App Immuni, analisi della documentazione: garantirà l’anonimato, le immagini ufficiali

È stata recentemente pubblicata su GitHub la documentazione di Immuni, l’App per il tracciamento dei contatti già preannunciata che potrebbe diventare un alleato importante nella lotta al virus. Il governo annuncia che la sperimentazione potrebbe partire da fine Maggio, ma non manca un certo scetticismo da parte della popolazione. L’attenzione è infatti rivolta alla tematica privacy, tanto che sarà necessario il via libera da parte del Garante per la Privacy che ha già esternato delle perplessità.

Dalle informazioni pubblicate emerge subito l’attenzione posta da parte degli sviluppatori al fine di rispettare la privacy degli utilizzatori. Analizziamo quindi il funzionamento dell’applicazione per comprendere l’importante lavoro svolto per tutelare i dati sensibili degli utenti. Discuteremo anche alcuni potenziali punti deboli su cui sono a lavoro gli sviluppatori.

Immuni non accede al GPS e quindi non registra la nostra posizione geografica

Al contrario di quanto si potrebbe pensare l’applicazione non avrà accesso alla nostra posizione tramite GPS. Immuni funzionerà anche con servizio GPS spento utilizzando il Bluetooth, sfruttando in particolare la tecnologia BLE (Bluetooth Low Energy) che tutelerà la durata della batteria. L’App quindi non registrerà mai i vostri spostamenti nel corso della giornata o la vostra posizione assoluta geografica, ma soltanto i contatti con altri dispositivi con l’applicazione in funzione. È necessario quindi che molti utenti installino l’App e la tengano in funzione. Da qui si deduce un potenziale fattore limitante: una scarsa diffusione ridurrà l’efficacia dello strumento.

Esempio di funzionamento: nessuna generalità sull’utente ma solo codici temporanei

L’utente non condividerà con altri dispositivi o con il server centrale alcun dato relativo alle proprie generalità. Ecco un esempio schematico del funzionamento. L’applicazione dell’utente genererà una chiave temporanea giornaliera ogni ventiquattro ore, senza nessuna informazione sensibile. A partire dalla chiave verranno ricavati dei codici identificativi che il dispositivo aggiornerà ogni quindici minuti. Questi sono i codici che verranno scambiati al momento del contatto con l’applicazione di un altro utente, e salvati nei dispositivi di ciascuno. Nessuno dei codici fin’ora citati contiene riferimenti personali all’utente o al dispositivo dell’utente che li ha generati.

Al momento del contagio servirà l’intervento da parte di un operatore sanitario, ma l’utente deciderà se condividere

Se l’utente risulterà contagiato dal virus dovrà comunicare un codice all’operatore sanitario che confermerà la positività del test, per evitare false segnalazioni. A questo punto soltanto l’utente potrà autorizzare la comunicazione dei dati ad un server centrale. I dati, anche in questo caso, non comprendono informazioni anagrafiche o geografiche. Verranno caricati, oltre al risultato del test, i codici casuali dell’utente ed informazioni di natura epidemiologica. Tra questi la Provincia che avrà solo una valenza statistica e comunque non rappresenta nulla in più rispetto a quanto già giornalmente comunicato dalla Protezione Civile.

L’organizzazione da parte della sanità locale e nazionale sarà fondamentale. Il sistema da solo non basterà a garantire la gestione dei contatti dei soggetti positivi, quindi i test diagnostici dovranno essere resi disponibili e gli utenti seguiti da personale sanitario.

I contatti verranno avvisati e saranno invitati ad attuare strategie di prevenzione

Le applicazioni installate nei dispositivi degli utenti contatteranno periodicamente il server e verificheranno se hanno stabilito un contatto negli ultimi tempi con un soggetto segnalato come positivo. In questo caso l’App segnalerà all’utente il contatto (senza specificare informazioni temporali) attraverso una notifica. Quindi lo inviterà a mettersi in contatto con un operatore sanitario e a segnalare la presenza di eventuali sintomi.

