Sicurezza: AES e il diario segreto (prima parte)

Il diario segreto

Un tempo il diario segreto si chiudeva con un lucchettino dorato e si nascondeva sotto il materasso. Oggi il diario si scrive con una applicazione di video scrittura (ad esempio Microsoft Word) e si lascia tranquillamente nella cartella “documenti” proteggendolo da occhi indiscreti con una password che ne impedisca la lettura.
Il file è al sicuro finché rimane dentro le mura domestiche in un Computer non collegato ad Internet. In tutti gli altri casi una semplice password sul documento non è sufficiente a proteggerlo. Esistono, infatti, parecchie applicazioni che danno una mano a chi "sbadatamente" ha dimenticato la password del proprio documento. Queste applicazioni si dicono di recupero password (password recovery) e sono le stesse applicazioni che possono essere utilizzate anche da coloro che non sono i proprietari del documento.

Prima di ricominciare a scrivere il diario con la penna e nasconderlo sotto il materasso, possiamo fare alcune considerazioni sulla sicurezza delle informazioni.

AES: i diari segreti della CIA

Se quello che confidiamo al diario può essere classificato come “top secret”, allora condividiamo lo stesso problema della CIA (o meglio della NSA, acronimo di National Security Agency): la protezione dei nostri dati. Come ha risolto l’agenzia per la sicurezza nazionale americana (NSA) il problema? Utilizzando la crittografia dei dati e affidandosi all’attuale metodo standard di cifratura: l’AES.

L’AES è, riprendendo l'esempio precedente, il lucchettino dorato che permette l’accesso ai dati solo a chi ha la chiave, o meglio, la parola chiave: la password.

Ma come un lucchetto può subire un attacco ed essere forzato con una cacciavite, così un file cryptato con AES può essere attaccato tentando di indovinare a tentativi la password. Questo metodo di attacco si dice attacco di forza bruta, il perchè non è difficile da indovinare. Se l’attacco riesce il file si dice forzato e il contenuto potrà essere letto in chiaro (cioè non più criptato).
La guerra tra lo spionaggio e il contro spionaggio è spietata e nel prossimo futuro ci sarà bisogno di un nuovo standard per mantenere al sicuro i dati anche nella ipotesi che l’AES non venga mai violato.

La password: la “chiave” del problema

Immaginiamo ora che il luchettino dorato sia un lucchetto con 3 cilindri come quello delle serrature a combinazione delle valigette. Un attacco di forza bruta richiederebbe, nella peggiore delle ipotesti, 1000 tentativi (da 000 a 999) per aprire la serratura (senza romperla, naturalmente). Ma basta aggiungere un cilidro alla serratura che i tentativi necessari diventano 10.000. Bene, la password funziona alla stessa maniera: più la password è lunga e causale, più è difficile da forzare.

Possiamo aver installato in casa nostra il più costoso sistema di allarme anti intrusione, ma se la password per aprire la porta principale è “1234”, la nostra casa non è affatto al sicuro. La forza di una catena si misura dal suo anello più debole e la password è un anello fondamentale della catena della sicurezza.

Lunghezza

Possiamo dire che la lunghezza minima di una password personale dovrebbe essere di almento 8 caratteri (in termini crittografici 8 caratteri corrispondono a una chiave lunga 64 bit, cioè 1 carattere = 8 bit, 8 bit x 8 caratteri=64 bit).

Casualità

La lunghezza, tuttavia, non è sufficiente. Anche utilizzando la password “precipitevolissimevolmente” un attacco di forza bruta basata sul vocabolario italiano (dictionary attack), romperebbe la protezione in poco tempo. Ecco per quale motivo è importante introdurre nella password anche dei numeri o dei caratteri non alfanumerici (es. il trattino “-” o la punteggiatura): la sicurezza della password crescerà in proporzione al numero delle combinazioni “casuali” da provare per poterla forzare.

Ma se l’attacco è fatto da tanti computer?

Difficilmente un privato riesce a far arrabbiare un cacker che gli scatena contro un attacco simultaneo da più computer. Più facilmente lo può fare una agenzia governativa Americana, soprattutto dopo che il cracker ha visto il film “Wargemes - giochi di guerra” del 1983; ecco per quale motivo i documenti “top sercet” sono protetti con metodi AES ancora più avanzati del classico AES-128 bit.
Il vostro diario segreto, quanto è segreto?

AES alla portata di tutti

WinZip

Cercando un po’ in giro si trovano diverse applicazioni che permettono di proteggere i file con lo standard AES. Per fare un esempio il WinZip (già menzionato dei post di compressione), oltre che comprimere file e directory, può criptare l’archivio compresso col metodo AES.

