Se
in teoria la semplice password è uno strumento più
che sufficiente per proteggere il computer, la realtà
ha dimostrato la sua scarsa efficacia.
Una risposta più intelligente al problema è
offerta dai sistemi biometrici, che misurano una caratteristica
individuale del corpo umano per trasformarla in una password
complessa, comprensibile per il computer ma virtualmente impossibile
da scoprire con i software di recupero password.
Le misure di sicurezza tradizionali come la password di Windows
o quella del Bios che appare all'accensione del computer sono
evidentemente impotenti contro questo genere di attacco.
Contromisure
Efficaci
Una delle contromisure più efficaci contro questo nuovo
tipo d'intrusione è lo standard Pre Boot Authentication,
già disponibile in molti pc portatili di classe elevata,
che rappresenta un elemento essenziale dell'architettura Ipaa
(Intel Protected Access Architecture) messa a punto da Intel.
Il sistema si basa su un'estensione del Bios della scheda
madre, che grazie ad apposite routine standardizzate può
dialogare con dispositivi interni ed esterni come Smart Card
e sensori biometrici collegati alla porta seriale, Usb o Lan.
Grazie a questa possibilità la password non viene più
memorizzata nella volatile memoria Cmos, ma è affidata
al processore crittografico della Smart Card o al database
delle firme del sensore biometrico. La possibilità
era già presente in alcuni pc portatili che utilizzavano
un sistema di comunicazione proprietario con il sensore bìometrico
incorporato ma, grazie all'adozione di uno standard mondiale,
il Bios con supporto Pba potrà ricevere i dati da qualsiasi
tipo e marca di sensore collegato ai connettori di espansione.
Se questi dispositivi mancano è comunque possibile
utilizzare la solita password alfanumerica, che però
non è usata direttamente per proteggere il computer
ma solo come "seme" di una nuova password lunga
non meno di 64 caratteri che l'apposita routine del Bios genera
automaticamente.
Il secondo pilastro del sistema Pre Boot Authentication è
garantito da una possibilità dei più recenti
dischi fissi conformi alle specifiche Ata-3, che vengono programmati
per accettare comandi di lettura o scrittura solo dopo aver
ricevuto dal Bios del pc una specifica sequenza di sblocco
protetta da password. Per questo motivo quando il sistema
Pre Boot Authentication è attivo diventa impossibile
non solo awiare il pc senza introdurre la password, ma anche
duplicare il contenuto del disco fisso dopo averlo estratto
dal pc e collegato a un altro computer: Ghost e Drivelmage
segnalano un errore e arrestano la procedura di copia immediatamente.
Questa protezione è così efficace che è
stata utilizzata da Microsoft anche per proteggere il contenuto
del disco fìsso della sua console Xbox, allo scopo
di evitare il travaso e la distribuzione dei file musicali
introdotti.
Disco
Fisso Protetto
La password di protezione del disco non è visibile,
ma viene generata dalle routine Pre Boot Authentication
al momento dell'abilitazione della funzione. Proprio per
questo motivo il recupero dei dati contenuti in un pc andato
fuori uso mentre la modalità Pba era attiva è
particolarmente diffìcile. Solo i centri di assistenza
autorizzati possono risalire alla password di sblocco principale
introdotta in fabbrica partendo dal numero di serie del
pc; tuttavia questa informazione è inutile se il
disco fisso è stato aggiornato con un modello più
capiente o veloce e quindi il suo Bios ha ricevuto una nuova
password.
L'unico tentativo di recupero può avere successo
se il pc guasto riesce comunque ad awiarsi e ad accettare
la password o l'autenticazione: dopo che il Bios ha inviato
al disco fisso la sequenza di sblocco, si potrà scollegare
a pc acceso il cavo del disco fisso dalla scheda madre (lasciando
connessa l'alimentazione) per collegarlo a un pc già
acceso e pronto a eseguire il software di backup. L'operazione
può essere eseguita in sicurezza solo utilizzando
cavi speciali, modificati per evitare danni ai circuiti
di alimentazione.
