Crittografia motivazione

Benvenuti nella pagina Wiki di Simone Giustetti.

Lingue: English - Italiano

Le Ragioni per Adottare la Crittografia

Introdurre una nuova tecnologia in una organizzazione richiede di fare un bilancio preventivo dei vantaggi e degli oneri derivanti. Nel seguito dell'articolo si cercherà di fornire motivazioni razionali per l'adozione della crittografia nelle organizzazioni, nelle imprese, nei laboratori artigianali o negli studi professionali.

Un Po' di Storia

La crittografia e la cifratura dei file sono un argomento di attualità, ma non sono certamente una novità in ambito informatico. Programmi per cifrare e decifrare i file e la posta elettronica sono stati introdotti nei primi anni novanta dello scorso secolo. La tecnologia è maturata nel corso degli anni raggiungendo livelli di sicurezza e stabilità di tutto rispetto. Con la massiccia diffusione di Internet e dei telefoni cellulari la necessità di proteggere le informazioni è andata via, via aumentando; purtroppo la diffusione di pratiche di sicurezza informatica tra cui la crittografia non ha goduto della medesima fortuna. Anche nel presente l'impiego della crittografia è spesso limitato a gruppi e categorie di utenti ben specifici e circoscritti.

Tra i motivi per spiegare la limitata diffusione dei software per la cifratura dei dati è possibile citare:

La richiesta di risorse computazionali. Algoritmi e procedure complesse per offuscare i dati richiedono CPU all'altezza del compito. Purtroppo i processori di inizio secolo disponevano di una capacità di calcolo insufficiente o appena sufficiente per usare chiavi troppo corte, che non proteggono a sufficienza i dati.
La difficoltà aggiunta che accompagna l'introduzione della crittografia. La necessità di gestire un numero maggiore di password e di politiche di controllo sia da parte dell'utenza che degli amministratori, l'impiego di prodotti difficili da usare o procedure troppo farraginose ha spesso comportato una pessima ricezione da parte dell'utenza; diffidente di qualsiasi pratica che complichi inutilmente la vita.
La poca evidenza dei vantaggi che comporta la sicurezza informatica. Per un insieme di ragioni i rischi cui le piccole organizzazioni si esponevano in rete erano pochi. Pertanto tutto ciò che riguardava la sicurezza informatica e la protezione dei dati veniva considerato un costo superfluo.

Il Presente

Nel corso degli ultimi 10, 15 anni è cambiato radicalmente l'approccio alle reti di calcolatori. La disponibilià di banda è aumentata notevolmente. Sono aumentati i dispositivi in grado di collegarsi alla rete e conseguentemente è cresciuta l'offerta di servizi. La tecnologia è andata via, via semplificandosi fino a radicarsi nell'ambito del quotidiano.

Nell'ambito privato è aumentato in maniera esponenziale il numero di dispositivi elettronici in cui si salvano informazioni sensibili: nomi, indirizzi, foto, la rubrica, i contatti, le coordinate bancarie e molto altro. Data la loro natura dispositivi come i cellulari o i tablet oltre ad essere vulnerabili ad attacchi informatici sono difficili da proteggere. Possono essere acceduti più facilmente rispetto ad un computer ed è più frequente che vadano smarriti o siano rubati.

Nell'ambito delle aziende, dei laboratori o degli studi professionali è purtroppo aumentato in maniera esponenziale il numero di attacchi informatici e le dimensioni ridotte non rappresentano più una difesa. Ogni mese vengono portati decine di migliaia di attacchi di forza bruta aventi origine da centinaia di IP nel mondo. Attacchi che mirano ad entrare nei server per rubare le informazioni commerciali, listini di prodotti, elenchi di clienti oppure la documentazione relativa ai processi produttivi ed i progetti dei prodotti.

La crittografia sta diventando ormai obbligatoria per:

Difendere la propria proprietà intellettuale ed il proprio lavoro.
Limitare l'intercettazione di dati sensibili riducendo di conseguenza il rischio di furti di identità oppure il costante bombardamento di offerte commerciali indesiderate.

