Gli ingegneri pianificano un Internet completamente crittografato

In risposta alla protesta pubblica sulla sorveglianza di massa di Internet da parte della National Security Agency (NSA), gli ingegneri che sviluppano i protocolli alla base di Internet sono profondamente impegnati a crittografare tutto il traffico Web e si aspettano di avere un sistema rinnovato pronto per il lancio fuori entro la fine del prossimo anno.

Lo sforzo, dal Task Force di ingegneria di Internet , o IETF, un'organizzazione informale di ingegneri che modifica il codice Internet e opera per consenso approssimativo, coinvolge HTTP o protocollo di trasferimento ipertestuale, che regola gli scambi di informazioni tra il browser Web sul telefono e sul computer e i server che conservano i dati del sito Web stai visitando.

I documenti trapelati portati alla luce dall'ex appaltatore della NSA Edward Snowden suggeriscono che la NSA raccoglie e archivia regolarmente enormi quantità di informazioni dalle principali piattaforme di cloud computing e operatori wireless. Oggi, gran parte del traffico Web tra il dispositivo e il server Web non è crittografato a meno che i siti Web non scelgano di utilizzare una variante del protocollo HTTP denominata HTTPS, che include un passaggio di crittografia, chiamato sicurezza del livello di trasporto. Questo è comunemente usato da banche, siti di e-commerce e da alcuni grandi siti, tra cui Google e Facebook. (Se l'indirizzo di un sito web inizia con https://, utilizza già la crittografia.)

La modifica IETF introdurrà la crittografia per impostazione predefinita per tutto il traffico Internet. E il lavoro per far sì che ciò accada nella prossima generazione di HTTP, chiamato HTTP 2.0, sta procedendo molto freneticamente, afferma Stephen Farrell , un informatico del Trinity College di Dublino che fa parte del progetto.

La speranza è che una specifica sia pronta entro la fine del 2014. Spetterebbe poi ai siti web adottare effettivamente la tecnologia, che non è obbligatoria.

Molti esperti hanno sottolineato che lo spionaggio di massa su Internet viene fatto in parte perché è così facile da fare. Alcuni sostengono che rendere la vita un po' più difficile per agenzie come la NSA potrebbe farle concentrare su obiettivi legittimi di sicurezza nazionale piuttosto che raccogliere tutto e fare domande in seguito (vedi Bruce Schneier: Lo spionaggio della NSA ci rende meno sicuri e la fuga della NSA lascia intatta la matematica cripto ma evidenzia soluzioni alternative note).

Penso che possiamo fare la differenza nel team vicino per avere la crittografia del Web e della posta elettronica onnipresente, afferma Farrell.

In effetti, un passo ancora più a breve termine che l'IETF sta intraprendendo, dice, comporta il rafforzamento della sicurezza nel traffico di posta elettronica e messaggi istantanei, due obiettivi chiave per la sorveglianza delle reti di trasmissione. Al momento, esistono protocolli per crittografare queste comunicazioni mentre fanno diversi salti: prima dal tuo dispositivo al tuo provider di posta elettronica, quindi al provider di posta elettronica del destinatario e infine al telefono o al computer del destinatario.

Il problema è che spesso i protocolli necessari per la crittografia non sono impostati correttamente e quindi non funzionano tra server di posta diversi, come quelli delle piccole organizzazioni, o quando saltano tra grandi servizi crittografati come Gmail e quello di una piccola azienda o istituzione.

Quando ciò accade, la tua e-mail finisce per essere inviata in chiaro perché i protocolli di posta elettronica elevano la consegna effettiva su tutte le altre preoccupazioni, incluso se la crittografia funzionava effettivamente o meno. Penso che possiamo fare di meglio su questo, dice Farrell, per rendere la configurazione più semplice e verificabile.

In un certo senso questo è un voltafaccia, perché un anno e mezzo fa un gruppo all'interno dell'IETF aveva deciso di non aggiungere la crittografia per impostazione predefinita in HTTP. Parte di ciò che rende difficile il compito, afferma Farrell, riguarda la parte statica delle pagine Web che vengono memorizzate nella cache o archiviate su server locali più vicini all'utente.

La memorizzazione nella cache è problematica perché il contenuto memorizzato nella cache si trova tra il browser e il server e in genere viene tenuto in chiaro, o non crittografato, in modo che possa essere identificato. Per sua natura, la crittografia fa apparire unico ogni contenuto. Il problema è che se accendi la criptovaluta, rendi più difficile la memorizzazione nella cache, afferma Farrell. E la sfida tecnica è: come otteniamo il vantaggio di sicurezza e manteniamo il vantaggio di memorizzazione nella cache? Ci si sta lavorando.

Una serie di altre potenziali vie tecniche per rafforzare la privacy su Internet è stata delineata in un recente Blog di Tim Bray, che ha contribuito a sviluppare diversi protocolli Web chiave e ora lavora presso Google. Ha partecipato a un incontro IETF la scorsa settimana a Vancouver (vedi Time for Internet Engineers to Fight Back Against the Surveillance Internet).

Bray non ha risposto a una richiesta di intervista, ma ha sottolineato la rilevanza di questi sforzi nel suo post. Alla fine della giornata questo è un problema politico [e] non un problema tecnologico; ma nella misura in cui tutto può essere fatto a livello tecnologico, molte delle persone che possono farlo sono qui, ha scritto, riferendosi agli ingegneri e ai produttori di browser che partecipano all'IETF.

Davvero, Jari Arkko , presidente dell'IETF ed esperto di architettura Internet con Ericsson Research, afferma che nessuno dovrebbe farsi illusioni su soluzioni tecniche rapide. Devo essere onesto e aperto: la tecnologia è solo una parte del problema qui, dice.

nascondere