|
Requisiti di sicurezza e protezione 2) IL QUADRO NORMATIVO
torna
all'indice
Soltanto recentemente il legislatore ha preso atto della necessità di tutelare il diritto del cittadino alla riservatezza dei propri dati personali. Tale conclusione per un verso è stata accelerata dal rapido incremento e dalla veloce diffusione di nuovi mezzi di comunicazione, ma anche dal processo di integrazione comunitaria che ha fatto da catalizzatore verso l’adozione di un sistema di protezione standardizzato con quello degli altri paesi. Paradossalmente, il cronico ritardo italiano nel recepire le direttive comunitarie ha consentito di tenere conto delle esperienze dei partner che per primi si erano attivati, col risultato di pervenire all’introduzione di provvedimenti normativi di discreto livello, in quanto già altrove collaudati. Allo stato odierno dei fatti, ad uno strato normativo precedente, il
quale, in buona sostanza tutelava la riservatezza del solo contenuto delle
telecomunicazioni in generale, se ne è aggiunto - senza abrogarlo - uno nuovo più
specifico, il quale estende la tutela del cittadino al di là del contenuto stesso delle
comunicazioni, tenendo in conto anche l’espansione del mercato e delle nuove forme di
comunicazione. Si tratta di un problema che precede e che, in un certo senso, va oltre il settore specifico delle comunicazioni; ma comunque il regime di garanzie introdotte, soprattutto a livello contrattuale (si pensi alla condizione sospensiva di tipo potestativo rappresentata da diritto di recesso entro un certo termine), è in linea con la legislazione comunitaria e costituisce un buon primo livello di garanzia. Secondariamente, il legislatore ha previsto che la tutela venga estesa anche alla fase esecutiva del rapporto, sia garantendo la riservatezza di tutte le comunicazioni intercorse e di tutti i dati trasmessi, sia introducendo una serie di disposizioni che rafforzano la posizione dell’utente. Da ultimo, l’introduzione di una serie di reati connessi alla violazione della normativa di tutela ha consentito un certo grado di prevenzione e di osservanza della stessa. Allo stato attuale, pertanto, il quadro normativo di riferimento, è rappresentato da:
È il provvedimento di riferimento per antonomasia, emendato da successive disposizioni, sul quale il legislatore lavora per migliorarne continuamente il contenuto. Oltre alla normativa nazionale, occorre tenere conto anche della regolamentazione comunitaria, ovvero, in particolare: Da ultimo, rappresentano un buon contributo anche gli strumenti di diritto privato con i quali si cerca di incrementare la tutela del consumatore, quale, ad esempio, l’Accordo quadro del commercio elettronico. In conclusione, si può affermare che, allo stato, esiste una sufficiente legislazione a tutela della riservatezza del cittadino in materia di comunicazioni, ma per il futuro il rischio è che si proceda disordinatamente con l’introduzione di una serie continua di provvedimenti non collegati nel contesto di un disegno organico. Un obiettivo nobile, pertanto, potrebbe essere quello di pervenire all’adozione di un testo unico a tutela del cittadino consumatore, strutturato in forma elastica al fine di consentirne l’adattamento all’evoluzione delle future tecniche di comunicazione. Ma prescindendo dalla normativa, sul tema della protezione dell'utente in generale, si possono aggiungere anche alcune altre considerazioni. L'impressione generale è che la sicurezza delle informazioni non abbia ancora raggiunto il suo assetto migliore. Un sistema informativo è da ritenersi sicuro quando le informazioni in esso contenute non corrono pericolo alcuno di essere sottratte, manipolate, cancellate ad opera di persone che non ne hanno diritto. Ed a tal fine il legislatore (italiano e/o europeo) ha emanato, in più riprese, una serie di norme, anche di natura giuridica penale, rendendo così il quadro normativo sempre più complesso e, a volte, di non facile interpretazione. In ogni modo appare chiaro che non basta la coazione psicologica della comminazione della sanzione per evitare che il bene giuridico venga aggredito, né che l’inasprimento della stessa scoraggi chi avesse deciso di delinquere che, come è facilmente intuibile, agisce solo con la prospettiva dell’impunità. Non basta ammonire che chi ruba è punito per evitare che si commettano furti; occorre anche, per contenere il fenomeno, predisporre ogni più utile e idonea materiale protezione a difesa della proprietà (vedi, ad esempio, le grate alle finestre e le inferriate acuminate sui muri di cinta). Il legislatore italiano con la legge 23 dicembre 1993 n.147 ha introdotto nel codice penale, fra gli altri, gli articoli 615-ter e 615 quater. Tali norme si occupano espressamente di un sistema informatico e telematico protetto da misure di sicurezza, e puniscono con la reclusione, nei casi più gravi, fino a cinque anni, chiunque, senza averne diritto, in esso si introduce non solo per fine di lucro ma anche semplicemente per gioco. Dunque basterebbe che tali norme non venissero violate per poter definire "SICURO" qualsiasi sistema informativo; nel senso che le informazioni in esso contenute resterebbero, nella loro integrità originaria, al solo ed esclusivo uso di chi ne abbia diritto. Ma la realtà è ben diversa. L’abusivo accesso a tali sistemi, che può ottenersi anche telefonicamente da distanze intercontinentali, con le conseguenti sottrazioni, manipolazioni, alterazioni, cancellazioni dolose, colpose, o per gioco, dei dati in essi contenuti, avviene non di rado. Ed anche qui il legislatore è intervenuto ponendo a carico di chi è autorizzato a gestire un sistema informativo l’obbligo, penalmente sanzionato, dell’adozione di misure e di cautele idonee e necessarie a proteggerlo. Basta ricordare che la Comunità Europea nell’intento di favorire la libera circolazione dell’informazione e di assicurare nello stesso tempo la sicurezza dei sistemi e dei prodotti informatici, ha raccomandato agli Stati membri di adottare gli stessi criteri che decisero di adottare nel 1990 l’Inghilterra, l’Olanda e la Germania. E ancora si può ricordare che l’Autorità competente a dettare le norme tecniche in materia di Sicurezza Informatica per la Pubblica Amministrazione e gli Enti Pubblici non economici è, ai sensi dell’art.7 del decreto legislativo 12 febbraio 1993, l’Autorità per l’Informativa nella P.A. Si può quindi affermare che per rendere quanto più possibile sicuro
un sistema informatico, alle " buone leggi" che ne tutelino l’integrità
occorre che si accompagnino meccanismi di protezione sempre più tecnologicamente
sofisticati e continuamente aggiornati. In altre parole bisogna che sia non solo il
legislatore, ma, in modo particolare il "tecnico" ad introdurre tutti i mezzi
per scongiurare il perdurare di siffatte situazioni di pericolo per i beni giuridici della
riservatezza, della integrità e della disponibilità delle informazioni registrate. 3) LA PRIVACY
torna
all'indice 3.1 Analisi della situazione torna all'indice Il crescente impiego delle reti telematiche e la grande diffusione di Internet, conseguenti al notevole sviluppo tecnologico nel settore delle comunicazioni e dell’informatica negli ultimi anni, ha evidenziato da parte dei cittadini, oltre agli innegabili vantaggi derivanti dalla fruizione dei servizi di telecomunicazione sempre più innovativi, anche una fondamentale esigenza di sicurezza connessa all’utilizzo di detti servizi e alla salvaguardia della propria sfera privata. La rete Internet, inizialmente nata come rete informatica per scopi
