Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Michele Pinassi : 27 Gennaio 2022 14:55
Autore: Michele Pinassi
Data Pubblicazione: 27/01/2021
Acquista il corso Dark Web & Cyber Threat Intelligence (e-learning version)
Il Dark Web e la Cyber Threat Intelligence rappresentano aree critiche per comprendere le minacce informatiche moderne. Tra ransomware, data breach e attività illecite, le organizzazioni devono affrontare sfide sempre più complesse per proteggere i propri dati e le infrastrutture. Il nostro corso “Dark Web & Cyber Threat Intelligence” ti guiderà attraverso i meccanismi e le strategie utilizzate dai criminali informatici, fornendoti competenze pratiche per monitorare, analizzare e anticipare le minacce.
Accedi alla pagina del corso condotto dall'Prof. Pietro Melillo sulla nostra Academy e segui l'anteprima gratuita.
Per un periodo limitato, potrai utilizzare il COUPON CTI-16253 che ti darà diritto ad uno sconto del 20% sul prezzo di copertina del corso
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Sul portale delle Iscrizioni OnLine del Ministero dell’Istruzione sono installati dei tracker di Google. E la risposta alla richiesta di spiegazioni non è stata particolarmente convincente, motivandone la presenza per non meglio precisati “motivi di sicurezza”.
Tutto inizia da una esigenza burocratica improrogabile, da espletare necessariamente online su un portale ministeriale dedicato allo scopo: l’iscrizione del figlio a scuola. Da buon curioso quale sono, mi ha insospettito la segnalazione di voto “C+” del privacy inspector di DuckDuckGo sulla presenza di tre trackers nella pagina:
googletagmanager.com Analyticsgoogleads.g.doubleclick.net Advertisingstatic.doubleclick.net Advertising
Ma perché Google, una azienda privata dalle spesso criticate politiche sulla privacy, dovrebbe sapere che io sono andato su quelle pagine, dedicate all’iscrizione dei nostri figli alla scuola pubblica? E perché un Ministero dovrebbe includere, nelle proprie pagine, il tracker di Google Analytics (ricordo che l’Agenzia per l’Italia Digitale mette a disposizione una soluzione web analytics, dedicata proprio ai portali istituzionali) e due di pubblicità?
Insomma, personalmente l’ho ritenuta una cosa inopportuna, anche alla luce del recente pronunciamento dell’autorità garante della privacy austriaco che, rifacendosi alla sentenza Schrems II, ha dichiarato che Google Analytics non rispetterebbe il regolamento europeo sulla protezione dei dati personali 2016/679 “GDPR”.
Inoltre, opinione meramente personale, l’uso di Google Tag Manager è forse anche peggiore di quello di Google Analytics, perché delega una bella fetta del controllo del codice js da inserire nella pagina HTML inviata sul browser dell’utente a Google, inserendo –appunto– anche snippets pubblicitari come quelli di doubleclick.net.
le connessioni generate dai trackers, bloccate da uBlock Origin e DuckDuck Privacy Essential
In ogni caso, sentenza o meno, la costante e pervasiva presenza di trackers privati anche sulle pagine governative e degli Enti pubblici la trovo molto fastidiosa: una pubblica amministrazione che sta facendo, secondo il Piano Triennale ICT per le PA, del digitale il principale strumento per l’erogazione dei servizi ai cittadini, l’ultima cosa che ci si aspetterebbe è che queste piattaforme siano al servizio della raccolta dati da parte di aziende private.
Decido di chiedere chiarimenti e, dopo qualche giorno, ricevo una risposta che, in tutta sincerità, mi ha lasciato non poco perplesso.
Secondo quanto asserito dallo scrivente, la mia segnalazione è stata girata dal DPO (o RPD che dir si voglia) del Ministero. Già qui, non ho ben capito come mai non mi ha risposto il DPO, considerando che la questione è squisitamente legale, più che tecnica. Ma ciò che mi ha lasciato perplesso è la risposta sulla motivazione della presenza di Google Analytics, che riporto integralmente: “è esclusivamente finalizzato al logging per motivi di sicurezza delle operazioni di accesso“.
