Le leggi dell’uomo e quelle dei numeri
Normative sulle intercettazioni, attività di prevenzione delle fughe di notizie, interventi di protezione da sottrazioni di dati sensibili privati o relativi ad attività di business; in una formula, gestione della privacy. Questo è uno dei temi più rilevanti sollevati dalla rivoluzione digitale. Da quando tutto avviene in Rete, non solo le grandi potenze sono soggette a “leak” (perdita) di informazioni, ma ogni singolo cittadino è esposto al rischio di violazioni dei dati. Messaggi scambiati con ogni tipo di dispositivo elettronico, attraverso email e applicazioni di social networking, identità personali e fiscali gestite da soluzioni informatiche, network e database aziendali, applicazioni destinate ai dati sanitari: gran parte della nostra vita può essere spiata, manipolata, usata per i fini più disparati con una relativa facilità.
Una delle armi di difesa più efficaci è la crittografia; si possono cifrare ogni dato e ogni conversazione con algoritmi robusti per impedirne la consultazione da parte di soggetti non autorizzati. Ma che cosa si intende per “soggetti non autorizzati”? Il manager dell’azienda concorrente di quella per cui lavoro, il vicino di casa impiccione, il criminale che mira alle credenziali della mia carta di credito; fin qui siamo tutti d’accordo. Tuttavia, se si pensa alla Polizia quando indaga su un crimine o ai servizi segreti, che tutelano la sicurezza nazionale, il livello di autorizzazione che si è disposti a concedere loro può variare a seconda delle sensibilità.
Una panoramica che dia conto di questioni così articolate richiederà di alternare a passaggi su tematiche etiche, sociali e politiche anche richiami più tecnici riguardanti la crittografia e le vulnerabilità informatiche. Ciò, lungi dal rendere la trattazione più complessa, consentirà di osservare i vari fenomeni in modo più consapevole.

Indice dei prossimi paragrafi

• Gli algoritmi di cifratura
• End to end encryption
• Un accesso segreto ai sistemi: la backdoor
• L’accesso ai sistemi tra legittimità e violazioni
• Le soluzioni open source
• Il dibattito resta aperto
• Wannacry: un esempio di vulnerabilità non programmata trasformata in arma

