Nelle elezioni in Russia è stato tracciato anche chi ha usato una VPN: la trappola era in un link

Il sito federale verifica se chi vota usa strumenti per aggirare la censura, dice a Fanpage.it l’autore di un report che sta facendo rumore a Mosca. Potrebbe essere stato violato il segreto dell’urna. Intanto la super-app di Stato MAX raccoglie dati e concentra messaggi, pagamenti e servizi pubblici. Con la tornata elettorale appena conclusa, il Cremlino fa un passo avanti verso un autoritarismo digitale che incontra ancora la resistenza della società russa. Sasha questa volta ha deciso di votare online. Va su elec.mos.ru per utilizzare la scheda elettronica. Prima di mostrargli la pagina di accesso, il sito ordina al suo browser di interrogare sei indirizzi. Cinque appartengono al sistema. Il sesto ospita un’immagine postata su YouTube. Ma YouTube in Russia è bloccato. Se l’immagine arriva, vuol dire che Sasha sta usando una VPN. Il sistema lo annota. Due decimi di secondo più tardi, Sasha accede attraverso il portale pubblico mos.ru con nome, cognome e patronimico. A quel punto le autorità possono sapere chi è, e se usa una VPN.

Il problema del sesto indirizzo

“Nel codice sorgente questa funzione è chiamata ‘VPN detection’”, spiega a Fanpage.it Pyotr Zhizhin, ingegnere informatico ed esperto elettorale russo. “Se YouTube si apre perché agisce una VPN, si può comunque votare. Il sistema registra silenziosamente l’informazione e in due decimi di scendo la invia al server”. In Russia l’uso delle VPN non è vietato di per sé. Diventa punibile se serve ad accedere a contenuti classificati come “estremisti”. L’agenzia di controllo Roskomnadzor blocca oltre un milione di pagine Internet all’anno, secondo dati ufficiali ripresi da TechRadar. Sapere chi adopera una VPN permette di individuare chi aggira la censura. Il dato potrebbe contribuire a un profilo digitale. Che incrociato con altre informazioni, aiuta i servizi di sicurezza a individuare oppositori, attivisti o cittadini considerati sospetti.

Sasha non si è accorto di nulla. Non significa che le autorità sappiano anche per chi ha votato. Né è possibile stabilire quanto a lungo conservino i dati. Ma che possano identificarlo e sapere se usa mezzi per eludere i blocchi governativi è verificabile. Basta analizzare il codice e osservare una sessione reale di voto. È ciò che ha fatto Zhizhin il 18 settembre. Del rapporto che ha pubblicato subito dopo si parla parecchio, in Russia.

La trasparenza delle elezioni in Russia

Le elezioni nel Paese di Putin continuano a produrre anche miracoli più tradizionali. A San Pietroburgo 387 elettori sono diventati 936 nel verbale del presidente di seggio. In due sezioni adiacenti di Bogorodskoye, quartiere residenziale nella zona orientale di Mosca, un candidato del partito di Putin ha ottenuto rispettivamente 90 e 675 voti. Nella sezione dell’exploit non era stato ammesso un osservatore scomodo. Altrove si è tentato di “corrompere” gli osservatori con vodka e rubli. Una presidente di seggio è stata ripresa mentre calpestava e strappava schede appena estratte dall’urna. Episodi raccontati da Meduza o documentati sui social. Il controllo nascosto dentro la procedura digitale è meno teatrale e più preoccupante.

Il sistema deve comunque permettere di votare. E una ragione tecnica per rilevare le VPN può esserci. Alcune fanno passare la connessione attraverso server stranieri e possono rendere irraggiungibili i servizi elettorali russi. Per verificarlo, però, basterebbe controllare se rispondono i cinque server del voto. Tentare di aprire un’immagine su YouTube serve a scoprire altro: se l’elettore dispone di una VPN capace di superare i blocchi imposti da Mosca. “È proprio una forma deliberata di sorveglianza”, afferma Zhizhin. “È coerente con ciò che fa il governo russo. Le autorità usano già da tempo applicazioni e servizi digitali pubblici per verificare se la popolazione utilizza le VPN e per misurare l’efficacia dei blocchi. Raccolgono questi dati da moltissimi siti e li usano per perfezionare la censura”. Resta da chiedersi se le autorità possono anche sapere quale casella della scheda elettorale ha scelto Sasha.

