Come si misura davvero la privacy su Internet? Scopri le nuove tecniche euristiche

Navigare online è come entrare in una stanza piena di occhi: capire quanto siamo davvero al sicuro è più difficile di quanto sembra. Un gruppo di ricercatori ha analizzato 160 studi su come valutare la privacy su Internet, creando una sorta di “mappa” delle tecniche esistenti. Questa mappa, chiamata tassonomia, raggruppa i metodi in base a cosa misurano (ad esempio, quantità di dati condivisi) e a come lo fanno (automaticamente o manualmente). La maggior parte delle ricerche usa misurazioni di informazioni: contano quanti dati personali vengono esposti e valutano il rischio di divulgazione. Tuttavia, quasi tutti gli studi si concentrano sull’uso tradizionale del web tramite browser, lasciando scoperti altri mondi digitali come le app mobili o gli assistenti vocali. Un’altra scoperta importante è che, sebbene molte tecniche siano automatiche, spesso non considerano le nuove tecnologie che integrano la privacy fin dalla progettazione, né i moduli di telemetria che raccolgono dati in background. Gli autori suggeriscono di sviluppare strumenti “privacy‑by‑default”, cioè che proteggono l’utente senza che lui debba fare nulla, e di ampliare la ricerca a tutti i tipi di servizi online. In pratica, la loro revisione non solo riassume lo stato dell’arte, ma indica dove mancano studi e quali dire{zioni} potrebbero rendere Internet più sicuro per tutti noi.

In futuro, capire la privacy non sarà più un compito da esperti: le nuove tecnologie dovranno includere meccanismi di valutazione integrati, così da avvisare l’utente in tempo reale su eventuali rischi. Questo significa che, tra qualche anno, potremmo avere app che controllano da sole quanto dei nostri dati vengono condivisi, aiutandoci a navigare con più tranquillità.

La revisione proposta si basa su una classificazione a più livelli. Il primo asse distingue tra metriche di esposizione (quantitative) e metriche di rischio (qualitative). Le metriche quantitative includono il conteggio di attributi identificabili (PII), la densità di fingerprinting e la frequenza di richieste di terze parti. Le metriche qualitative valutano la conformità a standard come GDPR o CCPA, analizzando politiche di consenso e trasparenza. Il secondo asse riguarda il livello di automazione: tecniche statiche (analisi di codice sorgente o di richieste HTTP) versus dinamiche (monitoraggio in tempo reale di traffico e comportamento dell'utente). Le tecniche statiche, come l'analisi di header e cookie, sono meno invasive ma possono sottostimare la raccolta di dati tramite script obfuscati. Le tecniche dinamiche, ad esempio l'uso di sandbox o browser instrumentati, forniscono una visione più completa ma richiedono risorse computazionali elevate. Un terzo asse, introdotto dagli autori, riguarda il contesto applicativo: web tradizionale, applicazioni mobili, IoT e ambienti di realtà aumentata/virtuale. La maggior parte degli studi analizzati (≈78%) si concentra sul web tradizionale, lasciando un vuoto significativo nelle valutazioni per IoT, dove i dispositivi spesso operano con firmware proprietario e protocolli non standardizzati. Inoltre, la revisione evidenzia una carenza di metriche integrate per la telemetria, un aspetto critico poiché i moduli di telemetria possono inviare dati sensibili senza il consenso esplicito dell'utente. Per colmare queste lacune, gli autori propongono un framework modulare basato su API aperte, che consenta di combinare metriche quantitative, qualitative e contestuali in un unico punteggio di privacy. Tale framework dovrebbe supportare l’estensione a nuovi domini (es. smart city) e includere meccanismi di apprendimento automatico per adattare i pesi delle metriche in base al profilo di rischio dell'utente. Infine, la revisione suggerisce che la standardizzazione di un set di benchmark, simile a quelli esistenti per la sicurezza informatica (es. CVE), potrebbe facilitare la comparabilità tra studi e accelerare l’adozione di pratiche di privacy‑by‑default.