Sistemi Web! per il turismo! - lezione 6 -

Transcript

1 Sistemi Web! per il turismo! - lezione 6 -

2 A proposito di social network! Osserviamo due esempi di pagine Facebook." Cercate di pensare a qual è la differenza principale tra queste due pagine."

3 Esempio 1!

4

5 Esempio 2!

6

7 La differenza che salta subito all occhio è che il primo esempio è una pagina personale, mentre il secondo è una pagina istituzionale." Potrebbe apparire come una differenza non significativa, ma questi due tipi diversi di pagine ci introducono a una delle questioni più interessanti ma anche problematiche del Web 2.0, ossia del Web in cui le persone partecipano attivamente come produttori di contenuto." Si tratta della questione dell identità digitale."

8 Identità digitale!

9 Identità digitale! La parola identità ha almeno due significati distinti. Essi non sono indipendenti l uno dall altro, ma in questo contesto non abbiamo bisogno di approfondire tale legame: ci accontentiamo di illustrarne i significati.!

10 Il primo significato esprime il concetto di uguaglianza: due cose sono identiche quando di fatto sono la stessa cosa. C è identità tra il lato sinistro dell uguale e il lato destro perché su entrambi i lati c è il numero 5.! Identità! (1)! 5 = 5!

11 Il secondo significato è quello che si intende quando si parla di un documento di identità, o di identità di una persona: ci si riferisce alle caratteristiche che definiscono una persona, la distinguono dalle altre, la identificano, appunto.! Identità! (2)!

12 Ci sono diverse caratteristiche che definiscono l identità di una persona.! Tipicamente: 1) il suo corpo 2) la sua mente!

13 Il corpo come identità di una persona! Scegliere l aspetto fisico come caratteristica che definisce l identità di una persona sembra una scelta naturale. Un po meno se si pensa che i nostri connotati cambiano nel tempo: l aspetto di una persona a 30 anni, ad esempio è decisamente diverso da quello che aveva a 10 anni: come fa una caratteristica che cambia nel tempo a identificare una persona? La situazione non migliora scendendo a dettagli microscopici. Le cellule del corpo vengono ricambiate rapidamente (le cellule della pelle muoiono dopo 3 giorni e vengono sostituite), quelle del sistema nervoso sono molto più longeve, ma affermare che una persona sia il suo sistema nervoso sembra strano. " "

14 !! Forse viene naturale definire l identità di una persona sulla base del suo aspetto fisico perché, anche se quasi tutte le cellule del nostro corpo vengono cambiate rapidamente, il nostro aspetto a livello macroscopico!! cambia anch esso, ma a un ritmo molto più lento. Di fatto possiamo immaginare una sequenza di foto fatte nel corso degli anni in cui i cambiamenti nell aspetto fisico di una persona sono graduali. L aspetto fisico quindi potrebbe funzionare (in determinati intervalli temporali) per definire l identità personale."

15 " La mente come identità di una persona! Usare il corpo, o specifiche caratteristiche fisiche per identificare una persona funziona molto spesso, ma non sempre." Immaginate un vostro amico che, a causa di un incidente automobilistico, deve subire un pesante intervento di chirurgia plastica al viso. Se il suo volto post-operazione è molto diverso da quello originale, direste che sarebbe impossibile riconoscerne l identità? Oppure ci possono essere altri modi per individuare l identità di una persona?" Un approccio complementare è quello basato sulla mente di una persona, ossia su tutto ciò (ricordi, personalità, gusti, inclinazioni) che è presente nel suo cervello, e che la persona è in grado di comunicare."

16 =!! Assumiamo un approccio psicologico nel tentativo di definire l identità di una persona. In breve, noi siamo costituiti dal nostro vissuto, dalle nostre esperienze, dai nostri ricordi. Effettivamente, anche con un viso nuovo, se una persona dopo l operazione di plastica facciale ha gli stessi ricordi e lo stesso pensiero, noi la consideriamo naturalmente la stessa persona di prima."

17 ? =!! Anche in questo caso, però, bisogna fare delle considerazioni di carattere temporale. Se definisco l identità di una persona sulla base dei suoi ricordi, vuol dire che una persona che perde ricordi (per l età o per malattia) perde anche la propria identità. Eppure i parenti di un paziente con l Alzheimer non faticano a riconoscerlo." Come nel caso dell identità basata sul corpo, anche la mente può fungere da identificatore in un lasso di tempo ben determinato."

