Seconda parte del mio resoconto sulla "chattata di gruppo" dalla tematica sicurezza e privacy, ispirata dalla norma (eliminata) che avrebbe dato alle autorità il via libero sul controllo informatico sui dispositivi di ogni cittadino.
Questa è la parte più pratica, ove in modo superficiale - perché gli argomenti sono ampissimi e non è lo scopo di questo articolo esaurirli - farò una "carellata" su cosa si può (e cosa NON si deve) fare per proteggersi nella vita (digitale) di tutti i giorni.
Parte 1: 'Open Source On Air' sul decreto governativo e temi correlati
Ricordo che 'Open Source On Air' è un'iniziativa di Valentino Mannara e del gruppo Facebook 'LINUX... lasciate perdere Windows!': una video chat di gruppo (tramite Hangouts) nella quale discutere temi inerenti all'Open Source.
Il gruppo Facebook: LINUX... lasciate perdere Windows!
Il blog aziendale di Valentino: Shadow Lionheart
Ipotesi del decreto: Repubblica.it
Stralciata la norma discussa: La Stampa
- Indice dell'articolo completo
- La questione etica: alcune riflessioni
- La questione pratica: introduzione
- Navigare anonimi e sicuri
- Navigazione anonima: TOR
- Sicurezza in casa: antivirus, firewall, antispyware, ecc...
- L'utonto
- Possibili falle tecniche
- La domanda: cosa possono "vedere" loro?
- Conclusioni
- Navigare (il più possibile) anonimi e sicuri
ma se anche nella semplice navigazione quotidiana lasciamo tracce ovunque dei "posti" che visitiamo [...] allora è ovvio che la nostra privacy è almeno in parte compromessa.E questo rende evidenti due cose semplici:
- è opportuno non lasciare tracce (o il meno possibile) se si vuole tutelare al meglio la propria privacy
- inutile fare sforzi contro gli 007 che abbiamo alle calcagna (?) se poi andiamo su FB a dire al mondo anche quando ci prude il naso
Intanto perchè in molti casi le tracce della nostra privacy sono anche tracce della nostra connessione, per cui si stabilisce un collegamento biunivoco tra i nostri dati e la strada (logica, ma al limite - avendo accesso ai dati ISP - addirittura fisica) che porta a noi. Inoltre vi sono molti attacchi, soprattutto basati sui browser, che sfruttano la localizzazione e le impostazioni personali "permissive" (ad esempio i famosi cookies).
Vi dice niente un avvertimento che suona generoso, tipo «usiamo i cookies per garantirti una navigazione migliore»?
Ecco, senza voler diffondere alcuna (ingiustificata, al momento) paranoia, sta di fatto che spesso le misure che ci "facilitano" la vita da un punto di vista meramente pratico (abilita questo che lo facciamo per te, spunta quest'altro che hai il servizio, ecc...) sono di fatto vere e proprie intromissioni nella nostra privacy; e quindi, come viene fuori in questo caso e vedremo in molti altri, di rimando anche della nostra sicurezza.
PS: nel 99% dei casi i cookies vengono usati per profilare le preferenze (internettiane per lo meno) degli utenti e quindi "proporre" ADS inerenti a quelle preferenze; ecco perché appaiono sempre nei siti blogspot e in generale in tutte quelle piattaforme che ne fanno largo uso...
- Navigazione anonima: TOR
- software client (browser o altro)
- hardware client (modemo, router, ecc...)
- linea fisica
- linea logica (protocollo, trasporto, ecc...)
- gestione ISP
- gestione server
Dato che stiamo parlando di una difesa basilare, per un utente "normale" e per un uso quotidiano, taglio corto e passo al dunque, ovvero: TOR è la cosa che riunisce al meglio l'efficacia e la facilita d'uso.
Link: homepage di TOR & GitHub-TORtp
A cosa serve
Ovviamente a renderci anonimi durante la navigazione. Esiste in versione 'Browser', 'Cloud', ecc... Io qua parlo del browser perché è quello che conosco, ed anche perché è l'applicazione più usata/usabile; farò un accenno al 'Transparent Protocol', per conoscenza.
Come si usa
Parlando del browser, è semplicissimo - e vi sono istruzioni dettagliate sul sito, comunque:
- si scarica il pacchetto (bundle) dal sito relativo al nostro SO
- si decomprime il contenuto
- si avvia il browser contenuto nella cartella
Vedrete che il browser è un Firefox già integrato con Vidalia (il "gestore" del protocollo TOR), che ovviamente funziona di default in modalità anonima e che ha già inserito il plug-in 'No-Script', Java disattivato e la possibilità di "forzare" la connessione ad essere sempre in versione sicura (https).
Come funziona
Non ve lo dico perché di preciso non lo so nemmeno io, ma poi se state leggendo qui non vi interessa fino a questo punto :)
Grossolanamente, diciamo che il modo più comune, "antico" e conosciuto per anonimizzarsi è usare uno o più proxy; che però portano diversi svantaggi, soprattutto derivanti dal fatto che sono statici - ovvero sono dei server fissi che funzionano (anche) per quello scopo. Quindi bisogna conoscerli a priori (le famose "liste di proxy"), sono più facilmente tracciabili e monitorabili, ecc...
TOR usa il concetto base dei proxy (far rimbalzare la connessione qua e là), al quale aggiunge la crittografia "a strati" (da cui la cipolla) ed usa dei relays (nodi) che sono di fatto gli utenti stessi (speciali) che usano TOR.
Tuttavia, oltre alla anonimizzazione, questo ha due effetti collaterali (principali), uno negativo e l'altro positivo:
- rallenta la connessione
- consente di "saltare" alcuni blocchi, ad esempio quello dei DNS
Altri usi: anti-bloccoDNS e deep web
Questo ultimo effetto è particolarmente gradito ove vi siano controlli aprioristici attraverso blocchi imposti da chi gestisce la linea (in genere gli ISP, fornitore del servizio internet, su loro scelta o su comando delle autorità). Inutile dire che questa aperta violazione della neutralità della rete è regolarmente applicata in Italia (cominciando da da Telecom, ma gli altri si sono rapidamente adeguati - quando vogliono sono veloci) e quindi TOR ci viene in soccorso se vogliamo visitare uno dei siti "bloccati" ma non vogliamo cambiare permanentemente i nostri DNS.
Anche per lo stesso motivo TOR è l'applicazione più usata per la navigazione nel cosiddetto "deep web" (Web sommerso), oltre ovviamente al fatto che l'accesso alle pagine ne è vincolato dalle stesse e che, generalmente, chi "viaggia" in certi lidi non ci tiene a farsi tracciare...
Comunque Aaron Swartz ha messo in piedi il progetto Tor2web che consente l'uso dei normali browser senza bisogno di TOR. Ma che, di contro, NON garantisce alcun anonimato.
Altri usi: Transparent Protocol
Il TOR-browser consente la navigazione anonima via browser. Ma per avere una connessione protetta integralmente? Esistono diversi sistemi, alcuni già preparati ed illustrati nella homepage di TOR. Tuttavia sono principalmente rivolti alla navigazione, solo su diversi device.
Su piattaforma Linux esiste un tool, TORtp (che sta per TOR Transparent Protocol) che consente di torrificare l'intera connessione in uscita, non solo quella via browser. Il suo uso e molto semplice, basta scaricare il pacchetto, installarlo con lo script fornito, lanciare l'eseguibile ed usare il menù testuale per iniziare la "protezione" della connessione; dallo stesso menù si può poi interrompere.
Quindi panacea di tutti i mali?
Ovviamente NO!
Anche se il TOR-browser ci fornisce un browser pulito, consentendo anche agli utenti meno attenti (soprattutto utenti windows, soggetti ad ogni sorta di spyware in rete) un'applicazione sicura - a priori, è anche successivamente che si possono creare problemi. Come scritto e suggerito ripetutamente nelle istruzioni di TOR, Java, script, plug-in (tipo l'odiatissimo ed odiabilissimo Flash) possono essere "porte aperte" che vanificano in un lampo anche la protezione più sofisticata; anche l'uso di una connessione non protetta espone a pericoli maggiori, ovviamente. Per cui un primo fattore di indebolimento della protezione e l'uso di questi software.