Il sistema prevede un passaggio di anonimizzazione tra l’identificazione dell’elettore e la scheda. Dovrebbe spezzare il collegamento. Ma l’intero processo è amministrato dallo stesso operatore. È il gestore ad assegnare l’identificativo anonimo e l’indirizzo della transazione. Nella blockchain, inoltre, non finisce direttamente il testo cifrato dal computer dell’elettore, ma una versione riconfezionata dal server. Dall’esterno non è possibile verificare che il legame sia stato davvero reciso. Zhizhin studia il voto elettronico russo da cinque anni. Non afferma che in queste elezioni il regime abbia visto chi vota cosa. Non ci sono prove. Ma nel 2021 scoprì una vulnerabilità che avrebbe permesso agli amministratori di farlo. Da allora il codice non è più stato pubblicato. Non sappiamo quindi se la falla sia stata corretta. E non può verificarlo un soggetto indipendente, perché chi gestisce il voto controlla anche il meccanismo che dovrebbe garantirne l’anonimato. Controllore e controllato coincidono. La funzione “VPN detection” è una tappa del percorso, ancora non lineare, della Russia verso un sovranismo digitale autoritario. Un sistema fatto di blocchi, rallentamenti, riconoscimento facciale, servizi pubblici online e piattaforme nazionali. Un arsenale, più che una macchina unica.

MAX: come funziona l'app per il monitoraggio di Stato

Il pezzo più recente si chiama MAX. È la “super-app” sostenuta dallo Stato e sviluppata da VK, il gruppo proprietario del principale social network russo. Riunisce messaggi, pagamenti, servizi pubblici e piccole applicazioni interne. Dovrebbe prendere il posto occupato per anni da WhatsApp e Telegram. Ricorda WeChat, ma con una differenza. Il modello cinese è cresciuto insieme alla muraglia digitale di Pechino. MAX viene imposto a una società che per decenni ha usato una rete aperta e servizi occidentali. Dipendenti pubblici, insegnanti, studenti e scolari sono stati spinti — di fatto costretti — a installarlo. Uno studio recente dell’Università del Michigan ha scoperto che MAX può inserire nelle mini-app codice capace di alterarne il funzionamento, raccogliere altri dati o compiere azioni all’insaputa dell’utente. Secondo la ricerca, questa architettura apre un accesso all’intero ecosistema interno. Potrebbe persino essere utilizzata per lanciare attacchi informatici. Zhizhin invita però a distinguere ciò che MAX può fare dentro il proprio ecosistema da ciò che può fare sul resto del telefono. Le mini-app funzionano al suo interno: MAX può leggerne i dati, acquisirne schermate e modificarne il comportamento. Android e iOS tengono invece normalmente separate le diverse applicazioni. MAX non può entrare direttamente in WhatsApp, Telegram o nell’app di una banca, leggerne i contenuti o ordinare un bonifico all’insaputa dell’utente.

Un’applicazione non deve controllare tutto il telefono per diventare uno strumento politico. “Sappiamo che MAX caricava sui propri server la rubrica degli utenti, sfruttando autorizzazioni molto ampie”, dice Zhizhin. “Sappiamo che l’app veniva usata per rilevare la presenza di VPN e che poteva acquisire schermate. In questo senso può essere considerata uno strumento di controllo digitale”. Contatti, posizione, cronologia d’uso e attività nelle mini-app sono dati raccolti anche dalle piattaforme commerciali. Servono a profilare i consumatori e indirizzare la pubblicità. Nelle mani di uno Stato autoritario, però, cambiano funzione. Possono ricostruire le relazioni di una persona, seguirne gli spostamenti, mostrare quali blocchi aggira e a quali comunità appartiene. Il profilo commerciale diventa un profilo politico.

Il progetto ha i suoi limiti. Deputati, funzionari e membri dell’élite lo installano spesso su un secondo telefono perché è diventato in pratica obbligatorio. “Per le conversazioni vere continuiamo a usare Telegram o Signal sul dispositivo principale”, conferma a Fanpage.it un consulente dell’amministrazione presidenziale. La Russia di Putin ha spesso una doppia vita. Anche nel dominio digitale. Quando il Cremlino ha provato a trasferire gli utenti da YouTube a VK Video, i russi non si sono spostati in massa. Hanno installato le VPN e continuato a guardare YouTube. Neppure MAX ha sostituito Telegram come principale spazio di informazione e discussione. La Russia urbana è parte dell’Occidente da decenni. È abituata a smartphone, piattaforme straniere, pagamenti istantanei e comunicazioni senza confini. Internet è l’habitat della sua classe media. Entrarvi a gamba tesa significa colpire non soltanto attivisti e oppositori, ma anche studenti, professionisti, imprese e famiglie che non vogliono avere niente a che fare con la politica. ù

Il potere lo sa, e procede a strappi. Blocca, misura la reazione e magari concede eccezioni. Spegne la rete mobile in nome della sicurezza, ma mantiene una lista di servizi accessibili. Costringe a installare MAX, ma tollera le vie di fuga. Prova a costruire un’internet nazionale senza recidere i legami da cui dipendono l’economia e la vita quotidiana.Dopo le elezioni la pressione potrebbe aumentare. “Il governo vorrà intensificare blocchi e restrizioni, ora che non è più condizionato dall’imminenza del voto”, osserva Zhizhin. Alla domanda su quanto Mosca sia vicina al modello cinese e su che cosa possa fare ancora, si ferma: “Preferisco non dare suggerimenti. Il governo russo segue attentamente gli esperti. Non vorrei indicare una possibilità e poi scoprire che è stata messa in pratica”.