Contraffazione della firma digitale: il caso Green Pass

1. Premessa

La questione dibattuta intorno al fenomeno della contraffazione della firma digitale è ben complessa e conosce la sua maggiore diffusione negli anni che sono stati investiti dall’emergenza sanitaria globale da COVID -19, ove la neofita fattispecie del commercio elettronico dai contenuti digitali ha favorito lo sviluppo di modalità di consumo dematerializzate e la conseguente emersione di un nuovo soggetto attivo nei mercati virtuali: il consumatore telematico.  

Col sopraggiungere di un fenomeno fortemente impattante a livello planetario, quale era la pandemia da Coronavirus, era verosimile che un cambiamento si producesse non solo sull’esistenza umana stricto sensu, ma anche, e più incisivamente, sull’andamento dell’economia.

Sono stati i mercati digitali a beneficiarne in maggior misura, uscendone straordinariamente rafforzati dai prolungati e reiterati lockdown[1] sanitari: i grandi digital player[2] globali hanno raggiunto posizioni di forza economica, informativa e regolatoria oltre ogni immaginazione.

La globalizzazione del diritto trova compimento nella nuova dimensione immateriale e delocalizzata, senza frontiere, generata dalle piattaforme commerciali digitali veicolate tramite le reti di comunicazione elettronica. Si registra a tal proposito la nascita di un nuovo settore interdisciplinare del diritto che risponde pienamente alle istanze regolatorie di tale complesso fenomeno, noto come High Tech Law[3], o Diritto privato delle nuove tecnologie.

2. Il documento informatico: nozione e profili giuridicamente rilevanti

Questa breve premessa risulta necessaria al fine di introdurre l’oggetto della presente analisi che, da questo momento in poi, si concentrerà sull’emersione del nuovo e ormai sempre più diffuso tipo di scrittura privata, ovvero quella elettronica, con un’attenzione che impone di distinguere fra le varie tipologie di documento informatico.

Seguendo una prima prospettiva classificatoria, il contratto virtuale costituisce una sottospecie dei contratti a conclusione telematica – ossia quei contratti stipulati mediante l’utilizzo delle nuove tecnologie informatiche e telematiche di comunicazione.

Si devono, a questo punto, precisare meglio i limiti dell'area definitoria "contratto virtuale" operando una classificazione tra "contratto virtuale in senso ampio" e "contratto virtuale in senso stretto". 

Il contratto virtuale in senso ampio può essere definito con riferimento alla sottospecie di contratto telematico in senso stretto concluso utilizzando la tecnologia e-mail[4] o mediante altri dispositivi telematici similari - basati su servizi Internet - di mera trasmissione del messaggio a contenuto negoziale.

Il contratto virtuale in senso stretto può essere definito con riferimento allo specifico contratto - sottospecie di contratto telematico - concluso utilizzando lo specifico servizio world wide web[5] di Internet - come assetto materiale tecnologico, mezzo di offerta in incertam personam, predisposto unilateralmente dall'offerente - mediante pressione del cd. "tasto negoziale virtuale". 

Il contratto virtuale in senso stretto, oltretutto, è caratterizzato dall'assenza di trattative tra le parti, dalla predisposizione unilaterale e dall'offerta al pubblico indistinto: è, pertanto, qualificabile come contratto d'impresa in serie, predisposto e asimmetrico. A questo proposito, viene in mente l'ulteriore caratteristica del contratto virtuale - comune ai contratti di massa in generale - sintetizzata nella tendenziale indifferenza rispetto all'identità dell'oblato: tendenziale perché tale considerazione si ritiene essere applicabile principalmente ai contratti virtuali conclusi mediante comportamento concludente ex art. 1327 c.c., che non esaurisce la fenomenologia dei contratti virtuali in senso stretto. 

Per ciò che concerne i profili squisitamente formali, il contratto virtuale in generale è caratterizzato dall'utilizzo - per sua formazione e conclusione - della forma informatica, anche detta elettronica, resa disponibile dal substrato tecnologico dello spazio virtuale: è irrilevante che l'accordo telematico si raggiunga tramite scambio di e-mail, mediante accesso al sito web di riferimento o altro mezzo di comunicazione digitale.

La forma utilizzata per il perfezionamento di questa nuova, e grandemente avveniristica, tipologia di contratto, è detta infatti atipica, in contrapposizione alle forme informatiche notoriamente tipizzate dall'ordinamento giuridico.  

