Trasmissioni, scommesse, partite: cosa succederebbe se gli hacker prendessero il controllo dei Mondiali di calcio?


Anche in occasione del 21° mondiale di calcio di cui si sono già disputate le prime partite la maggior parte delle sfide avranno luogo nel mondo “reale”, in Russia, tuttavia non sono le uniche! Alcune “partite” si giocheranno anche nel mondo virtuale: che siano essi adibiti alla gestione delle trasmissioni, di piattaforme di scommesse o alla vendita di biglietti, anche i sistemi IT necessitano di una difesa ben schierata.

Come avviene con tutti gli eventi sportivi di portata globale, anche la Coppa del Mondo di calcio rappresenta un’ottima occasione per riunire i fan di questo sport ma non solo, è anche palcoscenico di tensioni tra i governi, come dimostrato dalle recenti questioni tra Russia e Ucraina. La principale differenza tra le partite sull’erba e gli attacchi virtuali è che gli hacker di solito fanno attenzione a non mostrare i loro colori: l’obiettivo è di lasciare il minor numero possibile di tracce. Le attribuzioni sono un gioco politico piuttosto che una questione di IT; ci vuole “naso” per distinguere le impronte digitali reali da quelle fasulle lasciate di proposito dagli attaccanti.

I fornitori di connettività, gli operatori televisivi e persino i router xDSL sono potenziali bersagli per raggiungere un obiettivo, che non è tanto quello di creare scompiglio tra gli spettatori interrompendo le trasmissioni quanto piuttosto quello di screditare il Paese organizzatore cagionando interruzioni del servizio di infrastrutture critiche come ospedali o reti stradali. La Russia farebbe così (ancora) notizia in ambito cyber …

Trasmissioni televisive: l’annosa questione dei diritti sulle informazioni

Qualsiasi trasmissione di una partita di calcio è esposta al rischio di pirataggio o manomissione: i cybercriminali possono limitarsi ad un semplice blocco “improvviso” del segnale (un po’ come quando Amélie Poulain staccava l’antenna del vicino per vendicarsi) fino ad attacchi molto più estesi, quasi di scala industriale. La questione è complessa: è necessario poter trasmettere informazioni, ma non troppo, fornire un servizio ai clienti (in caso di caso di canali “premium”) ma assicurarsi che gli stessi non possano abusare del segnale televisivo che ricevono per condividerlo con terzi.

Come ci si può difendere da tale pratica? Come si codificano i dati da trasmettere? Un qualsiasi utente con cattive intenzioni (o troppo buone, a seconda del punto di vista) può mettere le mani su un flusso televisivo in chiaro e inoltrarlo altrove. Un rischio che rimanda alla gestione dei diritti televisivi digitali: come garantite che qualcuno che sta guardando una trasmissione “premium” non cifrata non possa ritrasmetterla? Diversi operatori televisivi premium per quest’anno hanno optato per la fruibilità gratuita dei propri programmi sportivi, per vanificare sul nascere eventuali tentativi di pirataggio. Questa scelta però implica la necessità di identificare altre fonti di guadagno (attraverso contenuti aggiuntivi o pubblicità).

Piattaforme di scommesse e mercato nero: l’integrità dei dati è fondamentale

La sfida principale nella commercializzazione dei biglietti per via elettronica non è tanto la riservatezza dei dati, quanto la disponibilità del servizio e l’autenticità di quanto venduto. Come la precedente Coppa del Mondo in Brasile, anche il torneo di quest’anno è stato oggetto di massicce campagne di phishing atte alla vendita di biglietti fasulli. In combinazione con attacchi denial of service (DoS), la situazione potrebbe diventare esplosiva: se un sistema di accesso allo stadio non fosse in grado di distinguere i biglietti veri da quelli falsi si potrebbero generare gigantesche code all’ingresso dando luogo a problemi di sicurezza molto reali. Per assurdo, provate ad immaginare lo spettacolo che offrirebbe al mondo lo svolgimento delle semifinali o delle finali in uno stadio quasi vuoto, con la maggior parte degli spettatori bloccati ai cancelli … O giornalisti sportivi relegati alle loro sale stampa senza connessione a Internet. Ecco perché i dati devono essere protetti da firewall, essere ospitati su infrastrutture ridondate e ripristinabili tramite backup operativi, anche senza accesso a Internet.

