teatrino della sicurezza – Pagina 2

Threema, l’app svizzera consigliata dall’ISIS, spiega dove sbaglia chi vuole bandirla

2015-11-20
di Paolo Attivissimo
crittografia, ReteTreRSI, teatrino della sicurezza, terrorismo, Threema

Si dice spesso che la cattiva pubblicità non esiste: se parlano del tuo prodotto, nel bene o nel male, comunque ne stanno parlando e lo stanno facendo conoscere. Però vedersi raccomandare da un gruppo terroristico come l’ISIS, come è successo all’app di messaggistica svizzera Threema, non è un tipo di testimonial particolarmente desiderabile.

Threema è stata segnalata in una guida, distribuita a gennaio tra i seguaci dell’ISIS, come una delle forme di comunicazione online più sicure (difficilmente intercettabile) perché neanche i suoi gestori possono decifrare il contenuto dei messaggi scambiati fra due utenti.

Molti governi, in seguito agli attentati di Parigi, stanno spingendo affinché questo genere di messaggistica venga bandito. Sia il direttore dell’FBI, James Comey, sia il direttore della CIA, John Brennan, hanno dichiarato che se non viene introdotta una backdoor, ossia una sorta di chiave governativa che permetta di decifrare e monitorare i messaggi online, i terroristi e i criminali di ogni genere avranno in queste app di messaggistica una risorsa impenetrabile a disposizione per i loro scopi.

Il problema tecnico di quest’idea è che non considera che chi fa crimine o terrorismo probabilmente non rispetterebbe un divieto governativo di usare una certa app.

Terrorista 1: “Ti devo passare le istruzioni per fare una bomba contro il governo.”
Terrorista 2: “OK, mandamele tramite un’app che il governo non può intercettare.”
Terrorista 1: “Uh… il governo che vogliamo far saltare in aria ha detto che le app che non può intercettare sono vietate.”
Terrorista 2: “Ah, allora non possiamo usarle. Peccato.”

Per come è fatta Internet e per come è fatto il software, non c’è nulla che impedisca a un gruppo criminale o sovversivo di scriversi una propria app di messaggistica cifrata e usarla, per cui eventuali divieti governativi avrebbero un solo effetto: quello di indebolire la sicurezza e la privacy di aziende e cittadini onesti, lasciando indisturbati i malfattori.

La cifratura senza backdoor viene usata dalle banche, dagli ospedali, dagli enti pubblici per tutelare i dati: anch’io, come giornalista, uso app come Threema per garantire la riservatezza delle mie fonti. E c’è un altro problema: se un governo ha un passepartout, come fa a garantire che non finisca nelle mani dei criminali o di altri governi, dando loro un potere enorme?

Roman Flepp, portavoce di Threema, ha spiegato infatti che “sacrificare alcuni dei fondamenti delle nostre democrazie, come la libertà, la riservatezza e il diritto all’espressione in cambio di un falso senso di sicurezza non sembra essere una cosa furba da fare”. E giganti dell’informatica come Google, Apple, Microsoft, Intel e Facebook confermano quest’opinione: di recente hanno dichiarato congiuntamente che “La crittografia è uno strumento di sicurezza al quale ci affidiamo ogni giorno per impedire ai criminali di svuotarci i conti correnti, per proteggere le nostre automobili e i nostri aerei dall’essere sabotati da attacchi informatici e in generale per tutelare la nostra sicurezza e riservatezza. Indebolire la sicurezza dicendo di voler migliorare la sicurezza è semplicemente un controsenso”. Il rischio di abbandonarsi al teatrino della sicurezza, politicamente appagante ma tecnicamente rovinoso, è insomma chiaro agli esperti. Speriamo che lo sia anche ai politici.

La sublime ingenuità della sicurezza con passepartout: la “chiave magica” della TSA si stampa a casa

2015-09-17
di Paolo Attivissimo
crittografia, ReteTreRSI, teatrino della sicurezza

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2015/09/17 18:15.

Se vi è mai capitato di fare un viaggio verso gli Stati Uniti, conoscerete bene i lucchetti e le chiusure per valigie “approvate dalla TSA”, di cui solo gli addetti ai controlli di sicurezza della Transportation Security Administration hanno la chiave universale, per cui noi possiamo chiudere serenamente a chiave le nostre valigie e loro possono aprirle per ispezionarle allo scopo di prevenire il terrorismo.

