Sorveglianza on Arpokrat

SignalTrace: l'Europa esporta la sorveglianza che non si concede

Tue, 01 Sep 2026 00:00:00 +0000

Una berlina grigia passa sotto un portale autostradale a 110 km/h. La telecamera fissata al palo legge la targa, la marca temporalmente, la registra. Nulla di nuovo: questo dispositivo esiste da vent’anni, installato in decine di migliaia di esemplari tanto in Nord America quanto in Europa.

Ma se quel portale ha ricevuto il modulo che il gruppo italiano Leonardo commercializza da giugno 2026, ha appena registrato anche altro. L’iPhone del conducente. Gli auricolari senza fili della passeggera. Lo smartwatch sul cruscotto. L’autoradio. Il portachiavi connesso nel cassetto. I sensori di pressione delle quattro gomme. Il badge di accesso rimasto in una giacca. E, se un cane dorme dietro, il suo microchip di identificazione.

Una decina di identificatori, una targa, una posizione, un’ora. Ripetete a ogni portale della rete e non state più seguendo un’automobile: state seguendo delle persone, e sapete con chi si spostano.

Che cosa fa davvero il dispositivo

Il prodotto si chiama SignalTrace. Venduto da Leonardo US Cyber and Security Solutions, completa la gamma ELSAG, una delle linee di lettori automatici di targhe più diffuse sul mercato americano. La sua esistenza è stata rivelata l'8 giugno 2026 da Joseph Cox su 404 Media, a partire da una scheda prodotto del costruttore.

Il punto decisivo sta in una frase: non si tratta di nuove telecamere. SignalTrace è un sensore radio aggiunto ai lettori di targhe già installati. Il palo non cambia, la posizione non cambia, la sagoma dell’apparecchiatura a bordo strada non cambia. Ciò che cambia è quello che l’apparecchiatura ascolta.

Il sensore registra gli identificatori diffusi in chiaro dai protocolli Bluetooth, Wi-Fi e RFID degli apparecchi presenti nel veicolo. Punto tecnico spesso frainteso: nessun apparecchio viene violato e nessuna vulnerabilità viene sfruttata. Un dispositivo Bluetooth o Wi-Fi emette in permanenza pacchetti di scoperta, perché questi protocolli sono stati concepiti così. I vostri auricolari annunciano la propria presenza per farsi trovare dal telefono, che a sua volta interroga l’aria circostante alla ricerca delle reti che conosce. Queste emissioni sono pubbliche per costruzione, e qualunque ricevitore a portata le sente.

Leonardo precisa del resto che il sistema funziona con o senza lettore di targhe, anche in ambienti chiusi, e riconosce un veicolo la cui targa sia coperta o rimossa.

Il retrofit è il vero tema politico. Installare una nuova rete di telecamere fa scattare un voto, una delibera, talvolta un contenzioso. Aggiungere una scheda elettronica dentro un involucro già approvato non fa scattare nulla. La capacità di sorveglianza cambia natura senza dibattito pubblico, perché materialmente non c’è nulla di nuovo da vedere.

Dal veicolo alla persona, e dalla persona al gruppo

Un lettore di targhe risponde a una domanda: dov’era questo veicolo. SignalTrace ne aggiunge due: chi c’era dentro, e con chi.

Leonardo non lo nasconde, è l’argomento di vendita. Il sistema costituisce quella che la documentazione chiama un’impronta elettronica, un insieme di identificatori «emessi frequentemente insieme». L’esempio del costruttore è esplicito: in un’intera città, un solo veicolo assocerà un iPhone 13rev2, un’autoradio Audi, una cuffia Bose, un orologio Garmin, un localizzatore di chiavi e la targa ABC-1234.

Il prodotto non si limita a seguire dei veicoli. Produce automaticamente un grafo di relazioni tra persone, senza che nessuno abbia dovuto formulare il minimo sospetto.

È qui che avviene il salto qualitativo. Correlando gli apparecchi che viaggiano regolarmente insieme, il sistema costruisce meccanicamente un grafo sociale. Due telefoni che ogni mattina si ritrovano nella stessa auto sono un car pooling, oppure una relazione che nessuno dei due desidera rendere pubblica. Cinquanta apparecchi rilevati nello stesso luogo alla stessa ora sono un assembramento: una manifestazione, una funzione religiosa, una riunione sindacale o una fila davanti a una clinica.

Nessuna di queste conclusioni richiede l’accesso al contenuto di una comunicazione. Si deduce da una tabella di prossimità, per impostazione predefinita, su tutta la popolazione che circola e non su bersagli designati. È colpevolezza per associazione, prodotta industrialmente, a monte di qualsiasi indagine. Tom Bowman, giurista presso il Center for Democracy & Technology, riassume il problema sulle colonne di TechNewsWorld: ciò che rende lo strumento utile per seguire un vero sospettato lo rende altrettanto capace di seguire tutti gli altri automobilisti, nessuno dei quali ha acconsentito alla registrazione dei propri apparecchi.

Leonardo oppone due argomenti: il sistema non decifra né legge il contenuto delle comunicazioni, e non identifica le persone di per sé. Entrambe le affermazioni sono esatte, ed entrambe sono fuori tema. L’informazione ricercata non è mai stata il contenuto, sta nel metadato di posizione, più rivelatore di un messaggio. Quanto all’identificazione, il costruttore stesso riconosce che un investigatore può collegare una firma elettronica a una targa, per poi risalire all’intestatario attraverso gli archivi di immatricolazione.

Un diritto americano scritto per altro

Negli Stati Uniti le leggi statali che disciplinano i lettori di targhe esistono, e alcune sono esigenti quanto a tempi di conservazione e finalità di accesso. Ma tutte sono state redatte attorno a un oggetto preciso: l’immagine di una targa. Nessuna prevede la cattura di identificatori di apparecchi personali da parte della stessa apparecchiatura.

Questo scarto non crea un’illegalità ma una zona grigia, più comoda per il venditore. Un corpo di polizia può sostenere, senza mentire, che il proprio programma di lettura targhe è autorizzato e conforme, pur raccogliendo ormai sotto lo stesso regime dati di natura del tutto diversa. Leonardo dispone inoltre di contratti federali, con lo Special Operations Command e la General Services Administration, cioè una via d’acquisto che aggira ampiamente le approvazioni locali.

Il dibattito costituzionale, dal canto suo, si è appena mosso, e occorre essere precisi perché lo stato del diritto è cambiato quest’estate. Nel gennaio 2026 un tribunale federale della Virginia ha stabilito, nel caso Schmidt v. City of Norfolk, che la rete di telecamere Flock della città non costituiva una perquisizione ai sensi del quarto emendamento, non coprendo la totalità degli spostamenti degli abitanti. La decisione è in appello davanti al Quarto Circuito, dove è intervenuta l’ACLU.

Poi, il 29 giugno 2026, la Corte suprema ha pronunciato Chatrie v. United States. Con cinque voti contro quattro, per la penna della giudice Kagan, ha stabilito che l’ottenimento da parte della polizia dei dati di localizzazione di un telefono costituiva una perquisizione, poiché un individuo conserva una ragionevole aspettativa di riservatezza su tali dati anche quando detenuti da un terzo e per una durata breve. La sentenza prolunga Carpenter v. United States del 2018 e indebolisce la dottrina del terzo detentore, come ha rilevato il CDT.

La portata esatta di Chatrie su SignalTrace non è definita, e sarebbe imprudente affermare il contrario: la sentenza riguarda dati richiesti a Google, non una cattura diretta da parte di un sensore di polizia nello spazio pubblico. Ma installa il ragionamento che conta, ossia che la sensibilità di un dato di localizzazione non dipende da chi lo detiene.

La questione europea, che è la vera questione

Ecco dove il dossier diventa scomodo per l’Europa. Leonardo non è un fornitore americano, ma un gruppo italiano quotato a Milano il cui primo azionista è il Ministero italiano dell’Economia e delle Finanze, con circa il 30 % del capitale e il potere di designare la maggioranza del consiglio di amministrazione. Lo Stato italiano non è un azionista passivo di questo prodotto.

Prima il punto tecnico

Nel diritto europeo, un identificatore di apparecchio è un dato personale. Non è un’opinione dottrinale ma la posizione costante delle autorità. La CNIL tratta esplicitamente l’indirizzo MAC come tale nella sua dottrina sui dispositivi di misurazione dei flussi di pubblico, e ne ammette la raccolta nello spazio pubblico solo a condizioni strette: anonimizzazione entro pochi minuti con un elevato tasso di collisione tra individui, oppure pseudonimizzazione affidabile seguita da distruzione entro ventiquattro ore, in mancanza della quale il consenso diventa obbligatorio. La stessa dottrina precisa che invitare le persone a spegnere il Wi-Fi non è una modalità di opposizione accettabile.

La Corte di giustizia dell’Unione europea ha precisato il 4 settembre 2025, nella causa GEPD contro SRB (C-413/23 P), che il carattere personale di un dato pseudonimizzato si valuta alla luce dei mezzi di reidentificazione ragionevolmente utilizzabili. Ora, qui il detentore è un’autorità di polizia, che dispone degli archivi di immatricolazione. I mezzi di reidentificazione non sono ipotetici, sono nell’ufficio accanto.

La sfumatura che cambia tutto

Sarebbe falso scrivere che SignalTrace «sarebbe illegale in Europa», e un lettore giurista lo rileverebbe immediatamente. Un trattamento posto in essere da un’autorità competente a fini di prevenzione e repressione penale non rientra nel GDPR. Rientra nella direttiva (UE) 2016/680, detta direttiva Polizia, recepita separatamente da ciascuno Stato membro, in Francia al titolo III della legge sulla protezione dei dati. La CNIL ricorda che questo regime è autonomo, con proprie basi di liceità e propri diritti.

La domanda giusta non è quindi quella della legalità astratta, ma quella delle condizioni. Sotto questo regime, un dispositivo simile presupporrebbe una base legale nazionale espressa, finalità determinate, una necessità dimostrata, una durata di conservazione delimitata, una valutazione d’impatto e un controllo indipendente. In Francia i lettori di targhe sono disciplinati così: gli articoli L233-1 e L233-1-1 del codice della sicurezza interna fissano un elenco tassativo di reati che ne consentono l’uso, e la conservazione resta tra le più brevi dell’Unione, quindici giorni in linea di principio, anche se una proposta di legge del Senato cerca di allungarla.

È la differenza di fondo con la situazione americana. Negli Stati Uniti la legge disciplina un oggetto, la targa, e il silenzio sugli identificatori di apparecchi vale come permesso. In Europa la legge disciplina finalità e categorie di dati, e quel silenzio vale piuttosto come divieto, in mancanza di una base legale espressa. Il vuoto constatato oltreatlantico non esiste qui nella stessa forma. Non che l’Europa sia più virtuosa: la sua tecnica giuridica è inversa.

Quanto vale allora la protezione

Resta la domanda che dà origine a questo articolo. Quanto vale una protezione regolamentare europea quando un’impresa europea, controllata da uno Stato membro, vende fuori dall’Europa una capacità che non potrebbe impiegare in casa propria senza una legge nuova?

Le obiezioni meritano di essere prese sul serio. Un industriale non è responsabile del quadro legale del suo cliente: spetta alle autorità americane decidere che cosa autorizzano da loro. Il prodotto non è venduto a una dittatura ma a uno Stato di diritto dotato di una corte suprema attiva, come Chatrie ha appena ricordato. E l’argomento della sovranità industriale è legittimo: se i gruppi europei si precludono questi mercati, saranno presi da fornitori israeliani, americani o cinesi, senza che la sorveglianza arretri di un metro, e l’Europa vi perderà la propria base tecnologica.

Questi argomenti sono ammissibili. Non rispondono al problema.

Anzitutto perché l’Unione ha già riconosciuto che l’esportazione di mezzi di sorveglianza non è un commercio come un altro. Il regolamento (UE) 2021/821 sui prodotti a duplice uso ha introdotto al suo articolo 5 una clausola onnicomprensiva relativa ai prodotti di sorveglianza informatica, perché il legislatore ha ammesso che uno strumento legale da fabbricare può essere illegittimo a destinazione. Il suo limite è istruttivo: scatta di fronte a un rischio di repressione interna o di gravi violazioni dei diritti umani, categorie pensate per regimi autoritari. Una vendita a una polizia municipale americana non vi rientra. La griglia europea esamina la moralità del cliente, mai la natura della capacità venduta.

Poi perché un prodotto simile non è uno stock da smaltire, ma una capacità che si mantiene: finanzia ricerca, forma ingegneri, accumula know-how e crea una base installata. Il giorno in cui un attentato grave spingerà uno Stato membro a reclamare questa capacità, il dibattito non verterà più sull’opportunità di costruirla. Esisterà, sarà europea, sarà matura, e il suo fornitore sarà in parte pubblico. L’argomento del «non facciamo che seguire il mercato» diventa allora circolare, poiché il mercato interno sarà stato preparato dall’esportazione.

Ecco quanto vale una protezione regolamentare in questo scenario: protegge gli europei dagli usi, non dall’esistenza dei mezzi. Regola la questione di chi ha il diritto di premere il pulsante, e lascia all’industria costruirlo, venderlo, migliorarlo, poi attendere.

Che cosa si può fare, senza raccontarsi storie

La prima risposta evocata è sempre la randomizzazione dell’indirizzo MAC. Merita un esame onesto, né promozione né denigrazione. È reale e funziona.

Android dalla versione 10 e iOS dalla versione 14 randomizzano per impostazione predefinita l’indirizzo MAC usato in Wi-Fi, con un indirizzo distinto per rete. In Bluetooth Low Energy gli apparecchi moderni diffondono indirizzi privati risolvibili, che cambiano periodicamente e possono essere ricondotti all’apparecchio reale solo da un interlocutore che detenga la chiave di risoluzione.

I suoi limiti sono altrettanto reali.

L’accoppiamento riapre la porta. La chiave di risoluzione viene trasmessa durante l’accoppiamento. Un apparecchio già accoppiato, o esplicitamente approvato, ritrova l’identità stabile dietro l’indirizzo rotante. Il meccanismo è concepito per questo.
Molti oggetti non randomizzano nulla. Sensori di pressione degli pneumatici, badge RFID, microchip di identificazione animale, autoradio e periferiche economiche emettono identificatori fissi. La scheda prodotto di Leonardo menziona esattamente queste categorie, il che non è un caso.
La randomizzazione si disattiva. Si disabilita rete per rete, e spesso lo è per comodità, per un filtraggio MAC su un router domestico o per policy aziendale.
Il gruppo sopravvive alla rotazione degli identificatori. È il punto meno intuitivo e il più importante. SignalTrace non cerca un identificatore, cerca un insieme di apparecchi che viaggiano insieme. Se un solo membro del gruppo emette un identificatore stabile, l’insieme resta collegabile, qualunque sia la disciplina degli altri.

La misura più efficace resta la più noiosa: non emettere. Ciò comporta disattivare Bluetooth e Wi-Fi a livello di sistema, nelle impostazioni, e non dal pannello delle scorciatoie. La distinzione non è cosmetica, l’avevamo dettagliata nel nostro articolo sulla geolocalizzazione permanente del telefono: sulla maggior parte dei sistemi di largo consumo, il pulsante del pannello rapido interrompe l’accoppiamento visibile ma lascia viva la pila software, e le analisi di prossimità continuano. Quell’articolo descriveva la scansione Bluetooth come un vettore teorico. SignalTrace ne è il prodotto commerciale, a catalogo e consegnabile.

Bisogna restare onesti sul risultato: queste misure riducono la superficie di esposizione, non la annullano. Un veicolo resta una targa, e una targa resta leggibile. L’unico modo per non emettere nulla è non portare nulla, il che non è una politica pubblica.

Che cosa dice questo delle nostre scelte progettuali

In Arpokrat è questo ragionamento che ci ha portati a trattare il Bluetooth a livello del Core di ArpokratOS anziché a livello delle impostazioni. Un interruttore in un’interfaccia è una preferenza dell’utente: un aggiornamento, un’applicazione di sistema o un servizio di localizzazione possono aggirarla o riattivarla, senza che l’utente lo sappia. Una pila assente non si riattiva.

Di fronte a una cattura come quella di SignalTrace, questo evidentemente non rende un apparecchio non rilevabile, e non lo pretendiamo: un telefono resta su una rete mobile, e gli altri oggetti di un veicolo emettono per proprio conto. Ciò che garantisce è che un preciso vettore di emissione è assente per costruzione anziché disattivato per fiducia. È la tesi che sostenevamo a proposito del 5G e dell’errore di bersaglio del diritto: la protezione giuridica si concentra sull’accesso ai dati mentre dovrebbe riguardare l’esistenza stessa dell’infrastruttura che li produce. SignalTrace ne è l’illustrazione, con la differenza che questa infrastruttura è costruita in Europa.

Conclusione

La cosa più sorprendente in questo dossier non è la capacità tecnica, che i ricercatori descrivevano da anni. È il metodo di dispiegamento.

Non ci sarà alcuna nuova rete di telecamere da inaugurare, alcuna delibera comunale da contestare, alcun appalto pubblico identificabile come un cambiamento di natura. Ci saranno moduli aggiunti a pali esistenti, sotto contratti esistenti, dentro programmi già autorizzati. Il giorno in cui il dibattito pubblico si aprirà, l’infrastruttura sarà installata, ammortizzata e integrata nelle procedure d’indagine. Il dibattito verterà allora sulle condizioni di accesso a una banca dati che esiste, mai sull’opportunità di averla costituita.

È l’ordine abituale delle cose in materia di sorveglianza, e non è accidentale. Resta da sapere se l’Europa ritenga di avere qualcosa da dire quando i suoi stessi industriali, sostenuti dai suoi stessi Stati, costruiscono questa infrastruttura per altri. Il diritto europeo ha organizzato con cura la risposta alla domanda su chi possa consultare questi dati da noi. Non ha mai posto quella su chi abbia il diritto di fabbricare la macchina.

Il 5G, la localizzazione e l'errore di bersaglio del diritto

Tue, 18 Aug 2026 00:00:00 +0000

Nel 2011 la polizia di Detroit chiese a un operatore mobile lo storico di aggancio alle celle del telefono di Timothy Carpenter. Ottenne 12 898 punti di localizzazione distribuiti su 127 giorni, un centinaio al giorno. Sette anni dopo, la Corte suprema degli Stati Uniti ha stabilito che quella richiesta costituiva una perquisizione e richiedeva un mandato.

Quei 12 898 punti provenivano da antenne di quarta generazione, ciascuna delle quali copriva un raggio di diversi chilometri. La stessa richiesta, rivolta oggi a una rete 5G urbana, non restituirebbe un centinaio di punti al giorno con un margine di qualche chilometro. Restituirebbe un volume ben superiore, con un margine di qualche decina di metri.

La tecnologia ha cambiato scala. Il ragionamento giuridico è rimasto allo stesso punto della catena.

Un bene giuridico che i giudici riconoscono su entrambe le sponde dell’Atlantico

Esiste un interesse che quasi tutti ammettono e che quasi nessun testo tutela efficacemente: il diritto di trovarsi da qualche parte senza che il fatto venga registrato.

La giurisprudenza europea lo ha stabilito senza ambiguità. In Digital Rights Ireland (cause riunite C-293/12 e C-594/12, 8 aprile 2014), e poi in Tele2 Sverige e Watson (cause riunite C-203/15 e C-698/15, Grande Sezione, 21 dicembre 2016), la Corte di giustizia dell’Unione europea ha affermato che tali dati, considerati nel loro insieme, permettono di trarre conclusioni molto precise sulla vita privata delle persone: abitudini della vita quotidiana, luoghi di soggiorno, spostamenti, attività svolte e relazioni sociali.

La Corte suprema degli Stati Uniti è giunta a una conclusione affine in Carpenter v. United States, 585 U.S. 296 (2018). Ha insistito su un punto molto commentato dalla dottrina americana: il carattere ineluttabile e automatico di questa raccolta. Non si acconsente a essere agganciati a un’antenna: lo si è perché si possiede un telefono acceso.

Il bene giuridico esiste dunque, ed è riconosciuto dalle due giurisdizioni che contano in materia. Il problema è altrove.

Che cosa ha davvero cambiato il 5G

Una confusione ricorrente consiste nel trattare la localizzazione come un dato che il telefono trasmette, alla stregua di un messaggio o di una fotografia. Non è così. La localizzazione è una conseguenza fisica del funzionamento della rete. L’operatore sa a quale antenna è agganciato l’apparecchio perché deve saperlo per instradare una chiamata. Non esiste alcuna chiave che permetta di cifrare questa informazione, poiché non si tratta di un contenuto ma di una proprietà della connessione stessa.

È esattamente questo a rendere il 5G significativo sul piano giuridico, e non su quello tecnico.

Le architetture precedenti si basavano su celle ampie. Un’antenna 4G serve comunemente un raggio di diversi chilometri, e la posizione dedotta dal solo aggancio si misurava in centinaia di metri in città, talvolta in decine di chilometri in area rurale. Il 5G si fonda su una densificazione massiccia: le celle urbane coprono tipicamente qualche centinaio di metri, e la letteratura ingegneristica ragiona su densità dell’ordine di quaranta o cinquanta stazioni radio base per chilometro quadrato, contro quattro o cinque all’epoca del 3G.

La conseguenza è meccanica. Secondo il white paper di Ericsson sul posizionamento 5G, l’infrastruttura installata per la sola connettività raggiunge una precisione da venti a cinquanta metri all’esterno e da uno a tre metri all’interno, e scende sotto il metro in condizioni urbane favorevoli. Non si tratta di una funzione di localizzazione attivata da qualche parte, ma di ciò che la rete sa per costruzione, senza che sia installata alcuna applicazione né concesso alcun permesso. Abbiamo illustrato tutti questi meccanismi, e le contromisure che funzionano davvero, nel nostro articolo sulla geolocalizzazione permanente del telefono.

L’intrusione è dunque aumentata di diversi ordini di grandezza. Il quadro giuridico applicabile resta quello pensato per il 2G e il 3G. Nessun adeguamento normativo ha accompagnato questo cambio di scala.

Il diritto tutela l’accesso, non la generazione

Il diritto europeo disciplina con cura chi può accedere ai dati di localizzazione, a quali condizioni e sotto quale controllo. La direttiva 2002/58/CE pone il principio di riservatezza delle comunicazioni, e la Corte di giustizia ha stabilito, in La Quadrature du Net (cause riunite C-511/18, C-512/18 e C-520/18, Grande Sezione, 6 ottobre 2020), che l’articolo 15, paragrafo 1, di tale direttiva, letto alla luce degli articoli 7, 8, 11 e 52, paragrafo 1, della Carta, osta a una conservazione generalizzata e indifferenziata dei dati di traffico e di ubicazione a titolo preventivo. La Corte ha però ammesso deroghe circoscritte quando uno Stato membro affronta una minaccia grave per la sicurezza nazionale che risulti reale e attuale o prevedibile, subordinatamente a un controllo effettivo.

Sono tutele reali, e sarebbe assurdo sminuirle. Ma intervengono tutte a posteriori. Presuppongono che il dato esista, che sia conservato, e organizzano poi le condizioni del suo utilizzo.

Ora, se la localizzazione è un sottoprodotto inevitabile del funzionamento della rete, il punto d’intervento pertinente non è la riservatezza. È la persistenza.

Una posizione istantanea, necessaria all’instradamento di una comunicazione e cancellata subito dopo, non è uno strumento di sorveglianza. Uno storico di posizioni conservato per mesi lo è, quali che siano le garanzie di accesso che lo circondano.

La differenza fra le due non è giuridica, è architetturale. E il calendario europeo rende la questione urgente anziché teorica. La Commissione ha ritirato la proposta di regolamento ePrivacy nel 2025, per mancanza di accordo tra i colegislatori. Da allora lavora a uno strumento distinto sulla conservazione dei dati a fini penali, annunciato per il 2026 e destinato ad armonizzare regimi nazionali divenuti disomogenei dopo l’annullamento della direttiva del 2006. In altre parole, il testo che fisserà per un decennio il regime dei metadati di localizzazione si sta scrivendo adesso, sulla base di un ragionamento concepito all’epoca delle celle chilometriche.

Il precedente che il 5G ha creato da sé

L’aspetto più interessante della vicenda è che la risposta giusta figura già nella norma tecnica, ma applicata a un altro oggetto.

Fino al 4G, l’identificativo permanente dell’abbonato, l’IMSI, circolava in chiaro sull’interfaccia radio al momento dell’aggancio. È ciò che ha reso possibili gli IMSI catcher, quelle false stazioni radio base che, secondo la descrizione di riferimento della Electronic Frontier Foundation, trasmettono con più potenza delle antenne legittime per attirare i terminali e catturarne l’identificativo.

Dalla Release 15 delle specifiche 3GPP, pubblicata nel 2019, il 5G porta una risposta elegante. L’identificativo permanente, ora chiamato SUPI, può essere sostituito sull’interfaccia radio dal SUCI, un identificativo occultato ottenuto cifrando la parte propria dell’abbonato mediante crittografia a curve ellittiche, con la chiave pubblica dell’operatore d’origine. Solo la rete d’origine, che detiene la corrispondente chiave privata, può decifrarlo. Il risultato è unico a ogni calcolo, il che impedisce la correlazione da una sessione all’altra.

La logica adottata merita di essere sottolineata, perché è esattamente quella che dovrebbe guidare il legislatore: non si cifra la posizione, cosa tecnicamente impossibile, si cifra l’identità. Una posizione priva di identità riferibile ha un valore molto limitato ai fini di una sorveglianza individualizzata.

La falla: una protezione facoltativa

Esiste tuttavia una riserva considerevole, ed è a nostro avviso il punto d’intervento più concreto dell’intero dossier.

Il white paper NIST CSWP 36A, pubblicato nel marzo 2026 dal National Institute of Standards and Technology, lo enuncia senza giri di parole. I terminali e le funzioni di rete conformi alla Release 15 o successiva sono tenuti a supportare il SUCI, ma la sua attivazione resta facoltativa per l’operatore. Devono ricorrere tre condizioni: il costruttore dell’apparato deve supportarlo, l’operatore deve attivarlo sulla propria rete, e la scheda SIM deve contenere gli elementi necessari al calcolo.

A ciò si aggiunge una trappola di configurazione. La norma prevede uno schema di protezione nullo, in cui il formato SUCI è formalmente impiegato ma senza cifratura effettiva, cosicché l’identificativo circola in chiaro. Il NIST scrive che è necessario che l’operatore configuri la propria rete con uno schema di protezione non nullo, e ricorda che un rapporto del CSRIC, l’organo consultivo della Federal Communications Commission, raccomandava già nel 2021 di riservare lo schema nullo alle sole chiamate d’emergenza effettuate da un terminale sconosciuto alla rete.

Vale la pena lasciare la formulazione così com’è. La migliore protezione disponibile contro il tracciamento dei terminali mobili esiste nella norma tecnica dal 2019. Poggia su una scelta di configurazione lasciata alla discrezione dell’operatore. Un’agenzia federale americana ritiene utile pubblicare un documento nel 2026 per ricordare che andrebbe attivata. E nessuno strumento giuridico europeo la impone.

Va aggiunto che il SUCI non chiude la questione. I lavori presentati con il titolo 5G SUCI-catchers: still catching them all? documentano attacchi di collegamento che permettono di ricorrelare le sessioni nonostante la cifratura, e la protezione cade del tutto se l’attaccante costringe il terminale a ripiegare su una generazione precedente. Un obbligo giuridico non risolverebbe quindi tutto. Eliminerebbe però uno scarto che non ha alcuna giustificazione difendibile: quello fra ciò che la norma consente e ciò che le reti commerciali fanno.

Tre interventi coerenti

Se si prende sul serio l’idea che la localizzazione vada minimizzata fin dalla progettazione anziché tutelata a posteriori, tre misure si impongono logicamente.

Rendere obbligatorio l’occultamento effettivo dell’identificativo. Imporre l’attivazione del SUCI e vietare gli schemi di protezione nulli sulle reti commerciali, salvo il caso residuale delle chiamate d’emergenza. Non si tratta di prescrivere una tecnologia nuova, né di finanziare un dispiegamento, ma di esigere l’attivazione di una funzione standardizzata da sette anni e già presente negli apparati.
Trattare la conservazione come l’eccezione, non come l’impostazione predefinita. La posizione necessaria all’instradamento di una comunicazione dovrebbe essere cancellata non appena tale funzione è assolta. La costituzione di uno storico dovrebbe richiedere una giustificazione specifica. È la differenza fra una rete che sa dove siete e una rete che ricorda dove siete stati.
Fare della custodia della chiave il criterio di collegamento pertinente. L’ubicazione dei server nell’Unione non significa granché se le chiavi che rendono i dati intelligibili si trovano altrove. Il criterio giuridicamente significativo dovrebbe essere il controllo effettivo dei mezzi di decifratura, questione che abbiamo esaminato in dettaglio a proposito del conflitto fra Data Act e CLOUD Act.

L’angolo che segue Arpokrat

Questo ragionamento non è proprio del diritto delle telecomunicazioni. È quello che applichiamo alle nostre scelte di architettura, e sta in una frase: ciò che non è stato prodotto non ha bisogno di essere protetto.

È la ragione per cui ArpokratOS rimuove il GPS, il Bluetooth e l’NFC a livello di kernel anziché disattivarli in un menu. Un interruttore è una policy: può essere aggirato da un componente privilegiato, riattivato da un aggiornamento, ignorato da un sistema compromesso. Rimuovere il percorso di codice elimina la questione. È la trasposizione, alla scala di un dispositivo, dello stesso spostamento che auspichiamo alla scala del diritto: intervenire sulla generazione anziché sull’accesso.

Bisogna dire subito ciò che questo non fa. Nessun sistema operativo sottrae un terminale alla geometria della rete. Finché una scheda SIM è attiva, l’operatore conosce la cella di aggancio, e instradare tutto il traffico attraverso Tor non cambia nulla, poiché protegge il contenuto e la destinazione, non il livello radio. È proprio per questo che il tema è giuridico. Esiste una categoria di rischi che nessuna configurazione individuale riduce, e per la quale l’unica variabile disponibile è la regola applicabile all’operatore.

La stessa preoccupazione governa il resto del nostro lavoro. Un dato che non esiste non può essere requisito, né rivenduto, né esfiltrato, né decifrato fra dieci anni da una macchina di cui oggi nessuno dispone, questione che abbiamo trattato dal punto di vista della cifratura raccolta ora e violata poi.

Conclusione

Il dibattito pubblico sulla sorveglianza mobile si concentra quasi esclusivamente sull’accesso: chi può consultare i dati, su quale fondamento, con quale autorizzazione. È un dibattito legittimo, e le decisioni pronunciate dal 2014 dalla Corte di giustizia hanno prodotto effetti tangibili. Ma interviene troppo tardi nella catena.

La questione precedente, e più determinante, è se lo storico debba esistere. Un archivio costituito oggi per un motivo legittimo resta disponibile domani per un altro, e le garanzie che lo circondano dipendono da decisioni politiche successive che nessuno controlla al momento della raccolta. È una scommessa sulla stabilità delle istituzioni, formulata per una durata che nessuno fissa.

Il 5G ha moltiplicato la risoluzione di questa informazione senza che intervenisse alcun adeguamento normativo. Ha simultaneamente dimostrato, con il meccanismo del SUCI, che la via percorribile consiste nel dissociare la posizione dall’identità anziché tentare di cifrare una proprietà fisica della rete. La norma tecnica ha fornito la risposta sette anni prima che il diritto ponesse la domanda.

Il testo europeo sulla conservazione dei dati si sta scrivendo adesso. Riguarderà i metadati, dunque la localizzazione, dunque ciò che il 5G produce ormai con una finezza che i suoi redattori non hanno conosciuto. Sapere se si limiterà a organizzare l’accesso a uno storico dato per acquisito, o se oserà interrogarsi sulla necessità di quello storico, è probabilmente la questione di privacy più importante dei prossimi anni in Europa. Ed è una questione che il settore tecnico, per una volta, ha già risolto nel modo giusto.

Fonti

Corte di giustizia dell’Unione europea, Digital Rights Ireland, cause riunite C-293/12 e C-594/12, 8 aprile 2014
Corte di giustizia dell’Unione europea, Tele2 Sverige e Watson, cause riunite C-203/15 e C-698/15, Grande Sezione, 21 dicembre 2016
Corte di giustizia dell’Unione europea, La Quadrature du Net e a., cause riunite C-511/18, C-512/18 e C-520/18, Grande Sezione, 6 ottobre 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, marzo 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

La geolocalizzazione permanente: come il telefono vi segue anche quando credete di averglielo impedito

Sun, 02 Aug 2026 00:00:00 +0000

Nel 2024 due ricercatori dell’Università del Maryland hanno interrogato ripetutamente il servizio di posizionamento Wi-Fi di Apple, senza privilegi particolari né hardware specializzato, ricostruendo in un anno la posizione precisa di oltre due miliardi di punti di accesso Wi-Fi nel mondo. Il loro articolo, Surveilling the Masses with Wi-Fi-Based Positioning Systems, mostra che cosa consente quella mappa: seguire materiale che entra ed esce dall’Ucraina, osservare lo spostamento delle popolazioni dopo gli incendi di Maui, pedinare una persona attraverso il suo router domestico.

Nessuno di quei dispositivi aveva il GPS attivo. La posizione arrivava da altrove.

È il punto cieco più diffuso in materia di privacy mobile: la convinzione che esista un interruttore della localizzazione e che, una volta spento, il telefono smetta di sapere dove si trova. Quella convinzione è falsa su sette livelli diversi.

La localizzazione non è una funzione che il telefono attiva. È una proprietà di ciò che il telefono è.

Il GPS, ovvero il vettore meno problematico

L’unico meccanismo che tutti sanno nominare è anche quello che dovrebbe preoccuparvi di meno.

Il GNSS, termine generico che raggruppa il GPS americano, Galileo, GLONASS e BeiDou, funziona per ascolto. I satelliti emettono di continuo segnali con marca temporale, il ricevitore ne capta diversi e calcola la propria posizione dalle differenze di tempo di propagazione. Precisione corrente all’aperto e senza ostacoli: tre-cinque metri, spesso diverse decine di metri in città, dove le facciate riflettono i segnali.

Il punto decisivo è che questo calcolo è passivo. Il telefono non emette nulla verso i satelliti, nessun operatore satellitare sa che esistete. Se in gioco ci fosse solo il GNSS, spegnere il GPS basterebbe.

Esiste però una sfumatura. Per accelerare il primo calcolo, i telefoni usano l’A-GPS: scaricano le effemeridi satellitari da un server, tramite il protocollo SUPL. Per ottenere i dati giusti, il telefono trasmette a quel server l’identificativo della cella di rete a cui è agganciato. Il GNSS puro non vi tradisce, ma l’acceleratore che gli è stato innestato sì.

La rete mobile: quello che l’operatore sa per costruzione

Perché una chiamata possa raggiungervi, la rete deve sapere in quale zona vi trovate. Non è un’opzione attivabile, è la condizione di esistenza del servizio. Il telefono si segnala in permanenza all’antenna più vicina, e questa registrazione lascia una traccia dal lato dell’operatore. Nessuna app installata, nessun permesso concesso: basta una SIM attiva.

La precisione dipende dal metodo:

Identificativo di cella da solo: da 200 metri in area urbana densa a oltre 30 chilometri in zona rurale, dove un’antenna copre un raggio molto ampio.
Cell ID arricchito, che aggiunge il settore dell’antenna (la maggior parte dei siti è divisa in tre settori da 120 gradi) e la potenza del segnale: da 100 metri a qualche chilometro.
Timing advance, che misura il ritardo di andata e ritorno tra telefono e antenna: nell’ordine dei 550 metri in GSM, circa 78 metri in LTE.
Multilaterazione su tre antenne o più: da 50 a 300 metri in LTE urbano.

Il 5G cambia la scala per due ragioni cumulative. Innanzitutto la densità: le celle 5G coprono raggi molto più corti, quindi il semplice aggancio è già un’informazione fine. Poi la normazione: dalla Release 16 il 3GPP integra segnali di posizionamento nativi. Gli obiettivi commerciali puntano a meno di 3 metri in interni e meno di 10 metri in esterni per l'80 % dei terminali, e la Release 18 scende al centimetro per certi usi industriali.

L’infrastruttura che vi connette diventa quindi un sistema di posizionamento di qualità paragonabile al GPS, senza che abbiate attivato nulla. Questi dati sono conservati secondo regole nazionali e resi accessibili alle autorità con procedure variabili. È lo stesso dibattito di fondo affrontato a proposito della giurisdizione applicabile ai dati ospitati: protezione tecnica e protezione giuridica non coincidono.

Il Wi-Fi: una mappa del mondo fatta di indirizzi hardware

Ogni punto di accesso Wi-Fi diffonde in permanenza un identificativo hardware unico, il BSSID. Questi identificativi sono fissi e geograficamente stabili: un router domestico resta anni nello stesso posto.

Apple, Google e alcuni attori specializzati mantengono basi di dati che associano ogni BSSID a delle coordinate, costruite dai telefoni dei loro stessi utenti, che riportano l’elenco degli access point visibili insieme a una posizione GNSS. L’operazione si inverte poi: un telefono che vede quattro access point noti non ha più bisogno di un solo satellite. In area urbana densa la precisione raggiunge correntemente qualche decina di metri, e scende sotto quella soglia in interni.

Due proprietà rendono questo meccanismo difficile da neutralizzare. Primo, il telefono effettua scansioni anche quando il Wi-Fi sembra disattivato: da Android 4.3 il sistema mantiene una scansione periodica destinata a migliorare la localizzazione, indipendentemente dall’interruttore del pannello rapido. Questo comportamento dipende da un’impostazione distinta, sepolta nei servizi di localizzazione, che la quasi totalità degli utenti non ha mai aperto.

Secondo, la base è interrogabile dall’esterno. È la falla sfruttata da Rye e Levin: le interfacce di posizionamento restituiscono non solo la posizione richiesta ma anche quella di access point vicini, il che permette di mietere la mappa senza mai avvicinarsi fisicamente ai luoghi.

Bluetooth e BLE: localizzati dai telefoni degli altri

Il Bluetooth Low Energy aggiunge uno strato di prossimità, con una portata da qualche metro a qualche decina di metri, quindi di granularità molto più fine della rete mobile. Coesistono due usi. I beacon commerciali, installati in negozi, aeroporti o centri commerciali, emettono un identificativo che le app presenti sul telefono riconoscono, il che rivela davanti a quale scaffale vi siete fermati e per quanto tempo. E le reti di localizzazione collaborative, di cui Find My di Apple è il modello, ripreso poi da Google e Samsung.

Questo secondo meccanismo ribalta un’ipotesi implicita. L’analisi di riferimento, Who Can Find My Devices?, pubblicata negli atti di PETS 2021 da ricercatori dell’Università tecnica di Darmstadt, ha ricostruito il protocollo di Apple tramite reverse engineering. Un dispositivo offline emette un segnale BLE, un qualsiasi dispositivo Apple nelle vicinanze lo capta, vi aggiunge la propria posizione e la trasmette cifrata ai server di Apple, all’insaputa sia del suo proprietario sia del proprietario del dispositivo localizzato.

La conseguenza è strutturale: un dispositivo senza SIM, senza Wi-Fi, senza connessione di rete di alcun tipo resta localizzabile, purché uno sconosciuto passi lì vicino con un telefono in tasca. Il vostro isolamento non dipende più dalle vostre impostazioni, ma da quelle dei passanti.