La questione dell’integrità dei dati non dovrebbe ovviamente essere trascurata: è importante sapere se la persona giusta è in possesso del giusto biglietto. Ma dal momento che questo tipo di frode elettronica ha conseguenze meno disastrose, il problema dell’integrità ha una priorità inferiore rispetto a quello della disponibilità del servizio. L’aspetto della Coppa del Mondo in cui l’integrità dei dati è più critica, sono le piattaforme di scommesse: come assicurarsi che le vincite vadano alla persona giusta, a colui che ad esempio ha avuto l’intuizione di pronosticare l’improbabile gol con cui l’Islanda è riuscita a pareggiare con l’Argentina? Ovviamente è possibile cifrare le informazioni e in questo caso, in particolare, utilizzare la tecnologia delle firme crittografiche per assicurarsi che il pronostico sia stato inserito dalla persona giusta (il sito di scommesse, non l’hacker), al momento giusto (preferibilmente prima del gol!), e che il denaro venga poi versato nel modo giusto attraverso una transazione bancaria.
A differenza dei sistemi che privilegiano la disponibilità dei dati / servizi, ad esempio con i biglietti, in questo caso l’integrità dei dati prevale sulla disponibilità – non ha senso continuare ad utilizzare una cassaforte una volta depredata. Su un sito di scommesse online è quindi necessario assicurarsi che le scommesse siano archiviate in luoghi protetti dagli attacchi, non necessariamente con sistemi ridondati o tramite back-up ma con misure per la protezione completa della rete che combinino crittografia, parole chiave, firewall e un sistema di analisi automatizzato per identificare comportamenti fraudolenti all’interno del flusso di dati.

E le partite?

All’interno dello stadio, mentre i telecronisti sportivi hanno bisogno di un collegamento per farci vivere l’azione dal vivo, i furgoni preposti alla trasmissione della partita, con le loro enormi antenne montate sul tetto, sono per lo più autonomi e collegati direttamente ai satelliti. A meno che qualcuno non sia fisicamente lì a dirottare il segnale del furgone – e riesca a non farsi prendere – è improbabile che si possa hackerare il satellite nel pieno della trasmissione del match.

Almeno sul campo, tutti possono stare tranquilli. Per il momento, la probabilità che gli hacker manipolino in tempo reale il VAR (video assistant referee) del tiro di Gignac finito contro il palo in un gol contro il Portogallo è ancora fantascienza. E anche un VAR integralmente manomesso non potrà certo far credere che Sergio Ramos possa deviare con il pensiero il gol della squadra avversaria – ci sono (teoricamente) ancora persone reali con il compito di verificare ogni dettaglio.

E facendo attenzione a semplici regole di comportamento nel mondo digitale, anche i giocatori dovrebbero essere al riparo dai tentativi di destabilizzazione: il governo britannico si è persino spinto al punto di informare il team inglese sui rischi di attacchi informatici ai danni dei loro smartphone o delle console di gioco! Finché i giocatori non saranno androidi hackerabili da remoto, si può ancora sperare di vedere una partita condotta lealmente.

L’anello debole della catena, al momento, è e rimane la ritrasmissione della partita, non quella dal furgone, ma dalla casa del telespettatore. Una volta diffuso il match i contenuti audio o video restano indisponibili per poco tempo al di fuori del mercato tradizionale. Assicurarsi che una o anche dieci persone di fiducia si attengano ai vincoli di confidenzialità è una cosa, aspettarselo da parte di centinaia di milioni di spettatori è un’utopia.
Ma è davvero questo il problema più serio? Il 20 maggio scorso, Michel Platini ha dichiarato che la Coppa del Mondo del 1998 è stata manipolata dai suoi organizzatori per evitare una partita tra Francia e Brasile prima della finale. E se, per il prossimo Mondiale tra quattro anni lasciassimo organizzare l’evento all’Intelligenza Artificiale e agli umani giusto il gioco sul campo?

Continua a leggere

Ulteriori limitazioni della privacy digitale dei cittadini russi: un commento


Agli utenti di Telegram potrebbe essere impedito l’accesso a questo strumento di comunicazione anonima

Il governo russo sta tentando di vietare l’uso del servizio di messaggistica istantanea “Telegram”. Il commento di Tim Berghoff, Security Evangelist di G DATA.