militari e successivamente estesasi liberamente a livello mondiale per potenziare gli
scambi e il commercio, nasconde numerose insidie che è opportuno conoscere da parte del
navigatore attento per ridurre i rischi e contenere eventuali conseguenze negative. Un altro problema fortemente sentito riguarda la pirateria audiovisiva che interessa i servizi per la visione di programmi televisivi via satellite, il cui segnale viene ricevuto per mezzo di decoder e smart-card. Si sono scoperte, in questo campo, una grande quantità di truffe, ai danni dei gestori delle trasmissioni satellitari, da parte di persone senza scrupoli che riescono ad eludere i sistemi di protezione delle trasmissioni, mediante clonazione dei dispositivi necessari per la ricezione. Addirittura navigando in Internet si sono individuati numerosi siti in cui vengono accuratamente indicate le modalità per svolgere tale attività illecita. Un grosso problema riguarda la diffusione di materiale pedofilo e pornografico, coinvolgente in particolare i minori, che, ad esempio, cercando nella rete i fumetti di Disney o delle storie di fantastici mondi futuribili, scoprono scene di tutt’altro genere o vengono attratti a fini di adescamento. Sono infatti presenti in Internet numerosi siti e chat-line dove gente la cui identità è mascherata da nomi in codice si incontra, anche per vendere e comprare on line fotografie e materiale proibito, alimentando in tal modo un notevole giro d’affari che è in continuo aumento. Risulta che anche la prostituzione si sta affacciando sulla rete con pubblicità, annunci, tariffe e immagini. Il lato oscuro di Internet inoltre si nutre di truffe e abusi economici di ogni tipo; basti pensare che nell’ultimo anno sono state denunciate più di 40 mila truffe on-line. La quasi totalità di queste truffe riguarda il commercio elettronico che si è affermato in molti paesi, senza disporre di un soddisfacente grado di affidabilità nel pagamento con carta di credito, moneta elettronica e similari. Va però evidenziato che solo la sicurezza del pagamento può determinare la fiducia degli utenti; è perciò necessario adottare strumenti idonei che garantiscano il processo di autenticazione nella fase di utilizzo della carta di credito, ad esempio mediante la firma elettronica. Tale questione è molto delicata, poiché la possibilità di disporre
in modo semplice e immediato di un mercato globale fa crescere enormemente la domanda di
questo genere di acquisti. E’ necessario perciò il massimo impegno degli Stati per
evitare che in un prossimo futuro il fenomeno delle truffe, che può costituire un nuovo
sistema di finanziamento di organizzazioni criminali anche transnazionali, assuma
dimensioni ancor più preoccupanti. Tale attività, come si vedrà più avanti, ha permesso di ottenere
notevoli risultati, costituendo uno dei pochi elementi di sicurezza in una società in
continua trasformazione, che richiede servizi sempre più sofisticati e tecnologicamente
innovativi, spesso immessi sul mercato senza un’adeguata valutazione del loro
impatto. 3.2 Possibili rimedi torna all'indice Per difendersi dagli innumerevoli pericoli sopra esposti, il cittadino
non dispone di sicure contromisure, perché le minacce diventano sempre più complesse,
finalizzate agli obiettivi da raggiungere e in grado di introdursi nelle reti telematiche
a vari livelli, con modalità imprevedibili. La più volte ipotizzata regolamentazione di Internet non appare fattibile per non far perdere alla rete la sua peculiare caratteristica di essere liberamente accessibile a tutti, e da tutti utilizzata per fornire servizi. Del resto anche i "provider", che sono i grandi gestori della rete, non vengono coinvolti in queste problematiche, non ritenendosi responsabili dell’uso che il cliente fa dei servizi di rete messi a disposizione. Tuttavia in qualche caso è stato possibile sottoscrivere accordi con i provider per coinvolgerli nella sicurezza dei servizi resi. In questo ambito il Coordinamento internazionale delle associazioni per la tutela del minori "Ciatdm" ha fatto recentemente sottoscrivere al Provider italiano UNIPLAN un decalogo che lo impegna a fornire filtri per la navigazione sicura dei bambini, a controllare le pagine messe in rete e a conservare per tre anni i dati degli accessi ai siti, allo scopo di facilitare le indagini in caso di necessità. Questo è un risultato molto importante ed è necessario proseguire su questa strada con tutti i provider. Va rilevato che esistono sulla rete anche associazioni di hackers che svolgono delle cosiddette "crociate" contro siti che praticano attività illecita, in particolare siti pedofili e pornografici, conducendo delle guerre informatiche che portano alla distruzioni di detti siti. In questo contesto, che difficilmente garantisce al privato cittadino di fruire in piena sicurezza dei servizi della rete e dei sistemi di telecomunicazione, appare essenziale indicare alcune regole pratiche per difendersi e i più opportuni comportamenti da seguire. Ad esempio si può considerare la minaccia costituita dai virus più recenti che. attraverso i sistemi di posta elettronica, si trasmettono ai PC dei vari utenti, nonostante la presenza nei server e nei PC di programmi antivirus. È possibile con un po’ di accortezza, seguendo delle norme consigliate dalla prudenza, limitare il contagio di macrovirus, trojan horse, bombe logiche e tante altre diavolerie non ancora identificate, ed evitare molti guai. Infatti può succedere, aprendo un file allegato ad un messaggio di posta elettronica, di essere infettati da un virus senza accorgersene. L’attacco dannoso può annidarsi anche nel messaggio di un amico, che non sa di essere infetto e quindi di aver trasmesso il virus. È perciò indispensabile seguire normalmente queste regole: - non aprire mai un allegato proveniente da uno sconosciuto, che non è stato chiesto o di cui non si conosce la natura. - non aprire mai un allegato con estensioni esecutive tipo ‘.exe’, ‘.bat’, ‘.com’, ‘.ini’, ecc. - se capita di ricevere in allegato ad una e-mail un file del tipo suddetto, questo non deve essere salvato sull’hard-disk. Inoltre il messaggio e-mail deve essere assolutamente cancellato sia dalla posta in arrivo, sia dalla posta eliminata, svuotando anche il cestino, in modo da togliere l’eventualità di eseguire quel file anche per sbaglio.
- la rete ed i sistemi telefonici non sono da considerare sistemi sicuri ai fini della "privacy", essendo possibili intrusioni di estranei allo scopo di carpire informazioni, intercettare comunicazioni, introdurre o danneggiare le banche dati, utilizzare le apparecchiature a scopo fraudolento, clonare le sim-card, ecc. - occorre perciò normalmente evitare, per la tutela della "privacy", di trattare dati personali (età, indirizzi, numeri di telefono, luoghi di lavoro o di abituale frequentazione, numeri di carte di credito, ecc), dati sensibili dei tipi richiamati dalla legge 675/96, o informazioni di carattere riservato. E’ buona norma inviare questi dati attraverso sistemi di crittografia, ad esempio reti private virtuali, sistemi abilitati con smart-card o certificati digitali, oppure ove possibile direttamente a voce. Riguardo al pagamento con carte di credito e moneta elettronica via Internet occorre almeno prendere le seguenti precauzioni: - assicurarsi nei pagamenti con i sistemi bancomat di non essere osservato da nessuno mentre si digita il codice segreto. - nei negozi, nei ristoranti e in genere nei locali pubblici controllare che i gestori dei locali effettuino correttamente le transazioni .
