Mentre cresce il numero di dati prodotti e raccolti ogni anno nel mondo, con minor convinzione e in modo meno omogeneo, ma cresce anche la consapevolezza del loro valore. Un valore che si declina in più campi di interesse, tutti interessati a custodirlo nel miglior modo possibile. Pur sapendo che l’obiettivo del 100% di protezione sia utopistico, è pervasivo e diffuso il desiderio di aumentarne il livello in modo decisivo.
Oggi nella maggior parte dei contesti, si utilizzano chiavi classiche memorizzate in modo permanente in una memoria non volatile. Finora sono state indispensabili per la sicurezza dei computer moderni, ma va ammesso che sono diventate un frequente e sempre più facile obiettivo di attacco da parte del cybercrime. Più che affinare questa tecnologia, nell’aria si percepisce quindi la necessità di un cambio più netto e le Physical Unclonable Function (PUF – funzioni fisiche non clonabili) potrebbero rappresentarlo. Sembrano infatti molto promettenti e i primi casi in cui possono confermare la propria efficacia potrebbero essere l’identificazione di dispositivi, i protocolli di autenticazione e le procedure anticontraffazione.
Cosa fanno le PUF e come possono evolvere
Queste particolari funzioni, applicate nel campo della sicurezza, permettono di realizzare hardware sicuro senza usare chiavi classiche. Invece che “blindare” delle password su dei dispositivi, infatti, fanno in modo che i dispositivi stessi siano la password, sfruttandone i dettagli microscopici tipici del materiale che li compone, attraverso uno stimolo esterno che li mette in evidenza: la luce di un laser.
L’utilizzo delle PUF presenta due principali vantaggi: scompare il problema dell’estrazione della chiave e non ci si deve nemmeno più preoccupare del rischio di clonazione. Partendo dal presupposto che ogni materiale sia unico, la risposta fornita se “interrogato” con una PUF sarà ugualmente unica, perché legata alle sue intrinseche caratteristiche atomiche.
Questo principio base che regala una nuova speranza di sicurezza è oggetto di studi e sperimentazioni già dal 2002. Durante l’”interrogazione”, la luce coerente del laser produce delle “macchioline” (speckle atomico, la figura che si ottiene quando un’onda coerente attraversa un mezzo disordinato) da sottoporre all’image processing. Se il materiale-dispositivo è complesso, come la maggior parte di quelli generalmente disponibili, una volta stimolato dal laser genera un pattern che rappresenta la sua impronta digitale unica, e anche riproducibile: un’ottima candidata per essere una nuova password.
Cambiando inclinazione del laser, si ottengono pattern e quindi password differenti. Lo stesso avviene modificando anche solo leggermente la posizione delle impurezze a livello atomico. Questo permette di generare facilmente con un unico campione di materiale un’ampia collezione di domande e risposte, il database alla base dei processi di autenticazione. Chiamando in causa la “coppia Alice e Bob” sempre protagonista quando si tratta di spiegarli, in questo caso la prima inizierebbe a caratterizzare il materiale scelto, creando un database di domande e risposte, per poi passare l’hardware a Bob. Quest’ultimo, interrogandolo con domande da lei indicate di volta in volta, otterrebbe risposte da inviarle perché le compari a quelle presenti nel database e decida se autenticarlo.
Se questo sembra già un bel passo avanti rispetto alle memorie non volatili, c’è invece chi ha pensato di farne un successivo. Dopo più di 20 anni di studi, un team tutto italiano ha fatto infatti evolvere ulteriormente questa tecnologia introducendo nel sistema scatterante una luce blu capace di modificarlo in modo reversibile a livello microscopico. E sostiene che l’immagine trasmessa consenta di elaborare chiavi crittografiche estremamente più complesse da violare.
