Archivi tag: crittografia

Smettiamola di scrivere stronzate

gruntzooki via Flickr

gruntzooki via Flickr

Sono giorni che ne leggo, alla fine ho deciso di scrivere due righe per commentare la crescente paura riguardo l’impossibilità di effettuare intercettazioni con Skype, venuta alla luce in concomitanza con la scoperta che strumenti analoghi sarebbero usato da terroristi e mafiosi di tutto il mondo per comunicare segretamente tra di loro.

Tralasciando l’imbarazzante livello tecnico dell’articolo appena uscito su BlogVoip (che consideravo attendibile, con ovvio mio errore di valutazione: mi sarei aspettato un articolo simile da una testata generalistica come Repubblica, non da un blog tecnico come questo), la notizia è già stata ripresa da più parti e se ne è discusso abbondantemente.
Troppe le opinioni che sembrano puntare decise verso il trovare una valida possibilità per applicare il meccanismo delle intercettazioni telefoniche anche al VoIP e non escludo (visto l’andazzo degli ultimi anni) che venga avanzata una proposta di legge che rende illegare l’uso della crittografia su internet (-.-).

Anche stavolta (curiosamente dirà qualcuno) mi trovo a fare la voce fuori dal coro: ma perché, i cellulari criptati non esistono? O vogliamo impedire ai mafiosi di usare parole in codice nelle loro frasi? Facciamogli impostare l’evil bit (per i nerd che capiscono la battuta)!

Si parla di privacy su internet, di necessità di essere padroni delle nostre informazioni e ci si spaventa di fronte alle prime conseguenze dirette di tutto ciò? In ogni caso i malintenzionati troveranno una strada per aggirare qualsiasi normativa di legge in questo senso: la crittografia esiste ed è inviolabile, non ci sono santi che tengano. Urlare contro “babau” e “uomo nero” non aiuterà a renderla meno efficace e (soprattutto) non impedirà ai malintenzionati di utilizzarla.

Cerchiamo di usare il cervello e di evitare che questa storia finisca come il Decreto Pisanu, che tutt’ora ci impedisce di usare wifi libero nelle nostre città perché “potrebbe essere usato dai terroristi per comunicare”…

Aumenta la sicurezza degli access point

Qualche tempo fà, durante una serata dell’associazione dedicata alla sicurezza delle reti wireless, siamo andati in giro a “dare un’occhiata” a quello che le onde radio ci mettono a disposizione per Cinisello Balsamo. Nessuna violazione, naturalmente, ma i dati raccolti si sono rivelati particolarmente interessanti.

Aggregati e verificati, ho generato il grafico che potete vedere qui sulla destra: il primo dato che salta all’occhio, almeno agli addetti ai lavori, è l’enorme percentuale di access points “protetti” da crittografia, che sono più dell’80%. Inoltre, dato ancora più interessante, gli access point coperti da “crittografia debole” (e facilmente violabile) come il WEP, sono sul totale meno del 18%.

L’importante inversione di rotta è certamente dovuta al fatto che Telecom (Alice) e Fastweb hanno cominciato a distribuire i loro router wireless già cifrati con WPA: a questo punto mi chiedo: ci voleva poi tanto??

Questo deve far riconsiderare, almeno sotto alcuni aspetti, l’idea che la sicurezza e la semplicità d’uso debbano necessariamente essere in conflitto tra di loro. Mi spiego: è naturalmente vero che spingere sulla sicurezza richiede una riduzione della semplicità d’uso, ma è poi così difficile far accettare agli utenti una banalissima procedura di generazione delle chiavi al momento del primo avvio di un apparato di rete?

Ancora una lezione su OIL

Keys Of Life Ho sempre apprezzato molto il progetto OIL: l’idea che la formazione (anche ben fatta per altro) possa avvernire gratuitamente tramite internet, grazie alla disponibilità di professionisti e non che dedicano il loro tempo al progetto mi piace. Oltretutto sono disponibili al download (tutto sotto Creative Commons per altro) anche molte delle registrazioni delle lezioni passate, il che rende ancora più interessante e completo il servizio reso.