I sensori inerziali: localizzare senza permesso di localizzazione

Un telefono contiene un accelerometro, un giroscopio, un magnetometro e spesso un barometro. Questi sensori rientrano in una categoria di permessi distinta dalla localizzazione: un’app può leggerli senza aver mai chiesto dove siete.

Alcuni ricercatori di Princeton lo hanno dimostrato con PinMe. La loro app parte dall’indirizzo IP e dal fuso orario per una posizione grossolana, poi legge i sensori: l’accelerometro dà il profilo di accelerazione e frenata, il giroscopio la sequenza delle curve, il magnetometro la direzione, il barometro le variazioni di quota. Una rete neurale identifica il modo di trasporto, a piedi, auto, treno o aereo, e il tragitto viene riallineato su dati pubblici di cartografia, altimetria e meteo. Risultato: una traiettoria di precisione paragonabile al GPS, senza permesso di localizzazione. Il metodo ha dei limiti, che gli autori documentano, poiché fallisce nelle zone senza strade e si degrada sugli impianti a scacchiera uniforme, dove molti percorsi producono la stessa firma. Resta la dimostrazione che un permesso negato non è una porta chiusa.

Il barometro fornisce inoltre la dimensione che il GNSS gestisce male, la verticale. I requisiti statunitensi per le chiamate di emergenza impongono una precisione di piano di più o meno 3 metri per l'80 % delle chiamate effettuate in interni. Sapere a quale piano si trova qualcuno è di altra natura rispetto a sapere in quale isolato si trova.

Il mercato del dato: il vettore più banale

I meccanismi precedenti descrivono come viene calcolata una posizione. Resta da sapere dove va a finire, ed è lì che si gioca l’essenziale del rischio quotidiano.

Migliaia di app integrano SDK pubblicitari, componenti software forniti da terzi che uno sviluppatore aggiunge per monetizzare il proprio lavoro o misurare la propria audience. Questi componenti ereditano i permessi dell’app ospite: un’app meteo che ha legittimamente bisogno della vostra posizione la trasmette ad attori di cui non avete mai letto il nome. Vi si aggiungono i flussi d’asta pubblicitaria, dove la vostra posizione approssimativa viene diffusa a decine di potenziali acquirenti a ogni visualizzazione di un banner, compresi quelli che non comprano nulla e si limitano ad ascoltare.

Questa materia prima alimenta un’industria. La Electronic Frontier Foundation ha documentato il caso di Fog Data Science, che rivendicava miliardi di punti dati su oltre 250 milioni di dispositivi, venduti a polizie locali statunitensi. Brian Krebs ha descritto Locate X, un prodotto che permette di tracciare un poligono su una mappa e visualizzare lo storico dei dispositivi entrati e usciti da quell’area.

Questo vettore non richiede alcuna prodezza tecnica, soltanto che qualcuno accetti di pagare. Il prezzo è modesto.

Gli IMSI catcher: la localizzazione attiva

I meccanismi visti finora sfruttano un funzionamento normale. Esiste anche una localizzazione attiva, condotta da un terzo che interviene sulla rete.

Un IMSI catcher, o simulatore di cella, è un apparato che si spaccia per un’antenna legittima. I telefoni a portata vi si agganciano, rivelando il proprio identificativo di abbonato e la propria presenza in un perimetro ristretto.

Il 5G avrebbe dovuto chiudere quella porta sostituendo l’identificativo permanente in chiaro con uno cifrato, il SUCI. La chiusura è parziale. I lavori presentati sotto il titolo 5G SUCI-catchers: still catching them all? documentano attacchi di collegamento che consentono di ricorrelare le sessioni malgrado la cifratura. Soprattutto, la protezione cade del tutto se l’attaccante costringe il terminale a ripiegare su una generazione precedente, il 2G in particolare, la cui autenticazione è unilaterale. Un telefono 5G resta vulnerabile a un attacco concepito per una rete degli anni Novanta, perché accetta ancora di scendervi.

Le contromisure e la loro efficacia reale

Ognuna delle misure che seguono fa qualcosa. Nessuna fa tutto, e lo scarto tra ciò che fanno e ciò che si attribuisce loro produce le decisioni sbagliate.

La modalità aereo

La modalità aereo interrompe l’emissione del modem cellulare, del Wi-Fi e del Bluetooth. È un effetto reale, ed è il miglior risultato ottenibile con uno sforzo tanto ridotto.

Ciò che non fa: non ferma i sensori inerziali, non cancella le posizioni già in cache, che partiranno alla riconnessione, e sulla maggior parte dei dispositivi consente di riattivare Wi-Fi o Bluetooth separatamente senza uscirne. È infine uno stato software, non un’interruzione di alimentazione: la sua affidabilità dipende dall’integrità del sistema che la applica.

Un dettaglio sottovalutato: il distacco e il successivo riaggancio alla rete sono essi stessi eventi con marca temporale dal lato dell’operatore. Un telefono che sparisce alle 21 in una cella e riappare alle 23 in un’altra ha prodotto un’informazione, non un silenzio.

La randomizzazione dell’indirizzo MAC

I sistemi mobili emettono oggi indirizzi MAC casuali durante le scansioni, per impedire il tracciamento da un luogo all’altro. L’intenzione è buona, il risultato incompleto. I lavori di riferimento, tra cui Why MAC Address Randomization is not Enough, mostrano che il contenuto delle trame di scoperta basta spesso a reidentificare il dispositivo: il numero di elementi informativi, i loro valori e il loro ordine formano un’impronta. Vi si aggiungono i numeri di sequenza, incrementali e quindi concatenabili, e la firma temporale propria di ogni modello. Alcuni studi riportano un tracciamento corretto di metà dei dispositivi per almeno venti minuti.

Infine un limite concettuale: la randomizzazione riguarda solo la fase di scoperta. Non appena vi connettete a una rete, l’indirizzo usato è stabile per quella rete, per progettazione, affinché la connessione funzioni. Il bar dove andate ogni mattina vi riconosce.

Spegnere davvero le scansioni

È l’impostazione più redditizia e la più ignorata. Su Android la ricerca Wi-Fi e la ricerca Bluetooth sono due opzioni distinte, collocate nei servizi di localizzazione, indipendenti dagli interruttori del pannello rapido. Finché sono attive, spegnere il Wi-Fi dal pannello non basta: la scansione continua.

Disattivarle elimina un intero strato di raccolta, senza altro costo che un primo calcolo di posizione un po’ più lento. Per la maggior parte dei lettori è il miglior rapporto tra lo sforzo speso e il risultato ottenuto.

I permessi delle app

Revocare il permesso di localizzazione alle app che manifestamente non ne hanno bisogno resta utile, e i sistemi recenti offrono tre gradazioni: l’autorizzazione una tantum, quella limitata all’uso attivo e la posizione approssimativa, che trasmette solo un’area dell’ordine del chilometro.

Questo però non protegge né dagli SDK ospitati in un’app che ha una ragione legittima di accedere alla vostra posizione, né dai sensori inerziali, né dagli strati di rete, che non passano da alcun permesso.

Ciò che la VPN non protegge

Punto da chiarire, perché la convinzione opposta è molto diffusa: una VPN non nasconde la vostra posizione. Nasconde il vostro indirizzo IP pubblico, quindi falsa la geolocalizzazione basata su IP, che è comunque il meccanismo più grossolano dell’elenco.

Una VPN non tocca né il ricevitore GNSS, né la scansione Wi-Fi, né il Bluetooth, né i sensori. Non cambia nulla di ciò che sa il vostro operatore, poiché il tunnel cifrato transita dalle sue antenne e l’aggancio cellulare gli resta visibile. Non impedisce a un’app dotata del permesso di localizzazione di trasmettere coordinate esatte dentro il tunnel. La VPN protegge il contenuto e la destinazione delle vostre comunicazioni su una rete non affidabile, e non è poco. La localizzazione non rientra nel suo perimetro.

I limiti fisici

Una custodia di Faraday funziona in senso letterale: blocca emissioni e ricezioni. Anche la rimozione della batteria, quando è ancora possibile. Il dispositivo dedicato, o il fatto di lasciare il telefono altrove, resta la misura più robusta.

Queste soluzioni condividono un difetto da guardare in faccia: producono un’anomalia. Un telefono che tace due ore ogni martedì sera dice qualcosa. Contro un avversario che analizza schemi anziché posizioni istantanee, l’assenza è un dato.

Tre avversari, tre strategie

È la distinzione più importante di questo articolo, e quella che si legge meno spesso.

Contro un inserzionista o un broker di dati, la partita è vincibile. Disciplina dei permessi, disattivazione delle scansioni, sistema privo di servizi di localizzazione proprietari, reimpostazione dell’identificativo pubblicitario: l’insieme riduce moltissimo il volume raccolto. Questo avversario cerca volume a basso costo, non il vostro caso particolare.

Contro il vostro operatore, nessuna configurazione basta. La localizzazione cellulare è la condizione del servizio. Le uniche variabili reali sono giuridiche, ossia ciò che la legge autorizza a conservare e a trasmettere, e materiali: quale dispositivo, quale SIM, intestata a chi, acceso dove.

Contro un avversario statale mirato, il ragionamento cambia ancora, poiché combina l’accesso legale ai dati dell’operatore, la localizzazione attiva tramite simulatore di cella, la richiesta alle piattaforme e, se del caso, la compromissione del terminale. Le contromisure software riducono la superficie, ma l’obiettivo realistico non è la sparizione: è sapere con precisione che cosa resta esposto.

L’approccio di ArpokratOS

ArpokratOS risponde a questo panorama con una scelta che discende dalla distinzione appena fatta: ciò che deve essere neutralizzato lo è a livello di sistema, non in un menu.

Sul GNSS, il driver hardware viene rimosso. Il dispositivo si comporta come se il chip non esistesse, tanto per le applicazioni quanto per il sistema stesso. La differenza rispetto a un interruttore nelle impostazioni non è cosmetica. Un interruttore è una politica: viene applicato da uno strato che può essere aggirato da un componente sufficientemente privilegiato, riattivato da un aggiornamento o ignorato da un sistema compromesso. Rimuovere il percorso di codice elimina la questione, perché non c’è più nulla da attivare.

