In questi giorni ho notato parecchi utenti che non hanno ancora compreso la gravit\u00e0 della situazione in cui si stanno trovando i protagonisti della vicenda dell’hackeraggio di Rousseau e del Blog di Beppe Grillo. Cercher\u00f2 di spiegarlo in questo articolo fornendo risposta ai diversi dubbi riscontrati. L’articolo potrebbe essere aggiornato con ulteriori domande e risposte.<\/p>\n
<\/p>\n
Il primo hacker, Evariste Gal0is, pubblica sul proprio sito un resoconto dei problemi legati alla sicurezza della piattaforma Rousseau del Movimento 5 Stelle. Il 3 agosto 2017 alle 18:44 sul Blog delle Stelle viene pubblicato un comunicato dal titolo “La sicurezza di Rousseau<\/a>” con il quale si vorrebbe rispondere ai problemi segnalati da Evariste, sostenendo per\u00f2 di voler intervenire legalmente nei suoi confronti.\u00a0Alle ore 21:56 del 3 agosto 2017<\/a>\u00a0compare R0gue_0, il secondo hacker. Sar\u00e0 lui a pubblicare materiale sensibile prelevato dalla piattaforma del Movimento 5 Stelle e successivamente anche del Blog di Beppe Grillo.<\/p>\n L’otto agosto 2017 il primo hacker, Evariste, dichiara di aver trovato ulteriori falle all’interno di Rousseau<\/a>\u00a0sostenendo di averle segnalate ai gestori affinch\u00e9 le potessero risolvere, ma allo stesso tempo annuncia che non prester\u00e0 pi\u00f9 loro aiuto visto il trattamento subito dagli stessi.<\/p>\n I rappresentanti del Movimento 5 Stelle riportano<\/a> che sarebbero state presentate denunce contro gli hacker presso la procura competente. Oggi, 10 agosto 2017, il Garante annuncia<\/a> di aver aperto un’istruttoria per indagare su quanto accaduto.<\/p>\n <\/p>\n La risposta \u00e8 “Ni<\/strong><\/em>“. Non tutte le votazioni sono state poste sotto il controllo e la certificazione di un ente terzo, soltanto per alcune<\/a>:<\/p>\n RESTANO SCOPERTE 70 VOTAZIONI. Al momento il Movimento 5 stelle ha commissionato la certificazione del voto sul web soltanto due volte in quattro anni, in occasione delle Quirinarie 2013<\/a> e per la votazione del \u201cNon Statuto\u201d nel 2016<\/a>. In entrambe i casi furono pubblicati, in grassetto sul blog, il nome e la relazione della societ\u00e0 terza di controllo (Dnv) che certificava il voto. In tutti gli altri casi (circa 70) mai alcun voto \u00e8 stato certificato dato che nessuna societ\u00e0 terza \u00e8 stata citata. Quindi, tecnicamente, questi voti potrebbero essere stati suscettibili di manomissione da parte di hacker o della Casaleggio stessa. Ma non lo sapremo mai.<\/p><\/blockquote>\n La \u00a0piattaforma \u00e8 stata inaugurata nel 2016<\/a> in seguito alla scomparsa di Gianroberto Casaleggio, quindi se vogliamo parlare di votazioni certificate da un ente terzo all’interno della stessa ne contiamo una. Inoltre, nei casi del 2013 e del 2016 venne citata la societ\u00e0 terza di controllo, ma in quello dell’elezione del candidato Presidente della regione Sicilia<\/a>? Non pervenuta\u00a0nel comunicato pubblicato sul Blog delle Stelle<\/a>, cos\u00ec come nell’annuncio di apertura dei voti<\/a>. Considerando anche le tempistiche, il voto finale e l’annuncio del vincitore sono avvenuti lo stesso giorno (come annunciato nel comunicato del 7 luglio 2017<\/a>) al contrario di quanto accaduto per le votazioni dello Statuto nel 2016 (concluse il 26 ottobre pubblicando il risultato certificato due giorni dopo<\/a>). Se i gestori di Rousseau possono fornirci l’eventuale certificazione fornirebbero un segno di sicurezza agli attivisti siciliani (e non) del Movimento<\/strong>.<\/p>\n Lasciando stare le “votazioni di una certa importanza<\/em>“, cosa potremmo dire per quelle relative al programma elettorale? Ad esempio, nei comunicati relativi ai risultati delle votazioni per il programma Scuola su Rousseau<\/a> e il programma Difesa<\/a> non c’\u00e8 alcun riferimento ad una certificazione de un ente terzo, eppure non stiamo parlando di scegliere dove andare a cena sabato sera.<\/p>\n <\/p>\n Assolutamente no. Sebbene l’hacker sia stato denunciato (gli esponenti del M5S hanno dichiarato<\/a> che \u00e8 partita la denuncia presso le autorit\u00e0 competenti) a rischiare sono i responsabili del trattamento di dati personali della piattaforma Rousseau<\/a>\u00a0e del Blog di Beppe Grillo<\/a>:<\/p>\n Rousseau:<\/strong> “Titolare del trattamento dei dati \u00e8 Giuseppe Grillo<\/span> nato a Genova il 21\/7\/1948, Casella Postale 1757, 20121 Milano.”\u00a0<\/em><\/p>\n Beppegrillo.it<\/strong>: “Titolare del trattamento ai sensi della normativa vigente \u00e8 Beppe Grillo, mentre il responsabile del trattamento dei dati \u00e8 Casaleggio Associati s.r.l.