Information Society & ICT Law

Leggo da un articolo di Repubblica intitolato “Furti di account e vittime vip. Ora Facebook corre ai ripari“, che il noto social network, dopo le vulnerabilità riscontrate negli account di Sarkozy e dello stesso fondatore Mark Zuckerberg, sta approntando nuove misure di sicurezza.

Tra tali misure viene indicata l’ “autenticazione sociale“. Si tratta, in sostanza,  di una procedura di verifica basata su elementi “sociali” in ordine all’identità del soggetto che accede all’account ed alla sua legittimità ad accedere e usare il sistema.

Dall’articolo citato si legge che

In caso di sospetta violazione dell’account, il sistema potrebbe richiedere all’utente una verifica ulteriore per confermare la sua identità.

Se ci si è loggati dall’Italia la mattina, dagli Stati Uniti il pomeriggio e dall’Australia la sera ad esempio, il sito potrebbe attivare questa originale misura di sicurezza.

Invece di chiedere la composizione di un captcha, quella serie di lettere da ricopiare per dimostrare di essere una persona e non un computer, Facebook interrogherà l’utente sui suoi amici. Facendo apparire delle foto in cui i propri amici sono taggati, sarà compito dell’utente selezionare il loro nome da una lista.

“Gli hacker dall’altra parte del mondo potranno conoscere la tua password, ma non i tuoi amici” spiega la nota del blog ufficiale.

Nello stesso articolo vengono però evidenziati anche i limiti in ordine all’utilizzo dell’autenticazione sociale:

Questa misura di sicurezza presenta però qualche pericolo se i propri amici hanno l’abitudine di farsi taggare in foto in cui non sono presenti (si pensi alle classiche foto di auguri in cui sono taggate decine di persone), se hanno nel loro profilo molti scatti di quando erano alle elementari o se tra i propri amici c’è qualcuno di cui neppure ci si ricorda o che non si è mai visto prima.

In ogni caso, l’identificazione sociale permette di saltare un paio di foto se non si riesce a riconoscerle.

Bisognerà capire qual è il livello di approfondimento del processo di autenticazione sociale, ossia fino a quale grado di conoscenza sociale il sistema si spingerà per verificare la legittimità all’accesso del profilo.

Per usare un’allegoria, il rischio è che si venga sbattuti fuori casa propria, anche se condotta in affitto o in comodato (essendo la proprieà altrui), solamente perché non viene fornita una risposta esatta sulle relazioni “amicali” intrattenute. E per chi ha centinaia o migliaia di amici, come ad esempio: quei politici che accordano il consenso a tutti; diversi giornalisti; i vip; etc.?

E per quegli account di facebook aperti al fine di perseguire finalità sociali aggregative (es. il gruppo di Facebook sul ritrovamento di persone scomparse, etc.). Gli “amministratori” come faranno a passare l’autenticazione sociale di fronte a migliaia di iscritti?

E inoltre, anche nei profili tradizionali, ristretti a pochi “amici”, se l’accesso abusivo viene effettuato da una persona che è del medesimo contesto sociale, che ha le medesime relazioni, che è tra gli “amici” di Facebook del soggetto di cui viene violato l’account?

Inoltre, quali dati vengono trattati ed esibiti a quel soggetto di cui si sospetta la violazione dell’account? Se l’autenticazione sociale è una procedura che viene attivata proprio in caso di sospetta violazione, occorrerà una certa cautela nella esibizione dei dati personali altrui da utilizzare come test.

Ancora, se la procedura viene attivata in caso di sospetta violazione (come sembra dall’articolo che riporta la notizia), quali sono le misure di sicurezza che fanno maturare i sospetti? Quale investigazione preventiva viene fatta? Sulla base di quali criteri viene maturato il sospetto di violazione dell’account? Solo quelli geografici? E se si utilizzano sistemi proxy? Come vengono trattati i dati del presunto sospetto? A chi vengono comunicati?

Insomma, c’è da riflettere sull’efficacia della misura di sicurezza e sulle modalità con cui viene gestita.

Fabio Bravo

www.fabiobravo.it

Information Society & ICT Law