Edition 06

È la notizia più grave di questa pagina e dovrebbe farvi indignare. Tralasciando la procedura: più eurodeputati hanno votato contro il ripristino della scansione di massa dei messaggi che a favore, eppure è passata lo stesso. La soglia per rigettare una posizione del Consiglio è volutamente alta, una maggioranza assoluta, ma il voto è stato forzato con una procedura d'urgenza e programmato per l'ultima sessione estiva, quando gran parte dell'emiciclo era già partita per le vacanze. La maggioranza ha detto no. Il calendario ha detto sì.

Ora la parte che la maggior parte della copertura mediatica sbaglia, e che voi non dovreste sbagliare. Ciò che è tornato in vigore è la versione 1.0, la scansione volontaria dei messaggi non cifrati, non la scansione obbligatoria lato client delle app cifrate. L'esclusione della cifratura è passata, quindi Signal, WhatsApp e iMessage sono formalmente fuori da questa misura. La versione pericolosa, la 2.0, è ancora viva in trilogo e arriva a settembre. La vittoria per la cifratura è reale, ma contenuta; e la battaglia che conta è a tre mesi di distanza.

Se consigliate qualcuno che gestisce un prodotto cifrato, o un team di policy che segue questa vicenda, mettete settembre in calendario adesso. Il precedente fissato questa settimana è procedurale, non tecnico. Ma l'appetito è evidente, e chi vuole scansionare tutto ha appena imparato che può vincere un voto che aveva perso.

Leggete questa notizia accanto a quella precedente e il contrasto è l'intera newsletter. L'unica legge UE che obbliga le organizzazioni a difendersi davvero, NIS2, è rimasta inattuata in quattro Paesi per venti mesi, incluso il mio. Bruxelles può accelerare un regime di scansione in una settimana, ma la direttiva che protegge ospedali e reti elettriche aspetta due anni e una convocazione in tribunale.

Il punto pratico è netto, e lo ripeto in ogni corso. Il ritardo del vostro governo non è uno scudo. La scadenza è passata nell'ottobre 2024. Gli obblighi, gestione del rischio, segnalazione degli incidenti, doveri nella supply chain, indicano la direzione del settore indipendentemente da quando Madrid o Parigi finiranno le pratiche burocratiche. Se gestite un'entità regolamentata e avete aspettato il recepimento nazionale come scusa, avete accumulato debito; e il conto si comprime nel momento in cui il testo entra in vigore.

E gustatevi la tempistica. L'Irlanda ha assunto la presidenza del Consiglio UE il 1° luglio ed è stata trascinata davanti alla corte dell'Unione l'8 luglio. Chi avrebbe dovuto guidare sul fronte cyber non è riuscito ad attuare la legge cyber. Se avevate bisogno di una prova che consapevolezza e applicazione sono cose diverse, eccola.

Stessa lezione di qualche settimana fa con gli ad blocker, costume diverso. Le persone le installano per essere più al sicuro e consegnano il proprio traffico a chi ha scritto l'app. 2,4 miliardi di installazioni, e le basi sono compromesse: DNS che perdono dati, file di configurazione in chiaro, tracker ovunque, un'app che comunica a casa le vostre coordinate GPS. Il badge Verified non ha servito a nulla, perché un badge è un'etichetta di marketing, non un controllo.

Per la vostra organizzazione questo non è una nota a margine per i consumatori. È shadow IT sugli endpoint che toccano i vostri dati. Qualcuno nel vostro team installa una VPN gratuita sul telefono che legge la posta aziendale, e ora il vostro traffico transita attraverso un operatore che non avete mai verificato, possibilmente in chiaro. Le VPN gratuite non sono uno strumento di privacy. Sono un modello di business, e voi siete la merce.

L'unico filtro reale è la provenienza. Un audit indipendente recente, una titolarità chiara, un'azienda che guadagna con il denaro anziché con i vostri dati. Tutto il resto, comprese le dichiarazioni no-log, è un punto di partenza, non una prova.

Attivo per impostazione predefinita, e non venite nemmeno informati quando accade. Rifletteteci. Meta prenderà le vostre foto pubbliche, lascerà che un estraneo vi menzioni con la @-mention e genererà immagini di voi, e la prima volta che ne sentite parlare è mai. Il controllo, nella versione di Meta, è un'opzione che non sapevate esistesse, sepolta tre menu in profondità, che non elimina nulla di quanto già prodotto.

Questo è il problema del consenso che l'intero settore sta ignorando di corsa. L'opt-out predefinito non è consenso; è una messa in scena del consenso, e nell'UE non si tratta di un dibattito sulla UX, ma di un dibattito sul GDPR. Google ha fatto lo stesso questo mese con i vostri media e la propria AI. Lo schema è rivelatore: prima prendono, poi offrono un'opzione nascosta, e non notificano mai.

Due minuti di manutenzione se usate Instagram: Impostazioni, Condivisione e riutilizzo, disattivate post e reel. Fatelo anche per gli account pubblici che gestite. E ricordate che ferma solo il prossimo riutilizzo, non quelli già in circolazione.

Due voci più su, le VPN gratuite vi stavano facendo perdere dati. Ecco la versione più dura della stessa lezione: anche una VPN che funziona perfettamente non serve a nulla se il vostro sistema operativo imprime un ID permanente su tutto ciò che fate. L'hacker usava proxy. Erano vicoli ciechi. L'identificativo Windows sottostante non lo era. L'anonimato non è un singolo strumento; è l'anello più debole dell'intera catena, e di solito quell'anello è il sistema operativo.

Nessuno piangerà per un membro di Scattered Spider, e questo identificativo è anche il modo in cui Microsoft gestisce licenze e frodi, il che è ragionevole. La parte che dovrebbe disturbarvi è l'asimmetria. Apple e Google proteggono i loro ID dispositivo con una schermata di consenso e la possibilità di reimpostarli. Microsoft ne distribuisce uno senza prompt, senza possibilità di reset, con una sola frase di documentazione pubblica, collegato al vostro account anziché alla vostra persona, e il pubblico ha scoperto che esisteva solo perché un documento giudiziario lo ha esplicitato.

Per il vostro modello di minaccia, siate precisi su cosa acquistate con una VPN: nasconde il percorso di rete, non l'identità della vostra macchina. Se l'identità stessa è il rischio, giornalismo, attivismo, una persona a rischio, si parla di account locale, Linux o Tails, non di VPN. Per una flotta gestita, è un motivo in più per cui la vostra strategia di identity sugli endpoint non può fermarsi al livello di rete.