Author Archives: secfull_admin

di Renzo Di Pietra

Obiettivo di questo articolo è fornire una panoramica normativa inerente alle intercettazioni telematiche “passive” e la dimostrazione come non sia più possibile ricorre alla vecchia pratica di utilizzare la Sonda fornita dall’autorità giudiziaria, qualora l’operatore non abbia ottemperato all’allestimento di una architettura interna preposta per farlo.

1. Le fonti normative oggi vigenti

L’intercettazione telematica consiste nell’intercettare quello che viene scambiato tramite internet e sistemi informatici e può essere effettuata mediante l’acquisizione di pacchetti di dati in transito su una rete, trasmessi o ricevuti da un utente o da gruppi di utenti.

Le tecniche di base consentono di acquisire i pacchetti di dati mentre questi sono in transito dal dispositivo emittente a quello ricevente (c.d. telematica passiva), oppure mediante dei spy software installati in maniera occulta sui device (c.d. telematica attiva). I dati d’interesse vengono successivamente trasmessi al punto di ricezione presso la Procura della Repubblica ed in uso alla Polizia Giudiziaria.

Le principali fonti normative inerenti all’intercettazione telematica possono essere individuare nell’art. 266 bis c.p.p. e nel Decreto Ministeriale del 28 dicembre 2017 (c.d. Listino Ministeriale delle Prestazioni Obbligatorie).

1. Articolo 266 bis Codice di procedura penale (Intercettazioni di comunicazioni informatiche o telematiche)

Nei procedimenti relativi ai reati indicati nell’articolo 266, nonché a quelli commessi mediante l’impiego di tecnologie informatiche o telematiche, è consentita l’intercettazione del flusso di comunicazioni relativo a sistemi informatici o telematici ovvero intercorrente tra più sistemi.

2. Il DM del 28 dicembre 2017 “Disposizione di riordino delle spese per le prestazioni obbligatorie di cui all’art. 96 del d.lgs. n. 259 del 2003” Pubblicato su G.U. n. 33 del 09/02/2018.

Il DM del 2017 ha previsto, nell’Allegato (c.d. listino delle Prestazioni Obbligatorie), la prestazione di “Intercettazioni di tipo informatico o telematico”. Questa obbligatorietà non era contemplata nel precedente listino ministeriale del 2001, nonostante fosse già disciplinata dal citato art. 266 bis c.p.p. introdotto nel 1993. Di rilievo anche l’art. 4 comma 1 lett. b, del DM, nella parte che stabilisce che le intercettazioni devono essere svolte “… in conformità ai modelli ed ai protocolli definiti dall’ETSI”.

3. Il DM del 6 ottobre 2022, recante “disposizioni per l’individuazione delle prestazioni funzionali alle operazioni di intercettazione e per la determinazione delle relative tariffe, ai sensi dell’articolo 1, commi 89 e 90, della legge 23 giugno 2017, n. 103.”, pubblicato nel Bollettino ufficiale del Ministero della giustizia n. 23 del 15 dicembre 2022.

Per “prestazioni funzionali” si intende il complesso degli impianti, sistemi, operazioni e servizi tecnici inservienti alla fruizione dei contenuti e dei dati associati, captati e veicolati dagli operatori di comunicazioni elettroniche e/o dagli Internet Service Provider in esecuzione delle prestazioni obbligatorie di cui al Decreto Ministeriale 28 dicembre 2017, contenente disposizioni di riordino delle spese per le prestazioni di cui all’articolo 96 del decreto legislativo n. 259 del 2003, in particolare:

• per la ricezione, registrazione, conservazione e trascrizione delle operazioni di intercettazione di conversazioni, di comunicazioni o di flussi informatici ed elaborazione della documentazione storica del traffico e dei dati associati,
• per la ricezione, visualizzazione, registrazione, conservazione e fruizione dei contenuti, dei dati, dei servizi e applicazioni web veicolati dagli Internet Service Provider,
• per la vigilanza e manutenzione finalizzate al corretto funzionamento degli impianti e sistemi installati;

All’interno del suddetto DM viene definito anche il “punto di registrazione” o “punto di ascolto” (come comunemente chiamato): punto di rete allocato presso la sala CIT della Procura della Repubblica, dove perviene il patrimonio informativo e probatorio acquisito (fonie, immagini, dati) per essere registrato, archiviato e fruito dai soggetti legittimati, anche con modalità di riascolto.

