Full Disclosure

Il fascistume attualmente al governo è chiaramente convinto di essere all’avanguardia ogni volta che commette gli stessi errori già commessi da altri con trent’anni di ritardo. In queste ore ha iniziato a circolare la notizia che cinque persone, residenti in cinque città diverse, non collegate tra loro e non collegate a nessuna organizzazione illegale, sono state denunciate per aver pubblicato sui loro siti web (pubblici) informazioni utili alla costruzione di bombe e di altri ordigni. Alcune di queste persone sono state trovate in possesso di armi e munizioni (non si sa se detenute legalmente od illegalmente). Le case di tutte queste persone sono state perquisite, il loro traffico Internet è stato analizzato, i loro computer sono stati sequestrati ed i loro siti web sono stati resi irraggiungibili. La notizia originale è qui:

http://www.la7.it/news/dettaglio_video.asp?id_video=24149&cat=cronaca

Questa notizia porta in casa nostra lo spettro della lotta alla “full disclosure” che ha avvelenato l’ambiente tecnico/scientifico USA tra gli anni ’70 e gli anni ’90. In USA, quella battaglia è stata vinta dai sostenitori della full disclosure negli anni ’90. Da noi è appena iniziata.

Full Disclosure e Responsible Disclosure

La full disclosure (letteralmente “rivelazione completa”) è una “politica” di gestione delle informazioni sensibili che riguardano gli aspetti di sicurezza di un sistema.

Quando si scopre una vulnerabilità (cioè una falla) in un sistema di importanza cruciale, come una centrale atomica od un grosso server Internet, si possono seguire sostanzialmente tre strade:

  1. Stare zitti e tentare di risolvere il problema in casa. Questa politica si chiama “no disclosure” o “secrecy”.

  2. Limitare la divulgazione delle informazioni al minimo indispensabile per permettere alle persone all’esterno di mettere in atto le loro contromisure. Questa politica è nota come “responsible disclosure” (“rivelazione responsabile”).

  3. Rivelare tutte le informazioni di cui si è in possesso e collaborare con altri per risolvere il problema al più presto. Questa è la full disclosure.

Queste tre strade hanno vantaggi e svantaggi, ovviamente. La prima via, quella della segretezza, permette di lavorare sul problema senza la pressione psicologica dovuta al frenetico lavoro di chi cerca di sfruttare questa falla. Tuttavia, se è una persona estranea al team ad entrare in possesso dell’informazione e se la tiene per sè, quella falla non verrà mai chiusa in tempo.

La seconda strada sembra la più equilibrata: facciamo sapere solo ciò che serve per mettere una pezza, non ciò che serve per sfruttare la falla. Tuttavia basta riflettere un secondo su questo punto per capire che è quasi impossibile rivelare il primo tipo di informazioni senza fornire tracce sufficienti a ricostruire il secondo. Inoltre, se è una persona estranea al team a tenere per sé informazioni cruiciali, ricadiamo nel caso precedente. Anche perchè, magari, il team non si convince della gravità della falla e non prende provvedimenti.

Per queste ragioni, l’unica strada che si è veramente rivelata efficace è sempre stata la terza: rivelare subito tutte le informazioni note a tutti, senza inutili tentennamenti e senza tentare “furbate”.

Questo è anche l’unico modo di agire che permette di fare affidamento sulla reciprocità degli altri operatori. Solo rivelando tempestivamente le informazioni di cui si è in possesso si può sperare che gli altri facciano lo stesso.

L’infosecurity ed il resto del mondo

Si potrebbe pensare, erroneamente, che questo approccio valga solo nel mondo della sicurezza informatica (“information security” o “infosec”) ma non è così.

In realtà, i primi ad aver capito l’importanza della full disclosure sono stati i produttori di serrature e casseforti, seguiti a ruota dall’industria militare.

La ragione è tragicamente ovvia: se una serratura od una cassaforte hanno una vulnerabilità segreta, chi entra in possesso di questa informazione ha la strada spianata per colpire industurbato centinaia o migliaia di potenziali vittime. Prima che queste vittime diventino consapevoli del pericolo, lui sarà già su una spiagga delle Bahamas.

In modo simile, se un aeroplano od un carro armato ha una vulnerabilità segreta, un esercito avversario che entrasse in possesso di quella informazione avrebbe la strada spianata per arrivare in pochi giorni alla capitale avversaria. Prima che gli utilizzatori di quel veicolo militare si rendano conto del rischio che corrono, saranno già tutti morti.

In generale, più è alta la posta in gioco, più alto diventa il rischio che una singola perdita di informazione produca una catastrofe. Non è affatto detto, infatti, che la perdita di informazione sia simmetrica: il nemico potrebbe scoprire più di quanto sanno gli utilizzatori. Inoltre, non è affatto detto che il nemico abbia bisogno di una “soffiata” (“leak”) per entrare in possesso dell’informazione giusta. Esistono mille altri modi di analizzare un sistema e scoprirne le debolezze.

