Immuni, si chiamerà così la app di contact tracing per il covid19. La società italiana Bending Spoons, vincitrice della selezione pubblica, dovrà sviluppare la app “nazionale” per il tracciamento dei contatti positivi al Coronavirus, che ci tiene chiusi in casa ormai da due mesi. Lo sviluppo procederà insieme ad un partner pubblico ancora non individuato. La società in questione ha già prodotto diverse app presenti negli store pubblici di Google e Apple, e quindi sembra essere alla sua portata lo sviluppo di una app accattivante e adeguata ai livelli di adozione richiesti.
Vi sono però diverse perplessità che stanno circolando tra gli addetti: una per tutte l’assenza di esperti di sicurezza informatica nella squadra di valutazione delle proposte (non solo sul contact tracing) arrivate al dicastero del Ministro Pisano. Molti si sono infatti chiesti come possano valutare appieno le proposte tecniche se non hanno tutte le competenze necessarie. Sicurezza e privacy vanno a braccetto, perché non c’è privacy senza sicurezza e l’assenza di un esperto del settore grida vendetta e lascia spazio a tesi complottiste.
Ma, come detto, la sicurezza non è l’unico aspetto ad aver destato qualche perplessità. Ecco altre questioni oggetto di dibattito:
- Resilienza: l’app dovrà funzionare in ogni condizione e dopo il “fattaccio” Inps la cosa non è affatto scontata
- Distribuzione: distribuire l’app in tutti i dispositivi dei cittadini italiani, richiederà cicli di sviluppo e di aggiornamento molto accurati, anche per supportare dispositivi non aggiornati, questo complica non poco il ciclo di vita del software
- Esperienza utente: l’interfaccia grafica dovrà essere semplice ed immediata per favorire una buona esperienza utente, anche per persone poco smart con i dispositivi digitali, e forse questo è il punto meno dolente visto il pedigree di Bending Spoons
- Sicurezza: una app installata in quasi tutti i dispositivi italiani è un boccone troppo ghiotto per i cyber criminali o servizi segreti stranieri. La app rischia infatti di divenire un cavallo di troia nei cellulari degli ignari cittadini con possibili fughe di dati sanitari o controllo remoto del dispositivo
- Privacy: vi è un forte dibattito in atto sui due modelli possibili di implementazione: il progetto “DP3-T”, il più garantista per la privacy, che memorizza i dati personali e sanitari unicamente nei device utente, ed il “PEPP-PT”, il meno garantista appoggiato da molti governi europei tra cui l’Italia, che invece veicola tutto ad un sistema centrale per le correlazioni; intanto Apple e Google si sono accordate per delle API comuni molto vicine al modello DP3-T
- Efficacia: se l’aspettativa è quella di tracciare i contatti con persone positive al covid19, come sembra, allora la app dovrà essere estremamente diffusa, resiliente, semplice da usare ed infine dovrà garantire la sicurezza e privacy dei dati sanitari
Proprio la diffusione dell’app non sarà affatto scontata, ed è forse questo il vero di tallone di Achille. Gli Internauti italiani che si collegano quotidianamente infatti sono circa il 53% della popolazione totale, ed è chiaro che chi lo fa da uno smartphone rappresenta una percentuale ancora minore (e di molto). Il Governo stava addirittura pensando di limitare i futuri spostamenti personali per chi non installerà la app. Ipotesi sembra tramontata dopo la sollevazione generale. Ma l’obiettivo del 60% di penetrazione nella popolazione per l’efficacia della app sembra essere assai lontano.
Sarà fondamentale anche la reputazione: che cosa accadrebbe se si venisse a scoprire che la app o i sistemi di backend sono stati attaccati con successo da cyber criminali o, peggio, servizi segreti esteri, o magari se si verificasse ancora un altro epic fail (vedi Inps) che ne decreterebbe la fine?
In ultimo vediamo un aspetto tecnico fondamentale per tutta l’operazione: il software. Questo verrà rilasciato con licenza d’uso “aperta, gratuita e perpetua” dalla società allo Stato. Ma il diavolo è nei dettagli e qui ce ne sono a iosa:
- Non viene specificato cosa si intende per “software” rilasciato, ovvero se sarà solo quello delle app native su iOS e Android o anche quello dei servizi di back-end
- Non viene specificato che tipo di licenza “open source” verrà utilizzata
- Non viene specificato chi avrà accesso ai sorgenti: la società pubblica partner di Bending Spoons o qualunque cittadino?
- Non viene specificata l’infrastruttura utilizzata per la pipeline di distribuzione e di esecuzione della app, e se, come è plausibile pensare, sarà una infrastruttura cloud, allora i problemi di privacy aumenteranno e non di poco
- Non viene specificato chi farà le revisioni di sicurezza e privacy dei sorgenti: una public review, un hackathon pubblico, il DIS (e quindi i nostri servizi), il Garante per la Privacy?
Intanto anche il Parlamento italiano muove le prime pedine, attivando il Copasir che sembra stia sollecitando i nostri servizi segreti a dare risposte in merito. Insomma, troppe questioni ancora poco chiare per una app che potrebbe effettivamente ridarci un pezzo di libertà perduta.
