Tecnologie

• Tecnologie
  • Cos'è la telematica
  • Principi di base della rete Internet
  • L'architettura del World Wide Web
  • Sicurezza e privacy
  • Non solo computer

Sicurezza e privacy

La sicurezza del transito dei dati su Internet è un problema che riguarda sia la grande utenza (le reti locali o su territorio che si connettono a Internet) sia la moltitudine di navigatori che si collegano alla rete attraverso le normali linee telefoniche o attraverso collegamenti ADSL.

La distinzione tra queste due macro-categorie ci permette di identificare problematiche parzialmente distinte: l'utente medio avrà principalmente l'esigenza di garantire la propria privacy, e di evitare di 'contrarre' in rete virus pericolosi per l'integrità dei propri dati; un amministratore di sistema o di una rete locale dovrà invece tipicamente proteggersi da intrusioni esterne, e mantenere la distinzione fra la parte 'pubblica' e la parte 'privata' del proprio network.

Per quanto riguarda l'utente privato, è bene ribadire che la corrispondenza non crittografata che viaggia via Internet è potenzialmente insicura (possiamo pensare all'equivalente elettronico di una cartolina), nel senso che i gestori dei sistemi attraverso i quali transita la nostra posta (ed eventualmente anche hacker esterni che fossero riusciti ad avere accesso al sistema e ad attribuirsi lo stesso livello di autorità del suo gestore) possono, volendo, leggerne e modificarne il contenuto. A parziale limitazione di questa intrinseca mancanza di sicurezza, va detto che la mole immensa di posta elettronica che circola su Internet costituisce da sola una forte garanzia di privacy.

In ogni caso, una soluzione efficace al problema esiste, ed è rappresentata proprio dai software di crittografazione: dato che la lettera viaggia in forma binaria (e quindi come una lunga catena di zero e uno), applicarvi algoritmi di cifratura è assai semplice.

Quanto ai virus, è bene dire subito che, a patto di usare un minimo di prudenza e un programma antivirus aggiornato, 'contrarre' virus attraverso Internet non è così facile come vorrebbero i periodici allarmi diffusi al riguardo. I file di testo e i file di immagini vengono solo 'letti' da altri programmi, e non eseguiti: non possono dunque trasmettere alcun virus. Virus potrebbero invece essere contenuti (sotto forma di insiemi di macro-istruzioni) in documenti generati da programmi complessi, come Microsoft Word, Powerpoint ed Excel. Se prelevate in rete (da siti di dubbia affidabilità) documenti di questo tipo, un controllo antivirus non guasta mai. Anche particolari pagine Web possono contenere virus, sotto forma di codice 'maligno': un antivirus aggiornato è tuttavia in grado di bloccare senza troppe difficoltà questo tipo di minacce. Quanto ai file eseguibili prelevati via Web o via FTP, la garanzia migliore viene dal sito di provenienza: in genere li preleveremo infatti direttamente dai computer della casa produttrice, o da biblioteche shareware pubbliche e molto controllate. In ogni caso, una verifica antivirus prima di eseguire il file resta una buona pratica. I rischi aumentano, naturalmente, se andiamo a prelevare programmi nei newsgroup dedicati allo scambio di software o se eseguiamo senza controllo programmi ricevuti in attachment con messaggi di posta elettronica. D'altro canto, prendere un virus in questo modo vuol dire esserselo cercato!

La posta elettronica è diventata di fatto negli ultimi anni il principale meccanismo di diffusione dei virus informatici: molti virus sono in grado, una volta infettato il computer di un utente, di 'riprodursi' inviando in maniera automatica una e-mail - completa di replica del virus stesso - a tutti gli indirizzi di posta elettronica trovati nell'indirizzario dell'utente colpito (Outlook e Outlook Express, entrambi della Microsoft, sono i programmi di gestione della posta più vulnerabili rispetto a questo tipo di attacchi). Ciò significa che talvolta un virus può arrivarci - a sua insaputa - anche da un nostro corrispondente abituale, il cui computer sia stato a sua volta infettato. Occorre dunque sempre usare estrema cautela nell'eseguire attachment ricevuti via posta elettronica. Buona norma è non aprire mai i file allegati alle lettere di posta elettronica spedite da un mittente sconosciuto (o farlo solo dopo aver aggiornato il nostro antivirus), e utilizzare grande prudenza anche nel trattare gli allegati di messaggi che apparentemente provengono da un utente a noi noto, ma che hanno un testo singolare o in una lingua non utilizzata normalmente dalla persona in questione. Ricordate, in particolare, che i file eseguibili (e dunque potenzialmente più pericolosi) in ambiente Windows non sono solo quelli caratterizzati dalle abituali estensioni '.exe' o 'com', ma anche programmi con estensioni più arcane, come '.pif' o '.scr' (l'estensione degli screen saver!). Molti virus hanno la cattiva abitudine di 'simulare' un'estensione legittima (ad esempio .doc o .jpg) all'interno del nome del file, facendola seguire dall'estensione reale, corrispondente a una di quelle sopra ricordate. Così, ad esempio, potremmo trovare in allegato a uno strano messaggio proveniente da un nostro conoscente un file che si chiama 'fotografia.jpg.scr'. Attenzione: l'allegato in questione non conterrà, come saremmo portati a pensare, una fotografia in formato jpg, ma un file eseguibile dagli effetti del tutto ignoti. E nella maggior parte dei casi la presenza di questa 'doppia estensione' è indizio proprio della presenza di un virus.