Mi è stata data più volte la possibilità di contribuire attivamente (cosa che ho sempre fatto più che volentieri) e domani sera avrò un’altra possibilità di donare qualcosa di mio al progetto: terrò una lezione introduttiva sulla crittografia ed i Key-Signing-Party. Niente di esoterico, naturalmente, solo un tentativo di chiarire su quali basi si fondi la crittografia (partendo dall’approccio “storico” che mi piace tanto) per arrivare a spiegare cosa siano e come funzionino i ksp.

Per chiunque fosse interessato a seguire, l’appuntamento è (armati di TeamSpeak) alle 21:00 sulla chat dell’aula: vi aspetto numerosi 😛

Dal Festival dell’Innovazione

Eccoci qua, dopo una giornata persa ad attendere che il montaggio del gazzebo in plexiglass fosse terminato, ed una mattinata di configurazione, ho finalmente modo e tempo di postare qualcosa.

Mi trovo a Roma, proprio di fronte al monumento “Ara Pacis Augustae”, dove sto partecipando (come azienda) al Festival dell’Innovazione, che inizia oggi e terminerà domenica 10 giugno, in serata (io però domani notte me ne torno a Milano :P). Per conto dell’azienda, ho partecipato alla realizzazione di un live-cd e di un sistema di crittografia che dovrebbe consentire, idealmente, di comunicare implementando out-of-the-box una crittografia end-to-end su IM (jabber), posta elettronica (POP3 ed SMTP), web (HTTP) e VoIP (Jabbin).

Questa soluzione va a far parte, in questa occasione, di un sistema piu complesso che aggiunge un sistema di “controllo democratico” in modo da garantire l’integrità del sistema descritto. L’installazione dimostrativa prevede uno splendido gazebo in plexiglass (idealmente rappresenta un cubo di vetrocemento) al quale dovrebbero avere accesso 4 persone alla volta, ognuna delle quali in grado di sbloccare uno solo dei 4 lucchetti elettronici che ne proteggono l’apertura (nel nostro caso sono 4 calcolatrici e la porta è aperta :P) e quindi l’accesso al server ivi contenuto. La trasparenza delle pareti consente inoltre un controllo democratico anche dall’esterno della struttura stessa.

L’esperienza si è rivelata molto interessante, sotto diversi punti di vista (soprattutto come esperienza e possibilità di lavorare fianco a fianco con persone di alto livello di questo campo). Tra l’altro, al Festival è presente anche una impressionante esposizione di Retrocomputing, davvero molto molto interessante. Ho fatto qualche milione di foto con il cellulare: vedrò di metterle in giro quando avrò tempo e voglia di tirarle fuori 😛

Questa sera sono a cena niente meno che con Richard M. Stallman e Bruce Parens. Già questo potrebbe valere tutto il lavoro fatto 🙂

Giro anche una copia del volantino che ho scritto questa mattina per presentare l’iniziativa (ideata e progettata dal Progetto WinstonSmith e da Telematics Freedom Foundation).

= Telematica Trasparente =

Dal 7 al 10 giugno 2007, presso il Festival dell’Innovazione a Roma, sarà presente l’installazione “Telematica Trasparente”, riconoscibile per il gazebo trasparente.

== Incipit ==
=== Chi ===
==== Progetto Winston Smith ====
Il Progetto Winston Smith raccoglie un gruppo di persone che hanno deciso di portare avanti gli scopi del progetto in forma anonima e collettiva.
La scelta del nome del protagonista di “1984” di George Orwell vuole riassumere sia i pericoli del tecnocontrollo telematico e della censura e manipolazione dell’informazione, che la necessità di agire per contrastare le spinte che poteri economici e politici hanno sempre esercitato.
Le persone che operano nel progetto hanno deciso di farlo in forma il più possibile anonima, utilizzando gli stessi strumenti che si vuole diffondere; questo non perchè il Progetto stesso tema di essere illegale, o perchè le persone che lo compongono vogliano necessariamente nascondere la loro identità , ma per ampliare e completare le conoscenze di tutti i partecipanti.

