Apple è pronta per la privacy differenziale, e noi?

Secondo un recente sondaggio condotto negli Stati Uniti, il 45% degli intervistati ha dichiarato di rinunciare a pubblicare recensioni, e persino ad acquistare beni o servizi via Internet, per paura di essere vittima di furti di identità, di frodi bancarie o della sorveglianza da parte di agenzie governative. Allo stesso tempo però un numero crescente di utenti apprezza e usa servizi personalizzati che richiedono forme di monitoraggio più o meno invasive delle attività on-line e di informazioni personali come la posizione geografica, quali, ad esempio, i sistemi di raccomandazione che suggeriscono prodotti di interesse, o i sistemi di crowdsourcing che permettono di ottimizzare gli spostamenti in auto sulla base del traffico rilevato. Lo scenario dei servizi IT appare perciò caratterizzato dalla tensione fra due esigenze contrastanti, che possono essere conciliabili con difficoltà: riservatezza e personalizzazione.

In questo contesto, di conseguenza i maggiori player di mercato si sono posizionati in modo differenziato. Da un lato, aziende come Apple hanno sviluppato prodotti che enfatizzano la difesa della privacy dei propri utenti, anche a costo di rinunciare, almeno in parte, alla personalizzazione e alla forte integrazione dei servizi. Al contrario altre imprese, pur dedicando grande attenzione alla protezione dei dati dei propri utenti, al momento incentrano il proprio business su servizi integrati che presuppongono di rinunciare ad alcuni meccanismi di protezione: ad esempio, Google oggi può garantire la stretta integrazione tra i propri servizi di email e di storage remoto solo rinunciando alla cifratura end-to-end dei dati.

Risolvere la dicotomia fra monitoraggio delle attività dell’utente e rispetto della sua privacy è essenziale e solleva forte interesse tanto fra i tecnici, quanto fra i giuristi. Per queste ragioni pochi giorni fa ha suscitato grande scalpore l’annuncio della prossima introduzione nei dispositivi Apple di nuove tecniche di protezione dei dati basati sulla privacy differenziale. La privacy differenziale è una tecnica, tuttora oggetto di ricerca, che consente di collezionare e analizzare i dati degli utenti preservandone al tempo stesso la riservatezza grazie a dei meccanismi di anonimizzazione: la promessa della privacy differenziale è dunque quella di conciliare riservatezza e personalizzazione.

Come si ottiene la privacy differenziale?

La privacy differenziale è ancora poco conosciuta e poco sperimentata nella pratica. Fra le tecniche finora studiate per implementarla, quelle più promettenti includono la crittografia omomorfica, la risposta randomizzata e l’aggiunta di rumore ai dati collezionati dagli utenti.

La crittografica omomorfica permette di collezionare i dati cifrati degli utenti e di elaborarli senza decrittarli. Alcune recenti applicazioni hanno consentito, ad esempio, di abilitare gli utenti di un servizio on-line a sapere quali dei loro amici si trovassero in zone limitrofe, senza rendere nota la loro posizione corrente. Purtroppo i tempi di elaborazione necessari alle soluzioni sperimentate fino ad ora sono troppo elevati e non compatibili con un utilizzo pratico in casi reali.

La risposta randomizzata è una tecnica già utilizzata nelle scienze sociali dagli anni Sessanta: nel corso di un’intervista, quando il candidato affronta una domanda su un comportamento imbarazzante o illegale, può rispondere con la verità oppure con una risposta concordata in funzione del lancio di una moneta. Google ha recentemente esteso questa tecnica, applicandola non a singole domande ma a vettori di domande, nel sistema RAPPOR che colleziona dati su come gli utenti utilizzino il browser Chrome.

Infine, l’aggiunta di rumore statistico ai dati collezionati, combinata con altri meccanismi di anonimizzazione per nascondere eventuali attributi identificativi, consente di preservare la riservatezza dei dati, a costo di limitare l’accuratezza dei risultati delle analisi.

Siamo pronti per la privacy differenziale?

La scelta di Apple di introdurre la privacy differenziale nella prossima versione del suo sistema operativo iOS 10 ha suscitato grande curiosità tra gli appassionati di tecnologia e grande preoccupazione tra gli esperti di sicurezza.
Da un lato, l’introduzione di tecniche innovative e pionieristiche promette di aprire nuove opportunità di business particolarmente interessanti per il contesto IT attuale. D’altra parte, l’assoluta mancanza di informazioni sulle modalità con cui Apple intende realizzare delle tecniche che fino ad oggi sono state descritte dal punto di vista teorico, ma mai largamente sperimentate nella pratica, pone seri dubbi sull’affidabilità e sulla sicurezza di quanto verrà offerto agli utenti. Fino a quando i dettagli della soluzione che verrà distribuita da Apple non saranno resi pubblici, non sarà possibile per la comunità degli esperti di settore analizzare e verificare protocolli e modelli per valutarne la robustezza. Altrettanto importante sarà garantire la correttezza dell’implementazione, ad esempio consentendo l’analisi del codice al fine di individuare e correggere le eventuali vulnerabilità. La storia della crittografia ha ampiamente dimostrato che la sola segretezza di macchine e algoritmi non è sufficiente per garantirne la sicurezza: al contrario, è bene ricorrere ad algoritmi di dominio pubblico che possano essere valutati e certificati da tutti gli esperti della comunità scientifica internazionale.
Questo processo di validazione è ancora più rilevante nello scenario dei big data, in cui l’anonimizzazione dei dati è particolarmente complessa: solo pochi anni fa un gruppo di ricercatori ha ricostruito le identità e le affiliazioni politiche degli utenti che Netflix aveva tentato di rendere anonimi, semplicemente correlando tra loro una serie di informazioni ad accesso pubblico.