Google vuole farci recuperare l'account con un video selfie: sicurezza, biometria e rischi

Perdere l’accesso al proprio account Google può trasformarsi in un problema molto serio. Gmail, Google Drive, Foto, documenti di lavoro, password sincronizzate e numerosi servizi di terze parti possono dipendere dalla stessa identità digitale. Per ridurre il rischio di rimanere esclusi, Google ha introdotto un nuovo metodo di recupero: l’utente registra preventivamente un breve video selfie e, qualora non riesca più ad accedere con i sistemi abituali, ne realizza un altro per dimostrare di essere la stessa persona.

Il meccanismo non consiste semplicemente nel controllare che davanti alla fotocamera compaia un volto. Google chiede di eseguire alcuni movimenti guidati della testa, acquisisce il viso da più angolazioni e confronta la nuova registrazione con quella associata all’account. L’obiettivo è combinare riconoscimento facciale, verifica della presenza di una persona reale e tradizionali controlli antifrode.

L’idea è quella di offrire un’ancora di salvezza quando l’utente perdesse lo smartphone, non disponesse delle passkey o non riuscisse a ricevere i codici di verifica. In un altro articolo abbiamo infatti spiegato che configurare più metodi di accesso evita di perdere l’account Google.

Come funziona tecnicamente il video selfie

Google non ha pubblicato una descrizione completa dell’architettura utilizzata. Non sappiamo, per esempio, se l’intera elaborazione avvenga sui server, se una parte sia eseguita sul dispositivo o se il filmato originale venga affiancato da uno o più modelli biometrici derivati.

Il funzionamento generale di sistemi simili può comunque essere ricostruito con una certa precisione.

Durante la configurazione iniziale, la fotocamera registra una sequenza di immagini. Il software individua il volto, ne stima la posizione e identifica punti caratteristici come occhi, naso, bocca, profilo e geometria complessiva. Le immagini sono normalizzate per compensare, entro certi limiti, illuminazione, inclinazione della testa, distanza dalla fotocamera ed espressione.

Una rete neurale può quindi trasformare il volto in una rappresentazione numerica, spesso chiamata embedding o template biometrico. Non è necessariamente una fotografia ricostruibile in modo diretto: si tratta normalmente di un vettore contenente caratteristiche utili a distinguere una persona dalle altre.

Quando l’utente tenta il recupero dell’account, il sistema ripete l’operazione sul nuovo video e misura quanto le due rappresentazioni siano simili. Se il punteggio supera una determinata soglia e gli altri controlli non rilevano anomalie, Google può considerare plausibile che si tratti della stessa persona.

Perché Google chiede di muovere la testa

Il confronto facciale, da solo, non basta. Un criminale potrebbe mostrare alla fotocamera una fotografia, riprodurre un video su un altro schermo, indossare una maschera oppure tentare di iniettare direttamente nel flusso della fotocamera un filmato manipolato.

Per contrastare questi attacchi si utilizzano tecniche di Presentation Attack Detection, abbreviate in PAD. La cosiddetta liveness detection rappresenta una parte di questi controlli e cerca di stabilire se il campione biometrico provenga da una persona presente davanti al sensore.

I movimenti richiesti da Google costituiscono un sistema di active liveness: l’utente deve rispondere a una richiesta formulata durante la sessione, per esempio girando il volto o modificandone l’inclinazione. Il server può controllare che il movimento atteso avvenga nel momento corretto e che le diverse prospettive risultino geometricamente coerenti.

Il software può inoltre esaminare numerosi segnali:

• continuità tridimensionale del volto durante la rotazione;
• riflessi della luce sulla pelle e negli occhi;
• variazioni della messa a fuoco;
• deformazioni tipiche di un’immagine ripresa da uno schermo;
• frequenza e naturalezza dei movimenti;
• artefatti di compressione o generazione;
• incoerenze tra volto, capelli, orecchie e sfondo;
• caratteristiche del flusso video e della fotocamera.

Google afferma esplicitamente di usare più livelli di sicurezza contro fotografie false, video preregistrati e deepfake, insieme ai normali sistemi che valutano la rischiosità di un tentativo di accesso.