L’esperienza di numerosi esperti fa ritenere che l’unica efficace precauzione da adottare utilizzando come mezzo di pagamento la carta di credito, è quella di "non perderla mai di vista", soprattutto in posti di cui non si è clienti abituali. Qualche dettaglio ulteriore è molto illuminante. Una particolare apparecchiatura che si chiama "Skimmer", delle dimensioni anche di un pacco di sigarette, permette di leggere e memorizzare il contenuto delle tre tracce di una qualsiasi carta magnetica. L’uso di questa apparecchiatura, acquistabile per poche decine di
migliaia di lire, non lascia ovviamente alcuna traccia sulla carta che poi viene
regolarmente utilizzata con il POS per l’acquisto fatto. Il secondo passo consiste nel passare quanto letto dallo skimmer su una nuova carta, operazione ancora più semplice da effettuare utilizzando un PC ed un’altra apparecchiatura che è ormai diffusissima, e che è utilizzata in tutte le aziende che utilizzano i Badge per il controllo delle entrate e delle uscite. Le tracce delle carte magnetiche contengono caratteri in chiaro, e solo la seconda traccia contiene dati necessari alle transazioni per acquisti con carta di credito. Alla fine è sufficiente passare i dati letti su un badge, o su un’altra carta di credito, da utilizzare con la complicità di un commerciante che non dia troppo peso all’aspetto esteriore della carta, o alla congruenza dei numeri. È possibile utilizzare le suddette forme di pagamento on-line solo dopo aver ricevuto comprovate assicurazioni dell’affidabilità dei sistemi elettronici impiegati, aver esaminato le forme di autenticazione ai fini della sicurezza della transazione, aver controllato che analoghe operazioni effettuate da altri utenti dei servizi siano andate bene. Per quanto riguarda la protezione dei bambini e degli adolescenti nelle attività informatiche, appare essenziale che i genitori forniscano tutti quei consigli e raccomandazioni necessari a prevenire i rischi derivanti da un uso non attento di Internet e dei servizi di posta elettronica e di chat. Occorre inoltre che sia instaurato con i figli un rapporto aperto che consenta ai genitori di essere continuamente aggiornati sui problemi che i ragazzi incontrano durante la loro attività in rete, in modo da intervenire prontamente per evitare la navigazione in siti non sicuri o per frenare iniziative avventate qualora si manifestino fatti anomali. Al riguardo le autorità preposte alla sicurezza raccomandano ai genitori di impiegare programmi filtro per impedire l’accesso a siti pornografici ( tipo Net-Nanny, Cyber-patrol, Surfwatch) e concordare con i ragazzi alcune regole fondamentali da seguire, fra le quali appare opportuno indicare : - non dare, senza autorizzazione, informazioni personali riguardanti l’età, l’indirizzo, il numero di telefono di casa o dell’ufficio dei genitori, la scuola frequentata, i luoghi di incontro abituale o di attività sportive; - non accettare incontri con persone conosciute in rete, né inviare messaggi o inviare fotografie senza aver prima deciso con i genitori il da farsi; - stabilire nel collegamento ad Internet i siti e le aree in cui accedere, non avvicinandosi a nuovi siti senza l’autorizzazione o l’assistenza dei genitori. In sostanza da quanto sopra detto appare evidente che in questo campo, oltre all’affinamento delle leggi per prevenire e reprimere le attività illecite, oltre ad approfondire le conoscenze sulle minacce informatiche sempre mutevoli e sofisticate, e predisporre nuove contromisure altrettanto complesse, oltre a promuovere la produzione di sistemi telematici tecnologicamente sempre più avanzati in modo da ridurre le aree più vulnerabili agli attacchi dei malintenzionati, occorre una grossa opera di prevenzione nei confronti dei cittadini per sensibilizzarli ai rischi e ai problemi derivanti dall’uso dei mezzi informatici e di telecomunicazione, diffondendo sin dall’età scolare una cultura della sicurezza . Infatti in definitiva per potersi difendere dalle insidie della rete, in molti casi, non occorrono conoscenze informatiche elevate, ma è necessario attenersi scrupolosamente a delle regole di base, spesso legate all’esperienza ed al buon senso, per evitare di correre rischi inutili e di avvicinarsi a siti pericolosi, assumendo atteggiamenti vigili e responsabili, che consentono di notare prima possibile il determinarsi di situazioni critiche e reagire in modo ponderato e sollecito in detti casi.
In conformità alla disciplina dell’Unione Europea in materia di riservatezza e sicurezza del trattamento delle informazioni, sono state introdotte la legge 31 dicembre 1996, n.675 e il regolamento DPR 28 luglio 1999, n.318 a tutela dei cittadini. Si riassumono di seguito i concetti fondamentali di queste disposizioni. La legge 675/96 torna all'indice Finalità - "…garantire che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche, con particolare riferimento alla riservatezza e all’identità personale;…" Soggetti previsti dalla legge: - l’interessato (persona fisica o giuridica, ente o associazione a cui i dati si riferiscono), - il titolare (decide sulla finalità ed la modalità del trattamento dei dati e sulla loro sicurezza), - il responsabile (preposto dal titolare al trattamento dei dati), - l’incaricato (esegue materialmente il trattamento dei dati), - l’Autorità Garante (organo di diffusione, promozione, indirizzo, vigilanza, controllo e denuncia). Dati personali - "…tutte le informazioni relative a persone fisiche o giuridiche, enti o associazioni che consentono l’identificazione di questi soggetti e/o l’attribuzione ad essi di atti, stati o condizioni attinenti alla loro sfera di riservatezza." Dati sensibili - "…quei dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose e filosofiche, le opinioni politiche, l’adesione a partiti, sindacati, associazioni,…,nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale." Si applica - in tutti i casi in cui i dati personali vengano raccolti, registrati, organizzati, conservati, elaborati, utilizzati, raffrontati, comunicati, estratti, diffusi. al contrario: Non si applica - alla raccolta e conservazione di dati ad uso personale o per finalità istituzionali, purché non ne sia prevista la comunicazione a terzi o la diffusione e purchè ne sia garantita la riservatezza. Trattamento - operazione o complesso di operazioni svolte con o senza l’ausilio di un elaboratore elettronico o di un procedimento comunque automatizzato; comprende quindi attività sui dati che possono riguardare la loro raccolta, conservazione, elaborazione e distruzione. Riservatezza, integrità e disponibilità dei dati trattati - i dati debbono essere custoditi e controllati in modo da ridurre al minimo, mediante misure di sicurezza, i rischi di compromissione, per perdita di privacy, distruzione, manomissione o perdita, anche accidentale, degli stessi. Informativa - gli interessati debbono essere preventivamente informati, per iscritto, circa le finalità e le modalità del trattamento, l’obbligo o la facoltà di fornire i dati e le conseguenze in caso di rifiuto, i soggetti a cui i dati debbono essere comunicati, l’ambito di diffusione, i diritti degli interessati stessi e l’identificazione del titolare e del responsabile del trattamento. Consenso - il trattamento dei dati è ammesso solo con il consenso scritto dell’interessato. Non è obbligatorio richiedere il consenso per i dati provenienti da pubblici registri, i dati utilizzati per la ricerca scientifica, i dati per la salvaguardia della vita o dell’incolumità dell’interessato, o per l’esecuzione di un contratto di cui è parte l’interessato. Notificazione - il titolare che intenda procedere ad un trattamento
dei dati personali deve darne comunicazione, mediante notifica, all’Autorità del
Garante, indicando anche le attività di raccolta ed elaborazione e le finalità e le
modalità del trattamento. Il DPR 318/99 torna all'indice Finalità - detta il complesso di misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza, che configurano il livello minimo di protezione in relazione ai rischi previsti all’art. 15 della legge 675/06. Ambiti di applicazione - Elaboratori accessibili da altri elaboratori attraverso reti non disponibili al pubblico. Elaboratori accessibili mediante una rete di telecomunicazione disponibile al pubblico. Archivi cartacei o comunque supporti preposti a trattamenti non automatizzati. Rete accessibile al pubblico - secondo le indicazioni dell’Autority, è da intendere anche quella dedicata, che però viaggia con modalità ‘pubbliche’, per esempio una rete aziendale, accessibile ai dipendenti, ma che per i collegamenti utilizza le normali reti telefoniche. Documento programmatico sulla sicurezza - Nel caso di trattamento di dati sensibili in rete, deve essere predisposto ed aggiornato con periodicità annuale un documento programmatico sulla sicurezza dei dati per definire, sulla base dell’analisi dei rischi: - i criteri tecnici ed organizzativi per la protezione delle aree e dei locali, nonché le procedure per controllare l’accesso; - i criteri e le procedure per assicurare l’integrità dei dati; - i criteri e le procedure per la sicurezza della trasmissione dei dati; - l’elaborazione di un piano di formazione per gli incaricati. Individuazione degli incaricati - occorre prevedere una parola chiave per l’accesso ai dati e individuare per iscritto i soggetti preposti alla loro custodia. Codici identificativi - a ciascun utente incaricato del trattamento deve essere attribuito un codice identificativo personale; detti codici devono essere assegnati e gestiti in modo che ne sia prevista la disattivazione. Protezione degli elaboratori - mediante idonei programmi contro il rischio d’intrusione ad opera di programmi nocivi immessi negli elaboratori stessi. Accesso ai dati particolari - l’accesso, per il trattamento dei dati sensibili e di particolari dati di provvedimenti penali, espressamente previsti nella legge, è determinato sulla base di autorizzazioni rilasciate o revocate dal titolare o, se designato, dal responsabile del trattamento; l’autorizzazione all’accesso deve essere limitata ai soli dati la cui conoscenza è necessaria e sufficiente. Reimpiego dei supporti di memorizzazione dei dati particolari - è consentito qualora le informazioni precedentemente contenute non siano tecnicamente in alcun modo recuperabili, altrimenti i supporti devono essere distrutti. Trattamento dei dati personali - gli atti e i documenti contenenti
i dati devono essere conservati in archivi ad accesso selezionato. Una menzione ed una attenzione particolare merita il Servizio Polizia Postale, che è stato recentemente profondamente riorganizzato e ristrutturato. Il Servizio ha un obiettivo ampio rispetto alla specifica problematica
della sicurezza nelle comunicazioni. La competenza sull'intero territorio nazionale,
infatti, riguarda questioni di ampio respiro e di contrasto generale alla criminalità
informatica; questo compito è stato attribuito ad un organo della Polizia di Stato
essendo stata la polizia, a suo tempo, individuata come quella preordinata al contrasto
dei reati nel settore delle telecomunicazioni con direttiva del Ministro dell'Interno. 3.4.1 La struttura e i compiti torna all'indice Sulla scorta delle esperienze maturate negli ultimi anni e al fine di dare nuovo impulso alla specifica capacità operativa della Polizia di Stato, il Capo della Polizia, Direttore Generale della Pubblica Sicurezza, nell'ambito di una più ampia ristrutturazione delle specialità della Polizia di Stato, ha istituito nel luglio 1998, in attuazione di specifico Decreto Ministeriale, il Servizio Polizia Postale e delle Comunicazioni, all'interno del quale è confluito il personale della preesistente Divisione di Polizia Postale e del Nucleo Operativo di Polizia delle Telecomunicazioni. Questa riorganizzazione che si colloca tra la legge 249/97, che ha istituito l'Autorità per le Garanzie nelle Comunicazioni, e la legge 269 dell'agosto del 1998 con la quale sono state assegnate nuove competenze di carattere operativo al Servizio. Si ritiene opportuno segnalare, a questo proposito, come il legislatore abbia correttamente attribuito agli organi investigativi mezzi adeguati per il contrasto alle nuove modalità di reati sulla rete Internet, in assenza dei quali sarebbe stato estremamente difficile, ed in molti casi impossibile, ottenere risultati soddisfacenti. I primi due anni di applicazione della legge hanno condotto a positivi
esiti, specie se si tiene conto della necessità di adeguare alcuni istituti processuali
preesistenti a quelli innovativamente introdotti. La Polizia Postale e delle Comunicazioni ha il compito di prevenire e reprimere le forme di criminalità che si caratterizzano per l'impiego delle tecnologie dell'informazione e comunicazione; in tal senso il Decreto Ministeriale del 22 Gennaio 1992, ripartendo gli ambiti di intervento tra le Forze di Polizia, ha inteso affidare alla Polizia di Stato il compito di contrastare le forme di criminalità informatica, successivamente disciplinate con la legge 547 del 1993. La Polizia Postale e delle Comunicazioni nel quadro di una ormai consolidata ripartizione, che ha affidato a ciascuna Forza di Polizia differenti aree operative e di specialità, presidia questo settore attraverso una struttura centrale e periferica. Dal punto di vista operativo, il Servizio coordina l'attività dei
Compartimenti di Polizia Postale in materia di prevenzione e repressione dei reati nel
settore delle telecomunicazioni, fornendo, all'occorrenza, adeguato supporto in termini di
risorse tecnologiche e di personale altamente specializzato necessario in particolari
circostanze; cura i rapporti internazionali ed in questa ottica partecipa quale componente
specialistica a diversi gruppi di lavoro. Il Servizio, a livello Centrale, è articolato in due Divisioni denominate Affari Generali ed Investigativa.
