GreenPass: Identità digitale condizionata e blockchain-based

Per capire cosa sia davvero il Green Pass (GP), bisogna richiamarsi innanzitutto al Regolamento (UE) 2021/953 del 14 giugno 2021, nonché al complesso documentale elaborato - già da marzo scorso - a corredo dello sviluppo digitale dell’EU Digital Covid Certificate e delle specifiche tecniche attraverso cui è stata sviluppata l’infrastruttura informatica portante: il Digital Green Certificate Gateway (DGCG) . Tale documentazione descrive dettagliatamente i meccanismi del gateway europeo, la rete di data-base e altre risorse informatiche di cui si compone la DGCG, in ordine tanto al l ’ interoperabilità dei certificati verdi e riconoscimento reciproco tra Stati membri, definiti come semplici punti di backend della rete, quanto alla governance a chiave pubblica e alla gestione del consenso e della fiducia all ’interno della rete , oltre che tra l’emittente della certificazione, il validatore ed il green certificate holder (appunto). Un monumentale sforzo questo (essenzialmente riconducibile ai tecnocrati dell’e-Health Network, il gruppo di soggetti pubblici istituito dalla Direttiva 2011/24/EU, a cui aderiscono su base volontaria gli enti degli Stati Membri che si occupano di sanità digitale), frutto sia degli sviluppi ante-covid avutisi, già a partire dal 2017 (cfr programmazione 2018-2021 ), nei sistemi di identità digitale (c.d. eID) e di gestione della medesima (c.d. e-IDM, o eletronic identity management) , sia di quanto fatto l’anno scorso con lo sviluppo dell’EFGS, o EU Federation Gateway Service, per permettere l’interoperabilità tra i sistemi di contact tracing degli Stati Membri; che ha trovato piena compiutezza, formulazione e implementazione pratica mesi prima dell’adozione dell’atto normativo di cui al Regolamento (UE) 2021/953 istitutivo della certificazione verde, e, solo dopo , la sua successiva copertura para-legislativa attraverso l’adozione, in blocco, di tutta la documentazione di dettaglio tecnico sopra menzionata, da parte della Decisione Esecutiva della Commissione (UE) 2021/1073 del 28 giugno 2021 . Poi, occorre confrontarsi con la vasta congerie di fonti tecniche e specifiche operative, attraverso cui il governo Draghi - già ad aprile scorso, con il D.L. 22 aprile 2021, n. 52 (art. 9) ed a maggio e giugno, rispettivamente con l’introduzione della governance per il PNRR ex D.L. 31 maggio 2021 n. 77 (art. 42), e con il d.p.c.m. 17 giugno 2021 e relativi allegati tecnici ( A , B , C , D , E , ed F ) - ha issato, non certo dal nulla , la ciclopica macchina della piattaforma nazionale digital green certificate (PN-DGC) per l'emissione, il rilascio e la verifica dei certificati verdi, e rese interoperabili le banche dati dell’anagrafe nazionale vaccinale (ANV), di quelle regionali, del sistema di Tessera Sanitaria gestita dal Ministero dell’Economia e dell’EU-DGCG sopra menzionata quale gateway portante di tutta l’infrastruttura. Dal difficile esame di dette fonti, se ne ricava che tanto la EU-DGCG quanto la PN-DGC (semplice diramazione di backend, tramite cui l’Italia ha fatto il processo di onboarding per interfacciarsi al gateway europeo, seguendo le istruzioni europee ed i tipici meccanismi di sottoscrizione di web service ) sono infrastrutture a chiave pubblica (Public Key Infrastructure, o PKI). Sono, cioè, insiemi, l’uno portante e l’altro periferico, di processi, risorse tecnologiche e protocolli informatici che consentono a terze parti fidate di verificare e farsi garanti dell'identità di un utente, oltre che di associare una chiave crittografica pubblica a un utente sotto forma di una certificazione (attraverso la c.d. crittografia a chiave pubblica, o a doppia chiave asimmetrica, una per codificare e l’altra per decodificare i dati). Peraltro, tutta l’infrastruttura (quella principale europea e la PN-DGC) si fonda sulla piena interoperabilità -strutturale della rete e semantica delle certificazioni -, resa necessaria dall’azione cross-border e intra-europea a cui è destinata. L’interoperabilità strutturale è garantita dal fatto che la rete PKI non è una PKI tradizionale di tipo gerarchico, bensì una c.d. rete di fiducia, o web of trust (c.d. WoT), in cui tutti i partecipanti sono pari-ordinati e con uguali permessi di emettere certificati e, quindi, di confermare tutte le chiavi pubbliche di tutti gli altri (i portatori di certificato verde). Così come reso necessario, d’altronde, dalla intrinseca decentralizzazione con cui debbono operare i diversi partecipanti (emittenti di certificazione, le autorità di certificazione e gli holder di pass verde sparsi per diversi punti geografici d’Europa), e dal controllo centralizzato da parte del medesimo gateway , sia del ruolo (o funzione) di soggetto certificatore di ultima istanza, sia del ruolo (o funzione), che i documenti europei chiamano col nome tedesco di Secretariat , di vero e proprio registro pubblico (accessibile), cioè