Cassandra Crossing / Biometria o PIN?

Fonte: Punto Informatico del 19/09/17

di M. Calamari – L’iPhone X introduce il riconoscimento facciale e riapre il dibattito sull’uso dei sistemi biometrici nei dispositivi consumer. Servono davvero o questa estenuante corsa all’ultima funzione ci metterà tutti a rischio?

Immagine da: mrrobot.it

Una delle novità tecnologiche dell’ultimo smartphone di “firma” (il cui prezzo parte da 900 euro) è l’uso del rilevamento biometrico 3D del volto per sbloccarlo, o più precisamente come credenziale di identificazione del proprietario. Sorridere al telefonino eviterà di battere il noioso PIN un sacco di volte al giorno, ma soprattutto farà rosicare tutti quelli attorno.
L’annuncio sdogana definitivamente una tecnologia già da molto tempo sugli scaffali dei negozi, ma finora accolta tiepidamente dal mercato, senza grandi clamori o reazioni degli addetti ai lavori.
Al di là della fascinazione, dell’eleganza e della moda, occorre chiedersi seriamente: “Cosa significa per gli utenti normali utilizzare il riconoscimento facciale per sbloccare il telefonino?”. Anzi, più in generale: “Cosa significa usare una qualsiasi credenziale di tipo biometrico, come l’impronta digitale, il volto o l’iride, in una data situazione?”.

Prima di rispondere, partiamo dalle origini.

Avete davvero bisogno di bloccare il telefonino con una qualsiasi credenziale (dal classico PIN in su)?

Ovviamente la risposta dipende dal tipo di informazioni che avete archiviato sul telefonino; se lo usate per eseguire pagamenti, per collegarvi alla banca o custodire informazioni personali e sensibili (pessima idea!) certamente sì. In questo caso però la domanda seguente sarebbe “Cosa fate per proteggere tali informazioni dal telefonino stesso e dalla pletora di app di dubbia provenienza che ci girano sopra?”.

La soluzione che Cassandra, dopo la sua personale adozione di un telefono “furbo” (“smart” per i millennials) dovuta alla necessità di un minimo di interazione con la “Internet degli Idioti“, è stata quella di minimizzare la quantità di informazioni personali presenti sul telefono e di azzerare quelle riservate o sensibili. Così facendo, a parere di Cassandra, anche la necessità stessa di bloccare il telefono praticamente si azzera, e una semplice gesture di sblocco per evitare che il dispositivo “faccia cose” mentre lo mettete o lo togliete dalla tasca può essere assolutamente sufficiente.

Si potrebbe aprire un dibattito infinito sul concetto di “minimizzare le informazioni personali” e sull’efficacia reale di una sua applicazione, ma richiederebbe un articolo dedicato; quindi, per adesso passiamo oltre.

Cosa significa invece l’adozione della biometria (qualsiasi biometria) non per l’identificazione delle persone, cosa che si fa da più di un secolo, ma come credenziali di identificazione?

Non è la stessa cosa? No! Se lo pensate vuol dire che non vi siete mai posti il problema. Smettete un attimo di leggere e fatelo. Gli altri proseguano pure.
No, perché le necessità e l’ambito di utilizzo sono completamente diversi, come pure gli scopi, anche se le tecnologie, dal tampone inchiostrato alla telecamera 3D a infrarossi, sono le stesse.

Quando la biometria viene usata per identificare fisicamente una persona (posto che questo sia fatto da chi ha motivi democratici per farlo) ci si trova in un ambito “statico”. La biometria è esattamente ciò che serve; infatti non è previsto (né desiderato) che si debba cambiare identità fisica.
Ma una credenziale di identificazione ad un computer (cosa del tutto diversa) deve invece soddisfare due requisiti fon-da-men-tal-men-te diversi: deve essere utilizzabile solo dall’interessato e deve poter essere cambiata se compromessa.
La biometria non soddisfa nessuno di questi due requisiti, e quindi semplicemente non può essere impiegata come credenziale. Punto!

Per chiarezza, facciamo qualche esempio.

Possono usare le vostre impronte digitali al posto vostro?

Certamente sì, perché le lasciate in giro continuamente. Da un paio di decenni sono disponibili (e utilizzati) semplici metodi per farlo; dal truce (ma efficace) tagliare il dito e portarselo via, alla più gentile creazione di un simulacro dell’agognata estremità raccogliendo l’impronta da un bicchiere e usando gelatina alimentare.