2. Le intercettazioni telematiche passive prima dei listini ministeriali

In passato l’Operatore di Telecomunicazioni che non era predisposto con propri mezzi all’intercettazione telematica, a seguito di richiesta da parte dell’autorità giudiziaria, sviluppava generalmente uno studio di fattibilità, finalizzato ad individuare le modalità di erogazione del servizio, che successivamente era sottoposto all’approvazione dell’autorità richiedente. L’Operatore informava, inoltre, l’autorità che la stessa avrebbe dovuto assumersi l’onere della fornitura e dei relativi costi, principalmente connessi alla “sonda” utilizzata nell’intercettazione telematica passiva.

Una volta approvato l’iter amministrativo, veniva collocata una sonda ad una porta (Mirror) che riceveva in copia tutto il traffico scambiato (in entrambe le direzioni) dall’apparato di accesso che gestiva la connessione finale dell’utente. Il flusso di dati era poi trasferito, tramite linea dedicata, al punto di registrazione, dove veniva memorizzato e decodificato. Qui l’intercettazione dati veniva visualizzata in formato intellegibile, laddove possibile, dando così la possibilità alla Polizia Giudiziaria delegata di leggere in chiaro, ad esempio, i messaggi di posta elettronica inviati e ricevuti, le pagine web visitate, mail, le chat, etc.

3. Gli effetti derivanti dall’introduzione dei listini ministeriali

Nel nuovo Listino Ministeriale delle Prestazioni Obbligatorie del 2017, è stata introdotta la prestazione relativa alle “Intercettazioni di tipo informatico o telematico”, attribuendo all’Operatore di Telecomunicazioni la responsabilità dell’intero ciclo esecutivo della prestazione.

Infatti l’art. 4 (Modalità esecutive delle prestazioni obbligatorie) del Decreto Ministeriale del 2017, prevede

• al punto 1 lett. a) “… l’immediata attivazione delle operazioni di intercettazione … (n.d.r. intercettazione richiamata in senso generico e quindi si intende anche la telematica) … indipendentemente dalla tecnologia di rete impiegata o dal tipo di rete di accesso…”
• al punto b) “la tempestiva trasmissione e consegna, … dei contenuti intercettati e dei dati correlati alle operazioni di intercettazione …, senza l’impiego di sistemi informatici interposti di trattazione degli stessi (n.d.r. dati)…”
• al punto c) “la tempestiva trasmissione e consegna ai punti di registrazione di ogni altro dato o evento riferibile all’identità di rete monitorata… in conformità ai modelli ed ai protocolli definiti dall’ETSI”.

Nel nuovo listino ministeriale delle Prestazioni funzionali, all’art. 2 “Individuazione delle prestazioni funzionali e determinazione delle tariffe”, viene riportato che le prestazioni funzionali alle operazioni di intercettazione sono specificamente individuate e descritte, unitamente alle relative tariffe, nel listino allegato al DM (c.d. listino delle Prestazioni Funzionali”, nel quale non è più presente il servizio di noleggio della sonda da installare presso i locali dell’operatore Tlc.

Dal combinato disposto dei due listini ministeriali, così come anche richiamato all’art. 57 del Codice delle Comunicazioni Elettroniche, emerge che l’intercettazione telematica passiva debba essere attivata a completa cura e responsabilità dell’Operatore di TLC.

Oltre a costituire oggi un obbligo di legge, la soluzione centralizzata e conforme agli standard ETSI (come SecFull® Target) offre la possibilità di essere adeguatamente scalabile, permettendo di espandersi, in termini di hardware, in base all’aumento del volume di traffico intercettato. Tale approccio migliora anche l’efficienza del processo. Inoltre, contribuisce a mantenere i costi del servizio di intercettazione su valori minimi.

Oltre a questo è importante rilevare che l’uso di piattaforme centralizzate costituisce per l’operatore una riduzione dei rischi associati a soluzioni estemporanee e non debitamente collaudate oltre che la garanzia di una immediata risposta alle richieste di intercettazione, garantendo al contempo maggiore affidabilità del servizio.

In conclusione, con l’introduzione dei listini ministeriali del 2017 e del 2020, l’utilizzo di sonde, fornite dall’autorità per l’attivazione dell’intercettazione telematica passiva, risulterebbe non più fattibile operativamente perché non è più un servizio previsto per le società terze fornitrici dell’autorità, oltre che in contrasto con le disposizioni dei listini stessi. Qualora l’Operatore non disponesse di un sistema centralizzato si configurerebbe anche la violazione dell’art. 57 del Codice delle Comunicazioni Elettroniche, con conseguente applicazione delle previsioni dell’art. 30 comma 16 del Codice stesso, ovvero una sanzione amministrativa pecuniaria che può essere compresa tra 170 mila euro e 2 milioni e mezzo di euro. Se la violazione degli obblighi è di particolare gravità o reiterata per più di due volte in un quinquennio, il Ministero può disporre in aggiunta la sospensione dell’attività per un periodo non superiore a due mesi o la revoca dell’autorizzazione generale.