Più password e meno rischi: luce blu per la nuova soluzione
Comparsa su Nature Materials, questa novità è frutto del lavoro dell’Istituto nazionale di ottica del Consiglio nazionale delle ricerche di Firenze (Cnr-Ino) e dell’Istituto nazionale di ricerca metrologica (INRiM) che, collaborando con le Università di Firenze e di Siena e la Technische Universität di Berlino (Germania), ora propongono questa nuova tecnologia per password a prova di futuro.
Nei loro laboratori hanno creato un materiale ingegnerizzato composto da cristalli liquidi drogati con un colorante e dispersi in un sottile film polimerico, facendo in modo che fosse “a basso costo, flessibile ma allo stesso tempo unico e irriproducibile” racconta Sara Nocentini, ricercatrice dell’INRiM. Illuminandolo con luce blu, se ne riescono a cambiare le proprietà atomiche e, di conseguenza, anche il pattern creato da cui poi ricavare una password. “Non tutti i materiali danno questa possibilità – aggiunge – e anche gli stimoli non hanno effetti tutti uguali. Abbiamo scelto la luce blu perché, al contrario di altri, può essere modulata manualmente, aumentando ancora di più l’ampiezza delle chiavi generabili”.
“Tecnologie analoghe a questa, che sfruttano la complessità intrinseca del materiale, esistono da tanto, soprattutto basate su fenomeni elettrici – spiega Francesco Riboli, ricercatore del CNR- INO – ma generano password meno complesse, quindi più deboli. La nostra permette di costruire un database di domande e risposte molto più ricco. Ciò significa più combinazioni possibili e, quindi, chiavi più complesse, più sicure e non clonabili. E poi non ho più una PUF con corrispondenza lineare perché, oltre a variare l’inclinazione del laser, posso modificare il sistema internamente, microscopicamente. Se prima un hacker, intercettando un certo numero di domande e risposte, poteva risalire alla funzione e introdursi, quindi, ora non lo riuscirebbe più a fare”.
Due vantaggi “corposi”, che fanno immaginare il balzo in avanti in arrivo nel campo della generazione di password. Immaginare, e non sognare, perché si tratta di una tecnologia concreta, realizzabile e, in futuro, commercializzabile. “Tecnicamente è già possibile – spiega Nocentini – ma serve fare uno scaling di tutto il sistema di autenticazione, per portarlo dal tavolo di un laboratorio su una scheda di un cm. Stiamo lavorando per integrare tutti i suoi componenti e miniaturizzarlo, rendendolo inseribile in un classico lettore di carte”.
La promessa di una nuova comunicazione quantistica
La killer application di questo nuovo generatore di password potrebbe essere proprio il processo di autenticazione. “Con uno stesso e unico hardware si hanno più generatori di password tutti deterministici. È come avere in mano una carta multiuso” spiega Riboli. “L’utente, con un solo dispositivo da gestire, può usufruire di tutti i generatori che gli servono”.
Sarebbe ancora più “killer” se si potesse estendere anche al campo quantistico, spiega. “Se l’interrogazione avviene illuminando il sistema con luce quantistica si riducono ulteriormente i rischi di attacco. Se un criminale si inserisce nel processo, in questo caso ci si accorge della violazione e, in ogni caso, non riuscirebbe comunque a risalire alla chiave” aggiunge Riboli. “Si tratta di uno schema già esplorato, ma vogliamo ottimizzarlo attraverso l’utilizzo di materiali complessi riconfigurabili su più livelli. Uno step aggiuntivo che renderebbe ancora più sicura l’autenticazione”.
Oltre a migliorare la generazione di password sia per il caso classico che per quello quantistico, la scoperta del team potrebbe avere impatti anche nel campo della comunicazione quantistica. “Stiamo iniziando a studiare alcuni protocolli – spiega Nocentini – in cui il pattern di comunicazione può diventare una sorta di alfabeto con cui leggere la risposta rappresentata da una certa configurazione. Una sorta di nuovo codice per comunicare messaggi in campo quantistico che noi pensiamo sia possibile in futuro ottenere. Per ora si tratta di un buon proposito, ma ci crediamo”.