Eeh?
…“mentre non registra ed utilizza alcun dato di tracciatura dell’utente”...
Eeeeeh?!?
Qualcosa non quadra, è evidente. Innanzi tutto, Google Analytics non ha niente a che vedere con la sicurezza: è uno strumento usato per analizzare le visite al proprio sito web e capire il comportamento degli utenti. C’è poi una evidente incongruenza: se non registro e non uso alcun dato, su quali criteri applico le misure di sicurezza? Insomma, non voglio infierire oltre ma, sinceramente, credo che chi ha scritto questa risposta debba essersi un attimo confuso.
lo snippet del codice js che include Google Tag Manager nelle pagine del Ministero
Sull’utilizzo dei dati, sicuramente quelli visualizzati dal Ministero -gestore del relativo account Google Analytics- saranno aggregati e pseudoanonimizzati, come indicato.
O forse NO, perché stando alla documentazione di Google Tag Manager sull’anonimizzazione dell’IP, la configurazione di gtag.js presente sul sito del Ministero non la include. In ogni caso, resta il fatto che ogni qualvolta un utente visita la pagina d’iscrizione del figlio a scuola, il suo PC effettua connessioni anche verso i servizi di Google, fornendo a Google stesso informazioni quali IP, tipo di browser, lingua… e molte altre informazioni usate per profilare e tracciare gli utenti attraverso il web.
Un altro aspetto francamente incomprensibile è che le pagine incriminate sembrano adottare già una soluzione di web analytics basata su Piwick (oggi Matomo), che probabilmente sarebbe già ampiamente sufficiente agli scopi di analisi del traffico. Non si spiega, quindi, perché aggiungere a essa anche Google Tag Manager.
La mia personale impressione è che, ancora, non ci sia una consapevolezza di cosa siano, come funzionano e quali sono le implicazioni “politiche” nell’uso di certi strumenti di tracciatura. Attratti da strumenti sicuramente ben fatti, efficienti, funzionali e comunque “usati da tutti“, oltre che forniti con la falsa illusione della “gratuità“, si ignorano le ripercussioni per i diritti degli esseri umani, tra cui c’è anche quello di non essere continuamente controllati e spiati in ogni momento, anche quando si naviga sul web. Una raccolta di dati continua e invasiva, difficile da controllare, impossibile da gestire e, soprattutto, opaca e potenzialmente permanente.
Secondo il portale WhoTracks.me, Google è responsabile della quasi totalità (circa l’80%) di tutti i tracker presenti in Rete, raccogliendo e analizzando le abitudini di miliardi di utenti in tutto il mondo. E può farlo perché, appunto, molti si fermano all’aspetto “esteriore” del servizio offerto, senza valutarne le implicazioni sociali, economiche e politiche.
Google è una azienda privata, una multinazionale che fattura miliardi di dollari anche grazie alle sue straordinarie potenzialità di analisi, rese sempre più efficienti dall’enorme quantità di dati raccolti ogni giorno: è normale che il suo obiettivo sia fare business. Meno normale, secondo il mio modesto parere, che la Pubblica Amministrazione renda noi cittadini clienti più o meno consapevoli del gigante di Mountain View.
Per finire, quindi, una domanda retorica, che vuole più essere un appello, al Dirigente dei servizi informatici del Ministero, da estendere a tutti gli altri dicasteri, Enti e strutture pubbliche italiane: è proprio necessario usare questi strumenti sulle pagine web istituzionali?
Proteggere la propria privacy durante la navigazione sul Web è complicato ma, fortunatamente, esistono strumenti che possono semplificarlo. Consiglio vivamente l’uso di un browser come Firefox e le estensioni uBlock Origin, DuckDuck Privacy Essentials, Google Container, Facebook Container, Decentraleyes. Ricordatevi anche di disabilitare, se non necessario, WebRTC.
Una delle migliori raccolte degli strumenti per la tutela della privacy è privacytools.io.
Michele Pinassi