È possibile cambiare le credenziali biometriche se “compromesse”?

Questa è semplice; no!

Potreste trovarvi nella situazione di essere costretti (anche con la forza) a fornire le credenziali per sbloccare il vostro telefonino?

Sì, ed è immensamente più facile farvelo fare che con un normale PIN di 4 cifre. Vi minacciano e vi fanno passare il dito sul lettore, o meglio ancora vi prendono il telefonino e vi inquadrano la faccia.

Ma vogliamo scherzare!? Se avete bisogno di credenziali usate PIN o password, funzionano molto meglio, stanno nella vostra testa e solo lì, e avete sempre il rischio o l’opportunità di dimenticarvele.

.

.

 

Annunci

Cassandra Crossing / Non dimenticate la Data Retention

Fonte:  Punto Informatico del 30/08/17

di M. Calamari – Prima delle vacanze è passata alla Camera una proposta di legge liberticida; l’atto finale avverrà al Senato fra qualche settimana, ma occorre chiarezza e assunzione di responsabilità  

Chi non ha avuto la memoria cancellata dalle vacanze, ricorderà certamente lo scherzetto che i Deputati della Camera, a maggioranza bulgara, hanno ritenuto di fare agli italiani.
In estrema sintesi, un emendamento di portata devastante è stato inserito in una proposta di legge che tratta di sicurezza degli ascensori.

L’emendamento è stato discusso e approvato durante l’ultima seduta della Camera prima delle ferie, ben nascosto tra ascensori, tartufi ed energie rinnovabili, ed è stato regolarmente approvato anche a causa della distrazione di alcuni Deputati, che avrebbero invece dovuto, per i loro trascorsi, levare ben alta la voce.
L’emendamento prevede due modifiche devastanti per la privacy, ma gustosissime per gli amanti del tecnocontrollo sociale.
Il primo è la triplicazione da 2 a 6 anni della conservazione dei dati telefonici. Nessun paese civile ha periodi superiori a due anni, come richiesto anche dall’UE.
Il secondo, molto più grave perché più insidioso, è l’equiparazione dei dati Internet a quelli telefonici, cosa che farebbe automaticamente scattare una serie di adempimenti legislativi già in essere da tempo, tra l’altro molto onerosi anche per i provider.
In un solo colpo verrebbe attuata una data retention pesantissima nei confronti del Popolo della Rete, cioè della maggioranza degli innocenti cittadini italiani.
L’approvazione del decreto legge nella sua stesura attuale anche al Senato, che riprenderà i suoi lavori il 12 Settembre, farebbe scattare automaticamente l’estensione della data retention; dovrebbe poi essere seguito da un’ulteriore modifica dell’art. 132 della Legge 196/2003 (Testo Unico sulla Privacy), che definisce la data retention attualmente permessa in Italia.

Secondo Cassandra è vitale che questo secondo round avvenga con la massima chiarezza, trasparenza e pubblicità, in modo tale che chi vi parteciperà si prenda le sue responsabilità nei confronti dei cittadini e degli elettori. In questo modo coloro che, con il loro silenzio o con la loro esplicita approvazione, permetteranno questo abominio, almeno non potranno poi negare le loro responsabilità.
Sono, tra l’altro, le stesse persone che hanno permesso che l’infrastruttura tecnica della Rete italiana venisse stravolta e asservita alla censura come solo in Paesi “diversamente democratici” è fino ad oggi accaduto.

Cittadino avvisato…

Marco Calamari
Lo Slog (Static Blog) di Marco Calamari
L’archivio di Cassandra/ Scuola formazione e pensiero

