Il primo articolo sulla cialtroprivacy ha causato delle reazioni, dovute anche al fatto che ho chiaramente indicato chi siano i cialtroni, e quindi vorrei reiterare. Specialmente perche’ l’approccio che suggerisco, cioe’ quello di educare il proprietario dei dati a pochi principi (rischi e valore) e’ esattamente uno dei principi da seguire quando si compila la documentazio del Privacy by Design previsto dal GDPR. Verrebbe da chiedersi se i cialtroni della privacy sappiano in che modo si debba preparare la documentazione per la voce Privacy by Design.
Ma andiamo al punto. Vedo che i politicanti che si occupano del problema cercano di imitare i pochi politici che lo fanno: se in questo momento la EU sta facendo un piano strategico per l’indipendenza informatica, stanziando soldi e stabilendo una roadmap, anche il politicante cerca di proporre una “strategia”, semplicemente che e’ fallimentare in partenza.
Mi spiego meglio: per rompere un monopolio esiste un solo metodo. Rompere il monopolio. Arriva un’Autorita’ e riduce i monopolisti ad uno spezzatino di aziende in concorrenza. Punto.
Il politicante invece ha sempre la soluzione “fai da te”, con la semplice differenza che, essendo un inetto nel campo, non sa come farla. Quindi non la fa: la “facicchia”. E quindi propone “alternative” ai grandi del software …. che non sono alternative.
Avete mai fatto una dieta moderna? La prima cosa che il dietologo vi dira’ e’ che se vi ordina di mangiare solo “energia dell’universo” e “due foglioline di maggiorana”, probabilmente lo farete per un mese. Forse per due. Poi tornerete come prima, perche’ la dieta era insostenibile. Quindi deve farvi una dieta che sia , per prima cosa, altrettanto gradevole, al punto da poter essere mantenuta indefinitamente.
Ma il politicante della cialtroprivacy non e’ un professionista come il dietologo. Non sa nemmeno di cosa si stia parlando. Sa solo che “combattere per la privacy” potrebbe dargli il posticino in una delle tante associazioni di consumatori, e pagargli lo stipendio.
Quindi propone soluzioni che potrebbero essere soluzioni, ma non sono soluzioni. Una di queste e’ “Mastodon”. Ora, se stiamo parlando di accentramento (perche’ i GAFAM sono centralizzati) e hai qualcosa come il fediverso, non fai in modo che una sola parte del fediverso (Mastodon e’ solo uno dei software in uso), diventi il nome di OGNI suo componente. E’ come dire che prendiamo “social network” e lo sostituiamo con “Facebook”, e poi ci stupiamo se Facebook ingloba tutti i social network.
Ma il politicante cerca un posto e i soldi per la bolletta: non gli importa se per farlo deve difendere la privacy in rete o la biodegradabilita’ delle carote, lui deve mandare avanti una battaglia che gli consenta di avere uno stipendio, o almeno la parvenza. La politica, dopotutto, e’ rimasta l’unico ascensore sociale. La politichetta e’ una scala condominiale, ma insomma, qualche piano lo fai.
Alla voce “self-hosting” il nostro politicante della privacy casca malissimo. Prima di tutto perche’ non sapendo nulla di informatica e di internet crede che solo pochissimi stregoni possano avere dei servizi in casa. Non sa niente di progetti come Yunohost perche’ per lui “fare” e’ il dramma: se sapesse fare qualcosa, del resto, non starebbe cercando di diventare “the next codacons”, del resto.
Ancora peggio, il politicante continua a difendere il fediverso come sistema di entita’ federate, in modo che non sia possibile col big data fare profilazione , ma posta da una delle tue o tre istanze che hanno 500.000 utenti. Per decentralizzare.
MA dicevo, la dieta. La dieta impossibile. Allora, andiamo qui:
https://www.lealternative.net/
Il politicante dice che se smettete di usare i malvagi GAFAM, e usate le salvifiche applicazioni di cui sopra, allora siete al sicuro dai GAFAM e non si prendono nessun dato da voi e avete liberato il mondo.
Bene. Provateci. Se avete un lavoro che richiede l’informatica, resisterete circa sei mesi. Installerete “loUsanoInTreOS 2.18” , che sopra ha “AstrusoOffice 44.3” , che e’ compatibile al 73.24% con Office, e dopo aver lavorato e bestemmiato per importare un file dai colleghi , ci metterete quello che vi hanno chiesto e lo manderete indietro. E nessun collega riuscira’ a leggerlo.
Se aveste un metodo critico, notereste che Microsoft ha gia’ avuto quel documento perche’ il vostro collega usa office e windows ed exchange. Quindi non avete alcun bisogno di proteggere il vostro collega e la sua privacy, perche’ e’ gia’ persa. Quindi potete tranquillamente installarvi una VM con windows sul vostro linux, e usare degli strumenti che vi salvino il tempo. E’ la stessa cosa: i vostri colleghi quel documento lo hanno gia’ dato a Microsoft.
