[Guerre di Rete - newsletter] Iowa: cronaca di un pasticcio annunciato

E poi Twitter e YouTube contro le manipolazioni; attacchi ransomware; cyber Italia

Guerre di Rete - una newsletter di notizie cyber
a cura di Carola Frediani
N.59 - 9 febbraio 2020

Oggi si parla di:
- il pasticcio dell’app in Iowa
- disinformazione e piattaforme
- Google Foto e i video
- ransomware
- e altro

PRIMARIE IOWA
Il pasticcio dell’app dei dem: cronaca di un disastro annunciato
È stata l’app più “disruptive” della storia. Nella terminologia in auge da anni in Silicon Valley (e tra i suoi pallidi imitatori), una tecnologia è disruptive (dirompente) quando copre un mercato che in precedenza non era servito, o quando offre una alternativa più semplice e conveniente a un prodotto esistente (per l’origine del termine vedi TechCrunch). E tale doveva essere l’intento di IowaReporter, l’app usata in Iowa per conteggiare e trasmettere i risultati dei voti delle primarie democratiche locali, inviandoli dai caucus al comitato nazionale.

Un clamoroso autogol
Invece a rimanere dirotti, nel duplice significato di abbattuti e frantumati in mille pezzi, sono stati l’apparato democratico, le sue ambizioni tecnopolitiche e la sua capacità di sfidare Trump sul terreno digitale.
Al posto di risultati più veloci, si è avuto un ritardo di tre giorni nella comunicazione dell’esito delle primarie di uno degli Stati più importanti per la designazione dello sfidante di Trump; si sono sviluppate una serie di teorie del complotto su quanto era accaduto; si sono rinfocolate accuse reciproche e antiche diffidenze tra i vari candidati dem; e si è favorita la diffusione di quella disinformazione che proprio i democratici, come vedremo, erano tanto preoccupati di contrastare.
Ma questo clamoroso autogol ha anche avuto il merito, da un lato, di sottolineare le contraddizioni interne dei dem americani; dall’altro, di mostrare in modo plastico i rischi e i problemi legati a un utilizzo superficiale della tecnologia in ambito politico. Di tutta questa disruption non voluta, tornata indietro a chi l’aveva lanciata come un boomerang, l’app è stata sicuramente l’innesco ma forse non la causa principale.

Il funzionamento dell’app
Il sistema dei caucus è quanto di più fisico si possa immaginare in una votazione. I votanti si raggruppano in palestre, scuole, ecc e vanno ad occupare spazi diversi: i sostenitori di Biden in un angolo, quelli di Sanders in un altro e così via. Se un candidato in una circoscrizione non ottiene il sostegno di almeno il 15 per cento dei partecipanti, i suoi sostenitori devono riallinearsi su un altro candidato, con tanto di trattative per convincere gli indecisi e spostamenti da un angolo all’altro. Alla fine il numero di delegati è determinato da una formula matematica, spiega NBC. E i dati locali comunicati via telefono.

L'app doveva dunque sostituire il solito strumento usato per trasmettere i dati dalle circoscrizioni locali, ovvero il telefono. Per fortuna, i sistemi precedenti sono rimasti validi come soluzione di backup (MSN), anche se ciò non ha impedito, quando ci sono stati problemi con l’app, di generare confusione e ritardi. Inizialmente i democratici hanno sostenuto che il problema non fosse IowaReporter ma delle incongruenze nei diversi sistemi (quello tech, le foto, e la documentazione cartacea) usati per validare i risultati.

Tuttavia, come riferisce Bloomberg, alcuni presidenti di circoscrizione hanno detto fin da subito di aver avuto problemi proprio con l'app, perché non riuscivano a fare il login e a scaricarla. E hanno dovuto ricorrere alla linea telefonica dedicata per comunicare i dati. Che però a sua volta era intasata (Ars Technica). Sul perché lo fosse c’è una tesi interessante su cui torno dopo.
Alla fine, il partito democratico dell'Iowa ha ammesso che è stata proprio l’app a creare dei problemi. Avrebbe infatti raccolto e conteggiato i dati ma li avrebbe trasmessi solo in modo parziale per un problema nel codice (The Verge).