Non sorprende, peraltro, rilevare come la diffusione e affermazione della forma elettronica atipica - basata su documenti informatici privi di sottoscrizione - si inserisca a pieno titolo nel più ampio fenomeno della crisi della sottoscrizione e del predominio del testo grafico: integra il cd. aformalismo negoziale dei rapporti economici di business che si contrappone al più rigido formalismo del Codice civile relativamente ai negozi sorti su beni immobili.

In subordine, occorre precisare che il riconoscimento della rilevanza giuridica del documento informatico ha introdotto almeno quattro rischi, dei quali uno è di natura soggettiva, ed i restanti sono di tipo oggettivo.

In primo luogo, viene in rilievo il rischio relativo all’identificazione del soggetto. Seguono, ma non in ordine di importanza, i pericoli che riguardano l’incertezza del contenuto, l’indeterminatezza del tempo della stipulazione e l’indeterminatezza del luogo ove viene concluso il contratto digitale.

In via preliminare va rilevato, con riferimento ai contenuti del documento informatico, che essi sono riproducibili all’infinito. Tale postulato si può declinare nel senso in cui la rappresentazione informatica di una firma chirografa non può suscitare alcun affidamento, in quanto può essere facilmente riprodotta ed associata a contenuti diversi rispetto a quelli a cui era in origine destinata; un’osservazione che è di primo piano per proseguire con la presente analisi e che vuol sottolineare come gli strumenti di autentificazione di un documento informatico non possono consistere in una mera riduzione in forma elettronica dei metodi usualmente impiegati nell’autentificazione di una scrittura privata tradizionale.

Problemi specifici si pongono, poi, con riguardo al profilo della genuinità dei contenuti.

Venendo al problema dell’indeterminatezza del luogo di stipula, una prima osservazione concerne il fatto che alcuni supporti notoriamente impiegati per la documentazione informatica, ad esempio i compact disk[6] riscrivibili, o le pen drive[7], possono essere alterati senza che resti traccia della manipolazione effettuata[8].

Per ovviare a tali inconvenienti, sono state predisposte delle barriere logiche che consentono di limitare l’accesso alla creazione e alla modificazione del contenuto dei documenti informatici.

Una tecnica efficace per garantire la provenienza e la genuinità di una rappresentazione informatica, consiste nella predisposizione di uno sbarramento logico alla generazione e alla modificazione del contenuto. Tale sbarramento può essere costituito cifrando il testo destinato alla formulazione della dichiarazione in base ad un criterio noto al solo emittente[9].

Il metodo consiste nell’impiego di una chiave nota ad un solo soggetto che viene considerato l’unico titolare della firma generata: da quel momento in avanti, solo la chiave di cifratura può determinare il contenuto del documento.

Questo primo espediente costituisce, per certo, un metodo di autentificazione della provenienza e di attestazione della genuinità dei contenuti. La sua efficienza dipende, infatti, da alcuni fattori imprescindibili: primo fra tutti, la garanzia che le chiavi di attivazione dell’algoritmo di firma sono attribuite al soggetto che essa indica, andando a circoscrivere la cd. “paternità”. A ciò, segue la garanzia che le stesse restino nella disponibilità esclusiva di quel soggetto. Infine, si sottolinea la robustezza del sistema di cifratura impiegato.

È innegabile che tra il caso più rischioso dei documenti informatici riscrivibili privi di protezione e quello considerato più sicuro dei documenti muniti di firme elettroniche qualificate, esiste una gamma di situazioni intermedie.

In relazione a tali situazioni, il Legislatore ha disposto all’art. 10, secondo comma, del t.u.d.a., che è rimessa ad un discrezionale apprezzamento, da compiere con riferimento al caso concreto, la valutazione circa la sicurezza ed affidabilità dei metodi impiegati.

Si vuole a tal fine precisare come i rischi di falso documentale relativo alla provenienza di un documento informatico firmato, possono essere ricondotti a due classi fondamentali di patologie.

3. Primo vizio: la patologia della titolarità di firma

La prima anomalia è da ricondurre alla cd. patologia della titolarità della firma, che si verifica quando l’intitolazione della chiave è viziata.

Tale situazione si manifesta in due ipotesi: quando il vizio è genetico (errore del certificatore, falsa attestazione dell’identità del titolare), e quando il vizio è funzionale (attribuzione della chiave di firma già assegnata ad altri, smarrimento del dispositivo di firma).

Il fenomeno richiede, tuttavia, di essere introdotto da un distinguo che risulta preliminare all’individuazione prima, ed alla risoluzione poi, di questo specifico problema, ed attiene alle peculiari nozioni di “firma digitale” e di “chiave di firma”.