L’uso di soluzioni VPN e servizi proxy non regolamentati è già stato sufficientemente criminalizzato in Russia: per ottenere una autorizzazione ufficiale, gli operatori VPN devono essere conformi alle normative sulla censura vigente in Russia ossia bloccare siti specifici anche all’interno di un traffico VPN cifrato. Le autorità gestiscono una lista nera di siti inclusi in questa categoria. L’elenco contiene qualunque sito che presenti contenuti ritenuti illegali o dannosi. Ogni operatore VPN deve quindi applicare tale filtro sulla navigazione di qualsiasi utente. Devono anche essere in grado di condividere i dati riguardo agli utenti del rispettivo servizio VPN su richiesta delle autorità, una cosa che molti operatori non possono fornire perché non raccolgono / archiviano questi dati. Da diverse settimane il governo russo sta cercando modi di vietare l’uso di applicazioni IM cifrate. L’obiettivo principale è il servizio di messaggistica Telegram – ironia della sorte, Telegram ha radici russe. Dopo aver incassato un rifiuto di consegnare le chiavi di cifratura del servizio alle autorità per la sicurezza russa (e quindi aprire una back-door per le autorità) da parte del fornitore, determinati indirizzi IP sono stati bloccati in modo mirato per limitare l’uso di Telegram. Con scarso successo, come hanno ammesso le stesse autorità. In secondo acchito le autorità russe hanno cercato di mettere sotto pressione Apple e Google al fine di far loro rimuovere dai rispettivi store locali la app corrispondente, secondo una procedura simile a quanto già in vigore per le VPN: la tecnologia viola la normativa russa sulla censura.


L’argomentazione è identica: si ritiene che la app sia utilizzata per pianificare e coordinare attività terroristiche. Per questo motivo deve essere monitorabile da parte delle autorità. Adeguarsi alle normative russe non implica un divieto di usare una VPN o la cifratura ma priva queste ultime del proprio scopo: le autorità vogliono essere in grado di identificare chiaramente gli utenti nonostante la cifratura e l’anonimizzazione, un controsenso rispetto allo scopo primario di queste soluzioni. Il legislatore russo desidera che tutti i servizi di messaggistica siano associati al numero di telefono dell’utente, quindi chiaramente riconducibili alla persona che se ne avvale.

Un esempio

In passato abbiamo già espresso la nostra grande preoccupazione verso approcci di questo tipo. Preoccupazioni ora confermate – questi eventi creano un nuovo precedente per un divieto della protezione della privacy personale. Anche la Germania sta cercando modi per consentire alle autorità giudiziarie di monitorare i canali per la comunicazione cifrata in situazioni che giustifichino questa misura e quindi di accedere alle comunicazioni dei singoli individui, ne è un esempio la bozza di legge formulata dagli organismi incaricati dell’applicazione della legge nella Renania del Nord / Vestfalia. In Italia le normative riguardano primariamente la conservazione e consegna dei dati di navigazione degli utenti in caso sia ritenuto necessario ma non ancora di accesso delle autorità alle comunicazioni cifrate.

Lo voglio dire ancora una volta molto chiaramente: non solo io personalmente ma anche numerosi altri esperti di sicurezza IT considerano questa procedura estremamente pericolosa e non foriera di alcun tipo di successo a lungo termine – la legislatura precedentemente citata sull’uso delle VPN è già stata fortemente criticata su molti fronti per la stessa ragione.

Fare compromessi sulla sicurezza in nome della sicurezza

Non c’è prova alcuna che le attività criminali diminuiscano a fronte di una maggior sorveglianza. Inoltre, misure come il divieto di utilizzare servizi di comunicazione cifrata hanno un impatto negativo di lunga durata sulla fiducia dei cittadini nei rispettivi governi in generale e nelle autorità preposte a garantire la loro sicurezza in particolare. Ecco perché è fondamentale discutere apertamente soprattutto pubblicamente di questo approccio – ma ciò non sta accadendo, nonostante sia di vitale importanza in questo momento. Il fatto che la reazione pubblica a questi tentativi risulti così limitata (se paragonata a precedenti discussioni su argomenti simili) è allarmante e sembra suggerire che molti si siano stancati di parlarne – si potrebbe quasi ipotizzare che sia preferibile rinunciare parzialmente a proteggersi se da queste misure scaturisce un beneficio per il senso di sicurezza soggettivo. Il fatto che misure che implicano un’infiltrazione sistematica nella privacy dei singoli cittadini siano invariabilmente giustificate con preoccupazioni legate alla sicurezza nazionale dovrebbe far sorgere qualche dubbio e domande su chi realmente beneficia di queste regolamentazioni. Fino ad ora le normative su questa tematica non sono mai state abrogate nonostante si siano dimostrate del tutto inefficaci e non in grado di produrre i risultati auspicati.