18 Tutti questi tentativi sono interessanti, ma nessuno di loro può essere visto come l interpretazione definitiva del concetto di identità personale. Sapendo di questi problemi nel definire l identità, vediamo quali sono le caratteristiche che ci permettono di riconoscere le persone su internet." Si parla di identità digitale proprio nel contesto in cui si cercano i fattori che permettono il riconoscimento delle identità nell ambito degli strumenti informatici, tipicamente in Internet.! I due tipi di prospettiva (corpo / mente) si traducono in ambito digitale in due tipi di soluzioni diverse.!

19 " Usare caratteristiche fisiche: biometria! Biometria = bio (vita) + metria (misurazione). Naturalmente, se vogliamo usare caratteristiche fisiche in ambito informatico, esse devono essere codificate sotto forma di informazione numerica per poter essere elaborate." Il primo passo per tale codifica è la misurazione. L autenticazione biometrica consiste nell accertamento dell identità di una persona sulla base della misurazione/lettura/ codifica di una sua caratteristica fisica." L esempio più recente di prodotto di massa che fa uso di una tale soluzione è l iphone 5S, in cui il tasto di avvio legge l impronta digitale (precedentemente registrata) di chi richiede l accesso al telefono e, se c è corrispondenza, il sistema si sblocca."

20

21 le password biometriche si basano sulle misurazioni di nostre caratteristiche fisiche: impronte digitali, iridi, voce, connotati!

22 Attenzione! =!! Gli apparati per misurare i connotati non riescono, allo stato attuale, a distinguere una persona da una sua foto. Ed è stato mostrato come sia facile ricostruire un guanto con le vostre impronte digitali a partire da un oggetto che avete toccato.!

23 Usare caratteristiche mentali: password! Non è questo però il motivo principale per cui la biometria non è ancora molto diffusa nei prodotti di massa. il vero motivo è che le misurazioni biometriche necessitano di sensori elettronici piuttosto sofisticati che aumentano il costo (e quindi il prezzo di vendita) dei prodotti che li includono. Non a caso, l esempio citato in precedenza è montato sullo smartphone più caro della marca più cara tra tutte." Molto più economica e semplice è la tecnica basata sul secondo concetto di identità personale." Se io sono quello che so, allora ciò che conosco solo io mi identifica univocamente. Ecco l idea alla base delle password." "

24 A che cosa servono le password?! Tramite il meccanismo delle password, i Web server concedono il servizio/ l accesso a determinate pagine Web solo se il client che sta effettuando la richiesta invia una precisa sequenza di caratteri alfanumerici precedentemente concordata. Quale sia la password richiesta viene determinato dal nome utente con cui il client si identifica inizialmente. Tale identificazione è solo parziale, e deve essere verificata (tramite password, appunto)." Lo scopo è quello di garantire il suddetto accesso solo ad una determinata persona." L identificazione è basata quindi sul contenuto della mente dell utente: se in esso è presente la password, allora la persona è identificata correttamente." Se solo l utente U ha accesso alla pagina Facebook P, per esempio, si hanno due garanzie:" 1) nessun altro oltre a U può modificare P (controllo dell accesso)" 2) ciò che è presente su P può essere stato scritto solo da U (autenticazione)"

25 Come si applica il discorso a una pagina istituzionale come quella di Malta? Chi viene identificato? Chi è il possessore della password? " Perché il meccanismo funzioni, il possessore di una password deve conservarla senza perderla né condividerla con altre persone."

26 Password istituzionali! Possiamo immaginare che a gestire la pagina Facebook di Malta sia un responsabile per la comunicazione dell ufficio per il turismo dell isola, che chiameremo R." La pagina di Malta, pur essendo al momento gestita da R, NON è la pagina personale di R, e non sarà per sempre legata a R: R potrebbe cambiare incarico oppure addirittura lavoro, e la pagina di Malta dovrebbe venire affidata ad un altra persona." Inoltre è possibile che R si affidi a un intera squadra di produttori di contenuto per gestire la pagina (anche perché R non può essere costantemente incaricato di aggiornare la pagina andrà pure in ferie o prenderà dei giorni di malattia)." Questi esempi ci fanno capire come molto spesso le password di pagine istituzionali, a differenza di quanto avviene o dovrebbe avvenire con le pagine personali, sono condivise tra più persone fisiche." Ciò impone di porre attenzione al concetto di trust (fiducia)." "

27 Trust vuol dire fiducia. Nel contesto del Web 2.0, in particolare, si riferisce al sentimento di sicurezza che si ha nei confronti della veridicità di un oggetto pubblicato sul Web o dell autenticità dell identità dell autore di tale oggetto. " Noi, però, stavamo parlando della fiducia che si ha nei confronti delle persone con cui condividiamo la password di una pagina di cui siamo responsabili." Vedremo come le due accezioni di fiducia sono strettamente legate."