Mentre la prima è un valore simbolico, espresso in bit[10], che dichiara e documenta l’adesione di un soggetto ad un testo, indicandone la precisa identità, la seconda è un valore algebrico anch’esso espresso in bit, che invece connota in concreto le modalità di cifratura, rendendo diverso da ogni altro il risultato di quelle operazioni.

La “chiave” delle firme digitali è quindi il valore che consente la generazione (mediante la “chiave privata”) o la verifica (mediante la “chiave pubblica”) di una sottoscrizione, di una certificazione o di una marcatura temporale.

4. Secondo vizio: la patologia della circolazione della chiave di firma

La seconda categoria del problema in esame fa riferimento, invece, alla patologia della circolazione della chiave di firma, che si verifica ogni qualvolta avviene un uso non autorizzato della stessa.

Più specificamente, viene compromessa l’esclusività sull’impiego di chiavi di firma validamente attribuite.

Passando in rassegna qualche ipotesi, ciò può avvenire a causa dell’installazione di software[11] destinati ad attivarsi in occasione dell’impiego di un dispositivo personale per la creazione di una firma. In tale occasione, i programmi sfruttano i dati utilizzati per generare la firma voluta dal suo titolare per apporre la stessa contemporaneamente anche ad altri file, senza che egli lo sappia.

I software possono essere installati sia all’insaputa o contro la volontà dell’utente del dispositivo di firma, sia contro quella del titolare del sistema hardware[12] al quale il dispositivo viene applicato (in tal caso si tratta dell’intrusione di virus informatici).

La loro presenza può non essere rilevata dall’utente della macchina e il loro impiego per la creazione di documenti contraffatti non lascia traccia sugli stessi.

Nei paragrafi che seguono, si vogliono considerare alcune ipotesi di falso – lungi dalla pretesa di esaurire tutte le fattispecie possibili – col modesto intento di offrire un campione utile alla prospettazione di alcune soluzioni – come si auspica – ai problemi che possono porsi nella pratica.

Posto che vi sono alcune patologie che possono verificarsi sia al momento della certificazione di una coppia di chiavi simmetriche (quelle che abbiamo già inquadrato come “patologie della titolarità”), sia al momento della loro intitolazione (le “patologie dell’intitolazione”, per l’appunto), per tale ragione non si può escludere a priori che anche la dichiarazione sottoscritta con firma digitale venga resa sotto falso nome o sotto nome altrui o, in ogni caso, da un soggetto diverso da colui che risulta essere titolare della firma[13].

Sebbene sia uno fra quelli in cui è meno auspicabile imbattersi, si tratta di uno dei fenomeni di contraffazione più diffusi: in particolari situazioni, può accadere che, al momento della certificazione della chiave pubblica, la stessa sia compiuta indicando un nome immaginario o il nome altrui. In questo modo, non solo il documento informatico sottoscritto con la chiave privata di quella coppia potrebbe essere imputato ad una persona inesistente, ma potrebbe anche accadere che venga imputato ad una persona esistente e tuttavia diversa da colui che utilizza quella firma digitale. Quello appena citato è, certamente, un caso paradigmatico di patologia genetica della titolarità.

Per scongiurare questo pericolo, il regolamento fa obbligo al certificatore di “identificare con certezza la persona che fa richiesta della certificazione”[14].

Se, infatti, il certificatore indica falsamente l’identità del titolare di una firma, poco importa se a motivo di dolo o di colpa, è tenuto obbligatoriamente a risarcire il danno che ne consegue a titolo di responsabilità extracontrattuale, se il danneggiato è un terzo che sia stato indotto a fare affidamento sulla falsa attestazione compiuta dal certificatore, oppure a titolo di responsabilità contrattuale, se il danneggiato è il titolare stesso che non abbia potuto conseguire gli effetti della dichiarazione compiuta in forma elettronica a causa dell’erronea attribuzione della sottoscrizione.

Infatti, per un corretto svolgimento dell’operazione, è necessario non solo che il titolare della chiave pubblica sia colui che effettivamente la diffonde come propria, ma anche che questo soggetto possa fare affidamento in ogni momento sulla corretta certificazione dell’attribuzione della propria firma.

Giova ricordare, a questo proposito, che la legge penale non muta né la specie né tantomeno il quantum di pena da irrogare in relazione al campo di applicazione – virtuale o non virtuale - in cui è chiamata a produrre i suoi effetti e pertanto, sia che si tratti di firme tradizionali, sia che si tratti di firme elettroniche qualificate, se l’imputazione della regiudicanda è la falsità in atti o la certificazione in nome altrui, s’intende comunque integrato il reato di “sostituzione di persona”, disciplinato all’art. 494 del c.p.

Si tratta, peraltro, di un tipo di illecito che nei più recenti anni, caratterizzati dall’avvento delle tecnologie informatiche e telematiche, ha assunto una consistenza ed una diffusione tali da suscitare un permanente allarme sociale tra la popolazione civile. I mezzi di cui la criminalità del web si serve per compiere i propri traffici illeciti sono i più comuni, e fra questi vi è proprio l’utilizzo della posta elettronica.

La giurisprudenza di legittimità è unanime nel ritenere che integra il reato di sostituzione di persona (art. 494 c.p.), la condotta di colui che crei ed utilizzi un account di posta elettronica, attribuendosi falsamente le generalità di un diverso soggetto, inducendo in errore gli utenti della rete Internet nei confronti dei quali le false generalità siano declinate e con il fine di arrecare danno al soggetto le cui generalità siano state abusivamente spese, subdolamente incluso in una corrispondenza idonea a lederne l’immagine e la dignità[15].

Si vuole ora accennare ad una delle più conclamate patologie della circolazione della chiave di firma, che ha luogo allorché si fa un uso negativo e disfunzionale della crittoanalisi[16].

In taluni e particolari casi, infatti, la crittoanalisi consiste nell’attività orientata a forzare un sistema per conoscere la chiave privata da utilizzare per scopi illeciti, ad esempio per la generazione della firma altrui.

Analizzando il contenuto di un testo cifrato attraverso particolari tecniche statistico – matematiche, si possono ottenere essenziali informazioni sul testo in chiaro. Per fortuna, svolgere questa operazione non è sempre possibile, in quanto la maggior parte dei cifrari moderni è ancora al sicuro perfino dalla minaccia delle più sofisticate tecniche di crittoanalisi.

Per comprendere il senso di tale pericolo, può tornare utile svolgere un ragionamento simile a quello compiuto per la generazione di una firma digitale. Come si è già detto, l’attività connessa alla tipologia di firma cosiddetta “digitale” non si declina in un mero sottoscrivere, bensì in un cifrare, motivo per cui tendenzialmente si parla di “crittografia”, prim’ancora che di crittoanalisi.

In particolare, il valore che esprime il contenuto di un documento o una sua rappresentazione sintetica, detta “impronta[17]”, può essere sottoposto ad un trattamento informatico tramite un procedimento che impiega una chiave (la chiave privata, per definizione) per ottenere un contenuto cifrato (la firma).

Applicando lo stesso procedimento alla firma, ma questa volta con la chiave pubblica, si può ottenere come risultato il messaggio di partenza[18].

Gli algoritmi attualmente riconosciuti dal DPCM 8 febbraio 1999 per la generazione e la verifica delle firme digitali sono solo due e sono noti (art. 2): l’algoritmo R.S.A. (o “Rivest – Shamir – Adlemn Algorythm[19]”) e l’algoritmo D.S.A. (o “Digital Signature Algorithm[20]”).

Quando si fa riferimento ad un algoritmo crittografico, è fondamentale poter riscontrare la presenza di quattro caratteri:

1. Autenticazione: processo tramite il quale si attesta l’identità di ciascun partecipante ad una comunicazione;
2. Segretezza: è essenziale che nessuno possa leggere un messaggio, fatta eccezione per il destinatario desiderato;
3. Integrità: si riassume nella protezione da modifiche non autorizzate operate sul messaggio trasmesso (il materiale inviato al destinatario non deve, cioè, poter essere alterato prima della consegna);
4. Non ripudio: si tratta di un meccanismo atto a fornire la certezza che chi trasmette un messaggio non possa negare di averlo inviato.

La chiave pubblica e la chiave privata sono due valori tra loro legati da algoritmi noti, ma che, utilizzando i principi dell’aritmetica modulare[21], non consentono di risalire dall’uno all’altro attraverso sistemi matematici diretti, ma solo per tentativi. Ecco spiegato il motivo per cui non sempre si può assicurare la buona riuscita della crittoanalisi su un messaggio privato.

Si è parlato di una sorta d’invulnerabilità del sistema di cifratura a chiavi simmetriche, perché, allo stato delle tecniche note, il crittoanalista non può fare altro che procedere per tentativi, i quali, in base a valutazioni di carattere statistico, per forzare una coppia di chiavi asimmetriche di robustezza media tendono ad essere miliardi di miliardi[22].

