Circola da ieri sul web un Green Pass intestato ad Adolf Hitler: il Qr code del certificato verde, pubblicato da un utente su Twitter, è funzionante e viene infatti letto anche dalle app ufficiali di verifica per il Green Pass, inclusa quella italiana C19.
Secondo quanto si spiega sul blog di un esperto di cybersecurity, www.zerozone.it, il certificato è stato pubblicato dall’utente “Reversebrain” che, sul social, ha pubblicato un Qrcode invitando a verificarlo con l’app Verifica C19. Secondo quanto si legge sul blog, ”verificando i dati relativi all’emittente del certificato, risulta essere stati emesso dalla Cnam (Caisse Nationale d’Assurance Maladie) francese” il 25 ottobre scorso. Un altro pass falso ”indica l’azienda Janssen-Cilag International come produttrice del vaccino somministrato, in Polonia, dal Centrum e-Zdrowia”. Il tutto sembra avere origine ”da un thread su RaidForums, un market sul web ormai noto per essere punto di scambio e pubblicazione di data leaks e altro materiale non sempre lecito, dove peraltro c’è chi adombra la possibilità che anche la chiave privata del governo polacco possa essere stata sottratta”.
“Ad una prima analisi sembra siano state sottratte le chiavi private che servono a firmare i Green Pass, una specie di timbro che serve a validare i documenti. La soluzione sarebbe una inversione di quelle chiavi che invaliderebbe tutti pass generati, e una loro ritimbrazione,” ha spiegato all’ANSA Stefano Zanero, docente di computer security e informatica forense al Politecnico di Milano. L’esperto ha aggiunto che i Qr Code potrebbero essere manipolati in vari modi, potenzialmente anche manualmente da un “impiegato infedele” durante l’inserimento dei dati, ma in questo caso sembrerebbe più una alterazione delle chiavi crittografiche private che consentono di generare i Green Pass validi. “Anche se i casi al momento riguardano Francia e Polonia non possiamo sapere l’estensione del fenomeno perché ogni nazione custodisce le sue chiavi, né la contezza del danno perché le chiavi potrebbero essere anche state sottratte qualche mese fa“. L’azione, secondo l’esperto, sembra di taglio dimostrativo, dato che i Green Pass falsi risultano intestati ad Adolf Hitler “un personaggio che non è più vivo e fa clamore“.
Alla base della creazione di certificati verdi falsi ci sarebbe l’ottenimento, da parte di terzi, dell’archivio che contiene il software usato per generare le chiavi private del sistema Green Pass.
“A quanto pare, è il database che contiene il generatore di chiavi ad essere stato compromesso. Un problema europeo, non solo italiano. Quello che c’è da capire è se l’intromissione è stata resa possibile da una falla della piattaforma oppure grazie ad un’operazione di penetration testing, un processo di analisi e valutazione delle difese di un sistema informatico o di una rete,” ha spiegato Livio Varriale, giornalista ed esperto di cybersicurezza. Le chiavi private rappresentano uno dei due elementi necessari per la creazione del Green Pass. Le sequenze uniche vengono associate ai dati dei vaccinati o di chi ha eseguito un tampone per generare un QR code specifico e non replicabile. Si può intervenire “azzerando le chiavi compromesse e generandole delle nuove, assicurandosi però che questa volta il database sia messo davvero al sicuro,” ha precisato Varriale. In questo caso, la modifica delle chiavi private porterebbe all’invalidità di tutti i pass finora emessi, con la necessità per gli utenti di scaricarli nuovamente dalle app sullo smartphone o dal sito del governo. Secondo Varriale, la criticità era già emersa nelle scorse settimane, nella cerchia degli esperti del settore: “Non credo che alla base vi sia una matrice no-vax o no-Green Pass ma è auspicabile che chi c’è dietro voglia fornire alle autorità maggiori informazioni per contribuire al miglioramento della piattaforma“.