28 Trust vuol dire fiducia. Nel contesto del Web 2.0, in particolare, si riferisce al sentimento di sicurezza che si ha nei confronti della veridicità di un oggetto pubblicato sul Web o dell autenticità dell identità dell autore di tale oggetto. " Noi, però, stavamo parlando della fiducia che si ha nei confronti delle persone con cui condividiamo la password di una pagina di cui siamo responsabili." Vedremo come le due accezioni di fiducia sono strettamente legate."

29 Molto spesso, quando ci sono più entità coinvolte contemporaneamente nella pubblicazione di un particolare oggetto, i rapporti di fiducia assumono una struttura lineare, nota come chain of trust (catena di fiducia).!

30 Quando un utente visita la pagina Facebook di Malta, ha fiducia nel fatto che tale pagina sia gestita da persone legittime (ossia che abbiano un incarico ufficiale legato al turismo a Malta). Tale fiducia è risposta in Facebook: l utente si fida del fatto che se una tale pagina è pubblicata su Facebook, Facebook stessa si sia accertata della legittimità dei creatori di tale pagina. Trattandosi di una pagina istituzionale, con password probabilmente condivisa tra più persone fisiche, a sua volta Facebook ha fiducia nei gestori della pagina di Malta nel fatto che condividano in maniera intelligente la password (evitando di darla a persone non qualificate o non abilitate a modificarne il contenuto."

31 Un vecchio adagio recita: una catena è forte quanto il suo anello più debole.! Basta una persona non affidabile nella catena di fiducia e questa si spezza: ossia c è il rischio che vengano pubblicati contenuti illegittimi.!

32 Chiunque abbia la password per l account Facebook di Malta può fare un post a nome dell isola.! Dal punto di vista di FB (e tutti i suoi utenti), chiunque abbia la password di Malta è un rappresentante di Malta.! Se l identità digitale si basa sulle password, il problema dell identità diventa un problema di sicurezza.!

33 Sicurezza!

34 Un sistema informatico si dice sicuro quando non può essere usato da utenti ai quali il sistema non è destinato.! Il verbo potere è usato qui nell accezione di possibilità fisica e non di permesso.!

35 Esistono sistemi sicuri?!

36 No.! password!

37 La mia password di FB è zooey_fb" =! La mia password di FB è zooey_fb"! Se il riconoscimento da parte di Facebook di una persona è basato su una password, allora il modello di identità secondo Facebook è quello basato sulla memoria.!

38 Funzionamento di una password!

39 1: l utente tramite il suo browser richiede l accesso a una pagina del server; 2: il server richiede il nome utente e la password per capire da chi arriva la richiesta (nome utente) e se arriva davvero da questa persona (password); 3: tali informazioni vengono inserite dall utente e inviate al server; 4: il server controlla tra l suoi registri se la username e la password corrispondono; 5: se sì, il server invia la pagina web richiesta, altrimenti no.! 1: richiesta di accesso! 2: richiesta di username/pwd! 3: username/pwd! 5: pagina richiesta/no! 4: check! Si dice che con questa interazione, l utente si autentica al server di Facebook. Autenticazione: identificazione corretta.!

40 1: richiesta di accesso! 2: richiesta di username/pwd! 3: username/pwd! 5: pagina richiesta/no! 4: check! Come i sistemi biometrici, nemmeno le password classiche sono prive di problemi!!

41 3: username/pwd! Se il riconoscimento di un identità si basa sulla password, il furto di una password equivale al furto di un identità (identity theft).!

42 Serve un metodo per rendere il canale di comunicazione sicuro, di modo che nessun altro host, oltre a FB, possa ricevere la username e password.! 3: username/pwd! La proprietà di una comunicazione che è accessibile solo al legittimo destinatario si chiama confidenzialità.!

