Chiavette USB a prova di attacchi Adalberto Biasiotti Il punto sui dispositivi di archiviazione portatili che si stanno sempre più diffondendo nelle aziende, ma che possono presentare non pochi problemi dal punto di vista della sicurezza (II parte) Il telefono è mio o tuo? Molto spesso lo smartphone non è di proprietà dell azienda, ma è di proprietà del singolo dipendente, che lo usa in forma autonoma, sia per uso personale, sia per quello aziendale. Questa situazione è decisamente ambigua, perché ad esempio l azienda può avere difficoltà nell imporre delle regole nell utilizzo di questi dispositivi, quando essi sono di proprietà personale del dipendente, che potrebbe anche rifiutarsi di accettare regole restrittive nella gestione. Da un lato quindi abbiamo lo smartphone che può essere fornito in comodato dall azienda e che, in questo caso, può imporre tutte le regole di sicurezza che ritiene appropriate. Nel secondo caso abbiamo un telefono personale del dipendente, che lo utilizza anche per comunicazioni aziendali. Ma vi è una terza soluzione, che potrebbe permettere di trovare un punto di incontro fra le legittime pretese di autonomia e libertà del dipendente, che usa il proprio telefono, e le legittime imposizioni di sicurezza, che pone l azienda quando mette a disposizione un telefono aziendale. Sono sempre più numerose le aziende che consentono ad un dipendente, in possesso di un proprio smartphone, di usarlo, a condizione che la SIM card sia fornita dalla azienda. Quando la SIM è fornita dall azienda, è possibile introdurre una serie di applicativi e regole di controllo, che non sarebbe possibile inserire in una SIM di proprietà dell utente. L azienda può trovare un punto d intesa, offrendo, entro certi limiti, la possibilità di assorbire il costo delle comunicazioni personali del dipendente, anche se utilizza per queste comunicazioni la SIM aziendale. Sono stati realizzati diversi schemi, che prevedono un riparto equo dei costi, oppure l accollo totale dei costi all azienda, se si rimane entro limiti predeterminati, o soluzioni intermedie. 36
L obiettivo è sempre quello di trovare un punto di equilibrio fra libertà d uso e sicurezza d uso. A quali rischi si va incontro Se si effettua un accurata analisi dei rischi cui si va incontro, consentendo ad un dipendente di utilizzare senza controlli uno smartphone, si può certamente essere preoccupati. Secondo un esperto, ecco quali sono le soluzioni che permettono di mettere sotto controllo i problemi nell uso di uno smartphone: si può definire e far rispettare una politica di utilizzo di parole chiave si può introdurre un algoritmo crittografico sullo smartphone si può provvedere al blocco a distanza dell apparato ed anche alla cancellazione automatica dei dati aziendali; questa possibilità è accessibile solo quando la SIM è stata fornita dall azienda si può introdurre una politica di controllo dell accesso alla rete si può consentire o proibire l istallazione di particolari applicativi, in funzione del rischio potenziale che essi comportano si possono introdurre limiti alla possibilità di collegarsi ad altre reti mediante collegamenti senza fili secondo vari protocolli (wifi, bluethooth, ecc) si può impedire l utilizzo dello smartphone come dispositivo di memoria portatile si può impedire l utilizzo di una scheda aggiuntiva di memoria sul dispositivo si può attivare un applicativo che permette di controllare a distanza la modalità di utilizzo dell apparecchio. È chiaro che se uno dovesse inserire tutte queste limitazioni in un telefono di proprietà personale, anche se la SIM fosse fornita dall azienda e perfino tutte le telefonate fossero pagate dall azienda, si potrebbe assistere ad una reazione negativa da parte del dipendente coinvolto. A questa considerazione dobbiamo aggiungerne un altra, di natura psicologica, ma estremamente importante: una politica del negare tutto, non è mai produttiva ed anzi spinge il dipendente a perdere giorni ed ore di lavoro per cercare di individuare tecniche che permettano di aggirare questa politica negativa. Ecco perchè sia gli esperti di relazioni con il personale, sia gli esperti informatici, suggeriscono di adottare politiche di equilibrio, che possono essere accettate dai dipendenti e possono più difficilmente indur- 37
