Premessa
Il tema della security della rete è potenzialmente molto vasto; questo tema si accompagna spesso ad altri termini quale la robustezza, la ridondanza, la stabilità della rete, etc. Insomma la sicurezza è un tema che tocca la architettura della rete stessa e tutti gli accorgimenti per contrastare gli usi distorti della rete che danneggiano gli utenti e che favoriscono quello che si chiama genericamente "crimine informatico". In aggiunta, quando si parla di Società dell’Informazione, si deve tener conto anche della periferia, dei nodi della rete e quindi entra in ballo anche la sicurezza dei PC e degli strumenti vari che sono collegati alla rete. Nel titolo della sessione del prossimo IGF sono riportate due parole chiave: la fiducia “trust” nello strumento rete e la confidenza “confidence”, qualità che devono essere raggiunte attraverso la collaborazione reciproca “trust and confidence through collaboration”. I termini “trust” e “confidence” sono di per sé molto vicini; si può dire che un utente che voglia fare delle operazioni commerciali sulla rete ha bisogno di “trust”, cioè di potersi fidare di transazioni sicure; se invece l’utente vuole interagire con le comunità virtuali sulla rete, ha bisogno di “confidence” ovverosia di non sentirsi spiato e di poter proteggere la propria privacy, compatibilmente con le regole di comunicazione della comunità virtuale di cui è entrato a fare parte.
Se guardiamo nel dettaglio ai risultati del summit di Tunisi, vediamo citati, nei vari documenti ufficiali, i seguenti temi che rientrano nella sfera della security:
1 - spam
Tra questi temi, quello dello spam è citato normalmente come primo della lista perché lo spam danneggia tutti gli utenti con un severo impatto su coloro che sono connessi a basse velocità trasmissive; danneggia inoltre ugualmente i fornitori di servizi che devono dedicare risorse tecnologiche ed umane per memorizzare i dati che arrivano e gestire specifiche procedure antispam. Come definizione di spam possiamo assumere: “Comunicazione elettronica non richiesta e massiva”; si può aggiungere che lo spam riguarda i contenuti che circolano sulla rete e che è collegato ad un utilizzo non autorizzato degli indirizzi degli utenti carpito con modalità fraudolente. Questo fenomeno patologico della rete accomuna tutti i paesi, da quelli più sviluppati tecnologicamente a quelli meno sviluppati. Nell’ attesa di possibili soluzioni tecniche per rimediare alle carenze proprie del protocollo di posta (lo spam è una caratteristica implicita dello SMTP, così come è stato implementato ormai molti anni fa), è importante produrre normative coerenti tra paesi diversi e attivare organismi di vigilanza. Qui emerge con evidenza la necessità della collaborazione per migliorare la confidenza nello strumento rete poiché solo con la collaborazione tra stati ed organizzazioni internazionali preposte alla gestione e sicurezza della rete si potrà ridurre sostanzialmente il fenomeno. Sul tema dello spam ISOC ITALIA ha pubblicato il volume La rete contro lo spam, che cos'è, come combatterlo, al quale hanno contribuito alcuni tra i massimi esperti nel settore in Italia.
2 - prosecution of cybercrime
Per quanto riguarda il crimine informatico, se si intende riferirsi ai crimini preesistenti all'uso del mezzo rete, vengono in mente le questioni relative alla pedofilia, alla pornografia, alla istigazione al terrorismo, all'odio razziale, alle frodi varie di tipo commerciale, etc. Mentre per la pedofilia vi è un concetto generalmente condiviso nel mondo che debba essere perseguita, per quanto riguarda la pornografia, vi sono sensibilità diverse che cambiano da stato a stato; nell'ambito del reato di opinione o di offesa a simboli di vario tipo, la sensibilità potrà essere alquanto diversa, anche all'interno di una stessa nazione. È noto che oggi i ministeri dell'interno con le loro polizie ed i servizi di “intelligence” si avvalgono ampiamente dello strumento Internet per le loro indagini; è altresì ovvio che gli strumenti di indagine utilizzati possono risultare in contrasto con il diritto alla privacy del singolo utente della rete. Su questo tema è in corso un ampio dibattito, per esempio per quanto riguarda un servizio collegato ai nomi a dominio chiamato WHOIS (servizio che permette di riconoscere la titolarietà dei registranti dei circa 90 milioni di nomi a dominio oggi registrati in Internet). Alcuni ministeri degli interni, con gli USA in testa, vorrebbero poter avere più dati e resi maggiormente affidabili da parte dei fornitori di servizi, rispetto a quelli attualmente resi disponibili; altri governi intendono proteggere maggiormente la privacy e ricorrere ad altri sistemi di accertamento delle responsabilità dei soggetti che fanno uso della rete. Anche questo fenomeno riguarda i contenuti della informazione che circola sulla rete; la rete di per sé non ha altra “responsabilità’” se non quella di avere velocizzato le comunicazioni.
3 - enhancing the protection of personal information, privacy and data
Quanto detto relativamente ai punti precedenti tocca anche questo argomento relativo al rispetto della privacy ed alla protezione dei dati personali. Come accennato sopra, occorre tutelare i diritti dell’utente evitando che la rete diventi un “grande fratello” capace di invadere la sfera dei diritti dell’individuo. Al contempo occorrono strumenti per perseguire il “crimine informatico” seguendo vie preferenziali che devono rendere disponibili dati riservati per i soli inquirenti o per gli utenti della rete che ritengono violati i loro diritti di marchio o segni distintivi dall’uso di un determinato nome. L’accordo sulle garanzie in questo senso risulterà fondamentale se pure di non facile e trasparente applicazione.
4 - promote international cooperation among, inter alia, law-enforcement agencies on cybercrime
Per quanto riguarda questo punto, si è già detto al punto 2. La collaborazione internazionale tra gli enti preposti alla gestione e sicurezza della rete favorita dai governi sarà elemento fondamentale, specialmente per quanto riguarda lo spam.
5 - protect the Internet and other ICT networks from threats and vulnerabilities
Questo punto riguarda le patologie tipiche della rete; lo spam si è detto è reso possible dal “furto” massivo degli indirizzi che possono essere reperiti in vari modi sulla rete; dallo spam derivano altre patologie come il
Quelle elencate sopra sono alcune delle più significative “patologie” della rete che minano la confidenza e la fiducia nello strumento; i gestori dei servizi di rete e gli utenti sono fortemente danneggiati da questi usi distorti della rete che non sempre sono motivati da scopi economici fraudolenti ma spesso da scopi puramente dimostrativi della debolezza di sistemi che vorrebbero dimostrare di essere inattaccabili.
Per quanto riguarda le vulnerabilità della infrastruttura di rete e gli attacchi malevoli, questi aspetti possono appropriatamente rientrare nel crimine informatico; anche in questo caso è fondamentale la collaborazione tra stati per riuscire a ridurre il fenomeno.
Alcuni punti di forza della rete, stanno diventando, come rovescio della medaglia, dei punti deboli:
Dei temi relativi alla struttura centrale della rete, in particolare al sistema di indirizzamento (Domain Name System) si occupa ICANN (Internet Corporation for Assigned Names and Numbers); all’interno di ICANN opera il Security and Stability Committee che è formato da alcuni dei massimi esperti della infrastruttura di Internet. ll comitato in questione opera in collegamento con la Internet Society (ISOC) all’interno della quale sono attivi lo IETF (Internet Engineering Task Force) che ha il compito di produrre gli standard della rete e lo IAB (Internet Architectural Board).
Le soluzioni tecniche per risolvere i problemi di sicurezza e stabilità della rete sono in continua evoluzione ma richiedono dei tempi medio/lunghi prima che i rimedi siano adottati da tutti gli operatori/utenti e possano dimostrarsi risolutivi. Nell’incontro di Atene non ci sarà spazio per approfondire le questioni tecniche ma piuttosto si dovranno trovare accordi per alleviare i problemi di cui si è accennato sopra, di fronte ad una espansione continua degli utenti della rete.
Elementi propositivi per una posizione concordata
La responsabilità per la sicurezza è distribuita e coinvolge tutta la filiera, dagli utenti finali, ai fornitori di personal computer e servizi di assistenza, ai fornitori di connettività e servizi di rete, ai gestori della rete stessa; ed inoltre “giuristi e legislatori per produrre normative che siano adeguate ai nuovi paradigmi della rete, primi fra tutti la sovra-nazionalità dell’ambiente, e la necessità di leggi e regolamenti coerenti tra paesi diversi. La rete infatti annulla le distanze geografiche ed il concetto di localizzazione di servizi ed utenti, e questo ha effetti potenzialmente disastrosi nel caso di attività illecite. L’esistenza sulla rete di “paradisi” per attività illecite, anche nel più remoto angolo del pianeta, è ben più deleteria di qualsiasi “paradiso fiscale” o simile in altri campi. Infatti un “paradiso degli spammer” anche agli antipodi, è un paradiso in casa nostra, ma molto difficile da perseguire legalmente. Un’ulteriore punto su cui è molto importante insistere: giuristi e legislatori devono colloquiare ed interagire con i tecnici del settore, per evitare di scrivere leggi e regolamenti inattuabili, o ancor peggio dannosi. E lo stabilire un linguaggio comune ed una comprensione reciproca è fondamentale” [La rete contro lo spam, che cos'è, come combatterlo - relazione di Claudio Allocchio]. Per ottimizzare l’azione verso il risultato migliore, devono esistere canali preferenziali per l’interazione tra le realtà della rete e gli organismi di controllo, ed anche questi canali devono prescindere dalla realtà “nazionale” della rete.
Ulteriore, ma non ultimo, compito degli organismi di vigilanza è quello di agire con rapidità, e sopratutto di concerto con gli organismi interni di controllo della rete stessa. L’oculatezza nell’azione è fondamentale: è molto meglio a volte lasciare agire uno spammer per un pò di tempo per scoprirne le relazioni e le complicità, che intervenire immediatamente stroncando il problema puntuale, ma senza scoprirne le connivenze e complicità. Fondamentale una sensibilizzazione ed istruzione capillare calibrata per ciascuno dei settori coinvolti.
È inoltre necessario perseguire la maggiore uniformità possibile negli obiettivi di sicurezza della rete e dei dati ed applicare criteri/strumenti standard per realizzarli nei vari stati. La struttura portante della rete è soggetta a vulnerabilità come nei casi di “distributed denial of service attacks”. Anche altri possono essere gli attacchi alla struttura portante ma di norma i criteri di sicurezza sono stringenti e la qualificazione professionale degli attori coinvolti è elevata. I problemi della sicurezza sono più sentiti nella “periferia” della rete.
Nel futuro le vulnerabilità potranno solo aumentare e quindi è necessario un investimento in ricerca ed educazione; inoltre necessaria una maggiore collaborazione, anche a livello governativo.