SECURITY

Comitato consultivo sulla governance di Internet
Sabato, 30 Settembre, 2006
SECURITY - Creating trust and confidence through collaboration Protecting users from spam, phishing and viruses while protecting privacy.
Autori: 
Laura Abba
Antonino Mazzeo
Stefano Trympy

Premessa

Il tema della security della rete è potenzialmente molto vasto; questo tema si accompagna spesso ad altri termini quale la robustezza, la ridondanza, la stabilità della rete, etc. Insomma la sicurezza è un tema che tocca la architettura della rete stessa e tutti gli accorgimenti per contrastare gli usi distorti della rete che danneggiano gli utenti e che favoriscono quello che si chiama genericamente "crimine informatico". In aggiunta, quando si parla di Società dell’Informazione, si deve tener conto anche della periferia, dei nodi della rete e quindi entra in ballo anche la sicurezza dei PC e degli strumenti vari che sono collegati alla rete. Nel titolo della sessione del prossimo IGF sono riportate due parole chiave: la fiducia “trust” nello strumento rete e la confidenza “confidence”, qualità che devono essere raggiunte attraverso la collaborazione reciproca “trust and confidence through collaboration”. I termini “trust” e “confidence” sono di per sé molto vicini; si può dire che un utente che voglia fare delle operazioni commerciali sulla rete ha bisogno di “trust”, cioè di potersi fidare di transazioni sicure; se invece l’utente vuole interagire con le comunità virtuali sulla rete, ha bisogno di “confidence” ovverosia di non sentirsi spiato e di poter proteggere la propria privacy, compatibilmente con le regole di comunicazione della comunità virtuale di cui è entrato a fare parte.

Se guardiamo nel dettaglio ai risultati del summit di Tunisi, vediamo citati, nei vari documenti ufficiali, i seguenti temi che rientrano nella sfera della security:

  1. spam,
  2. prosecution of cybercrime,
  3. enhancing the protection of personal information, privacy and data,
  4. promote international cooperation among, inter alia, law-enforcement agencies on cybercrime,
  5. protect the Internet and other ICT networks from threats and vulnerabilities.

1 - spam

Tra questi temi, quello dello spam è citato normalmente come primo della lista perché lo spam danneggia tutti gli utenti con un severo impatto su coloro che sono connessi a basse velocità trasmissive; danneggia inoltre ugualmente i fornitori di servizi che devono dedicare risorse tecnologiche ed umane per memorizzare i dati che arrivano e gestire specifiche procedure antispam. Come definizione di spam possiamo assumere: “Comunicazione elettronica non richiesta e massiva”; si può aggiungere che lo spam riguarda i contenuti che circolano sulla rete e che è collegato ad un utilizzo non autorizzato degli indirizzi degli utenti carpito con modalità fraudolente. Questo fenomeno patologico della rete accomuna tutti i paesi, da quelli più sviluppati tecnologicamente a quelli meno sviluppati. Nell’ attesa di possibili soluzioni tecniche per rimediare alle carenze proprie del protocollo di posta (lo spam è una caratteristica implicita dello SMTP, così come è stato implementato ormai molti anni fa), è importante produrre normative coerenti tra paesi diversi e attivare organismi di vigilanza. Qui emerge con evidenza la necessità della collaborazione per migliorare la confidenza nello strumento rete poiché solo con la collaborazione tra stati ed organizzazioni internazionali preposte alla gestione e sicurezza della rete si potrà ridurre sostanzialmente il fenomeno. Sul tema dello spam ISOC ITALIA ha pubblicato il volume La rete contro lo spam, che cos'è, come combatterlo, al quale hanno contribuito alcuni tra i massimi esperti nel settore in Italia.