La prossima frontiera del sistema Pba, già definita
nei documenti dello standard, consiste nella possibilità
di passare al sistema operativo l'informazione di autenticazione
ricavata dal Bios: in questo modo non sarà più
necessario reinserire la Smart Card o rimettere il dito
sul sensore biometrico quando a termine del caricamento
di Windows appare la richiesta di immissione della password.
Nella realtà lo scenario è un po' meno rassicurante:
non tutti i sistemi biometrici garantiscono lo stesso livello
di sicurezza, e anzi si va dai prodotti-giocattolo poco
raccomandabili a sistemi di costo e possibilità decisamente
elevate.
La qualità di un sistema biometrico è il risultato
della combinazione dei tre passaggi fondamentali con cui
esegue l'autenticazione, cioè il riconoscimento della
persona:
1) misura della grandezza biologica;
2) estrazione della "firma" digitale, cioè
la codifica della grandezza biologica in un linguaggio comprensibile
dalla macchina;
3) calcolo della "password" da trasmettere al
programma o al sistema operativo.
 |
Grandezze
Biologiche
Le informazioni biologiche più usate dai sistemi
di controllo per gli accessi al computer sono l'impronta
digitale, l'iride dell'occhio, il timbro della voce e la
forma del viso. Solamente i gemelli omo-zigoti condividono
queste caratteristiche, che altrimenti sono uniche per ogni
individuo. Una buona misura della grandezza è la
base di partenza per ottenere un riconoscimento sicuro,
perché un sensore biometrico di scarsa qualità
obbliga a tenere bassa la soglia di accetta-zione del software
di riconoscimento, con il rischio di dare l'accesso anche
a chi non è autorizzato ma ha caratteristiche biologiche
simili a quelle richieste. È molto importante tenere
conto del fatto che il miglior sensore non è necessariamente
il più costoso, ma semplicemente quello che offre
l'informazione più fedele. Per esempio i sistemi
per il riconoscimento del viso che sfruttano una sola telecamera
non possono tisicamente dare una misura fedele, indipendentemente
dal loro costo, perché riprendono il soggetto solo
in due dimensioni: sarà sempre possibile ingannarli
mettendo davanti alla videocamera una fotografia, o magari
un pc portatile che riproduce un filmato della persona autorizzata
mentre compie il gesto convenzionale richiesto dall'autenticazione.
La sicurezza è decisamente più alta per i
sistemi di riconoscimento delle impronte digitali, per i
quali sono disponibili tre categorie di sensori. I più
utilizzati sono quelli di tipo capacitivo, che assomigliano
a una piccola trackpad da pc portatile sulla quale va appoggiato
il polpastrello di un dito. L'immagine dell'impronta digitale
viene catturata da un chip di silicio in tecnologia Cmos
molto simile a quello impiegato per le videocamere, che
si trova immediatamente sotto al rivestimento esterno e
ha tipicamente una risoluzione di 500 dpi. Il costo è
contenuto, ma questa tecnologia ha uno svantaggio. Il sensore
Cmos è sensibile anche all'umidità, quindi
soffiando dolcemente sopra alla piazzola i residui lasciati
dalla naturale untuosità del dito trattengono l'umidità
dell'alito e favoriscono la ricomparsa dell'ultima impronta
(la cosiddetta immagine latente), ingannando il sistema.
Per evitare questa grave falla nella sicurezza è
indispensabile pulire il sensore dopo ogni uso oppure utilizzare
sensori di seconda generazione che sono meno sensibili all'umidità.