Continua a leggere

Alias punta sulla sicurezza collaborativa firmata Stormshield


Siglato l’accordo di distribuzione tra il produttore europeo di soluzioni all’avanguardia per la tutela di reti, terminali e dati e il noto distributore a valore di Udine.

Milano / Udine – Non c’è elemento che accomuni le aziende di ogni ordine e grado, indipendentemente dal settore di mercato di appartenenza, come il livello di esposizione dei rispettivi sistemi IT alle minacce informatiche. Che si tratti di attacchi sferrati in modo mirato, di malware diffusi su ampia scala, di vulnerabilità dei sistemi o di un errore umano dettato dalla curiosità o dall’inconsapevolezza, tutte le organizzazioni sono potenzialmente a rischio. Un dato di fatto empirico che oggi richiede misure non solo conformi alle nuove direttive GDPR / NIS, ma in grado di contrastare efficacemente la crescente creatività dei cybercriminali. Una convizione che Stormshield, player europeo di riferimento del mercato della cybersecurity, condivide pienamente con Alias Srl, il noto distributore a valore aggiunto fortemente attivo sul mercato della sicurezza IT, che – in virtù dell’accordo commerciale siglato – proporrà da subito alla propria clientela l’intera gamma di soluzioni Stormshield fisiche e virtuali per la sicurezza perimetrale e industriale (Stormshield Network Security), la cifratura punto-punto dei dati (Stormshield Data Security) e l’hardening di endpoint che difficilmente possono essere dotati di un antivirus (Stormshield Endpoint Security) poiché montano sistemi operativi obsoleti non aggiornabili (p.es. bancomat, macchine impiegate per applicazioni diagnostiche certificate o sistemi di controllo industriale).

In Italia le pluricertificate soluzioni Stormshield (EU RESTRICTED, NATO, ANSSI Qualified, EAL3+/EAL4+) sono particolarmente apprezzate da organizzazioni che erogano servizi essenziali per il Paese (sanità, industria, energia, telecomunicazioni, PA) o tenute a regolare il traffico dati generato da migliaia di client come le università o aziende di grandi dimensioni geograficamente distribuite. Organizzazioni che hanno la necessità di tutelare al meglio la proprietà intellettuale, la continuità del servizio e i dati riservati di migliaia di clienti privati o aziendali, senza aggiungere complessità ad infrastrutture già di per sé molto articolate.

Roberto Riccò – Direzione Sales & Marketing, Alias

“La scelta di Alias Srl di integrare nel proprio portafoglio Sicurezza le soluzioni del produttore europeo, parte del Gruppo Airbus, ha avuto luogo a posteriori di un rigoroso processo di valutazione, che ne ha evidenziato il primato tecnologico in termini di protezione, qualità, adattabilità a qualsiasi ambito operativo e intuitività. Caratteristiche in grado di soddisfare la clientela Alias più esigente” afferma Roberto Riccò, Direzione Sales & Marketing di Alias Srl, che non omette di annoverare tra i plus della partnership con Stormshield la chiarezza e coerenza della politica di canale adottata dal vendor, che consente a VAR, System Integrator e fornitori di servizi di sicurezza gestita di fruire di un ampio ventaglio di nuove opportunità di business, differenziandosi dalla concorrenza proponendo soluzioni dall’intrinseco valore aggiunto.

Alberto Brera, Country Manager Italia, Stormshield

“Alias Srl offre una vasta gamma di prodotti e servizi ad un’ampia base di rivenditori, System integrator e Service Provider in tutta Italia e eroga alla propria clientela servizi di formazione come di consulenza pre- e post-vendita di alto profilo, un valore aggiunto concreto e molto apprezzato dagli operatori di canale. Siamo estremamente lieti dell’intesa immediata instauratasi con Alias Srl, un partner competente e saldamente ancorato al mercato della sicurezza IT, con cui condividiamo non solo l’obiettivo di fornire alle aziende soluzioni di cybersecurity altamente integrate, esclusive e avanzate, ma di dar vita ad una partnership altamente qualificata che può fare la differenza sul mercato”, afferma l’Ing. Alberto Brera, Country Manager di Stormshield per l’Italia.

