Salotti buoni e schede perforate: lo Zip War Airganon SVG4, parte seconda. O, anche, perché la piattaforma di voto online del M5S è tecnicamente una buffonata.

Avvertimento: questo è un post TECNICO ed ha ZERO contenuto “partitico”. Avrei potuto scrivere allo stesso modo del caso AnonPlus che ha riguardato il PD o del gruppo LulzSecITA che ha preso di mira la Lega.

Mentre scrivo (2018-05-18, 18:30), il portale del sistema di voto elettronico del M5S Rousseau è sotto attacco da ore. Questo attacco ha causato un Denial-of-Service, cioè l’impossibilità di utilizzo del servizio da parte di diversi utenti; ho fatto alcuni tentativi di accesso da diverse località geografiche, tutti falliti.

Immaginate di avere dei criminali che blocchino l’accesso ai seggi elettorali della vostra zona, e nessuna polizia disponibile…

Ma, andiamo con ordine: cosa è lo Zip War Airganon SVG4?

Non ridete. Non subito. Secondo Beppe Grillo, era un software (o algoritmo, non è chiaro) che avrebbe consentito il controllo e successivo sequestro dei beni di politici& co. incrociando estratti conto ed altri dati economici di vario genere; trovate dettagli e buzzword qui. In sostanza, qualcosa di simile ad un batch antifrode bancario, con un accesso magicamente illimitato ad una serie di dati riservati.

Di Agiorgio - Opera propria, CC BY-SA 4.0, https://commons.wikimedia.org/w/index.php?curid=36246968
Loro hanno i vostri soldi. Meno male che l’EBCDIC c’è.

Tralasciando i tecnicismi e l’assurdità della maggior parte dei dettagli, il problema più grande è che quella volta (assumendo la sua completa buona fede nelle affermazioni del video) il comico genovese era stato evidentemente beffato da chissà quale venditore di fumo, non avendo le competenze tecniche e l’esperienza per distinguere una supercazzola da un prodotto che fa quello per cui viene venduto.

Cosa è successo allora?

Grillo, che di mestiere fa il comico, è stato malconsigliato, rimediando una magra figura.

Cosa è cambiato negli ultimi due anni?

Il M5S e la Casaleggio Associati, i cui componenti fanno rispettivamente i politici ed i pubblicitari, sono stati malconsigliati, rimediando una magra figura.

Nel 2016 è stato messo online Rousseau, piattaforma (a cui il sito del M5S si riferisce erroneamente come “sistema operativo“) di voto online basata su un CMS parzialmente proprietario.

Fin dal suo debutto, il sistema è stato oggetto di attacchi hacker andati a buon fine, dei quali potete trovare facilmente notizia online, culminati nell’agosto del 2017 nel furto di dati personali degli utenti da parte di un hacker (più o meno) white hat noto come rogue0.

In particolare, come si può leggere in una nota del garante della privacy, sono state evidenziate una serie di problematiche, che vi riassumo:

  • Per il CMS utilizzato si parla di una “indiscutibile obsolescenza tecnica“, dato che questo era andato in EoL già a fine 2013, con tutte le falle di sicurezza a contorno tipiche di un prodotto non più aggiornato;
  •  Lo sviluppo del software non utilizzava metodologie moderne (e previste dalla legge per software di questo genere) che garantissero “Data protection by design“, come da regolamento UE che trovate nella nota;
  • Possibilità di ricondurre il voto al votante in qualsiasi momento, così come ai suoi dati personali;
  • Assenza di logs dell’operato del software, nessuna possibilità di auditing, amministratori del software onnipotenti. Ovvero, la domanda “chi ha fatto cosa sul sistema?” non può avere risposta.
Dove sono i dati?

Nella nota del garante possiamo leggere che questo è stato demandato a Wind/Tre SPA: mi chiedo se sia possibile fare dell’auditing da più parti su questa piattaforma.

Spero inoltre che i dati siano criptati at-rest, oppure basterebbe chiedere un dump dell’istanza ad un tecnico per avere libero accesso a qualsiasi cosa. Da che tipo di accordo di riservatezza sono legati la società di hosting ed il fruitore del servizio? Garanzie in caso di fuga di dati dovuti a problemi dell’infrastruttura? Chi si occupa del backup? Il backup è criptato? Dove si trova?

E ancora, quali certificazioni di sicurezza ha ottenuto il datacenter e in generale l’infrastruttura di hosting (a parte il fatto che personalmente non darei mai in outsourcing una cosa così critica)? Qual è la catena di custodia delle credenziali?

Airman 1st Class Nick Fazio, with the Network Operations, verifies the status and configuration of the 96th Communications Squadron’s data center equipment at Eglin Air Force Base, Fla., June 9. Approximately 40 Airmen and civilians are responsible for the connectivity of the base’s more than 19,500 user workcenters on base. Their contributions combined with the other branches and flights led to the 96th CS earning the 2013 Maj. Gen. Harold McClelland best large communications work center award for Air Force Materiel Command. (U.S. Air Force photo/Samuel King Jr.)

