Phishing e cifratura: tra i buoni propositi per il 2020 mettiamo anche la sicurezza informatica

Dai criminali informatici agli hacker-attivisti, passando per le procure e i servizi segreti di tutto il mondo, lì fuori è pieno di gente che potrebbe avere interesse a mettere le mani sulle nostre memorie digitali. Oppure “qua dentro”, guardando al dispositivo che abbiamo davanti, che incorpora decine di sensori e antenne capaci di raccogliere un’enorme quantità di dati sulle nostre abitudini, frequentazioni, stati d’animo. E voce, immagini, conversazioni online e offline: tutto diventa un dato e ciascun dispositivo una porta di accesso alla nostra vita privata. Ma appunto di porte si tratta, e non di varchi. Spazi di passaggio spesso alla mercé di chi ha le capacità tecniche per esplorarli solo perché scarsamente presidiati dalla gran parte degli utenti, ancora poco interessati a proteggere meglio la propria identità digitale o forse semplicemente rassegnati al fatto di non poter fare nulla a riguardo. Ma non è così, e tra i propositi per il 2020 potrebbe esserci proprio di essere più responsabili verso l’utilizzo che si fa dei propri dispositivi. Un modo per proteggere conti bancari e informazioni riservate, ma anche per riaffermare un diritto di proprietà sulla nostra vita digitale. Piccole precauzioni «Il nodo centrale della sicurezza informatica risiede nel cosiddetto “modello di rischio” (dall’inglese, threat model) ed è quindi fondamentale definire prima di tutto chi è il nostro avversario, cioè l’attaccante da cui dobbiamo proteggerci», spiega a La Stampa Stefano Zanero, professore associato in Computer Security al Politecnico di Milano. «Se chi cerca di accedere al nostro dispositivo rappresenta un potere statale, ben pochi sistemi di comunicazione potranno davvero proteggerci. Ma più comunemente l’utente medio è bersaglio di altri tipi di attacchi, molto meno potenti e organizzati, di fronte ai quali app come Signal o Wire sono sufficientemente efficaci, soprattutto se utilizzate su dispositivi ben protetti come lo smartphone Google Pixel o un dispositivo iOS». Dispositivi più costosi rispetto alla media, ma che offrono funzioni preziose per proteggerne il contenuto. Una di queste è la cifratura dell’intero disco (dall’inglese, full disk encryption) che garantisce l’inaccessibilità dei dati se il telefono è spento e non se ne conosce la password. Una caratteristica che può risultare preziosissima nel caso di furto o smarrimento del dispositivo: chiunque ne entrasse in possesso potrebbe solo cercare di formattarlo, senza prendere visione del contenuto. «Niente è sicuro in modo definitivo, ma possiamo (e dobbiamo) cercare di comunicare in modo "abbastanza sicuro" rispetto al nostro modello di rischio - precisa Zanero - Per moltissimi utenti, la minaccia non è terribilmente elevata e configurazioni sicure sono a portata di mano». Una tecnologia neutrale Eppure si parla ancora di cifratura e di protezione dei dati come di un’esigenza derivante esclusivamente dal bisogno di nascondere qualcosa. Il tema è ricorso diverse volte durante l’anno: dalla proposta del deputato Marattin di legare l’apertura di un account sui social all’uso di una carta d’identità fino all’app cifrata utilizzata da Luca Sacchi, che per qualcuno sarebbe la prova che il giovane aveva certamente qualcosa da nascondere. Nel primo caso, fortunatamente le autorità hanno sempre la possibilità di risalire all’identità di odiatori e delatori anche quando questi nascondono i loro commenti dietro pseudonimi, riservando così l’azione di controllo alle autorità. Nel secondo invece, commentatori e opinionisti si sono scagliati contro l’applicazione per dispositivi mobili Signal, in quanto offre un meccanismo di cifratura particolarmente efficiente. Ma le autorità - all’interno del loro lavoro d’indagine - hanno potuto comunque vedere il contenuto del dispositivo senza incontrare particolari problemi. «La cifratura delle comunicazioni è una tecnologia neutrale: protegge i dissidenti in regimi autoritari, protegge le nostre chat amicali e di lavoro e protegge anche le chat di gruppi criminali - chiarisce Zanero -. È abbastanza ovvio che queste attirino le antipatie di Stati e Governi sia nei Paesi più autoritari che in quelli democratici. Ed è vero anche che in alcuni casi la cifratura venga osteggiata per nobili motivi (come nel caso del contrasto al terrorismo o alla pedopornografia). Tuttavia questa stessa tecnologia protegge attivisti, giornalisti e persone la cui vita potrebbe essere in pericolo, imponendo un bilanciamento tra l’esigenza di investigare e quella di proteggere la libertà di espressione del cittadino». Attenzione alle mail D’altronde, la cifratura non è un’esclusiva di Signal: anche Whatsapp e Telegram (tramite una funzione apposita e non di default) forniscono lo stesso tipo di servizio, garantendo che nessun dipendente di queste aziende - o una qualsiasi persona non autorizzata - possa leggere il contenuto delle nostre conversazioni, quando questo passa sui loro server. Una misura necessaria anche per proteggere messaggi e foto da un attaccante esterno, nel caso in cui dovesse trovare un modo di accedere ai computer che gestiscono il traffico dei messaggi. «Ma si tratta di tecnologie nate e stimolate sulla base di un’evoluzione che è avvenuta negli ultimi anni - sottolinea Zanero -, ed è per questo che invece le email non sono altrettanto protette e sono dunque più esposte». Nate tra gli anni ‘60 e ‘70, le email sono retaggio di un modo diverso di intendere la tecnologia e per questo sono più difficili da proteggere. Negli anni sono stati sviluppati metodi capaci di cifrare questo tipo di scambi, di cui il più utilizzato è la cifratura PGP. Uno strumento potente quanto «complesso da usare correttamente» per Stefano Zanero, dal momento che richiede lo stesso impegno nel generare delle chiavi sicure da parte di ciascuno degli interlocutori: «Per le esigenze della maggior parte di noi, applicazioni come Signal sono molto più efficaci e più "sicure per default"». Proteggersi nel futuro Ma il vero pericolo per chi è connesso a Internet, come rivelato dalla gran parte delle analisi di previsione per il 2020, sarà quello dei tentativi di phishing, ovvero di truffe realizzate attraverso dei trucchi che inducono l’utente a cadere in una trappola credendo di essere di fronte a un contenuto legittimo. Secondo un’indagine condotta da Toluna e realizzata per La Stampa, solo il 17,93 per cento degli intervistati sarebbe in grado di identificare tutti i diversi tipi di phishing (tra cui email o sms contenenti link malevoli o siti web che replicano delle pagine legittime). In particolare, sembra che gli utenti sottovalutino la possibilità di venire attaccati tramite sms, metodo sempre più diffuso per l’installazione dei software-spia in uso alle procure italiane. E nel futuro la lista delle tipologie di phishing potrebbe allungarsi ulteriormente, con l’aggiunta dei cosiddetti “deepfake”, ovvero di voci o video simulati che potrebbero essere utilizzati ad esempio per imitare la telefonata di un dirigente che ordina l’esecuzione di un bonifico a un suo impiegato. Strategia che perfeziona quella già ampiamente diffusa, durante tutto il 2019, denominata BEC (Business Email Compromised attack), con la quale un attaccante invia una email legittima disponendo versamenti su un conto da lui controllato.