Ma la gestione di questa app era apparsa subito dubbia. Ancora poche settimane prima dei caucus, gli organizzatori si rifiutavano di rivelare chi l'avesse realizzata, o di dare altri dettagli tecnici. E ancora tre settimane prima delle votazioni, i presidenti di circoscrizione non avevano avuto accesso alla stessa (NPR). Una leggerezza non da poco, perché anche se il suo codice fosse stato perfetto e privo di errori, in un contesto come quello sono fondamentali l’addestramento e la corretta informazione di chi deve gestire lo strumento. Per accedere all’app i presidenti di circoscrizione dovevano inserire tre diversi codici: un numero identificativo della circoscrizione, un codice PIN e un codice di autenticazione a due fattori. Dopodiché dovevano immettere il numero dei partecipanti, e i voti del primo e secondo round di votazioni. L’app avrebbe calcolato il numero di delegati di ogni candidato e mandato tutti i risultati a un backend via servizio cloud (Cloud Functions) di Google, controllato dalla società sviluppatrice. Al momento dell’autenticazione, alcune persone hanno sicuramente confuso i vari codici inserendoli nel modulo sbagliato, riferiscono alcuni media. Ma altre hanno riscontrato messaggi di errore di altra natura (Vice).

Il ruolo in ombra di Shadow
IowaReporter è stata sviluppata dalla società Shadow, creata da alcuni veterani delle campagne di Obama e Hillary Clinton, ed è costata intorno ai 60mila dollari (Huffpost).A sua volta Shadow è affiliata a una noprofit digitale di area dem, Acronym, nata nel 2016 con l'obiettivo di rilanciare i democratici nelle campagne digitali. Che ha investito nella società. Per il Ceo di Shadow, Gerard Niemira, i dati usciti dalla app erano corretti, e il problema è nato quando sono stati mandati su un server per la verifica e validazione del partito democratico dell’Iowa (IDP). In quel momento un problema nella formattazione degli stessi ha causato l’errore che ha poi generato tutti i problemi.

L’analisi della app
Tuttavia l’analisi di IowaReporter - fatta da diversi ricercatori grazie a Motherboard che per prima ha ottenuto l’app - è particolarmente impietosa e mostra un quadro più articolato. Il verdetto degli esperti è che IowaReporter sia stata sviluppata prendendo un progetto di base e aggiungendoci del proprio codice in modo poco professionale, seguendo un tutorial. Insomma lo sviluppo dell’app sembra essere stato un po’ raffazzonato e amatoriale, almeno secondo alcuni commentatori (Motherboard). Alcuni hanno sottolineato dettagli che avrebbero anche potuto metterne a rischio la sicurezza: dalla presenza di chiavi API nel codice (semplificando, lo strumento che permette di far comunicare app e piattaforme), anche se ciò non si traduce automaticamente in una vulnerabilità di sicurezza, scrive ancora Motherboard; a una modalità non sicura di trasmissione dei dati, cui fa riferimento ProPublica che però non fornisce dettagli.
Ma anche la configurazione generale del sistema di backup con cui riportare i dati sembra aver avuto delle falle. Ad esempio, il numero di telefono da usare è stato pubblicato online. E, secondo alcuni rappresentanti del partito democratico, la linea sarebbe stata presa d’assalto anche da troll e sostenitori di Trump, contribuendo all’intasamento (Vice).

