L'UE ha un grosso problema: la sua identità digitale dipende da 2 aziende americane

I governi europei stanno distribuendo i wallet di identità digitale (EUDI Wallet) che i cittadini useranno per accedere ai servizi pubblici e verificare l'età online. Lo ha ricordato il centro di ricerca olandese Waag Futurelab, sottolineando però un problema strutturale: queste applicazioni dipendono dai servizi di sicurezza di Google e Apple per funzionare.

Il meccanismo si chiama "attestazione remota" e serve a verificare che il wallet giri su un dispositivo non manomesso. Google lo implementa con la Play Integrity API, Apple con la Managed Device Attestation. Sono strumenti gratuiti che gli sviluppatori usano normalmente per ridurre frodi e abusi nelle app bancarie o di gioco.

Il problema, secondo Waag, è che la API di Google verifica anche se il sistema operativo è una versione licenziata da Google, trattando come rischio di sicurezza le alternative non ufficiali, e incoraggia di fatto l'installazione tramite Play Store e l'accesso con un account Google. Una configurazione che, secondo il centro di ricerca, viola apertamente il Digital Markets Act europeo. Chi usa sistemi "de-Googlizzati" come e/OS o GrapheneOS può quindi restare escluso dai servizi del wallet, anche se il proprio dispositivo è perfettamente sicuro.

L'identità digitale europea passa per gli USA: ma un'alternativa aperta esiste già

Esiste un'opzione meno invasiva: la Hardware Attestation API di Android, che effettua controlli di sicurezza basati sull'hardware senza imporre le policy dell'ecosistema Google. La Svizzera l'ha scelta proprio per motivi di protezione dati e sovranità tecnologica, abbandonando Play Integrity nel proprio wallet nazionale.

Non tutti i paesi europei seguono lo stesso approccio. Olanda e Italia hanno integrato Play Integrity nei rispettivi wallet senza condizioni, interpretando come obbligatoria una raccomandazione che il framework tecnico dell'UE (l'Architecture Reference Framework) presenta invece come opzionale. Ne risulta una linea europea incoerente, con stati che evitano l'attestazione di Google e altri che la rendono indispensabile.

Per Waag, questa scelta tecnica entra in tensione con due obiettivi dichiarati da Bruxelles: contrastare il potere delle grandi piattaforme e garantire l'interoperabilità del wallet europeo, requisito esplicito del regolamento eIDAS. Se l'accesso a documenti governativi e login pubblici richiede software Google o Apple, l'autonomia di scegliere un sistema operativo alternativo diventa illusoria.

La questione non è solo teorica. Nell'ambito del progetto Mobifree, finanziato dall'UE, Waag ha intervistato 120 utenti di sistemi mobili de-Googlizzati nel corso di due anni. La compatibilità con app critiche come i pagamenti e l'identificazione governativa è risultata un requisito chiave per chi valuta il passaggio a un ecosistema più aperto.

Cittadini e sviluppatori stanno già esplicitando il problema sui repository nazionali di sviluppo dei wallet, in Germania e Svizzera. Waag chiede ai governi di rivedere l'Architecture Reference Framework escludendo del tutto l'attestazione di Google e Apple, a favore di meccanismi aperti basati sull'hardware, sul modello già adottato da Berna.