==== Telematics Freedom Foundation ====
Nata a Roma nel marzo 2007, la Telematics Freedom Foundation si pone come obiettivo la promozione della democrazia, tramite la promozione di soluzioni telematiche, istituzioni e proposte legislative che puntino ad migliorare ed estendere i diritti di comunicazione e politica partecipativa di tutti.

== Premessa ==
=== Trasparenza del software ===

Il software si può considerare diviso in due grandi categorie: il software proprietario ed il software libero. Quello piu noto è senza dubbio il software proprietario, che, di proprietà della relativa specifica azienda produttrice, viene distribuito (la maggior parte delle volte venduto) in forma binaria, eseguibile. Questa categoria di software, di proprietà esclusiva dell’azienda produttrice, viene concesso in licenza agli utilizzatori finali, ai quali non viene consentito altro che l’uso del software, escludendo cosi la sua ulteriore distribuzione ma soprattutto la possibilità di analizzarlo, verificando le operazioni che esso realmente compie. E’ cosi possibile che un software proprietario esegua “di nascosto” alcune operazioni non volute (ad esempio invii copia delle comunicazioni degli utenti ad un’autorità centrale).
Il software libero, al contrario, viene distribuito (anche) in forma sorgente. Il sorgente è un insieme di files testuali, leggibili e modificabili da qualunquie persona ne abbia le competenze, a partire dai quali è poi possibile generare la forma binaria tramite l’uso di un’applicazione detta “compilatore”, che fornisce cosi il formato eseguibile. Proprio la disponibilità del formato sorgente, può consentire agli utenti il controllo di tutte le operazioni che il software eseguirà , garantendone cosi la completa trasparenza.

=== Trasparenza del hardware ===
Proprio come per il software, esiste dell’hardware affidabile e hardware non affidabile. Da qualche anno infatti, i piu grandi produttori di hardware al mondo si sono uniti in un gruppo (il Trusted Computing Group), il quale ha progettato e cominciato ad inserire nei dispositivi informatici (dai telefonini ai personal computer) alcuni chip di “controllo” (detti Fritz Chip) il cui formato interno e le cui funzionalità non sono state rese pubbliche. I dispositivi che contengono questo genere di chip (di piu in piu diffusi ormai) integrano quindi la possibilità che l’hardware stesso del sistema esegua alcune operazioni non controllate, arrivando anche a violare la privacy degli utenti del sistema.

=== Trasparenza della comunicazione ===
Anche una volta che il software e l’hardware sono stati controllati (usando software libero e hardware privo del chip fritz), la privacy degli utenti non è garantita. La maggior parte dei protocolli di comunicazione che gli utenti utilizzano su internet, sono “in chiaro”, praticamente leggibili a tutte le entità che si pongono nel mezzo della comunicazione (quali ad esempio i server dei provider di connettività ).
Per evitare ciò accasa, è possibile utilizzare insieme a tutti i protocolli piu diffusi (sia quelli per la visualizzazione di pagine web, sia quelli della posta elettronica, sia quelli di messaggeria instantanea e fonia su IP) e con discreta semplicità forme di crittografia che proteggono il contenuto delle comunicazioni lungo tutto il viaggio dall’utente mittente al destinatario della comunicazione, garantendo cosi la privacy della comunicazione.

== L’installazione ==

Per dimostrare e sensibilizzare i visitatori del Festival dell’Innovazione, è stato realizzato ed installato un gazebo trasparente che implementa e consente di dimostrare l’efficacia delle tecnologie sopra descritte.