Nondimeno, da una parte, non si può escludere la possibilità teorica che il tentativo di crittoanalisi riesca in tempi tali da consentire la forzatura del sistema prima che la chiave sia scaduta di validità; dall’altra, anche se per il momento non si conosce un sistema per forzare una coppia di chiavi asimmetriche, non esiste una dimostrazione teorica che escluda la possibilità di elaborare un simile sistema.

Il metodo delle firme digitali, pertanto, si può ritenere affidabile solo in considerazione dello stato attuale delle tecniche di crittoanalisi, e cioè solo se non verrà elaborato un modello matematico che consenta di risalire dalla firma alla chiave privata impiegata per generarla. In teoria, dunque, la crittoanalisi potrebbe anche avere successo. In tal caso, dalla conoscenza della chiave pubblica e dalla notorietà dell’algoritmo utilizzato per creare la coppia di chiavi asimmetriche, si potrebbe ricavare il valore della chiave privata.

Più tempo passa, più tentativi si possono compiere, più aumenta la possibilità di riuscire nella ricostruzione della parte segreta della coppia di chiavi[23]. Proprio per questo, il regolamento stabilisce che la chiave pubblica (e, con essa, l’intera coppia di chiavi), ha un periodo di validità limitato nel tempo. L’obiettivo è quello di massimizzare la protezione.

L’art. 22, lett. f, t.u.d.a., che escludeva che le chiavi potessero avere un periodo di validità superiore a tre anni, è stato abrogato dall’art. 8 d.P.R. n. 137/02.

Esse, infatti, per la loro sopravvenuta riproducibilità, non potrebbero più essere considerate come strumento di autentificazione informatica ai sensi dell’art. 1, lett.cc, t.u.d.a. e, dunque, non sarebbero più riconducibili alla definizione normativa di firma elettronica.

Si vogliono citare, a titolo di esempio, alcune fra le più note e affinate tecniche di crittoanalisi attuabili mediante le combinazioni possibili del cifrario:

1. Brute-force[24]: avviene tramite il calcolo di tutte le possibili combinazioni di chiavi del cifrario. Con l’aumento della potenza di calcolo degli elaboratori questa tecnica sta diventando sempre più efficace; basti pensare al Cracking[25] del DES a 56 bit[26] con un computer multiprocessore costruito dall’EFF in grado di violare l’algoritmo in meno di tre giorni di calcolo.
2. Crittoanalisi differenziale: avviene tramite l’analisi delle distanze numeriche dei caratteri presenti nel testo cifrato e l’ausilio di sofisticate tecniche matematiche unite ad algoritmi sempre più veloci.
3. Man-In-The-Middle[27]: sfruttando il sistema delle infrastrutture PKI[28], un eventuale intruso può posizionarsi tra un mittente ed un destinatario e scambiare le loro chiavi pubbliche e private con altre opportunamente modificate.

Dalla presente analisi è possibile evincere che le tecniche di crittoanalisi diventano sempre più sofisticate grazie all’aumento della potenza di calcolo dei computer; tuttavia, solo con la condivisione delle informazioni e delle tecniche degli algoritmi crittografici si può ottenere maggiore controllo. Per questo ed altri motivi di carattere logistico, la filosofia open source[29] è divenuta strumento di vitale importanza per il settore crittografico: gli algoritmi crittografici più importanti ed utilizzati da tutti devono necessariamente essere di pubblico dominio, in quanto, ad oggi, è quasi impensabile potersi fidarsi delle “black box”[30].

Ciò nonostante, è inevitabile un risvolto negativo della medaglia: l’evoluzione della rete e l’aumento di processori connessi alla rete Internet, ci dimostrano quanto, in ogni caso, la prevenzione e la sicurezza siano ancora gli ultimi, fidati, approdi di un’informazione basata sulla trasparenza.

5. Focus su un caso concreto di contraffazione: Il caso Green Pass

In Italia, a seguito della diffusione della pandemia da Covid – 19 avvenuta all’inizio del 2020, è stata introdotto il possesso della certificazione verde, indicata comunemente con l’espressione “Green Pass[31]”, come documento con effetti di pubblicità per coloro che si fossero vaccinati con la prima dose di mRNA[32]; il possesso del certificato, inizialmente facoltativo e richiesto in extrema ratio per partecipare a talune attività di carattere pubblico come cerimonie civili e religiose, nonché per accedere a residenze sanitarie assistenziali, spostarsi in entrata e in uscita da territori classificati come “zona rossa” o “zona arancione”, dal 6 agosto 2021 è divenuto ufficialmente obbligatorio per accedere a tutti i servizi e le attività, nei luoghi chiusi e destinati al pubblico[33].

