È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.
I podcast del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.
Buon ascolto, e se vi interessano i testi e i link alle fonti di questa puntata, sono qui sotto.
—
Prologo
CLIP AUDIO: Qualcuno bussa con forza a una porta
Siamo nello stato americano del Kansas, a maggio del 2011. La porta alla quale stanno bussando con insistenza due vicesceriffi è quella della fattoria dove abitano James e Theresa Arnold. Una coppia tranquilla che vive appena fuori Potwin, un paesino altrettanto tranquillo, con poco meno di cinquecento abitanti. James e Theresa si sono trasferiti lì da pochi giorni. I vicesceriffi stanno cercando un furgone rubato, di cui però la coppia non sa assolutamente nulla. La polizia tornerà ripetutamente, alla ricerca di refurtiva di vario genere, e ogni volta James e Theresa dovranno spiegare che non hanno nulla di rubato. Qualche tempo dopo, riceveranno più volte visite degli agenti dell’FBI, che cercano bambini scappati di casa. E poi arriveranno gli ispettori delle tasse, con l’accusa di frode fiscale. E infine la coppia verrà assediata dalle ambulanze in cerca di persone in pericolo di vita e dalle telefonate di persone che la accusano di truffe di vario genere. Non lo sanno ancora, ma la colpa di questi equivoci è tutta di MaxMind. No, non è un arcinemico dei fumetti: è un’azienda che, senza rendersene conto, ha condannato James e Theresa Arnold a un supplizio squisitamente informatico dal nome piuttosto criptico: il default di localizzazione degli indirizzi IP.
Questa è la storia di come una scelta informatica apparentemente banale può trasformare in un inferno la vita di persone innocenti.
Benvenuti al Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle storie insolite dell’informatica. Io sono Paolo Attivissimo.
SIGLA DI APERTURA
La fattoria di James e Theresa Arnold non è maledetta o posseduta dagli spiriti, e non nasconde un covo segreto di ladri e ricettatori. Lo sa bene il loro locatore, l’anziana signora Taylor: è tutto in regola e non c’è nessun deposito di refurtiva, ma misteriosamente tutte le persone che affittano la sua fattoria vengono bersagliate da richieste di pagamenti di tasse evase e da visite di agenti di polizia, di giorno e di notte, alla ricerca di merci rubate o persone scomparse. Ogni volta è necessario spiegare pazientemente che no, la refurtiva che la polizia sta cercando non è lì e nella fattoria non sono nascosti bambini scappati. E la cosa va avanti da almeno una decina d’anni. Lo sceriffo locale ha fatto mettere un cartello all’ingresso della fattoria avvisando tutti, e soprattutto i rappresentanti del fisco o delle forze dell’ordine federali, di non avvicinarsi e di contattarlo per chiarimenti.
Per venire a capo di questo mistero ci vorranno altri cinque anni e ci vorrà un uomo di nome Kashmir Hill. No, non è un detective: è un giornalista informatico. Arriviamo così al 2016, quando Hill, nell’ambito di un’indagine su un caso analogo avvenuto ad Atlanta, fa una scoperta che cambierà la vita della famiglia Arnold e la libererà (o quasi) dalla persecuzione.
Per capire questa scoperta bisogna fare un passo indietro e parlare di una cosa che a prima vista non c’entra nulla: la cartografia digitale, e specificamente la localizzazione degli indirizzi IP. Ogni dispositivo che si collega a Internet riceve un indirizzo IP, che è un identificativo unico che gli serve per comunicare con gli altri dispositivi. Quando visitate un sito con il vostro computer o smartphone, per esempio, il sito viene informato del vostro indirizzo IP. Ci sono aziende (per esempio Whatismyipaddress.com) che associano gli indirizzi IP ai luoghi geografici, per cui un sito può sapere se un visitatore si trova, che so, in Francia o negli Stati Uniti. Spesso questa associazione è abbastanza precisa da poter indicare la città esatta nella quale si trova l’utente, o addirittura l’edificio specifico. Spesso, ma non sempre.
