Libertà e Sicurezza in Internet. Riflessioni sparse Martedì, 5 Novembre Palazzo Stelline C.so Magenta 61, Milano Paolo Da Ros, membro del Direttivo CLUSIT

Liberta’ individuali, privacy e sicurezza: esempi di un dilemma senza soluzioni definitive “la Societa’ aperta ed I suoi nemici” Chiuderla per difenderne l’ apertura risolve il problema alla radice… “Non esistono uomini liberi in societa’ in cui esiste uno schiavo” L’ esistenza di un singolo schiavo genera una relazione “padrone – schiavo” alla quale tutti gli individui vengono riportati, e annulla la possibilita’ di uomini liberi “Aperti e Sicuri” “blindare” l’ azienda, mantenendo segrete tutte le sue informazioni, rende l’ azienda sicura … ma la fa “chiudere” per mancanza di clienti che possano comprare le cose segrete che produce!!! Paolo Da Ros paolo.daros@cryptonet.it

Un dilemma senza soluzioni definitive Non esistono scorciatoie, ricette universalmente valide nel tempo e nello spazio. Gli esseri umani praticano costantemente il compromesso. Cio’ che qui e ieri era inaccettabile, li’ e oggi puo’ essere accettato. Esistono diritti fondamentali, tuttavia, e questi vanno tenuti presenti quando si accettano compromessi. Paolo Da Ros paolo.daros@cryptonet.it

Ma che cos’e’ la Privacy? Una definizione: La privacy e’ il diritto della persona a negoziare le proprie relazioni sociali sulla base del controllo delle informazioni che la riguardano Paolo Da Ros paolo.daros@cryptonet.it

Ma che cos’e’ la Privacy? E un esempio “Gentile signor Rossi, abbiamo notato che l’ uso della sua carta di credito alternato a quello della carta di credito della signora Neri si e’ recentemente diradato in maniera significativa. Dal suo frequente acquisto di cibo surgelato in confezioni monodose, e dal diradarsi dei suoi acquisti di profilattici, ci permettiamo di dedurre che la Sua vita sentimentale attraversa un periodo di una qualche difficolta’. Ci permettiamo di sconsigliarLe l’ approfondimento della conoscenza della signorina Verdi, che deduciamo dall’ episodico utilizzo alternato di carte di credito in vari ristoranti adiacenti alle vostre abitazioni e dalla posizione dei vostri cellulari frequentemente individuati nella stessa cella. La signorina Verdi si e’ infatti recentemente sottoposta ad analisi di laboratorio presso lo Studio malattie Veneree ed affini sito in Via Roma. Ci permettiamo di conseguenza di raccomandarle l’ utilizzo dei servizi della nostra Societa’ : la XXX Video e’ una delle piu’ referenziate societa’ di noleggio di materiale erotico, che viene consegnato a domicilio in confezioni anonime. A tutela della sua privacy siamo in condizione di garantirLe la piu’ assoluta discrezione. Paolo Da Ros paolo.daros@cryptonet.it

Nello stesso modo con cui I ricci fanno all’ amore. Come si applicano i compromessi quando si tratta di diritti fondamentali? Nello stesso modo con cui I ricci fanno all’ amore. Con molta attenzione!!!! Paolo Da Ros paolo.daros@cryptonet.it

Molta attenzione!! Esistono tecnologie estremamente potenti. Ad esempio, la crittografia a chiave pubblica Posso usarla per generare sistemi di assoluto anonimato (Blind Signatures, anonymous remailers…) o per generare sistemi di assoluta certezza dell’ identificazione. Posso usarla per far si che le intercettazioni (male necessario a tenere “socchiusa” (meglio: ”semiaperta”) la societa’ aperta negli anni del terrorismo e della minaccia criminale di massa) siano assolutamente protette, ed accedute solamente da chi ne ha il diritto/dovere. Con la garanzia che in fase probatoria nessuno possa metterne in discussione autenticita’ ed integrita’. Paolo Da Ros paolo.daros@cryptonet.it

Viene utilizzata questa attenzione? Da quello che se ne sa… NO. Sarebbe possibile dare confidenzialita’ assoluta e controllo accessi “matematicamente sicuro”, certezza di tempo, luogo e integrita’ delle conversazioni intercettate. Ma non viene fatto, a giudicare da casi di pubblica notorieta’… I sistemi di telecomunicazione sono –e saranno sempre piu’- basati su tecnologie IP. Occorrerebbe utilizzare per la sicurezza dei sistemi che garantiscono la sicurezza della collettivita’ lo stesso approccio che si usa su Internet per la valutazione dei sistemi di sicurezza. Peer review, pubblicita’ dei protocolli. E certificazione (ISO 15408/Common Criteria –pubblicita’ dei protection profiles!-, ISO 17799, ISMS). Paolo Da Ros paolo.daros@cryptonet.it

Quali sono le implicazioni? Tutte le forniture di armi sofisticate a paesi di una certa area geopolitica erano accompagnate dalla donazione di STU –Secure Telephone Units- al paese acquirente. E’ il famoso caso ... I telefoni erano basati su crittografia simmetrica. E una copia della chiave era in possesso dei servizi segreti di una certa nazione (quella che forniva le armi). Monitorare il traffico telefonico e’ quanto viene attribuito al famoso Echelon, utilizzato –sembra- piu’ a fini di concorrenza industriale che a fini militari o di antiterrorismo. Utilizzare sistemi per il monitoraggio non sottoposti a certificazione (ISO 15408, ISO 17799) apre lo spazio a backdoors e a trojan horses, o a debolezze organizzative di pericolosita’ strategica per gli interessi nazionali. Paolo Da Ros paolo.daros@cryptonet.it

Conclusioni Occorre accettare compromessi (probabilmente) I compromessi potrebbero essere piu’ accettabili se fosse trasparente il processo (andrebbe evitato l’ errore della polemica filo/anti nucleare e del chiasso che si sostituisce all’ argomentazione razionale) La trasparenza si traduce in: Esplicitazione delle implicazioni (se usi una fidelity card, stai vendendo la tua privacy per lo 0,0x% di sconto sulla spesa che fai…); Controllo e tutela della riservatezza dei dati personali (675/96-467/01, DPR 318/99); Esplicitazione dei criteri di deroga al rispetto della privacy –law enforcement- Utilizzo di prodotti e processi SICURI per la messa in atto della deroga (certificazione dei prodotti: ISO 15408 -CC- e dei processi: ISO 17799), in maniera che l’ addetto della societa’ di telecomunicazioni XYZQ non informi l’ intercettato –caso recente, a beneficio dell’ intercettato- o la stampa –altro caso recente, a danno dell’ intercettato). Paolo Da Ros paolo.daros@cryptonet.it

Grazie per l’ attenzione!! La liberta’ e’ il nostro bene piu’ prezioso. Non puo’ essere assoluta nella civilta’ di massa nella quale viviamo (e infatti Digicash, anonimous remailers, anonymous betting pools, reputation policies e altre idee dei primi anni ’90 -tecnicamente praticabili e “sociologicamente suggestive”- che miravano a conseguirla non hanno trovato cittadinanza). Il compromesso che va trovato non puo’ prescindere dalla massima attenzione a “non buttare il bambino” (la liberta’ individuale e collettiva) “con l’ acqua sporca” (la necessita’ di intelligence, controterrorismo e di applicazione della Legge della nostra Societa’). Grazie per l’ attenzione!! Paolo Da Ros paolo.daros@cryptonet.it