re il dipendente ad assumere atteggiamenti antagonistici. Se vengono adottate delle efficienti politiche di sicurezza, associate ad un utilizzo intelligente della tecnologia, le aziende possano solo trarre benefici dal fatto che uno smartphone di un dipendente possa essere usato anche per comunicazioni aziendali. Si migliora con questo approccio il rapporto fra l azienda ed il dipendente e si aumenta la produttività. Chi ha seguito questo percorso trova anche altri vantaggi, legati ad esempio al costo di questa operazione. Anche in questo caso, sono state realizzate strategie differenziate, che vanno dall offerta dello smartphone da parte dell azienda, con istallazione di SIM aziendale e condivisione di spese di utilizzo, fino all autorizzazione all uso del telefono personale, ma con una SIM aziendale. In qualche caso, sull intero traffico supportato dall azienda, al dipendente viene addebitata una parte del traffico personale, che può essere determinata in via forfettaria, salvo introdurre limitazioni se si registrano abusi. A questo proposito, occorre tener presente che, soprattutto in virtù del Codice in materia di protezione dei dati personali, il controllo del traffico non dovrebbe essere svolto sulla singola telefonata, ma sul riepilogo complessivo dei minuti di traffico svolto, per chiamate extra aziendali. Sono disponibili degli applicativi che permettono al dipendente di utilizzare il telefono aziendale per chiamate personali, semplicemente introducendo un prefisso, che fa sì che il traffico relativo non venga convogliato sulla bolletta dell azienda, ma sulla bolletta personale del dipendente. La sicurezza dei laptop Nel 2009 sono state registrate circa 500 perdite di dati, che hanno comportato la compromissione di 222 milioni di dati sensibili. Questi dati sono stati in parte smarriti ed in parte cancellati o sottratti. Quasi due terzi delle perdite si sono verificate quando il computer veniva trasportato dal proprietario da una parte all altra del paese o del mondo e il dato che maggiormente preoccupa è il fatto che sui 500 eventi registrati, in solo 6 casi il PC portatile era dotato di un applicativo crittografico, che poteva proteggere i dati dalla possibile copiatura. Ancora una volta, la protezione crittografica sembra essere la soluzione migliore, in attesa che possano nascere altre protezioni, che siano altrettanto efficaci ed altrettanto trasparenti per l utente. Di seguito pubblichiamo una rassegna delle possibili applicazioni crittografiche che possono essere installate sui personal computer portatili, sia personali, sia di uso aziendale, in modo da essere certi che non solo non vengano smarriti i preziosi dati personali, ma che vengano puntualmente rispettati i dettati del Codice in materia di protezione dei dati personali, che impongono uno specifico obbligo di protezione da accessi indesiderati o da danneggiamenti. Tutti gli sviluppatori di applicazioni crittografiche sono passati dallo standard di qualche anno fa, il DES, al più moderno 38
algoritmo AES Advanced encryption standard - che ha il vantaggio di utilizzare una chiave 4 volte più lunga di quella standard del DES. Con una chiave da 256 bit, la protezione da attacchi di criptoanalisti è quasi assicurata. La cifratura dell intero disco Non vi è dubbio che la cifratura dell intero disco possa esser la soluzione più banale, che impedisce l accesso a qualunque dato presente sull hard disk. Tuttavia vi sono parecchi problemi, connessi a questa soluzione, e tra questi il maggiore è un forte rallentamento della capacità di calcolo e del tempo di boot del sistema. Ciò significa che quando l utente preme il bottone di avviamento del PC, deve aspettare un tempo non indifferente, prima che il PC sia pronto ad effettuare le appropriate elaborazioni. Per questa ragione esiste anche una versione semplificata, che non applica la protezione crittografica alla porzione del disco, dove si trova il sistema operativo ed il lancio delle applicazioni. Con questo accorgimento la situazione migliora leggermente, ma non abbastanza. La vera causa del rallentamento sta nel fatto che gli algoritmi crittografici possono essere elaborati con estrema velocità, solo se vengono utilizzate piattaforme informatiche specifiche. Non dimentichiamo inoltre che un possibile errore in fase di cifratura dei dati potrebbe portare ad un incapacità completa di recuperare i dati. La protezione crittografica di file e cartelle Questa protezione si applica soltanto a determinati file e cartelle, che contengono dati sensibili ed ha il grande vantaggio di garantire una maggiore gradualità nel- 39