Successivamente, dal 1° settembre 2021, l’obbligo di esibizione, insieme all’obbligo di indossare la mascherina FPP2[34], è stato esteso anche al personale scolastico e universitario e agli studenti, nonché a chi utilizza alcuni mezzi di trasporto[35].[13]

Sul versante amministrativo, e salvo che il fatto non costituisca più grave reato - nei confronti del quale è prevista la pena detentiva – per chi non è provvisto di valida certificazione e acceda comunque nei locali o alle attività in cui è richiesta l’esibizione, la legge prevede che sia elevata una sanzione pecuniaria compresa fra € 400,00 ed € 1000,00.

Queste misure sanzionatorie, previste tassativamente dal Codice ed inserite nei decreti adottati dal Governo come misure d’urgenza per il contenimento della pandemia, dovrebbero produrre almeno due tipi di effetti sulla popolazione civile.

In primo luogo, dovrebbero disincentivare, o almeno scemare grandemente, qualsiasi tendenza alla violazione degli obblighi di legge; in secondo luogo, dovrebbero condurre la popolazione a temere una severa repressione da parte delle autorità avverso quelle che si possono definire, a tutti gli effetti, delle condotte antisociali. Tuttavia, i numerosi episodi di contrasto alle disposizioni di legge intercorsi nel biennio appena trascorso, hanno dimostrato esattamente il contrario nella misura in cui hanno dato luogo a diversi episodi di criminalità.  

Altra questione - che si colloca in via preliminare a qualsiasi valutazione di merito - riguarda il sistema attraverso la quale la stessa certificazione opera. Prodromica a qualsiasi operazione successiva è, infatti, la funzione svolta dal meccanismo di autenticazione. La certificazione, emessa esclusivamente dalla Piattaforma nazionale del Ministero della Salute a seguito di avvenuta somministrazione del vaccino contro il Covid-19, contiene un codice bidimensionale (cosiddetto “QR Code[36]”) che permette di verificarne l’autenticità e la validità attraverso un sistema di crittografia a doppia chiave. Ogni certificazione viene pertanto prodotta digitalmente con una chiave privata dall’Ente che la rilascia (che, in Italia, è il Ministero della Salute).

Le chiavi private, a loro volta, assicurano l’autenticità delle certificazioni, e vengono custodite in sistemi di massima sicurezza. Le corrispondenti chiavi pubbliche vengono poi utilizzate per verificare le certificazioni attraverso le applicazioni di verifica (in Italia è la “VerificaC19[37]”), in possesso delle esclusive amministrazioni delegate dal singolo Stato.

Questo sistema di crittografia, cd. a doppia chiave, assicura che non sia possibile risalire dalla chiave pubblica alla chiave privata e quindi risolve il maggiore problema rendendo impossibile produrre certificazioni non autentiche.

Ciò consente, in primo luogo, di non essere coinvolti in fenomeni di traffici indesiderati – viene in rilievo, a tal proposito, la nota operazione di contraffazione e di vendita diffusa di certificati falsi, fortemente agevolata da una varietà di canali telematici come Telegram, anche nota come "Fake Pass[38]"  - sia di non esporsi a quelle che potrebbero essere delle pesanti conseguenze penali che avrebbero luogo all’integrarsi di diverse fattispecie tipizzate: nel caso di esibizione di certificato contraffatto (integrabile la falsità materiale commessa da privato, art. 482 c.p.), uso di certificato falso (integrabile l'uso di atto falso, art. 489 c.p.), esibizione di certificati altrui (integrabile il delitto di sostituzione di persona, art. 494 c.p.).

6. Attacco alle chiavi private: Il fenomeno "Man In The Middle"

Con riguardo al campo della crittografia, che si edifica sul requisito della confidenzialità, tipico della sicurezza informatica, si è accennato all’esistenza del fenomeno “Man in The Middle” ogni volta in cui si presenta il rischio di subire un trafugamento dei propri dati sensibili a seguito dell’introduzione di un soggetto esterno tra il mittente e il destinatario di una conversazione telematica.

Ciò può avvenire tra conversazioni instauratesi fra privati, ma anche fra dispositivi aziendali che effettuano tra loro transazioni economiche.

Pertanto, in questa sede, si vuole tentare di approfondire la questione prestando maggiore attenzione alle dinamiche di questa tipologia di attacco, ormai sempre più frequente sui canali della rete Internet, luogo privilegiato per la loro diffusione.