Fortunatamente, la stessa Internet è anche una formidabile risorsa per procurarsi - e tenere aggiornati - programmi antivirus. E in generale nessun utente che utilizzi un computer e la rete può fare a meno di un programma antivirus aggiornato: soprattutto se il sistema operativo utilizzato appartiene alla famiglia Windows. Molte case produttrici distribuiscono programmi antivirus attraverso la rete; le più famose sono probabilmente la Network Associates/McAfee (http://www.mcafee.com/) e la Symantec (http://www.symantec.com/). Ricordiamo che gli antivirus vanno sempre tenuti aggiornati (di norma l'operazione di aggiornamento è effettuata automaticamente dal programma a intervalli prefissati; consigliamo - soprattutto a chi disponga di un collegamento ADSL - di impostare una verifica quotidiana degli aggiornamenti dell'antivirus), e che se si decide di utilizzare regolarmente un antivirus occorre pagare alla casa produttrice la relativa registrazione. È buona norma aggiornare con una certa frequenza anche le applicazioni utilizzate per la gestione della posta elettronica e la navigazione su Web: molti virus, infatti, si basano su 'debolezze' di questi programmi, debolezze che le case produttrici si affrettano a eliminare appena individuate.

Come si è accennato, potenzialmente a rischio sono poi le 'applicazioni distribuite', come gli applet Java o i controlli ActiveX. Tuttavia, i browser in grado di visualizzarle incorporano una serie di controlli molto stretti, e il fatto che queste applicazioni girino sempre su macchine virtuali (e quindi non siano in contatto diretto con il sistema operativo) rende più facile controllarne gli effetti. Inoltre, molti degli applet che incontreremo durante la nostra navigazione sono messi in rete da siti noti, che sono evidentemente responsabili della 'regolarità' del codice. In ogni caso, il consiglio - se non si è utenti esperti - è quello di non ridurre mai le opzioni di sicurezza sulla gestione di applet Java preconfigurate all'interno del browser.

A minacciare la sicurezza del nostro computer non sono tuttavia solo i virus. Quando siamo collegati alla rete, infatti, un malintenzionato potrebbe cercare di utilizzare le 'porte' aperte sul computer (canali logici per lo scambio di informazioni con l'esterno) per visualizzare ed eventualmente modificare i nostri file. Un compito che diviene più facile se, come accade in molte reti locali, abbiamo scelto di condividere in rete alcune delle nostre risorse (ad esempio una cartella di documenti), o se abbiamo installato sul nostro computer moduli server relativi a uno o più servizi di rete (ad esempio un server FTP o un server Web). I collegamenti permanenti attraverso ADSL sono quelli più a rischio da questo punto di vista, giacché un utente ADSL dispone spesso di un indirizzo IP fisso, e lascia comunque il proprio PC connesso alla rete per lunghi periodi di tempo.

Per dare un idea di quanto può accadere se si trascurano le opportune misure di protezione basti dire che esistono dei programmi (come Net Bus e Back Orifice), mascherati a volte da videogames apparentemente innocui, che una volta attivati rendono completamente visibili, cancellabili e modificabili tutti i file e le risorse del nostro computer: programmi e applicazioni possono essere avviati indipendentemente dalla nostra volontà; istante per istante potrebbe essere controllato tutto ciò che scriviamo; il nostro browser potrebbe essere guidato su un sito scelto da un malintenzionato nascosto nei meandri della rete. Una fondamentale norma di comportamento che aiuta a evitare queste spiacevoli situazioni è quella di non installare mai software di cui non si conosca esattamente la provenienza. Ma spesso questa precauzione non basta. Un livello maggiore di sicurezza si ottiene installando, oltre al normale antivirus, anche un software che sia in grado di proteggere il nostro PC dai possibili accessi esterni (e di bloccare gli accessi non autorizzati verso l'esterno da parte di eventuali programmi 'maligni' installati sul nostro computer). I software di questo tipo si chiamano firewall, e ne sono disponibili versioni 'personal' che - pur non offrendo i livelli di sicurezza richiesti a un provider Internet, a un grande server aziendale o governativo o a una banca - sono sufficienti a far dormire sonni più che tranquilli all'utente medio della rete. Esistono numerosi Personal Firewall, alcuni dei quali - come quelli Norton o McAfee - acquistabili anche insieme ai relativi pacchetti antivirus. Esistono anche firewall gratuiti o di pubblico dominio: un discreto firewall gratuito, facile da installare e accompagnato da spiegazioni d'uso assai chiare (disponibili purtroppo solo in inglese), è la versione 'light' di Zone Alarm, reperibile sul sito http://www.zonelabs.com/). Del programma esiste anche una versione Pro, che al costo di qualche decina di dollari offre una protezione migliore e maggiori possibilità di configurazione.

