Re: Troiani e firme digitali

On Thu, 2003-06-05 at 18:36, Dante Picca wrote:
> Condivido che avere un troiano installato sul proprio PC lo trasformi da un 
> Personal Computer ad un Public Computer, non si può trascurare però che 
> l'informatica in azienda è vista come propedeutica al lavoro.

Propedeutica, ma non slegata da tutte le norme di buona sicurezza che
un'azienda è meglio utilizzi. Fare un po' di informazione aziendale
sulla sicurezza, ha certamente ritorni importanti, anche se non
immediatamente tangibili.

> Vale sempre l'adagio che un PC sicuro è staccato dalla rete e possibilmente
> spento.

Basta che sia staccato dalla rete.
Io personalmente non firmerei mai un documento su un PC che è attaccato
(o che lo è stato) ad una rete, di certo si può mantenere un PC, magari
anche vecchiotto, staccato dalla rete, e sul quale si firmano i documeti
e li si trasferiscono tramite un qualche tipo di floppy.

> Avere la "ragionevole" certezza di non avere toriani sulla macchina è, in 
> generale, molto complesso; ti faccio due esempi:
> - in azienda la password di amministratore del mio PC la conoscono anche i 
> sistemisti: se qualcuno mi installa un troiano, si "compra" la mia moto e 
> poi lo disinstalla io non lo saprò mai. Io forse potrei amministrarmi la 
> macchina da solo, ma in azienda i sistemisti devono avere tutte le 
> password, compresa la mia. È una regola inserita nelle policy di sicurezza 
> che condivido;

La policy in questo caso falla, il pc che fa le firme dovrebbe essere
scollegato. In diversi uffici di commercialisti, benchè siano ben poco
competenti in informatica utilizzano proprio questo metodo, hanno un pc
scollegato che utilizzano per memorizzare i documenti, ed un'altro che
usano solo per navigazione posta e invio di file. Il trasferimento tra i
due avviene attraverso floppy di vario genere.

> - per quanto mi dia da fare a patchare il mio PC, i bug escono ad una 
> velocità impressionante. Sarebbe interessante fare un sondaggio su quanti, 
> in questa mailing list, hanno patchato Flash per un bug che consente 
> l'esecuzione di codice arbitrario sul PC semplicemente scaricando un file swf.
> Per molta gente, giustamente, il PC è uno strumento, né più né meno del 
> cellulare o del televisore;

o di una automobile, ma sfido chiunque ad ignorare una lettera della
casa costruttrice, che ti chiede una visita in officina per una modifica
ad un cavo che ha dimostrato di non funzionare bene e far scattare (o
no) in modo scorretto l'airbag (mi è successo e sono corso al
concessionario ovviamente).
Certo ci sono anche quelli che vanno in giro senza cinture di sicurezza
o senza casco per "comodità", ma questo non è un comportamento
responsabile.

>  entro breve tempo, questi utenti, saranno 
> "obbligati" ad usare la firma digitale per dialogare con la PA e non si 
> possono skillare in questo argomento.

Certo che si può, un responsabile della sicurezza si può sempre formare,
per le aziende troppo piccole, è bene che le stesse si rivolgano ad un
esperto del settore (commercialista) adeguatamento formato è che
disponga del lettore per permettere la firma dei documenti (che comunque
redarrà lui e quindi ...)

>  Uno dei problemi che sta incontrando 
> la firma digitale nella sua introduzione è complesso: il mondo del diritto 
> e quello dell'informatica si devono incontrare e risolvere praticamente i 
> problemi. Sino ad adesso ci siamo riusciti ma c'è ancora molto da fare, 
> diventa necessario un clima costruttivo da parte di tutti coloro che 
> possono dare il loro contributo.
> Il problema di fondo, come sempre quando si lavora per la sicurezza dei 
> sistemi informativi, è legato al rapporto costi/benefici: il costo che 
> qualcuno potrebbe sostenere per "comprare" la mia moto arriva forse ad 
> installare back orefice. Se invece di avere una moto avessi una Ferrari, 
> forse qualcuno scriverebbe qualche centinaio di righe di codice per 
> mettermi un troiano nel PC. Per firmare in modo fraudolento con la firma 
> digitale di un notaio, non pochi venderebbe pure l'anima al diavolo …

> Condivido che, per ora, non c'è una soluzione e l'obiettivo deve essere 
> quello di rendere la vita più difficile ad un "aggressore".