I dati saranno gestiti dallo Stato e verranno eliminati periodicamente

Il sistema prevede che la società ideatrice non abbia accesso ai server su cui saranno immagazzinati i dati. I server saranno infatti localizzati nel territorio nazionale e gestiti da Sogei, SPA Informatica del Ministero dell’Economia. Tutti i dati raccolti dal sistema, sui dispositivi e sui server saranno eliminati quando diventeranno epidemiologicamente irrilevanti (quindi entro qualche settimana). Ciò avverrà comunque non oltre il 31 Dicembre di quest’anno. Il ministero della Sanità avrà il pieno controllo sulle modalità di gestione dei dati e sul loro utilizzo, che comunque avranno la sola finalità di contenimento del contagio e di ricerca.

I “punti in sospeso” degli sviluppatori

Come evidenziato dalla documentazione gli sviluppatori sono ancora al lavoro per ottimizzare ogni aspetto. Uno dei principali punti deboli potrebbe essere rappresentato dal traffico scambiato mediante Bluetooth. Infatti potrebbe essere rilevato da parte di utenti esterni. Un altro rischio potrebbe essere l’accesso da parte di malintenzionati al server in cui sono contenuti i dati. Gli sviluppatori confermano l’intenzione di mantenere al minimo possibile la richiesta di dati personali dell’utente, che comunque non verranno mai scambiati o raccolti sul server.

In relazione alla tecnologia BLE “la stima della distanza è soggetta ad errori, in quanto il segnale dipende da fattori come l’orientamento dei due dispositivi l’uno rispetto agli altri e gli ostacoli tra di essi“. Quindi verrà preso in considerazione il tempo di contatto: “Un contatto che dura solo un paio di minuti a diversi metri di distanza sarà considerato a basso rischio. Tale modello però potrebbe evolversi man mano che saranno disponibili ulteriori informazioni sul virus” sottolineano gli sviluppatori.

Sui dispositivi degli utenti verranno conservati dati relativi alla salute dell’utilizzatore, per lo più basati sulla registrazione dei sintomi. In caso di furto/smarrimento del dispositivo un’efficiente protezione dei dati sarà necessaria al fine di evitarne qualsiasi tentativo di accesso.

La community su cui è stata pubblicata la documentazione è costantemente attiva nella segnalazione di eventuali punti deboli o spunti che possano spingere gli sviluppatori ad apportare dei miglioramenti.

Non solo un’iniziativa italiana: il contact tracing informatico è un’iniziativa globale per un ritorno alla “normalità”

L’intero funzionamento dell’applicazione si basa su una spina dorsale ideata dalla collaborazione tra Apple e Google. I due giganti del mondo informatico hanno sviluppato un framework che permetterà ai Paesi di sviluppare le proprie applicazioni per il contenimento del contagio. Ciò garantirà degli aggiornamenti puntuali che correggeranno eventuali falle che dovessero emergere. Permetterà inoltre il funzionamento su tutti i dispositivi Android e Apple forniti di Bluetooth con i massimi standard di sicurezza. L’Italia si sta quindi adeguando a quella che, con ogni probabilità, diventerà un’iniziativa globale.

Paesi come la Corea del Sud ci hanno insegnato come un’efficace implementazione di strumenti sanitari, diagnostici e informatici possa garantire un’efficiente riduzione della circolazione del virus. Seppur la tutela della privacy di questi Paesi possa aver fatto discutere, al contrario l’attenzione posta dagli sviluppatori italiani è innegabile e garantisce all’utente che non verranno diffuse generalità o informazioni geografiche.

Viviamo in un periodo storico in cui è prassi condividere i propri contenuti sui Social Network, usare assistenti vocali e tracciare le proprie attività sportive o i propri viaggi in auto. Dobbiamo davvero dubitare e ostacolare la diffusione di un’applicazione che potrebbe contribuire concretamente al contenimento dell’epidemia, anche nella malaugurata eventualità di una seconda ondata estiva o autunnale? A voi la risposta! La certezza è che, eventualmente, non bisognerà farci trovare nuovamente impreparati.

Antonino Micari