Da uno smart (Un)lock aperto in pochi secondi all'importanza della visione d'insieme

Un ricercatore ha forzato l’ennesimo smart lock in pochi secondi. Non mi sorprende affatto, ma mi permette di fare una breve riflessione.

Non l’ha pagato tanto, ma neanche poco, quindi si aspettava una certa difficoltà. Invece, dopo averlo analizzato per qualche minuto, ha trovato una vulnerabilità nel meccanismo di sblocco, che gli ha permesso di aprirlo in pochi secondi. In tutto questo il ricercatore non ha neanche toccato uno smartphone né messo mano a un computer.

Non si tratta di una notizia: non è il primo caso—e non sarà nemmeno l’ultimo—ma mi permette di fare una breve riflessione sull’importanza di seguire un approccio “a tutto tondo” quando pensiamo alla sicurezza: non fissiamoci su un solo punto da difendere, ma pensiamo che l’aggressore cercherà la strada più breve ed economica.

Porta blindata per una tenda da campeggio

Nel celebre libro Cryptography Engineering (disponibile anche in italiano), gli autori (Ferguson, Schneier e Kohno) ricordano che spesso ci si sofferma a progettare una porta di sicurezza di acciaio rinforzato, e gli esperti sono tutti intenti a decidere quanto debba essere spessa la lastra di acciaio. Troppo intenti per accorgersi che quella porta verrà installata su una tenda da campeggio.

Ecco, l’esempio dello smart lock è piuttosto in linea con questa citazione. Soffermarsi sulla parte puramente informatica della serratura—magari anche ben fatta e piuttosto sicura, non lo so, non l’ho guardata—è solo una delle strade. In questo caso, il lucchetto (come tanti altri), può essere aperto con una tradizionale chiave di metallo—in caso di emergenza. Questo meccanismo di emergenza è stato progettato male, perché basta praticare un piccolo foro sul lato della serratura per raggiungere con un cacciavite la leva che fa girare il cilindro che infine apre la serratura.

Allo stesso modo: investire risorse per proteggere un computer cifrandone il disco, impostando una password robusta, mai scritta da nessuna parte, etc., tutte le partiche che ormai sono da considerarsi “di buon senso,” sono solo i primi passi. Altrettanto essenziale però è essere consapevoli che i nostri dati più preziosi magari sono su un disco di backup, magari non cifrato, oppure cifrato con la stessa password di sblocco del nostro computer, oppure con una più debole, oppure il backup lo facciamo su un servizio cloud, che un giorno verrà compromesso.

Cosa vogliamo proteggere?

È difficile, certo, ma non significa che non si debba fare nulla. Credo però che la strada corretta da percorrere non debba passare immediatamente dallo strumento, dal “programmino.” Avere fretta di “metterci una pezza” o “pagare poco o niente” è esattamente il principio guida seguito da chi ha progettato lo smart lock di cui sopra. Avere fretta dire “ho tutti i dati sul mio disco di backup, sono al sicuro” senza fermarsi a chiedersi: dove resta questo disco? Chi vi ha accesso? Se lo perdo?

La strada corretta dovrebbe partire da riflessioni di questo tipo. Lo strumento e la “best practice” devono venire dopo. Gli scaffali delle librerie e il Web sono pieni zeppi di “bigini” per “farti pensare come un hacker” o guide alla sicurezza informatica che altro non sono che un’accozzaglia di parole chiave, glossari, liste di strumenti da installare, eccetera. Gli strumenti sono importanti, ma vanno governati e, soprattutto, diventano obsoleti velocemente. Consigliare solo strumenti in modo diretto è deleterio. Spiegarne solo i principi è sfuggente. Credo che il giusto equilibrio debba partire da una profonda riflessione sul valore che ognuno di noi vuole dare ai propri “averi digitali.” Insisto, avere consapevolezza di cosa vogliamo proteggere è un primo, importantissimo passo.