Un secondo fattore è il sistema su cui si opera. Anche avendo un browser pulito (quindi eslcudendo banner, barre di ricerca e plug-in poco trasparenti), TOR non è un software di ricerca malware, per cui non può garantire che sul sistema sia già presente una spia di qualche tipo (spyware, sniffer, keylogger, ecc...) che, essendo già impiantato, sia in grado di scavalcare il controllo del browser e quindi ne vanifichi, nel caso di TOR, le proprietà di sicurezza. Utente (sempre di Windows) avvisato, mezzo anonimizzato :P
Un terzo punto critico, il più pericoloso e dolente, è il fatto che TOR è ben conosciuto dalle autorità, soprattutto americane (CIA e FBI in testa). Diversi relays si sono rivelati veri e propri intrusi controllati da suddette autorità; inoltre, a causa del punto di forza che è la capillarità e la dinamicità non controllata della rete TOR, sono state rivelate di contro falle di sicurezza infide e pericolose. Il fatto che sia un software così potente e al contempo facile da usare, rende potenzialmente incontrollabile qualsiasi cittadino, cosa che agenzie abituate ad avere il controllo (poco importa se legale o meno) di tutto ovviamente non approvano affatto. Per cui TOR è costantemente oggetto di studio e di attacco, che sia mediatico, sociale, tecnico o politico, rimane il fatto che e letteralmente bersagliato; noi "conosciamo" la realtà americana, ma chissà quali e quante altre agenzie hanno messo o provato a mettere le loro grinfie su TOR...
Ma attualmente TOR è ancora (sufficientemente) sicuro per una navigazione "normale"; ricordando che NULLA in rete (ma forse ovunque) è davvero sicuro. Ma se cercate di far partire un missile nucleare dall'Alaska, magari non basta a proteggervi... :D
Link: articolo di Wired.it
- Sicurezza in "casa"
Come già accennato, è inutile mettere muri altissimi e poi lasciare la porta aperta. Per cui, come appena visto riguardo a TOR, l'uso di sistemi anche ottimi per la propria protezione e vano se abbiano "il nemico" stesso all'interno del NOSTRO sistema!
E per questo, comunque la si pensi, il software Open Source è oggettivamente più sicuro, per tre ragioni immediate:
- il codice è aperto, di conseguenza non vi si possono nascondere malware
- un'altra conseguenza e che il codice e analizzabile dall'intera Comunità, così eventuali bug vengono fixati molto (ma molto) più velocemente - M$ il mese scorso ha corretto una falla vecchia di 15 (quindici!) anni...
- è poco (o per nulla) appetibile commercialmente, soprattutto in genere ripudia accordi commerciali che implichino la violazione dei principi dell'Open
Altra considerazione, che sarebbe tecnicamente marginale ma che, nella pratica quotidiana degli utenti meno smaliziati, diviene invece fondamentale, è il fatto che in ambito Open Source tutti (o quasi) i software sono di siffatta natura, mentre in Windows viceversa tutti i software (anche quelli free=gratis!) sono closed. Questo, unito al fatto che in ambito proprietario ovviamente i software gratuiti fanno gola, perchè più rari (e soprattutto molto rari quelli di qualità), fa sì che tali "programmini" siano delle vere e proprie "lanterne per falene", usati per attirare utenti poco attenti o disposti a qualche "compromesso" pur di avere qualcosa in più gratis, e quindi dei veri e propri "cavalli di Troia" per riempire i sistemi di spyware e malware di ogni tipo, anche in modo visibile tanto ormai ci si è fatta l'abitudine.
Vi è mai capitato di installare un programma e ritrovarvi poi nel browser una barra d ricerca che non c'era? Oppure di scorgere tra le applicazioni installate nomi misteriosi che nulla c'entrano con quello che vedete nel menù grafico? Ecco... e queste sono le cose più visibili, figuratevi cosa c'è sotto...
Antivirus
Gli antivirus moderni sono evoluti e non fanno più solo quello che dice il loro nome: proteggono (o dovrebbero) da virus, spyware, dailer, trojan, ecc...
Tuttavia non è detto che funzionino così bene e, soprattutto, non e detto che non possano essere oggetto loro stessi di software indesiderato.