La poca trasparenza
A peggiorare il quadro, come detto all’inizio, l’assenza di trasparenza su chi aveva prodotto la app (per altro già il nome - Shadow, “ombra” - della società ha suscitato non poche ironie al riguardo). Dopo la debacle, sono usciti molti dettagli e articoli che sezionano non solo la startup ma anche la relazione con il suo investitore, Acronym, una no-profit fondata da Tara McGowan, una ex giornalista che aveva lavorato alla campagna di Obama, e che sta tentando di creare un ecosistema mediatico pro-dem in grado di competere con la galassia di estrema destra alla Breitbart e soci. Con poca trasparenza però su finanziatori e obiettivi. E col timore che possa essere sbilanciata verso specifici politici dem. Non aiuta che candidati come Buttigieg e Biden abbiano pagato Shadow per alcuni servizi, o che in passato McGowan abbia espresso sostegno per Buttigieg, scrive Recode. E nemmeno che alla fine abbia vinto Buttigieg su Sanders per un soffio. Tutto questa assurda situazione ha favorito il proliferare di teorie del complotto, specie tra i sostenitori di Sanders, già scottati dalle elezioni del 2016. Mentre il fronte pro-Trump ha potuto irridere gli avversari, o mettere in dubbio la legittimità delle loro votazioni.

Fai campagne hi-tech, vota low-tech
L'aspetto più importante della vicenda è che l'integrità della votazione non è in discussione perché alla fine sarà garantita dalla carta. E che le tecnologie usate nelle votazioni, oltre ad essere sicure, devono anche apparire tali, come nota Pwnallthings, altrimenti si alimentano complottismi e rivendicazioni anche pretestuose.
L'aspetto invece più sconcertante è che una app progettata per velocizzare il processo di votazione l'ha rallentato a livelli mai visti prima. "Il fallimento di Shadow suggerisce una combinazione potenzialmente letale di tecno-utopismo e pigrizia", scrive il New York Times. Una app prodotta in fretta, da persone a quanto pare non particolarmente esperte (segnalo questo thread al riguardo), non testata adeguatamente, con pochissima trasparenza sul processo di affidamento del lavoro e sulla società stessa. Che dovrebbe avere un effetto dirompente in positivo rispetto ai sistemi usati in passato ma che finisce con l'inceppare solo il collaudato meccanismo elettorale. Morale della storia: "l'unica elezione sicura è una elezione low tech", per citare un altro articolo del NYT.
"Dovremmo chiedere la tecnologia elettorale più analogica possibile – scrive pure ArsTechnica -. Perché quanto accaduto lunedì notte - un lungo e confuso ritardo nel conteggio dei voti, in parte dovuto a una app mobile che è stata mal progettata e inadeguatamente testata prima del suo impiego in una delle più importanti elezioni in America - è stato un fallimento imperdonabile. Ha causato angoscia e confusione, innescato innumerevoli complottismi, e iniziato la stagione elettorale 2020 minando la fiducia nel processo democratico".

La strategia contro gli attacchi e la disinformazione
Il paradosso è che i democratici americani erano arrivati ai caucus dell'Iowa preoccupati sia per la loro sicurezza sia per la possibile propaganda e disinformazione sui social. Ricordiamo il precedente. Il Comitato nazionale democratico (DNC) nelle elezioni del 2016 era stato vittima di attacchi informatici e di vari leak, oltre che target della campagna della Internet Research Agency, la fabbrica di troll russa che aveva creato pagine e profili inautentici per inserirsi a gamba tesa nella campagna presidenziale americana. Dopo quell'esperienza traumatica, i democratici si sono dunque presentati a queste primarie armati di una serie di strumenti e misure che avrebbero dovuto mitigare sia il rischio di attacchi sia la diffusione di propaganda e disinformazione. E nel contempo rilanciare la propria attività digitale in campagna elettorale con strumenti innovativi.

C'era sicuramente molta attenzione sul fronte della propaganda. Anche se da questo ultimo punto di vista le armi messe in campo non sembrano particolarmente rivoluzionarie. Una di queste è Trendolizer, uno strumento di monitoraggio di video, post e altri contenuti online che stanno diventando virali e si stanno diffondendo. "Quando delle storie su un sito noto per diffondere disinformazione o cattiva informazione menzionano i candidati e iniziano a essere condivise sui social, Trendolizer le individua e manda un alert alle campagne relative", scrive CNN.
Poi ci sarebbe un altro strumento sviluppato invece internamente che monitora il traffico su Twitter, con particolare attenzione a delle parole chiave che possono essere associate ad attacchi contro democratici (ad esempio il termine rigged, "truccato, manomesso": il riferimento, guarda un po’, è a possibili accuse di risultati manipolati nelle votazioni...). O ancora, attenzione a tweet sui caucus che si ripetono identici, segno di campagna coordinata.