TrueCrypt

Più interessante, invece, è l’applicazione TrueCrypt che permette di creare un volume, cioè uno spazio di memoria criptato la cui dimensione e password sono configurabili dall’utente.
In pracia il volume altro non è che un grosso file dal contenuto criptato, che potrà essere montato solo da chi conosce la password e che, una volta che il computer verrà spento, viene automaticamente smontato, rendendo il contenuto inacessibile. I termini montare e smontare sono, in realtà, degli inglesismi del verbo to mount e to dismount, che possiamo tradurre con agganciare/sganciare o installare/rimuovere.
Una volta che TrueCrypt avrà montato il volume, lo visualizzerà nelle risorse di Windows come fosse un nuovo disco di memoria fisico (es. G:) e tutto ciò che sarà copiato nel volume sarà criptato e tutto ciò che dal volume verrà copiato all’esterno sarà decriptato, il tutto in modo totalmente trasparente per l'utente.

Un volume di TrueCrypt è quindi, un’area riservata personale dentro ad un supporto di memoria di massa di un Computer che potrebbe non essere il nostro (per esempio l’hard disk dell’ufficio).

Di cosa abbiamo parlato:

• Applicazione di password recovery: applicazione che permette o di recuperare la password per aprire un file criptato o di forzare un file criptato.
• protezione dei dati: scopo della crittografia.
• AES (Advanced Encryption Standard): metodo di cifratura che richiede una password per offuscare i dati e la stessa password per de-offuscare i dati offuscati.
• attacco: azione informatica di un hacker o cracker.
• forzare un file criptato: rompere la protezione e riuscire a leggere in chiaro il contenuto.
• File in chiaro: file non criptato.
• attacco di forza bruta: un metodo di attacco che cerca di indovinare una password a tentativi (cioè in modo “brutale” o rozzo).
• dictionary attack: attacco di forza bruta basato su un dizionario di possibili password (es. il dizionario della lingua italiana)
• montare/smontare: termini inglesi mount/dismount, italianizzati per indicare l’azione di collegare/scollegare o installare/rimuovere su un computer, un dispositivo fisico (scherda di rete) o virtuale (file ISO visto come disco locale).
• Volume di TrueCrypt: file criptato che una volta montato viene visto da Windows come un nuovo disco di memoria.

2001 Odissea nello spazio: che cosa è il computer? (prima parte)

L’evoluzione ci insegna che sopravvive solo la specie più forte e, all’interno della stessa specie, solo l’animale più forte (o il gruppo più forte).

La prima delle cinque parti in cui è strutturato il film 2001 Odissea nello spazio di Stanley Kubrick, inizia proprio da una situazione estrema: due tribù di scimmie che si contendono una pozza d’acqua in una terra deserta.
I due gruppi sono in sostanziale equilibrio di forze, nessuno dei due attacca e nessuno dei due indietreggia per permettere all’altro di bere l’acqua. Ci troviamo in una situazione di stallo, ma ed ecco che un elemento esterno interviene: il monolite nero.

Senza entrare nella discussione di “che cosa è” o “da dove viene” il monolite nero, diremo semplicemente che dal momento in cui una scimmia tocca il monolite, spinta dalla curiosità o come dimostrazione del suo personale coraggio alla tribù, un nuovo elemento fa il suo ingresso nella equazione sbloccando la situazione: lo strumento. La scimmia afferra un osso e lo usa come arma, mettendo in fuga la tribù avversaria e conquistando la pozza d’acqua.

Dal mio punto di vista è geniale il modo con cui Kubrick, senza usare una sola parola ma solo la forza dell’immagine, abbia spiegato questo passaggio fondamentale della evoluzione che ha portato l’uomo a creare e usare strumenti sempre più avanzati (e a sottolineare il fatto che il primo impiego di un nuovo strumento è spesso - e volentieri - a fini militari, prima che civili). Un esempio di questo è proprio internet che è nata da ARPAnet, cioè dalla rete americana sviluppata a scopi militari durante la “guerra fredda” per resistere in caso di attacco nucleare.

Nella seconda parte del film è già il futuro, un futuro che celebra il computer come lo strumento più avanzato mai creato dall’uomo, utilizzato per permettere all’uomo la conquista dello spazio, territorio di infinite e nuove risorse. Dalla pozza d’acqua, dunque, allo spazio; dal primo osso, al computer.

