Il diario segreto
Un tempo il diario segreto si chiudeva con un lucchettino dorato e si nascondeva sotto il materasso. Oggi il diario si scrive con una applicazione di video scrittura (ad esempio Microsoft Word) e si lascia tranquillamente nella cartella “documenti” proteggendolo da occhi indiscreti con una password che ne impedisca la lettura.
Il file è al sicuro finché rimane dentro le mura domestiche in un Computer non collegato ad Internet. In tutti gli altri casi una semplice password sul documento non è sufficiente a proteggerlo. Esistono, infatti, parecchie applicazioni che danno una mano a chi "sbadatamente" ha dimenticato la password del proprio documento. Queste applicazioni si dicono di recupero password (
password recovery) e sono le stesse applicazioni che possono essere utilizzate anche da coloro che non sono i proprietari del documento.
Prima di ricominciare a scrivere il diario con la penna e nasconderlo sotto il materasso, possiamo fare alcune considerazioni sulla sicurezza delle informazioni.
AES: i diari segreti della CIA
Se quello che confidiamo al diario può essere classificato come “top secret”, allora condividiamo lo stesso problema della
CIA (o meglio della
NSA, acronimo di National Security Agency): la
protezione dei nostri dati. Come ha risolto l’agenzia per la sicurezza nazionale americana (NSA) il problema? Utilizzando la crittografia dei dati e affidandosi all’attuale metodo standard di cifratura: l’
AES.
L’AES è, riprendendo l'esempio precedente, il lucchettino dorato che permette l’accesso ai dati solo a chi ha la chiave, o meglio, la parola chiave: la
password.
Ma come un lucchetto può subire un
attacco ed essere
forzato con una cacciavite, così un file cryptato con AES può essere attaccato tentando di indovinare a tentativi la password. Questo metodo di attacco si dice
attacco di forza bruta, il perchè non è difficile da indovinare. Se l’attacco riesce il file si dice forzato e il contenuto potrà essere letto
in chiaro (cioè non più criptato).
La guerra tra lo spionaggio e il contro spionaggio è spietata e nel prossimo futuro ci sarà bisogno di un nuovo standard per mantenere al sicuro i dati anche nella ipotesi che l’AES non venga mai violato.
La password: la “chiave” del problema
Immaginiamo ora che il luchettino dorato sia un lucchetto con 3 cilindri come quello delle serrature a combinazione delle valigette. Un attacco di forza bruta richiederebbe, nella peggiore delle ipotesti, 1000 tentativi (da 000 a 999) per aprire la serratura (senza romperla, naturalmente). Ma basta aggiungere un cilidro alla serratura che i tentativi necessari diventano 10.000. Bene, la password funziona alla stessa maniera: più la password è lunga e causale, più è difficile da forzare.
Possiamo aver installato in casa nostra il più costoso sistema di allarme anti intrusione, ma se la password per aprire la porta principale è “1234”, la nostra casa non è affatto al sicuro. La forza di una catena si misura dal suo anello più debole e la password è un anello fondamentale della catena della sicurezza.
Lunghezza
Possiamo dire che la lunghezza minima di una password personale dovrebbe essere di almento 8 caratteri (in termini crittografici 8 caratteri corrispondono a una chiave lunga 64 bit, cioè 1 carattere = 8 bit, 8 bit x 8 caratteri=64 bit).
Casualità
La lunghezza, tuttavia, non è sufficiente. Anche utilizzando la password “precipitevolissimevolmente” un attacco di forza bruta basata sul vocabolario italiano (
dictionary attack), romperebbe la protezione in poco tempo. Ecco per quale motivo è importante introdurre nella password anche dei numeri o dei caratteri non alfanumerici (es. il trattino “-” o la punteggiatura): la sicurezza della password crescerà in proporzione al numero delle combinazioni “casuali” da provare per poterla forzare.
Ma se l’attacco è fatto da tanti computer?
Difficilmente un privato riesce a far arrabbiare un cacker che gli scatena contro un attacco simultaneo da più computer. Più facilmente lo può fare una agenzia governativa Americana, soprattutto dopo che il cracker ha visto il film “
Wargemes - giochi di guerra” del 1983; ecco per quale motivo i documenti “top sercet” sono protetti con metodi AES ancora più avanzati del classico AES-128 bit.
Il vostro diario segreto, quanto è segreto?
AES alla portata di tutti
WinZip
Cercando un po’ in giro si trovano diverse applicazioni che permettono di proteggere i file con lo standard AES. Per fare un esempio il
WinZip (già menzionato dei post di compressione), oltre che comprimere file e directory, può criptare l’archivio compresso col metodo AES.
TrueCrypt
Più interessante, invece, è l’applicazione
TrueCrypt che permette di creare un
volume, cioè uno spazio di memoria criptato la cui dimensione e password sono configurabili dall’utente.
In pracia il volume altro non è che un grosso file dal contenuto criptato, che
potrà essere
montato solo da chi conosce la password e che, una volta
che il computer verrà spento, viene automaticamente
smontato, rendendo il contenuto inacessibile. I termini montare e smontare sono, in realtà, degli inglesismi del verbo to
mount e to
dismount, che possiamo tradurre con agganciare/sganciare o installare/rimuovere.
Una volta che TrueCrypt avrà montato il volume, lo visualizzerà nelle risorse di Windows come fosse un nuovo disco di memoria fisico (es. G:) e tutto ciò che sarà copiato nel volume sarà criptato e tutto ciò che dal volume verrà copiato all’esterno sarà decriptato, il tutto in modo totalmente trasparente per l'utente.
Un volume di TrueCrypt è quindi, un’area riservata personale dentro ad un supporto di memoria di massa di un Computer che potrebbe non essere il nostro (per esempio l’hard disk dell’ufficio).
Di cosa abbiamo parlato:
- Applicazione di password recovery: applicazione che permette o di recuperare la password per aprire un file criptato o di forzare un file criptato.
- protezione dei dati: scopo della crittografia.
- AES (Advanced Encryption Standard): metodo di cifratura che richiede una password per offuscare i dati e la stessa password per de-offuscare i dati offuscati.
- attacco: azione informatica di un hacker o cracker.
- forzare un file criptato: rompere la protezione e riuscire a leggere in chiaro il contenuto.
- File in chiaro: file non criptato.
- attacco di forza bruta: un metodo di attacco che cerca di indovinare una password a tentativi (cioè in modo “brutale” o rozzo).
- dictionary attack: attacco di forza bruta basato su un dizionario di possibili password (es. il dizionario della lingua italiana)
- montare/smontare: termini inglesi mount/dismount, italianizzati per indicare l’azione di collegare/scollegare o installare/rimuovere su un computer, un dispositivo fisico (scherda di rete) o virtuale (file ISO visto come disco locale).
- Volume di TrueCrypt: file criptato che una volta montato viene visto da Windows come un nuovo disco di memoria.