Gli algoritmi di cifratura
La crittografia moderna si basa su regole matematiche ed algoritmi fondati sull’evidenza che è molto più semplice eseguire dei calcoli piuttosto che altri. In particolare, in quella che si definisce “crittografia asimmetrica”, tecnica di fatto inventata nel secolo scorso ed alla base degli attuali standard di cifratura, fondamento è il fatto che è estremamente più semplice calcolare la moltiplicazione di due numeri piuttosto che trovare due fattori i quali, moltiplicati tra loro, diano un numero noto. Ad esempio, è molto veloce moltiplicare 11 e 17 e ottenere 187, ma è molto meno facile, conoscendo 187, risalire ai suoi fattori primi 11 e 17.
Il più noto algoritmo di cifratura asimmetrica, cioè di quella classe di soluzioni crittografiche nelle quali la chiave di cifratura è diversa dalla chiave di decifrazione, è in assoluto “RSA” e prende il nome dall’acronimo dei suoi autori: Rivest, Shamir e Adleman. È stato inventato nel 1977 ed è tra i fondamenti della moderna crittografia. Questo algoritmo consente di realizzare un sistema di comunicazione sicura definito “a chiave pubblica”. In tale scenario ogni attore della comunicazione, per scambiare informazioni in modo sicuro, deve generare due distinte “chiavi” correlate: la “chiave privata” è il segreto che ogni utente deve mantenere per garantirsi la possibilità di essere l’unico a poter decifrare i messaggi a lui indirizzati; la “chiave pubblica” è l’informazione che deve distribuire perché ogni altro utente possa scrivergli messaggi riservati. Un messaggio cifrato con la chiave pubblica di un utente potrà essere decifrato esclusivamente con la chiave privata di quell’utente. In tale contesto, chiunque abbia una propria coppia di chiavi e conosca la chiave pubblica di un altro utente, può quindi realizzare una comunicazione sicura.
Nel web, la percentuale di siti e servizi che utilizzano questo schema con i propri utenti è in continua crescita. Ogni utente dovrebbe essere ormai abituato a controllare, durante le navigazioni sicure, “il lucchetto” che compare accanto al nome del sito che sta consultando. Quell’icona segnala che la connessione è ragionevolmente protetta e, solitamente in base al colore che l’icona assume, che una qualche “certification authority”, che si postula sufficientemente affidabile, sta certificando l’identità di quel sito o del fornitore di quel servizio.
In tal modo, navigazione web e trasferimento dati fra utenti e servizi avviene in modo sicuro; intromettersi per conoscerne o alterarne i contenuti diventa un’operazione complicata.
Quando si pubblica un post in Facebook, ad esempio, il testo viene trasferito nel modo appena descritto dal dispositivo dell’autore ad uno dei server del social network, che può così memorizzarlo e metterlo a disposizione, a seconda delle impostazioni fissate per la privacy, ai friends dell’utente. Ovviamente, per organizzare quanto scritto, è necessario poterlo interpretare. Ciò significa che anche Facebook deve aver accesso ai contenuti che vengono inseriti per essere in grado di trattarli nel modo che ritiene più opportuno.
Le aziende che possiedono piattaforme web, ed ovviamente anche i social network, possono quindi rispondere a motivate richieste di accesso ai dati dei propri utenti da parte di Forze dell’Ordine o di autorità inquirenti. Per facilitare queste operazioni, le più note aziende hanno realizzato procedure di snellimento del processo, sia nel caso di richieste nazionali, sia in quello di rogatorie internazionali; tuttavia rimangono i limiti connessi alle differenze legislative tra il Paese richiedente e quello in cui l’azienda risiede.

End to end encryption
Per quanto riguarda i sistemi di messaggistica istantanea, progressivamente molti servizi hanno iniziato ad implementare una modalità di comunicazione definita “end to end encryption”. Signal e Telegram sono stati tra i primi servizi ad utilizzare questo supporto, successivamente lo hanno fatto anche Whatsapp e il Messenger di Facebook.
L’end to end encryption consente di scambiarsi messaggi in modo che neanche il fornitore del servizio possa avere accesso al contenuto della comunicazione. Nel caso di Whatsapp, ad esempio, Facebook, azienda proprietaria del servizio, sa che un certo suo utente sta scambiando messaggi con un altro, ma non può conoscerne i contenuti; i server di Whatsapp agiscono esclusivamente da strumenti di interscambio. Più tecnicamente, il fornitore di questo tipo di servizi non ha accesso ai dati ma ai soli “metadati della comunicazione”; gli è crittograficamente nascosto il contenuto dello scambio ma non il fatto che vi sia comunicazione. La sensibilità delle informazioni in questi contesti è argomento talmente delicato che, almeno in Europa, ci sono forti sollecitazioni a normare anche l’uso e l’accesso ai metadati.
Nelle applicazioni che utilizzano end to end encryption ogni utente può conoscere la chiave pubblica di quello col quale vuole comunicare. Quando l’utente digita un messaggio o vuole condividere un contenuto in chat, prima dell’invio, l’applicazione lo cifra perché solo il destinatario possa leggerlo e lo invia ai server del fornitore del servizio, i quali veicolano dati che non possono interpretare. Il contenuto è quindi consegnato al corretto destinatario e quest’ultimo è in grado di rileggerlo utilizzando la propria chiave privata. Poiché il destinatario è l’unico detentore di tale chiave, sarà l’unico che potrà decifrare il messaggio recapitato.
In uno scenario di questo genere l’azienda che eroga il servizio, in caso venga chiamata a collaborare con le Forze dell’Ordine, non è in grado di fornire evidenze sul contenuto della comunicazione avvenuta. Nel caso di Whatsapp, ad esempio, la società presenta questa caratteristica come una garanzia per i propri utenti.