Assai più complesso è il discorso sulla sicurezza di grossi sistemi e di reti locali connesse a Internet. In questo caso la protezione delle risorse informatiche è un compito professionale che va affidato a personale specializzato: di norma si può trattare dell'amministratore di rete, ma nei sistemi più complessi le figure responsabili possono anche essere molteplici. Mantenere la sicurezza informatica, infatti, è un compito assai difficile, e renderemmo un pessimo servigio al lettore se fingessimo di poter riassumere in poche righe i consigli e le istruzioni necessarie.

Per coloro che si trovassero a gestire sistemi medio-piccoli, ricordiamo comunque che è sempre buona norma disabilitare gli account 'standard' o di prova che diverse versioni dei sistemi operativi Unix e Windows creano automaticamente (e che costituiscono una facile porta di accesso per curiosi o malintenzionati). Altrettanto importante è l'acquisizione, in merito ai problemi di sicurezza, di informazioni aggiornate, dettagliate e mirate alla specifica configurazione del proprio sistema (al riguardo la rete è una ottima fonte). È inoltre opportuno installare gli aggiornamenti o patch rilasciati periodicamente dai produttori dei sistemi operativi: con il tempo, infatti, vengono scoperti e corretti errori nel software che lasciano margine a possibili effrazioni. Ricordate poi che è sempre preferibile la separazione logica dei computer 'aperti' a Internet e di quelli nei quali sono contenuti dati interni delicati o riservati. A tale fine possono essere utilizzati dei sistemi di firewall professionali. In ogni caso, la separazione fisica dei computer in rete e di quelli contenenti dati riservati è ovviamente il metodo che garantisce la massima sicurezza.

SSL e connessioni protette

L'affermarsi dell'abitudine di effettuare acquisti e transazioni on-line (anche da parte degli utenti italiani: sono diverse migliaia gli esercizi commerciali made in italy in rete, e la maggior parte delle banche italiane offre ormai sistemi di home banking via Internet) ha posto, come si è già accennato parlando del volto economico e commerciale della rete, il problema di scambiare informazioni su Web in maniera sicura e garantita.

Fra le tecnologie di protezione dei dati legate in primo luogo al mondo del commercio e delle transazioni on-line, tre hanno assunto il ruolo di standard principali: il protocollo SET (Secure Electronic Transaction) e le transazioni sicure SSL (Secure Socket Layer) e TLS (Transport Layer Security).

Il più efficiente è senza dubbio il protocollo SET, sviluppato congiuntamente da Visa e Master Card con lo specifico obiettivo di garantire la riservatezza delle transazioni con carta di credito su Internet. Esso è basato su un algoritmo di cifratura RSA a 1.024 bit⁴⁰. Ma all'efficienza si affianca un certa complessità di implementazione, che ne ha limitato molto la diffusione. Infatti, per poter essere utilizzato, SET richiede il rilascio a ogni utente di un certificato da parte di una banca. Questa operazione avviene mediante la consegna di un software plug-in strettamente personale, rilasciato (di norma su floppy o CD-ROM) in singola copia, in grado di aggiungere funzionalità di borsellino elettronico ai comuni browser della rete. Quando si effettua un pagamento il plug-in interagisce in tempo reale con il server del rivenditore che a sua volta contatta una Certification Authority, cioè una società abilitata a certificare che l'utente sia possessore di carta di credito (una delle più note è la VeriSign, http://www.verisign.com/). In caso di conferma, la richiesta di pagamento viene inoltrata alla banca, che provvederà a inviare la conferma definitiva dell'avvenuta transazione. Il meccanismo funziona anche nel senso inverso: SET garantisce, infatti, anche l'identità del rivenditore al cliente, che ha così la conferma che il suo acquisto sia effettivamente avvenuto.

L'architettura SET, nonostante garantisca dei livelli di sicurezza molto elevati, non ha riscosso un grosso successo fra gli utenti e i rivenditori della rete. Come appare evidente anche dalla nostra breve descrizione, infatti, si tratta di un meccanismo piuttosto complicato, specie per l'obbligo da parte dell'utente finale di installare un software che va ritirato di persona presso un istituto bancario.

Il sistema attualmente più utilizzato per gli acquisti on-line è invece il dispositivo per effettuare transazioni HTTP sicure denominato Secure Socket Layer (SSL) e la sua recente evoluzione Transport Layer Security (TLS). Sviluppato originariamente presso i laboratori di ricerca della Netscape Communications, SSL è praticamente divenuto uno standard per le transazioni commerciali in rete ed è utilizzato anche per altri servizi che richiedono un elevato tasso di sicurezza, come l'home banking, i servizi per la compravendita on-line di titoli e azioni, o le reti Extranet. Attualmente l'SSL sta gradualmente cedendo il passo al più moderno TLS già supportato dai browser Internet più aggiornati.