Quando questa misura fu introdotta, in seguito agli attentati devastanti dell’11 settembre 2001, gli esperti di sicurezza avvisarono che era un’idea particolarmente stupida, perché prima o poi qualcuno avrebbe messo le mani sulla chiave passepartout. I politici avevano risposto che non sarebbe mai successo perché la chiave sarebbe rimasta segreta, custodita gelosamente dalla TSA. Indovinate cos’è successo.

Poche settimane fa il Washington Post ha pubblicato una foto delle chiavi passepartout TSA (ce n’è più di una) in un articolo che portava i lettori dietro le quinte del lavoro dei controllori di sicurezza. La foto è stata subito rimossa, ma non prima che qualcuno ne conservasse una copia e la usasse per ricostruire la forma esatta delle chiavi e farne un modello per stampanti 3D che funziona, come raccontano Wired e The Register. Il modello delle varie chiavi è ora online su Github, così adesso chiunque può stamparsi una segretissima chiave TSA.

La vicenda è una dimostrazione perfetta di uno dei princìpi della sicurezza informatica che ancora oggi, dopo tanti tentativi, fa più fatica a entrare in testa ai non addetti ai lavori (per esempio ai politici che devono approvarli o ai cittadini che devono eleggere quei politici): se un sistema di sicurezza si basa su un segreto condiviso fra tante persone, prima o poi qualcuno farà trapelare quel segreto. Se poi il segreto non è modificabile dopo che è stato svelato, il sistema non solo non funziona, ma è proprio bacato in partenza ed è una presa in giro.

Più in generale, qualunque sistema di crittografia che abbia una chiave universale segreta di decifrazione, da affidare per esempio a un’azienda o alle forze dell’ordine, è fallimentare, perché prima o poi quella chiave segreta finirà nelle mani sbagliate. Nell’era di Internet, oltretutto, per farla trapelare basta pochissimo. Per cui esigere che ci sia è stupido. Chissà se stavolta la lezione verrà capita.

2015/09/17 18:15: Ars Technica ha pubblicato una bella dimostrazione video accompagnata da spiegazioni tecniche di come l’hanno realizzata.

Password patetiche nei siti di Polizia e Giustizia italiani: sberleffo alle leggi sulla privacy

2015-07-28
di Paolo Attivissimo
attacchi informatici, defacement, furto di password, privacy, teatrino della sicurezza

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2015/07/28 20:35.

È stata rivendicata via Twitter alcuni giorni fa una violazione di vari siti collegati alla Polizia e alla Giustizia italiana (immagine qui accanto), accompagnata dalla pubblicazione di database contenenti dati sensibili provenienti dai siti violati: nomi, indirizzi e numeri di telefono di persone delle forze dell’ordine o legate al settore.

Lasciamo stare le ragioni dell’intrusione: già è imbarazzante che abbia avuto successo, ma la vera vergogna è quello che ha messo in luce, ossia la gestione pateticamente inetta della sicurezza.

Come segnala Luigi Rosa su Siamogeek,

Le password sono tutte in chiaro oppure codificate in MD5 senza salt. In un paio di database nel campo password c’è l’hash MD5, uno spazio e poi la password in chiaro tra parentesi. In più di un esempio la tabella degli amministratori ha le password in chiaro e quella degli utenti ha le password in MD5. Molte password in MD5 sono uguali al nome dell’utente oppure banali (ovvero se vengono trascritte in un motore di ricerca appare la pagina con l’equivalente in chiaro).

E le password usate sono da mettersi le mani nei capelli:

numeri nel formato ggmmaaaa, nomi di città, nomi di persone e parole come passamontagna, meccaemedina, 69cazzo69, Password, 123, polizia, Soloio.

Sì, c’è persino l’immancabile uso di password come password. Luigi segnala anche che ci sono chiari segni di “tentativi di hackeraggio pregresso”. Complimenti.

Mi associo alle sante parole di Luigi:

Le leggi sulla tutela dei dati personali (dette anche “leggi sulla privacy”) dovrebbero, appunto, servire a tutelare i dati personali da questo tipo di intrusioni, non ad obbligare i cittadini e le aziende private a firmare e conservare tonnellate di carta inutile.

Tutti i dettagli sono nell’articolo completo su Siamogeek.

Correzione: avevo scritto inizialmente che la rivendicazione era stata pubblicata oggi, ma in realtà era stata pubblicata alcuni giorni fa e solo oggi l’ho ricevuta tramite un retweet. Ho corretto il testo.