Ad esempio... Kaspersky e i servizi segreti russi
Inoltre nella chat di gruppo Valentino Mannara ha menzionato la propria esperienza professionale, rispondendo ad alcune domande sulle varie "marche" di antivirus, confermando IN PIENO quanto dicevo in proposito nella mia pagina sulla sicurezza, che e vecchiotta ma evidentemente ancora attuale (su questo, almeno).
In breve: NON è vero che un antivirus, solo perchè è a pagamento, sia migliore; anzi, sono da evitare in quanto fanno pagare per cose che si trovano gratuitamente - ed inoltre sono oggetto di attenzioni particolari, come evidenziato dal link sul Kaspersky.
Tra quelli gratuiti i più conosciuti ed affidabili sono tre: Avast, Avira e AVG. il primo risulta un vero e proprio "mattone" e non efficiente in proporzione, l'ultimo altalenante nell'efficienza (dipende molto dagli aggiornamenti, alcuni validi altri disastrosi) anche se molto più leggero; è Avira a mio (e suo) avviso il miglior compromesso, ed è anche effettivamente il migliore in senso assoluto: Free Antivirus Comparision.
Firewall e Antispyware
Usando Avira (nei tempi remoti in cui utilizzavo ancora winzozz) non ho troppa esperienza con questi tool, perchè Avira bloccava gia efficacemente il 90% di malware di ogni tipo. Tuttavia per avere una protezione completa su sistemi Windows, dovete sapere che:
- è un'utopia, perchè il sistema stesso non e sicuro (ed ecco perchè mi accontentavo del 90%)
- per aumentare un po' la percentuale sono necessari altri software, in particolare firewall e antispyware
Il software antispyware ha il compito di individuare e rimuovere eventuali intrusi di questi tipo nel sistema. I suoi difetti principali sono due:
- agisce a posteriori, quando il nemico è già entrato
- agisce principalmente basandosi su confronto di azioni note, per cui può (ed è) essere studiato appositamente per lasciare stare software particolarmente "sponsorizzati" - come lo spyware che usa M$ di base nei suoi sistemi per verificar l'autenticità della licenza (e chissà che altro)
In ogni caso, considerando che l'uso di questi due tool aggiungerebbe pochi punti percentuali alla sicurezza - che come abbiamo visto rimane sempre di molto al di sotto dell'optimum (che non è il 100% perché sarebbe impossibile, ma ci si può avvicinare su OS GNU/Linux), che sono software (soprattutto il firewall) pesanti ed invadenti, che quelli gratuiti sono spesso inefficienti, insomma avevo scelto di stare senza e non riscontrai particolari problemi. Ovviamente usando sempre un po' di accortezza.
Cifratura
A differenza di prima, questo argomento riguarda sia sistemi Win che sistemi GNU/Linux, perchè agisce sulla struttura stessa dei dati. Lo accenno brevemente, perchè poi lo voglio analizzare un po' meglio quando risalirò la pila dei livelli...
Se parliamo esclusivamente di privacy (in soldoni: non far leggere i nostri casi agli altri), la prima cosa applicabile sui nostri dati e l'ultimo scoglio da superare per chi vuole violarli è la cifratura. Quello che possiamo fare sul nostro sistema, sempre e comunque perché appunto è fattore interamente gestibile da noi (a differenza di connessione, trasparenza del software - se usate software proprietario - ecc...), è cifrare i nostri dati sensibili.
È diventata una cosa alla portata di tutti, ormai vi sono decine di programmi facilmente usabili che lo fanno. È ovvio che, anche in questo caso, risulta inutile tanta precauzione se poi si usa software proprietario, perché al suo interno potrebbero esservi backdoor - in questo caso soprattutto concettuali, ovvero implementazioni e/o algoritmi volutamente bacati - che ne vanificano l'apparente garanzia di sicurezza.
E insomma, a dirla in breve: se vogliamo privacy (e sicurezza), la prima cosa che dobbiamo rendere sicura è la nostra casa. Per farlo, il sistema più semplice ed efficace è quello di usare software Open Source, a partire dal sistema operativo.
USATE GNU/LINUX!
Nessun commento:
Posta un commento