Sono state scovati una serie di certificati falsi per quanto riguarda il Green Pass, e che pare avessero delle intestazioni destinate a personaggi molto particolari e inaspettati.
Parliamo di una vicenda fuori dal comune e che potrebbe risultare essere falsa, ma che, in realtà, ha un fondo di verità. Difatti è successo che venissero trovati dei Green Pass tutt’altro che veri, e la cosa bizzarra è che sono validi nonostante appaiano non esserli a prima vista.
LEGGI ANCHE: Hai nel cassetto un vecchio smartphone? potrebbe valere più della tredicesima
Inoltre, non avrebbe senso per una persona adottarli dal momento che verrebbe scoperta subito, dunque la domanda che ci chiediamo è abbastanza lecita: per quale ragione è successa una cosa simile?
La procedura di acquisizione
I Green Pass europei possono essere generati tramite un server automatico, con l’uso delle applicazioni Immuni o Io e attraverso la classica modalità manuale, la quale prevede l’uso di una interfaccia web con cui si ha accesso ad un server backend e che include le chiavi per firmare il certificato. Di conseguenza i medici e gli enti sanitari possono accedervi sia per inserire i dati richiesti che per garantire la validità del documento.
Tuttavia, qualcuno pare che abbia commesso un fatale errore di programmazione evidentemente. Prima di emettere il reale certificato l’utente può avere una specie di anteprima del file che verrà generato, e questa impostazione ha il semplice scopo di mostrare alla persona in questione che il sistema funzioni. Ciò, anche se non sembra, è il primo errore, perché la preview è un QR Code valido firmato ma mai emesso. Significa che tutti quelli pubblicati nei giorni scorsi non sono mai stati convalidati, e il fatto che siano stati accertati con chiavi valide, ovviamente, li ha resi autentici per tutte le applicazioni di verifica europee.
Proseguendo appare il secondo problema, cioè che per poterlo fare bisogna accedere all’interfaccia web. Qui, il repository opensource dell’applicazione prevede una configurazione con una password di accesso per il server. Ma una persona esperta nel campo dell’informatica potrebbe sapere benissimo come aggirarlo, visto che, sfruttando le logiche di sicurezza, è possibile accedere ad una rete solitamente bloccata.
Difatti, l’interfaccia in questione era esposta su un indirizzo internet macedone privo di ogni protezione, dando l’opportunità a chiunque di entrarvi e generare a proprio piacimento certificati “preview” da distribuire senza nessun limite. Ciò ha suscitato diverse preoccupazioni visto che esistono decine di applicazioni senza una difesa e che possono essere usate per questi scopi.
E possiamo fare un esempio con i Green Pass di Topolino e Adolf Hitler, i quali sono stati realizzati esattamente con il metodo che vi abbiamo spiegato adesso. Per poter risolvere il problema si dovrebbero invalidare tutti i certificati emessi con le chiavi usate, visto che ogni Green Pass creato è chiaramente falso.
LEGGI ANCHE: L’applicazione Verifica C19 ristrutturata per leggere correttamente i Green Pass
Tuttavia soltanto il Belgio, grazie alla sua applicazione ufficiale, è stato in grado di revocare i certificati macedoni falsi con successo, mentre le altre nazioni non possono ancora farlo. Questo perché qualcuno sta continuando a generare i QR Code di Adolf Hilter, e mentre l’Italia pare che abbia una soluzione su come evitare la creazione dei Green Pass, i polacchi e i francesi devono capire come risolvere il problema dei certificati farlocchi.