Perché un Green Pass contraffatto può ingannare i controlli e risultare autentico

Il presupposto che rendeva i Green Pass una soluzione sicura per assicurarsi che i proprietari fossero vaccinati o provvisti di tampone era che i documenti non fossero falsificabili, ma a quanto pare questo non è più il caso: come verificato da Fanpage.it, in Rete circolano ormai pass vaccinali fasulli che riescono a passare i controlli dell'app ufficiale del governo – VerificaC19 – e che dunque possono essere utilizzati per l'ingresso nei luoghi interdetti a chi non possiede una certificazione. Come è possibile che questi documenti siano diventati improvvisamente inaffidabili per ora non si può sapere con certezza, ma l'ipotesi più plausibile è che le chiavi di sicurezza private che ne certificavano l'autenticità siano state trafugate o perdute.

Cosa rende autentico un Green Pass

I codici QR che costituiscono ogni certificazione verde sono composti da diversi elementi, come le informazioni relative al proprietario, la tipologia di certificato rilasciato (vaccino o tampone) e le eventuali informazioni specifiche sul vaccino svolto. La parte più importante è però una chiave crittografica, una sorta di firma univoca che viene forgiata da un algoritmo privato nelle mani degli enti sanitari che emettono i green pass: questa chiave viene verificata dall'app VerificaC19 e, se combacia con i criteri codificati nell'app stessa, viene riconosciuta come valida, dando autenticità all'intero documento.

Come fa un Green Pass finto a passare i controlli

Se gli algoritmi che vengono utilizzati per generare queste chiavi finiscono in mani illecite, possono essere utilizzati per creare chiavi fasulle che però – agli occhi delle app di verifica – risultano autentiche. È quello che sembra essere successo nel caso dei green pass contraffatti dei quali si sta iniziando a parlare in queste ore: l'origine della falla non è stata scoperta – online si parla della Francia, ma gli indizi a supporto di questa tesi sono facilmente alterabili; l'ipotesi però più plausibile al momento è che questi algoritmi privati siano stati trafugati e vengano ora utilizzati per generare certificati illeciti che sembrano veri.

Cosa può succedere ora

I casi dei green pass intestati ad Adolf Hitler che stanno circolando online lasciano il tempo che trovano per chiunque sappia leggere il contenuto di uno schermo; ovviamente il rischio è che versioni più sofisticate di questo schema riportino nomi e cognomi autentici di chi si fa forgiare uno di questi documenti e permettano dunque a persone non vaccinate e prive di tampone di visitare luoghi al chiuso e altre destinazioni a loro interdette. Se il problema fosse effettivamente una fuga di informazioni che ha messo una di queste chiavi private in mani poco raccomandabili, la soluzione potrebbe essere relativamente semplice: prima revocare la validità di quelle specifiche chiavi, rendendo così inutilizzabili tutti i Green Pass generati con gli algoritmi trafugati; poi reimmettere nuovi Green Pass per tutte le persone con documenti autentici, ma forgiati con le chiavi poi trafugate. Le conferme su quanto possa essere successo devono però ancora arrivare.