Cura i rapporti con gli organi periferici per i servizi di polizia
amministrativa nel settore delle comunicazioni, mantiene il raccordo con gli uffici
centrali e periferici in materia di formazione, gestione di beni e servizi; cura i
rapporti con i gestori dei servizi postali e delle telecomunicazioni. Al suo interno è
incardinata la Sezione distaccata presso l'Autorità per le Comunicazioni prevista dalla
citata legge 249/97. 3.4.1.2 La Divisione Investigativa torna all'indice Pianifica e coordina i servizi operativi; cura l'analisi e
l'elaborazione di strategie investigative ed appronta metodologie operative per l'azione
di contrasto ai fenomeni criminali nello specifico settore fornendo, in caso di
necessità, adeguato sostegno alle articolazioni periferiche. 3.4.1.2.1 Le quattro Sezioni Operative
torna
all'indice
Si occupa degli attacchi ai sistemi informatici che costituiscono un fronte di notevole impegno da parte del Servizio. Il contrasto è appannaggio di un gruppo di esperti composto da investigatori e tecnici specializzati che si occupano della repressione di tale fenomeno. Il loro compito non si esaurisce con la semplice attività di indagine, ma si sostanzia anche nello studio delle nuove tecniche di intrusione diffuse in rete. Tale analisi si concretizza sia nel monitoraggio di canali chat
riservati agli appassionati, sia nella costante attività di studio ed aggiornamento
effettuata attraverso la partecipazione a convegni "tematici" in Italia ed
all'estero. Inoltre particolare attenzione è stata rivolta alla formazione del personale
promuovendone la partecipazione a corsi specifici presso università ed a stages operativi
effettuati con collaterali organi di polizia di altri Paesi. 2^ Sezione Si interessa di molteplici settori di intervento criminale, in particolare: - del contrasto alla commercializzazione illecita di software, e della diffusione dei programmi protetti dal copyright, fenomenologia criminale che crea non
pochi problemi di carattere economico e giuridico, alle industrie ed ai vari enti
istituzionali impegnati nel settore. Il contrasto del fenomeno avviene attraverso indagini
tecniche complesse affiancate da quelle ordinarie; - della tutela delle trasmissioni radio, in quanto l'evoluzione della tecnologia applicata alle emissioni radioelettriche conduce a continue violazioni della normativa soprattutto in relazione all’installazione ed alle telecomunicazioni senza la prescritta concessione. Altro settore di intervento è quello della pirateria audiovisiva, in quanto con l'evolversi della tecnologia sono stati messi a punto dei sistemi di telecomunicazioni attraverso i satelliti, e tra questi, sono venduti dei servizi per la visione di programmi televisivi. Attraverso il monitoraggio della rete Internet sono stati individuati numerosi siti, nei quali erano pubblicate le modalità per eludere le protezioni delle trasmissioni satellitari. A riguardo, sono stati studiati i fenomeni di clonazione dei decoder e delle smart card, attraverso le quali è possibile ricevere il segnale che consente la visione del programma. Frequentemente, le attività di prevenzione e repressione sono dirette all'accertamento sui decoder e sulle smart card. Infine si impiegano risorse nella repressione degli illeciti riguardanti la conformità degli apparati terminali di rete pubblica e la compatibilità elettromagnetica. 3^ Sezione La terza Sezione del Servizio si occupa del contrasto alle attività di sfruttamento dei minori al fine di produrre, diffondere, commercializzare e pubblicizzare materiale pornografico su Internet. Si occupa, inoltre, del monitoraggio degli spazi web impropriamente utilizzati per promuovere la pedofilia nonché per attrarre minori a fini di adescamento degli stessi. Tale campo di primario interesse per l'attività investigativa del Servizio è stato oggetto di un grande investimento in termini di impiego di risorse umane e tecnologiche. Tale impegno, posto in essere per contrastare un fenomeno che negli ultimi tempi ha destato notevole allarme sociale, viene coordinato anche con l'attività di associazioni non governative, quale l'ECPAT e di semplici cittadini, che segnalano costantemente situazioni potenzialmente rilevanti sotto il profilo penale. A tal fine viene svolto un continuo servizio di monitoraggio di Internet, finalizzato all'individuazione dei siti a carattere pedo - pornografico, che sono in costante aumento e che vengono censiti e catalogati mediante un database. Nel corso di tali servizi si individuano, inoltre, i soggetti presenti su canali "chat" e "bbs", al fine di reprimerne le condotte delittuose. Unitamente ai Compartimenti sono state condotte numerose operazioni anche in collaborazione con agenti dei Customs Service statunitense, dirette alla repressione del fenomeno della pedofilia in rete. A supporto dell'attività operativa, nell'ambito della Sezione vengono svolte attività di studio e ricerca di strumenti tecnici innovativi. 4^ Sezione Si occupa della repressione di reati di tipo finanziario, con particolare riguardo all'emergente commercio elettronico, fenomeno affermato in altri paesi del mondo ed intimamente connesso al grado di affidabilità del sistema di pagamento impiegato, la cui sicurezza può determinare il diverso livello di fiducia degli utenti. La rete Internet offre agli utenti la possibilità di acquistare qualsiasi tipo di bene infrangendo le barriere temporali e nazionali e superando i tradizionali vincoli. Inoltre la Rete mette a disposizione dell'acquirente una nuova categoria di beni, definiti "virtuali", i quali possono essere fruiti direttamente attraverso Internet, come nel caso di video e di file audio. Il prodotto viene acquistato in rete attraverso mezzi elettronici di pagamento costituiti dalle carta di credito, dalla moneta elettronica e similari. L'esigenza di sicurezza connessa all'utilizzo di forme di pagamento elettroniche ha richiesto un approfondito studio riguardante forme di autenticazione per implementare il livello di sicurezza delle transazioni. I suggerimenti in tal senso impongono l'adozione di strumenti idonei che garantiscano il processo di autenticazione nella fase di utilizzo della carta di credito in rete, ad esempio attuabile mediante la firma elettronica. Da uno studio, condotto dal Servizio di Polizia Postale e delle Comunicazioni è emerso che nell'anno 1998, in Italia, sono state effettuate circa 50.000 truffe per un ammontare pari a circa £. 4.000.000.000, cifra destinata ad aumentare notevolmente in considerazione del volume di truffe perpetrate negli altri paesi europei. Riguardo al commercio elettronico l'aspetto d'interesse in tema di politica criminale è rappresentato dalla nascita di un nuovo sistema di finanziamento delle organizzazioni criminali che richiede il massimo impegno al fine di evitare che, in un prossimo futuro, il fenomeno assuma dimensioni più preoccupanti. A causa di recenti, gravi fatti delittuosi, il Servizio ha instaurato diverse collaborazioni con la Direzione Centrale della Polizia di Prevenzione e con alcune D.I.G.O.S., su importanti indagini nel settore del contrasto al terrorismo, che hanno visto l'uso di mezzi telematici. Vengono inoltre sottoposte ad attività di rilevazione e controllo realtà quali quelle legate alle tifoserie calcistiche più oltranziste e che inneggiano all'odio razziale, nonché quelle legate ai grandi raduni musicali denominati "rave party". 3.4.2 L'attività internazionale del Servizio Polizia Postale e delle
Comunicazioni Il Servizio è da tempo partecipe ai lavori dei "G8 - Sottogruppo High Tech Crime" ove si affrontano le tematiche normative, tecniche ed operative dei crimini commessi attraverso l'utilizzo dei sistemi ad alta tecnologia. Tra i risultati ottenuti, si segnala la creazione di una rete di "punti di contatto" attiva nell'arco delle 24 ore che assicura ad ogni paese membro l'assistenza di carattere operativo qualora si verificassero delle situazioni contingenti per le quali non sia possibile fruire rapidamente della collaborazione internazionale attraverso i consueti canali. Partecipa altresì ai lavori del Consiglio d'Europa per la redazione della Convention on Cybercrime. Il calendario di tali lavori prevede che entro breve tempo si giunga alla redazione del testo definitivo della convenzione che sarà conseguentemente portata alla firma dei Ministri nel semestre successivo. Da un punto di vista spiccatamente operativo, il Servizio, per il tramite dei circuito Interpol, veicola una serie di segnalazioni di fatti-reato per il successivo interessamento dei collaterali Uffici investigativi stranieri. Al proposito si sottolinea che le segnalazioni riguardano principalmente i crimini concernenti le violazioni dolose di sistemi informatici protetti (c.d. hackeraggi), la diffusione di materiale pedo - pornografico coinvolgente i minori attraverso la rete Internet, nonché gli illeciti di natura finanziaria perpetrati sempre attraverso la rete.
Di particolare rilevanza sul piano operativo appare essere l'individuazione di nuovi strumenti forniti dalla legge 269/98 alla Polizia di Stato. Uno dei meriti del legislatore del 1998, difatti, è senza dubbio l'individuazione di mezzi adeguati al contrasto di un fenomeno criminale con caratteristiche inedite, da combattere in un territorio inusuale. Come noto, la disciplina in questione attribuisce al Servizio Polizia Postale e delle Comunicazioni la prerogativa dello svolgimento delle indagini nel settore, quando luogo e mezzi di commissione del reato siano reti telematiche e computer. In particolare, a tale regime sono assoggettate le attività complessivamente definite "sottocopertura", che richiedono una speciale competenza tecnica ed un'adeguata preparazione complessiva, che non tutti gli operatori dei servizi di polizia giudiziaria delle diverse Forze di Polizia possiedono. 3.4.4 Compartimenti di Polizia Postale torna all'indice Proprio a causa della crescita e della specializzazione dei fenomeni
criminali informatici e delle telecomunicazioni, si è ritenuto di ampliare e qualificare
ulteriormente l'impegno della Polizia Postale. I 19 Compartimenti già radicati sul
territorio in maniera consolidata e presenti in tutti i maggiori capoluoghi di provincia
anche per mezzo delle Sezioni a loro subordinate, hanno visto ampliare ulteriormente le
loro competenze. Infatti, in aggiunta ai tradizionali compiti di polizia, in materia di
prevenzione e repressione dei reati nel settore postale, curano direttamente l'attività
di contrasto alla criminalità che utilizza tecnologie d'avanguardia nei settori
dell'informatica e delle telecomunicazioni, attraverso personale altamente specializzato.
3.4.5 Lo scenario internazionale; proposte
torna
all'indice Tali organizzazioni dimostrano, perciò, di possedere strutture duttili ed attitudine alla trasformazione, caratteristiche tipiche delle imprese private sane, che, resistendo ai cambiamenti dei mercati, costantemente si rinnovano adattandosi ai nuovi scenari. Purtroppo si constata che le innovazioni tecnologiche prestano il fianco non solo a queste sofisticate organizzazioni criminali, poiché non v’è dubbio che nel perseguimento dell'impunità, ogni forma di delinquenza è interessata a cogliere le carenze legislative di una normativa che "insegue", a distanza, le nuove opportunità, anche nell'era della comunicazione. Accade, infatti, che interi scenari criminali "migrano" da gestore a gestore, nella continua ricerca di tecnologie di comunicazione ancora non padroneggiate dagli organi di sicurezza. Occorre pertanto un ulteriore sforzo non solo per prevenire le attività delittuose oggi possibili mediante l'utilizzo (o, a danno) delle tecnologie delle comunicazioni, ma principalmente, per prevedere quello che sarà consentito domani. Si ritiene quindi indispensabile una maggiore incisività nella fase delle omologazioni delle nuove tecnologie, avendo particolare riguardo al soddisfacimento delle esigenze di Giustizia, cosicché non possa, ad esempio, essere offerto al libero mercato un prodotto che non consenta, nelle comunicazioni, la documentazione, l'intercettazione e quant'altro necessario al mantenimento dell'ordine e della sicurezza pubblica. La rivoluzione delle comunicazioni, la crescita straordinaria di INTERNET, l'utilizzo di protocolli sempre più sofisticati, possono e devono offrire utilità e servizi a chiunque senza discriminazioni, ma questo non significa, per un paese civile, senza regole. Questo organo istituzionale demandato alla sicurezza delle reti ed alla tutela delle comunicazioni, nella consapevolezza che il quadro legislativo attuale non è assolutamente soddisfacente, richiede che i requisiti soggettivi ed oggettivi verso le società di comunicazione impongano di soddisfare gli interessi di Giustizia. Richiede che vengano concertati strumenti normativi che possano consentire l'omologazione ed il controllo dei servizi di comunicazione offerte al libero mercato, prevedendo ove necessario il sanzionamento per le condotte antigiuridiche, affinché, per ciascuna comunicazione, si possa risalire, nel tempo, a tutti i dati da questa generati e/o a tutti i dati ad essa riconducibili.
Un altro punto di vista molto interessante per la privacy è quello per esempio dei produttori di smart card. Ultimamente il circuito integrato ha avuto un incremento notevolissimo; tanto che, sommando le capacità produttive dei grossi produttori di semiconduttori, quali possono essere HITACHI, SAMSUNG e la STMicroelettronica non si riesce a coprire nemmeno il 60% della domanda che viene dal mercato. Questo serve a spiegare il fatto che quando un operatore mobile si lamenta di non riuscire a mettere le carte sul mercato, la colpa non è solo di chi produce la carta, ma il motivo potrebbe essere delle aziende produttrici di chips, che hanno tempi di consegna che stanno dai quattro ai sei mesi. Il motivo è che, anzitutto il silicio non è infinito come risorsa; poi nel fatto che una fabbrica produttrice di circuiti integrati costa quasi un miliardo di dollari; e siccome anni fa c’è stato un periodo di crisi di mercato che ha portato ad un sovradimensionamento delle capacità produttive, ultimamente si sta un po’ più attenti nell’aprire fabbriche nuove per compensare un’esigenza di sei mesi di mercato. Concretamente, da un po’ di tempo le principali aziende produttrici sono state più che in passato coinvolte in gruppi di lavoro anche a livello applicativo. Questo per due motivi: il primo è che ormai il circuito integrato non è più visto come un "pezzo di ferro", più o meno intelligente, su cui si costruisce del software, ma si è cominciato a dare la disponibilità di circuiti integrati dotati di "software embedded"; un software cioè che si può definire, con termini informatici, un software fatto di formule; quindi qualcosa che si dà allo sviluppatore per il seguito del lavoro; e cioè non solo un circuito integrato in silicio, ma anche delle librerie di programmi che permettono allo sviluppatore di scrivere con un linguaggio ad alto livello, come ad esempio il Visual Basic. Questo è uno dei motivi principali per cui le aziende produttrici di microprocessori vengono sempre più spesso coinvolte in gruppi di lavoro che riguardano ad esempio il commercio elettronico. Questo perché si considera il microprocessore come un elemento di base di un sistema di sicurezza. Attualmente si è sviluppata una intensa attività di marketing che va a supportare non solamente il cliente cui serve un prodotto elettronico per realizzare un prodotto finale, ma anche i gruppi di lavoro in cui nascono le specifiche di interoperabilità, di applicazione ecc, anche in funzione della sicurezza per l'utente finale. Questo ha portato ad avere una conoscenza piuttosto profonda delle tematiche relative anche per ciò che concerne la sicurezza, non sentita solamente in ambito di commercio elettronico su Internet, ma anche in altri ambiti, quali ad esempio il GSM, che ha sofferto di numerose frodi nei primi anni dopo la sua nascita. Questa esperienza acquisita ha portato a capire dove sta andando il mercato, le sue attuali esigenze, le richieste e quant’altro. D’altra parte le aziende hanno imbucato ormai un deciso trend di sviluppo di tutti i tipi di semiconduttori, capaci di arricchire il famoso "pezzo di ferro" con un software "embedded"; esso permette di realizzare uno strato di "intelligenza" al di sopra dell’hardware. Questo perché si ritiene che la tecnologia di base debba essere intanto sicura di per sè; quindi si persegue una sicurezza a moduli. Facendo un esempio, se una azienda di software ha bisogno di un progetto piuttosto complesso in cui si richiede anche una integrazione di piattaforma hardware, la cosa ideale è che le si dia una base hardware comunque rodata; per esempio un prodotto che già di per sè sia garantito in termini di sicurezza al 100%; in tal modo vi si può istallare del software, avendo comunque delle fondamenta sicure. Quindi si può affermare che la tendenza da parte di queste aziende, in tutti i microprocessori desinati alle smart card, è quella di implementare un sistema di sicurezza che si può dividere sommariamente in due livelli:
La prima è tutto quell’insieme di contromisure che sono adottate dal sistema operativo (che fa poi vivere il microprocessore) per disciplinare l’accesso ai dati, e per accertarsi che la persona che scrive, legge o cancella è autorizzata a farlo. E quindi consiste in tutta una serie di accorgimenti di carattere software che garantiscono il mantenimento e l’integrità dei dati memorizzati in un circuito integrato (di un gestore di smart card). Poi c’é la sicurezza durante il periodo anomalo, che può incuriosire, ma è importante. E’ una sicurezza di carattere fisico; non software o di software di basso livello, tuttaltro. La sicurezza è garantita a questi effetti introducendo nel circuito integrato una serie di sensori destinati a monitorare lo stato di alcune grandezze. Per esempio il processore può funzionare perfettamente a livello del software, ma potrebbe essere aggredito con la temperatura, con l’ultravioletto, con un aumento di voltaggio del sensore che lo legge, bruciando dei fusibili ecc. Ci sono diverse grandezze che vale la pena di considerare. Ad esempio il microprocessore ha un sensore che, nel momento in cui coglie certe modifiche oltre un certo "range", ferma l'alimentazione e richiede una specifica procedura per essere resettato e rifunzionare nuovamente. Questo può capitare spesso nel GSM; infatti la prima frode fatta al GSM è stata fatta quando un terminale è stato modificato in tal modo che aumentando il voltaggio si andava a modificare il comportamento del circuito integrato. Adesso appena il circuito si accorge che questo voltaggio cambia in più o in meno si blocca. Quindi questo è per esempio il ruolo di un sensore. Un’altra grandezza è la temperatura; un circuito è garantito per +45° e –25°; ma se lo mettiamo in un frigorifero comunque il circuito si deve bloccare perché deve percepire il cambiamento dello stato del valore della temperatura. Un altro esempio: c’è un sensore di nuova implementazione sui circuiti, che è stato adottato da poco. L’obiettivo di una delle frodi più moderne, che nel commercio elettronico sono all’ordine del giorno perché costano tanto ma sono efficaci, è quello di sapere, di conoscere il comportamento di una carta all’interno di un circuito aperto o chiuso in rete. Non potendo accedere ai dati perché il software protegge bene, l’applicazione nasconde bene gli indirizzi, e i sensori fanno il loro lavoro, il sistema parrebbe sicuro; viene la voglia a qualcuno, comunque, in base al consumo di corrente, di capire cosa il circuito sta facendo, come lo sta facendo e come entrare per sabotare il sistema. Così sono nati dei terminali, dei piccoli apparecchi che permettono di monitorare gli andamenti del consumo del circuito, ed in base a questo, attraverso altri parametri, e per esempio dei codici identificativi, capire la password che sta passando, ed il codificato eseguito. Per proteggere il sistema, quindi, si applicano dei sensori che fanno una sorta di "screening"; ossia si cripta il valore del consumo (ossia si indica un numero, ma si intende un altro numero), per creare un disturbo. Questo permette chiaramente di evitare che la modifica di una grandezza fisica interagisca con l'ambiente in cui i circuiti integrati operano, e si possano portare attacchi al sistema. Così si è accennato al problema della sicurezza fisica e si può passare a considerare la sicurezza logica. Si tratta qui di un sistema operativo che, insieme all’applicazione deve garantire diverse altre cose: che il soggetto possa identificarsi verso una rete esterna, e reciprocamente; che l'utente si autentichi verso un’applicazione e l’applicazione si autentichi verso l'utente. Occorre cioè che si riconoscano e procedano insieme, perché il semplice criptare uno scambio di informazioni non è assolutamente sufficiente. Chiunque potrebbe aver clonato la mia carta, dialogare con l’applicazione A, fare quello che vuole, ma non sono io ma è qualcun altro. Quindi in questo sistema bisogna sempre autenticare gli attori. Un circuito integrato riesce a fare questa operazione; poi ha bisogno di un’applicazione di più alto livello, sviluppata da società che fanno questo mestiere: questo significa parlare di approccio "modulare" alla sicurezza. Attualmente sono in corso studi approfonditi per la realizzazione del "mobility commerce", che è un’applicazione sulla rete fissa o mobile, ma opera sulla rete; e si tratta di vedere quali sistemi di sicurezza implementare in più, anche sulla SIM, in modo tale che insieme all’applicazione sviluppata, si possa garantiscono il livello voluto di sicurezza. È ovvio in generale che si sta andando sempre di più verso un sistema di crittografia; infatti la crittografia è alla base della sicurezza. Ci si sta anche chiedendo quali differenze a proposito di sicurezza ci possono essere fra UMTS e GSM. In genere la risposta è che il problema non è mai la rete che trasporta i dati, ma più che altro è l’applicazione che deve essere poi veicolata sulla rete; infatti in questo momento il protocollo di rete è fra le cose più insicure di tutto il sistema. Così spesso si adotta una sicurezza "end to end" tra un server ed un client, ma poi ci si accorge che nel mezzo passano dati non salvaguardati. Infatti il GSM sta insegnando una lezione importante per una sicurezza generale: la SIM deve fare tante cose; tra cui autenticarsi, certamente verso il server di rete che eroga l’applicazione del mobiliting commerce, e quest’ultimo deve autenticarsi verso l'utente. Tutto questo viene fatto attraverso l'implementazione di un sistema di crittografia asimmetrica; il che significa avere per ogni utente che fa parte di una struttura due corpi di chiavi asimmetriche: una pubblica ed una privata. Quella pubblica si utilizza per criptare un’informazione e per decifrare; (firma elettronica creata con la legge Bassanini; ossia l’esigenza di firmare un atto con un sistema di chiave pubblica). Questo è legalmente accettato come uno standard da utilizzare (RSA) che permette la gestione delle chiavi in maniera tale che l'utente possa firmare un atto, criptarlo anche con una chiave asimmetrica, ma inviarlo comunque criptato con una chiave privata; e tutto quello che fa, parte da un solido patrimonio di sicurezza; ovverosia il mio nome e la mia chiave pubblica vengono inseriti in un certificato e firmati con una chiave privata