Palm Vein Reconstruction From Electromagnetic Side-Channel Emissions: Public Perceptions of Privacy Risks

Immaginate che il vostro corpo contenga un set di chiavi che non si usurano mai, che non si perdono mai e che non possono essere dimenticate. Questa è la promessa della tecnologia biometrica, dove i sistemi utilizzano tratti fisici unici come le impronte digitali o i pattern delle vene all'interno della mano per verificare chi siete. A differenza di una password, che potete cambiare se un hacker la ruba, le caratteristiche del vostro corpo sono permanenti. Se un lucchetto digitale viene scassinato, potete semplicemente cambiare il codice; se un sistema biometrico viene compromesso, non potete sostituire la vostra mano o il vostro volto. Questa differenza fondamentale rende la sicurezza di questi sistemi una questione di profondo interesse personale. Mentre gli ingegneri si sono concentrati a lungo nel rendere questi sensori più difficili da ingannare, una nuova linea di ricerca ha scoperto che i dispositivi stessi potrebbero perdere informazioni in modi inaspettati. Proprio come una stazione radiofonica trasmette segnali che possono essere captati da un ricevitore, alcuni scanner biometrici emettono deboli onde elettromagnetiche che, in un ambiente di laboratorio, potrebbero teoricamente essere utilizzate per ricostruire proprio i pattern venosi che dovrebbero leggere.

Un team di ricercatori si è proposto di comprendere non la meccanica di questa potenziale perdita, ma come reagirebbe il pubblico se tale rischio venisse rivelato. Non hanno costruito un dispositivo per rubare dati, né hanno testato uno scanner specifico. Hanno invece posto una domanda diversa: qual è l'umore attuale del pubblico riguardo alla privacy, alla fiducia e al controllo? Per scoprirlo, hanno esaminato una vasta collezione di dati di sondaggi provenienti da ventisette paesi europei, raccolti nel 2010. Questo dataset, sebbene datato, offre un'istantanea chiara di come le persone si sentissero riguardo alla loro vita digitale prima dell'era attuale dell'intelligenza artificiale e del dominio dei social media. I ricercatori hanno trattato l'idea di una fuga di dati dalle vene del palmo come uno scenario per testarlo rispetto a questi atteggiamenti esistenti, chiedendosi se le persone si sarebbero sentite al sicuro, in controllo o tradite se avessero appreso che i dati del proprio corpo potevano essere rubati attraverso segnali invisibili.

Lo studio è iniziato analizzando quanto le persone fossero preoccupate di essere osservate online. I risultati hanno mostrato un pubblico diviso. Il quaranta per cento delle persone intervistate ha espresso preoccupazione per il fatto che il proprio comportamento su internet venisse registrato, mentre il resto si sentiva meno turbato o non se ne curava. Questa preoccupazione non era distribuita uniformemente; i giovani adulti e coloro che si trovavano tra i trenta e i quaranta anni erano più propensi a essere preoccupati rispetto a chi aveva più di cinquantacinque anni. Tuttavia, la preoccupazione da sola non racconta tutta la storia. I ricercatori hanno anche esaminato se le persone sentissero di avere il potere di fermare questa registrazione o gestire l'informazione una volta che questa fosse stata resa pubblica. Tra coloro che avevano condiviso dettagli personali su siti di social network o di condivisione, solo il ventisei per cento sentiva di avere il controllo completo su tali informazioni. Una parte significativa, il venti per cento, sentiva di non avere alcun controllo. Questo divario tra il sentirsi preoccupati e il sentirsi impotenti suggerisce che, se emergesse una nuova minaccia, le persone probabilmente si sentirebbero ansiose ma incapaci, impossibilitate a risolvere il problema con un semplice cambio di impostazioni.