2 - prosecution of cybercrime

Per quanto riguarda il crimine informatico, se si intende riferirsi ai crimini preesistenti all'uso del mezzo rete, vengono in mente le questioni relative alla pedofilia, alla pornografia, alla istigazione al terrorismo, all'odio razziale, alle frodi varie di tipo commerciale, etc. Mentre per la pedofilia vi è un concetto generalmente condiviso nel mondo che debba essere perseguita, per quanto riguarda la pornografia, vi sono sensibilità diverse che cambiano da stato a stato; nell'ambito del reato di opinione o di offesa a simboli di vario tipo, la sensibilità potrà essere alquanto diversa, anche all'interno di una stessa nazione. È noto che oggi i ministeri dell'interno con le loro polizie ed i servizi di “intelligence” si avvalgono ampiamente dello strumento Internet per le loro indagini; è altresì ovvio che gli strumenti di indagine utilizzati possono risultare in contrasto con il diritto alla privacy del singolo utente della rete. Su questo tema è in corso un ampio dibattito, per esempio per quanto riguarda un servizio collegato ai nomi a dominio chiamato WHOIS (servizio che permette di riconoscere la titolarietà dei registranti dei circa 90 milioni di nomi a dominio oggi registrati in Internet). Alcuni ministeri degli interni, con gli USA in testa, vorrebbero poter avere più dati e resi maggiormente affidabili da parte dei fornitori di servizi, rispetto a quelli attualmente resi disponibili; altri governi intendono proteggere maggiormente la privacy e ricorrere ad altri sistemi di accertamento delle responsabilità dei soggetti che fanno uso della rete. Anche questo fenomeno riguarda i contenuti della informazione che circola sulla rete; la rete di per sé non ha altra “responsabilità’” se non quella di avere velocizzato le comunicazioni.

3 - enhancing the protection of personal information, privacy and data

Quanto detto relativamente ai punti precedenti tocca anche questo argomento relativo al rispetto della privacy ed alla protezione dei dati personali. Come accennato sopra, occorre tutelare i diritti dell’utente evitando che la rete diventi un “grande fratello” capace di invadere la sfera dei diritti dell’individuo. Al contempo occorrono strumenti per perseguire il “crimine informatico” seguendo vie preferenziali che devono rendere disponibili dati riservati per i soli inquirenti o per gli utenti della rete che ritengono violati i loro diritti di marchio o segni distintivi dall’uso di un determinato nome. L’accordo sulle garanzie in questo senso risulterà fondamentale se pure di non facile e trasparente applicazione.

4 - promote international cooperation among, inter alia, law-enforcement agencies on cybercrime

Per quanto riguarda questo punto, si è già detto al punto 2. La collaborazione internazionale tra gli enti preposti alla gestione e sicurezza della rete favorita dai governi sarà elemento fondamentale, specialmente per quanto riguarda lo spam.

5 - protect the Internet and other ICT networks from threats and vulnerabilities

Questo punto riguarda le patologie tipiche della rete; lo spam si è detto è reso possible dal “furto” massivo degli indirizzi che possono essere reperiti in vari modi sulla rete; dallo spam derivano altre patologie come il

  • phishing
    Termine creato per assonanza con fishing (to fish=pescare). È l'uso illegale di sistemi quali email e siti web in maniera tale da simulare raccolte di dati da parte di importanti compagnie presenti su Internet, con lo scopo di carpire informazioni (numero di carta di credito in primo luogo);
     
  • virus
    Un programma o del codice che si replica autocopiandosi o utilizzando un programma per copiarsi. Alcuni virus si rivelano subito, appena il codice viene eseguito, altri rimangono latenti fino a che non si verificano alcune circostanze. Qualche volta sono benigni, non danneggiano il sistema infettato ma si manifestano con immagini o suoni, altre invece sono di carattere maligno. Questi possono cancellare dati, rendere il PC scarsamente utilizzabile o danneggiare il sistema ospite.
     
  • dialer
    Programma per computer che crea una connessione ad Internet o semplicemente ad un altro computer tramite la comune linea telefonica o un collegamento ISDN. Questi programmi sono in grado, se configurati con l'intento di frodare, di connettersi a numerazioni a tariffazione speciale come i numeri esteri.
     