=== Parti coinvolte ===

La struttura si compone di 3 diverse entità : un server (che fornisce tutti i servizi di comunicazione), i client (tramite i quali gli utenti possono usufruire di queste funzionalità ) ed una parte procedurale di “controllo democratico” che consente la verifica dell’integrità di tutta la struttura.

==== Il server ====

Realizzato interamente con software libero, questo server implementa un server di messaggeria instantaneo il cui protocollo è noto e ben documentato (Jabber) che consente anche l’uso di fonia su IP, un server di posta elettronica completo (sia in ricezione che in invio) ed un server web.
L’accesso al server avviene sempre tramite autenticazione basata su certificati digitali, in modo da evitare l’uso di password, che potrebbero essere “intercettate” durante l’invio al server stesso. Il server non memorizza inoltre alcun dato al proprio interno, ma si limita a inoltrare le comunicazioni ai destinatari richiesti. In questo modo, anche qualora il server cadesse in mani “non fidate”, non ci sarebbe la possibilità di ricostruire ne le comunicazioni avvenute o in corso, ne lo storico delle stesse.

==== I client ====

Realizzati anch’essi con l’uso di sole tecnologie opensource (software libero), i client basano il loro funzionamento su delle distribuzioni GNU/Linux “live-cd” in forma di cdrom. Questi cdrom contentono l’intero sistema operativo, il quale viene avviato all’accensione del pc senza dover essere installato. Durante il processo di avvio, all’utente viene richiesto l’inserimento di una password di sblocco, che consentirà solo a lui l’utilizzo di tutte le chiavi crittografiche necessarie alla cifratura dei dati da trasmettere.
Una volta avviato il sistema, l’utente potrà avviare i vari programmi di gestione della fonia, browser internet e di posta elettronica e, trovandoli già configurati, potrà utilizzarli avvalendosi della sicurezza e riservatezza derivanti dall’uso della crittografia. Al termine della sessione di lavoro, all’utente sarà sufficiente spegnere il computer ed estrarre il cdrom per avere nuovamente accesso al sistema operativo installato sul proprio pc, senza che questo sia stato modificato.

==== Il controllo democratico ====

Per fare in modo che il cuore del sistema (il server che fornisce i servizi) non possa essere manomesso da malintenzionati, l’accesso allo stesso viene consentito solo in presenza di almeno 4 eletti, i quali accompagnano l’eventuale tecnico autorizzato allo svolgimento delle operazioni previste sul sistema. Questi eletti garantiscono un occhio vigile e testimoniano della correttezza delle procedure.
Anche l’assegnazione dei sistemi crittografici che gli utenti useranno saranno regolamentate da procedure analoghe, basate sul principio del “controllo democratico”.

== Interessati? ==
=== Links ===
Progetto Winston Smith – http://www.winstonsmith.info
Telematics Freedom Foundation – http://www.telematicsfreedom.org

=== Unisciti a noi ===
Se sei interessato ad approfondire gli argomenti qui trattati, unisciti a noi! Chiedi maggiori informazioni al banchetto, o scrivi a info@winstonsmith.info.

Aggiornato: “Sicurezza: manuale d’uso”

Era un pezzo che dovevo farlo, ma finalmente ho trovato la voglia di mettere mano alla presentazione “Sicurezza: manuale d’uso” che avevo preparato qualche tempo fa, per aggiungere qualche considerazione sulla reale forza della crittografia.

Crescita della potenza computazionale e nuovi modelli matematici contribuiscono a rendere di giorno in giorno la sicurezza degli attuali algoritmi, a chiave simmetrica o asimmetrica, sempre piu deboli. La sicurezza è ancora accettabile, ma conoscerne i limiti sicuramente aiuta ad agire con piu prontezza.

Ho inoltre inserito accenni alla crittografia basata su curve ellittiche e alla crittografia quantistica.