Continua a leggere

Ma io vorrei solo poter telefonare – Come esorcizzare il demonio della migrazione alla telefonia IP


E’ ormai un dato di fatto che anche in Italia abbia luogo da tempo una migrazione degli operatori dalle linee analogiche e ISDN (una tecnologia che nel nostro Paese non si è mai realmente affermata) verso l’erogazione di connettività internet o servizi di telefonia tramite protocollo IP. Nei Paesi germanofoni, dove l’ISDN era la tecnologia di base delle telecomunicazioni i carrier si sono dati persino scadenze (Deutsche Telekom entro il 2018, Swisscom entro il 2020) per la dismissione definitiva delle vecchie linee. Il passaggio alla connettività e alla telefonia via IP confronta i responsabili di infrastrutture e reti aziendali oltre che isystem integrator con l’impiego quasi obbligato di soluzioni e piattaforme basate su IP con tutte le nuove modalità di lavoro che ne derivano. Tra i cosiddetti “buzzword” del marketing, ora tramutatisi in una realtà da affrontare, figurano parole chiave quali all-IP, copertura mobile stabile, comunicazioni unificate, collaborazione di gruppo, telefonia via cloud e messaggistica.

Per non essere sopraffatti dalla pletora di offerte attualmente sul mercato, vale la pena di focalizzarsi su alcuni punti prima della migrazione, con l’intento di identificare eventuali ostacoli per evitarli. Il noto produttore di telefoni IP Snom identifica quattro punti cardine per una migrazione di successo.

1 – Identificare le reali esigenze

Le moderne telecomunicazioni combinano diverse modalità di interazione e dispositivi su una singola rete IP. Oltre al tradizionale telefono fisso vi sono anche la messaggistica istantanea, le conferenze telefoniche o video, l’integrazione di dispositivi mobili e relative applicazioni, Skype o altre applicazioni per PC per la trasmissione della voce, sistemi CRM e strumenti di collaborazione per attività di gruppo. Quali sono le funzionalità realmente necessarie? Quanto sono rilevanti per il singolo utente: Il meccanico di un’officina non avrà necessariamente bisogno della chat. Un responsabile vendite potrebbe preferire di essere reperibile sul proprio telefono mobile e/o su quello fisso usando un singolo interno (convergenza fisso/mobile). Infine, è necessario valutare soluzioni particolari, come l’adozione di telefoni cordless IP per i lavoratori che hanno la necessità di spostarsi spesso all’interno dell’edificio aziendale, o di server per l’elaborazione e riproduzione di allarmi o di sistemi per la diffusione monodirezionale di avvisi al pubblico o per la comunicazione bilaterale. Senza dimenticare anche le applicazioni tradizionali, quindi l’integrazione di sistemi CRM preesistenti nel nuovo mondo IP.

Le più avanzate soluzioni UC basate sullo standard SIP supportano nativamente la maggior parte di queste funzionalità, quindi la valutazione della piattaforma più consona passerà da un esame di eventuali ostacoli all’implementazione, come modelli di licensing poco trasparenti, incompatibilità con i sistemi preesistenti o una pressione inappropriata a migrare tutto nel cloud. Tutte ragioni più che sufficienti per non permettere che la migrazione su IP obblighi l’azienda a prendere decisioni affrettate riguardo a quale piattaforma per la comunicazione aziendale e quindi quale infrastruttura adottare.

Scegliere il centralino e i terminali più adeguati liberamente, è di indubbio beneficio in termini di concreta semplificazione e ottimizzazione della routine quotidiana ed evita il rischio di demandare ad un solo fornitore una tra le infrastrutture più critiche per un’azienda.

2 – Occhio alla qualità del servizio

Le installazioni tradizionali erano semplici: constavano di una rete fisica per l’infrastruttura IT e di un’altra separata per quella telefonica. Le due operavano in maniera indipendente l’una dall’altra senza interferenze. Oggi non è più così. Nelle infrastrutture “tutto su IP” la velocità e le prestazioni di rete sono diventate essenziali per la fruibilità dei servizi.
Per evitare lamentele da parte degli utenti è essenziale che la nuova infrastruttura si basi su un approccio votato alla qualità. