Il problema della sicurezza e della privacy nelle telecomunicazioni è molto sentito e deve essere affrontato, anche perchè gli hacker di oggi non sono più quelli di una volta. Alla figura dell’hacker romantico, che attaccava per puro divertimento o per impostazione ideologica (contro le multinazionali ecc.), si è sostituita oggi quella dell’hacker professionista, che attacca per fare business, rivendendo dati bancari, numeri di carta di credito e altri dati personali. Rispetto a un tempo, inoltre, sono cambiati i virus, divenuti più potenti e mutanti. In questo scenario si deve intervenire in modo adeguato; e a volte agire da soli non basta. Per questo stanno sorgendo associazioni che analizzano il problema della sicurezza per affrontarlo meglio. Anche la Pubblica amministrazione deve considerare la problematica: importante è, però, affrontarla in modo giusto. Un problema che si scontra con la salvaguardia della sicurezza pubblica, infatti, è quello della protezione della privacy dell’individuo, e spesso l’equilibrio è difficile da trovare. Sono questi alcuni temi emersi nel corso della giornata di studio “Security e privacy delle reti di telecomunicazioni” organizzata dall’Aict, l’ Associazione per la tecnologia dell’informazione e delle comunicazioni presso il Politecnico di Milano.
“Il problema della sicurezza e della privacy delle reti di telecomunicazioni commerciali è molto sentito, soprattutto in ambito internazionale”, ha spiegato Maurizio Decina, docente del Politecnico di Milano. “In Europa si discute sempre più della creazione di enti che curino la sicurezza informatica facendo auditing sulle connessioni e si occupino di interconnessioni delle reti”. Secondo Decina, se sul versante della sicurezza si è a buon punto, molto c’è ancora da fare su quello della privacy. Fondamentale è poter identificare i responsabili delle attività svolte in rete senza danneggiare le esigenze di privacy dei cittadini. “Oggi si parla, e se ne parlerà sempre più, di reti multiservizio, basate sull’integrazione di reti fisse e mobili, reti di sensori, peer-to-peer e Grid”, ha detto Decina.
Le architetture Web Service Oriented (Soa e Swc), in ambiente Wireless il Wi-Fi, WiMax e Hspa (High Speed Packet Access; famiglia di protocolli per la telefonia mobile che estendono e migliorano le prestazioni dell’Umts, ndr) saranno sempre più diffusi. Ci saranno reti multi servizio orientate su Zig-Bee (nome di una specifica per un insieme di protocolli di comunicazione ad alto livello che utilizzano piccole antenne digitali a bassa potenza, ndr) e fibre ottiche, che saranno sempre più vicine ai siti utenti. Sempre più utilizzate saranno le Overlay networks, che useranno Skype per la telefonia, e il Web 2.0, in cui l’individuo è parte integrante di una rete sociale e possiede una propria identità. In tutti questi casi il problema della sicurezza e della privacy dovrà essere affrontato.
Secondo Vittorio Trecordi, docente del Politecnico di Milano e tra i fondatori di Ict Consulting, “Lo spam di posta elettronica è un’attività ancora molto diffusa e remunerativa, quindi occorrono sistemi sempre più efficienti per filtrare i messaggi non desiderati. Molto diffusi sono, però, ancora trojan e phishing. Negli ultimi anni si è sempre più consolidata la cosiddetta Underground economy (in cui è presente una vera e propria offerta di azioni criminose d’informatica) ed è nato un mercato in cui possono essere acquistate vulnerabilità. È in crescita la vendita di piattaforme capaci di diffondere, per un certo periodo di tempo, applicazioni malware e la costruzione di siti Web di social networking in cui condividere azioni informatiche criminose e scambiarsi informazioni al riguardo. Aumentando la complessità dei sistemi”, ha puntualizzato Trecordi, “crescono anche i problemi di sicurezza. Non dimentichiamoci che, poichè la rete evolve continuamente, è aumentata la velocità di intervento nel combattere gli attacchi ma le applicazioni con codice asincrono operanti in un browser possono creare una proliferazione dei luoghi soggetti ad attacchi”.
Per Danilo Bruschi, docente dell’ Università degli Studi di Milano, rispetto a un tempo sono cambiati anche gli obiettivi di un attacco. Lo scopo principale di un attacco, oggi, è quello di ottenere ricavi economici e sempre più colpito è anche il pc di casa. “Ogni punto della rete è appetibile per chi vuole compiere attacchi informatici, perché è in grado di moltiplicarli”, ha commentato Bruschi. “Un problema tra i più preoccupanti è quello delle BotNet, insiemi di pc che obbediscono ai comandi di un computer leader. Attualmente sono ben 5 milioni le macchine infettate e stanno comparendo codici malevoli difficilmente individuabili, che mutano continuamente (virus polimorfi e metamorfi). Per quanto riguarda le BotNet, tuttavia, sono stati fatti passi avanti. Si stanno già usando sistemi che permettono il loro rilevamento, individuando le macchine infettate”.
La sicurezza informatica nella Pa
Il tema della sicurezza informatica non deve essere sottovalutato neppure nella Pubblica amministrazione, area in cui un attacco informatico potrebbe colpire le informazioni relative a molti cittadini, danneggiandoli. “L’Spc (il Sistema pubblico di connettività), ovvero la rete nazionale di telecomunicazioni della Pubblica amministrazione, è l’asset informatico del Paese, previsto e regolamentato tramite decreto ministeriale”, ha dichiarato Emilio Frezza, consigliere tecnico per le telecomunicazioni del Cnipa, il Centro nazionale per l’informatica nella Pubblica amministrazione.
L’Spc è stata pensata, prima di essere costruita, come una rete pluri-venditore, basata su un mercato aperto, con quattro fornitori di telecomunicazioni principali e fornitori regionali in aggiunta. Si è deciso, però, di inserire anche un ulteriore sistema, per garantire l’interoperabilità tra le componenti della rete introdotte dai quattro vendor diversi. Garantire risparmi economici, fornire servizi innovativi, in termini di messaggistica e di e-mail certificate, rendere possibile la cooperazione applicativa sono stati tra gli obiettivi del progetto. “La Spc è una rete complessa; ogni amministrazione possiede un proprio dominio e una rete unica dedicata, mentre il Cnipa gestisce le reti condivise (come Nodo Voip, Sica e altre)”, ha spiegato Frezza. “Nel Cnipa è previsto un gruppo di esperti che si occupano degli aspetti di security nella rete Spc, formata da quattro reti dedicate e una quinta rete che le collega tra loro. Si occupano di sicurezza anche le strutture locali, QOISP (Quality Internet Service Provider), create presso i quattro vendor. Da fine 2007, presso ogni Pubblica amministrazione è stata costituita una unità locale di sicurezza – ha affermato Frezza. – Ogni unità è divisa in sotto-unità operative, che seguono le tre fasi della sicurezza della Spc: fase reattiva, fase proattiva, qualità e sicurezza. Si sono definite le categorie dei possibili attacchi e liste aggiornate con informazioni sulle vulnerabilità riscontrate, consolidando anche la collaborazione tra Cnipa e Consip (organo di sicurezza appartenente e operante nel Ministero del Tesoro). Da gennaio 2008 sono inviati e scambiati bollettini aggiornati con segnalazioni preventive dei singoli attacchi”.
“Dotare le unità di sicurezza locale di software adatto, in grado di scambiare informazioni relative alla sicurezza tra loro, estendere le politiche di sicurezza anche agli enti locali e periferici, incentivare seminari e convegni formativi, prevedere politiche di sicurezza non solo riguardo alla rete, ma anche ad applicazioni innovative, quali il Voip, sono – secondo Frezza – azioni strategiche da realizzare”.
Garantire la sicurezza dei clienti
Ma come possono fare, le aziende, per garantire la sicurezza dei loro clienti ?
“Una rete Internet non attaccata è per ora un sogno”, ha detto Luca Bertagnolio, sales business development di Cisco. “Essendo una rete senza frontiere, la questione di una legislazione univoca è un aspetto centrale. Per gli operatori Ict è determinante usare metodi che riescano a bilanciare la Quality of service in funzione della sicurezza”. Molto importante è realizzare attività di profiling e tagging sulle applicazioni che viaggiano, per adattare la banda a disposizione in base alle applicazioni.
“Cisco – ha aggiunto Bertagnolio – sta implementando in alcune aziende sistemi che bloccano temporaneamente l’accesso alla rete ai pc che non soddisfano alcuni criteri di sicurezza, mettendoli in quarantena e dando la possibilità di immetterli di nuovo in rete solo quando soddisferanno i criteri stabiliti”.
“Nelle banche”, come ha sottolineato Romano Stasi di Abi, “molto usati sono i sistemi di strong-authentication, che prevedono diversi livelli di autenticazione per le operazioni. Oggi il 70% delle banche prevede due livelli di autenticazione, il primo per accedere al servizio, il secondo per autorizzare le transazioni”.
Anche Poste Italiane, come ha spiegato Daniele Alì dell’area Security&Safety, sta risolvendo i problemi di furto d’identità con sistemi di strong authentication. “Stiamo proponendo soluzioni che prevedono l’uso di Usb Token Card”, ha detto Alì. “Stiamo pensando a soluzioni che prevedono il disaccoppiamento della crittografia del canale dei dati e quello del trasporto, e in futuro, potremmo puntare su soluzioni basate su strong authentication sul canale Gsm”.