Sia SSL sia TLS rappresentano estensioni del protocollo http, e permettono di scomporre i dati inviati durante una transazione in una serie di pacchetti cifrati con un sistema a doppia chiave RSA. I pacchetti viaggiano 'sciolti' per la rete per poi venire ricomposti, decifrati ed elaborati dal computer remoto. A questa base, che ovvia alla prima grande lacuna di sicurezza del Web (il fatto cioè che il protocollo HTTP faccia circolare i dati in chiaro), SSL aggiunge un sistema di certificazione, anch'esso controllato da un servizio di Certification Authority capace di garantire all'utente l'identità del server remoto. Poiché SSL e TLS vengono implementati in modo nativo dai browser, la loro utilizzazione è per l'utente completamente trasparente. Quando ci si connette a un server Web che utilizza SSL/TLS, il browser automaticamente imposta la comunicazione cifrata e avverte l'utente del fatto che ci si trova in una area 'protetta'. A questo punto tutti i dati che vanno dal client al server e viceversa saranno cifrati.

Pretty Good Privacy e P3P

Pretty Good Privacy (PGP) è un programma, sviluppato da Paul Zimmermann⁴¹ e distribuito gratuitamente in rete, con cui è possibile cifrare praticamente tutti i tipi di file, anche se questi non fossero destinati a essere inviati tramite una rete telematica. Tuttavia la sua area di applicazione più comune è la cifratura della posta elettronica, scopo per cui, del resto, PGP è nato.

Come le altre tecnologie che abbiamo visto sopra, anche PGP ricorre a un algoritmo di cifratura 'a doppia chiave' (basato su coppie di numeri primi assai alti) per garantire un livello di sicurezza quasi assoluto. Non è questa la sede per una spiegazione tecnica sul funzionamento - piuttosto complesso - di questo algoritmo. All'utente finale basti sapere che, una volta avviato, PGP è in grado di generare per noi due lunghe stringhe di caratteri: una è la nostra chiave personale; dovremo custodirla gelosamente, e non comunicarla a nessuno; l'altra è la nostra chiave pubblica, che dovremo distribuire a tutti i nostri potenziali corrispondenti. Chi volesse scriverci un messaggio 'sicuro', dopo averlo redatto in chiaro lo dovrebbe dare in pasto alla sua versione di PGP, assieme alla nostra chiave pubblica. PGP usa la chiave pubblica per crittografare il messaggio, ma attenzione: chiave pubblica e chiave privata sono legate in modo tale che un messaggio crittografato con una chiave pubblica può essere decifrato solo disponendo della corrispondente chiave privata! Ciò significa che lo stesso mittente non potrà più decifrare il messaggio che PGP ha codificato per lui. Potrà però spedircelo in tutta sicurezza: solo noi, che disponiamo della chiave privata, potremo leggerlo.

Il meccanismo può sembrare complicato (e lo è: in realtà di norma un messaggio viene crittografato due volte: con la chiave privata del mittente, il che ne assicura la provenienza, e con la chiave pubblica del destinatario, il che ne assicura la segretezza). E se la teoria non è semplice, fino a qualche tempo fa, anche la pratica, cioè l'utilizzo e la configurazione dei software deputati alla cifratura con l'algoritmo realizzato da Zimmerman, non era affatto intuitiva. In passato esisteva un solo software di criptazione, la versione DOS di Pretty Good Privacy, sulla quale si basavano una gran quantità di programmi per Windows che svolgevano la sola funzione di interfaccia facilitando così l'utilizzo del programma. Oggi la situazione è migliorata e l'uso di PGP è diventato assai più amichevole, grazie allo sviluppo di interfacce grafiche sofisticate che si integrano direttamente con i programmi di videoscrittura e i principali client mail. L'implementazione più recente di PGP è nel momento in cui scriviamo la versione 8.0 di PGP Personal Privacy, che può essere scaricata dal sito della PGP Corporation, (http://www.pgp.com/) insieme ai manuali e a tutte le informazioni necessarie per l'utilizzo. Questo programma installa dei plug in capaci di aggiungere le funzionalità PGP ai principali programmi di posta (fra questi Eudora, Outlook, Outlook Express), fornendo così agli utenti di Internet uno strumento molto potente per tutelare la privacy della loro corrispondenza elettronica.

