La sfida dei Big: crittografare i dati per recuperare la fiducia degli utenti

SI CORRE ai ripari. Si accelerano i piani per proteggere i nostri dati digitali. Si cerca di ricucire gli strappi. "Essere meno vulnerabili" è il mantra dei grandi colossi high tech dopo la scoperta di Muscular, l'invasivo programma della Nsa in grado di collegarsi all'infrastruttura in cavi che trasporta le telecomunicazioni sia di Big G sia di Yahoo!. Un'occupazione di campo diretta e, almeno in questo caso, sembra non autorizzata. Che bypassa qualsiasi controllo legale da parte delle compagnie e le colpisce proprio nel punto in cui sono più vulnerabili: la comunicazione tra data center, dove i messaggi sono trasmessi in chiaro, privi di crittografia, e quindi facilmente intercettabili. Da qui la reazione dei giganti informatici che nelle ultime ore si sono affrettati ad annunciare una serie di misure di difesa. "La soluzione per proteggerci dal controllo del governo è crittografare tutto", ha tuonato Eric Schmidt, il presidente del consiglio di amministrazione di Google, durante una lezione alla "Johns Hopkins University School". "Cripteremo le informazioni degli utenti che transitano sui data center", ha annunciato l'ad di Yahoo!, Marissa Mayer. Un tentativo in extremis di riconquistare la fiducia degli utenti che coinvolge non solo Google - con un'accelerata al suo piano per criptare informazioni approvato un anno fa - e il servizio fondato da David Filo e Jerry Yang. Ma diverse compagnie. A rivelarlo è un report appena rilasciato dall'Electronic Frontier Foundation. "Che cosa state facendo per proteggere i dati dei vostri utenti?": è la domanda che l'organizzazione no profit per la difesa dei diritti digitali ha girato a diciotto compagnie. Priorità sicurezza. "Siamo lieti di vedere - scrivono nel resoconto - che quattro società (Dropbox, Google, SpiderOak e Sonic.net) stanno lavorando per migliorare tutte le pratiche di crittografia che abbiamo consigliato. Inoltre, apprezziamo che Yahoo abbia appena annunciato l'adozione di una serie di migliorie, così come Twitter, Facebook e Tumblr". Secondo l'EFF, sono cinque gli accorgimenti necessari. Dalla crittografia delle comunicazione tra data center, all'impostazione predefinita dell'https, in modo che nel momento in cui un utente si connette ai loro siti usa un canale che codifica le comunicazioni. Spiega Nate Cardozo, membro di EFF, a Repubblica.it: "La crittografia è un passo necessario. Il primo di un lungo cammino per proteggere i nostri dati dalle mani degli avversari. Dopo le ultime rivelazioni, secondo cui la Nsa ha sfruttato le reti interne di Google e Yahoo!, le aziende hanno preso più seriamente la questione della sicurezza. E la scoperta ha spinto le società ad accelerare i loro piani per crittografare i nostri dati quando sono in transito tra i data center. È particolarmente preoccupante che la Agenzia di sicurezza americana abbia bypassato qualsiasi controllo da parte delle aziende per prelevare informazioni che non poteva ottenere con mezzi legali".Codici e codice. "Avere la crittografia nei posti giusti permette, in linea generale, di evitare casi come quello in cui la Nsa, ma anche altri, possano leggere i dati tra un data center e l'altro", commenta Vincenzo Iozzo, esperto di sicurezza informatica. "Però non evita sistemi di sorveglianza come Prism perché sono legali. Dunque, crittografia o meno, se il governo manda a Google una "National security letter", Big G deve comunque fornire i dati richiesti. Si può fare appello alla FISA court (la corte americana deputata a controllare il lavoro della Nsa ndr) ma non è un meccanismo che funziona particolarmente bene".Come nel caso di Lavabit, la società che forniva casella email "sicure", che ha deciso di chiudere i battenti lo scorso agosto pur di non dover fornire informazioni alla Nsa. Un sistema, quindi, che aiuta ma non risparmia gli utenti dalla pervasività del controllo americano né dai sistemi in grado di decrittografare i messaggi, sempre più evoluti, in un'eterna rincorsa tra "il gatto e il topo". "In due parole - chiude Iozzo - protegge da tentativi di sorveglianza di massa non autorizzati. Ma non protegge da richieste legali la per difesa nazionale e/o da attaccanti esperti che penetrano nei network delle aziende".