Un accesso segreto ai sistemi: la backdoor
Soltanto qualche giorno fa, il Governo australiano ha dichiarato la propria intenzione di proporre nuove leggi che gli garantiscano maggiore libertà di accesso ai contenuti scambiati dagli utenti in Rete, nella prospettiva della lotta al terrorismo. In questa direzione si è già mossa l’Inghilterra con l'”Investigatory Powers Act“. Il Primo Ministro australiano Malcolm Turnbull ha tentato di chiarire le finalità etiche di un simile approccio al problema della sicurezza nazionale ed internazionale, ma non è chiaro come tecnicamente possa essere raggiunto lo scopo che viene proposto. Turnbull auspica una maggiore collaborazione con gli Stati Uniti, anche tenendo in considerazione che sono statunitensi le principali compagnie di messaggistica social. Inoltre fa riferimento al coordinamento fra le intelligence dei Paesi denominati “five eyes”: Stati Uniti, Inghilterra, Canada, Nuova Zelanda e, ovviamente, Australia.
Considerando gli aspetti tecnici, però, non sono molti i metodi che possono essere adottati:
1) Proibire l’end to end encryption.
2) Indurre ogni utente a concedere una copia della propria chiave privata anche al fornitore del servizio o ad Enti preposti.
3) Cifrare una copia di ogni messaggio anche per il fornitore dell’applicazione. Ogni messaggio potrebbe essere cifrato due volte, una per il destinatario reale, una per un Ente di controllo o per il fornitore del servizio. In questo caso, le compagnie potrebbero continuare a collaborare con le forze dell’ordine, com’è accaduto finora con i messaggi in chiaro. Nel caso di un leak realizzato contro una compagnia, ovviamente, potrebbero essere rese pubbliche le informazioni di ogni singola conversazione privata.
4) Indebolire ad arte i dispositivi o gli algoritmi utilizzati, soprattutto quelli di cifratura. Ogni applicazione o ogni dispositivo potrebbe essere realizzato con dei “difetti progettati”, in modo da offrire, a chi è a conoscenza della loro esistenza, metodi per decifrare i contenuti, pur senza avere le necessarie chiavi di comunicazione.
I “difetti progettati” non sono altro che accessi secondari e ben nascosti nei sistemi, da cui il nome “backdoor” talvolta adottato. Una backdoor è, tecnicamente, un metodo o una risorsa software appositamente inserita nei programmi, nei loro moduli o direttamente nei sistemi dei dispositivi che permette di aggirare i meccanismi di protezione. I sostenitori di questa “risorsa” sostengono che possa essere implementata in modo così complesso da risultare di difficile rilevazione e, di conseguenza, risultare sufficientemente sicura. In alcuni casi una backdoor consiste semplicemente in un’utenza sempre valida inserita nei programmi o nei dispositivi di cui il proprietario non è a conoscenza, ma di cui può avvalersi in qualsiasi momento il produttore o chi l’ha inserita. In questa prospettiva, Governi e Forze dell’Ordine disporrebbero di accessi “universali” ai dati degli utenti e sarebbero sottoposti a leggi che ne consentano l’utilizzo esclusivamente in determinate circostanze.