l elaborazione dei dati. Se il computer deve essere utilizzato da più persone, ogni persona può cifrare con una propria chiave la porzione di informazioni di suo interesse, che diventano pertanto illeggibili per gli altri utenti. Anche in questo caso, non dimentichiamo che vi può essere comunque un notevole ritardo di elaborazione e di recupero dei dati, proprio perché non sempre le piattaforme informatiche sono ottimizzate per l elaborazione di algoritmi crittografici. Un altra possibile soluzione prevede invece la cifratura di un volume, cioè di una porzione significativa dell hard disk. Questo tipo di soluzione può offrire un equilibrato bilancio fra un degrado delle prestazioni del sistema ed una gestione granulare dell informazione. Ma altre soluzioni sono già disponibili, come quella che incorpora dei drives che sono stati cifrati in precedenza. Vi sono addirittura dei fabbricanti di hard disk che mettono a disposizione degli hard disk che possono essere collegati al PC e che garantiscono una protezione crittografica efficace. Naturalmente queste soluzioni sono molto più costose, ma il grande vantaggio è che è possibile adottare delle piattaforme informatiche ottimizzate per le applicazioni di cifratura dei dati. L installazione di questi hard disk non è semplice e bisogna coinvolgere un responsabile informatico, che potrà anche attivare le appropriate salvaguardie. Un ulteriore vantaggio di questa soluzione sta nel fatto che le chiavi di cifratura sono conservate su un chip protetto, e non su una memoria RAM. Come installare queste applicazioni Tra le varie protezioni crittografiche già in commercio, occorre scegliere quelle che siano in grado di lavorare con diversi sistemi operativi, perché molto spesso una stessa azienda dispone di vari tipi di personal computer portatili con vari sistemi operativi. È importante inoltre acquistare un applicativo crittografico non troppo pesante, perché in alcuni casi l applicativo deve essere installato a distanza, attraverso la rete privata virtuale aziendale. Inoltre ogni applicativo è accompagnato da altri applicativi di supporto, che permettono di gestire con efficienza ed efficacia l applicativo stesso, ed anche questi applicativi devono essere caricati a distanza e gestiti modo non troppo pesante per la rete aziendale. Come regola generale, più un applicativo crittografico risulta trasparente per l utente, maggiore sarà la sua facilità di uso. I problemi di protezione della chiave Come in tutti gli algoritmi crittografici, la sicurezza nasce solo dal fatto che la chiave di cifratura sia gestita con appropriate cautele. In genere le chiavi vengono generate nel momento in cui viene installato l applicativo e devono essere custodite in modo sicuro, ma devono anche essere recuperabili in caso di emergenza. Vengono utilizzati diversi sistemi, che vanno dall autenticazione a due livelli a smart card ed altri accorgimenti di sicurezza. In qualche caso è anche possibile generare una master key, che può esser utilizzata, anche a distanza, dall amministratore di sistema. La gestione di una chiave per un applicativo che protegge l intero disco è più facile, rispetto alla gestione di chiavi che gestiscono specifiche cartelle. Di questo fatto bisogna tener conto, per essere certi che tutti gli utenti sappiano gestire in modo appropriato le chiavi che sono state affidate. Gli esperti raccomandano sempre che questi applicativi devono essere tenuti sotto controllo a distanza, per verificare il loro uso, la corrispondenza fra le applicazioni da proteggere e la protezione effettivamente applicata. (La I parte di questo articolo è stata pubblicata sul numero di giugno a pag. 24) 40