Lazzaro

Immagine tratta da Wikipedia

C’era una volta un vecchio computer portatile. Parecchi problemi ne avevano afflitto l’esistenza, la ventola era rumorosa, la batteria non si ricaricava, WindowsXP e gli applicativi ogni tanto davano problemi, e talvolta il computer “moriva” di botto, lasciando l’utente basito davanti allo schermo nero. Per tutti questi motivi alla fine venne esiliato, e si ritrovò tra i materiali obsoleti prossimi alla rottamazione.
Per sua fortuna un giorno venne notato da un cacciatore di relitti, un avventuriero che non temeva le sfide perse in partenza, anche perché, mettendo egli le mani su dei residuati senza più padrone e senza più speranze, non aveva niente da perdere.
Per prima cosa bisognò capire come smontare il computer, operazione resa inutilmente difficoltosa da una miriade di piccolissime viti, subdolamente poste negli angoli più improbabili e nascosti.
Aperto finalmente il plastico bivalve, venne smontata la ventola originale, la quale oltre a generare un rumore pari a quello di un motorino smarmittato, nemmeno faceva bene il suo lavoro, causando un riscaldamento eccessivo del vorace Pentium4.
Primo giro su internet e prima pescata su ebay di una ventola usata, non originale ma compatibile. Comprata, pagata, aspettata, arrivata, montata, provata… funziona!
Siccome l’appetito vien mangiando, e siccome il paziente era già a cuore aperto, si pensò bene di recuperare, sempre nella stessa maniera, una memoria RAM aggiuntiva, così, tanto per dare un po’ di Gerovital alla macchina.
Richiuso il bivalve, miracolosamente senza danneggiare quei capelli che qualche spiritoso chiama fili, e senza sbagliare neanche una vite (differenze di mezzo millimetro), durante il test saltò fuori che il tasto P non funzionava bene.  azienza, forse è  ossibile fare a meno di un tasto, magari si  uò evitare di scrivere le  arole che contengono la  ,  enso che non saranno  oi così tante. No, così non va.
Altro giretto in rete, altra pescata, e finalmente ecco arrivare una vecchia tastiera recuperata da un rottame cannibalizzato.
Ovviamente per montare la tastiera fu necessario riaprire il riottoso bivalve, e durate le delicate manipolazioni cosa ti vado a scoprire? Toh, guarda un po’ quel filo vicino allo snodo del monitor, sembra staccato. Non avevo idea di cosa comportasse quella interruzione, apparentemente nulla, però si trattava sempre di un filo staccato, mi dava fastidio, eticamente ed esteticamente Voi magari vi immaginate un filo come quelli che avete a casa per accendere la luce, per far funzionare il frullatore, per collegare un telefono. E invece no. Si trattava di esile peluzzo, posto vicinissimo a suoi pari, che solamente a guardarli già si danneggiano. Va bene, o la va o la spacca, abbiamo fatto trenta, facciamo trentunmila.
Presi il mio saldatore, posai una singola goccia di stagno, la più piccola che si può, chiusi gli occhi e puntai nella zona dove supponevo fosse stata interrotta la connessione. Non c’era nemmeno lo spazio per tenere il filo con una pinzetta, era come inchiodare verticalmente un ago utilizzando una mazzetta da 2.5kg, e senza poter mantenerlo in posizione.
Incredibilmente la goccia di stagno prese solamente quel filo senza toccare quelli adiacenti, roba da circo equestre, e durante il test tutto non funzionò come prima. Ho scritto “non” perché era proprio quel contatto aleatorio vicino alla tastiera a spegnere il computer ogni tanto, erano le occasionali deformazioni dovute a una digitazione più energica del solito alla base dei misteriosi KO. Ma evidentemente quel filo era diabolico, in quanto anche i problemi di ricarica dell’accumulatore dipendevano da quell’infido contatto ballerino.
Poteva bastare? Ovviamente no.
Tutti quei crash improvvisi avevano pure danneggiato alcuni settori del disco fisso, anche qualcuno di quelli dove normalmente sta il sistema operativo, ed ecco la causa dei variegati e incomprensibili problemi di funzionamento del software.
Eradicato WindowsXP, venne allora installato Lubuntu, un sistema operativo molto più leggero da sopportare per un computer “non giovanissimo” (pietoso eufemismo).
Il risultato di questa avventura a lieto fine sta proprio qui, in questo post scritto e pubblicato mediante un “vecchio” computer riportato a una vita dignitosa (e con una risoluzione di 1400×1050 punti, roba che tanti portatili di adesso se la sognano).
Che ci volete fare, sono come George Romero, appena vedo un oggetto dichiarato “morto” mi affanno per riportarlo allo stato di “non-morto”, uno zombie magari non perfetto, ma che sarà comunque in grado di dare segni di vita, quella che gli è stata negata dall’implacabile sistema consumistico “usa e getta”. Del resto già lo sapete, se un giorno qualcuno dovesse spararmi, sarà sicuramente un esponente della categoria che la mia attività resuscitante disturba e minaccia di rovina, quella dei commercianti.