Non sono riuscito a trovare alcun dettaglio online.

Disponibilità dell’infrastruttura

Il servizio dovrebbe girare su più istanze che garantisco alta disponibilità, ed essere dotato di autoscaling per sopperire a i picchi di traffico, oltre ad essere ridondato su più datacenter. Tornando al punto delle prime righe dell’articolo, non posso considerare una votazione significativa se è possibile impedire a qualcuno di votare, o non si rispettano gli orari previsti.

Purtroppo è quello che sta succedendo proprio in queste ore, dato che il sito continua ad essere down (siamo quasi ad otto ore) e non è possibile votare in alcun modo: un attacco che rende impossibile l’accesso al sito, è proprio la manifestazione che vi impedisce di entrare nel seggio.

Precisione, integrità del dato, privacy del dato, “auditability”

Chiediamocelo: esiste una procedura ben formalizzata, ripetibile e controllata per lo svolgimento della votazione e l’estrazione del risultato? Chi si occupa di tradurre il dato raccolto in un annuncio effettivo del risultato?

By Original uploader was Joebeone at en.wikipedia - Transferred from en.wikipedia, CC BY 2.5, https://commons.wikimedia.org/w/index.php?curid=4203422
E-voting, per davvero però.

Negli stati dove il voto elettronico è diffuso, sono stati sviluppati diversi metodi di e-voting dei quali potete leggere una descrizione sommaria qui e qui; come potete leggere nei links, si sono escogitati diversi sistemi per fornire la prova del voto, la sua riservatezza, ridurre la probabilità di errori e consentire un audit completo da terze parti prima, durante e dopo la votazione.

Dov’è l’errore?

Non credo che il M5S avesse l’obbiettivo di fare l’ennesima brutta figura informatica: come si spiega quindi questa ennesima débâcle del loro sistema?

La risposta è semplicissima. Una singola parola, peraltro utilizzata da Grillo nel video del 2012 che ho linkato sopra: OUTSOURCING. In particolare, outsourcing del comparto di Information Technology del M5S.

Immigrati in albergo con wi-fi, ma anche con il CLOUD!

Si fa presto a dire cloud, credo possa vincere facilmente la palma di termine più abusato degli ultimi anni: i nostri dati stanno nel cloud (IaaS), quel sito è ospitato nel cloud (PaaS), adesso Office è in cloud (SaaS).

Pochi sembrano avere chiaro che “il cloud” non è una tecnologia particolare o qualcosa di magico, ma è un modello di costo per la fruizione di servizi informatici esternalizzati.

Questo è successo nel M5S: è stato esternalizzato il settore IT considerandolo come un accessorio del marketing, quando invece questo rientrava a pieno titolo nell’alveo di core business del movimento.
Come recita la teoria d’impresa, puoi esternalizzare tutto… ma non il core business!

IT come commodity, ma anche no

È opinione diffusa  che l’IT oggi sia completamente commodity.

La verità è che questo, a differenza dell’energia elettrica alla quale viene spesso paragonato, costituisce in molti casi il sistema nervoso di tante realtà aziendali e politiche, non un mero prodotto standardizzato da comprare al più basso prezzo possibile.

A differenza di beni fungibili come appunto l’elettricità, la complessità e la criticità dell’IT hanno avuto una crescita incredibile negli ultimi anni; spesso, il management non può in alcun modo avere le competenze per compiere scelte assennate a riguardo, neanche quando si tratta di prodotti finiti.

Avete voluto risparmiare su di un settore IT interno, fidelizzato ed esperto? Vi ritroverete alla mercé di varie realtà in giacca e cravatta che devono solamente vendere un prodotto obsoleto e dai grossi margini, infarcendolo spesso non solo di Zip War Airganon SVG4, ma anche di democrazia partecipata gratuita con open source turbocompresso, lingue per il web 7.0 crowdfounded equosolidali e bellissima interfaccia web (in Java!).

Oltre i 9/10 delle soluzioni software che ho avuto modo di provare sono completa spazzatura, o sono totalmente inadeguate agli use case per i quali vengono proposte.

Si salvano in pochi. Generalmente costano parecchio, richiedono molti anni di sviluppo e… se non fai questo lavoro, non sai neanche della loro esistenza.

Distopia portamivia

Considero una grande opportunità mancata che il M5S non sia riuscito a mettere su una piattaforma di e-vote decente. Non è una cosa semplice, servono grossi investimenti in capitale umano ed economico, ma era l’unica forza politica in grado di poter spingere il paese in questa direzione.

Spero che questo fallimento dell’esternalizzazione possa servire da monito per il futuro; come predisse un noto blogger qualche anno fa, speriamo di non ritrovarci lo Zip War Argainon SVG4 di stato.