Hack & Sec

15 Ottobre Ott 2017 1516 15 ottobre 2017

Quelli che… (parte prima)… vogliono sapere tutto

  • ...

A volte, dopo le mie conferenze, qualcuno mi avvicina e, più o meno gentilmente, mi spiega che ho passato due ore a parlare di cose che “qualunque persona dotata di buon senso comprende leggendo un semplice documento di due paginette…” Di solito rispondo ringraziando perché, di questi tempi, essere indirettamente definito come una persona capace di dire cose sensate è un bel risultato. A questo punto però incalzano sostenendo che si aspettavano “una guida pratica e seria, invece sono incappata in una delusione totale”. La risposta standard prevede: “mi dispiace, ma forse non aveva necessità di queste informazioni, perché le ha già pienamente comprese. Sono contento che sia completamente consapevole dei rischi e dei problemi legati alle nuove tecnologie”. Con questo si chiude la conversazione, ma non le mie riflessioni. Cosa intendeva quando parlava di “guida pratica e seria”? Forse vuole consigli su come capire se un allegato è potenzialmente infetto da un malware? Magari vorrebbe sapere come si distingue un link legittimo da uno che ci porta direttamente a un inferno virtuale?

Un giorno stavo conversando con un collega e mi raccontava come, durante un suo corso, uno dei partecipanti avesse fatto molte domande precise e puntuali. Tra le tante aveva chiesto se la PEC, la posta elettronica certifica garantiva che gli allegati non fossero infetti da virus informatici. Aveva risposto si, ma a condizione che il mittente fosse a sua volta una casella PEC. Discutemmo per alcuni minuti sul tema, perché effettivamente quel tipo di garanzia sussiste nella misura in cui il malware sia noto ai produttori di antivirus, non sia stata individuata una vulnerabilità nel sistema e finimmo per discutere di una serie di dettagli tecnici e di potenziali metodi per ingannare anche una PEC. Dopo un paio di settimane mi ha telefonato per raccontarmi di avere ricevuto un messaggio di posta elettronica “al vetriolo” dal partecipante perché era stato vittima di un ransomware, ricevuto sulla casella PEC aziendale, che aveva crittografato anche un parte della rete aziendale. Il suo capo gli aveva detto che era un cretino, visto che lo aveva mandato anche a un corso per evitare proprio situazioni di quel genere. In buona sostanza il consiglio dell’esperto lo aveva indotto a prendere per attendibili tutti i contenuti ricevuti sulla PEC. In realtà il messaggio sembrava provenire da una casella certificata, ma così non era, una piccola e insignificante differenza (una numero “0” al posto di una lettera “o”) aveva indotto in errore l’utente.

Questo è il problema di chi vuole una “guida pratica e seria”. Si tratta delle persone che pretendono diagnosi da un’enciclopedia medica, gli stessi che cercano sui siti di medicina le risposte ai loro “dolorini”. La sicurezza informatica non è una scienza esatta e in primo luogo è una questione di consapevolezza, di conseguenza gli esperti tendono a dare indicazioni molto generali sull’attenzione, il buonsenso, quel minimo di diffidenza che serve, sull’importanza di avere un po’ di paura. In questo mondo le cose cambiano a una velocità sconcertate e la “verità” di oggi è “falsa” domani. Non siamo in una posizione diversa dai medici quando sconsigliano di fumare, di bere alcolici o esagerare con il cibo. Una quantità di banalità che “qualunque persona dotata di buon senso comprende leggendo un semplice documento di due paginette…”. Eppure la gente beve, fuma, si abbuffa e continua a morire di malattie ben note. Personalmente diffido di chiunque sostenga di avere ricette “pratiche” sempre valide, perché rischia di spedire la gente in “bocca al lupo”, con buona pace della fortuna. Chi si aspetta tanto, potrebbe sposare un medico o un esperto di sicurezza informatica, così può avere consigli pratici aggiornati quotidianamente, ma faccia attenzione perché in entrambi i settori ci sono le specializzazioni. Se sperate che un ortopedico vi sia utile con una gastrite vi state sbagliando, allo stesso modo chi si occupa di sicurezza delle reti potrebbe non esservi di aiuto a comprendere l’intimo funzionamento di un virus informatico.

Correlati