da un ente certificatore. E poi a catena certificati anche da altri enti. Questo spiega cosa significa dire che la crittografia è alla base della sicurezza a livello applicativo. Argomenti analoghi si affrontano con le banche, ossia la migrazione dal magnetico al chip. Le banche spesso hanno la necessità che l’utente possa effettuare le operazioni il più possibilmente off-line perché on-line costa. Oggi molte transazioni sono fatte, chiaramente, con una chiamata telefonica, analogica o digitale che sia: le banche chiedono che, almeno fino ad un certo valore, la transazione rimanga fra carta e lettore senza fare una chiamata; così si è proposto, che entro un certo valore, il terminale e la carta, scambiandosi delle chiavi di sicurezza, si addebitino e si accreditino un valore. (concetto del borsino elettronico che da noi non ha ancora preso piede). Si sono già fatte delle prime esperienze con il servizio banca on-line. Alcune banche hanno già messo in atto una carta GSM che permette di dare ordini di acquisto di azioni. Si tratta di una sorta di crittografia dei dati che passano, ma che non autentica certamente gli attori. Ora si sta passando ad una soluzione diversa; quando si parla di crittografia a chiave asimmetrica, il circuito integrato, così come è, non ce la fa più ad elaborare una chiave di lunghezza elevata; ha bisogno che a fianco ci sia un processore che faccia solo questo lavoro . Ecco perché sono nati i circuiti integrati con coprocessore matematico. Quindi si ha un processore che fa il lavoro che faceva prima, e in seriale si ha un coprocessore matematico che è abilitato solamente per l’elaborazione dell’algoritmo richiesto dall’applicazione stessa. Con questo tipo di schema si riesce ad elaborare questi algoritmi, a farsi riconoscere come attori da una parte e dall’altra, ed a garantire la massima sicurezza. Questa tecnologia viene normalmente fornita insieme al microprocessore; e la si fornisce a strutture che riescono poi a sviluppare applicazioni che basandosi su di esse creano dei compartimenti stagni che comunque fra loro hanno contiguità. Questo è il tipo di approccio alla sicurezza che in questo momento viene offerto in questo settore. Ma esistono degli importanti risvolti anche verso il commercio elettronico. Nel mondo delle smart card ci sono delle norme consolidate che disciplinano perfettamente come debbano essere scambiati i dati perché siano standard, interoperabili e sicuri: dato, confidenzialità e non ripudio sono elementi indispensabili per il commercio elettronico; se devo ossia dimostrare che si è fatta una certa azione; oppure non posso negare che l’ho fatta (si legge solamente con un sistema a chiave asimmetrica). Ultimamente è stato fatto un esperimento sul commercio elettronico, adottando comunque la smart card come chiave di accesso ad un sistema che è chiamato "sistema CSET". Questo sistema, adottando il sistema a crittografia RSA, vede diversi attori in una sezione che include l’utente che compra, il venditore che vende e quindi la banca dell’utente che garantisce la transazione. Il CSET è nato con degli obiettivi importanti; innanzitutto verificare se l’utente che si autentica con il server può dare il servizio e dare il bene. Infatti le informazioni bancarie personali per l’utente non vanno a chi vende ma direttamente alla banca, che si preoccupa di tutelare l’utente venditore verificando se chi compra è in grado di pagare. Queste triangolazioni però chiaramente comportano tempi di sessione lunghi, costi di transazione elevati, consumo dei prodotti tecnologici; ma allo stesso tempo garantiscono che tutte le parti abbiano le informazioni che esattamente le competono. E questo dà l’idea di come la sicurezza vada affrontata; e l’unico problema potrebbe essere nei tempi lunghi di sessione; per esempio accade che cade la linea e bisogna ricominciare da capo la transazione. In realtà il grosso problema del CSET è stato quello di non poter garantire un tempo di sessione accettabile. Questo accadrà anche per il GSM, andando verso GPRTS e UMTS; si ha ancora da fare con tempi lunghi di transazione se la si vuole rendere sicura, certificando tutto. In pratica accade che le operazioni si svolgono come segue: la banca manda un bit informativo al server dell’entità informatica (venditore); questa conferma di aver fatto la verifica; ed indica i limiti di valore per proseguire. Quindi dall'utente parte una stringa di informazioni che poi si dividono; una parte va alla banca, una al venditore e poi si riuniscono alla fine, al completamento della procedura. Con l’introduzione della firma digitale la banca, firmando con la
chiave privata di sua pertinenza, garantisce il venditore che solo lei può firmare
l’assenso dato al sistema. Questa è l’unica esperienza reale nel campo del
commercio elettronico su reti aperte con la smart card come token di sicurezza e di
accesso. Poi è chiaro che la smart card è un prodotto; la tecnologia dei circuiti
integrati riguarda anche i terminali, perché il GSM si autentica con la smart card che ha
all’interno. Tutto ciò è legato al valore di ciò che si vuole proteggere. Investimenti superiori portano a costi superiori al beneficio da ottenere. Aumentare l’investimento neccessario per frodare un sistema aperto può quindi non essere più conveniente. In altri termini un valore elevatissimo da proteggere richiede una sicurezza elevatissima. E comunque i circuiti integrati, usati per le memorie e per i microprocessori in ambito smart card, vengono garantiti da diversi punti di vista del loro funzionamento; ma immettendo funzioni logiche si potrà sempre influenzare la sicurezza del suo circuito. Comunque esistono anche problemi legati ai requisiti ambientali diversi per le varie grandezze, come ad esempio la temperatura che è differente in diversi paesi del mondo. Questo perché il circuito integrato è notevolmente sensibile alle grandezze dei parametri degli ambienti che lo circondano. Per l’utilizzo della memoria l’apparecchiatura è tarata di solito fino a 100.000 scritture, oltre le quali decade la garanzia del 100%. Un’altra domanda che ci si fa spesso riguarda un’altra caratteristica del prodotto: che cosa garantisce ai clienti lo standard di qualità che a sua volta influenza la sicurezza. In realtà si tratta di "computer" che non vengono omologati; poi è il mercato che aggiusta le cose; ma d'altra parte non si può ragionare troppo e solo su base mercato, perché bisogna comunque porre la problematica della difesa dell’utente consumatore prescindendo dalle regole di mercato. Ossia, quando il componente è il sistema, ci si può chiedere se ci debba essere una qualche garanzia agli effetti di tante esigenze fra loro contrastanti, come ad esempio la facilità di criptazione, che per l’utente deve essere ridotta al minimo; mentre per l’Autorità competente (polizia) deve essere ridotta al massimo. Ci si può anche chiedere quale sia il livello di sicurezza dei principali componenti di questi microprocessori. Normalmente le carte GSM includono tre memorie:
Queste memorie hanno come unico limite quello fisico, e non sono
infinitamente comprimibili; si può arrivare fino ad un dato livello, oltre al quale,
continuando a comprimere la memoria, si cominciano a perdere i dati. | inizio pagina | |