CLIP: Maxmind
Maxmind, che ha sede in Massachusetts, è una delle aziende che vendono questo tipo di informazione, molto ambita per esempio dai pubblicitari, che la usano per mostrare a ogni utente pubblicità pertinenti alla sua regione. La usano anche le agenzie governative, per sapere dove si trovano le persone che si rivolgono a loro. MaxMind offre i propri servizi a oltre 5000 aziende.
Ma c’è un problema: l’associazione fra indirizzo IP e indirizzo geografico a volte sbaglia di grosso. In alcuni casi viene fatta facendo il cosiddetto wardriving, ossia mandando in giro automobili dotate di GPS e computer che cercano le reti Wi-Fi aperte, ne identificano gli indirizzi IP e li abbinano alle coordinate geografiche del posto in cui si trovano in quel momento. Altre volte viene fatta usando allo stesso modo gli smartphone degli utenti quando vanno in giro. In altri casi ancora viene ottenuta guardando l’indirizzo IP di un’azienda e guardando dove si trova fisicamente la sede di quell’azienda.
Ma in alcuni casi non è possibile risalire all’ubicazione geografica precisa di un certo indirizzo IP e quindi nei registri di aziende come MaxMind si annotano, al posto delle coordinate geografiche reali, delle coordinate di default. Se si sa soltanto che un certo indirizzo IP si trova da qualche parte in una certa città, allora a quell’indirizzo IP verranno abbinate le coordinate geografiche del centro di quella città.
E se MaxMind non ha proprio nessun dato geografico da abbinare a un certo indirizzo IP, nasce un problema: qualcosa bisogna pur scrivere nel database delle coordinate, e così MaxMind assegna delle coordinate completamente arbitrarie. Specificamente, nel caso di qualunque indirizzo IP di cui sa solo che è statunitense, assegna le coordinate del centro geografico degli Stati Uniti, arrotondate per non avere troppe cifre decimali: 38 gradi nord, 97 gradi ovest.
Indovinate cosa c’è a quelle coordinate. Esatto: la fattoria degli Arnold.
In altre parole, qualunque reato o inadempienza fiscale associati a un indirizzo IP di cui MaxMind non ha informazioni geografiche punta a quella fattoria. Se funzionari governativi, inquirenti, ispettori delle tasse, forze dell’ordine chiedono a MaxMind dove si trova un certo indirizzo IP di cui MaxMind non sa nulla, l’azienda non risponde con un sincero “boh, non ne ho la minima idea”, ma fornisce le coordinate geografiche di James e Theresa Arnold. Che così si sono trovati accusati di reati informatici, furti di identità, molestie informatiche e persino di “detenzione di ragazze presso l’abitazione allo scopo di realizzare film pornografici”: così dicono i documenti legali.
Il giornalista informatico, Kashmir Hill, insieme all’esperto di sicurezza Dave Maynor, consulta un database pubblico di MaxMind e scopre che gli indirizzi IP di cui l’azienda non ha nessuna informazione reale di localizzazione sono oltre seicento milioni. Se uno di questi indirizzi IP viene usato da un truffatore o da un criminale informatico o da una persona in difficoltà che contatta un servizio di soccorso, MaxMind dirà che quel malfattore o quella persona nei guai sta a casa degli Arnold, a Potwin, in Kansas. Nessuno, alla MaxMind, si è chiesto se per caso alle coordinate geografiche di default immesse automaticamente nei loro archivi ci fosse qualcuno. Nessuno nell’azienda ha pensato di assegnare delle coordinate geografiche che non potessero causare problemi a persone innocenti e inconsapevoli.
Kashmir Hill, nel 2016, contatta i signori Arnold e spiega la sua scoperta. I coniugi, capita la causa dei loro problemi, avviano subito un’azione legale contro MaxMind, chiedendo un risarcimento di oltre 75.000 dollari. L’azienda si impegna a posizionare le coordinate di default nel centro di specchi d’acqua, boschi o parchi invece che davanti alle case delle persone. Ma molti dei clienti di MaxMind non aggiornano regolarmente i propri archivi, per cui la persecuzione non è ancora del tutto terminata.
