Per gli esperti di sicurezza informatica, ci sono diversi modi per attaccare la piattaforma Rousseau del Movimento 5 Stelle, nonostante il direttorio assicura che il sistema è inviolabile. Il consulente d’intelligence della NATO Gianni Cuozzo racconta che “l’operazione dell’agosto 2017 di Luigi Gubello detto Evariste Gal0is, dimostrò come il database utenti non fosse sicuro e come le password policies dei propri amministratori non fossero esattamente all’ultimo grido. Quell’operazione costò alla fondazione Rousseau una multa di circa 50.000 euro da parte del garante della privacy.”
Sempre secondo Cuozzo, che il M5S racconti che il loro sistema di login Keycloak “non è mai stato hackerato” è assolutamente falso, poiché questo software open source negli anni ha avuto diversi problemi di sicurezza. Purtroppo affermare anche che i sistemi sono aggiornati contro le vulnerabilità non significa che tali siano al sicuro dagli hacker provenienti da altre nazioni.
Un consulente NATO svela che la piattaforma Rousseau è attaccabile
Cuozzo tuttavia promuove lo sforzo fatto su Rousseau:”si sono fatti buoni passi in avanti per quanto riguarda la sicurezza della piattaforma Rousseau ma rimane comunque vulnerabile ad attacchi più sofisticati e strutturati.” Per esempio, si vantano di avere un sistema di sicurezza con doppio fattore via SMS in stile home banking. Ma è stato dimostrato che bypassare questa autenticazione a doppio fattore sia assolutamente fattibile, grazie alle consolidate tecniche di SIM Swapping sfruttando falle nei protocolli di comunicazione delle celle telefoniche.
Ovviamente stiamo parlando di attacchi non semplici da eseguire, ma sono possibili. Quindi, in conclusione, Gianni Cuozzo sostiene che in Italia “non è ancora giunto il tempo per votazioni di questo tipo online. Finché non avremo tecnologie di anonimizzazione efficaci e sicure, penso che la cara e vecchia matita debba avere vita lunga.” Una votazione online come quella di Rousseau è ancora più pericolosa perché avviene su una piattaforma privata di cui non si conosce il codice sorgente né l’esatta architettura.