Nella fattispecie ad oggetto, può accadere che in una connessione instauratasi in maniera legittima tra due utenti o due dispositivi, un terzo soggetto si pone illegittimamente “in the middle”, cioè nel mezzo, per perseguire i propri scopi illeciti.

L’attacco più diffuso è quello che avviene all’interno di una rete Wi-Fi pubblica non crittografata, come la rete degli aeroporti, dei bar o di altri esercizi commerciali. Tuttavia, diversi sono gli attacchi MITM praticabili, per citarne alcuni: Rogue access point[39], IP spoofing[40], DNS spoofing[41], HTTPS spoofing[42], Sniffing[43].

Occorre premettere che negli ultimi anni, i più esperti produttori di software, uniti agli ingegneri qualificati del settore ICT[44], hanno ottenuto qualche risultato positivo dopo essersi posti l’ambizioso obiettivo di arenare il MITM mediante la realizzazione del protocollo di rete HTTPS[45] che, a differenza del precedente protocollo http, è più sicuro perché crittografato.

Tuttavia, prima di proseguire con l’analisi del suddetto protocollo, una breve digressione va fatta in merito alla nozione di crittografia.

La crittografia permette di effettuare una conversione dei dati da un formato leggibile in un formato codificato il quale, a sua volta, può essere letto solo dopo che è stato decrittato. Pertanto, solamente la persona autorizzata alla lettura può decriptare i dati e accedere alle informazioni nel formato originale.

Tuttavia, dal vasto campo della cyber security apprendiamo che, oltre ai noti sistemi di cifratura a chiave simmetrica ed asimmetrica, esiste un terzo tipo di crittografia, detto end – to – end[46], utilizzato principalmente dalle piattaforme social WhatsApp, Messenger e Telegram.

La sua peculiarità è insita nel fatto che permette di proteggere la privacy e le comunicazioni mediante l’uso di un doppio paio di chiavi crittografiche necessarie per cifrare e decifrare i messaggi in viaggio da un punto all’altro della comunicazione.

Ogni utente, infatti, utilizzerà una chiave pubblica e una chiave privata, legate tra loro in maniera reciproca. La chiave privata è destinata a rimanere sul dispositivo dei due “comunicanti”, e servirà a decrittare i messaggi in arrivo; la chiave pubblica, invece, sarà condivisa con l’interlocutore e sarà utilizzata per crittografare i messaggi in uscita. Questa cifratura permette di rendere innocui tentativi di attacco Man in The Middle, che mirano a trafugare dati e informazioni personali “intercettando” le comunicazioni tra due o più utenti.

Tutto ciò ci permette di compiere alcune riflessioni.

Da un lato, l’evoluzione della tecnologia e l’uso frequente che di essa facciamo, ci impone un’evidente responsabilità nei confronti dei nostri dati sensibili i quali, di fatto, rappresentano una chiara trasposizione dei nostri dati identificativi sul piano virtuale. La valenza di un documento personale cartaceo come la carta d’identità, o il codice fiscale, non ha nulla in più rispetto ad una certificazione digitale che possiede gli stessi contenuti.

Inoltre, la cultura dell’informazione, che ormai si diffonde soprattutto attraverso la rete, ci mostra come la sicurezza informatica si muova necessariamente attraverso due direttrici.

La prima è nel senso di realizzare prima, e promuovere dopo, dei validi sistemi di firewall[47]. Nel far ciò, affida ai senior consultant[48] delle società di consulenza informatica lo sviluppo di nuove soluzioni software per i clienti, sfruttando la confidential computing technology e gli Smart contracts, per creare nuove app che massimizzino la fiducia, promuovano la tutela della privacy e la sicurezza dell'individuo.

La seconda direttrice, seguendo le sorti della prima, attraversa il campo dell’installazione degli aggiornamenti, ne promuove la pubblicità, lavora sulla fidelizzazione degli utenti incentivandoli alla conoscenza delle più sofisticate tecniche di protezione dei propri dispositivi. E questo, di riflesso, rappresenta senz’altro un bene per la comunità degli internauti.

Questa digressione, utile per ricollegarsi alla questione della sicurezza dei protocolli di rete, risulta tanto più imprescindibile laddove si vuol porre in risalto la circostanza tale per cui neanche l’HTTPS, oggi, fornisce una garanzia di sicurezza assoluta, poiché il malintenzionato che si serve del Man in The Middle per accedere ad un dispositivo elettronico, può avere ugualmente accesso ad una serie di dati illeggibili.

