Re: Troiani e firme digitali

Caro Raistlin,
il problema sollevato da Claudio Caprara in conseguenza della "bufala 
relativa ai troiani che recepiscono il pin" è molto meno ovvio di quanto si 
possa pensare: la possibilità che un documento informatico possa essere 
sottoscritto con firma digitale all'insaputa del legittimo titolare, può 
mettere in crisi il progetto del legislatore in tema di firma digitale. Se 
qualcuno potesse sottoscrivere un documento informatico con la mia smart 
card senza che me ne accorga, questi potrebbe acquistare la mia moto ad un 
"prezzo di favore" e, se decidessi di impugnare l'atto davanti ad un 
giudice, spetterebbe a me l'onere di dimostrare che non ho firmato.
È quindi naturale che un utente non esperto si spaventi davanti a questa 
possibilità e chieda chiarezza e soluzioni ai propri fornitori.
Condivido che avere un troiano installato sul proprio PC lo trasformi da un 
Personal Computer ad un Public Computer, non si può trascurare però che 
l'informatica in azienda è vista come propedeutica al lavoro. Vale sempre 
l'adagio che un PC sicuro è staccato dalla rete e possibilmente spento.
Avere la "ragionevole" certezza di non avere toriani sulla macchina è, in 
generale, molto complesso; ti faccio due esempi:
- in azienda la password di amministratore del mio PC la conoscono anche i 
sistemisti: se qualcuno mi installa un troiano, si "compra" la mia moto e 
poi lo disinstalla io non lo saprò mai. Io forse potrei amministrarmi la 
macchina da solo, ma in azienda i sistemisti devono avere tutte le 
password, compresa la mia. È una regola inserita nelle policy di sicurezza 
che condivido;
- per quanto mi dia da fare a patchare il mio PC, i bug escono ad una 
velocità impressionante. Sarebbe interessante fare un sondaggio su quanti, 
in questa mailing list, hanno patchato Flash per un bug che consente 
l'esecuzione di codice arbitrario sul PC semplicemente scaricando un file swf.
Per molta gente, giustamente, il PC è uno strumento, né più né meno del 
cellulare o del televisore; entro breve tempo, questi utenti, saranno 
"obbligati" ad usare la firma digitale per dialogare con la PA e non si 
possono skillare in questo argomento. Uno dei problemi che sta incontrando 
la firma digitale nella sua introduzione è complesso: il mondo del diritto 
e quello dell'informatica si devono incontrare e risolvere praticamente i 
problemi. Sino ad adesso ci siamo riusciti ma c'è ancora molto da fare, 
diventa necessario un clima costruttivo da parte di tutti coloro che 
possono dare il loro contributo.
Il problema di fondo, come sempre quando si lavora per la sicurezza dei 
sistemi informativi, è legato al rapporto costi/benefici: il costo che 
qualcuno potrebbe sostenere per "comprare" la mia moto arriva forse ad 
installare back orefice. Se invece di avere una moto avessi una Ferrari, 
forse qualcuno scriverebbe qualche centinaio di righe di codice per 
mettermi un troiano nel PC. Per firmare in modo fraudolento con la firma 
digitale di un notaio, non pochi venderebbe pure l'anima al diavolo …
Condivido che, per ora, non c'è una soluzione e l'obiettivo deve essere 
quello di rendere la vita più difficile ad un "aggressore". Sino ad oggi, 
in Italia, sono stati distribuiti circa 700.000 dispositivi di firma 
digitale e tra breve gli amministratori delle società di capitale dovranno 
averne uno: non si può pensare che tutti adottino procedure di security 
elevate. È ragionevole pensare a strumenti come un antivirus, un firewall 
domestico, una installazione delle patch sistematica (sempre che si 
disponga di un collegamento ad Internet abbastanza veloce). L'idea di 
Claudio Caprara mi sembra vada proprio in questa direzione, anche se è 
difficile da realizzare. Non mi risulta che tali lettori siano compatibili 
con i software utilizzati per la firma digitale e, d'altro canto, scrivere 
ex novo un software di firma a norma AIPA non è banale.
Per la completa migrazione verso la società digitale tutti possono dare il 
proprio contributo, anche, semplicemente, sollecitando i certificatori a 
migliorare i propri prodotti (ad esempio sviluppando soluzioni compatibili 
con i secure pin smart card, o che non funzionano se il sistema operativo 
non fornisce sufficienti garanzie di sicurezza) oppure proponendo policy 
che siano il giusto compromesso tra un livello opportuno di sicurezza e la 
facilità d'uso anche per i meno esperti.
Le soluzioni estremistiche, in questo momento, sono utili solo a chi rema 
contro.

Dante


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List