Secondo l’Avvocato Marco Martorana, Presidente di Assodata, il corpo è unico e irripetibile. Usato come password deve essere adeguatamente protetto e tutelato.
Un sistema di riconoscimento biometrico è un particolare tipo di sistema informatico in grado di identificare una persona sulla base di una o più caratteristiche biologiche e/o comportamentali (biometria), tramite alcuni algoritmi che le confrontano con i dati precedentemente acquisiti e presenti nel database del sistema.
Le caratteristiche prese in considerazione dal sistema di riconoscimento biometrico possono essere: fisiologiche, come le impronte digitali, l’altezza, il peso, il colore e la dimensione dell’iride, la retina, la fisionomia del volto, oppure comportamentali, ossia relative a una serie di azioni riferibili all’indi-viduo, come l’impronta vocale, la scrittura grafica, la firma, lo stile di battitura sulla tastiera, i movi-menti del corpo. Le caratteristiche fisiologiche sono abbastanza stabili, soggette solo a piccole va-riazioni nel tempo, mentre quelle comportamentali possono essere influenzate dalla situazione psi-cologica e proprio per questo devono essere aggiornate spesso.
Le applicazioni biometriche possono essere utilizzate da sole o integrate con altre tecnologie come ad esempio smart card, chiavi crittografiche, RFID e firma digitale. La differenza tra i due sistemi è sostanziale: codici segreti e carte di identificazione verificano solo ciò che una persona conosce e/o possiede, come una password, un codice PIN o il badge, mentre i sistemi di riconoscimento biometrico verificano la sua identità, cioè chi è.
Questo tema è salito prepotentemente alla ribalta a maggio, quando la municipalità di San Francisco ha messo al bando l’uso del riconoscimento facciale da parte delle autorità locali. Una decisione che stabilisce un clamoroso precedente – tanto più perché arriva dal cuore della Silicon Valley – e che accende i riflettori su quanto la biometria sia già presente nel nostro quotidiano.
Avvocato Marco Martorana, Presidente dell’Associazione Assodata e titolare dell’omonimo studio
Tutti gli smartphone e i tablet di ultima generazione sono dotati di scanner per le impronte digitali, che possono essere anche acquistati separatamente a un costo di poche decine di euro, e anche il riconoscimento facciale ormai è tra i sistemi standard di sblocco. Tante altre declinazioni, meno note al grande pubblico, sono legate prevalentemente a motivi di sicurezza.
A Shenzhen, in Cina, le telecamere “riconoscono” i pedoni che attraversano col rosso e li multano in tempo reale; e presto basterà farsi inquadrare all’ingresso della metropolitana per vedersi scalare l’importo del biglietto dal conto corrente.
Su questa scia, il Pentagono ha sviluppato Jetson, un dispositivo di riconoscimento biometrico basato sul battito cardiaco. Si tratta di un laser a infrarossi capace di identificare le persone da una distanza massima di 200 metri, rilevando le vibrazioni della pelle legate alla frequenza cardiaca e confrontandole con un database. A contraddistinguerlo è il fatto che il battito cardiaco non può es-sere modificato o alterato, fattore che garantisce un grado di sicurezza del 95%. Questo sistema si presta in modo ottimale a essere impiegato in ambito security insieme al riconoscimento fac-ciale, poiché sopperisce ad alcune sue mancanze: risulta infatti affidabile anche quando c’è poca luce o i connotati facciali sono alterati dalla barba o dagli occhiali da sole. In sintesi, non è azzarda-to supporre che grazie a questa tipologia di dispositivi il nostro cuore diventerà una password.
Ad oggi, Jetson ha ancora di fronte a sé ampi margini di miglioramento. Per esempio, il laser necessita di 30 secondi per funzionare, circostanza che impone che il soggetto stia fermo o seduto. L’esito del riconoscimento inoltre è direttamente proporzionale al numero di battiti cardiaci archiviati nel database e, per giunta, viene compromesso se la persona indossa abiti pesanti. Indipendente-mente dai fattori puramente tecnici, però, quali sono le implicazioni per la sicurezza delle per-sone? In primo luogo il dato biometrico può essere acquisito senza la consapevolezza o la parte-cipazione di un individuo, e potrebbe essere utilizzate per il suo tracciamento, ad esempio per se-guirne gli spostamenti tramite l’utilizzo di tecnologie completamente automatizzate, ledendo così il diritto alla riservatezza; in secondo luogo i rischi derivano alla impossibilità di diversificazione della nostra “password corporea” per servizi diversi.
Se infatti è il nostro battito del cuore il dato a costi-tuire il codice di accesso ad uno o più servizi, un malintenzionato che accede a tale informazione può accedere a tutti i servizi protetti da tale forma di autenticazione.
Sul fronte della cybersecurity, Gartner (società americana leader nella ricerca e analisi nel campo della tecnologia dell’informazione) prevede che le aziende che entro il 2020 investiranno in nuovi metodi come la biometria sperimenteranno il 50% di episodi di data breach in meno rispetto a quelle che non lo faranno.
Avvocato Marco Martorana
Le modalità di autenticazione basate su dati di tipo biometrico hanno un tasso di sicurezza maggiore rispetto al mero utilizzo di password o codici, perché si abbassa notevolmente la possibilità di furto e riutilizzo per finalità di autenticazione. Possiamo quindi aspettarci che nei prossimi anni si diffondano sempre più i sistemi di autenticazione a due fattori, che si basano sia su una password sia su una caratteristica del corpo umano. Poiché la presenza contemporanea di entrambi gli elementi dovrebbe rendere molto più difficili gli accessi illeciti, in questo caso si parla di strong authentication. Ma attenzione, perché ciò non significa che le violazioni siano impossibili.
Mentre le aziende sono intente a perfezionare le tecnologie, infatti, dall’altra parte c’è anche chi non ha indugiato nel dimostrare la vulnerabilità di modalità di autenticazione ritenute “sicure”. Già nel 2013 i ricercatori dell’Istituto nazionale di informatica di Tokyo sono riusciti a ricostruire un’impronta digitale da una fotografia e nel 2018 un giornalista di Forbes è riuscito a sbloccare 5 smartphone con una testa finta stampata in 3D (costata poco più di 300 euro). È vero che nessuno è in grado di alterare il ritmo del proprio cuore, ma è vero anche che lo sviluppo esponenziale delle tecnologie lascia aperte tutte le ipotesi. Anche quella di sviluppare un metodo capace di ingannare i dispositivi di riconoscimento.
Avvocato Marco Martorana
Tutte queste considerazioni convergono sulla stessa conclusione: nel processo di sviluppo di sistemi di riconoscimento biometrici, il potenziamento delle misure di sicurezza deve salire in cima alla lista di priorità. A maggior ragione se entra in gioco la rilevazione del battito cardiaco. Una password violata comporta un disagio che, una volta scoperto, può essere risolto nell’arco di pochi minuti. Il furto dell’identità biometrica, al contrario, può scatenare effetti lesivi ben più rilevanti. Il nostro corpo è una ‘password’ così efficace proprio perché è unico al mondo: ma ciò significa anche che, se questa password viene rubata da un malintenzionato, il gestore non può semplicemente fornirne una nuova.