Le Smart Card sono uno dei sistemi di autenticazione a basso
costo più sicuri, tanto che già in molti paesi
sono utilizzate persino al posto delle tessere Bancomat
poiché risultano molto più difficilmente falsificabili
rispetto alle tessere a banda magnetica tradizionali. Lettori
di Smart Card sono integrati già da tempo su server,
pc da tavolo e laptop proposti alle grandi aziende, dove
possono vantaggiosamente rimpiazzare le scomode pas-sword
di accesso. Dal punto di vista elettrico II collegamento
tra Smart Card e computer è regolato dallo standard
ISO 781.6, a sua volta suddiviso in tre parti: la prima
specifica forma e posizione dei contatti, la seconda le
funzioni di ciascuno degli otto contatti, e la terza i valori
di tensione e le regole di comunicazione a basso livello.
La quasi totalità delle schede Smart Card segue fedelmente
tutte e tre le parti dello standard, per poter essere inserita
in ogni modello di lettore. Le dimensioni esatte sono quindi
di 85,6 per 53,98 mm con spessore di 0,76 mm: questi numeri
apparentemente strani derivano dalla necessità di
mantenere la compatibilita con un precedente standard.
Gli otto contatti elettrici implementano un bus seriale
con frequenza di clock compresa tra 1 e 5 MHz, che tipicamente
vale 3,75 MHz per ottenere una cadenza dei dati di 9.600
bit per secondo. Il protocollo di comunicazione tra il lettore
di Smart Card e il computer è gestito da apposite
librerie di sistema: quelle realizzate da Microsoft si chiamano
PC/SC, ma esiste anche un'implementazione pubblica dello
standard chiamata OpenCard e ben documentata sul sito Web
dell'organizzazione (www.open-card.org). Lo standard ISO
7816 non da indicazioni sulle modalità di cifratura
dei dati contenuti nella memoria della Smart Card e sul
loro significato, che sono regolate secondo le esigenze
delle specifiche applicazioni: quindi, per esempio, le Smart
Card usate per i telefoni cellulari (chiamate anche Sim
card) hanno un'organizzazione logica interna differente
da quelle che regolano un abbonamento televisivo satellitare
o abilitano all'utilizzo di un computer, anche se sono elettricamente
compatibili. In tutti i casi, il cuore della Smart Card
è un microcontrollore, che all'interno del suo chip
di silicio contiene un programma di controllo e una memoria
permanente realizzata con tecnologia Eprom, Eeprom o Flash.
Differenti
Software di Controllo
La differenza tra i diversi modelli di Smart Card sta proprio
nel programma di controllo, che può riconoscere un
diverso insieme di comandi a seconda dell'applicazione.
In particolare le Smart Card usate per il controllo degli
accessi al pc contengono un programma di controllo non modificabile
che ha come unico scopo quello di memorizzare oppure rileggere
una pas-sword in forma cifrata.
Per evitare l'intercettazione della pas-sword tramite un
semplice controllo del valore dei segnali logici sui piedini,
in genere l'algoritmo crittografico realizzato nella Smart
Card è del tipo a chiave pubblica, quindi sostanzialmente
analogo a quello che regola lo scambio dati protetto all'interno
della rete Internet.
I due standard di cifratura più utilizzati in questo
settore sono realizzati dai labo-ratori RSA e portano il
nome PKCS 11 e PKCS 12, dove la sigla è formata dalle
iniziali delle parole Public Key Chryptograpy Standard (standard
crittografico a chiave pubblica); più raramente si
utilizza X509. Purtroppo non esiste ancora uno standard
che descriva il formato in cui la chiave e i certificati
PKCS devono essere scambiati con il pc, quindi oggi ogni
costruttore di Smart Card propone prodotti non compatibili
dal punto di vista logico con quelli dei concorrenti.
 |
Un altro principio utilizzato per rilevare le impronte digitali
è quello ottico:
in questo caso il sensore è un vero e proprio scanner
fotografico in miniatura (monocromatico) che scatta un'istantanea
del polpastrello. Questo tipo di sensori non soffre del
problema dell'immagine latente ma viene ingannato da una
stampa su carta dell'impronta digitale, e nel caso dei sensori
stereoscopici da un modello in lattice del polpastrello.
