Già dal nome la piattaforma Rousseau si basa sull’ambiguità visto che, con una certa pomposità viene definito come “il sistema operativo del m5s” mentre chiunque abbia una pur minima infarinatura di informatica sa benissimo che per sistema operativo (SO) si intende un software di sistema che gestisce le risorse hardware e software della macchina, fornendo servizi di base agli applicativi installati, ossia tutt’altra cosa. Nella realtà dei fatti, Rousseau è invece ben altro, ossia un semplice applicativo web, poco più di un CMS (Content Management System), un sistema di gestione dei contenuti, come Joomla o Wordpress per intenderci, anzi molto meno evoluto e con qualche minima funzionalità aggiuntiva tipica dei social media.

Più specificatamente, Rousseau è basato non su un codice scritto appositamente (come Grillo, Di Maio e qualcun altro dei loro vorrebbe fare intendere) ma molto più modestamente sul CMS Movable Type (MT) e per di più su una versione (la 4.3) talmente datata che non viene più mantenuta e aggiornata dal dicembre 2013 e che, tra l’altro, consentiva agli utenti di registrarsi usando password con meno di 8 caratteri addirittura memorizzate in chiaro (e non in forma criptata) nel database, un regalo di nozze per qualunque ragazzino che voglia giocare a fare l’hacker.

Volendo essere più precisi, Movable Type è un sistema di pubblicazione di blog che fino al 2013 è stato distribuito come software Open Source con licenza GNU/GPL e che adesso viene venduto dalla società Six Apart (che aveva iniziato a svilupparlo dalla fine del 2001) con licenza commerciale al costo di circa 500 dollari l’anno, non certo una cifra altissima e comunque assolutamente sproporzionata rispetto ai contributi obbligatori per la “gestione della piattaforma” richiesti ai parlamentari 5 stelle che ammontano a circa un milione e duecentomila euro l’anno. Movable Type è, tra l’altro, un applicativo web realizzato col linguaggio di programmazione PHP che però utilizza anche script (porzioni di codice) scritti in Perl ed eseguiti come CGI (Common Gateway Interface), ossia utilizzando una tecnologia considerato ormai piuttosto antiquata e poco efficiente quantomeno dal punto di vista della manutenzione del codice.

Tutto ciò rende la piattaforma Rousseau un sistema web alquanto vulnerabile ed insicuro, decisamente poco adatto a conservare dati sensibili quali le informazioni personali degli utenti registrati e i loro voti ed infatti, già nell’estate 2017 il sito venne violato dagli hacker ed a dicembre dello stesso anno l’Autority della Privacy segnalò alla società proprietaria del sito, ossia alla Casaleggio associati, che le misure adottate negli ultimi sei mesi per migliorare la sicurezza di Rousseau non erano soddisfacenti e richiese urgenti adeguamenti. Per avere una idea, fino al giugno scorso il sito non utilizzava nemmeno il protocollo criptato https che ormai è una caratteristica comune persino per semplici siti personali.

Ma la falla più grave è ancora lì, e riguarda il punto più delicato della piattaforma Rousseau: i database con le informazioni sensibili degli iscritti. Infatti, durante le procedure di ispezione, i tecnici del Garante della Privacy si accorsero che non c'erano sufficienti misure di "auditing" per verificare la correttezza delle operazioni di chi era dotato "di profili di autorizzazione ampi e speciali". Fuori dal gergo tecnico, significa che non esisteva, e non esiste tuttora, un sistema per tracciare chi accede al database, né per risalire alle operazioni compiute con i dati. Come dire che, almeno potenzialmente, chiunque può effettuare delle modifiche ai dati contenuti nel database senza lasciare alcuna traccia in maniera analoga a quanto successo lo scorso dicembre sull’altro portale del Movimento, il Blog delle Stelle, venne pubblicato un articolo anonimo in cui, con termini duri ed estremistici, si accusava l’opposizione di fare “terrorismo mediatico e psicologico” che venne poi rimosso senza che fosse possibile risalire ad un preciso autore responsabile.

Al momento, l’unica accortezza prevista da Rousseau per garantire che l’accesso alla piattaforma avvenga dal reale utente iscritto è un sistema alquanto farraginoso che si appoggia a un gateway sms tramite il quale ad ogni richiesta di accesso viene inviato un messaggio sms con un codice numerico di 5 cifre al numero telefonico corrispondente all’utente registrato e che deve essere inserito correttamente per accedere al sistema. Questo metodo, oltre ad essere inutilmente laborioso, ha il difetto di associare il numero di telefono e quindi l’utente ad ogni voto espresso. Non è infatti un caso che, ancora una volta, l’Autority della privacy abbia sollevato il problema evidenziando come, dall’estratto delle tabelle principali del database di Rousseau, l'espressione del voto da parte degli iscritti, in occasione della scelta di candidati da includere nelle liste elettorali del Movimento o per orientare altre scelte di rilevanza politica, venga registrata in forma elettronica mantenendo uno stretto legame, per ciascun voto espresso, con i dati identificativi riferiti ai votanti in quanto “nello schema del database risulta infatti che ciascun voto espresso sia effettivamente associato a un numero telefonico corrispondente al rispettivo iscritto votante".

Ce n’è abbastanza per avere, quantomeno la sensazione, che – alla faccia dello slogan “uno vale uno” – il voto espresso sulla piattaforma Rousseau offra scarsissime garanzie di trasparenza e immodificabilità ed in definitiva sia ben poco democratico. Del resto – giova ricordarlo – per il filosofo ginevrino da cui la piattaforma trae il nome, “il popolo è composto da sudditi e per questo motivo non è possibile conseguire una totale eguaglianza in politica, cioè una vera democrazia non è mai esistita né esisterà mai”.

Giorgio Nordo
Ricercatore di Geometria Digitale Università di Messina