Il Bluetooth è trattato a livello Core, con la stessa logica. Un Bluetooth disattivato nelle impostazioni lascia in pratica lo stack software vivo su molti dispositivi, per alimentare i servizi di prossimità e le reti di localizzazione collaborative. Assente a livello di sistema, non può né dialogare con un beacon di negozio, né partecipare a una rete di tipo Find My, né fare da superficie d’attacco senza interazione.

Bisogna dire chiaramente che cosa questo non fa. ArpokratOS non rende un telefono non rilevabile. Finché una SIM è attiva, l’operatore conosce la cella di aggancio, e nessun sistema operativo cambia questo, nemmeno instradando l’intero traffico attraverso Tor. Il routing protegge il contenuto e la destinazione, non la geometria radio. Chi promette l’invisibilità vende una storia.

Ciò che un’architettura simile porta è più modesto: la soppressione degli strati applicativi e di prossimità, attraverso i quali passa la grandissima maggioranza della raccolta reale, e un modello di minaccia esplicito su ciò che resta. È il ragionamento applicato alla scelta di un sistema desktop, illustrato nel nostro confronto tra sistemi operativi: la domanda utile non è se uno strumento protegge, ma da che cosa protegge e a quale prezzo.

Conclusione

Questo articolo non fornisce un metodo per sparire. Quel metodo non esiste, e i testi che pretendono il contrario producono soprattutto falsa fiducia, più pericolosa dell’assenza di protezione perché fa correre rischi.

L’obiettivo era sostituire una domanda binaria, sono localizzabile o no, con una domanda utile: da chi, con quale precisione, a quale costo per loro, e mi importa? La risposta è diversa per un giornalista che protegge una fonte, un dirigente in trasferta in una giurisdizione sensibile, un avvocato i cui appuntamenti rivelano una strategia, o un privato infastidito dal fatto che un inserzionista conosca le sue abitudini.

Ciò che dovrebbe attirare l’attenzione non è del resto la prestazione di ciascuno di questi meccanismi preso isolatamente, ma il fatto che si sovrappongano. Una posizione con cinquanta metri di margine non è molto interessante. Una posizione con cinquanta metri di margine, ogni quarto d’ora, per due anni, disegna un domicilio, un luogo di lavoro, una confessione religiosa, uno stato di salute, una relazione, una fonte. Il dato di localizzazione è il metadato che rende leggibili tutti gli altri, ed è per questo che vale caro.

Fonti

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Le Filippine vietano Monero e Zcash sulle piattaforme regolamentate: il segnale di una tendenza mondiale

Wed, 17 Jun 2026 00:00:00 +0000

La banca centrale delle Filippine ha appena inferto un duro colpo alle criptovalute a riservatezza rafforzata. Sotto la copertura della conformità agli standard internazionali di lotta al riciclaggio, la decisione illustra una dinamica regolamentare che va ben oltre questo solo paese — e che dovrebbe mettere in allerta chiunque detenga o utilizzi asset come Monero o Zcash.

Cosa dice il memorandum

La Bangko Sentral ng Pilipinas (BSP), banca centrale del paese, ha approvato il Memorandum M-2026-023, firmato dalla vice-governatrice Lyn Javier. Il testo ordina a tutti i fornitori di servizi su asset virtuali (VASP) titolari di licenza di cessare di listare e supportare gli «asset virtuali a carattere anonimizzante». Il memorandum non cita alcun token per nome, ma la categoria individuata copre senza ambiguità Monero, Zcash e Dash — le criptovalute progettate per rendere difficile o impossibile la tracciabilità delle transazioni.

La misura è entrata in vigore immediatamente, senza periodo di transizione. Al di là del semplice ritiro di questi asset dalle piattaforme, i VASP devono ora valutare ogni token listato secondo sei pilastri di conformità: credibilità dell’emittente, maturità del mercato, caso d’uso, trasparenza e sicurezza, liquidità e riserve, conformità legale. Devono inoltre definire soglie interne che attivino automaticamente un delisting quando un asset non soddisfa più tali criteri.

Cosa cambia concretamente

Il memorandum non criminalizza il possesso privato di Monero o Zcash, né i trasferimenti peer-to-peer effettuati al di fuori delle piattaforme regolamentate. Ciò che scompare è l’accesso istituzionale: i canali di ingresso e uscita regolamentati (acquisto, vendita, deposito, prelievo su una piattaforma con licenza) non potranno più trattare questi asset.

Concretamente, se detenete privacy coin su una piattaforma filippina soggetta a licenza BSP — tra cui Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank o UnionBank — dovete trasferirle su un portafoglio personale o convertirle prima che la piattaforma sia costretta a ritirarle.

Con oltre 16 milioni di utenti di criptovalute nel paese, l’impatto si farà sentire su larga scala nel mercato interno, anche se l’effetto sul corso mondiale di XMR o ZEC dovrebbe restare limitato — le Filippine rappresentando solo una frazione marginale della liquidità globale di questi asset.

L’allineamento FATF, giustificazione universale

La BSP giustifica la propria decisione con un esplicito allineamento agli standard del GAFI (FATF), l’organismo internazionale che definisce le regole di lotta al riciclaggio di denaro e al finanziamento del terrorismo. Rimanere in buoni rapporti con il FATF non è facoltativo per la maggior parte delle banche centrali — una cattiva classificazione può compromettere l’accesso di un intero paese ai circuiti finanziari internazionali.

È esattamente la stessa giustificazione che ha già spinto l’Unione Europea, il Giappone e la Corea del Sud a escludere progressivamente le privacy coin dalle proprie piattaforme regolamentate nel corso degli ultimi anni. La decisione filippina non è quindi un caso isolato: è la conferma di uno standard di fatto che si generalizza — se una giurisdizione vuole operare un mercato crypto riconosciuto a livello internazionale, gli asset a riservatezza rafforzata non vi hanno più posto.

Una tensione che nessuno risolve davvero

È significativo che persino gli attori che sostengono la decisione riconoscano la legittimità dell’utilizzo che essa mira a limitare. Il responsabile crypto di GCash, una delle più grandi fintech del paese, ha esplicitamente riconosciuto che Monero e Zcash «esistono per ragioni legittime» e che la riservatezza costituisce «un valore fondante della crypto: la capacità di transare senza sorveglianza». Ha tuttavia sostenuto la misura, ritenendo che le Filippine — paese con una forte dipendenza dai flussi di rimesse — non potessero posizionarsi come infrastruttura finanziaria affidabile pur autorizzando la libera circolazione di asset anonimizzanti.

Questa tensione non è risolta, è semplicemente tranchée a favore dell’ottica regolamentare: i volumi di rimesse e la credibilità internazionale pesano più dell’argomento della riservatezza legittima, ogni volta che si pone il problema di scegliere.

La logica conseguenza: la migrazione verso l’auto-custodia

Lo schema che si ripete da una giurisdizione all’altra è ormai leggibile. Il pattern è quasi sempre identico: la riservatezza finanziaria rimane legale a livello individuale, ma diventa progressivamente impossibile da esercitare tramite i circuiti istituzionali. L’auto-custodia (self-custody) non è ancora nel mirino — ma ogni nuova giurisdizione che segue questo modello riduce ulteriormente lo spazio in cui questi asset possono circolare senza blocchi regolamentari.

Avevamo analizzato in profondità il funzionamento tecnico di queste blockchain e le ragioni per cui sono diventate un bersaglio privilegiato dei regolatori nel nostro guida completa sulle blockchain anonime — ring signatures, zk-SNARKs, e i limiti reali di queste tecnologie.

Scambiare al di fuori dei circuiti che si chiudono

Man mano che le piattaforme regolamentate si ritirano dal mercato delle privacy coin una dopo l’altra, il ruolo delle infrastrutture non-custodiali e senza raccolta di dati diventa centrale per chiunque voglia continuare a utilizzare questi asset senza dipendere da un VASP soggetto a una giurisdizione che potrebbe cambiare politica da un giorno all’altro.

Arpokrat Swap permette di scambiare Monero, Zcash e l’insieme delle criptovalute a riservatezza rafforzata senza registrazione, senza raccolta di log IP e senza cookie — che abbiate accesso alla piattaforma in clearnet o tramite il nostro indirizzo .onion. Nessuna giurisdizione può rimuovere ciò che non raccogliamo mai.

Questa decisione filippina probabilmente non sarà l’ultima del suo genere quest’anno. La domanda non è più se altri paesi seguiranno la stessa strada — la storia recente suggerisce di sì — ma quanto tempo resta prima che l’accesso istituzionale alle privacy coin diventi l’eccezione piuttosto che la norma.

La fine della privacy? Backdoor, Online Safety Act e la risposta degli ecosistemi sovrani

Wed, 10 Jun 2026 00:00:00 +0000

Londra è diventata l’epicentro di una battaglia globale per il futuro della privacy digitale. Con l’adozione dell’Online Safety Act 2023 (OSA) e le recenti proposte di revisione dell’Investigatory Powers Act (IPA) — soprannominato dai suoi detrattori la “Carta delle spie” —, il governo britannico rivendica il diritto di imporre obblighi di sorveglianza nel cuore stesso delle comunicazioni private. Il punto di rottura è il potere conferito al regolatore OFCOM di esigere che le piattaforme implementino una “tecnologia accreditata” per rilevare contenuti di abusi sessuali su minori (CSEA) o terrorismo, anche all’interno delle comunicazioni crittografate end-to-end.

Per le grandi piattaforme digitali, il messaggio di Westminster è inequivocabile: o facilitano l’accesso statale alle loro infrastrutture, o affrontano multe fino al 10% delle loro entrate globali. La risposta è stata immediata: servizi come Signal e WhatsApp hanno pubblicamente minacciato di ritirarsi dal mercato britannico, rifiutandosi di compromettere la sicurezza dei propri utenti per soddisfare una singola giurisdizione. L’argomento tecnico è difficile da contestare: non esiste una chiave master (master key) riservata esclusivamente agli attori legittimi. Una porta aperta per le forze dell’ordine è, per progettazione, una porta aperta per i criminali informatici e i servizi segreti stranieri.

