sicuri
Falla incrina crittografia web
inviato in privato da Francesco Melis, 15\02\2012, h. 23.15.


Da "Repubblica" del 15 febbraio 2012
http://www.repubblica.it/tecnologia/sicurezza/2012/02/15/news/falla_crittografia_web-29936177/?ref=HREC1-31

"Tutta colpa di un algoritmo"
Alcuni ricercatori, tra la California e la Svizzera, hanno scovato un 
buco nel sistema di criptazione online, quello che sovraintende allo 
shopping online, all'home banking e alla sicurezza delle nostre caselle 
di posta. Il problema non coinvolge molti utenti, lo 0,38% dei casi, ma 
va risolto subito. Il costi, in termini di fiducia, sono troppo alti

Falla incrina crittografia web "Tutta colpa di un algoritmo"
SIA CHIARO: non  un allarme planetario ma c' quanto basta per 
intervenire con una certa sollecitudine. S, perch ad essere scosso 
alla fondamenta  un sistema con il quale molti di noi hanno avuto e 
hanno a che fare quotidianamente: la crittografia dei pagamenti online. 
E' successo che un gruppo di ricercatori statunitensi ed europei abbia 
ancitipato i risultati di uno studio (intitolato "Ron era sbagliata, 
Whitfield  giusto", in omaggio a due pionieri della crittografia a 
chiave pubblica, Ron Rivest e Whitfield Diffie) per testare la sicurezza 
dei sistemi che governano, tra i tanti servizi, anche lo shopping 
online, l'home banking e le nostre caselle di posta. Con un verdetto 
inatteso: non tutte le chiavi pubbliche generate automaticamente per 
dare la massima segretezza alle transazioni sono risultate sicure: 
analizzandone 7.1 milioni, circa 27 mila sono risultate non del tutto 
affidabili. La bassa percentuale di questi casi, lo 0,38%, del totale, 
fa si che il problema sia per ora lontano dalla stragrande maggioranza 
degli utenti (e forse anche dagli altri, considerando le infime 
probabilit di un attacco) ma il problema c'. E va affrontato in fretta 
per garantire il 100 per cento della sicurezza, senza se e senza ma.

Qual  il problema. I sistemi attuali di crittografia asimmetrica 
prevedono la generazione casuale, tramite un algoritmo, di due numeri 
primi pi un terzo. Una sequenza che non pu essere riprodotta con una 
formula matematica da possibili pirati informatici. Il problema a questo 
punto risiederebbe nell'affidabilit di alcuni algoritmi deputati alla 
generazione di queste chiavi che sovraintendono alle transazioni. Nel 
senso che verrebbe a cadere la casualit nella generazione di questi 
numeri che -  facili da immaginare - a questo punto potrebbero essere 
individuati. Il problema  che gli stessi ricercatori che hanno 
individuato questa falla non sanno dire quale ne  la causa. Ed  
proprio questo il dato che preoccupa di pi, assieme al fatto che per 
scoprire il "buco" i ricercatori non hanno dovuto ricorrere a chiss 
quali sofisticati strumenti: per esaminare i numeri della chiave 
pubblica, semplicemente, hanno utilizzato l'algoritmo di Euclide. Un 
modo efficace per trovare il massimo comune divisore di due interi. I 
ricercatori hanno usato diversi database di chiavi pubbliche, tra cui 
uno presso il Massachusetts Institute of Technology e un altro creato 
dalla Frontier Foundation Electronic, un gruppo per i diritti privacy su 
Internet. "Siamo stati molto attenti: non abbiamo intercettato tutto il 
traffico, non abbiamo 'sniffato' tutte le transazioni in rete", ha detto 
Hughes. "Ci siamo affidati a banche dati che contengono informazioni 
pubbliche e abbiamo scaricato le chiavi pubbliche".

Che fare. Scelte non ce ne sono: intervenire subito, con decisione e 
sanare questa falla. Per evitare di mettere in discussione un sistema 
sul quale si sta spostando, anno dopo anno, gran parte delle transazioni 
economiche. Il dato vero, viene da pensare,  che adesso il software e 
l'hardware consentono ai malintenzionati di non doverci mettere 
settimane e mesi per svelare una chiave, ma poche ore, se non minuti. E 
questo preoccupa. Per questo  necessario dissipare ogni dubbio. Il 
problema  non disperdere il patrimonio di fiducia che nel tempo questo 
sistema di pagamenti digitali si  guadagnato, fino al punto di 
diventare parte integrante della nostra vita.

"Giusto pubblicare lo studio". "Questa ricerca  un avvertimento 
sgradito a molti", ha spiegato James P. Hughes, cryptoanalista 
indipendente della Silicon Valley che ha lavorato con un gruppo di 
ricercatori guidato da Arjen K. Lenstra, un matematico olandese che 
insegna all'Ecole Polytechnique Fdrale di Losanna, in Svizzera. 
"Certo, qualcuno potrebbe dire che nel 99,8 per cento dei casi la 
sicurezza va bene", ha aggiunto. "Ma ci significa anche che ben due su 
mille chiavi non sarebbero sicuro. E anche Le chiavi segrete sono 
accessibili a chiunque prende la briga di rifare il nostro lavoro". "Il 
pantano di vulnerabilit che abbiamo guadato nella nostro ricerca ha 
reso praticamente impossibile informare adeguatamente tutti i soggetti 
coinvolti, anche se abbiamo di tutto per informare le aziende pi grandi 
e contatto tutti gli indirizzi e-mail specificato nei certificati 
colpiti ancora validi", hanno spiegato i ricercatori. "Il fatto che la 
maggior parte dei certificati non contenga adeguate informazioni di 
contatto ci ha limitato non poco. La nostra decisione di rendere 
pubblici i risultati, stante la nostra incapacit di comunicare 
direttamente tutti i soggetti coinvolti,  stata soppesata".

(15 febbraio 2012)