Da martedì 26 ottobre ha iniziato a circolare online, prima nei forum specializzati e poi su Twitter, un green pass valido ma evidentemente falso: è intestato ad Adolf Hitler. La data è di nascita non lascia dubbi, 1 gennaio 1900, ma quello che potrebbe sembrare un semplice fotomontaggio è il risultato di un’operazione più complessa perché il QR d cui è stato verificato lo certifica funzionante a tutti gli effetti.
Molte app di verifica green pass, tra cui l’italiana VerificaC19, rilasciata dal ministero della Salute, considerano il certificato di Hitler valido e autentico. Questo è un problema non da poco perché significa che qualcuno è riuscito a generare un certificato verde falso ma funzionante. Al momento, però, non è semplice capire cosa sia successo, individuare le cause del problema e soprattutto valutare come ne esca l’intera procedura europea in termini di affidabilità e sicurezza.
Il QR di Adolf Hitler perché è importante
I codici QR – i quadrati con vari pattern bianchi e neri al loro interno – del green pass, che vengono mostrati per accedere in qualsiasi luogo in cui il certificato è obbligatorio, sono generati da diverse informazioni personali che formano una combinazione sempre unica. Vi sono dati sensibili come nome e cognome della persone vaccinata, il paese di vaccinazione, il numero di dosi ricevute, quando sono state somministrate, l’ente che ha emesso il green pass, il numero totale di dosi, qual è il produttore del vaccino, la scadenza del codice, qual è la malattia che copre e la data di generazione. Questi dati non sono cifrati, mentre la parte cifrata è una chiave crittografica, cioè una stringa composta da numeri, lettere e simboli che funziona come una firma e attesta che il QR non sia confraffatto.
Questo tipo di crittografia utilizza un algoritmo “asimmetrico”: la chiave privata custodita dall’ente che ha emesso il certificato deve combaciare con la chiave contenuta nel certificato stesso. Le app per controllare il green pass verificano che le due chiavi si sovrappongano completamente. Come spiegato dal giornalista informatico Paolo Attivissimo, in teoria solo gli enti sanitari autorizzati hanno le chiavi crittografiche private che consentono di generare green pass validi. Ma il fatto che qualcuno abbia creato un codice valido di un personaggio storico morto da settant’anni indica che molto probabilmente qualcuno ha violato questi codici.
L’allarme codici in Europa
L’allarme si è sparso in tutta Europa e secondo le prime analisi il codice di Hitler sarebbe stato emesso da la Caisse Nationale d’Assurance Maladie, cioè l’INPS francese. Ma è possibile che anche questa informazione contenuta nel certificato sia falsa. Tra l’altro non è chiaro se le chiavi private siano entrate in possesso di criminali informatici che sono riusciti ad accedere dall’esterno o se i responsabili di questa possibile violazione siano operatori dell’ente o enti coinvolti. “Che si sia trattato di un lek o quantomeno di un abuso di chiavi di firma è indiscutibile” ha scritto su Twitter Stefano Zanero, docente di sicurezza informatica al Politecnico di Milano.
Per evitare che chiunque possa generarsi un green pass, la soluzione tecnica immediata è relativamente semplice e consiste nel revocare la validità delle chiavi compromesse e generare nuovi certificati per tutte le persone che hanno ottenuto il certificato dall’ente violato. Sarà, invece, più complesso valutare quali saranno le conseguenze di questa possibile violazione sull’affidabilità del sistema di verifica e sulla credibilità di uno strumento che in Italia è indispensabile perfino per lavorare.