Il modello di business delle grandi piattaforme: un ostacolo strutturale alla Zero-Knowledge

La resistenza delle grandi piattaforme all’adozione della crittografia di tipo Zero-Knowledge non è spiegata da un’incapacità tecnica, ma da una fondamentale incompatibilità economica. Aziende come Alphabet e Meta si basano su modelli di monetizzazione fondati sulla raccolta sistematica di dati comportamentali. Questo modello è, peraltro, implicitamente riconosciuto dal Digital Markets Act (DMA) dell’Unione Europea, che classifica questi “guardiani” (gatekeepers) come entità la cui posizione dominante è alimentata proprio dall’accumulo di dati su scala ineguagliabile. Per questi attori, adottare un’architettura Zero-Knowledge significherebbe privare i propri sistemi pubblicitari della continua identificazione degli utenti che ne costituisce il carburante. Non si tratta quindi di una scelta tecnica, ma di un compromesso tra la privacy degli utenti e la redditività del loro modello di business.

Il rischio strategico: la minaccia “Harvest Now, Decrypt Later”

Al di là del dibattito sulla privacy, l’indebolimento della crittografia solleva una questione di sicurezza nazionale di tutt’altra portata. La strategia nota come Harvest Now, Decrypt Later (HNDL) prevede che avversari statali intercettino e memorizzino oggi enormi volumi di comunicazioni crittografate, in previsione di future capacità di decrittazione quantistica. Indebolendo gli attuali standard di crittografia, il quadro legislativo britannico facilita oggettivamente questo tipo di operazioni contro comunicazioni governative, diplomatiche o industriali.

È proprio in questo contesto di deficit di fiducia che ecosistemi come quello di Arpokrat acquisiscono rilevanza operativa. Operando sotto il regime della Legge federale svizzera sulla protezione dei dati (LPD/FADP), con un’architettura che non raccoglie alcun identificatore civile, Arpokrat offre una rottura tecnica rispetto alle infrastrutture soggette alla giurisdizione britannica — garantendo che il sistema rimanga sordo alle ingiunzioni previste dall’OSA.

Il conflitto di norme: OSA e IPA contro il diritto europeo

L’analisi giuridica delle nuove prerogative statali britanniche rivela una collisione diretta con i fondamenti del diritto europeo in materia di protezione dei dati e riservatezza delle comunicazioni.

OSA contro il divieto di sorveglianza generalizzata

L’articolo 121 dell’OSA introduce la possibilità per l’OFCOM di emettere ingiunzioni che costringono le piattaforme a implementare la scansione lato client (client-side scanning). Questa misura contravviene frontalmente al principio, derivato dal diritto europeo e incluso nella giurisprudenza della CGUE, che vieta obblighi generali di sorveglianza. Imponendo una “vulnerabilità by design”, pone inoltre le aziende in una situazione di doppio vincolo: indebolendo la loro sicurezza per conformarsi a un mandato statale, vengono meno al loro obbligo di garantire un livello di sicurezza adeguato al trattamento, sancito dall’articolo 32 del GDPR.

La Direttiva ePrivacy e la riservatezza delle comunicazioni

La scansione dei messaggi privati è in diretta contraddizione con l’articolo 5, paragrafo 1, della Direttiva 2002/58/CE (ePrivacy), che obbliga gli Stati membri a garantire la riservatezza delle comunicazioni elettroniche e vieta qualsiasi forma di intercettazione o sorveglianza senza il consenso esplicito degli utenti interessati.

I Technical Capability Notices e il blocco degli aggiornamenti di sicurezza

Sotto il regime dell’IPA 2016, il governo britannico intende ora utilizzare i Technical Capability Notices (TCN) per opporsi agli aggiornamenti di sicurezza prima della loro implementazione. Questo meccanismo crea un conflitto irrisolvibile con l’obbligo, stabilito dall’articolo 32 del GDPR, di garantire la sicurezza continua dei sistemi di elaborazione — un obbligo che richiede proprio la capacità di applicare patch senza ritardi o interferenze esterne.

Rischi di conformità per le aziende che operano in Europa

Le revisioni dell’IPA mirano a costringere le aziende a notificare al governo britannico qualsiasi modifica tecnica che influisca sulla sicurezza, prima della sua implementazione, concedendogli così un diritto di veto sullo sviluppo del prodotto. Questa ingerenza crea una notevole insicurezza giuridica per i fornitori che operano nel mercato europeo: l’adeguatezza britannica al diritto europeo — già fragile — potrebbe essere messa in discussione se il Regno Unito non garantisse più una protezione sostanzialmente equivalente a quella del GDPR. Di conseguenza, i trasferimenti di dati verso il Regno Unito in questo nuovo quadro normativo esporrebbero verosimilmente le aziende a sanzioni ai sensi del GDPR.

La difesa attraverso l’impossibilità tecnica: il principio Zero-Knowledge come scudo legale

La giurisprudenza internazionale, consolidata dalle sentenze Schrems I e Schrems II della CGUE, ha stabilito un principio determinante: l’unica salvaguardia solida contro una sorveglianza sproporzionata è l’impossibilità tecnica di accedervi. Le architetture Zero-Knowledge declinano questo principio in tre livelli di protezione:

Assenza di custodia: non detenendo la piattaforma le chiavi di decrittazione, qualsiasi ingiunzione di scansionare i messaggi è tecnicamente inoperante;
Sovranità del sistema operativo: il controllo di ArpokratOS elimina la telemetria che alimenta la raccolta di intelligence a livello di dispositivo;
Ancoraggio giurisdizionale svizzero: ospitando la propria infrastruttura in Svizzera, Arpokrat opera in un regime legale che richiede richieste individualizzate e motivate di assistenza giudiziaria, neutralizzando l’esecuzione automatizzata delle scansioni di massa previste dall’OSA.

Conclusione

Le disposizioni dell’OSA e le revisioni dell’IPA non costituiscono solo una minaccia per la privacy degli individui: rappresentano una rottura della certezza del diritto per tutti i dati europei che transitano attraverso infrastrutture soggette alla giurisdizione britannica. Legittimando l’indebolimento della crittografia in nome della sicurezza pubblica, Londra espone paradossalmente i suoi alleati e partner commerciali a rischi di spionaggio industriale e statale che le architetture Zero-Knowledge sono progettate proprio per prevenire.

L’integrità delle comunicazioni professionali e istituzionali richiede ora una risposta strutturale: la migrazione verso ecosistemi decentralizzati che garantiscano la sovranità digitale, dal livello del codice fino all’ancoraggio giurisdizionale.

Il Silenzio che Urla: Cos'è un Warrant Canary e perché la sua scomparsa dovrebbe preoccuparti?

Mon, 01 Jun 2026 00:00:00 +0000

In fondo alle miniere di carbone del XIX secolo, i minatori portavano con sé canarini in gabbia. Questi piccoli uccelli, estremamente sensibili ai gas tossici come il monossido di carbonio, soccombevano molto prima che i minatori percepissero il pericolo. Fungevano così da sistema di allarme preventivo silenzioso, ma formidabilmente efficace.

Nel nostro mondo digitale moderno, questo uccellino ha ripreso vita sotto forma di « Warrant Canary ».

Cos’è un Warrant Canary?

Si tratta di una dichiarazione pubblica, pubblicata e aggiornata regolarmente da un fornitore di servizi (messaggistica, VPN, hosting), che afferma che, fino a quella data esatta, non ha ricevuto alcuna richiesta legale segreta che lo obblighi a compromettere i dati dei propri utenti — come una National Security Letter (NSL) americana o un’ordinanza emessa da un tribunale FISA.

L’intera sottigliezza — e gravità — del canarino risiede in ciò che accade quando scompare.

Se un servizio che esponeva ogni mese la dicitura “Non abbiamo ricevuto alcun ordine segreto” smette improvvisamente di aggiornarla, l’utente informato ne deduce l’ovvio: il canarino è morto.

L’azienda è stata bersaglio di una misura di sorveglianza accompagnata da un ordine di non divulgazione (gag order), che le vieta legalmente di rivelare l’esistenza di tale richiesta. Non potendo dire di essere stata compromessa, smette semplicemente di dire di non esserlo.

L’era della sorveglianza invisibile e l’elusione del silenzio

In un’epoca in cui legislazioni extraterritoriali come il CLOUD Act e il FISA permettono al governo americano di accedere ai dati ospitati dalle aziende senza mai informare i diretti interessati, il Warrant Canary costituisce uno dei rari meccanismi per aggirare questo silenzio forzato.

Con il CLOUD Act, la barriera geografica non esiste più: se i dati sono sotto il “controllo” di un’azienda americana, il governo degli Stati Uniti ne rivendica il diritto di accesso, anche se questi server sono fisicamente situati in Europa. Il canarino diventa allora l’ultimo segnale di allarme prima che la sovranità digitale di un utente venga silenziosamente sacrificata.

Ecco perché i principali attori della sfera Privacy hanno adottato questo strumento come standard di trasparenza:

Proton: Il servizio svizzero di posta e messaggistica pubblica un rapporto di trasparenza che include un rigoroso Warrant Canary.
Riseup: Il collettivo di comunicazione sicura per attivisti mantiene uno dei canarini più famosi e monitorati del web.
Arpokrat: Il nostro ecosistema mantiene un Warrant Canary pubblico, aggiornato crittograficamente, per garantire una trasparenza assoluta alla nostra community.

L’analisi giuridica: Il diritto di non mentire

L’esistenza stessa del Warrant Canary si basa su uno dei pilastri più affascinanti del diritto costituzionale: la dottrina del compelled speech (discorso costretto) e la sua collisione con il segreto istruttorio.

La base giuridica poggia su un principio semplice: se lo Stato ha il potere di imporvi il silenzio (tramite un ordine di non divulgazione), non ha il potere costituzionale di forzarvi a mentire.

