Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
IRLid propone un nuovo modello di verifica dell’identità digitale basato su incontri fisici tra dispositivi, senza uso di biometria o database centralizzati. Il sistema utilizza QR code, geolocalizzazione e firme crittografiche per certificare la presenza simultanea. L’obiettivo è superare i limiti di CAPTCHA e soluzioni biometriche, riducendo la raccolta di dati sensibili. Tuttavia, restano criticità legate a spoofing GPS, compromissione dei dispositivi e assenza di legame tra identità reale e chiavi crittografiche.
Mentre alcuni servizi richiedono ancora di “dimostrare di essere umani” attraverso un “comportamento di navigazione” e altri chiedono di scansionare ad esempio l’iride, sta emergento una terza opzione. Il progetto IRLid, il quale sta offrendo una verifica che un account appartenga effettivamente a una persona reale, senza ricorrere alla biometria oppure ad un singola base dati di informazioni personali.
L’idea è semplice: due persone devono incontrarsi in modo fisico e “stringersi la mano” (in senso figurato) con i propri dispositivi. Il protocollo si basa su uno scambio di specifici QR Code e una verifica che tutti e due i dispositivi si trovino nelle vicinanze in modo contemporaneo. Non vengono utilizzate delle impronte digitali, oppure il riconoscimento facciale oppure altri dati biometrici. Il sistema si affida invece alle coordinate GPS e alle firme crittografiche.
E’ previsto un breve scambio di informazioni dove il primo partecipante apre l’app, il dispositivo registra le sue coordinate e l’ora e successivamente genera un messaggio firmato e visualizza un codice QR.
Il secondo partecipante, nello specifico, scansiona il codice, verifica la firma e poi aggiunge le proprie coordinate e l’ora, firmando la risposta e visualizzando un nuovo codice QR. Dopo la seconda scansione, viene generata dal sistema una “ricevuta”, Si tratta di un file contenente due firme, le coordinate e i timestamp. Chiunque può verificare l’autenticità di questa ricevuta rilasciata nel proprio browser, senza dover accedere al server.
Questo perchè si basa su strumenti crittografici standard: firme digitali ECDSA e hashing SHA-256. Le chiavi sono generate sul dispositivo dell’utente e non lo lasciano mai. Il protocollo verifica infatti diverse condizioni come la differenza di tempo, la quale non deve superare i 90 secondi e la distanza tra i dispositivi che invece non deve superare i 12 metri e le firme devono effettivamente corrispondere ai mittenti.
Questo nuovo approccio risolve il problema in modo diverso rispetto ai sistemi tradizionali. I captcha come reCAPTCHA, si limitano a tentare di indovinare se lo specifico utente assomiglia a un essere umano e quindi fornisce un risultato probabilistico. Le soluzioni biometriche, ad esempio, come la scansione dell’iride in World ID , offrono invece una garanzia più solida, ma richiedono in aggiunta la fiducia nell’operatore del sistema e il trasferimento di dati sensibili. IRLid si sta collocando in una posizione intermedia: richiede la presenza fisica della persona ma non raccoglie dati biometrici né li archivia centralmente.
Gli autori non nascondono i limiti dello strumento. Le coordinate vengono ricavate dal meccanismo di geolocalizzazione standard del browser, il che significa che possono essere falsificate a livello di sistema operativo o di app. Le chiavi private vengono memorizzate nel browser e possono essere rubate solo se il dispositivo viene compromesso. Due persone possono accordarsi per creare una “ricevuta” senza alcuna reale fiducia reciproca. Un singolo utente con più telefoni può inoltre aggirare il sistema.
Inoltre, il protocollo non collega mail le chiavi a un’identità specifica. La ricevuta conferma solo l’incontro tra due specifici dispositivi, ma non chi ne è il proprietario. Non esiste un meccanismo per revocare le chiavi anche nel caso in cui un dispositivo venga compromesso.
Nonostante i suoi limiti, l’idea potrebbe rivelarsi molto utile in contesti in cui il fatto stesso di un incontro faccia a faccia diventa cruciale: ad eventi, nelle comunità locali o in sistemi in cui la fiducia si costruisce attraverso tali conferme.
Gli sviluppatori propongono di considerare il sistema IRLid come un elemento costitutivo, piuttosto che un sostituto preconfezionato per CAPTCHA o dati biometrici.