Ciò significa che il video selfie non è il solo elemento posto sotto esame: un accesso proveniente da un dispositivo mai visto, da un Paese insolito o da una rete associata ad attività fraudolente potrebbe ricevere un trattamento diverso rispetto a una richiesta proveniente da un dispositivo già collegato in passato all’account.

Google raccoglie dati biometrici?

La risposta è sì: se il volto è sottoposto a un’elaborazione tecnica allo scopo di confermare in modo univoco l’identità dell’utente, siamo di fronte a un trattamento biometrico.

Il GDPR definisce dati biometrici quelli ottenuti tramite uno specifico trattamento tecnico relativo alle caratteristiche fisiche, fisiologiche o comportamentali di una persona, quando tali informazioni ne consentono o confermano l’identificazione univoca. La definizione cita espressamente le immagini facciali tra gli esempi possibili.

Non tutte le fotografie sono automaticamente dati biometrici in senso giuridico. Una normale immagine diventa rilevante sotto questo profilo quando è elaborata per estrarre caratteristiche utilizzate nell’identificazione o nella verifica dell’identità. Nel caso descritto da Google, il confronto tra il nuovo video e quello precedentemente registrato costituisce precisamente lo scopo della funzione.

La domanda corretta, quindi, non è se Google raccolga dati biometrici, ma quali dati raccolga, in quale forma, per quanto tempo e con quali possibilità di utilizzo.

Google dichiara che il filmato è registrato con il consenso dell’utente, conservato in forma cifrata e utilizzato esclusivamente per facilitare l’accesso, salvo che l’utente scelga volontariamente di condividerlo per altri scopi. L’azienda aggiunge che la registrazione può essere eliminata in qualsiasi momento dalle impostazioni dell’account.

Cifrato sul server non significa inaccessibile a Google

L’espressione “encrypted at rest“, usata da Google, indica che i dati risultano cifrati quando risiedono nei sistemi di archiviazione. Ciò non equivale però all’uso della crittografia end-to-end.

Per confrontare un nuovo video con quello registrato, il sistema deve poter elaborare i dati o una loro rappresentazione biometrica. Google deve quindi disporre, direttamente o tramite un’infrastruttura protetta, della capacità di decifrare il contenuto o di accedere al modello necessario per il confronto.

La documentazione pubblica non afferma che le chiavi restino esclusivamente sul dispositivo dell’utente, né che il template biometrico sia conservato soltanto all’interno di un componente hardware sicuro dello smartphone. La funzione serve proprio quando il dispositivo abituale non è disponibile; è quindi ragionevole dedurre che almeno le informazioni necessarie alla verifica debbano risultare raggiungibili dall’infrastruttura di Google.

L’annuncio pubblicato dall’azienda di Mountain View, inoltre, parla esplicitamente di conservazione del video, ma non spiega se Google salvi anche un template facciale separato.

Le informazioni che Google dovrebbe pubblicare

La presentazione della funzione di recupero dell’account Google mediante video selfie descrive correttamente il funzionamento dal punto di vista dell’utente, ma non consente una valutazione tecnica completa. Sarebbero utili un white paper e una documentazione specifica per la privacy che chiariscano:

• architettura lato dispositivo e lato server;
• natura esatta dei dati conservati;
• separazione tra filmato originale e template biometrico;
• durata della conservazione;
• gestione delle copie di backup dopo la cancellazione;
• tassi di falsa accettazione e falso rifiuto;
• risultati dei test contro fotografie, schermi, maschere e deepfake;
• protezioni contro l’iniezione di video virtuali;
• prestazioni per età, genere e tonalità della pelle;
• eventuali certificazioni e verifiche indipendenti;
• condizioni precise dell’uso facoltativo per finalità ulteriori.

In assenza di tali dati, possiamo dire che l’impostazione tecnica è plausibile e potenzialmente robusta, ma non quantificare quanto lo sia.

La distinzione rispetto, ad esempio, alle passkey resta comunque netta. Una passkey FIDO usa la crittografia asimmetrica: la chiave privata rimane sul dispositivo o nel gestore scelto, mentre il servizio conserva la chiave pubblica. Il server invia una sfida, il dispositivo la firma e il dominio entra nel calcolo, rendendo la procedura resistente al phishing. Il riconoscimento facciale remoto, invece, confronta una caratteristica personale con un riferimento archiviato: può risultare utile per il recupero, ma non possiede la stessa proprietà crittografica di una passkey.