In virtù del Primo Emendamento della Costituzione degli Stati Uniti (e di principi analoghi in Europa), il governo non può obbligare un’azienda a produrre una dichiarazione fattualmente falsa. Pertanto, quando un’azienda rimuove il suo canarino, non viola l’ordine di silenzio — poiché non annuncia esplicitamente di aver ricevuto un mandato. Esercita semplicemente il suo diritto fondamentale di smettere di fare una dichiarazione che non è più vera.

Il conflitto con il diritto europeo

La pertinenza del canarino è oggi rafforzata dall’articolo 32 del Data Act (Regolamento UE 2023/2854). Tale disposizione impone ai fornitori di mettere in atto misure tecniche e giuridiche per impedire l’accesso ai dati da parte di autorità di paesi terzi quando ciò è contrario al diritto europeo. La morte di un canarino segnala immediatamente questo conflitto di leggi: il fornitore è probabilmente costretto ad aggirare le garanzie europee per soddisfare un mandato straniero.

L’approccio di Arpokrat: Sovranità by design

Nell’ecosistema di Arpokrat, che opera sotto la giurisdizione della LPD svizzera (Legge federale sulla protezione dei dati - RS 235.1), il canarino assume una dimensione ancora più potente. Si inserisce in un approccio olistico alla sovranità digitale: il Zero-Knowledge.

L’architettura è progettata in modo tale che l’azienda crea un’impossibilità tecnica e matematica di obbedire a un mandato. Lo Stato o un’agenzia di intelligence può emettere tutti gli ordini che desidera, la risposta rimarrà la stessa: non ci sono chiavi private, né identità (Zero-ID), né metadati centralizzati da consegnare.

In questo contesto, il canarino non è più solo un avviso di compromissione; è la prova pubblica continua che l’infrastruttura è rimasta tecnicamente inviolabile e fedele ai propri principi.

Conclusione

In definitiva, il Warrant Canary è il tassello di agilità giuridica che va a completare l’agilità crittografica necessaria per affrontare l’orizzonte delle minacce moderne (come l’informatica post-quantistica). In un’infrastruttura in cui i dati sono sovrani fin dalla progettazione, il canarino non è un semplice uccellino in una miniera: è il guardiano silenzioso della vostra fortezza digitale.

Utiq: Il nuovo 'Super-Cookie' degli operatori di telecomunicazioni che minaccia la tua privacy

Mon, 01 Jun 2026 00:00:00 +0000

La fine programmata dei cookie di terze parti sui browser web ha scatenato una vera e propria corsa agli armamenti nell’industria della pubblicità mirata. Mentre Google cerca di imporre i propri standard (come la Privacy Sandbox), un altro attore inaspettato ha deciso di prendersi una fetta della torta: il tuo fornitore di servizi Internet (ISP).

Così è nato Utiq (precedentemente noto come progetto TrustPid), una joint venture fondata dai giganti europei delle telecomunicazioni. Venduto al grande pubblico come una soluzione “trasparente e rispettosa”, Utiq è in realtà ciò che gli esperti di sicurezza informatica temono di più: un “supercookie” che opera a livello di rete.

Cos’è Utiq e come funziona?

Tradizionalmente, il tracciamento pubblicitario (i cookie) è gestito dal tuo browser web (Chrome, Firefox, Safari). Potevi bloccarlo utilizzando estensioni (come uBlock Origin) o un browser orientato alla privacy (come Brave).

Utiq sposta il problema un passo indietro: al livello della tua connessione di rete.

Ecco come scatta la trappola:

Intercettazione di rete: Quando navighi su Internet tramite la tua connessione mobile (4G/5G) o la tua linea fissa, Utiq utilizza il tuo indirizzo IP e i dati del tuo abbonamento per identificarti.
Il consenso (la falsa scelta): Arrivando su un sito partner, un popup ti chiede di accettare Utiq. A causa della fatica legata ai banner dei cookie (Consent Fatigue), milioni di utenti cliccano su “Accetta” senza leggere.
Il “Network Signal”: Una volta dato il consenso, Utiq contatta direttamente il tuo operatore telefonico. Quest’ultimo genera un token di identificazione unico e pseudonimizzato (il segnale di rete) che trasmette agli inserzionisti.

Ora sei tracciabile da un sito all’altro, non tramite un file memorizzato sul tuo computer, ma tramite la stessa infrastruttura che ti fornisce Internet.

Perché Utiq è un incubo per la privacy (OPSEC)

L’iniziativa solleva gravi problemi per la sovranità digitale e la riservatezza dei tuoi dati:

Tracciamento alla fonte: A differenza dei cookie classici, non puoi semplicemente “cancellare la cronologia” o “svuotare la cache” per sbarazzarti di Utiq. Il token di identificazione è generato dal tuo ISP.
La centralizzazione dei profili: Gli operatori di telecomunicazioni conoscono già il tuo nome, indirizzo fisico, coordinate bancarie e posizione in tempo reale. Collegando la tua cronologia di navigazione tramite Utiq, creano una profilazione comportamentale di spaventosa precisione.
La falla della pseudonimizzazione: Utiq si difende affermando di non condividere il tuo nome in chiaro, dichiarando di usare token “crittografati”. Tuttavia, nel mondo della sicurezza informatica, è dimostrato che la pseudonimizzazione è reversibile. L’incrocio di questi token con altri database consente di reidentificare facilmente gli individui.

Quali operatori usano Utiq?

Utiq è stato fondato da un’alleanza dei quattro più grandi operatori europei. Se sei cliente di uno di essi, la tua connessione è potenzialmente già “compatibile” con questo tracciamento.

Il consiglio OPSEC: Sebbene Utiq offra un portale centralizzato di gestione del consenso (consenthub.utiq.com) per revocare l’accesso, la migliore difesa rimane quella tecnologica.

L’approccio Zero-Trust per contrastare Utiq

La filosofia della sovranità digitale, guidata da ecosistemi come Arpokrat, si basa su un principio semplice: non fidarsi mai dell’infrastruttura di rete.

Per neutralizzare tecnicamente sistemi come Utiq, la soluzione è nascondere il tuo traffico al tuo stesso provider Internet:

Utilizzo di una VPN sovrana: Crittografando il tuo traffico non appena lascia il tuo dispositivo, il tuo ISP vede solo un flusso di dati illeggibile diretto a un server VPN. Non può più iniettare o leggere i token Utiq.
La rete Tor (Orbot): L’onion routing impedisce qualsiasi identificazione end-to-end.
Crittografia DNS (DoH/DoT): Impedisce al tuo operatore di sapere quali siti web richiedi di visitare.

In sintesi, Utiq è la prova che i fornitori di servizi Internet non si accontentano più di essere semplici “tubi”; vogliono diventare broker di dati. La crittografia del traffico non è più un’opzione di sicurezza, ma una necessità assoluta per preservare il tuo silenzio digitale.

L'Illusione della Sovranità: Il Caso Olvid e la Trappola del CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

L’annuncio è risuonato come un vero “grido di indipendenza” nei corridoi di Parigi: il Primo Ministro ha ordinato al governo di abbandonare WhatsApp e Signal a favore di Olvid, un’app di messaggistica presentata come “nazionale”. L’obiettivo era chiaro: proteggere i segreti di Stato dalla lunga mano delle agenzie di intelligence straniere.

Tuttavia, è emersa rapidamente un’amara ironia: il cuore di Olvid — la sua infrastruttura di server — batte all’interno di Amazon Web Services (AWS), un colosso americano.

Per il grande pubblico, questa sembra essere una semplice questione tecnica di hosting. Ma per gli architetti della sicurezza informatica sovrana, si tratta di una vulnerabilità politica di prim’ordine.

Extraterritorialità e Conflitto di Sovranità

Affidandosi all’infrastruttura di Amazon, Olvid entra automaticamente nell’orbita del CLOUD Act statunitense.

L’analisi legale di questo caso rivela uno scenario di insicurezza giurisdizionale che la semplice adozione di un’“app” nazionale non risolve affatto. Il punto di non ritorno risiede nel concetto di “controllo” contro “localizzazione”.

Il CLOUD Act ha cambiato radicalmente il paradigma legale stabilendo che la posizione fisica del server non ha importanza. L’obbligo di cooperazione del fornitore di servizi (qui, AWS) deriva unicamente dal suo legame giurisdizionale con gli Stati Uniti.

Legalmente, ciò crea un conflitto frontale con il GDPR. La Corte di Giustizia dell’Unione Europea ha già stabilito che le leggi di sorveglianza statunitensi non offrono un livello di protezione equivalente a quello europeo.

La sovranità digitale non è un attributo del software, ma una proprietà dell’integrità della catena di custodia.

Lo Spettro del FISA e la Falsa Promessa della Crittografia

Peggio ancora, questa dipendenza dall’infrastruttura americana pone questi dati sotto l’ombra del Foreign Intelligence Surveillance Act (FISA).

Di fronte a queste minacce, Olvid afferma che la sua crittografia end-to-end costituisce uno scudo sufficiente. Dal punto di vista dell’ingegneria della privacy, questa difesa è pericolosamente parziale.

Anche se il contenuto di un messaggio è crittografato, l’infrastruttura centralizzata di AWS espone i metadati. Sapere chi parla con chi, quando, quanto spesso e da dove è spesso molto più prezioso per l’intelligence straniera del contenuto del messaggio stesso.

La crittografia protegge il testo, ma il server centralizzato tradisce la rete di contatti.

Il Vero Pericolo Deve Ancora Venire

Finché l’infrastruttura europea dipenderà da entità soggette a statuti extraterritoriali, la sicurezza legale delle nostre comunicazioni rimarrà puramente temporanea e illusoria.

La sicurezza nazionale nel 21° secolo richiede molto di più di buone intenzioni legislative: richiede una totale indipendenza dell’infrastruttura e dell’hardware. Perché la strategia “Raccogli ora, decrittografa dopo” è la minaccia più devastante del prossimo decennio.

Un segreto di Stato intercettato oggi non è altro che una bomba a orologeria matematica.

(Leggi il resto della nostra analisi nella Parte 2: La Bomba a Orologeria e l’Imperativo Zero-Knowledge)