L'evoluzione dei processori e la diffusione delle architetture multi-core ha intrinsecamente risolto i problemi relativi alla potenza degli elaboratori, che ora sono in grado di utilizzare chiavi di lunghezza maggiore uguale di 2048 bit. Contemporaneamente è migliorata la semplicità d'uso dei programmi crittografici. Se 15 anni fa la riga di comando era imprescindibile, la maggioranza delle operazioni oggi possono essere amministrate tramite interfacce grafiche intuitive e ben documentate. I programmi sono inoltre stati portati su molte architetture e funzionano su tutti i sistemi operativi moderni e molte piattaforme mobile presentando maschere comuni ed interfacce uniformi.

Gli Strumenti Istituzionali Non Bastano

Molti dei protocolli utilizzati dai dispositivi di comunicazione utilizzano forme "semplici" di crittografia e verrebbe da chiedersi se non sia inutile installare programmi specifici. Sembrerebbe una duplicazione ridondante, ma così non è perchè le forme di crittografia istituzionali sono insufficienti. Vediamo di seguito le ragioni della mia affermazione analizzando lo stato dei protocolli GSM e Wi-Fi.

Il protocollo GSM usato dai cellulari ricorre alla crittografia solo nel tratto tra cellulare e cella, ma il traffico all'interno della infrastruttura della compagnia telefonica rimane in chiaro. È dimostrato che la cifratura può essere aggirata in quanto interviene solo a conversazione iniziata: un baco mai risolto del protocollo. È dimostrato anche che gli algoritmi impiegati A5/1 (in Europa) e A5/2 (Altrove) siano affetti da errori. Il loro sostituto: A5/3 presenta i medesimi problemi dei predecessori e la sua futura evoluzione: A5/4 è in sviluppo da anni, ma non ancora pronta. Le chiavi impiegate, lunghe 64 bit, sono giudicate insufficienti da molti esperti di sicurezza. In breve il modello di sicurezza adottato è vulnerabile a molte forme di attacco e anche se il consorzio GSM esclude la possibilità che le conversazioni siano intercettate in tempo reale, il livello di sicurezza e tutt'altro che ottimo.

Le molte versioni del protocollo Wi-Fi utilizzato dai dispositivi wireless soffrono di problemi di sicurezza accertati. Il protocollo WEP, il primo standard per la sicurezza delle comunicazioni wireless, è bacato e giudicato non sicuro, ma è il solo supportato dalla totalità degli apparati in commercio e l'unico utilizzabile in alcune modalità ad esempio "Ad Hoc" per la comunicazione client ↔ client. Utilizza chiavi lunghe solo 64 (40) o 128 (104) bit. La successiva specifica WPA presenta migliorie rispetto a WEP, ma è bacata anch'essa. Non è inoltre utilizzabile su molti access point per via del numero maggiore di calcoli che richiede. La lunghezza aumentata delle chiavi: 152 (104) o 256 (208) bit rimane comunque corta. Lo standard WPA 2 risolve i bachi del predecessore, ma molti access point e molte schede non lo supportano per via del carico computazionale aggiunto. L'utilizzo di una passphrase di lunghezza minore di 20 caratteri rende il protocollo soggetto ad attacchi di forza bruta.

In conclusione gli strumenti istituzionali esistono, ma non garantiscono un elevato standard di sicurezza. In alcuni casi sembrano svolgere una funziona formale piuttosto che effettiva.

Conclusioni

Come anticipato è necessario fare un bilancio dei vantaggi e degli svantaggi prima di introdurre una nuova tecnologia in un'organizzazione. Nel caso della crittografia è bene prendere in considerazione i seguenti fattori:

La robustezza dell'algoritmo crittografico e conseguente potenza computazionale richiesta.
La semplicità d'uso.

E bilanciarli con il livello di sensibilità delle informazioni trattate e la loro importanza per l'organizzazione. Più sopra ho argomentato come gli svantaggi di tipo tecnico siano sostanzialmente inesistenti pertanto permangono solo quelli organizzativi. Anche l'aspetto economico non dovrebbe costituire un freno in quanto esistono programmi open source e gratuiti per la maggioranza delle piattaforme in commercio. In conclusione si consiglia l'utilizzo della crittografia per i dati aziendali.

Per commenti, consigli, domande inviate una e-mail all'indirizzo studiosg [chiocciola] giustetti [punto] net.

Link esterni

Lingue: English - Italiano