211service.com
L'elusione della crittografia libera le mani online della NSA
Una serie di fughe di notizie quest'estate ha rivelato che la National Security Agency utilizza nuove interpretazioni della legge degli Stati Uniti per raccogliere dati in blocco dalle più grandi società Internet del mondo. Ora nuovi rapporti sulle capacità tecniche della NSA suggeriscono che l'agenzia può effettivamente leggere la maggior parte delle comunicazioni online senza rivolgersi direttamente ai fornitori di servizi.
Il New York Times , citando documenti trapelati dall'ex appaltatore della NSA Edward Snowden, rapporti che la NSA ha aggirato o decifrato gran parte della crittografia utilizzata online. Tali capacità potrebbero essere combinate in modo molto potente con l'accesso che l'agenzia è nota per avere al traffico trasportato dai fornitori di servizi Internet e dai principali cavi di telecomunicazioni internazionali.
Ciò suggerisce che non devono più andare, ad esempio, su Google; possono decifrare i dati di AT&T o utilizzare la propria infrastruttura, ad esempio sui cavi sottomarini, afferma Dan Auerbach, un tecnico del personale con la Fondazione Frontiera Elettronica .
L'uso delle sue capacità di sorveglianza da parte della NSA è limitato dalla legge degli Stati Uniti, che vieta la sorveglianza dei cittadini statunitensi. Tuttavia, le fughe di notizie all'inizio di quest'estate hanno rivelato che l'agenzia ha utilizzato interpretazioni legali precedentemente sconosciute per giustificare la raccolta di dati in blocco dalle società di comunicazione statunitensi per un'analisi successiva (vedi NSA Surveillance Reflects a Broader Interpretation of the Patriot Act). Gli oppositori della tattica affermano che la raccolta di massa aumenta il rischio di abuso dei poteri di sorveglianza, accidentale o meno.
Il Volte rapporto e uno dal Guardian basati sugli stessi documenti omettono molte specifiche sulle capacità della NSA ma descrivono metodi che rientrano in due grandi categorie: sforzi mirati che aggirano la crittografia utilizzata da una particolare azienda e metodi che possono attaccare i sistemi crittografici sottostanti utilizzati da molte aziende.
Nella prima categoria, si dice che la NSA mantenga un database di chiavi di crittografia utilizzate da molti provider online per proteggere i dati, consentendo di decifrare facilmente qualsiasi dato proveniente da tali servizi. Secondo quanto riferito, le chiavi vengono ottenute utilizzando ordini del tribunale, ottenendo la collaborazione volontaria delle aziende o hackerando le aziende per rubare le loro chiavi. A quanto pare sono possibili anche attacchi a società specifiche perché la NSA ha compromesso i chip di crittografia utilizzati da alcuni fornitori di servizi. Lo ha fatto, afferma il rapporto, scoprendo falle di sicurezza o persino persuadendo i produttori a installare backdoor.
La potenza e la portata della seconda categoria di attacchi, che cercano di minare gli algoritmi crittografici, è meno chiara. Il Volte afferma che la NSA ha compiuto progressi con tecniche che potrebbero rendere pratico l'inversione della crittografia generalmente ritenuta sicura, in parte influenzando la progettazione di standard crittografici per creare una backdoor segreta. Uno dei principali obiettivi di questi attacchi era l'SSL, la tecnologia utilizzata per imporre connessioni sicure a servizi online come i servizi bancari.
Gli esperti di crittografia stanno lottando per digerire la notizia che gli standard che ritenevano sicuri potrebbero presentare vulnerabilità introdotte dalla NSA. Tuttavia, senza dettagli sulla natura e l'efficienza di tali attacchi, è improbabile che SSL venga abbandonato.
Esistono tecnologie che potrebbero consentire alle aziende di limitare la capacità della NSA di eludere la crittografia entrando in possesso della chiave di crittografia utilizzata per proteggere i dati. Una tecnica chiamata Perfect Forward Secrecy impedirebbe all'agenzia di utilizzare una chiave di crittografia che è stata presa da un'azienda o è stata crackata matematicamente per decrittare tutte le comunicazioni future e passate. Invece di utilizzare una chiave utilizzata più e più volte, Perfect Forward Secrecy crea chiavi temporanee utilizzate solo per una particolare sessione di comunicazione sicura tra un utente e un provider.
Google ha adottato il metodo nel 2011 e Auerbach afferma che la mia comprensione approssimativa è che è l'unico grande fornitore di servizi che lo utilizza. L'EFF ha cercato per mesi di persuadere altre società Internet a seguire l'esempio, senza successo.
Auerbach spera che le notizie di questa settimana inducano le aziende Internet a rendere più prioritaria l'implementazione della perfetta segretezza in avanti. Molte aziende hanno già riesaminato le loro pratiche di sicurezza e privacy alla luce delle rivelazioni della NSA, dice, ed è improbabile che quell'agenzia sia l'unica a cercare di eludere la crittografia. Non stiamo parlando solo del governo degli Stati Uniti, ma anche di altre organizzazioni di intelligence.
Joseph Lorenzo Hall, tecnologo del personale senior presso il Centro per la democrazia e la tecnologia , un'organizzazione no-profit di Washington, afferma che soluzioni tecniche come la perfetta segretezza in avanti potrebbero semplicemente portare la NSA a costringere i provider di servizi Internet a installare un modo per aggirarlo. Anche se dovessi inventare una buona soluzione tecnica potresti essere messo in una posizione in cui ti è stato ordinato di comprometterla, dice. Creando tali backdoor, dice, la NSA minerebbe effettivamente la sicurezza nazionale degli Stati Uniti creando modi in cui altri attori potrebbero sfruttare.