E allora il consiglio non dovrebbe essere quello di usare “le alternative”: e’ di usare Qubes OS: https://www.qubes-os.org/ . E’ costruito bene da una persona che e’ un guru del campo della sicurezza. SI sono fatti assessment su quella roba. Non e’ “BimboMinkiaDistribuzioneLinuxOS 0.9.3 pre-alpha”. E sopra non c’e’ “stakkahstakkahOffice Instabile-e’-Bello 2.13-masempreAlphaE'”.
Altra cosa e’ quando vi consigliano i soliti provider “sicuri” di mail, come Tutanota o Protonmail. Allora vi fate l’account su ProtonMail, e ricevete una mail. Che trabocca di privacy. Criptata end to end. To end. To end ancora, che fa fico. Da dove arriva la mail? Da Gmail.
ooook.Allora e’ piena di privacy end to end. Di sicuro.
E allora arriva la solita obiezione “ma se io lo mando tutanota a tutanota , oppure protonmail to protonmail, e’ sicuro”. Ovvio. Se ti piazzi il TUO server SMTP/IMAP in casa, e tutti usano solo quello, hai ottenuto la stessa cosa. Sullo stesso SMTP server hai sempre la certezza che non ci sia MITM. Che bisogno hai di tutanota o di protonmail, se chiedi a tutti di usare lo stesso identico server SMTP/IMAP? Te ne facevi girare uno a casa e via.
Passiamo alle “alternative”?
Parliamo prima di Matrix e Signal. Signal, oltre ad essere schifosamente accentrato, e’ cosi’ complesso da essere IMPOSSIBILE da rendere sicuro: la catena di dipendenze e’ catastrofica. https://github.com/aqnouch/Signal-Setup-Guide
Matrix? Allora, di per se’ Matrix dovrebbe essere un servizio semplice: https://spec.matrix.org/latest/ . esso puo’ essere descritto come un set di API.
Ora, se osservate un qualsiasi server di API gateway, come per esempio Apigee, o Kong, vi accorgerete subito che un API gateway che faccia la stessa cosa dopo aver implementato le API come da swagger avendo un solo DB come backend, peserebbe molto meno del loro sistema. E come se non bastasse, sarebbe stabile e non sprecherebbe memoria in quel modo. Potreste riscrivere Matrix molto meglio usando Kong e UN SOLO database Mongo a quanto vedo dalle api descritte.
In realta’, sia i server Matrix che quelli SIgnal sono cosi’ complessi (inutilmente complessi) che non POSSONO essere sicuri. Ma il politicante non sa che esisteva gia’ un sistema capace di fare quello che fanno questi due software: XMPP. E che quindi basta usare YunoHost e installarselo. Se poi si sceglie il client giusto, puo’ essere anche altrettanto scintillante. E altrettanto sicuro.
Ma il problema del selfhosting e’ che il politicante non lo capisce. E se ne esce dicendo “potete tenerne un’istanza in selfhosting su un cloud provider a scelta”. Ora, il punto e’ che non basta pagare per essere in selfhosting. La “self” di selfhosting non si riferisce aquello che paga, ma a quello che controlla il sistema.
Dire che puoi fare selfhosting di un’istanza di, che so io, Pleroma , su un cloud provider a tua scelta e’ come dire che puoi pagare qualcuno per chiavare bene tua moglie. Lei sara’ anche soddisfatta, ma non puoi dire di averla soddisfatta TU. Allo stesso modo, dire che ho una VPS su Hefner per fare selfhosting di Pleroma , e’ come dire “Ho Pagato Lorenzo Hefner per scopare mia moglie, la soddisfo”. Non funziona. Nello schema non siete voi quelli che la soddisfano , siete solo quelli che pagano. Allo stesso modo, se fate selfhosting su un cloud provider, non fate “selfhosting”, fate solo “paidhosting”: in tutto il gioco non fate niente, siete solo quelli che pagano.
Potrei citare ancora cialtronerie come “Telegram” proposto come piattaforma sicura e orientata alla privacy, per dirne una. Ma spero che il concetto sia chiaro: sinche’ ci saranno i cialtro-privacy , non avrete mai alcuna privacy.
Potreste avere privacy insegnando a segregare i dati, a scegliere quali dati dare a chi, a creare circuiti di comunicazione sicuri quando la situazione lo richiede. Invece tutto quello che si vede e’ una pila di idioti che si ammassa su Telegram a discutere su come far cadere ER SISDEMA e della droga che vi siete fatti ieri, ma poi chiedere al medico di mandare la ricetta via Whatsapp.
E no, con queste “alternative” i GAFAM stanno freschi e dormono bene.
Perche’ l’ UNICO approccio che funziona con loro e’ quello segregatorio: creare spazi digitali e poi disaggregarli, decidendo quali dati ci POSSONO e quali non ci debbano stare.
Si puo’ fare usando Qubes-OS :
- Uno spazio ove interagite coi peones che usano software dei gafam e il dato puo’ considerarsi perso.
- Uno spazio ove interagite con internet (nessun dato)
- Uno spazio di fiducia ove tenete davvero i vostri dati e li passate solo a gente altrettanto sicura.
E tanta, tanta disaggregazione.