I dem avrebbero proprio un team di contrasto alla disinformazione in contatto coi rappresentanti dei vari social. "Sia repubblicani che agenti stranieri, come la Russia, hanno un incentivo a dividere l'elettorato americano e potrebbero cercare di usare i caucus in Iowa per perseguire quell'obiettivo", aveva scritto il DNC in un aggiornamento sulle sue attività per contrastare la disinformazione che è circolato nella campagna. Ma alla fine è stata la cattiva gestione delle primarie, della tecnologia e ancor prima della macchina del partito e delle sue diramazioni ad aver creato confusione, incertezza e un’ondata di dubbi, anche legittimi, oltre che di disinformazioni e complottismi esterni e interni allo stesso fronte democratico. Non c’è stato bisogno né di troll né di hacker russi. Hanno fatto tutto da soli.

DISINFO INTERNA
La minaccia dentro
Ancora sulla disinformazione in politica. Ricordo che il report di Freedom of the net sottolinea come nella maggior parte dei Paesi siano attori domestici (e non stranieri) ad abusare delle tecnologie digitali per cercare di influenzare campagne e processi elettorali.
E sul ruolo della disinformazione e propaganda interna anche negli States insiste la giornalista Melissa Ryan, secondo la quale nelle elezioni del 2020 il problema sarà la disinformazione di produzione locale.
Medium

TECH E PRESIDENZIALI
Lavoratori progressisti
Malgrado le posizioni di Sanders contro Big Tech, i dipendenti di Amazon, Apple, Facebook, Google, e Twitter lo hanno finanziato più di altri candidati, riporta Vox. Però deve davvero stupire?

SOCIAL MEDIA E DISINFO
Nuova policy per Twitter
Twitter ha annunciato una nuova policy sui media condivisi sulla propria piattaforma (video, foto, ecc) che sono falsi o manipolati - una categoria che va quindi dai deepfake, video creati con tecniche di AI in cui qualcuno dice o fa cose che non ha mai detto/fatto, ai cheapfake, video reali ma resi ingannevoli con alcune banali modifiche o editing. La nuova policy prevede dunque la cancellazione o l'etichettatura del contenuto, a seconda di una scala di gravità data dall'incrocio di diversi parametri che Twitter descrive in modo piuttosto chiaro attraverso una tabella.

In sostanza:

• Il contenuto è stato alterato in modo significativo? SI

• E' stato condiviso con un intento ingannevole? SI

• Può avere un impatto sulla sicurezza pubblica o fare seriamente del male? SI

Allora, il contenuto è tolto.
Invece, se la terza risposta è no, potrebbe essere lasciato ma con etichettatura. Se è no alla seconda e alla terza, viene etichettato. Se il no è solo alla seconda domanda, può essere o etichettato o cancellato, a seconda della valutazione degli altri due fattori.
Oltre all'etichetta, ci saranno degli alert per chi voglia ricondividere i contenuti; la visibilità dei tweet potrebbe essere ridotta; e potrebbero essere aggiunte info contestuali (ci sarà quindi un team che fa la curation? si chiede qualcuno).
Blog Twitter

YOUTUBE
Che farà coi contenuti ingannevoli
Sempre in vista delle presidenziali 2020, anche YouTube ha pubblicato un post in cui ripercorre e spiega le proprie policy e l'eventuale rimozione di contenuti legati alle elezioni. In pratica non sono ammessi:

• Contenuti tecnicamente manipolati o falsificati in modo da ingannare gli utenti e che possano causare danni seri

• Contenuti che cercano di ingannare le persone sul processo di voto

• Contenuti ingannevoli sui criteri di eleggibilità dei candidati

Poi verranno cancellati canali che :

• Tentino di fingersi un'altra persona o canale, travisare il paese d'origine o nascondere l'associazione con un attore governativo

