www.MegaLab.it

Questo corso dedicato alla crittografia non si rivolge agli studiosi con solide basi matematiche, di ingegneria o entrambe, bensì è il tentativo di accostare l'utente medio a questo mondo affascinante. Proporrò un modello didattico che preveda, oltre un minimo di nozioni base, delle situazioni reali che contemplino ipotetici attacchi ad un sistema informatico. Daremo quindi per scontato che le condizioni simulate durante la stesura degli articoli vengano a determinarsi in un contesto che vedrà l'utente medio protagonista, depositario e custode di dati sensibili propri oppure dell'azienda in cui lavora.

Pianificare una strategia difensiva.

La protezione di dati sensibili impone una strategia volta all'analisi dell'ambiente dove gli archivi sono fisicamente memorizzati, quindi lo studio minuzioso su tipologia dei dati, risorse hardware, software, postazione e personale impiegato. Ciò risulterà utile per scegliere il sistema crittografico. Possiamo pertanto tracciare un percorso che si snoda attraverso i seguenti punti:

• Tipologia dei dati da custodire
• Risorse hardware disponibili
• Risorse software utilizzate
• Risorse umane operanti
• Postazione di lavoro
• Il sistema di cifratura più adatto

Prima di analizzare in dettaglio gli argomenti proposti è indispensabile assimilare il seguente concetto: un sistema crittografico, per espletare al meglio il proprio compito dovrà beneficiare di condizioni operative che concorreranno al buon funzionamento del sistema medesimo. Ciò implica che gli eventi legati alla macchina, al software in utilizzo, all'ambiente nel quale questa opera, alle risorse umane, impronteranno le prestazioni a supporto del sistema crittografico.

Le nozioni esposte soddisferanno, come già detto, le necessità dell'utente medio, pertanto non si farà riferimento ad apparati e strutture di tipo militare, governativo o altro che impongono ben altri accorgimenti e contromisure particolarmente complesse!

Tipologia dei dati da custodire

In base al tipo di dati da custodire classificheremo gli archivi da trattare in modo che la flessibilità del sistema crittografico soddisfi le molteplici esigenze. Tendenzialmente una catalogazione standard prevede quanto segue:

• Archivi di password: conterranno le parole d'ordine utilizzate per operazioni da eseguire in locale e in ambiente Internet.
• Archivi di dati: conterranno file di svariata natura ed impiego, come relazioni, film, fotografie e materiale particolarmente sensibile.

Nel caso specifico è buona regola suddividere questa tipologia di archivi in più contenitori aventi differenti chiavi di accesso. Mai facilitare il compito di eventuali malintenzionati includendo il materiale in un unico contenitore: nello sciagurato caso che si giungesse alla master key di protezione, i dati, nella loro interezza, verrebbero facilmente carpiti.

Risorse hardware disponibili.

Affinché un sistema difensivo possa far fronte ai propri compiti, è indispensabile l'apporto di postazioni hardware performanti, in grado di garantire affidabilità e nel contempo velocità di esecuzione. Un computer poco efficiente dal punto di vista meccanico potrebbe generare degli errori in fase di inizializzazione, codifica e decodifica delle informazioni con possibile deterioramento e perdita dei dati. Un sistema crittografico che opera al di sotto della norma diviene un facile bersaglio per i malintenzionati!

Risorse software utilizzate.

La configurazione software dovrà essere totalmente compatibile con il sistema crittografico, operare in totale assenza di conflitti, avvantaggiarsi di tutti quei programmi in grado di respingere eventuali infiltrazioni esterne come virus, software spia ed altro. Il sistema dovrà usufruire degli aggiornamenti periodici rilasciati dal produttore ed essere sottoposto a frequenti interventi di manutenzione. Un virus potrebbe aggredire l'algoritmo di cifratura alterandone il funzionamento ed esponendo i dati al rischio di deterioramento e conseguente perdita. I software spia tipo keylogger, memory dump, debbono essere individuati ed estromessi dal sistema, in egual misura tutti i software considerati dannosi.

Risorse umane operanti.

Il personale addetto è molto importante nella gestione di più terminali, poiché si condividono informazioni e risorse hardware. Questi dovrà attenersi alle regole che impongono correttezza e rispetto delle mansioni. Inoltre si dovranno circoscrivere incarichi e compiti in aree di competenza affinché non interferiscano dannosamente con quelle altrui. La maggior parte degli attacchi agiti contro un sistema informatico è opera del personale che lavora all'interno della struttura o di elementi esterni in concorso col medesimo. Anche le manchevolezze dal punto di vista tecnico favoriscono punti di ingresso nel sistema di sicurezza, pertanto è indispensabile poter contare su delle figure professionali estremamente qualificate.

Nel caso di postazioni singole si presterà particolare cura affinché l'accesso sia garantito al solo operatore, o, in subordine, delimitare le aree di competenza di chi vi può accedere, monitorando orario e durata di ogni singola sessione.

Postazione di lavoro

Un nemico acclarato dei sistemi informatici è l'incuria del luogo dove sono situati fisicamente. È indispensabile un'indagine ambientale che preveda quanto segue: idoneità dei locali, cavi a norma, posizione dei terminali, temperatura interna, presenza di ospiti sgraditi e dannosi. Nei locali vige il divieto assoluto per gli animali.

Scelta del sistema crittografico.

Concluso lo studio che certificherà l'idoneità delle condizioni affinché il sistema crittografico possa essere integrato, possiamo rivolgere la nostra attenzione agli algoritmi che più riteniamo adatti alle nostre esigenze.

Personalmente, come studioso e progettista di software, consiglio l'utilizzo di tre algoritmi molto famosi, affidabili e in grado di poter offrire un elevatissimo grado di sicurezza:

• Rijndael con chiave a 256 bit:
• Twofish con chiave a 256 bit:
• Blowfish con chiave a 448 bit:

Esistono moltissimi software che utilizzano questi sistemi, ad esempio programmi per custodire password e cifrare file. Personalmente ho progettato un freeware con il collega Pierluigi Ortu denominato Sicurpas che svolge entrambe le funzioni. Giunto alla versione 4.0 in classe Professional, Sicurpas implementa gli algoritmi sopra citati ed è in grado di garantire un ottimo profilo tutelare. Abbiamo progettato questo programma tenendo conto, tra le tante altre cose, di alcuni punti tra quelli descritti

Nel prossimo articolo analizzeremo una serie di accorgimenti che ci consentiranno, con un buon programma a supporto, di realizzare un suntuoso protocollo tutelare in grado di blindare le nostre password e i dati più sensibili!

Mariano Ortu vi saluta dalla terra dei nuraghi!