«Per 500 milioni di euro, avremmo creato un’istanza indipendente di Tuta Drive sull’infrastruttura di BND, dotata di crittografia resistente ai calcoli quantistici.»
Per poter scambiare informazioni riservate in modo più rapido, il Servizio federale di intelligence tedesco (Bundesnachrichtendienst, BND), l’Ufficio federale per la protezione della Costituzione (Bundesamt für Verfassungsschutz, BfV) e il Servizio di controspionaggio militare (Militärischer Abschirmdienst, MAD) intendono creare un sistema cloud congiunto, in collaborazione con Google. Che ne sarà della sovranità digitale?
Tagesschau riferisce che il Servizio federale di intelligence tedesco (BND) intende versare 500 milioni di euro a Google per l’hosting di informazioni altamente riservate. Fonte.
Noi di Tuta siamo sbalorditi nell’apprendere questa notizia. Onestamente, per 500 milioni di euro, configureremmo un’istanza indipendente di Tuta Drive sull’infrastruttura del BND – con crittografia resistente ai computer quantistici. Il protocollo di crittografia ibrido di Tuta garantisce che tutti i dati vengano trasmessi con crittografia Ende-zu-Ende, in modo che nessuna terza parte – nemmeno noi di Tuta (figuriamoci Google) – possa accedere a queste informazioni altamente riservate. Inoltre, il codice è open source e può essere verificato da chiunque, garantendo l’assenza di backdoor. Quando le autorità parlano di sovranità digitale, devono sostenere le loro parole con i fatti – invece di cadere ancora una volta nella trappola delle Big Tech.”
Valutazione di sicurezza: rischio elevato
L’NDR e la WDR riferiscono che il cloud si baserà sul Google Distributed Cloud (GDC), in particolare su una cosiddetta versione “air-gapped”. Questo sistema opererà in modo autonomo e non avrà un collegamento diretto con Google o con Internet. I dati dovrebbero invece essere archiviati in Germania all’interno di una rete IT separata e appositamente protetta. Il problema, tuttavia, come sottolinea Sven Herpig, responsabile della sicurezza informatica e delle minacce emergenti presso Interface, un’organizzazione indipendente di professionisti IT ed esperti di sicurezza informatica, è: «ogni aggiornamento di Google». Sebbene al momento del lancio il sistema sarà sottoposto a verifica e adeguatamente protetto, ogni aggiornamento modifica tale sistema, e questi aggiornamenti vengono effettuati da Google. Herpig afferma: «Questo, a sua volta, solleva la domanda: quanto devono essere significative le modifiche affinché una versione aggiornata richieda una nuova valutazione e una nuova approvazione?»
Rimane inoltre poco chiaro se l’infrastruttura cloud «air-gapped» dovrà alla fine essere gestita e mantenuta in loco dai dipendenti di Google, come avviene, ad esempio, con i sistemi Palantir in Assia o in Baviera.
La decisione di acquistare Google Cloud mette a rischio i dati sensibili. Inoltre, c’è anche la questione dell’indipendenza: cosa succederebbe se Google decidesse (o fosse costretta dal governo degli Stati Uniti) di includere una backdoor nascosta in un aggiornamento? Cosa accadrebbe se il governo degli Stati Uniti ordinasse ad Alphabet di consegnare dati specifici ai sensi del CLOUD Act statunitense, del FISA o dell’Ordine Esecutivo 123333? Alphabet rifiuterà la richiesta del governo statunitense o consegnerà i dati tedeschi?
Questo rischio rimane reale e concreto e, considerando il valore delle informazioni sensibili, deve essere classificato come elevato.
Qualcuno parla di sovranità digitale?
E infine, dove si colloca la Germania sul tema della sovranità digitale? Sono solo parole? Anziché attuare rigorosamente l’obiettivo della sovranità digitale – almeno nell’ambito della sicurezza interna – il governo federale tedesco sta cadendo in un’ennesima dipendenza e si affida alle rassicurazioni dell’hyperscaler statunitense Google.
Ma ora c’è l’occasione per sostenere e costruire alternative europee, e le autorità devono dare l’esempio! Scegliere Google al posto dei fornitori tedeschi è la peggiore decisione che il BND potesse prendere in questo caso.