La sicurezza é un’amante incompresa

mercoledì 18 aprile 2012 - 11:44

di R.Canaro

Chiunque sia stato in un aeroporto negli ultimi dieci anni, avrà  sentito un annuncio simile a questo:

Vi ricordiamo che, per la vostra sicurezza, è consentito portare a bordo solo un bagaglio a mano.

Questa frase è una smaccata menzogna, ma una menzogna da cui dobbiamo imparare. Limitare il numero di bagagli a mano non aumenta la sicurezza, ma consente alle compagnie aree di impedire uno sfruttamento incontrollato di una risorsa limitata (lo spazio a bordo) e di ridurre il peso trasportato gratuitamente. Prova ne sia che l’obbligo di portare a bordo solo un bagaglio a mano è sempre esistito e che solo recentemente il divieto è stato rafforzato con l’associazione a criteri di sicurezza. In altri termini, le compagnie aeree utilizzano la sicurezza per garantire il rispetto di regole che nulla hanno a che vedere con la sicurezza. L’approccio degli informatici a questo tipo di problemi è molto meno creativo.

In ogni executive summary, in ogni white paper, in ogni incontro con un potenziale cliente, chi vende sicurezza segue immancabilmente lo stesso schema:

  • elenca i rischi dell’informatica moderna;
  • rincara la dose, dicendo che le cose andranno sempre peggio;
    (fin qui è stato onesto, ma poi..)
  • afferma che il suo prodotto – sia esso un firewall, un anti-virus o una consulenza – può garantire la sicurezza dei dati e dei sistemi on-line.

Giustamente preoccupato da questa visione apocalittica del futuro, il cliente acquista il prodotto o il servizio e ritiene per cià di essere al sicuro (ha il diritto di farlo: ha pagato), fino a che – una settimana, un mese o un anno dopo – il suo sistema viene “bucato” da un pirata informatico.
Quando cià avviene, il cliente scopre, nella maniera più dolorosa possibile, che un sistema “non banale” (per utilizzare una definizione di Bjarne Stroustrup) non potrà  mai dirsi sicuro.
Potrà  essere più o meno protetto, questo sì (e le verifiche di sicurezza, siano esse applicative o sistemistiche, svolgono un ruolo molto importante nel processo di protezione), ma la sicurezza, paradossalmente, sarà  tanto più difficile da ottenere quanto più sarà  necessaria.
Per riprendere l’esempio aeronautico, mentre è relativamente facile garantire la sicurezza di un piccolo aereo da turismo, è estremamente complesso assicurare un livello minimo di protezione a un volo di linea.

Inoltre, i sistemi di sicurezza sono come le vaccinazioni: ciascuno è efficace per alcune malattie e inutile per altre; se ci si vaccina contro il morbillo e la scarlattina, si è comunque ancora vulnerabili al colera, alla malaria e all’AIDS. E Internet è piena di portatori sani.

A causa di questi malintesi di fondo, c’è sempre più gente che pensa (e dice e scrive) che la sicurezza informatica ha perso la sua battaglia contro i pirati informatici, mentre siamo noi, che abbiamo perso, perché abbiamo creato delle aspettative che la sicurezza non potrà  mai soddisfare.

Impugniamo un coltello per la lama e ci lamentiamo delle ferite, mentre dovremmo piuttosto imparare dai nostri omologhi aeronautici e cominciare a sfruttare la sicurezza come uno strumento per evidenziare le carenze delle strutture in cui operiamo e come incentivo al rispetto delle regole.

Le verifiche di sicurezza, infatti, non ci forniscono solo informazioni sul nostro sistema, ma anche su chi lo gestisce (sulla preparazione dei programmatori, per esempio, o sulla competenza dei capi-progetto); l’esigenza di garantire la sicurezza del sistema ci permette di imporre delle modifiche o delle correzione al codice o alla configurazione dei sistemi, laddove questi non rispondano (come spesso avviene) ai criteri minimi di qualità  richiesti.

Contrariamente all’efficacia della sicurezza per la sicurezza, che come abbiamo visto, decresce all’aumentare del bisogno, questi benefici collaterali della sicurezza sono maggiori per le grandi organizzazioni (siano esse aziende o Enti) che affidano la realizzazione di buona parte del loro sistema informatico a terzi e che quindi possono far buon uso di uno strumento che gli permetta di accertare l’effettiva qualità  delle risorse impiegate.

