costa meno di un efficiente sistema di qualità interna...), ma per lo più ciò che guadagnano è la fama che poi si trasforma in un lavoro strapagato. Eh sì, perché gli hacker (quelli veramente bravi) sono pochi, e per combattere un hacker, ci vuole un hacker (non si contano quelli che hanno saltato la barricata, cioè che dopo essersi guadagnati la fama a suon di attacchi ben riusciti, sono stati assunti da aziende che si occupano di sicurezza).

In realtà, gli hacker "buoni" (o quanto meno, non cattivi) possono annoverare un paio di altre categorie, sempre legate allo scopo delle loro azioni, piuttosto che alle loro capacità. C'è chi usa queste capacità per motivi politici, tipicamente cercando di svelare ciò che i governi (tutti, democratici e non) cercano di tenere segreto; il caso forse più famoso è Julian Assange, il fondatore di Wikileaks. Altri, al contrario, sono utilizzati proprio dalle agenzie governative per scopi di spionaggio o controspionaggio (tipo le presunte ingerenze russe nelle ultime elezioni presidenziali americane).