SECFULL TARGET

SecFull Target ha completato il mapping tra le informazioni previste da CALEA per lo standard americano di lawful interception ed il rispettivo standard ETSI valido in europa.

L’attività ha permesso ad una primaria azienda operante in Italia e all’estero di sfruttare quanto già realizzato negli USA in termini di lawful interception, facendo risparmiare così tempo e denaro.

L’attività è stata condotta in sinergia tra gli esperti tecnici e quelli mormativi-giuridici di LEX ET ARS, che mostra come SECFULL sia il prodotto più completo presente in termini di supporto al Cliente.

SECFULL TARGET

SecFull Target ha completato l’installazione per primaria azienda nazionale operante nel campo WiFi offerto su vettori in mobilità, permettendole di divenire un esempio nazionale per l’erogazione delle prestazioni obbligatorie.

Tramite la piattaforma SECFULL TARGET è possibile:

1) Work Flow Management: gestire le varie e davvero particolari richieste previste dalla normativa;

2) Lawful Interception: effettuare le intercettazioni su base MSISDN e/o MAC ADDRESS;

3) Data Retention: ricevere, memorizzare e catalogare milioni di records al giorno relativi alle fasi di autenticazione sulle reti WiFi. Tramite questa funzionalità è possibile identificare gli utenti che si collegano, anche se la loro navigazione è stata NATtata, e distinguere le diverse tipologie di tabulati di traffico storico che le reti WiFi consentono di fornire.

E’ stata richiesta un’altissima automazione delle fasi di gestione delle richieste, per ridurre l’effort del personale dedicato.

Alcuni riferimenti normativi

L’art. 2 del Codice delle Comunicazioni Elettroniche, rubricato “Definizioni” (ex art. 2 e art. 1 Codice 2003), distingue tra due diverse tipologie di utilizzo delle reti:

• Rete privata o Rete di comunicazione elettronica ad uso privato: è una rete di comunicazione elettronica con la quale sono realizzati servizi di comunicazione elettronica ad uso esclusivo del titolare della relativa autorizzazione. Una rete privata può interconnettersi, commercialmente, con la rete pubblica tramite uno o più punti terminali di rete, purché i servizi di comunicazione elettronica realizzati con la rete privata non siano accessibili al pubblico. Per le reti Wi-Fi private non è prevista alcuna autorizzazione. Le apparecchiature sono comprese in quelle previste di libero uso ai sensi dell’art. 105, comma 1, lettera b del Codice, così come modificato dall’art. 70 del D.Lgs. 70/2012. Per uso privato si intende che la rete deve essere utilizzata soltanto per trasmissioni riguardanti attività di propria pertinenza, con divieto di effettuare traffico per conto terzi (art. 101 del Codice).
• Rete pubblica di comunicazione elettronica: è una rete di comunicazione elettronica, utilizzata interamente o prevalentemente per fornire servizi di comunicazione elettronica accessibili al pubblico, che supporta il trasferimento di informazioni tra i punti terminali di rete. Il caso tipico è l’installazione di uno o più access point uno spazio aperto al pubblico per fornire, ad esempio, il servizio di accesso alla rete internet. È necessario distinguere i seguenti casi:

1. Impresa che ha come attività principale la fornitura di servizi di comunicazione elettronica. In questo caso è necessaria l’autorizzazione generale (art. 11 del Codice), da richiedere al MIMIT. A questo scopo si deve presentare una dichiarazione conforme all’allegato A del Decreto Ministeriale 28 maggio 2003 (e successive modifiche). Dato che questo tipo di installazione comporta l’uso pubblico, si deve preventivamente essere autorizzati ad agire come Internet Service Provider (ISP).
2. Impresa o esercizio commerciale che non ha come attività principale la fornitura di servizi di comunicazione elettronica. Secondo quanto disposto dall’art. 10 del D.L 69/2013 (cosiddetto “Decreto del fare”) convertito con legge 9 agosto 2013, n. 98, in questo caso l’offerta di accesso alla rete internet al pubblico tramite tecnologia Wi-Fi non richiede alcuna autorizzazione e non prevede l’identificazione dell’utilizzatore.
3. Pubblica amministrazione. L’art. 9 del Codice vieta espressamente a Stato, Regioni ed enti locali di fornire direttamente reti e servizi di comunicazione elettronica ad uso pubblico se non attraverso società controllate o collegate. Per erogare questo tipo di servizi le pubbliche amministrazioni devono quindi rivolgersi a operatori autorizzati ai sensi dell’art. 11 del Codice.