di ledger o blockchain in cui si sostanzia la componente di data-base distribuito del gateway medesimo; destinato a conservare e aggiornare tutte le chiavi pubbliche di firma (le c.d. DSC, digital signer certificate ) attribuite alle autorità di certificazione designate negli Stati membri per convalidare i certificati verdi, prima della loro definitiva pubblicazione, nonché tutte le aggregazioni alle chiavi private (attraverso DSA, digital signature algorithm) corrispondenti all’identità di ciascun DGC holder abilitato dal possesso certificato di una delle tre condizioni di rilascio del pass (vaccinazione, tampone negativo o guarigione). L’interoperabilità semantica invece, cioè la capacità dell’intero sistema di leggere e interpretare un certificato verde emesso da qualsiasi emittente, è realizzata attraverso una struttura dati comune, una terminologia standard, un formato neutrale rispetto al contenuto e una consenso comune sul significato di ogni campo dati, allo scopo di garantire che i dati sanitari contenuti dal DGC siano rappresentati in maniera uniforme e pienamene machine-readable in tutti gli Stati Membri. Tale insieme PKI infrastrutturale basato su crittografia asimmetrica a chiave pubblica ed il formato delle certificazioni, su cui si basa tutto il sistema del GP europeo ed italiano si palesa, pertanto, grazie a questa forte interoperabilità (finanche con i framework in corso di sviluppo a livello internazionale come quello dell’OMS, come reso esplicito dal documento del 27 agosto scorso ), come un sistema complessivamente dotato di modularità e scalabilità . E’ costruito cioè come idoneo ex ante ad adattarsi a picchi di carico improvvisi senza diminuire il livello di servizio, e già pronto “ for instance, to additional usage scenarios, use cases and types of certificates ”, adatto quindi anche ad impieghi addizionali, usi, scenari e tipologie di certificazione diversi. Combinando gli aspetti tecnologici del GP con le sue caratteristiche normative, può dunque sintetizzarsi che la certificazione verde abbia due dimensioni . Staticamente, il GP è un attestato di condizioni sanitarie (per ora). Mentre, dinamicamente, è uno strumento che censisce un utente/green certificate holder su una piattaforma statale (PN-DGC) di accesso ad una rete (il gateway europeo), in grado di validare la presenza di dette condizioni agganciandole (ancorandole cioè con il sistema della crittografia asimmetrica) con certezza assoluta ed immodificabile ad una determinata persona, e di emettere una certificazione abilitante per diverse forme di impiego ; quali, ad esempio, quelle inaugurate a partire dall’art. 3 del D.L. 23 luglio 2021, n. 105 (rubricato proprio: Impiego certificazioni verdi COVID-19 ), per l’accesso ai ristoranti, spettacoli aperti al pubblico, musei, piscine, poi estese con successivi provvedimenti espansivi ad altre forme di utilizzo. E’ facile allora concludere, in tale prospettiva, che il GP-account non è null’altro che la stessa identità digitale pubblica degli utenti, o portatori di certificazione verde - da custodire negli appositi wallet e portafogli digitali IOS e Android istallati sui cellulari (o anche sul semplice supporto cartaceo). Inoltre, poiché tale ID-account è subordinato nel rilascio alla tenuta di una determinata condotta o al possesso di un determinato status abilitanti e certificati, da porre in essere sulla propria persona senza alcuna reale possibilità di libera scelta (il che vale pure per i guariti, che si erano ammalati al di fuori di ogni loro volontà) - stabiliti peraltro dall’autorità pubblica che ne individua pure tutte le possibili “forme di impiego” -, è fin troppo facile concludere che il GP rappresenti uno strumento di censimento anagrafico e del possesso personale di una delle condizioni, per ora, previste per la validazione del medesimo ID-account; nonché il veicolo principale che precipita improvvisamente l’identità personale, soprattutto nella sua accezione strettamente giuridica, nell’enorme ed agghiacciante pozzo della identità-bene pubblico che abilita alla fruizione di diritti, libertà e potestà individuali (o di quel che ne residuerà). E’ ovvio quindi, dinanzi ad una siffatta potenza del GP, che sia certamente da escludere che la vaccinazione sia il suo fine ultimo o surrettizio. Né, francamente, stante l’enormità della portanza del GP ci si può limitare a disquisire, ancora astrattamente, su come, attraverso l’ID pubblica ed il censimento sanitario di cui al sistema stesso del GP, si stia concretizzando il cupo orizzonte del social credit system cinese . Perché è già evidente che, una volta ottenuta e rilasciata a tutti la loro ID digitale pubblica, per ora condizionata a condotte sanitarie, tale identità digitale possa d’imperio essere in futuro non solo condizionabile ad libitum , ma anche plasmabile facilmente per ogni esigenza pubblica, e ahinoi, privata . Between the Acts Norman Rockwell May 26, 1923