Ahoj

Pubblicato su Informatica. Tag: . 2 Comments »

Lampi di Cassandra / SPID o non SPID?

Fonte: Punto Informatico del 7/11/16

di M. Calamari – “Essere o non essere digitali” è il grande quesito al quale noi italiani dobbiamo rispondere. Il rischio di furti di identità c’è ma fino a quando SPID non sarà realmente sicuro è meglio attendere

081210.wired.spy-cloud.large

Oggi l’amletico dubbio contenuto nel titolo, particolarmente evidente per i lettori che già conoscono le precedenti esternazioni di Cassandra in tema (questa e quest’altra), sarà sciolto razionalmente senza ricorrere alla divinazione, non dubitate.

Riassunto delle puntate precedenti: a parere di Cassandra solo la SPID di livello 2 con token OLTP o la SPID di livello 3 con token crittografico possono essere considerate affidabili.
Visto che a tutt’oggi nessuno ancora le fornisce, non bisogna (almeno per ora) usare o richiedere la SPID perché troppo insicura dal punto di vista informatico: rappresenta un rischio elevato (una grande superfice di attacco) alla propria “identità digitale” intesa in senso esteso.

Sul Fatto Quotidiano online è stato pubblicato di recente un video molto ben realizzato, che spiega come utilizzare mezzi illegali ma semplici, anzi banali, per ottenere l’identità digitale di un altra persona. È bene ripeterlo: per ottenere l’identità digitale di un’altra persona. Il video in questione, oltre che agghiacciante, è pure divertente, e Cassandra ne consiglia fortemente la visione prima di proseguire.

Riassunto del video: Il giornalista si è procurato i dati personali pubblici di una persona, ha rozzamente e velocemente falsificato due documenti di identità, e li ha usati per ottenere la SPID, ingannando l’operatore del fornitore di SPID che li esamina e li autentica utilizzando la webcam del portatile.

Bene, sorvoliamo sul fatto che durante la realizzazione del video, così ad occhio (Cassandra fa la profetessa e talvolta l’ingegnere, non l’avvocato), sono stati compiuti almeno tre reati tutt’altro che lievi. Tralasciando come detto queste “pinzillacchere”, citando il grande Totò, analizziamo direttamente la “procedura” seguita.
Quello che è stato violato non è il meccanismo informatico della SPID in quanto tale, ma uno degli svariati metodi per ottenerla da un fornitore certificato (attualmente ce ne sono 4), metodi che sono in parte lasciati all’arbitrio del singolo fornitore di SPID.

Il nocciolo del problema è che se falsificare documenti di identità che debbano essere “utilizzati” nella maniera tradizionale è operazione molto difficile, falsificarli per usarli davanti a una webcam è ridicolmente facile. Non è un caso che per facilitare la diffusione della SPID, tra le varie modalità di rilascio siano previste non solo la tradizionale visita di un apposito ufficio o l’utilizzo di una firma digitale (equivalente all’ancora inesistente SPID livello 3), ma anche modalità online molto semplici e “amichevoli” (ma certo non sicure) come la webcam. E non è nemmeno un caso che di solito le operazioni tradizionali e scomode siano gratuite mentre quelle online, semplici e comode, siano a pagamento. Non dimentichiamo che i fornitori di SPID sono aziende, e che come qualsiasi azienda devono, dopo essersi certificate e operando in base a regole tecniche precise, generare profitto.

Ma basta ripetere concetti già noti, che rischiano di diventare noiosi. Se avete preso in considerazione la possibilità di aggiungere la SPID alle altre identità digitali di cui siete probabilmente già in possesso (Tessera Sanitaria, Carta di Identità Elettronica, Carta Nazionale dei Servizi, Firma Digitale) e non lo avete fatto perché negativamente influenzati da Cassandra, adesso dovreste porvi un quesito e trovare la relativa risposta: “Io la SPID non la vorrei avere, ma visto che è possibile che altri la ottengano fraudolentemente al mio posto, forse è meglio che la chieda prima io e poi magari non la utilizzi, tanto è anche gratis.”
Domanda sensatissima, tanto più che avendo la SPID potreste chiedere in ogni momento l’elenco degli accessi effettuati e accorgervi se qualcuno la sta usando al vostro posto.
Come aiuto per trovare una risposta, e anche per rendersi conto di quanto siano complesse le problematiche da affrontare, Cassandra consiglia la lettura della pagina FAQ nel sito dell’Agenzia per l’Italia Digitale. Basta consultarla e magari scartabellare anche un po’ tra gli altri regolamenti della SPID, per darsi la risposta. La risposta è “NO”.