Le cose che non colsi – 2010/01/06 [UPD 2010/01/08]

2011-02-05
di Paolo Attivissimo
astrologia, astronomia, botnet, catastrofismo, Facebook, fantarcheologia, fotoritocco, privacy, Second Life, sicurezza, teatrino della sicurezza, telefonini, Windows 7

Kaboom mancati e riusciti, intercettazioni, teatrini della sicurezza e altre delizie

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Strutture sommerse dell’isola giapponese di Yonaguni. Qualcuno mi ha chiesto un parere su queste presunte strutture e mi ha segnalato questo articolo (attenzione: contiene pubblicità un po’ osé) che ipotizza che si tratti di opere dell’uomo risalenti a 10.000 anni fa. Non ho tempo di approfondire, lascio queste righe come appunto: segnalo solo che l’articolo di Wikipedia cita varie fonti che suggeriscono che si tratti più banalmente di formazioni geologiche naturali di roccia che, come in altri luoghi del mondo, tende spontaneamente a fratturarsi secondo linee geometriche.

Ipotesi aliene e/o catastrofiche riguardanti una nube scoperta dalle sonde Voyager. Un altro lettore mi ha segnalato l’esistenza di farneticazioni sulla nube scoperta dalle sonde della NASA fuori dal nostro sistema solare e battezzata “Local Fluff”. Le informazioni tecniche per rispondere a queste idee menagramo sono su Physorg.com e su Nasa.gov.

Teatrino della sicurezza Qualche pensiero sulla sicurezza e soprattutto sui teatrini della sicurezza dopo il Mutandabomber del volo Northwest Airlines 253 da Amsterdam a Detroit: Bruce Schneier prende giustamente per i fondelli la nuova regola sul non alzarsi dal posto durante l’ultima ora di volo. BoingBoing si associa. Il teatrino prosegue: le istruzioni segretissime sulle nuove regole di sicurezza della TSA (Transportation Security Administration) americana finiscono online. Come le mutande dell’aspirante martire. E per quelli che dimenticano che le prime notizie diramate dai media spesso non sono esatte, segnalo che inizialmente le agenzie parlavano di mini-petardi natalizi (i Christmas crackers della tradizione britannica).

Scusi, quest’esplosivo è suo? Il teatrino arriva a livelli demenziali e da infarto con questa simpatica trovata delle autorità slovacche. Vediamo se i controlli di sicurezza funzionano: mettiamo dell’esplosivo di nascosto nella valigia di un passeggero ignaro e vediamo se i nostri colleghi ai controlli lo trovano. Indovinate come va a finire: l’esplosivo sfugge ai controlli e il passeggero se lo porta a casa a Dublino, dove viene arrestato e la sua abitazione viene circondata dagli artificieri per rimuoverne l’esplosivo. Le autorità slovacche aspettano tre giorni prima di avvisare la polizia irlandese del piccolo disguido e dicono che l’esplosivo non era pericoloso. Ma allora perché chiamare gli artificieri? Adesso non basta preoccuparsi delle bombe portate in aereo dai terroristi; bisogna anche preoccuparsi di quelle messe dagli “esperti” di sicurezza (BBC). Aggiornamento: le cose potrebbero essere andate diversamente da quanto descritto da Zia Beeb, come segnalato nei commenti qui sotto.

L’intercettazione dei video non cifrati dei Predator. Forse non è un errore grave come pare istintivamente. Schneier sottolinea che a volte la mania di segretezza inutile fa più danni della disseminazione di segreti. Il problema nel caso dei Predator sarebbe stata la gestione dei codici di accesso sul campo di battaglia. Se il video in tempo reale non fosse stato disponibile a un gruppo di soldati nel momento del bisogno perché il sistema non accettava la password, la segretezza avrebbe prodotto danni maggiori. E si chiede quanto possa essere utile un feed video di una vista aerea senza coordinate o altri riferimenti. Il vero danno, qui, è quello d’immagine (la figuraccia pubblica dei militari).

