Utilizzare protocolli di comunicazione sicuri per evitare di essere spiati.
Spesso, quando si utilizzano connessioni Wi-Fi, si scambiano dati su un canale insicuro. In molti casi, infatti, le reti Wi-Fi pubbliche o quelle messe a disposizione da alcuni provider, non dispongono di sufficienti misure di sicurezza. In contesti simili, si dovrebbe - come regola generale - evitare l'utilizzo dei protocolli di comunicazione “insicuri”, mentre sarebbe bene preferire i protocolli "sicuri".
Protocolli insicuri:
Protocolli sicuri:
- HTTP abbinato ad SSL,
- POP + SSL (porta TCP:995),
- IMAP + SSL (TCP:993),
- SMTP + SSL (TCP:465),
- FTPS o SFTP,
- SSH (non basato su SSL ma concettualmente similare),
- PPTP su SSTP VPN,
- Clienti di messaggistica istantanea configurato per l'uso di SSL,
- Skype (uso di PKI proprietario),
- Uso di SSL-VPN,
- L2TP (impiego di certificati digitali lato server e lato client),
- IPSEC (certificati digitali lato server e lato client oppure utilizzo di chiavi scambiate inizialmente),
- tunneling SSH VPN.
Per l'utilizzo dei protocolli di comunicazione "sicuri", è necessario utilizzare -lato server -solo certificati digitali firmati e riconosciuti da parte di autorità come VeriSign, Entrust, GeoTrust, GoDaddy. L'uso di certificati creati autonomamente oppure già scaduti è assolutamente sconsigliabile in quanto induce negli utenti una pratica pericolosa ovvero ignorare i messaggi d'allerta restituiti, ad esempio, dal browser.
Per attivare l'impiego della crittografia durante le comunicazioni tra client e server, nel caso della consultazione e dell'invio della posta elettronica, è sufficiente spuntare la casella che permette l'uso di SSL e specificare delle porte differenti per la posta in arrivo (POP3) e per quella in uscita (SMTP) rispetto alle impostazioni standard.
La possibilità di usare SSL per la ricezione e l'invio della posta elettronica, dipende dalla configurazione del server e-mail del provider Internet utilizzato. Il servizio GMail di Google supporta entrambe le modalità. E' però criticabile il fatto che, per l'accesso al servizio web mail e per la sua gestione, venga impiegato in modo predefinito il protocollo http e non https. Emblematica la dimostrazione pubblica tenuta da un famoso ricercatore di sicurezza che ha fatto notare come, non accedendo a GMail via https, un utente malintenzionato -collegato, ad esempio, allo stesso access Point -possa assumere l'identità di un'altra persona divenendo in grado di leggere le sue e-mail, carpire dati personali memorizzati sui server di Google, inviare posta elettronica a suo nome.
E' interessante far notare come digitando https://mail.google.com (sostituendo, quindi, manualmente, "https" ad "http"), tutte le comunicazioni tra client e server (e viceversa) che riguardano la gestione della web mail di Google vengano invece cifrate utilizzando SSL.
Si tratta di un problema comune a molte realtà: la stragrande maggioranza degli utenti, così, si trova ad utilizzare modalità di connessione insicure. Anziché consultare la posta elettronica via web, ricordiamo che Google GMail può essere utilizzato anche con qualsiasi client di posta. In questo caso, è indispensabile utilizzare una connessione SSL.
Ad oggi i servizi che non supportano ancora HTTPS sono molti: tra questi citiamo Microsoft Hotmail, Yahoo Mail, MySpace, Facebook, Google Maps, Google Blogspot, Google Video, Youtube.
Da apprezzare invece il vendor Salesforce che di default adotta https dando la possibilità aggiuntiva ai propri clienti di bloccare completamente le connessioni non-SSL. Per cifrare il contenuto delle e-mail, invece, è possibile ricorrere all'uso di un certificato personale. Emesso spesso gratuitamente -da un'autorità preposta, il certificato consente all'utente di codificare e firmare digitalmente i propri messaggi di posta elettronica garantendo in questo modo riservatezza, confidenzialità, autenticità, integrità e non ripudio delle comunicazioni trasmesse.
Segnaliamo due società che mettono a disposizione, gratuitamente, certificati digitali da utilizzare per la posta elettronica:
- Globaltrust -Thawte Tutti i client che supportano il formato S/MIME sono in grado di gestire i certificati digitali. MIME è l’acronimo di Multipurpose Internet Mail Extensions e fissa uno standard per il formato di un messaggio di posta elettronica. Ogni messaggio inviato attraverso un server SMTP è considerabile come in formato MIME. Le varie parti di un’email ed, in particolare, le indicazioni MIME inserite al suo interno, specificano, ad esempio, il formato con cui viene inviato il messaggio (solo testo o html), la codifica utilizzata, eventuali allegati e così via.
- S/MIME (Secure Multipurpose Internet Mail Extensions) è uno standard per la crittografia a chiave pubblica e per la firma dei messaggi di posta elettronica che si inserisce all'interno delle specifiche di MIME. S/MIME, originariamente sviluppato da RSA Security, fornisce la possibilità di autenticare, verificare l'integrità, garantire il non ripudio (utilizzando la firma digitale) e proteggere il messaggio (utilizzando la crittografia) trasmesso in Rete.
Per tutti i dettagli relativi alla configurazione del client di posta elettronica per l'utilizzo di un certificato digitale, vi suggeriamo di far riferimento a questo articolo di approfondimento: http://www.ilsoftware.it/articoli.asp?ID=3457
|