43 Crittografia! La crittografia è una tecnica di manipolazione dell informazione per garantirne la confidenzialità!

44 Alan Turing: uno dei massimi esperti di crittografia del XX secolo, ha dato un fondamentale aiuto agli alleati per decifrare i codici usati dai nazisti.! Alan Turing

45 Idea di base!

46 Ofrs fo nsdr!

47 L idea di base della crittografia è di usare lettere diverse per scrivere un messaggio, di modo che nessuno possa capirne il formato originale, a meno che non sappia come le lettere nuove siano state scelte. Tipicamente il passaggio da lettere originali a quelle modificate si basa su una tabella. La tabella deve essere nota al mittente e al destinatario e a nessun altro! Idea di base! Ofrs fo nsdr! Si dice che il messaggio viene crittografato, o criptato, o cifrato, o codificato. Il destinatario, per poterlo leggere, lo deve prima decriptarlo, o decifrarlo, o decodificarlo.!

48

49 Il processo di crittografia ha una chiave: un parametro che viene usato per cifrare, e che è necessario per decifrare.!

50 Si usa la metafora della chiave, ma di fatto il parametro della crittografia è la tabella che indica il passaggio da lettere originali a quelle modificate.!

51 Se la password viene cifrata con una chiave, il malintenzionato otterrà una sequenza di lettere e cifre che è diversa dalla vera password, quindi inutile.! 3: username/pwd cifrate! Per decifrare e ottenere la password originale, anche il server deve avere la stessa chiave. Per questo, questo tipo di crittografia si dice simmetrica.!

52 Problema!

53 Come fanno l utente e il server FB a condividere la stessa chiave crittografica?! 0: invio chiave! Non la si può inviare attraverso il canale di comunicazione perché un intruso malintenzionato potrebbe copiarla e quindi essere in grado di decifrare tutti i messaggi futuri.!

54 Anche la chiave crittografica dovrebbe essere cifrata!

55 Con un altra chiave?!

56 Non si può ricorrere alla crittografia simmetrica di nuovo.! Per proteggere la prima chiave, l utente e Twitter avrebbero bisogno di una seconda chiave, che a sua volta non può essere spedita senza essere protetta da una terza chiave, la quale!

57 Crittografia asimmetrica, o a chiave pubblica!

58 Non più!

59 Bensì!

60 ! : chiave pubblica dell utente! : chiave privata dell utente! informazione cifrata con la chiave pubblica, può essere decifrata solo con la chiave privata e viceversa! ora si capirà il perché dei nomi di questo tipo di crittografia!

61 Per inviare la chiave con cui cifrare in maniera simmetrica i messaggi futuri, l utente la cifra con la chiave pubblica di FB, che è appunto pubblica e a disposizione di tutti su un elenco apposito! 0: invio chiave! Tale messaggio può essere decifrato solo per mezzo della chiave privata di FB, che deve rimanere privata e nota solo al responsabile della sicurezza di FB! In questo modo è possibile stabilire una connessione sicura con FB!

62 Connessioni sicure: protocollo HTTPS!

63 Connessioni sicure: protocollo HTTPS! S sta per sicurezza : è la versione di HTTP arricchita con i meccanismi crittografici per proteggere le informazioni trasmesse da eventuali malintenzionati in ascolto.!

64

65 La crittografia asimmetrica rende inoltre possibile la firma digitale. Un mittente di un messaggio deve cifrarlo con la propria chiave privata. Così, tutti possono verificare che, riuscendo a decifrare il messaggio con la corrispondente chiave pubblica, tale messaggio non può esser stato scritto da nessun altro, visto che nessun altro avrebbe potuto cifrarlo con quella particolare chiave privata.!

66 Problema!

67 Chi crea e gestisce le coppie di chiavi pubbliche/private? Chi gestisce l elenco delle chiavi pubbliche delle varie (id)entità presenti in internet? Chi garantisce che una chiave pubblica appartenga proprio all (id)entità dichiarata?!

68 Risposta: certification authorities (o autorità di certificazione)! Si tratta di organizzazioni il cui compito è di garantire che l identità reale (al di fuori di internet) coincida con quella digitale dichiarata in internet, associata a una particolare chiave pubblica. Ad es. si deve garantire che la chiave pubblica di Facebook sia gestita proprio da Facebook e non da altri soggetti.!

69 Ritorna la questione del trust. La fiducia che ho nell autenticità di un identità garantita da una certification authority dipende dalla fiducia che ho nella certification authority stessa.!

70 Il modo più comune che una certification authority ha di verificare l identità di una persona è di incontrarla fisicamente e di controllarne un documento di identità.! Le certification authority devono quindi aver fiducia nella verifica delle identità effettuata dallo Stato.!

71 Se guardiamo dentro un passaporto capiamo su quale tipo di definizione di identità si basa lo Stato.!