Meglio allora non contare affatto sulla segretezza e fare affidamento sul controllo approfondito e tempestivo che una politica di full disclosure rende possibile.

Chi ha veramente bisogno di queste informazioni

Le informazioni più pericolose e delicate, infatti, solitamente sono molto più necessarie a chi si deve difendere che a chi deve attaccare. La ragione è ancora una volta tragicamente ovvia: se non si sa da cosa ci si deve difendere, è impossibile difendersi.

I Nostri Amati Utenti Windows, ad esempio, vengono sistematicamente e continuamente massacrati da pesti digitali di cui non sospettano nemmeno l’esistenza.

Questo è successo, in modo del tutto simile, anche in molti altri contesti. Gli U-Boot tedeschi della seconda guerra mondiale sono stati falcidiati per mesi senza che si rendessero conto che gli Inglesi avevano decifrato il loro indecifrabile sistema di cifra (“Enigma”).

Più in generale, chi ha intenzione di fare dei danni non ha bisogno delle informazioni di livello giornalistico e dilettantesco che possono pubblicare i blogger. Le informazioni di cui hanno bisogno i cattivi sono semplicemente quelle che chiunque può facilmente trovare su molti testi scolastici ed universitari.

La tecnologia militare è soltanto tecnologia. La si studia a scuola esattamente come la produzione delle gomme. Non c’è nulla di diverso.

Bloccare le informazioni o bloccare i materiali?

La storia italiana degli anni ’70 (con i suoi contrapposti terrorismi) ci ha insegnato che l’unico modo realmente efficace di impedire che vengano costruiti ordigni di vario tipo consiste nel controllare efficacemente la circolazione dei componenti necessari (prodotti chimici e cose simili).

Solo riusciendo ad avere un vero controllo sulla circolazione delle armi e dei materiali usati per costruire ordigni si può garantire la sicurezza dei cittadini. Controllare la circolazione delle informazioni (oltre che inaccettabile in una democrazia) non è abbastanza. Le informazioni sono troppo facili da reperire, specialmente in una società di diplomati e laureati come quella attuale.

L’effetto traino

Sempre dall’esperienza di Polizia, si sa anche che il cosiddetto “effetto traino” (“emulazione”) è molto limitato. Solo pochissime persone che non appartengono all’ambiente originario sono in grado di usare queste informazioni per costruire qualcosa di effettivamente utilizzabile (senza ammazzarsi con le proprie mani, come è successo a Giangiacomo Feltrinelli). Questa difficoltà deriva dalla difficoltà di procurarsi i materiali ed attrezzare un laboratorio senza farsi scoprire, a dimostrazione del fatto che la strada da seguire è quella.

Conclusioni

Volgliamo farci un regalo per la nostra sicurezza? Allora facciamo in modo che quanta più gente possibile pubblichi quante più informazioni possibili su come costruire armi e bombe.

Certo, questo sembra assurdo a prima vista ma la storia e l’esperienza di tutte le polizie del mondo dimostrano che è proprio questa la strada da seguire.

Si tratta di qualcosa di anti-intuitivo ma di assolutamente vero, esattamente come la fisica dei quanti. Il fatto che non riusciate a capire la fisica dei quanti (ed a “credere” in essa) non la rende meno vera. Rende solo voi meno consapevoli del mondo che vi circonda.

Nello stesso modo, il fatto di chiudere tutti i siti sospetti non vi renderà più sicuri nemmeno dello 00000000,1%. Vi renderà solo meno liberi e meno consapevoli dei rischi.

Alessandro Bottoni

alessandro.bottoni@infinito.it

www.alessandrobottoni.it

AGGIORNAMENTO:

Costruire bombe? Istruzioni sul web, cinque indagati” Da ZeusNews.com

Qualche link di approfondimento:

http://punto-informatico.it/130882/PI/Commenti/full-disclosure-unica-via.aspx

http://www.schneier.com/crypto-gram-0111.html

http://hecker.org/mozilla/full-disclosure

http://www.economist.com/finance/displaystory.cfm?story_id=13144773&fsrc=rss

http://blogs.technet.com/feliciano_intini/archive/2008/06/24/a-proposito-di-responsible-o-full-disclosure-la-prima-vulnerabilit-di-firefox-3-e-il-nuovo-trojan-per-mac-os-x.aspx

Annunci

Rispondi

Inserisci i tuoi dati qui sotto o clicca su un'icona per effettuare l'accesso:

Logo WordPress.com

Stai commentando usando il tuo account WordPress.com. Chiudi sessione / Modifica )

Foto Twitter

Stai commentando usando il tuo account Twitter. Chiudi sessione / Modifica )

Foto di Facebook

Stai commentando usando il tuo account Facebook. Chiudi sessione / Modifica )

Google+ photo

Stai commentando usando il tuo account Google+. Chiudi sessione / Modifica )

Connessione a %s...

%d blogger hanno fatto clic su Mi Piace per questo: