Una delle preoccupazioni di ogni (buon) navigatore Internet è sicuramente quella di proteggere la propria privacy per evitare che informazioni delicate o riservate cadano in mani inappropriate.

Quando utilizziamo internet i dati che vengono scambiati tra il nostro computer ed i server che visitiamo transitano attraverso una serie finita ma non determinabile di altri apparati di rete e computer. Quando navigo da casa per esempio i miei dati attraversano l’etere per raggiungere il mio router wi-fi, quindi raggiungono gli apparati di rete del mio provider, poi sono instradati verso il provider di connettività internet cui il mio ISP si rivolge e poi….. lo sa solo il padreterno che giro fanno.

Molte persone temono che il proprio traffico sia intercettato e quindi cercano di utilizzare strumenti di anonimizzazione, magari free, per evitarlo.

Il fatto è che a volte la cura può essere peggiore della malattia.

Ricordate il caso di qualche settimana fa che coinvolgeva l’intercettazione delle credenziali di  personale di enti diplomatici?

Ecco arrivare la spiegazione di come sono stati raccolti quei dati.

Nella pratica il tizio che ha intercettato gli account lo ha fatto utilizzando i server TOR della sua azienda. Tor è appunto uno dei tanti sistemi che dovrebbero garantire la privacy di chi utilizza il loro circuito di server. Ma il circuito di server Tor è a base volontaria e gratuita e quindi “chiunque” potrebbe avere un server Tor ed utilizzarlo per sniffare allegramente tutto il traffico che vi circola.

Cosa che il nostro amico esperto di sicurezza ha fatto, pubblicando poi una piccola parte degli account raccolti da questa attività.

Ci sono due problemi che vengono evidenziati da questo caso.

Il primo, sottolineato dall’esperto di sicurezza  coinvolto, che riguarda la crittografia delle informazioni riservate. E’ stato possibile infatti intercettare credenziali di accesso di importanti istituzioni diplomatiche perchè queste non utilizzano la crittografia per proteggere i propri accessi.

Questo ovviamente non è un problema della rete Tor, ma piuttosto degli enti che offrono ai propri dipendenti un accesso internet non protetto. Tutto sommato questo tipo di problema mi interessa relativamente. Si tratta di una cosa che sarebbe facilmente risolvibile dai responsabili tecnici di quelle istituzioni. Dimostra chiaramente la poca importanza che si da alla sicurezza anche in ambienti dove questa dovrebbe essere pane quotidiano, ma è un fenomeno ben conosciuto e che difficilmente sarà risolto in breve tempo.

Il secondo aspetto che viene evidenziato da questo fattarello è invece quello che riguarda l’insicurezza intrinseca di reti di anonimizzazione come Tor.

Mi spiego. Chi utilizza Tor lo fa per evitare che la sua navigazione sia intercettata e per fare in modo di essere il più possibile anonimo nei riguardi dei server che visita.

Peccato che per fare questo si affidi ad una rete di server che dovrebbero anonimizzare la sua navigazione, ma della cui proprietà il navigatore non ha alcuna cognizione.

Come giustamente faceva notare il tizio di Deranged Security tra i server Tor potremo probabilmente trovare un bel pò di macchine appartenenti a gruppi di hacker, a istituzioni politiche (cina, stati uniti), a gruppi conosciuti di ladri di identità, a sconosciuti etc etc

In pratica chiunque potrebbe fare quello che ha fatto lui e fottersi (fottervi) un bel pò di dati riservati.

Vale la pena a questo punto utilizzare strumenti come Tor?

Personalmente non credo che il gioco valga la candela. I rischi aggiuntivi e le accortezze necessarie per utilizzarlo in maniera proficua sono per me troppo onerosi rispetto al vantaggio di navigare anonimi. In fondo non sarete mica terroristi no?

In generale prima di utilizzare qualsiasi strumento o servizio che giocheralla con il vostro traffico fateci un pensierino ed informatevi bene sul funzionamento e su chi lo gestisce (e come)…

E poi contante fino a cento e ripensateci ancora 🙂