Voto elettronico e Tempest

La notizia dovrebbe fare più scalpore di quanto non ne abbia fatto (praticamente nullo) almeno nell’ambito della sicurezza IT: l’Olanda ha deciso di rinunciare al voto elettronico perché “ha poco valore aggiunto” rispetto ai rischi che pone. Questo di per sé potrebbe non impressionare, vista la quantità di marce indietro che si stanno vedendo, compreso in alcuni stati degli USA (ripiegando generalmente sullo scrutinio elettronico). Ma il vero motivo per cui chi si occupa di sicurezza dovrebbe trovare notevole la notizia è che credo sia l’unico caso (pubblicizzato) in cui l’effetto Tempest impedisce di proseguire con un’attività in ambito civile. L’effetto Tempest consiste nella possibilità di ricostruire a distanza l’attività di un sistema grazie alle sue emanazioni elettromagnetiche (ad esempio, ricostruire in diretta l’immagine presente sul monitor). Tempo fa era stato rilevato un problema di questo tipo sui sistemi di voto elettronico olandesi, insieme ad altri problemi. L’analisi è descritta al cap. 6 di questo documento. Tutte le volte che ho sentito parlare di Tempest, quello che sentivo è che le apparecchiature necessarie non erano poi tanto complicate da realizzare, e questo documento non fa eccezione. Quello che è eccezionale è che non solo c’è un report dettagliato su un caso riproducibile, ma che (anche?) in conseguenza di questo l’Olanda ha rinunciato al voto elettronico.

Posted in Sicurezza | Tagged , | Comments Off on Voto elettronico e Tempest

Nascondere i dati alla frontiera, ancora

Due notizie si ricollegano alla questione dell’esame dei portatili alla frontiera. La prima, non potevo non metterla, riguarda l’ex dirottatore afgano assunto a Heatrow come addetto alle pulizie…

La seconda è più interessante, riguarda un top manager di un’azienda del Regno Unito, la BAE Systems plc, azienda le cui pratiche sarebbero piuttosto discusse e certamente non piacciono agli USA. A quanto pare gli USA avrebbero richiesto più volte informazioni al Regno Unito sulle indagini effettuate sull’azienda da un’agenzia locale, e non le avrebbero ottenute. In occasione di un viaggio negli USA del chief executive dell’azienda, alla frontiera i suoi documenti e il suo “materiale elettronico” (portatile e cellulare, suppongo) sarebbero stati “esaminati” (le virgolette sono dell’articolo).

Dalle due notizie si può vedere che forse l’esame dei portatili non sarebbe una priorità parlando di sicurezza 😉 ma in compenso, e questo è molto più importante, si vede anche che una volta che un’attività è stata permessa con la motivazione dell’antiterrorismo, poi è facile che venga usata anche per altro.

… sto parlando troppo di aeroporti e terrorismo, fa un po’ Bruce Schneier 😉

Posted in Sicurezza | Tagged , , | Comments Off on Nascondere i dati alla frontiera, ancora

Furto di identità: la soluzione è nascondere i dati?

Prendo spunto da questo articolo di Repubblica che parla di quali categorie sarebbero più a rischio di furto d’identità. Mi sento chiamato in causa sia perché rientro nella categoria (anche se però sono attento ai miei dati personali) e perché un “mezzo furto” di identità l’ho già avuto. Viaggio, compro su Internet, partecipo a social networks, ho molti dati personali pubblicati su questo stesso blog. Non chiedo finanziamenti e distruggo i documenti (per ovvi motivi, un tritadocumenti è stato uno dei primi acquisti per il mio ufficio, e altrimenti li brucio nel camino in perfetto stile Sherlock Holmes 😉 ), ma certo i miei dati personali in giro per la rete sono molti. Cosa posso fare? Il problema è che il profilo descritto nell’articolo (età, professione, sesso…) è sostanzialmente lo stesso del tecnofilo “avanzato”, quello che prova prima degli altri le nuove tecnologie. Questo vuole dire che i problemi di questa categoria non sono altro che un anticipazione di quelli che avranno poi anche tutte le altre… che magari saranno poi anche meno preparate ad affrontarli. Allora, visto che abbiamo dei segnali, sarebbe meglio coglierli per trovare delle soluzioni diverse dal semplice consiglio di “stare attenti ai propri dati”, anche perché questi sono solo in parte sotto il nostro controllo (vedi nell’articolo l’esempio degli albi), e perché spesso l’unico sistema sarebbe semplicemente non utilizzare i servizi. Vorrei sottolineare il passaggio conclusivo dell’articolo:

“…soprattutto una serie di implicazioni di tipo economico-legale, che possono destabilizzare e stravolgere la vita della vittima”. A cominciare da segnalazioni come debitore insolvente, per poi ritrovarsi a pagare beni costosi mai acquistati.

Qui non stiamo parlando di frodi su Internet, ma di impersonazioni nel mondo reale, quindi niente “password rubate” o cose del genere.

Il vero problema è che nel mondo reale siano abituati a dei meccanismi di autenticazione molto “laschi”, che hanno funzionato, più o meno, finché tante informazioni non sono state così facilmente accessibili. Chi deve fare un passo avanti è il mondo reale. Faccio un esempio forse banale e provocatorio, ma secondo me significativo. Si parla ad esempio di “insolvenza”, ovvero presumibilmente di mutui o rateizzazioni. Com’è possibile che una finanziaria conceda a qualcun altro un prestito a mio nome, senza che io mi possa tutelare? In realtà il sistema ci sarebbe: da anni si portano avanti sperimentazioni con una carta di identità elettronica difficile da falsificare (sperabilmente difficile, dato quanto costa). La suddetta carta dovrebbe comprendere, fra i dati firmati, una fotografia del titolare, firmata in modo da non poter essere sostituita. In effetti, l’impossibilità (o estrema difficoltà) nell’essere falsificati dovrebbe essere una caratteristica fondamentale dei documenti d’identità, ma non solo: dovrebbe essere una caratteristica essenziale anche la possibilità per chiunque di verificarne l’autenticità. E il secondo è il punto critico. L’attuale sperimentazione sulla carta di identità elettronica non sembra prevedere che questa verifica venga realmente effettuata: quello che servirebbe sarebbe che prima di concedere un mutuo o un finanziamento, le finanziarie o le banche verificassero la componente non modificabile della carta di identità. Non mi risulta che questo venga fatto, ci si limita a “guardare” la tessera come se fosse un documento vecchio tipo. Naturalmente il passaggio successivo sarebbe la necessità di una prova della verifica, ma questo è un passo successivo (non bisogna dimenticare che la finanziaria non è sempre interessata a fare la verifica; in effetti la verifica dovrebbe essere un presupposto per poter poi accampare un qualsiasi diritto, primo fra tutti quello di dichiarare insolvente un ignaro cittadino). Ma prima di tutto servirebbe che finisse la credo più che decennale diatriba fra carta di identità, carta dei servizi e quant’altro, per arrivare a delle soluzioni utili e utilizzate prima che il problema del furto d’identità diventi un’emergenza.

Posted in Sicurezza | Tagged , , , , | Comments Off on Furto di identità: la soluzione è nascondere i dati?