Più facile intercettare i GSM. È stato decifrato l’algoritmo di channel hopping usato dai sistemi cellulari GSM per proteggere le telefonate contro le intercettazioni. Un progetto open source mirato a dimostrare l’insufficienza della privacy del sistema GSM ha proposto, durante il Chaos Communication Congress di Berlino, un kit composto da un PC con una scheda grafica di medie prestazioni, un disco rigido capiente, due ricevitori USRP2 e del software per gestire il channel hopping. Dopo qualche minuto d’intercettazione di una chiamata, l’algoritmo viene decifrato e siccome la chiamata è stata registrata (come flusso di dati cifrati), può essere decifrata anche la sua parte iniziale. Il kit registra solo uno degli interlocutori, ma anche questo in molti casi è sufficiente per commettere crimini, per esempio intercettando i menu vocali di un sistema bancario (The Register).

Come spillare dati privati da Facebook. Wired spiega che le nuove regole di privacy di Facebook rendono più facile scoprire nome, amici, sesso, età, interessi, domicilio, lavoro e titolo di studio corrispondenti a un indirizzo di e-mail usando la funzione di ricerca di amici. Buon divertimento.

Leggere i pensieri si può (o quasi). Basta accettare qualche piccolo impianto nel cervello, senza fili sporgenti o connettori alla Frankenstein: solo due bobinette applicate allo scalpo. Un dispositivo chiamato Neuralynx, realizzato presso la Boston University, rileva l’attività cerebrale dei centri della parola e la converte in suoni. Funziona: un primo modello sperimentale è già stato impiantato in un ventiseienne completamente paralizzato, generando correttamente alcuni suoni (Physorg).

Demi Moore photoshoppata in copertina: arrivano gli avvocati per non farlo sapere. Il popolare sito BoingBoing pubblica le prove di un fotoritocco dilettantesco che mozza un fianco a Demi Moore sulla copertina di una rivista (immagine qui accanto), e l’attrice, invece di chiedere scusa per la porcata e per l’ennesima anoressizzante presa in giro del pubblico, manda gli avvocati, e la rivista nega ogni ritocco. La risposta del legale di BoingBoing è da manuale. Mai sentito parlare del diritto di cronaca? Tutta la storia è qui, e non è l’unica del suo genere. Leggete qui sotto.

Modelle impossibili. La presa in giro e la presentazione di modelli estetici inarrivabili raggiunge nuove vette in un poster di Ralph Lauren (qui accanto). E anche qui arrivano gli avvocati, che diffidano Photoshop Disasters, il blog che aveva pubblicato l’immagine. Photoshop Disasters ha rimosso l’articolo, ma l’immagine è ancora in giro. Esiste davvero qualcuno che crede che questo sia l’aspetto normale di una donna? E qualcun altro che approva e che stampa questa roba? E la soluzione, secondo i magnati della moda, è quella di imbavagliare chi denuncia i loro inganni?

Esperti di sicurezza sbaragliano botnet di 250.000 PC infetti. La botnet era arrivata a generare l’11% dello spam analizzato da MessageLabs. Gli smanettoni hanno preso il controllo dei server che gestivano la botnet. Geniale. I dettagli sono su PCworld/Yahoo.

Cinque anni fa, l’attacco alla Terra dallo spazio. Il 27 dicembre 2004 la Terra fu investita da un fascio di raggi gamma e X tanto potente da accecare alcuni satelliti e ionizzare parzialmente gli strati superiori dell’atmosfera. Colpa di una magnetar, la SGR1806-20: una stella di neutroni tanto densa che un centimetro cubo della sua materia pesa cento milioni di tonnellate e dotata di un campo magnetico mostruoso (donde il nome). Si trova a 50.000 anni luce da noi, sul lato opposto della nostra galassia, eppure è riuscita a far sentire il suo effetto fin qui, cosa che una “normale” supernova non riuscirebbe a fare da quella distanza. E poi dicono che la scienza è noiosa (Bad Astronomy).

Cinque nuovi mondi. Il telescopio spaziale Kepler della NASA ha trovato i suoi primi cinque nuovi pianeti al di fuori del sistema solare. Quattro sono ancora più grandi di Giove, e percorrono orbite strettissime intorno alla propria stella. Un anno, su quei mondi, dura fra tre e cinque giorni terrestri. Uno, Kepler 7b, ha una densità media inferiore a quella del polistirolo espanso. Questo è solo un piccolo esercizio di collaudo: il telescopio Kepler è fatto per scoprire pianeti simili alla Terra (BBC).

Antimateria kaboom. Incrociare i flussi è male, come sanno i fan di Ghostbusters: mettere insieme materia e antimateria nel cuore di una stella è molto male. E avviene nella realtà, non nei telefilm di Star Trek. Sette miliardi di anni fa, la stella Y-155, nella costellazione della Balena, aveva una massa 200 volte maggiore di quella del nostro sole ed è diventata tanto calda da generare coppie di particelle di materia e antimateria, scatenando una reazione termonucleare che l’ha fatta esplodere così violentemente da essere visibile da Terra nonostante si trovasse a metà strada dai confini dell’universo e generando un’energia equivalente a cento miliardi di volte quella del Sole (Science Daily).

Oroscopi? Idiozia colossale. Lo dice Marco Cagnotti, giornalista scientifico e presidente della Società Astronomica Ticinese, in un eloquente sfogo sul blog astronomico Stukhtra, giocando il jolly: “… “Nature”, vol. 318, pp. 419-425, 5 dicembre 1985: una ricerca fondamentale. Effettuata con astrologi professionisti, impegnati in un protocollo a doppio cieco e messi nelle migliori condizioni operative, avendo tutte le informazioni su luogo, data e ora di nascita, quindi potendo stilare il tema natale preciso dal quale ricavare poi la personalità dei volontari. Risultato: fallimento totale.” Niente male anche l’incazzatura di Marcello Veneziani sul Giornale: “Giuro che al prossimo che mi fa l’oroscopo gli faccio l’endoscopia, con strumenti improvvisati”.

Onnipotenza in Windows 7. Esiste un “God Mode” in Windows 7, una serie di funzioni non documentate, inserite dagli sviluppatori, che permette di accedere rapidamente a tutti i pannelli di controllo del sistema operativo da una singola cartella. Basta creare una nuova cartella e darle il nome seguente: GodMode.{ED7BA470-8E54-465E-825C-99712043E01C} (parentesi graffe incluse). Potete anche usare una stringa diversa da “GodMode”, ed esiste tutta una serie di codici aggiuntivi che attivano varie scorciatoie per controllare più agevolmente le impostazioni del sistema operativo. Cnet ne pubblica un elenco che è spiegato in dettaglio qui. Il codice che riporto qui sopra è quello che include tutte le scorciatoie: gli altri ne attivano dei sottogruppi. Da provare a vostro rischio e pericolo (specialmente in Vista, dove pare che tenda a crashare il sistema) (Gizmodo).

Antibufala: Warren Beatty ha conosciuto biblicamente quasi 13.000 donne? Qualcuno ha fatto i conti in tasca a questa notizia che ha spopolato nei giorni scorsi sui giornali che non hanno niente di meglio da raccontare. Bufala, a meno che vogliate credere che il bellone di Hollywood sia riuscito a sedurre 1,06 donne al giorno, ogni giorno dell’anno, per 33 anni di fila (Animalnewyork.com).

Immagini incredibili di animali nel grembo materno. Sono tratte da un documentario di National Geographic, ma le trovate su Io9 e Izismile.

Che fine ha fatto Second Life? È quasi deserto, ma fa più soldi di prima grazie alla conversione all’intrattenimento a luci rosse. PcPro è andato a vedere cos’è successo al social network che tanti avevano dipinto come il futuro di Internet.

Fotocamere digitali, basta con la guerra dei megapixel, bisogna essere più sensibili. La nuova frontiera per la fotografia è l’introduzione di sensori capaci di ottenere immagini decenti in condizioni di luce sempre più fioca, fino a fotografare in città, di notte, in luce ambiente. ISO 12.800, estendibili a 102.400, per la Canon 1D Mark IV. Che nelle mani giuste fa dei video straordinari come Nocturne. Se dovete chiedere quanto costa, non ve la potete permettere.

Le kamikaze col seno esplosivo

2010-04-03
di Paolo Attivissimo
antibufala, giornalismo spazzatura, teatrino della sicurezza

Davvero al-Qaeda prepara donne kamikaze con esplosivo nel seno?

Repubblica: “Terrorismo: allarme kamikaze – donne con seno al plastico“. Corriere: “Fox: ‘Bombe nei seni delle terroriste'”. TGcom: “Gb, ‘kamikaze con seno al plastico’”. Fanno eco DonnaModerna.com e tanti altri siti.