Come Zimmerman si è posto a suo tempo il problema di offrire degli strumenti a basso costo per la tutela della corrispondenza, il World Wide Web Consortium si è posto l'obiettivo di limitare le possibili violazioni della privacy degli utenti del Web. In effetti, siti commerciali possono utilizzare diverse tecniche per carpire informazioni sulle abitudini e i gusti dei navigatori. Più di una volta sono stati messi sotto accusa i famosi 'cookies', i biscottini della rete, piccoli file di testo posti sugli hard disk dei navigatori, che vengono letti e modificati dai web server. Attraverso i cookies, chi pubblica pagine web può riconoscere se un utente è già passato dal suo sito, da quanto tempo non si connette, quali pagine ha visualizzato, e altre informazioni similari. Certi tipi di utilizzo dei cookies possono senz'altro rappresentare forme di violazione della privacy. Va considerato però che il più delle volte quest'uso è solo funzionale al riconoscimento dell'utente per l'offerta di servizi interattivi da parte del sito (tantissime operazioni legate alla normale navigazione su Internet sarebbero impossibili senza l'utilizzo dei cookies). Per porre comunque un limite a rischi simili e offrire maggiore sicurezza ai naviganti, il W3C sta studiando un nuovo standard: il Platform for Privacy Preferences (P3P), che dovrebbe permettere agli utenti della rete di essere consapevoli quando ci sono effettivi rischi di violazione della privacy e offrire la possibilità di personalizzare il livello di sicurezza. Per quanti siano interessati ad approfondire questo argomento, il sito di riferimento è http://www.w3.org/P3P/.

Decisamente più fastidiosi dei cookies sono i cosiddetti programmi 'spyware': non si tratta di veri e propri virus, ma di programmi che si installano di norma sul nostro computer - spesso senza farcelo sapere o chiederci alcuna autorizzazione - nel momento in cui procediamo all'installazione di un qualche programma gratuito. In questi casi, abbiamo a che fare con un programma che non costa nulla in termini economici, ma che arriva accompagnato da 'fratellini' indesiderati e spesso non dichiarati, che monitorano la nostra attività e inviano informazioni (più o meno dettagliate) al riguardo al sito del loro produttore, che a sua volta presumibilmente si affretterà a rivenderle a servizi commerciali di rete.

Per rilevare e rimuovere programmi 'spyware' un ottimo strumento è rappresentato da Ad-Aware: un programma che esiste sia in versione gratuita (più che sufficiente per la maggior parte degli utenti) sia in versione a pagamento, e può essere scaricato dal sito della sua casa produttrice, la Lavasoft (http://www.lavasoftusa.com/).

Un altro tipo di intrusi non desiderati è rappresentato dai cosiddetti programmi dialer, che sostituiscono al numero telefonico del nostro provider abituale quello di un servizio a pagamento, di norma tutt'altro che economico. Spesso, l'ignaro utente si accorge della sostituzione solo al momento di ricevere una salatissima bolletta telefonica (la truffa può costare anche diverse centinaia e addirittura migliaia di euro!). Talvolta i dialer dichiarano, in forma piuttosto criptica, la propria natura, e chiedono un'autorizzazione che l'utente ingenuo può dare in buona fede. Talvolta sono invece del tutto fraudolenti, e camuffano la richiesta di autorizzazione in forme capaci di trarre in inganno anche utenti abbastanza esperti. Per fortuna, esistono anche in questo caso ottime contromisure: ad esempio il programmino gratuito StopDialers, scaricabile alla pagina http://www.akapulce.net/socket2000/stopdialer.asp.

Posta elettronica: cifratura e firme digitali

Se PGP ha rappresentato a lungo, e rappresenta tuttora, un ottimo sistema per cifrare la posta elettronica, bisogna dire che i più recenti client di posta forniscono degli strumenti di cifratura interni piuttosto efficienti e versatili. Grazie ad essi programmi come Outlook, Outlook Express e il modulo mail di Netscape 7.0 sono in grado sia di cifrare il contenuto dei messaggi sia di certificare la provenienza di un messaggio (confermando inequivocabilmente l'identità del mittente).

La possibilità di certificare l'identità del mittente attualmente viene utilizzata per evitare che il nome di un utente venga speso sulla rete a sua insaputa (è infatti estremamente semplice mandare una e-mail a nome di un'altra persona: basta impostare adeguatamente le preferenze del client di posta elettronica). Ma nel prossimo futuro essa potrà trovare applicazione sia nel contesto del commercio elettronico sia nei rapporti con la pubblica amministrazione⁴². Per quanto riguarda la cifratura, essa può essere utile in tutte quelle occasioni in cui è necessario far viaggiare in rete informazioni riservate (a questo proposito ricordiamo che le e-mail viaggiano da un mail server all'altro in chiaro).

Lo standard su cui si basano gli strumenti crittografici interni dei software di posta elettronica si chiama S/MIME (Secure Multi-Purpose Internet Mail Extensions)⁴³. Anch'esso adotta il più volte menzionato algoritmo di cifratura a doppia chiave RSA. Tuttavia, poiché i numeri primi generati sono limitati a cifre di 40 bit, il livello di sicurezza ottenibile non è elevatissimo.

La prima cosa da fare per utilizzare questi strumenti è ottenere da una Certification Authority un certificato (o 'ID digitale') che contiene, opportunamente codificate, le nostre chiavi pubblica e privata. Si tratta di una operazione che viene gestita direttamente dal programma. Una volta ottenuto il certificato, il software è in grado di utilizzarlo in modo automatico per firmare e cifrare le nostre e-mail e per gestire le mail cifrate o firmate dai nostri corrispondenti. Anche queste operazioni sono completamente trasparenti per l'utente, che dovrà limitarsi a indicare se vuole firmare o cifrare un dato messaggio.