  • denial of service
    Un attacco progettato per prevenire il normale funzionamento di un sistema e quindi prevenire accesso legale al sistema da utenti autorizzati. Gli hacker possono provocare attacchi denial of service distruggendo o modificando i dati o sovraccaricando i server di un sistema finché il servizio a utenti autorizzati viene ritardato o bloccato.

Quelle elencate sopra sono alcune delle più significative “patologie” della rete che minano la confidenza e la fiducia nello strumento; i gestori dei servizi di rete e gli utenti sono fortemente danneggiati da questi usi distorti della rete che non sempre sono motivati da scopi economici fraudolenti ma spesso da scopi puramente dimostrativi della debolezza di sistemi che vorrebbero dimostrare di essere inattaccabili.

Per quanto riguarda le vulnerabilità della infrastruttura di rete e gli attacchi malevoli, questi aspetti possono appropriatamente rientrare nel crimine informatico; anche in questo caso è fondamentale la collaborazione tra stati per riuscire a ridurre il fenomeno.

Alcuni punti di forza della rete, stanno diventando, come rovescio della medaglia, dei punti deboli:

  • Internet non è strutturata, essendo costituita da un mesh di interconnessioni ad hoc, quindi non è governabile dal punto di vista strutturale. Di fatto perimetri di elevate dimensioni sono quasi impossibili da controllare;
  • non esiste, e non può esistere per ragioni di scalabilità, un'autorità centrale che garantisca una qualsiasi forma di un controllo centralizzato o distribuito delle transazioni/connessioni. Qualsiasi logica di controllo o backtracing (tracciamento a ritroso) è totalmente dipendente dalla logica di cooperazione fra network managers. Accanto a questo, si verificano i seguenti fatti:
  • Esiste un problema dimensionale, quindi di "numeri", in continua e costante crescita sia relativamente agli utenti che al verificarsi di problemi di sicurezza. Ad esempio (fonte keynote conferenza RSA 2006): a fronte di 155 Milioni di nuovi utenti di rete nel 2005, si prevedono entro 4 anni 2 miliardi di macchine stabilmente collegate attraverso tecnologie broadband e altrettante collegate in wireless in modalità nomadica. Questo trend di crescita fa nascere dei dubbi sulla effettiva fisica possibilità di governare il sistema dal punto di vista della security.
  • Il mercato della security ha avuto una consistenza nel 2005 di 18 miliardi di dollari e sta registrando negli ultimi anni un tasso di crescita (in incremento) del 12/15% annuo.
  • I danni (dichiarati) da violazioni della security, viceversa sono stati misurati in 50 miliardi di dollari, con un tasso di crescita del 45% annuo. Questo la dice lunga sulla sostenibilità del trend economico.
  • Con questi numeri diventa serio il contrasto tra la protezione della privacy ottenuta ad esempio rendendo anonimo l’indirizzo originante e la persecuzione del crimine informatico; in questo modo le attività illegali o comunque ostili possono essere celate più facilmente nascondendosi nell'anonimato.
  • Nella logica della cooperazione internazionale fra i gestori esiste ancora scarsa esperienza, né esiste disponibilità di grandi mezzi, ed è tuttora poco sentita la necessità di applicare globalmente dei filtraggi anti-spoofing, in mancanza dei quali è quasi impossibile tracciare attacchi intermittenti di breve durata, da origini fittizie che cambiano continuamente.
  • Infine, esiste un problema serissimo di evoluzione del grado di sofisticazione, criticità e nocività delle minacce, spesso dirette verso la componente infrastrutturale (anche globale), decisamente più critica del singolo host, con una variazione delle dinamiche di diffusione che sono passate in pochi anni da tempi relativamente lunghi a pochi secondi.

Dei temi relativi alla struttura centrale della rete, in particolare al sistema di indirizzamento (Domain Name System) si occupa ICANN (Internet Corporation for Assigned Names and Numbers); all’interno di ICANN opera il Security and Stability Committee che è formato da alcuni dei massimi esperti della infrastruttura di Internet. ll comitato in questione opera in collegamento con la Internet Society (ISOC) all’interno della quale sono attivi lo IETF (Internet Engineering Task Force) che ha il compito di produrre gli standard della rete e lo IAB (Internet Architectural Board).

Le soluzioni tecniche per risolvere i problemi di sicurezza e stabilità della rete sono in continua evoluzione ma richiedono dei tempi medio/lunghi prima che i rimedi siano adottati da tutti gli operatori/utenti e possano dimostrarsi risolutivi. Nell’incontro di Atene non ci sarà spazio per approfondire le questioni tecniche ma piuttosto si dovranno trovare accordi per alleviare i problemi di cui si è accennato sopra, di fronte ad una espansione continua degli utenti della rete.

Elementi propositivi per una posizione concordata

La responsabilità per la sicurezza è distribuita e coinvolge tutta la filiera, dagli utenti finali, ai fornitori di personal computer e servizi di assistenza, ai fornitori di connettività e servizi di rete, ai gestori della rete stessa; ed inoltre “giuristi e legislatori per produrre normative che siano adeguate ai nuovi paradigmi della rete, primi fra tutti la sovra-nazionalità dell’ambiente, e la necessità di leggi e regolamenti coerenti tra paesi diversi. La rete infatti annulla le distanze geografiche ed il concetto di localizzazione di servizi ed utenti, e questo ha effetti potenzialmente disastrosi nel caso di attività illecite. L’esistenza sulla rete di “paradisi” per attività illecite, anche nel più remoto angolo del pianeta, è ben più deleteria di qualsiasi “paradiso fiscale” o simile in altri campi. Infatti un “paradiso degli spammer” anche agli antipodi, è un paradiso in casa nostra, ma molto difficile da perseguire legalmente. Un’ulteriore punto su cui è molto importante insistere: giuristi e legislatori devono colloquiare ed interagire con i tecnici del settore, per evitare di scrivere leggi e regolamenti inattuabili, o ancor peggio dannosi. E lo stabilire un linguaggio comune ed una comprensione reciproca è fondamentale” [La rete contro lo spam, che cos'è, come combatterlo -  relazione di Claudio Allocchio]. Per ottimizzare l’azione verso il risultato migliore, devono esistere canali preferenziali per l’interazione tra le realtà della rete e gli organismi di controllo, ed anche questi canali devono prescindere dalla realtà “nazionale” della rete.

Ulteriore, ma non ultimo, compito degli organismi di vigilanza è quello di agire con rapidità, e sopratutto di concerto con gli organismi interni di controllo della rete stessa. L’oculatezza nell’azione è fondamentale: è molto meglio a volte lasciare agire uno spammer per un pò di tempo per scoprirne le relazioni e le complicità, che intervenire immediatamente stroncando il problema puntuale, ma senza scoprirne le connivenze e complicità. Fondamentale una sensibilizzazione ed istruzione capillare calibrata per ciascuno dei settori coinvolti.

È inoltre necessario perseguire la maggiore uniformità possibile negli obiettivi di sicurezza della rete e dei dati ed applicare criteri/strumenti standard per realizzarli nei vari stati. La struttura portante della rete è soggetta a vulnerabilità come nei casi di “distributed denial of service attacks”. Anche altri possono essere gli attacchi alla struttura portante ma di norma i criteri di sicurezza sono stringenti e la qualificazione professionale degli attori coinvolti è elevata. I problemi della sicurezza sono più sentiti nella “periferia” della rete.

Nel futuro le vulnerabilità potranno solo aumentare e quindi è necessario un investimento in ricerca ed educazione; inoltre necessaria una maggiore collaborazione, anche a livello governativo.