Stando a tutte queste fonti, l’organizzazione terroristica al-Qaeda intenderebbe “sfruttare come kamikaze donne con il seno imbottito di esplosivo non rilevabile dalle normali macchine ai raggi X negli aeroporti”. A questo scopo sarebbero stati inviati “alcuni chirurghi plastici in Gran Bretagna per imparare ad eseguire l’intervento per poi praticare questi innesti esplosivi una volta tornati nei loro paesi d’origine”. C’è di più: secondo queste testate, si parla di impianti esplosivi anche negli uomini, da collocare nei glutei.

Davvero nessuno di coloro che lavora per queste pubblicazioni s’è posto un dubbio? Nessuno s’è chiesto, per esempio, come e dove sarebbero occultati i detonatori e i comandi (lascio la risposta alla vostra depravata fantasia) o perché non usare altre parti del corpo meno erogene ma più capienti, come l’addome di un uomo corpulento? L’unico leggermente esitante sembra essere Guido Olimpio, che sul Corriere nota che “non è chiaro come sarebbero attivate [le bombe]. A prima vista sembra un’esagerazione e la fonte è generica”. Ma la “notizia” viene pubblicata lo stesso. Che diamine: tette, terrore ed esplosivi? Una combinazione irresistibile.

Ma la fonte della notizia qual è? Il Corriere parla di “allarme dei servizi segreti inglesi”. Però poi salta fuori che i servizi segreti inglesi vengono tirati in ballo dalla rete televisiva statunitense Fox. La notizia originale della Fox cita come fonte degli “esperti” di terrorismo. Che poi risultano essere uno solo, e neanche tanto esperto: si tratta di Joseph Farah, che non è membro dei servizi segreti britannici ma è l’editore di World Net Daily, un sito di notizie che pubblicizza libri del tipo di “Come sopravvivere al crollo della civiltà” e dice (a firma dello stesso Farah) che Obama non è presidente legittimo perché non ha mostrato il proprio certificato di nascita (lo ha fatto) e forse è nato in Kenya (no; tutta la faccenda era già sbufalata per esempio qui nel 2008). E continua a dirlo nelle convention repubblicane. Un esperto coi controfiocchi, per nulla incline al sensazionalismo. Infatti per lui “è noto” e assodato che le kamikaze reclutate da al-Qaeda si sono già fatte inserire l’esplosivo nel seno. Chi gliel’ha detto? Non si sa.

Ma Fox a sua volta ha preso la notizia da un’altra fonte. Dai servizi segreti inglesi? Noooo. L’ha ricevuta dal tabloid scandalistico inglese The Sun. Che cita sempre lo stesso Joseph Farah di prima e fonti anonime, si para il posteriore seminando vari “a quanto pare” e “si ritiene che” e illustra il diabolico piano con un fotomontaggio spudorato di due candelotti e una sveglietta, degni di un cartone animato, ficcati dentro una protesi.

E così, siccome nessuno di coloro che per mestiere dovrebbero fungere da filtri e garanti delle notizie si prende la briga di controllare la provenienza originale delle cose che pubblica o si ferma a chiedersi se siano plausibili, il Corriere e Repubblica si trovano a seminare paure usando come fonte un giornaletto britannico e Valeria Marini verrà riclassificata come arma di distruzione di massa.

Scanner aeroportuali: già denunciato il primo ficcanaso

2010-03-24
di Paolo Attivissimo
privacy, sicurezza, teatrino della sicurezza

Gli scanner negli aeroporti ti denudano? Tranquilla, nessuno mai ne approfitterà. Come no

Questo articolo vi arriva grazie alle gentili donazioni di “assix” e “fraferu”.

Avete presente i nuovi scanner full-body degli aeroporti? Quelli che costano uno sproposito di soldi e vedono sotto i vestiti, rivelando nitidamente anche i genitali? Quando mi sono permesso di chiedere, come tanti altri perplessi da questo teatrino della sicurezza, se non c’era il rischio che qualche operatore annoiato e sottopagato cedesse alla tentazione di fare una cattura della schermata dello scanner in occasione del passaggio di una persona famosa, mi sono preso una bella dose di critiche.

Suvvia, dicono anche le autorità, gli scanner saranno messi in mano soltanto a persone responsabili e integerrime. Verranno adottate tutte le misure del caso. In nome della lotta al terrorismo, quindi, il bravo cittadino si dovrà far denudare virtualmente ogni volta che prende l’aereo, ma sarà tranquillissimo, perché mai nessuno abuserà di quest’intrusione obbligata sotto i suoi vestiti.