Nei prossimi paragrafi vedremo in dettaglio come configurare e utilizzare gli strumenti di cifratura interni dei tre client di posta più diffusi: Outlook Express, Outlook, e il modulo mail di Netscape 7.0.

Come ottenere un ID Digitale

Un certificato o ID digitale, come detto, contiene la coppia di chiavi (una pubblica e una privata) associate univocamente a un dato utente. Tale ID viene generato da un servizio abilitato di certificazione (o Certification Authority, CA), il cui server si adatta automaticamente ai software che lo richiedono (infatti i client Microsoft e quelli Netscape impiegano dei formati leggermente diversi). La più nota CA è la già citata VeriSign (http://www.verisign.com/).

Per ottenere un ID occorre effettuare una procedura di registrazione che coinvolge sia il client di posta elettronica sia il browser Web. Poiché durante questa procedura si ha una forte interazione fra i due software, è necessario impostare opportunamente il browser predefinito del sistema: se si utilizza un programma e-mail Microsoft è necessario avere come browser predefinito Explorer; lo stesso vale per il modulo mail di Netscape che va utilizzato necessariamente insieme a Netscape 7.0. Vediamo ora il dettaglio della procedura di registrazione con i tre client più usati.

Con Outlook XP è necessario compiere i seguenti passi:

1. Selezionare dal menu 'Strumenti' la voce 'Opzioni';
2. Selezionare la linguetta della scheda 'Protezione';
3. Premere il pulsante 'Ottieni ID digitale' che avvierà Internet Explorer;
4. Dalla finestra di Explorer selezionare il server CA desiderato (ad esempio VeriSign);
5. Seguire le istruzioni nelle pagine Web inviate dal server (ci verrà chiesto di scrivere alcuni nostri dati personali come nome e cognome, la data di nascita, l'indirizzo e-mail, ecc.; molte CA prevedono inoltre un pagamento a fronte del servizio di fornitura dell'ID digitale);
6. Aspettare il messaggio di conferma del server CA con l'abilitazione del certificato;
7. Aprire il messaggio di conferma e seguire le istruzioni accluse (VeriSign ad esempio invia una mail in formato HTML con un apposito bottone 'Installa' che porta a compimento in modo automatico l'installazione dell'ID).

Molto simili sono le operazioni da effettuare per ottenere un ID digitale mediante Outlook Express:

1. Selezionare dal menu 'Strumenti' la voce 'Account';
2. Selezionare la linguetta della scheda 'Posta elettronica';
3. Selezionare l'account per cui si vuole ottenere un ID;
4. Premere il pulsante 'Proprietà';
5. Selezionare la linguetta della scheda 'Protezione';
6. Permere il pulsante 'Ottieni ID digitale';
7. Da questo punto in poi le operazioni da compiere sono le medesime del caso precedente.

Se si utilizza Netscape 7.0, infine, i passi da seguire sono i seguenti:

1. Selezionare nella finestra 'Help' del browser l'opzione 'Security Center';
2. Sotto la voce 'Get a Digital Certificate Here' (sulla destra dello schermo) selezionare 'Personal ID' e poi 'Enroll Now';
3. Seguire le istruzioni fornite attraverso il browser dal server CA;
4. Attendere l'e-mail del server CA e seguire le istruzioni.

A questo punto i nostri programmi di posta sono abilitati a mandare messaggi cifrati e/o firmati.

Come firmare i messaggi e spedire o ricevere messaggi cifrati

Utilizzando le chiavi contenute negli ID digitali, i programmi di posta elettronica sono in grado spedire e ricevere messaggi cifrati e firmati. Il seguente quadro sinottico mostra le varie operazioni che i software possono compiere e quali chiavi vengono utilizzate per ciascuna di esse:

  Per spedire un messaggio firmato con Outlook XP è sufficiente premere il pulsante 'Opzioni' nella finestra del modulo di scrittura della posta, e aggiungere il segno di spunta alla casella 'Aggiungi la firma digitale al messaggio in uscita'. Con Outlook Express 6, invece, occorre selezionare dalla finestra per spedire l'e-mail il menu 'Strumenti' e poi la voce 'Firma digitale'. Chi utilizza Netscape 7.0, infine, sempre dal modulo mail, deve selezionare 'Compose', premere il pulsante a forma di freccetta verso il basso accanto all'icona con il lucchetto ('Security') e selezionare 'Digitally Sign this message'.

La spedizione di un messaggio cifrato a un dato utente richiede invece la conoscenza della sua chiave pubblica (come si evince dal quadro sinottico). A tale fine è necessario avere ricevuto in precedenza un messaggio del nostro corrispondente contenente la sua firma digitale e aver inserito il mittente nella rubrica del client mail. Per effettuare quest'ultima operazione - con tutti i programmi presi in considerazione in questa sede - è sufficiente fare un click con il tasto destro del mouse sul campo del mittente e selezionare l'opzione 'aggiungi alla rubrica'. Oltre ai normali dati personali, nella rubrica viene memorizzata anche la chiave pubblica del mittente.