La SPID appartiene infatti a quella classe di identità digitali che possono essere multiple; insomma voi (e in maniera truffaldina altri) potete ottenerne più di una.
Non potete ottenere due carte di identità digitali, come non potete chiedere due tessere sanitarie, ma dovete denunciare la perdita, furto o distruzione della prima e farvene rilasciare una seconda.
È invece possibile, ragionevole e in certi casi necessario avere più di una firma digitale, come succede da sempre anche per la firma autografa, ad esempio l’amministratore di un’azienda che firma in un modo per gli atti aziendali e in modo diverso per quelli personali.
E poiché il fatto di aver richiesto la SPID non impedisce che altri ne chiedano una seconda, utilizzando metodi fantasiosi come quello illustrato sopra, potete continuare tranquillamente (mica tanto) a farne a meno.

Potete quindi continuare pazientemente ad attendere una SPID di livello 2 con token OLTP o di livello 3, sicure e rilasciate con metodi altrettanto affidabili, almeno fino a quando avere la SPID non diverrà obbligatorio.
Obbligatorio?!? Cassandra non vuole azzardare oggi altre profezie di sventura, ma solo far notare che, almeno a sentire i media, lo è già adesso in casi particolari, ad esempio per ottenere il “Bonus 18 anni” di 500 euro, che può essere richiesto solo ottenendo prima la SPID.

L’amletico dubbio se “Essere o non essere digitali” insomma, ha in questo caso una facile risposta.

Marco Calamari
Lo Slog (Static Blog) di Marco Calamari
L’archivio di Cassandra/ Scuola formazione e pensiero

Lampi di Cassandra / SPID2, l’opinione del NIST

Fonte: Punto Informatico del 28/07/16

di M. Calamari – Negli USA l’autenticazione a due fattori a mezzo SMS viene bocciata e sparirà presto dalla circolazione. E non è solo questione di malware

081210.wired.spy-cloud.large

SPID2 è già stato oggetto di esternazioni di Cassandra: la nostra amica sosteneva che l’attuale offerta di SPID, limitata alla SPID2 con SMS, era insicura e controproducente ai fini della sicurezza, particolarmente per la possibilità di infezioni dello smartphone da parte di malware avanzati.

Agenda Digitale, quotidiano telematico di informazione, pubblicava un articolo nel quale, in buona sostanza, si sosteneva che se un device è infetto, e un attacco Man-in-the-browser o Man-in-the-middle è in corso, non c’è doppio fattore che tenga.

Anche se è senz’altro vero che non avere malware sul proprio smartphone sia cosa buona e giusta, nel contesto SPID si tratta di un’affermazione semplicistica, fuorviante e tecnicamente sbagliata, perché non tratta il nocciolo del problema.

In queste ore, il NIST (National Institute of Standards and Technology), ente statunitense che cura le standardizzazioni tecnologiche e che non è proprio l’ultimo arrivato nel settore, ha pubblicato il final draft del documento “Digital Authentication Guideline – Authentication and Lifecycle Management”. La parte B del documento (Cassandra si scusa della pedanteria) pianta gli ultimi chiodi sulla bara della autenticazione a due fattori con SMS (2FA-SMS). Un sintetico riassunto della questione si trova su Slashdot.

Ma citiamo direttamente la raccomandazione contenuta in questa imminente normativa. Il NIST raccomanda che le applicazioni utilizzino token fisici e crittografici. Il documento prevede, quasi a “malincuore”, che essi possano attualmente assumere anche la forma di app per cellulari, quindi di dispositivi che possono essere rubati o “temporaneamente presi in prestito”.