Come no. Arriva dall’aeroporto di Heathrow, a un mese scarso dall’installazione degli scanner, la prima denuncia di abuso. Un dipendente della BAA (la società che gestisce l’aeroscalo), il venticinquenne John Laker, è accusato di aver scattato una foto a una sua collega, la ventinovenne Jo Margetson, mentre lei passava inavvertitamente attraverso lo scanner della Rapiscan (costo 90.000 euro) il 10 marzo scorso, al Terminal 5. Questi scanner realizzano immagini come quella qui accanto, che non è una simulazione: Reuters la presenta come immagine scattata da quello specifico tipo di scanner.

A differenza degli aeroporti americani, quelli britannici, stando al Guardian, non permettono la perquisizione manuale al posto dello scanner. Chi s’è rifiutato per motivi di salute o religiosi non è stato imbarcato.

La Margetson (qui due sue foto sul Sun, che fedele al suo giornalismo-trash non risparmia le citazioni di commenti salaci attribuiti a Laker) ha denunciato il fatto alla polizia. Gli accertamenti sono ancora in corso. Se confermato, questo sarebbe il primo caso in cui un guardone è stato scoperto ad abusare degli scanner aeroportuali. La parola chiave, naturalmente, è scoperto.

Fonti aggiuntive: AFP, Sky.com, Reuters.

Teatrino della sicurezza: scanner d’impronte beffati

2010-03-03
di Paolo Attivissimo
biometria, hacking, sicurezza, teatrino della sicurezza

Scanner d’impronte da 44 milioni di dollari battuti dal nastro adesivo

Molto spesso si ha la tentazione di risolvere i problemi di sicurezza ricorrendo a gadget tecnologici molto costosi invece di affrontarli andando alla radice. E’ quello che è successo in Giappone, secondo Yahoo News: in trenta aeroporti del paese sono stati installati, nel corso del 2007, dei lettori automatici di impronte digitali per gestire i controlli d’immigrazione e l’antiterrorismo. Il sistema è costato oltre 44 milioni di dollari ed è in grado di confrontare le impronte dei viaggiatori istantaneamente con quelle di criminali, fuggiaschi e stranieri colpiti da ordine di deportazione.

Non è chiaro quanti terroristi siano stati così gentili da regalare all’amministrazione giapponese le loro impronte digitali in anteprima, ma una cosa è chiara: il sistema fa acqua da tutte le parti. Una donna sudcoreana, colpita da divieto d’ingresso in Giappone e deportata dal paese a luglio 2007 per immigrazione e lavoro clandestino, è riuscita ad eluderlo con un espediente decisamente a bassa tecnologia: si è coperta le dita con appositi nastri adesivi sui quali erano imprese le impronte di un’altra persona, di cui aveva inoltre un passaporto falso.

Ma come, in Giappone nessuno ha visto Diamonds Are Forever (Una cascata di diamanti)? James Bond ci aveva già pensato nel 1971. E Mythbusters ha ripetuto la dimostrazione in una puntata di qualche tempo fa:

C’è però una differenza importante fra il caso di Bond e di Mythbusters e quello giapponese. Infatti al di là della realizzazione pratica dello specifico rilevatore d’impronte, che è il principale colpevole del fallimento in questi casi, lo scenario d’uso giapponese vi aggiunge una delle insidie poco intuitive della biometria.

La biometria funziona bene se la si usa per verificare che una persona è chi dice di essere (ho un’impronta certa di Tizio nel database, voglio sapere se chi appoggia il dito sul sensore è davvero Tizio): in questo caso c’è un’unica impronta che funziona e tutte le altre vengono scartate. Il sistema può essere reso estremamente schizzinoso e quindi efficace (più di quelli di 007 e Mythbusters).

Ma in Giappone questa biometria è stata usata per verificare (si fa per dire) che una persona non è una fra le tante presenti in un database segnaletico. Questo significa che per quanto sia ben realizzato il sensore d’impronte, è facilissimo ingannare il sistema antiterrorismo/anti-clandestini, perché basta dargli in pasto qualunque impronta che non sia fra quelle nel database. In altre parole, invece del criterio “va bene solo X”, si usa il criterio “va bene qualunque cosa non sia X”. E questo garantisce che il sistema sarà sempre bucabile, perché la sua logica di base è fallata.

Ecco la vignetta di Moise, pubblicata inizialmente su AFNews e ripubblicata qui per gentile concessione dell’autore.