<\/span> , con sede in Milano, Via G.Morone n. 6, 20121. I dati acquisiti verranno condivisi con il “Blog delle Stelle” e, dunque, comunicati alla Associazione Rousseau<\/span>, con sede in Milano, Via G. Morone n. 6 che ne \u00e8 titolare e ne cura i contenuti la quale, in persona del suo Presidente pro-tempore, assume la veste di titolare del trattamento<\/span> per quanto concerne l’impiego dei dati stessi nell’ambito delle attivit\u00e0 del predetto Blog delle Stelle; modalit\u00e0 e finalit\u00e0 del trattamento nonch\u00e8 ambito di diffusione e comunicazione dei dati da parte della Associazione Rousseau sono i medesimi sopra e di seguito descritti.”<\/em><\/p><\/blockquote>\n Per farla breve, considerando la normativa vigente<\/a>\u00a0(PDF<\/a>), il titolare del trattamento dei dati personali deve obbligatoriamente per legge adottare le misure minime di sicurezza affinch\u00e9 non ci siano rischi di diffusione non autorizzate dei miei dati (art. 31 e 33 del Decreto legislativo 30 giugno 2003, n. 196). La falla segnalata dagli hacker era la base per un’intrusione, quindi in mancanza di misure di sicurezza adeguate per evitare ci\u00f2 che \u00e8 accaduto il titolare rischia di essere punito con il pagamento di una multa (art. 162 del Decreto legislativo 30 giugno 2003, n. 196) da 10 mila euro a 120 mila e una pena detentiva fino a 2 anni (art. 169 del Decreto legislativo 30 giugno 2003, n. 196).<\/p>\n Art.31. Obblighi di sicurezza<\/strong><\/p>\n 1. I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalit\u00e0 della raccolta.<\/p>\n Art.33. Misure minime<\/strong><\/p>\n 1. Nel quadro dei pi\u00f9 generali obblighi di sicurezza di cuiall’articolo 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell’articolo 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali.<\/p>\n Art. 162. Altrefattispecie<\/strong><\/p>\n 2-bis. In caso di trattamento di dati personali effettuato in violazione delle misure indicate nell’articolo 33 o delle disposizioni indicate nell’articolo 167 \u00e8 altres\u00ec applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da diecimila euro a centoventimila euro. Nei casi di cui all’articolo 33 \u00e8 escluso il pagamento in misura ridotta<\/p>\n Art. 169. Misure di sicurezza<\/strong><\/p>\n 1. Chiunque, essendovi tenuto, omette di adottare le misureminime previste dall’articolo 33 \u00e8 punito con l’arresto sino a due anni.<\/p><\/blockquote>\n Cercare di addossare tutte le colpe all’hacker (il primo o secondo che sia) risulta errato.<\/p>\n <\/p>\n Non posso affermarlo con sicurezza, ma sta di fatto che una vulnerabilit\u00e0 che permette l’accesso ad un database tramite una SQL Injection dimostra che mancano le basi per la sicurezza di un sito web, piccolo o grande che sia. Non solo, da gennaio 2017<\/a> \u00e8 stata criticata la mancanza del protocollo di sicurezza HTTPS che persiste tutt’ora<\/a> dopo la richiesta di cambio password nel Blog di Beppe Grillo. Se poi possiamo accedere a dei dati considerati personali dal garante (come le email) effettuando una semplice ricerca Google<\/a>\u00a0(come ho raccontato ieri<\/a>) non serve essere un hacker.<\/p>\n <\/p>\n Vediamo di mettere le cose in chiaro. Si sta parlando di un problema riguardante la sicurezza interna di quello che dovrebbe essere il primo partito d’Italia e probabile partito di Governo, non di un partner esterno di Unicredit<\/a> (di questo si trattava, non della banca stessa) o del caso relativo al PD nel 2012<\/a>\u00a0di un comune nel torinese (cittadini di Avigliana, non offendetevi e ragionate sul confronto). Non dimenticate, inoltre, che il database prelevato con dati personali e forse anche i voti espressi nella piattaforma (se il database \u00e8 stato costruito in modo da tenerne traccia verso ogni singolo attivista) sono stati messi in vendita da R0gue_0 e probabilmente acquistati da persone che hanno interesse a farne uso in qualche modo (immaginate non soltanto un avversario politico, dovete considerare anche la possibilit\u00e0 che un attivista voglia farne uso contro un eletto o futuro candidato).<\/p>\n","protected":false},"excerpt":{"rendered":" In questo articolo proviamo a chiarire alcuni dubbi in merito alla vicenda Rousseau, Beppe Grillo e le garanzie di sicurezza.<\/p>\n","protected":false},"author":1,"featured_media":12006,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[443],"tags":[59,2672,2671,2670,1024,52,308,892,2655],"class_list":["post-11993","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-precisazioni","tag-beppe-grillo","tag-dati-personali","tag-garante-privacy","tag-hack5stelle","tag-legge","tag-m5s","tag-movimento-5-stelle","tag-privacy","tag-rousseau"],"blocksy_meta":[],"yoast_head":"\nLe votazioni sono garantite da un ente terzo? Anche per la Sicilia e il Programma?<\/h3>\n
L’unico reato lo ha fatto l’hacker?<\/h3>\n
Nessun sistema \u00e8 inviolabile?<\/h3>\n
Quando hanno espulso il sindaco di Avigliana chi ha controllato? Del caso Unicredit ne parliamo?<\/h3>\n