Confermo l’esistenza del codice. Lo si può scaricare da http://hakteamvayuhxoe7.onion/git/rcs-backdoor.git/ oppure fare direttamente torify git clone git://cheettyiapsyciew.onion/rcs-backdoor per ottenere una copia funzionante del vcs originale. Il codice incriminato è nel file lib/rcs-backdoor/backdoor.rb e stando a git blame è stato programmato da un certo Daniele Milan d.milan@hackingteam.it che occasionalmente usa anche milan.daniele@gmail.com per i suoi commit. Il commit specifico è il seguente:
7bb2d70f (daniele 2012-03-14 13:58:01 +0100 180) trace :info, “Creating #{options[:gen_num]} fake evidences…”
Stando a guardare meglio il contesto del codice però viene il dubbio che si possa trattare di una funzione di testing dei meccanismi… cioè vengono creati dei file “evidence” a scopo di test. La routine antecedente allo screenshot indica questo:
# create some evidences
def create_evidences(num, type = :RANDOM)
# ensure the directory is created
FileUtils.rm_rf(@evidence_dir)
FileUtils.mkpath(@evidence_dir) if not File.directory?(@evidence_dir)
real_type = type
# generate the evidence
num.times do
#real_type = RCS::EVIDENCE_TYPES.values.sample if type == :RANDOM
real_type = [:APPLICATION, :DEVICE, :CHAT, :CLIPBOARD, :CAMERA, :INFO, :KEYLOG, :SCREENSHOT, :MOUSE, :FILEOPEN, :FILECAP].sample if type == :RANDOM
Evidence.new(@evidence_key).generate(real_type, @info).dump_to_file(@evidence_dir)
end
end
La definizione della classe “Evidence” e il suo generate() ora mi sfugge, ma dubito che contenga materiale pedopornografico ecc direttamente in codice sorgente.
Resta il problema fondamentale che in qualche modo questi strumenti avranno sempre una funzione che permette di uploadare del materiale compromettente sul telefonino o computer della persona “indagata,” e nessuno sa se l’esecutivo è capace a resistere alla tentazione di fare da potere omnipotente. Fabbricare “prove” che un giudice mai potrebbe ne comprovare ne confutare non è solo eticamente orrendo – è la dimostrazione palese di come la separazione dei poteri sui quali si fonda la nostra democrazia è in crisi davanti alla volatilità del digitale. Non importa se i nostri servizi queste cose le fanno o non le fanno – la democrazia è di già compromessa dal fatto che hanno la scelta se rispettare la costituzione oppure no. Nessuno glielo potrebbe impedire. Questo di per se è anticostituzionale. Nessuno deve avere la scelta di essere omnicosciente o omnipotente in un governo democratico.
Questa storia non è un caso particolare specifico – è l’ennesima manifestazione di un problema sistemico dell’approccio sregolato alla tecnologia. Ci vuole una rivoluzione delle politiche digitali per risolvere queste questioni. Non basta punire gli sfigati che si sono fatti beccare con le mani nel sacco perchè ce ne saranno sempre di nuovi a fare la stessa cosa. Anzi, con tutti i codici sorgente ora a disposizione, chiunque potrà utilizzare questi strumenti contro chiunque altro.
Concludo che per ora non è sicuro che questo codice di per se sia una evidence di alcuna cosa. Ci sono altri documenti che comprovano operazioni commerciali che non avrebbero dovuto avvenire e ci sono problemi strutturali della digitalizzazione che vanno ben oltre questa ditta.
