Sicurezza
Un’estensione per il browser installata su oltre 2 milioni di sistemi, impiegata per collegare le applicazioni web alla carta d’identità elettronica (eID) belga, poteva trasformare una normale pagina Internet in un punto di accesso a dati personali, PIN e perfino al PC Windows dell’utente. La ricerca presentata da Bay Area Labs a DEF CON 34 riguarda Connective Signing Extension, componente riconducibile a Nitro Software Belgium. I problemi descritti dai ricercatori meritano un’analisi attenta perché coinvolgono uno dei passaggi più delicati della sicurezza digitale: il ponte tra browser e dispositivi crittografici locali.
Secondo i dati commerciali pubblicati in passato da Connective e ripresi dai ricercatori, la tecnologia raggiungeva 8 delle 10 maggiori banche belghe, oltre 60 servizi di organizzazioni pubbliche e più di 1.000 imprese.
La questione tocca inoltre la fiducia costruita attorno alle firme elettroniche europee. Il regolamento eIDAS, introdotto nel 2014 e successivamente aggiornato, attribuisce alla firma elettronica qualificata lo stesso effetto giuridico di una firma autografa negli Stati membri dell’Unione Europea. Nitro Software Belgium compare nella Trusted List eIDAS come prestatore qualificato di servizi fiduciari. Un errore nel software che collega browser, carta e operazioni di firma non riguarda soltanto la riservatezza dei dati: può indebolire il confine tecnico sul quale poggia una transazione con conseguenze giuridiche concrete.