• Aumentino artificialmente il numero di views, likes, commenti ecc attraverso sistemi automatici

Oltre a ciò YouTube intende:

• dare più visibilità a fonti di informazione autorevole

• ridurre la visibilità di contenuti che si avvicinano (borderline) alla violazione delle proprie linee guida di comunità

• ottimizzare i contenuti sui candidati creati dalle stesse campagne, lavorando coi vari team anche in termini di sicurezza
  Googleblog

PRIVACY
Quei video di Google Foto scaricati da chissà chi
Immaginate la scena: entra il vostro assistente e vi dice: "allora, questa è la rassegna stampa per oggi, questo il calendario della giornata, gli appuntamenti, la mappa per raggiungerli e... c'era qualcos'altro.... ah sì: alcuni dei suoi video privati sono stati mandati a degli estranei a caso".... "Eh??"
Ora immaginate che il vostro assistente sia Google. L'azienda tech sta avvisando alcuni utenti di Google Foto, il servizio per salvare foto e video online, di aver inviato per errore alcuni loro video privati agli utenti sbagliati - scrive Il Post - a causa di un malfunzionamento del servizio che permette di scaricare i file e che è durato 5 giorni a novembre.
In pratica, commenta 9to5google, un'altra implicazione dell'incidente è che l'archivio che si è scaricato in quel periodo sarà incompleto, ovvero mancheranno alcuni dei propri video, mentre potrebbero essere presenti video di altri. E ditemi se non è un ottimo spunto per un film thriller! (se usate il servizio e non avete ricevuto avvisi da Google vuol dire che non siete stati interessati dal problema - che riguarda una percentuale minima di utenti).

CYBERSICUREZZA
RANSOMWARE E SISTEMI INDUSTRIALI
Due società di sicurezza hanno individuato un nuovo tipo di software malevolo, e nello specifico un ransomware, che cifra i dati e chiede un riscatto, che prende di mira sistemi di controllo industriale, cioè quei sistemi usati per gestire processi e impianti industriali, dalle reti elettriche a siti produttivi. Il malware, di nome EKANS, ha infatti la capacità di terminare una serie di processi usati nei sistemi di controllo industriale, come già faceva un software malevolo scoperto mesi fa, Megacortex, che potrebbe essere il predecessore, forse sviluppato dagli stessi soggetti. Desta particolare preoccupazione la possibile attribuzione di questo malware, finora incerta (Wired fa delle ipotesi da prendere con le molle, dall'Iran a gruppi cybercriminali). La ragione è che fino ad oggi i malware mirati a sistemi industriali hanno avuto soprattutto un'origine statale, e per quanto inquietanti ciò li confinava a scenari specifici. L'ingresso di attori cybercriminali in questo campo potrebbe far improvvisamente aumentare attacchi di questo tipo.

RANSOMWARE E LOGISTICA
Ma anche i ransomware "normali" continuano a fare danni. L'azienda di logistica australiana Toll Group ha dovuto disabilitare i suoi sistemi e ricorrere a procedure manuali a causa di un ransomware (della famiglia Mailto), con relativi disservizi.
Zdnet

AEROPORTI
Solo 3 dei 100 principali aeroporti internazionali passano alcuni controlli di cybersicurezza di base, sostiene un report realizzato da un'azienda del settore. Sono Amsterdam Schiphol, Helsinki Vantaa e il Dublin International Airport.
Zdnet

Maps: come ti devio il traffico con 99 smartphone
Il singolare esperimento dell'artista Simon Weckert: come ingannare la gestione del traffico di Google Maps con 99 smartphone e un carrello, scrive Punto Informatico.