Categoria: Sicurezza | Commenta

Commenti per La sicurezza é un’amante incompresa

Dalle mie parti si dice che se gli ingegneri costruissero come i programmatori scrivono codice, vedresti cadere tutti gli edifici…

# - Postato da Giacomo 18 aprile 2012 alle 12:43

Non concordo per niente con il primo commento (ma per spiegare le mie ragioni rischierei di aprirebbe un dibattito kilometrico) mentre é molto interessante l’articolo che espone chiaramente un problema reale ma poco sentito (anche se ultimamente i media stanno facendo un po’ di pessima pubblicità  in più in tal senso).
Aggiungerei solo che la sicurezza fa a pugni con l’usabilità , e visto che quest’ultima é il primo impatto di un prodotto, e soprattutto, é tangibile e visibile da tutti, la sicurezza é ben lontana da questa posizione privilegiata

# - Postato da Marotochi 18 aprile 2012 alle 13:17

@Marotochi

Aggiungerei solo che la sicurezza fa a pugni con l’usabilità 

Invece io non concordo con quanto affermi: perché mai la sicurezza dovrebbe fare a pugni con l’usabilità ?

# - Postato da Marco Lecce 18 aprile 2012 alle 13:57

Dalle mie parti si dice: se gli ingegneri sapessero fare il proprio lavoro, gli edifici non cadrebbero ;-D.
Bando alle ciance, se volessi proteggere i miei “edifici” dovrei costruirli senza porte e finestre… quindi inutilizzabili!!! Certo, se l’intero palazzo si munisse di sistemi di sicurezza adeguati, sarebbe difficile (non impossibile) che un “topo di appartamento” riuscisse ad entrare indisturbato… se invece ogni condomino fa quello che gli pare, sarà  più semplice entrare in “tutti” gli appartamenti, anche quelli protetti, perché vulnerabili da più punti.
Se un software, un sito, non é utilizzabile di sicuro sarà  più protetto, proprio perché non può accedervi anche il proprietario!!!

# - Postato da leo__ 18 aprile 2012 alle 14:03

Mi trovo poco d’accordo con tutti, e forse questo evidenzia le carenze che in effetti ci sono nella sicurezza informatica.
Perché mai la sicurezza dovrebbe contrstare con l’usabilità ?
Per fare un esempio stupido, prevenire XSS contrasta con l’usabilità ? Affatto! Forse con la pigrizia dei programmatori…
Per non parlare di siti usabilissimi come Twitter, Facebook, Google che riescono a reggere benissimo ai sicuramente innumerevoli tentativi di exploit.

Sbaglio?

# - Postato da qwertj 18 aprile 2012 alle 22:09

@Marco Lecce e qwertj
Premesso che usabile ha vari significati (facile, comodo, intuibile, accessibile, ecc.), ci sono molti ambiti in cui sicurezza e usabilita’ non vanno molto d’accordo.

Prendiamo le password ad esempio:
- Una password sicura e’ piu’ difficile da memorizzare (tralasciamo per un momento i metodi per creare password sicure e facili da ricordare)
- Numeri e caratteri speciali rendono la password piu’ sicura, ma la rendono anche piu’ difficile da digitare su uno smartphone

Facebook e Gmail? Se usati in modo sicuro (2 way authentication) non sono particolarmente usabili, perche’ richiedono di avere il telefonino a propria disposizione ogni volta che si intende utilizzare un nuovo computer.
Sicuro, ma molto scomodo (ad esempio io mi trovo in Giappone al momento, e non ho il mio numero italiano con me. Per gmail ho dovuto generare dei codici usa-e-getta che mi permetteranno di loggarmi anche senza il mio pc se ne avro’ bisogno. Sicuro ma molto scomodo)

E il recupero della password? L’anno scorso mi han rubato un account email su @live.it perche’ il loro sistema di recupero della password era (e’ ancora?) semplice ma insicuro (domande di sicurezza fisse, facilmente indovinabili da chi mi conosce).

Vogliamo parlare di Android? Chiedere all’utente di valutare i permessi dell’app non e’ ne sicuro ne usabile.

E i firewall che ti chiedono se autorizzare un’applicazione? Ne sicuro (perche’ l’utente puo’ far la scelta sbagliata) ne usabile (perche’ l’utente inesperto, ma anche quello esperto, puo’ non sapere cosa fare)

Ovviamente ci sono anche ambiti in cui la sicurezza non contrasta l’usabilita’, come nel caso di XSS (a meno che l’utente non abbia un buon motivo per voler inserire html/js), ma in generale sicurezza e usabilita’ non vanno molto d’accordo.

# - Postato da Giacomo 23 aprile 2012 alle 05:39

Lascia un Commento

L'indirizzo email non verrà pubblicato. I campi obbligatori sono contrassegnati *

È possibile utilizzare questi tag ed attributi XHTML: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>