Diritti digitali, tutele prudenti

È entrata in vigore da qualche settimana una legge largamente attesa per la tutela del diritto d’autore online: il contrasto alla pirateria audiovisiva è stato dotato di un missile balistico digitale in grado di oscurare qualunque server pirata online. Tecnicamente non c’è differenza tra un server di streaming pirata ed uno che controlla una rete ferroviaria; per questa ragione nella delibera di recepimento da parte dell’Autorità delle Comunicazioni è stata opportunamente posta molta attenzione circa la precisione dei bersagli da oscurare. L’obiettivo della norma è oscurare i server di streaming illegali entro 30 minuti, a manifestazioni sportive in corso. La procedura in grado di assicurare tempi così contenuti prevede che un segnalatore incaricato dai titolari dei diritti invii l’elenco dei bersagli da colpire all’Agcom e che questa li rigiri a tutti i fornitori di accesso ad Internet che automaticamente li cancellano dalla faccia dell’Internet nazionale.

In varie audizioni i fornitori di accesso ad Internet hanno espresso perplessità nei confronti della norma approvata unanimemente dal Parlamento. Aldilà dei loro extra costi per gestire questi missili pro domo altrui, hanno segnalato potenziali rischi: cosa succede se un sabato sera, a causa di un errore umano nelle coordinate, invece di uno streaming pirata di Inter-Juve venisse bloccato il sistema di monitoraggio di un ospedale? Si fa istanza di ripristino il lunedì ? E se un criminale si inserisse nelle comunicazioni e manomettesse le coordinate trasmesse? L’automatismo del lancio del missile balistico digitale potrebbe erroneamente oscurare vasti pezzi di Internet in Italia. I rischi indicati dai fornitori di accesso ad Internet esistono ed è quindi importante che l’attuazione pratica ne tenga conto al fine di mitigarli. Sono rischi con bassa probabilità, ma è prevedibile che l’esistenza di un tale automatismo attiri i peggiori criminali da tutto il mondo interessati a conquistarsi una backdoor, un cavallo di Troia per colpire l’Italia quando meno ce lo aspettiamo. Agcom ed Agenzia di Cybersicurezza Nazionale dovranno ora definire le regole tecniche e proprio in ragione dell’automatismo della cancellazione, è prevedibile che tutte le componenti del sistema saranno iper-protette e dedicate. Permane tuttavia un rischio residuo non emerso in audizione: in agguato non c’è solo l’errore da parte di un segnalatore di Dazn o l’alterazione delle comunicazioni da parte di un attore ostile, ma ci può essere anche lo stesso pirata audiovisivo, interessato a creare scompiglio. I segnalatori che operano per conto dei titolari dei diritti ottengono le coordinate da colpire (indirizzi Ip) da elenchi gestiti dagli stessi pirati. È una caratteristica di Internet che queste coordinate, elencate in server chiamati Dns, siano sotto il controllo del fornitore del servizio. È quindi il pirata ad indicare le coordinate dei propri server di streaming e nulla può impedire che costui contamini i pozzi inserendo nel proprio elenco anche indirizzi che in realtà sono di terzi, pienamente legittimi. Ad esempio un pirata potrebbe dichiarare come proprio un indirizzo in realtà appartenente ad un gestore elettrico e se il segnalatore lo immettesse come bersaglio del sistema balistico digitale, quel server del gestore elettrico sarebbe cancellato dalla faccia dell’Internet nazionale in meno di 30 minuti.

La domanda sorge spontanea: si può verificare se gli indirizzi Ip, piratescamente dichiarati dal pirata come propri, siano effettivamente del pirata o siano riferibili a terzi legittimi? La risposta è che, per ragioni tecniche, spesso non è possibile. Ha fatto pertanto benissimo l’Autorità a mitigare il rischio di bersagli errati richiedendo al segnalatore prova documentale certa per ogni indirizzo Ip da colpire e ad esplicitare che egli si assume ogni responsabilità derivante.

Tutto bene dunque ? Tre aspetti paiono degni di attenzione ulteriore. In primo luogo nulla dice la legge circa il ripristino, ma è ovvio che anch’esso meriterà un automatismo altrettanto celere, nel caso di possibili vittime di fuoco amico. Se il bersaglio innocente fosse un servizio estero usato da Pmi italiane ne verrebbe danneggiato l’ignaro fornitore estero e soprattutto l’utente; anche gli utenti dovranno perciò poter chiedere il ripristino in tempi altrettanto celeri di servizi leciti.

In secondo luogo, i fornitori di infrastrutture Internet spesso assegnano ai propri clienti indirizzi Ip per poche ore e poi li riassegnano ad altri clienti. Se un pirata utilizza un indirizzo Ip “a ore” la durata della sua soppressione dovrebbe essere limitata all’evento pirata, come avviene in altri paesi. Infine, sarebbe utile prevedere di monitorare nel tempo gli effetti di questo provvedimento. Bisogna essere sicuri che i missili balistici digitali siano diretti verso bersagli certi, tenendo ben presente il celebre adagio dell’Uomo Ragno: “da un grande potere derivano grandi responsabilità”.