NIST sottolinea poi il fatto che la 2FA-SMS ha un altro punto debole che ha eroso la sua affidabilità, quello dei servizi VoIP: “Se la verifica fuori banda deve essere effettuata tramite un messaggio SMS su una rete pubblica di telefonia mobile, il gestore del processo deve assolutamente controllare che il numero di telefono pre-registrato in uso sia veramente associato con una rete mobile e non con un VoIP (o altro sistema telefonico basato su software)”. Aggiunge inoltre che “la modifica del numero di telefono pre-registrato non deve essere possibile senza una vera autenticazione a due fattori, da utilizzare al momento del cambio numero. Il cambio del numero tramite SMS è deprecato, e non sarà più consentito nelle versioni future di questa guida.”

In buona sostanza, oltre ai problemi legati ai malware avanzati che possono infettare uno smartphone (e certamente lo faranno) rendendo l’autenticazione a due fattori via SMS insicura, NIST individua altri due vettori di attacco: le reti VoIP e le problematiche legate al cambio del numero telefonico su cui ricevere l’SMS, che impediscono di usare la 2FA-SMS come metodo di autenticazione sicuro.

Ricordiamo la definizione di base della 2FA: “Qualcosa che sai, più qualcosa che hai”.
Gli smartphone e le reti GSM non sono sotto il controllo dell’utente ma di terzi, legittimamente o illegittimamente, quindi non rappresentano un “qualcosa che hai”. E questa è un’ulteriore conferma che la SPID2, realizzata con SMS e non con token hardware, non dovrebbe proprio esistere.

Ma in Italia ci vorrebbe una catastrofe affinché la convenienza della 2FA-SMS, scelta per facilitare il “decollo” del PIN di Renzi della SPID, venisse messa in discussione.

Marco Calamari
Lo Slog (Static Blog) di Marco Calamari
L’archivio di Cassandra/ Scuola formazione e pensiero

Lampi di Cassandra/ Lo SPID è nato morto?

Fonte: Punto Informatico del 21/03/16

di M. Calamari – I sistemi di autenticazione a due fattori gestiti tramite SMS soffrono di problemi strutturali, suggerisce una ricerca dell’Università di Amsterdam. SPID-2 si basa proprio su questo meccanismo

081210.wired.spy-cloud.large

Probabilmente persino alcuni dei 24 informatissimi lettori non conoscono SPID, acronimo di “Sistema Pubblico di Identità Digitale”, che si autodefinisce “La soluzione per accedere a tutti i servizi online della pubblica amministrazione e dei privati con un’unica Identità Digitale”. Perciò, prima di passare a fosche profezie, Cassandra è obbligata a fornire qualche informazione, peraltro facilissimamente reperibile in Rete. Dunque, SPID, noto anche a chi ha memoria lunga come “Il PIN di Renzi”, è un sistema pubblico di creazione e distribuzione di identità digitali, controllato dallo Stato Italiano e realizzato da fornitori privati da esso certificati ed iscritti un un apposito Albo.
Viene infatti gestito esattamente come è stato fatto per la Posta Elettronica Certificata con la quale, per fortuna, si sono creati sia un utile strumento per il cittadino che un onesto business per alcune aziende di servizi informatici.

I problemi che attualmente affliggono lo SPID sono di due tipi: commerciali e tecnici.
Quello commerciale, dovuto al solito bando confezionato ad arte (“solo aziende con almeno 5 milioni di euro di fatturato”) pare sia stato risolto di recente.

I problemi tecnici sono appena cominciati, ma preoccupano già molto: vediamo un attimo perché.
Chi ha bisogno di una identità digitale la compra da un fornitore a scelta: attualmente ce ne sono tre.
I fornitori, dotati di adeguata struttura amministrativa e tecnica certificata, effettuano il riconoscimento della persona, ne verificano l’identità e rilasciano le credenziali richieste. Con queste credenziali l’utente si potrà (prossimamente) autenticare a tutti i siti e servizi delle pubbliche amministrazioni, ed a tutti i siti e servizi commerciali che la vorranno adottare.
E per i primi due anni le credenziali sono anche gratuite.
“Tutti” e “Gratis”. Bello eh?
Si, ma anche no, e vediamo perché.

Esistono tre tipi di credenziali: SPID-1, SPID-2 e SPID-3.

SPID-1 è un nome utente fisso con una password modificabile dall’utente: buono per autenticarsi su un social o una mail list, ma certo non buono per una dichiarazione dei redditi, un pagamento, un voto o la presentazione di un bilancio. Secondo Cassandra non avrebbe nemmeno dovuto esistere perché implementa una cultura dell’insicurezza.