A questo punto, per spedire un messaggio cifrato con Outlook XP basta selezionare il destinatario dalla rubrica, premere 'Opzioni' nella finestra di composizione e selezionare 'Crittografa contenuto e allegati del messaggio'. Con Outlook Express 6, si preme 'Nuova mail', e in seguito dal menu 'Strumenti' la voce 'Crittografia'. Con Netscape, dalla finestra 'Compose' occorre scegliere la solita freccetta accanto all'icona con il lucchetto e selezionare l'opzione 'Encrypt this message'. Simmetricamente, se desideriamo ricevere posta cifrata dovremo prima inviare ai nostri corrispondenti una e-mail con allegata la firma digitale (abbiamo appena visto come si fa).

La decifrazione delle e-mail criptate, infine, avviene automaticamente: l'utente non deve far altro che controllare - come fa abitualmente - la sua posta: i messaggi decifrati saranno opportunamente segnalati mediante una piccola icona nell'elenco dei messaggi ricevuti.

Attenzione: ricordiamo che i messaggi cifrati viaggiano in maniera sicura dal mittente al destinatario, ma - a meno di non prendere precauzioni ulteriori o di non cancellarli appena scritti o letti - possono essere ritrovati in chiaro da chiunque abbia accesso al computer sul quale sono stati composti o ricevuti.

PICS e il controllo dei contenuti

Uno dei problemi relativi a Internet che sembrano maggiormente appassionare la pubblicistica è il controllo dell'accesso ai siti Web in base al loro contenuto. La ragione per cui questo controllo viene da più parti evocato è il pericolo che soggetti a rischio (bambini o comunque minori) possano accedere a pagine Web che potrebbero arrecare turbamento, come siti contenenti materiali pornografici o violenti. Nonostante le periodiche campagne di stampa al riguardo, l'incidenza percentuale di questi materiali rispetto al totale delle risorse disponibili su Web è piuttosto bassa. Tuttavia è innegabile che molti siti pornografici siano facilmente raggiungibili, anche a causa dei numerosi 'trucchetti' da essi utilizzati per ottenere visibilità nei principali motori di ricerca. Ma esigenze di controllo simili sono state espresse anche da (troppo?) zelanti manager, che intendono limitare le occasioni di 'distrazione telematica' dei loro dipendenti.

La soluzione al problema proposta con maggiore frequenza è l'introduzione di sistemi di controllo di tipo legislativo sui contenuti della rete. Indipendentemente dalla posizione ideologica che si può assumere nei confronti della censura - pratica che gli autori di questo manuale comunque disapprovano - l'idea di un controllo autoritario sui contenuti della rete si scontra con la sua struttura tecnica, che permette di superare qualsiasi sistema di controllo o impedimento esterno. Ad esempio non è facile bloccare l'arrivo di informazioni da paesi che non applicano restrizioni legali, a meno di impedire del tutto l'accesso alla rete (come purtroppo avviene talvolta in paesi controllati da regimi autoritari).

Una soluzione alternativa alla censura delle fonti è l'uso di sistemi di filtri che agiscano sul lato client, impedendo l'accesso a determinati contenuti da parte di soggetti non autorizzati. Come è noto, nel mondo dell'informatica uno dei problemi più difficili da risolvere è l'interpretazione semantica dei contenuti da parte degli elaboratori⁴⁴. Per ovviare ai limiti 'cognitivi' degli attuali computer, dunque, e implementare un sistema di valutazione del contenuto dei siti Web, l'unica strada percorribile è quella del vaglio dei materiali pubblicati da parte di operatori umani.

Su questo principio si basa la Platform for Internet Content Selection (PICS), sviluppata dal W3 Consortium, e rilasciata come recommendation alla fine del 1996. Sul sito del W3C, all'indirizzo http://www.w3.org/PICS/ sono disponibili le specifiche ufficiali e altre informazioni su questa tecnologia.

PICS è un sistema che permette di associare etichette valutative alle pagine Web⁴⁵. Ogni etichetta, mediante una sintassi formalizzata, fornisce una valutazione (rating) del contenuto della pagina in base a una determinata classificazione, ed è univocamente associata alla pagina per la quale è stata rilasciata⁴⁶. Le etichette PICS possono essere usate da apposite applicazioni o direttamente dai browser per filtrare le informazioni in arrivo dalla rete. Tali applicazioni sono in grado di confrontare l'etichetta del documento in arrivo con un insieme di criteri di valutazione indicati dall'utente: se la valutazione indicata risponde ai criteri prescelti, la ricezione della pagina viene autorizzata; in caso contrario, l'accesso alla pagina viene impedito.