L’accesso ai sistemi tra legittimità e violazioni
Tutti questi approcci costituiscono una palese contrapposizione a qualunque scenario di “security by design” o “privacy by desing”, per cui ogni singolo componente del software viene ideato e realizzato per resistere alle violazioni, il più possibile senza deroghe.
Inoltre, sembra del tutto ignorato il tema della extraterritorialità. Probabilmente questo atteggiamento è dovuto al fatto che, attualmente, le più grandi corporation coinvolte hanno di fatto sede negli Stati Uniti e che i paesi membri della “five eyes” hanno una posizione predominante a livello globale. Ciononostante rimane difficile immaginare come concertare l’adozione di certe soluzioni fra i Paesi che le promuovono e quelli che le vietano.
Una piccola nota di colore che illumina il paradosso che abbiamo di fronte. Durante un’intervista, di fronte all’incalzare della reporter sul fatto che le leggi della matematica sono più resistenti di quelle umane, il Primo Ministro Turnbull ha replicato di essere certo che le leggi della matematica sono ammirabili ed ha poi aggiunto che, comunque, le leggi dell’Australia, in Australia, prevalgono e saranno le uniche applicate.
A tal proposito Bruce Schneier, famoso crittografo e saggista statunitense, ha scherzosamente fatto riferimento ad una proposta di legge del 1897, la “Indiana Pi Bill” che, tentando di regolamentare per legge il rapporto tra circonferenza e diametro di un cerchio, finiva per assegnare de iure al pi greco il valore 3,2. La proposta fu approvata in prima lettura e rischiò di divenire davvero una norma legale; fu poi bloccata dal Senato dello Stato dell’Indiana a seguito della spiegazione di un professore di matematica, casualmente interpellato.
Sia il Procuratore australiano George Brandis, sia il Primo Ministro Turnbull, hanno esplicitamente sostenuto di non alludere all’introduzione di backdoor, sottolineando però il fatto che vi è un forte dibattito sul loro utilizzo ed anche su una loro condivisa e precisa definizione. Di fatto, Brandis ha sempre sostenuto che, ove esistano chiavi di cifratura, quelle stesse chiavi devono essere nella disponibilità delle autorità. Non è chiaro, tuttavia, come lo scopo possa essere raggiunto. Il Procuratore ha inoltre esplicitamente parlato di “cooperazione volontaria” con le società che forniscono servizi di messaggistica, ma non si è ben capito come in caso di end to end encryption si possano violare gli algoritmi crittografici, se non minandone la robustezza.

Le soluzioni open source
Altro punto focale della discussione, che sembra però essere stato tralasciato nelle dichiarazioni del Governo australiano, sono i molti dubbi su come operare l’eventuale “indebolimento” sulla grande quantità di software crittografico open source, davvero di ottima qualità, realizzato da sviluppatori indipendenti, centri di ricerca e comunità, che viene costantemente rilasciato e mantenuto.
L’interrogativo è se leggi di questo tenore non corrano il rischio di ottenere l’effetto opposto a quanto auspicato, spingendo molti utenti, e forse per primi proprio terroristi e criminali informatici, ad utilizzare esclusivamente proprio soluzioni open source, senza risolvere quindi il problema e con l’alto costo di lasciare vulnerabili tutti gli altri utenti al mondo.
Infatti, qualora società pubbliche e private dovessero adeguarsi alle normative prospettate, uno scenario probabile è che gli utenti possano migrare molto velocemente (cosa che probabilmente accadrà ugualmente) verso applicazioni completamente decentralizzate, cioè nelle quali non sia necessaria l’attività di un’azienda che gestisca direttamente tutte l’infrastruttura, come accade nei servizi di Whatsapp, Facebook o Google, e che utilizzino soluzioni crittografiche open source, a quel punto le uniche estremamente sicure.
Facebook sembra aver già risposto al Governo australiano, attraverso un proprio rappresentante, sostenendo di rimanere aperti e collaborativi con le Forze dell’Ordine, rispettando un protocollo già esistente ma dichiarandosi, almeno pubblicamente, non disponibile ad inserire debolezze o backdoor nei propri sistemi, a nessun fine, perché intaccherebbero la sicurezza di tutti gli utenti.