SPID-3: autenticazione con token digitale. Per ora nessuno la fornisce, quindi è difficile darne un giudizio, se non che è la triplicazione di altri due servizi che potrebbero essere usati con la stessa efficacia, cioè dispositivo di firma digitale e carta nazionale dei servizi (di solito coincide con la tessera sanitaria). Essendo non una duplicazione ma una triplicazione anche SPID-3 non dovrebbe esistere.

SPID-2 è una autenticazione a due fattori, nome utente e password, congiuntamente alle generazione di un codice temporaneo che viene inviato via SMS o con app mobile dedicata. Già diffuso ed usato soprattutto dalle banche, è realizzabile anche in una diversa, più sicura e più costosa versione, in cui il codice temporaneo viene generato ogni minuto da un piccolo token con display LCD che si tiene in casa o nel portachiavi.
SPID-2 non prevede tuttavia l’uso di un token fisico, ma solo della versione SMS. E qui vengono i dolori.

È infatti stata pubblicata un’interessantissima ricerca dell’Università di Amsterdam dal titolo “How Anywhere Computing Just Killed Your Phone-Based Two-Factor Authentication”, cioè “Come l’integrazione di smartphone e pc ha appena ucciso l’autenticazione a due fattori via SMS”. Si parla appunto delle ben note sincronizzazioni nei vari cloud e tra i vari sistemi operativi dei nostri gadget tecnologici, tanto comode ma anche tanto rischiose, e non solo per la privacy.

Le 17 lucide pagine descrivono dettagliatamente l’implementazione di attacchi mirati per violare i sistemi con codice temporaneo via SMS, sia in ambiente Android che iOS, con una prosa precisa ed implacabile, concludendo che mantenere ragionevolmente sicura l’autenticazione a due fattori via SMS sarà una sfida difficile e costosa.
Per chi non troverà il tempo di leggere il paper (e farà male) è importante sottolineare che il problema segnalato non riguarda il semplice exploit di un paio di bachi, che poi saranno corretti in modo da risolvere il problema stesso. Il problema delineato è più sistemico e più profondo, quindi anche più grave e difficilmente correggibile, visto che contrasta con l’usabilità di prodotti. È il problema di permettere a più device di sincronizzarsi automaticamente ed in vario modo tra di loro e col cloud. Meccanismi di questo tipo, che si moltiplicano continuamente perché sempre più necessari, sono violabili anche senza veri e propri bachi software, perché dovendo far parlare device diversi tra loro senza disturbare troppo l’utente (e quindi avere prodotti più “belli”) saranno sempre intrinsecamente deboli perché, per spinte commerciali, devono essere prima di tutto flessibili e facili da usare.

Così la sicurezza, da sempre Cenerentola dell’elettronica di consumo, sarà considerata ancora meno, quando invece il paper, nelle sue conclusioni, sottolinea che i problemi intrinseci di sicurezza diverranno sempre più gravi fino al limite dell’ingestibilità.

Leggetevelo, anche perché all’Agenzia per l’Italia Digitale non hanno probabilmente avuto il tempo per farlo.

Se SPID-2 fosse invece un’autenticazione a due fattori con token hardware, anche se suscettibile di attacchi tipo Man-in-the-Browser (MitB), sarebbe comunque di gran lunga più difficile da violare e soprattutto da violare su larga scala.

E quindi?
Quindi anche se SPID-2 non è nato proprio morto, è purtroppo un neonato a gravissimo rischio.
Cassandra la ritiene una soluzione decisamente sconsigliabile, come le sue due sorelle.

Nulla rimane da dire quindi sullo SPID come iniziativa digitale italiana.

Il problema più vasto di avere una identità digitale univoca merita invece qualche altra considerazione.
La violazione delle vostre (ipotetiche) credenziali SPID implica pericoli molto più gravi del semplice svuotamento del vostro conto corrente.
Le credenziali sono “voi”, dovunque. Devono essere sicure ed utilizzate con attenzione.
Essendo uniche potrebbero essere usate per impersonarvi e realizzare azioni su innumerevoli siti e servizi di cui voi nemmeno conoscete l’esistenza.

Ecco perché, secondo Cassandra, per SPID vale quanto detto a suo tempo per la CEC-PAC ed altre storie dell’orrore digitale italiane.
Neanche gratis.