ITALIA
Riconoscimento facciale e dati
In Cina le mascherine usate per il coronavirus hanno l’interessante effetto collaterale di ingannare le tecnologie di riconoscimento facciale. Ma a proposito, in Italia come siamo messi su queste tecnologie? Anche alla luce della disponibilità sul mercato di strumenti come ClearView AI che hanno fatto incetta di foto dai social e hanno creato un servizio che rivendono a forze dell’ordine (ne avevo parlato nella scorsa newsletter). “Una recente interrogazione del deputato Pd Filippo Sensi sul punto ha appena ottenuto dal ministero dell’Interno una risposta parziale che nulla dice sull’eventuale uso del software in questione. Ma rivela che nel database dell’Afis, l’Automated fingerprint identification system nazionale, sono conservati oltre 17 milioni di 'cartellini fotosegnaletici' di volta in volta interrogati dal Sari, il Sistema automatico di riconoscimento immagini in dotazione alle forze dell’ordine tricolori”, scrive Repubblica. In quei 17 milioni ci sono foto multiple anche di stessi individui, ricorda a Guerre di rete il giornalista Riccardo Coluccini. Il numero di profili nel sistema è intorno ai 9 milioni, di cui 7 di stranieri, non necessariamente residenti (Wired).

ITASEC 1
Parte il cantiere per costruire il perimetro nazionale di cybersecurity
Il governo sceglierà quali aziende e infrastrutture devono stare all’interno del perimetro nazionale di sicurezza cibernetica. Ossia gli asset da proteggere per primi dai rischi di attacchi informatici.
Wired

ITASEC 2
Dalla Difesa agli Interni, nascono i super team per la cybersecurity
Dopo aver scritto le regole, dall’estensione del golden power anche al 5G al perimetro cibernetico nazionale, il governo sta costruendo i team per guidare le operazioni cibernetiche. Nello specifico, i primi al lavoro sono i dicasteri di Difesa, Interni e Sviluppo economico.
Wired

STRUMENTI
Jigsaw, sussidiaria di Google/Alphabet che si occupa di sicurezza e minacce emergenti, ha creato uno strumento per giornalisti per individuare deepfake o immagini manipolate. Si chiama Assembler e mette assieme diverse funzioni da vari strumenti per scoprire manipolazioni. Non è ancora disponibile per tutti però. È in fase di test con alcuni media (The Verge)

LETTURE

INFORMAZIONE E DISINFORMAZIONE
Come l’account Twitter dell’Auschwitz Memorial è diventato il fact-checker sull’Olocausto più seguito online
Valigia Blu

Trump, Bolsonaro, Johnson e il ‘manuale’ contro i media: seminare sfiducia, delegittimare i giornalisti e i fatti stessi
Valigia Blu

TROJAN
llarme di Soro sui trojan: “Rischiamo sorveglianza di massa”
Il Garante della Privacy avverte sui rischi dell’uso di app-spia nelle indagini giudiziarie: “Il ricorso a questi software non inoculati direttamente sul dispositivo-ospite e l’archiviazione in cloud dovrebbero essere oggetto di un apposito divieto”
Corriere Comunicazioni

INFOSFERA/LIBRI
Cosa c’è bisogno di sapere per vivere nell’infosfera di Luciano Floridi
Recensione dell’ultimo libro del filosofo: Pensare l’infosfera, appena pubblicato da Cortina Editore.
“La nostra vita non è divisa tra esperienze online ed esperienze offline e non c’è una supremazia, o maggiore autenticità, delle une rispetto alle altre. Tutto è fuso: un’esperienza virtuale può proseguire nel mondo fisico, una nostra azione nel mondo virtuale può avere concrete ripercussioni in quello offline. E, soprattutto, non c’è motivo di ritenere che ciò che avviene online sia meno “vero” di ciò che avviene offline. Non siamo esseri umani che si immergono temporaneamente nel mondo digitale per poi riemergere, scrollarci tutto di dosso, e riprendere la nostra vita regolare: le due esperienze sono costantemente e profondamente intrecciate”
Che-fare

CYBERATTACCHI
Attacchi di cyber war: quali sono, come funzionano
Agenda Digitale

Ti è piaciuta la newsletter? Inoltrala a chi potrebbe essere interessato!
E’ gratuita, indipendente, senza sponsor, mandanti o agende altrui, e si diffonde col passaparola dei suoi stessi utenti.
Come viene fatta questa newsletter (e come leggerla)
Per iscriversi: https://guerredirete.substack.com/
Buona domenica!