In realtà una soluzione ci sarebbe.

a) utilizzare un solo formato per i documenti (tiff)
b) utilizzare un lettore personale che può fare solo tre funzioni
   - visualizzare il documento su un piccolo display
   - firmare il documeto con l'inserimento della smart card in uno slot
   - salvare e caricare i documenti da un piccolo dispositivo di
memorizzazione (flash card, pen usb, floppy, se ne scelga uno).

Questo permetterebbe:
a) di rendere estremamente semplice e chiara la cosa.
b) potersi portare facilmente in giro il _proprio_ firmatore, in modo da
essere sicuri che non possa essere stato manomesso da altri.
c) utilizzare un unico formato di memorizzazione che evita di creare un
caso di documenti difficilmente recuperabili e verificabili dopo pochi
anni

La tecnologia c'è già tutta, come base basta usare uno di quei palmari
con scermo ampio e in bianco e nero, e le smartcard.

Tutto qui, e non mi sembra ci voglia un genio per pensare ad una
soluzione come questa.

>  Sino ad oggi, 
> in Italia, sono stati distribuiti circa 700.000 dispositivi di firma 
> digitale e tra breve gli amministratori delle società di capitale dovranno 
> averne uno: non si può pensare che tutti adottino procedure di security 
> elevate.

Infatti, per questo sarebbe stato corretto utilizzare un dispositvo
terzo, non "general purpose", e che garantisse, proprio per come era
costruito molta più sicurezza di un pc.

>  È ragionevole pensare a strumenti come un antivirus, un firewall 
> domestico, una installazione delle patch sistematica (sempre che si 
> disponga di un collegamento ad Internet abbastanza veloce).

Non è ragionevole, perchè si sa già che non si fa e non funziona.

>  L'idea di 
> Claudio Caprara mi sembra vada proprio in questa direzione, anche se è 
> difficile da realizzare. Non mi risulta che tali lettori siano compatibili 
> con i software utilizzati per la firma digitale e, d'altro canto, scrivere 
> ex novo un software di firma a norma AIPA non è banale.

Non è neanche un impegno gravoso per uno stato, vista l'importanza della
firma, lo stato potrebbe tranquillamente fare e distribuire liberamente
il codice di base con i sorgenti ed eventualmente certificare in seguito
coloro che ne volessero fare derivazione diverse (per aggiungere
features di vario tipo).

> Per la completa migrazione verso la società digitale tutti possono dare il 
> proprio contributo, anche, semplicemente, sollecitando i certificatori a 
> migliorare i propri prodotti (ad esempio sviluppando soluzioni compatibili 
> con i secure pin smart card, o che non funzionano se il sistema operativo 
> non fornisce sufficienti garanzie di sicurezza)
e come lo determini? :)
al momento viene utilizzato ciò che, volenti o nolenti, è riconosciuto
essere uno dei sistemi operativi più insicuri sul mercato ... cambiare
rotta mi sembra improbabile.

>  oppure proponendo policy 
> che siano il giusto compromesso tra un livello opportuno di sicurezza e la 
> facilità d'uso anche per i meno esperti.

Risolta da un dispositivo ad hoc che faccia solo quelle 3 funzioni e
basta, proprio come un telecomando un televisore, una torcia ...

> Le soluzioni estremistiche, in questo momento, sono utili solo a chi rema 
> contro.

Le soluzioni di compromesso invece sono utili solo a incasinare tutto,
la firma o è certa o non vale i bit su cui è apposta ...

Simo.

-- 
Simo Sorce - simo.sorce@xsec.it
Xsec s.r.l. - http://www.xsec.it
via Durando 10 Ed. G - 20158 - Milano
mobile: +39 329 328 7702
tel. +39 02 2399 7130 - fax: +39 02 700 442 399

This is a digitally signed message part