Organizzazione e ruoli del Servizio WiFi

Nel framework operativo per fornire il servizio WI-FI pubblico, possiamo individuare quattro figure distinte:

• Service Provider: è il fornitore del Servizio ed è rappresentato dall’Ente responsabile della progettazione, della gestione e delle evoluzioni del servizio stesso. Il Service Provider gestisce le policy di accesso per la connessione al servizio e per la generazione delle credenziali, necessarie agli utenti, per poter accedere alla rete.
• Resource Provider: fornisce l’infrastruttura di rete all’utente che viene identificato secondo le modalità stabilite.
• Internet Service provider: fornisce la connettività ad Internet all’infrastruttura del Recource Provider.
• Utente: l’utente finale del servizio.

Identificazione degli utenti

Uno dei requisiti atti a garantire anche la sicurezza sulle reti Wi-Fi è che sia prevista l’identificazione dell’utente, in associazione agli opportuni meccanismi di autenticazione, realizzati anche in modo indiretto, attraverso sistemi di verifica della numerazione mobile via OTP.
Per quanto riguarda le imprese l’art. 10 del “Decreto del fare” ha disposto che l’offerta di accesso alla rete internet al pubblico tramite tecnologia Wi-Fi non richiede (obbligatoriamente) l’identificazione personale degli utilizzatori. Inoltre, le imprese che offrono al pubblico l’accesso Wi-Fi in modo secondario rispetto alla loro attività principale, non sono tenute a richiedere l’autorizzazione prevista per le reti e i servizi di comunicazione elettronica né l’autorizzazione del questore per l’apertura di pubblico esercizio o circolo privato in cui sono posti a disposizione terminali utilizzabili per comunicazioni telematiche (prevista dall’articolo 7 del d.l. 144/2005).

L’art. 10 del suddetto Decreto non solleva dall’obbligo di autenticazione e di identificazione indiretta. È utile rilevare che in caso di violazione di sistemi o di dati effettuata grazie all’utilizzo di un accesso Wi-Fi disponibile senza alcuna autenticazione informatica o altra forma di protezione della connessione aerea (wireless), non sarà possibile risalire all’autore della condotta illecita, con conseguenti responsabilità civili e penali.
Per coloro che forniscono accesso ad Internet tramite Wi-Fi ai sensi dell’art. 8-bis del CAD, quindi, si ritiene in ogni caso opportuno dotarsi di sistemi di identificazione (e autenticazione) dell’utente, o consentire l’accesso attraverso dispositivi personali il cui rilascio prevede l’identificazione. Tali sistemi dovranno essere progettati rispettando i requisiti previsti dal GDPR, tra i quali la raccolta e la conservazione solo di dati strettamente necessari e per il tempo necessario e il rilascio delle informative.

SECFULL TARGET

SecFull Target ha completato l’installazione per primaria azienda nazionale operante nel campo dei servizi di accesso in fibra ad 1 GB.

Tramite la piattaforma SECFULL TARGET è possibile:

1) Work Flow Management: gestire le varie richieste previste dalla normativa;

2) Lawful Interception: effettuare le intercettazioni su base identificativo tecnico;

3) Data Retention: ricevere, memorizzare e catalogare milioni di records al giorno relativi alle fasi di autenticazione sulle reti fisse. Tramite questa funzionalità è possibile identificare gli utenti che si collegano, anche se la loro navigazione è stata NATtata, e fornire i tabulati di traffico storico.

E’ stata richiesta un’altissima automazione delle fasi di gestione delle richieste, per ridurre l’effort del personale dedicato.

Alcuni riferimenti normativi

Il comma 8 dell’art. 57 del Codice delle Comunicazioni Elettroniche, prevede che “8. Ai fini dell’erogazione delle prestazioni di cui al comma 6 gli operatori hanno l’obbligo di negoziare tra loro le modalità di interconnessione, allo scopo di garantire la fornitura e l’interoperabilità delle prestazioni stesse. Il Ministero può intervenire se necessario di propria iniziativa ovvero, in mancanza di accordo tra gli operatori, su richiesta di uno di essi.”

Il nuovo modello di erogazione delle prestazioni obbligatorie

Gli esperti di SECFULL hanno proposto alla società Cliente un modello mai utilizzato prima in Italia ma più efficente, per cui il soggetto che eroga nella pratica le prestazioni obbligatorie non è quello a cui spetta l’obbligo in quanto operatore di telecomunicazioni, ma è quello che gestisce la rete e che offre di fatto il servizio in via indiretta all’utente finale. In applicazione del suddetto comma 8, entrambi i soggetti devono possedere autorizzazione generale concessa dal MIMIT. Il modello è stato ampliamente accettato dalle Autorità e consente loro di avere un solo interlocutore anziché N diversi con altrettanti riferimenti da contattare.