La vicenda dei coniugi in Kansas non è l’unica del suo genere: il giornalista Hill cita molti altri casi, come quello del signor Tony Pav, che vive ad Ashburn, in Virginia, dove si trovano i grandi datacenter di Google e Facebook. Di conseguenza, oltre 17 milioni di indirizzi IP puntano ad Ashburn, e MaxMind aveva scelto, come coordinate geografiche generiche di Ashburn, proprio la casa di Tony Pav, che così una sera ha trovato la polizia che stava per sfondargli la porta alla ricerca di un laptop del governo che risultava trovarsi lì, perlomeno stando al suo indirizzo IP. Il povero signor Pav è perseguitato da situazioni di questo genere e teme che qualcuno che ha subìto un torto, prima o poi, venga di persona a casa sua a farsi giustizia sommaria. MaxMind ha cambiato anche queste coordinate.
E poi c’è anche il caso del signor Dobson di Las Vegas, che si vede perennemente incolpato ingiustamente di aver rubato telefonini perché casa sua si trova proprio davanti a un’antenna di telefonia mobile geolocalizzata.
Fra l’altro, questo non è un problema limitato agli Stati Uniti. Tre anni più tardi, nel 2019, a Pretoria, in Sud Africa, un uomo e sua madre si trovano accusati di rapimento da un investigatore privato che è sulle tracce di una bambina rapita ed è stato portato davanti alla casa dei due da un dispositivo di tracciamento che secondo lui è infallibile. La famiglia si trova spesso in situazioni del genere, a volte anche pericolosamente aggressive, perché la casa, come le precedenti, si trova in un punto geografico informaticamente maledetto.
In questo caso sudafricano, l’artefice della maledizione digitale è nientemeno che un’agenzia governativa di intelligence statunitense, la National Geospatial-Intelligence Agency.
CLIP: NGA
Quest’agenzia fa parte del Dipartimento della Difesa e fornisce anche servizi di geolocalizzazione aperti al pubblico. Per questi servizi ha scelto, per indicare l’intera città di Pretoria, le coordinate esatte della casa dei due malcapitati. E in questo caso non c’è nulla da fare, se non traslocare.
—
Questi episodi assurdi di persecuzione digitale dimostrano la noncuranza con la quale troppo spesso in informatica si scelgono valori predefiniti arbitrari senza pensare alle loro conseguenze nel mondo reale, ma mettono anche in luce due errori molto diffusi fra gli utenti: il primo è un’eccessiva e mal riposta fiducia nei servizi di localizzazione basati sugli indirizzi IP, che spesso contengono dati errati o inventati; il secondo è pensare che delle coordinate geografiche con tanti decimali siano precisissime, mentre in realtà quei decimali sono soltanto il risultato di approssimazioni e arrotondamenti.
Questi servizi, infatti, non sono pensati per trovare una specifica abitazione ma solo per dare un’indicazione approssimativa della zona geografica in cui dovrebbe trovarsi un certo dispositivo. Per cui se usate un sito come Iplocation.net, prendete i suoi risultati con molta cautela. A me, per esempio, dice che sono in questo momento a Zurigo, mentre in realtà mi trovo a Lugano, e dice di sapere dove mi trovo con ben dodici cifre decimali di precisione. In teoria, mi sta dicendo che sa dove mi trovo con una precisione di meno di un milionesimo di millimetro, ma in realtà sbaglia di circa 155 chilometri in linea d’aria.
Morale della storia: la geolocalizzazione è una cosa seria, ma se usata male può causare guai a non finire a persone che non hanno nessuna colpa. Per cui non andate a bussare a casa di sconosciuti perché la vostra app preferita di localizzazione tramite indirizzo IP vi ha portato davanti a una certa abitazione. E pregate di non abitare in una casa che qualche azienda, dall’altra parte del pianeta, ha scelto come coordinate di default per i propri archivi senza pensare alle conseguenze.
Fonti aggiuntive: Half As Interesting, Sophos, Ars Technica.
