È allarme Green Pass falsi anche in Italia, dopo la recente scoperta fatta in Francia: da quello che si sa finora, qualcuno sarebbe infatti riuscito a generare due differenti Green Pass intestati entrambi a Adolf Hitler e con data di nascita, rispettivamente, 1 gennaio 1900 e 1 gennaio 1930.
I pass sono falsi ma sembrano veri ai controlli appunto perché generati con chiavi valide.
Indice degli argomenti
Chiavi rubate anche in Italia?
Dal Ministero della Salute, Cybersecurity360 apprende che sono stati trovati Green Pass falsi creati con chiavi crittografiche della Francia e della Polonia. Gli ultimi aggiornamenti parlano anche di una chiave tedesca tra quelle trapelate.
L’Italia ha quindi annullato la validità dei Green Pass generati con quelle chiave, che quindi non risulteranno più corretti a un controllo.
La posizione dei Paesi
(Aggiornamento) Francia e Germania dichiarano di non aver subito il furto di chiavi e che si tratta di casi isolati.
Secondo quanto emerso a conclusione di una riunione a livello europeo tra governi ed enti preposti alla gestione dei Green Pass e come confermato alla nostra testata sempre dal Ministero della Salute, si dovrebbe dunque escludere l’ipotesi di un furto di chiavi crittografiche, mentre col passare delle ore si avvalora l’ipotesi di un abuso del sistema di generazione delle chiavi, probabilmente a causa di un threat insider che ha fornito le credenziali di accesso.
(aggiornamento 28 ottobre) Secondo analisi successive di esperti internazionali, ci sarebbe una vulnerabilità di server delle web app che permettono di autenticare il green pass. La web app fa richiesta al server centrale che la firma. La vulnerabilità permette l’accesso ai server delle web app.
Il rischio più grande: annullamento di tutti i Green Pass anche italiani
Al momento non ci sono evidenze che quanto accaduto in Francia e Polonia riguardi le chiavi nazionali italiane. Allo stato non è ancora da escludere. Nel caso anche i nostri Green Pass andranno annullati e rigenerati su tutti gli italiani, con prevedibile caos per giorni.
I Green Pass falsi
I pass falsi, quindi, erano perfettamente funzionanti e molte delle app europee di verifica della certificazione Covid-19, tra cui anche la nostra VerificaC19 rilasciata dal Ministero della Salute, consideravano autentici entrambi i certificati. Al momento del controllo, infatti, inquadrando il QR Code sul dispositivo del verificatore appariva la classica schermata con la spunta verde che ne conferma la validità.
Questo mostrato di seguito è uno dei due QR Code (segnalato su Twitter da @reversebrain) che fornisce come risultato del controllo effettuato con l’app VerificaC19 un Green Pass intestato a HITLER ADOLF (scritto tutto in maiuscolo), nato il primo gennaio 1990:
Green Pass falsi: cosa può succedere adesso
Secondo le prime analisi, l’ente che ha emesso le prime due chiavi private sarebbe la CNAM francese (Caisse Nationale d’Assurance Maladie), ma è chiaro che ormai chiunque sia in possesso di questi codici potrebbe generare Green Pass falsi.
Al momento non è possibile avere certezza su cosa sia successo: si sa solo che in una discussione nel canale Rfmirror.com di su RaidForums intitolata “make EU green pass“, un utente polacco ha confermato di essere riuscito a creare uno dei due codici QR a nome di Hitler, dicendosi anche disponibile a “offrire” il servizio per 300 dollari fornendo Green Pass con cui potersi spacciare per un cittadino polacco vaccinato. Da precisare che non si ha alcuna conferma sull’origine polacca del venditore dei Green Pass falsi: lo si può desumere dal suo nickname, “przedsiebiorca” che significa “capomastro” in polacco.
Se confermato, questo particolare potrebbe significare che il sistema europeo di gestione della generazione di chiavi ha una qualche falla.
Chiavi rubate per il Green Pass? Rischio disastro
In attesa di saperne di più, si è deciso di annullare tutti i Green Pass falsi generati con le chiavi sottratte. Di certo c’è che al momento non risultano violazioni ai sistemi informatici della Sogei, la società del Ministero dell’Economia che in Italia fornisce i codici per generare i certificati verdi Covid-19.
Finora Green Pass falsi sono stati creati senza chiavi valide, quindi non superavano i controlli previsti per legge (via app), ma solo quelli “a vista”. Pass validi creati illecitamente sono stati generati, inoltre, con false esenzioni grazie a medici compiacenti no-vax, anche italiani.
La scoperta di un furto di chiavi su vasta scala sarebbe un disastro di tutto il sistema Green Pass, costringendo l’Italia o l’Europa, almeno temporaneamente, a sospenderlo per evitare la paralisi delle attività economiche e turistiche.
Articolo aggiornato nella serata del 27 ottobre 2021 in seguito alle nuove informazioni fornite alla nostra testata dal Ministero della Salute.