Per un approfondimento del significato del film 2001: odissea nello spazio vi invito a consultare:
http://www.kubrick2001.com/

Google: il luogo della cultura (prima parte)

Introduzione

Lo scopo di questo articolo è quello di introdurre al mondo dei motori di ricerca in Internet utilizzando un punto di partenza un po' personale. La storia che sto per raccontarvi, tuttavia, non si limiterà solo a questo, ma spero chiarirà anche l'impostazione di tutto il blog. L'intero progetto, infatti, non vuole assomigliare ad una esposizione didattica di nozioni, ma vuole essere più un insieme di articoli divulgativi scritti da un amante della informatica, e con lo scopo di stimolare la ricerca e l'approfondimento individuale.
L'idea di cultura che sta alla base del progetto è che non è importante sapere tutto, è importante sapere che una cosa esiste e saper dove andarla a cercare.

Il mio professore di Italiano

In quinta superiore cambiai il professore di italiano. La scelta della scuola fu piuttosto azzardata visto che gli studenti erano ormai abituati al metodo di insegnamento della vecchia professoressa e un cambiamento avrebbe potuto incidere sul risultato finale dell’esame di maturità.
Il primo giorno il nuovo professore si presentò in questo modo: entrò in aula ancora con la sigaretta accesa, la percorse a lunghe faldate fino alle finestre, ne aprì una e gettò il mozzicone, la richiuse, si girò e disse: “lor signori si possono accomodare”. Iniziò così l’anno di scuola più bello della mia vita.
Il suo metodo di insegnamento era molto semplice: leggeva le frasi più importanti del libro e spiegava i passaggi più ostici; durante l’interrogazione si poteva tenere aperto il libro; il giorno prima del compito dava i tre titoli dei temi in modo che ci potessimo preparare; in un tema voleva sempre prima la topica e poi la critica (cioè prima l’esposizione dei fatti e poi il nostro punto di vista personale).
Troppo facile, pensai, se non fosse per un piccolo particolare che scoprii solo in seguito: quel professore sapeva a memoria il libri della sua materia, ogni giorno leggeva almeno tre quotidiani e aveva la passione per i processi.
Se in un tema tentavi di copiare, il professore lo correggeva mettendo le doppia virgolette davanti e dopo le frasi copiate e di fianco scriveva: “cita la fonte”. Se nel copiare cambiavi le parole lui scriveva “l’idea non è originale” o “non è farina del tuo sacco!”. Se rielaboravi l’idea per farla sembrare una tua opinione scriveva “prima la topica e poi la critica”.
Le sue interrogazioni erano un vero e proprio processo in cui il malcapitato era l’avvocato che doveva difendere le tesi del libro, mentre il professore era la controparte che cercava di smontare, pezzo dopo pezzo, le tesi proposte e tentava di convincerti che le sue, per quanto strampalate, erano le tesi giuste. Era uno spettacolo vederlo divertirsi fare il giocoliere con concetti che nel libro erano appena sottointesi o sfruttare delle piccole contraddizioni dell’autore per fare a pezzi l’intero impianto del suo pensiero.
Credo, a questo punto, che lasciare all’interrogato il libro di italiano fosse per lui un sottile perverso piacere, perché per battere il professore il libro non serviva a niente se prima non sapevi perfettamente di cosa avessi bisogno per difenderti e dove andarlo a cercare. L’aver studiato, quindi, non consisteva solo nel conoscere il pensiero dell’autore, ma andare oltre, al perché, ai motivi, a ciò che ha portato l’autore alle sue conclusioni. Una cultura quindi meno nozionistica e più “filosofica”, un invito ad andare al cuore delle cose e usare il libro per leggere la data di nascita e morte o i titoli delle opere dell’autore.

Oggi non ricordo date, luoghi o opere degli autori di italiano, ma ho imparato un metodo e tutto il resto, se mi serve, lo trovo su Google.

Il professore ripeteva spesso due frasi:

“non è importante saperlo, importante è sapere dove andarlo a cercare”

che in modo più semplificato si potrebbe tradurre con: “non è importante che tu sappia le tabelline a memoria, è importante che tu sappia dove hai messo la calcolatrice” oppure, “la cultura non è quella enciclopedica dei quiz televisivi, la cultura è sapere cosa chiedere a Google”;

e la seconda frase era:

“se non lo sai non dire: ‘non lo so’, ma dì: ‘mi documento e poi te lo farò sapere’”

che sinceramente non avevo mai “capito”, fino a quando non ho iniziato a scrivere questo blog.

File: la scatolina delle meraviglie (prima parte)

Ogni storia ha un inizio. Il nostro viaggio nella informatica parte da qui, ora. Signore e Signori: il file.

Cosa è un file?
Il file (termine inglese, pronuncia “fail”) è una scatola che contiene qualche cosa.

Che c’è dentro?
Boh, è chiusa, potrebbe contenere qualunque cosa!

Guardiamo bene la scatola cercando qualche indizio che ci possa aiutare.
Eccola, ce una scritta su un lato: “pippo.doc”. Ok, e ora?
Beh, ora sappiamo che:

1. la scatola conterrà un documento perché termina con .doc;
2. è stato come minimo un “programmatore di computer” a crearlo (solo loro usano nomi come “pippo”, “pluto” o “paperino” per dare i nomi a un file).

Bene, ora apriamo la scatola: che c’è dentro?
Boh, è piena di fogli di carta riempiti di caratteri “strani”... se è vero che la scatola contiene un documento (.doc) allora mi aspettavo di trovare dentro delle pagine con scritto qualche cosa: che è sta roba? ...è la prova definitiva che gli alieni esistono e sono in mezzo a noi?
In realtà quei fogli contengono il documento “pippo” ma sono scritte in “wordese”, che non è una lingua di qualche popolo alieno ma è un formato, cioè una lingua artificiale che esprime, oltre al testo, anche la rappresentazione grafica e altre informazioni del documento; lingua aliena o formato che sia, abbiamo comunque bisogno di un interprete, abbiamo, cioè, bisogno di una applicazione a cui consegnare il file e che lo apra e lo traduca per noi in modo da rendercelo “leggibile” e fruibile.

“Scusi, conosce una buona applicazione per leggere il mio file .doc?”
“Io no, ma lo chieda al suo computer, forse le può presentare qualcuno...”.
“Ok, proverò prima a chiderlo al computer... ma se il computer non conosce nessuno?”
“Beh, allora dovrà essere lei stesso a installare nel computer una nuova applicazione che riconosca e legga il suo .doc”.
“Scusi, un’ultima domanda: nel caso il mio computer non riconoscesse il mio .doc, mi potrebbe consigliare lei il nome di una applicazione che faccia al caso mio?”
“Ok, le voglio dare una mano: le darò un elenco minimo di tipi di file più comuni, spiegandole che cosa contengono e indicandole una eventuale applicazione che li può aprire, se il computer non è già in grado da solo di aprirli”:

Tipo file	Tipo di contenuto	Nome applicazione	Formato
.doc	Documento di testo	Microsoft Word	Word
.rtf	Documento di testo		rtf
.txt	Documento di testo		testo
.jpg	Immagine compressa		jpg
.bmp	Immagine		bmp
.wmv	Video compresso (film, documentario, serie tv, ecc.)		windows media video
.avi	Video compresso (film, documentario, serie tv, ecc.)	VLC Media Player	avi
.mkv	Video compresso (film, documentario, serie tv, ecc.)	VLC Media Player	Matroska
.m4v	Video compresso (film, documentario, serie tv, ecc.)	Apple iTunes	mp4
.pdf	Documento di testo/immagini (libro, rivista, ecc.)	Adobe Reader	pdf
.wma	Audio compresso (Musica, materiale audio)		windows media audio
.mp3	Audio compresso (Musica, materiale audio)		mp3
.wav	Audio (Musica, materiale audio)		wav
.flac	Audio compresso (Musica, materiale audio)	VLC Media Player	flac
.m4a	Audio compresso (Musica, materiale audio)	Apple iTunes	mp4

Hai un tipo di file che non sai cosa è o non sai con cosa aprirlo? Chiedi qui www.fileinfo.com.

Di cosa abbiamo parlato:

• File: la scatola e il suo contenuto
• Aprire un file: chiedere al computer di rendere fruibile il contenuto del file
• Applicazione: l’interprete che rende fruibile un file quando il computer non è in grado di farlo da solo.
• Installare: presentare una nuova applicazione al computer; da quel momento in poi il computer sarà in grado di utilizzarlo all’occorrenza.
• Formato di un file: la lingua informatica con cui è scritto il contenuto del file.

Il primo post: l’introduzione alla introduzione

“Dai un pesce ad un uomo e lo farai mangiare per un giorno. Insegna a pescare ad un uomo e lo avrai sfamato per tutta la vita.” (Mao Tse-Tung)

Ogni blog parte dal suo primo post, quello che tutti normalmente saltano e non leggono.
Il primo post è come la prefazione di un libro che è posizionata in testa, ma, chi la scrive, ha già letto il libro e voi no, quindi tutto quello che dice avrà un suo senso alla fine del libro, non all’inizio.

Tuttavia non mi posso esimere dallo scrivere qualche cosa sul primo primo post, che dovrebbe suonare un po’ come una specie di presentazione di ciò che seguirà e chiarire a chi l’autore sta scrivendo e con quali intenti... quindi anche questo primo post rispetterà la tradizione.
(continua...)