La frontiera per quanto riguarda la precisione della misura
dell'impronta digitale è offerta dai sensori termici,
che misurano le piccole variazioni puntuali di emissione
di calore causate dal diverso spessore dell'epidermide del
polpastrello. Al momento non sono noti sistemi semplici
per aggirare questo genere di controllo. Il rilevamento
dell'iride è molto veloce ma intrinsecamente meno
sicuro, poiché si basa su uno speciale scanner che
individua la pupilla dell'occhio e analizza la regione circostante
rappresentata dall'iride. Nel caso dei sistemi a singola
telecamera valgono perciò gli stessi punti deboli
dei sistemi di riconoscimento del volto, e cioè una
fotografia dell'iride forata al centro (in corrispondenza
della pupilla) può essere sufficiente per ingannare
il sistema, se la foto viene tenuta davanti all'occhio con
la giusta angolazione. Pochi sono i sistemi che si affidano
al riconoscimento della voce, sia perché per un buon
riconoscimento è necessario un ambiente molto silenzioso,
sia perché il tono di voce non è costante
ma cambia con le emozioni, la stanchezza, eventuali faringiti
e anche con la distanza tra bocca e microfono.
La conversione in dati digitali dei parametri estrapolati
dalla misura della grandezza biologica rappresenta una vera
e propria "firma" che identifica l'individuo.
Per esempio nel caso delle impronte digitali una tipica
firma presa in considerazione dal sistema biometrico è
rappresentata dalle coordinate delle "minuzie",
che sono i punti di biforcazione e terminazione dei solchi.
La conversione dei dati catturati dal sensore in "firme"
è molto importante, perché deve essere capace
di scartare le informazioni ovvie preservando ed evidenziando
quelle che invece sono peculiari. Una cattiva gestione dell'estrazione
provoca incertezze nel riconoscimento biometrico e potenziali
falle di sicurezza; se invece l'algoritmo non comprime a
sufficienza la firma i tempi di riconoscimento diventano
inaccettabili.
Firma Biometrica
Poiché la firma biometrica è l'esatto equivalente
di una password convenzionale, diventa molto importante
proteggerla tramite cifratura per evitare che possa essere
copiata e trafugata dal disco fisso del computer. Purtroppo
questa non è ancora considerata una caratteristica
standard dei software di sicurezza biometrica. Per esempio
esistono programmi di riconoscimento del volto che utilizzano
come firma biometrica un'immagine in formato .Bmp del volto
degli utenti autorizzati, che viene memorizzata sul disco
fisso nella cartella del software: basta perciò fare
una copia dei file mentre il computer è connesso
in rete o il proprietario non è presente, stamparla
e sottoporla alla telecamera del sistema biometrico per
superare senza problemi l'autenticazione. La gestione delle
firme biometriche è il più grave punto debole
di questa tecnologia: se un cracker viola il computer e
prende il database delle password basterà riassegnare
nuove password agli utenti per ripristinare la sicurezza
del sistema; ma se si procura una copia delle firme biometriche
l'unica soluzione è la sostituzione dell'intero sistema
di controllo biometrico o perlomeno del suo motore di estrazione
delle firme.
Gestione delle Password
L'ultimo anello della catena di eventi che garantisce il
funzionamento di un sistema biometrico è l'aggancio
con il sistema di autenticazione di Windows. Semplificando
un po' il percorso dei dati, si può immaginare che,
in caso di riconoscimento positivo dell'utente, il software
di gestione del sistema di controllo biometrico generi una
password valida che corrisponde a quella attribuita automaticamente
all'utente nella fase di attivazione del sistema.
Questo principio di funzionamento conferma che il sistema
biometrico ha un grado di sicurezza non superiore al sistema
di autenticazione delle password usato da Windows. Per questo
motivo la spesa necessaria per acquistare un sistema di
alta qualità è scarsamente giustificata se
il pc utilizza Windows 95/98, per il quale esistono numerosi
ed efficaci software per la forzatura delle password.