La fiducia ha giocato un ruolo altrettanto critico nel quadro generale. Quando interrogate su chi si fidassero per mantenere al sicuro le proprie informazioni personali, le persone hanno tracciato una linea netta tra diversi tipi di organizzazioni. Le istituzioni sanitarie e mediche erano le più affidate, con il settantotto per cento dei rispondenti che si sentiva fiducioso nella loro capacità di proteggere i dati. Anche le banche e le autorità pubbliche godevano di un alto livello di fiducia. Al contrario, le aziende di internet erano affidate solo al ventidue per cento delle persone intervistate. Questa scoperta è cruciale per comprendere come sarebbe stata accolta una minaccia biometrica. Se un errore nel sistema di un ospedale venisse scoperto, il pubblico potrebbe accoglierlo con un certo grado di comprensione o pazienza, dato l'alto livello di fiducia nell'assistenza medica. Ma se una società tecnologica o una piattaforma online dovesse affrontare lo stesso problema, la reazione sarebbe probabilmente di profondo scetticismo e rabbia, poiché il pubblico dubita già della capacità di queste entità di custodire i propri segreti personali.

I ricercatori hanno anche osservato come le persone si comportino effettivamente quando cercano di proteggersi. Circa la metà delle persone che utilizzavano siti social aveva cercato di modificare le impostazioni predefinite della privacy, mostrando una volontà di agire. Tuttavia, le azioni specifiche intraprese erano concentrate principalmente su cose che potevano vedere e toccare, come eliminare i cookie o controllare le etichette di sicurezza sui siti web. Queste sono abitudini utili per gestire un browser web, ma sono inutili contro un segnale nascosto che fuoriesce da un pezzo di hardware. Lo studio ha rilevato che le persone sentivano di avere un certo controllo sui propri profili online, ma non avevano gli strumenti per ispezionare le macchine che leggevano i loro corpi. Ciò crea un disallineamento pericoloso: il pubblico è chiamato a gestire rischi che vanno ben oltre la propria capacità di influenza.

Forse il dato più significativo è stato come le persone vedevano la protezione dei dati relativi al corpo. Quando è stato chiesto se le informazioni genetiche, come il DNA, dovessero ricevere una protezione speciale, l'ottantotto per cento ha risposto affermativamente. Ciò suggerisce che le persone comprendono intuitivamente che le informazioni legate al corpo sono diverse da un nome utente o da un numero di carta di credito. Sono viste come qualcosa che merita cure extra. I ricercatori hanno notato che, sebbene le vene del palmo non siano un codice genetico, l'istinto del pubblico di trattare i dati legati al corpo come altamente sensibili si estenderebbe probabilmente anche ad esse. Se un'azienda cercasse di liquidare una fuga di dati dalle vene del palmo come un minore intoppo tecnico, il pubblico probabilmente rifiuterebbe tale spiegazione, vedendo la violazione come una violazione di qualcosa di profondamente personale.

Lo studio è giunto alla conclusione che una divulgazione tecnica riguardante la perdita di dati biometrici non approderebbe in un ambiente neutrale. Arriverebbe in un mondo dove una gran parte del pubblico è già preoccupata di essere osservata, dove la fiducia nelle aziende di internet è bassa e dove le persone sentono di non avere il potere di controllare la raccolta dei dati. I ricercatori hanno sostenuto che dire alle persone di "fare più attenzione" o "cambiare le impostazioni" non funzionerebbe, perché il problema risiede nel design delle macchine e nelle politiche delle organizzazioni, non nelle abitudini degli utenti. La soluzione, suggeriscono, deve venire dalle istituzioni stesse. Le aziende e i governi devono assumersi la piena responsabilità di proteggere l'hardware, essere trasparenti sui rischi e offrire alternative reali per coloro che non desiderano utilizzare sistemi biometrici. Il pubblico non ha bisogno di un manuale su come fermare un segnale; ha bisogno della garanzia che il segnale non venga inviato affatto.

In definitiva, questa ricerca evidenzia che la sicurezza non è solo un puzzle che gli ingegneri devono risolvere con un codice migliore. È un contratto sociale che dipende dalla fiducia e dal senso di controllo. Quando un sistema utilizza una parte del proprio corpo per identificarti, la posta in gioco è più alta rispetto a qualsiasi altra password. Se quel sistema fallisce, non puoi resettare la tua mano. Lo studio suggerisce che, affinché queste tecnologie siano accettate, le persone che le costruiscono e le gestiscono debbano guadagnarsi la fiducia del pubblico attraverso azioni che corrispondano all'alto valore che le persone attribuiscono alla propria identità fisica. Senza tale fiducia, anche la tecnologia più sicura sembrerà un rischio per le persone che intende servire.