Marco Calamari
Lo Slog (Static Blog) di Marco Calamari
L’archivio di Cassandra/ Scuola formazione e pensiero

Pubblicato su Informatica. 6 Comments »

Cassandra Crossing / L’informatica secondo Marchionne

Da: Punto Informatico del 31/07/15

Scalectrix

di M. Calamari – Nel 2004, l’auto dotata di porta USB era la frontiera tecnologica per FIAT, che meditava di impiegarla come supporto all’intrattenimento. Ora serve per distribuire patch

I profeti sono costretti ad avere la memoria lunga, e se i neuroni superstiti di Cassandra funzionano bene si ricordano che non tanti anni or sono le capitò di ascoltare una dichiarazione del fresco AD dell’allora esistente Fiat Auto. L’annuncio, fatto in un telegiornale nazionale, comunicava che la Nuova Punto, entro un anno, avrebbe avuto a bordo il connettore USB (presumibilmente per uso musicale).
Il bookmark mentale rimasto da allora tra i neuroni di Cassandra era dovuto al fatto che la competenza informatica dell’AD e/o del suo staff gli faceva annunciare come radioso futuro dell’industria automobilistica italiana una semplice feature già presente nella concorrenza orientale.
Ma dal 2004 anni ed anni sono passati, ed ora è interessante reinterpretare l’annuncio, ridefinendolo totalmente come il primo modello informaticamente insicuro di Punto.

L’USB nell’auto, qualsiasi auto, è stato l’inizio della fine, il cavallo di Troia (io lo conosco bene), il punto debole dell’industria dell’auto di oggi. Connettere un’auto a qualcos’altro per via informatica senza una accurata pianificazione e del software di qualità è un rischio enorme, Connetterlo direttamente alla Rete, pura follia (Tesla Motors, are you online?)

Dopo 13 anni infatti ci ritroviamo con auto prodotte dallo stesso gruppo (Fiat si è dissolta nel frattempo, ma questa è un’altra storia), diretto dallo stesso AD (per carità, non certo responsabilità sua, semmai di alcune prime e seconde sue linee di comando) con decine di milioni di linee di software installato, e tutti i componenti principali dotati di “intelligenza” propria e/o manovrati da attuatori controllati via software.
O magari qualcuno dei 24 imperturbabili lettori è ancora convinto che nella auto moderne l’acceleratore sia attaccato al carburatore, e che il pedale del freno sia attaccato ai freni?

In questa situazione, mentre il mondo dell’Information Tecnology è continuamente squassato da terremoti dovuti ai continui exploit di difetti del software, non solo l’AD di cui si parla ma l’intera industria dell’auto è convinta di poter liberamente e giocosamente connettere alla Rete veicoli controllati da software sviluppato con vecchio paradigma SCADA dell’Air Gapped, senza doversi minimamente preoccupare? Caspiteronzola!

Ma in effetti hanno ragione, non sono loro a doversi preoccupare: sono i possessori delle loro autovetture.

I fortunati acquirenti delle nuove Jeep possono essere grati a Charlie Miller e Chris Valasek che, con la passione di veri hacker, hanno scovato punti deboli del software di alcuni modelli Jeep Chrysler, e poi hanno reso pubblico l’exploit, convincendo genialmente un giornalista di Wired a fare da cavia.
A quest’ultimo, tanto di cappello per la fiducia ed il coraggio dimostrato, visto che ha accettato di perdere il controllo del suo autoveicolo mentre guidava su una superstrada.

Ovviamente Chrysler ha dapprima risposto in modo vago e strisciante, informando sul suo sito alcuni acquirenti della necessità di applicare per ragioni non specificate una patch al software del proprio autoveicolo, ma si è poi dovuta rassegnare ad annunciare uno dei più grandi recall della storia dell’automobile, 1,4 milioni di auto.

Per fortuna degli azionisti Chrysler-Fiat il richiamo sarà probabilmente abbastanza economico rispetto ad altri del passato, perché fatto “virtualmente”, spedendo a casa una chiavetta USB da infilare, ovviamente, nel connettore USB del cruscotto.
Tutto questo con la massima fiducia che sia quello mandato dal fabbricante, e non da qualcun altro.

Meditate gente, meditate.

Marco Calamari
Lo Slog (Static Blog) di Marco Calamari
L’archivio di Cassandra/ Scuola formazione e pensiero