L'aspetto positivo di questa tecnologia è che non esiste una autorità centrale che censura o approva il contenuto di un sito su World Wide Web. Il sistema si basa interamente sull'autocontrollo e sulla responsabilizzazione dei gestori di siti, degli autori di pagine Web e degli utenti. Le etichette PICS, infatti, possono essere assegnate in due modi: con il self-rating, chi pubblica un sito applica autonomamente i marcatori PICS; con il third-party rating, i marcatori vengono apposti da specifiche agenzie indipendenti abilitate a svolgere questa funzione (Rating Agency) su esplicita richiesta dei responsabili dei singoli siti. Un importante servizio di rating è quello dell'Internet Content Rating Association (ICRA). Si tratta di un osservatorio indipendente finanziato da un gruppo di aziende e organizzazioni, tra cui lo stesso W3C, la Microsoft, IBM, AOL e Yahoo!. Per avere informazioni, o richiedere una valutazione, si può visitare il sito Web http://www.rsac.org/.

Le etichette PICS, come detto, possono essere utilizzate sia da appositi software che si interpongono tra il client Web e il pacchetto di accesso alla rete, sia direttamente dai browser. Tanto Internet Explorer quanto Netscape hanno la capacità di riconoscere i marcatori PICS e, a seconda delle impostazioni dell'utente, controllare l'accesso ai siti durante la navigazione.

L'amministrazione delle restrizioni di accesso con il browser Microsoft si effettua mediante la scheda 'Contenuto' nella finestra di configurazione delle 'Opzioni Internet'. Il pulsante 'Attiva' mette in funzione il sistema di controllo; il pulsante 'Impostazioni' invece ne consente la configurazione. Sia l'attivazione sia l'impostazione delle restrizioni sono protette da una password. Quando la restrizione è attiva, il browser impedisce l'accesso a ogni pagina priva di etichette PICS. Le pagine etichettate vengono invece confrontate con il sistema di classificazione del servizio RSACi⁴⁷.

Note

40. (torna) RSA, dal nome degli sviluppatori Rivest-Shamir-Adleman, è un algoritmo crittografico e di autenticazione specifico per la rete sviluppato a partire dal 1977. RSA è un sistema di cifratura a doppia chiave basato su calcoli eseguiti usando come base dei prodotti di numeri primi. Impiegando numeri primi sufficientemente complessi (con molte cifre) la scomposizione risulta assai difficile. Più sono lunghi i numeri primi generati e più è alto il livello si sicurezza. Nel caso del SET viene utilizzato un RSA a 1.024 bit in grado di garantire un ottimo livello di sicurezza. Per ulteriori approfondimenti rimandiamo al sito http://www.rsa.com/.
41. (torna) E fonte per lo stesso Zimmerman di una lunga vicenda giudiziaria.
42. (torna) Ricordiamo a tale proposito che l'Italia ha recentemente elaborato una legislazione sulla firma digitale che è tra le più avanzate del mondo e che permette di attribuire valore legale ai documenti digitali.
43. (torna) In alternativa alcuni software utilizzano protocolli come PGP/MIME, o OpenPGP.
44. (torna) Per la verità alcuni studi, che non hanno comunque prodotto standard validi, sono stati fatti basandosi sul riconoscimento delle immagini (tecnologia attualmente in continuo sviluppo): sono stati implementati software che, in base a studi statistici sui materiali pubblicati su pagine Web con contenuti pornografici, inibiscono la visualizzazione di immagini con determinati pattern di colori e forme. Altri esperimenti sono stati fatti in alcuni ambienti chat. La tecnica era quella di inibire automaticamente la pubblicazione di parole poste all'indice, arrivando a paradossi come quello di vietare conversazioni che utilizzano parole come "seno" che potrebbero, per esempio, essere intese nell'accezione scientifico/matematica (seno e coseno)!
45. (torna) Normalmente le etichette PICS sono inserite all'interno di un file HTML. Tuttavia è possibile anche usare un servizio di etichettatura (label bureau) dinamico, che invia etichette su richiesta. Questo facilita la gestione del sistema di classificazione e aumenta le garanzie rispetto a possibili manomissioni delle etichette, rese comunque difficili dalla presenza di firme digitali cifrate. L'idea che sta alla base di questa proposta è simile a quella del famoso 'V-chip', introdotto negli Stati Uniti per controllare l'accesso dei bambini alla televisione. Ogni trasmissione televisiva trasporta anche delle informazioni sulla natura del contenuto trasmesso. Il V-chip, opportunamente programmato, può bloccare la ricezione di determinate categorie di programmi, impedendone la visione. Si è tuttavia rilevato che con tutta probabilità saranno i figli ad insegnare ai genitori come programmare il V-chip!
46. (torna) Questo significa che ogni minima variazione della pagina invalida l'etichetta.
47. (torna) La scala RSACi (Recreational Software Advisory Council Internet) seleziona i siti secondo una serie di dettagliati parametri che suddividono i possibili contenuti scabrosi in quattro categorie: linguaggio, scene di nudo, sesso, violenza.

<<< precedente

indice

successiva >>>