Wannacry: un esempio di vulnerabilità non programmata trasformata in arma
Vulnerabilità, intenzionali e non previste, vengono continuamente scoperte in apparati, dispositivi e software e si sono rivelate strumenti potenzialmente molto dannosi. Anche per questo la diffusione programmata e sistematica di backdoor giustificata da una necessità sociale, è al centro di una contrapposizione netta fra ambienti istituzionali da un lato e, dall’altro, numerosi esponenti della ricerca e sostenitori dei diritti digitali.
Esemplare, a tal proposito, è quanto accaduto nel caso del famigerato ransomware “WannaCry”, in cui si sono intrecciati vulnerabilità non previste, politiche di disclosure eluse, attività governative segrete, un leak particolarmente insidioso e una minaccia informatica. Il risultato è stata un’infezione planetaria sulla quale ancora si discute.
Qualcuno ha sfruttato una vulnerabilità di un modulo di Windows, battezzata “EternalBlue”, per diffondere il malware. In questo caso la debolezza non era stata introdotta ad arte nel software, in modo programmato o per qualche fine, ma è stata semplicemente scoperta dagli attaccanti.
La questione si complica se si considera un fatto ulteriore. Secondo quanto pubblicato dal portale Wikileaks, infatti, la CIA sapeva dell’esistenza di EternalBlue da molto tempo ma, anziché segnalarla al produttore Microsoft perché fosse corretta, l’aveva sfruttata per realizzare un proprio tool di attacco.
Quando poi il misterioso gruppo di hacker che si firma “The Shadow Brokers” ha pubblicato un database di risorse informatiche sottratto ad EquationGroup, uno dei team informatici operativi correlati alla National Security Agency (NSA) statunitense, tutto il mondo ha potuto avvalersi di quegli strumenti, anche gli implementatori di WannaCry.
In realtà le correzioni del bug EternalBlue erano state approntate da Microsoft prima che si scatenasse l’epidemia digitale, ma la scarsa sollecitudine delle strutture pubbliche nei confronti degli aggiornamenti software ha giocato a favore dei criminali: il contagio è stato facilitato anche dalla mancata protezione dei network degli ospedali e di infrastrutture critiche.
Edward Snowden, il whistleblower che ha rivelato le attività della NSA e che, dopo lunghe peripezie, si è rifugiato in Russia per sfuggire ad un mandato di cattura per spionaggio, ha fortemente e polemicamente rimarcato il fatto che è interesse comune riportare le vulnerabilità ai produttori perché siano sanate, nell’ottica di un miglioramento continuo della sicurezza: “In light of today’s attack, Congress needs to be asking @NSAgov if it knows of any other vulnerabilities in software used in our hospitals“.

Il dibattito resta aperto
Il tema vede contrapporsi sempre più duramente, non semplicemente le varie soluzioni ai problemi di sicurezza, ma proprio le diverse declinazioni del concetto di sicurezza.
Gli esperti del settore ricordano che la crittografia ci protegge tutti, protegge le nostre transazioni economiche, quelle delle aziende di ogni Paese e di quelle tra Stati; protegge le nostre comunicazioni telefoniche, Internet, i nostri dati e le nostre identità (soprattutto dove essere dissidenti o esprimersi liberamente può essere un problema). È spesso vitale, e non per modo di dire, per le attività quotidiane di professionisti, si pensi ai giornalisti, agli avvocati; è una necessità fondamentale per le aziende, per i corpi diplomatici, per gli agenti in missione in altri Paesi.
Ancora di più, la storia recente ci dimostra che, se una backdoor esiste, può essere scoperta e sfruttata da chiunque, sia esso un Ente governativo, un cyber criminale, un dittatore o una cellula terrorista o un ingenuo giovane hacker. Ognuno di questi attori potrebbe inoltre decidere di continuare ad utilizzare le proprie scoperte senza renderle pubbliche, senza che nessuno si accorga di questo ulteriore utilizzo.
Nel dibattito sul tema è molto folta la schiera di ricercatori convinti che siano necessari un continuo miglioramento e una costante diffusione della crittografia forte, in ogni tipo di servizio e di scambio dati, proprio per aumentare la sicurezza complessiva delle persone e della società. Da questo versante viene spesso fatto notare come il rischio di un uso illecito di backdoor sia associabile alle attività governative oltre che a quelle di criminali informatici.

————-