Sulle pagine di Zeus News ben due articoli sono stati dedicati da Cassandra al tema della indispensabile pubblicazione dei sorgenti di Immuni. Disclaimer: Cassandra è una, e anche non più giovanissima; se la veloce analisi fatta contenesse errori fattuali, sarà lieta di fare le debite ammende.

L'altro ieri su Github sono stati pubblicati i sorgenti di Immuni, relativi ad ambedue le versioni Android e iOS. Si tratta di cinque repository separati, che includono documentazione e file di servizio. Il tutto viene pubblicato sotto licenza Affero Gpl3. Questo per quanto attiene ai fatti.

Innanzitutto deve essere chiaro che questa pubblicazione non è una promessa mantenuta, ma un atto dovuto per legge, trattandosi di un software sviluppato per una pubblica amministrazione, oltre che un adempimento tecnicamente necessario sia come buona pratica informatica che per massimizzare le difficili possibilità di successo dell'app stessa.

Deve essere altrettanto chiaro che non si tratta di un punto di arrivo, ma del punto di partenza di un lungo cammino, che deve essere percorso nella sua interezza, pena l'inutilità di quanto iniziato con la pubblicazione dei sorgenti.

Articoli suggeriti:

Il Bluetooth, l'app Immuni e il GDPR

IT Wallet, debutto con qualche difficoltà

Archiviamo Cassandra

IO e i traccianti

Ora alcuni dovuti e necessari commenti. La licenza sotto cui vengono rilasciati i sorgenti, Affero Gpl3, differisce dalla Gpl3 in quanto, detto in soldoni, è pensata per applicazioni di rete, e non obbliga alla pubblicazione dei sorgenti delle librerie utilizzate.

In questo contesto la sua adozione può essere ragionevole, ma è indispensabile che nella documentazione vengano elencate le librerie utilizzate e non incluse, le loro versioni e i loro titolari, ma soprattutto la documentazione tecnica delle Api (Application Programming Interface) utilizzate e l'utilizzo dettagliato che ne viene fatto nel programma.

Spunti di approfondimento:

L'app Immuni va in pensione

GitLab vuol cancellare i progetti dormienti

Al via il call center di Immuni

Bug in Immuni vanifica l'efficacia dell'app

Senza queste indicazioni quanto fornito diventa, dal punto di vista della fiducia, quasi inutile perché, pensando "andreottianamente", basterebbe segregare un eventuale codice che si voglia nascondere in una libreria affidata a un altro titolare per poter inserire nell'app qualsiasi funzionalità "diabolica". In più si tratta di documentazione utile agli sviluppatori stessi, sia che debbano manutenere e sviluppare il codice, sia che debbano verificarlo.

Un altro punto essenziale è permettere, o almeno agevolare, la riproducibilità binaria dell'applicazione; qui una nota davvero dolente perché le informazioni e gli script che lo permetterebbero non sembrano inclusi in quanto a oggi rilasciato.

Anche il modulo di documentazione è molto scarno e non contiene tracciati record: è molto preliminare, certamente non adeguato a un'app che, per quanto comunicato, sta per essere rilasciata. Last but not least, manca tutto il codice della parte server, come codice sorgente che (almeno) come descrizione funzionale e di scambio di dati dell'applicazione client/server complessiva.

Sullo stesso tema:

No, non serve il 60% per rendere utili le app anti-coronavirus

Hai installato Immuni?

Immuni, rilasciati i sorgenti

Immuni, vogliamo la trasparenza

Ora, come già detto, siamo all'inizio di un percorso; da oggi dovremo vedere, quasi con frequenza quotidiana, commit a getto continuo, specifiche che diventano complete, rilasci di ulteriori file e moduli e così via. Se questo non accadrà, e anche Cassandra spera sinceramente che accada, tutto il circolo virtuoso di verifica indipendente, segnalazione di bug e aumento della sicurezza e della fiducia complessiva, ora appena iniziato, si fermerà inesorabilmente, e quanto fatto ieri si ridurrà a un'operazione poco più che di facciata.

Una speranza in più a Cassandra viene, quasi paradossalmente, dal documento del Copasir, il Comitato parlamentare per la sicurezza della Repubblica, presieduto da Raffaele Volpi, che appare, pur nella sua sinteticità, ben orientato sia da un punto di vista tecnico che di problematiche segnalate; sembra davvero un buon lavoro.

Se il Governo intende davvero muoversi su linee di trasparenza e di buona pratica informatica, certamente vedremo presto avverarsi molti degli auspici di Cassandra.