Queste osservazioni sono fondamentali per comprendere come, non essendo possibile prevenire le mosse dell’offensore in un campo talmente ignoto quale è quello dell’underground criminale, la miglior difesa contro questo tipo di attacchi è la prudenza.

Il vasto settore della sicurezza informatica, per queste ragioni, ha congegnato una serie di accorgimenti e di strumenti adeguati a garantire prudenza.

È necessario, innanzitutto, evitare di connettersi ad hot - spot[49] pubblici poiché spesso si tratta di reti Wi-Fi con misure di sicurezza minime o, nella peggiore delle ipotesi, sprovviste di crittografia.  

In secondo luogo, utilizzare una VPN – acronimo per Virtual Private Network[50] -, potrebbe essere una soluzione efficace contro un attacco simile, perché le VPN provvedono ad applicare una propria crittografia a tutto il traffico veicolato. Va da sé che la stessa sicurezza di una VPN è proporzionale alla serietà e all’efficienza del provider che la fornisce.

Per proteggersi invece dagli attacchi MITM basati su malware[51] il requisito più importante è, banalmente, quello di non installare malware; inoltre, occorre monitorare con frequenza il proprio antivirus ed effettuare gli opportuni aggiornamenti, compresi quelli di Windows Update per tenere aggiornato il sistema operativo.

L'utilizzo di una piattaforma di gestione delle password dotata di adeguate funzionalità di sicurezza per la rete garantisce che tutte le credenziali di accesso aziendali siano conservate al sicuro.

Una caratteristica anti-MITM importante è la crittografia end-to-end che i maggiori software di sicurezza informatica che proteggono milioni di utenti, fra privati e aziende, hanno integrato con la condivisione da cassetta a cassetta utilizzando la PKI (acronimo per Public Key Infrastructure).

Ciò significa che i criminali informatici non possono intercettare le password o altre voci condivise in transito.

L’infrastruttura a chiave pubblica è un insieme di processi e mezzi tecnologici che consentono a terze parti fidate di verificare, o farsi garanti dell'identità di un utente, oltre che di associare una chiave pubblica a un utente, normalmente per mezzo di un software distribuito in modo coordinato su diversi sistemi. Le chiavi pubbliche, tipicamente, assumono la forma di certificati digitali.

Tecnicamente, l’infrastruttura è composta da software client, software server[52] (ad esempio un'autorità di certificazione), hardware (come smart card[53]) e procedure operative. Un utente potrebbe, quindi, firmare i propri messaggi con la sua chiave privata, ed un altro utente controllare questa firma usando la chiave pubblica contenuta nel certificato del mittente, fornito dall'autorità di certificazione facente parte della PKI. Questo meccanismo consente a due, o più, parti desiderose di comunicare di verificare la confidenzialità, l'integrità dei messaggi e l'autenticazione degli utenti senza il bisogno di un precedente scambio di informazioni segrete.

7. Conclusioni

Al netto delle riflessioni compiute circa l’urgenza di sperimentare nuove e alternative forme di proposte contrattuali - un’urgenza, a ben vedere, imposta dall’era mutevole della digitalizzazione dei mercati - non si può non considerare la centralità dei temi che riguardano la protezione della persona dalle insidie tecnologiche pervasive.

Emergono, in tale contesto, i tratti distintivi dei rapporti asimmetrici tra i consumatori e le piattaforme digitali, nonché quelli dei titolari del trattamento dei dati personali che richiedono una protezione normativa convergente tra i settori regolatori contigui della tutela dei consumatori e della tutela dei dati personali.

Pertanto, lo strumentario rimediale protettivo della persona consumatore – contraente debole deve essere, oltre che individuale, anche metaindividuale nel senso di poter rafforzare ulteriormente la protezione nella dimensione collettiva propria delle azioni di classe e, in ultima istanza, anche di deterrente sanzionatorio a tutela della trasparenza e correttezza dei mercati digitali.

Tale convergenza risulta, infatti, in linea con le più recenti evoluzioni normative europee nel solco di un apparato nato con il GDPR e poi evolutosi con la recente direttiva UE 2161/2019[54].  Tutto ciò dimostra come, pur mantenendo fissa la stella polare del Codice civile, anche in Europa il quadro regolatorio si avvia ad un consolidamento delle molteplici fonti e ad un’uniformità di orientamenti che vorranno essere la base per un nuovo mercato unico improntato alle transazioni telematiche di nuova generazione.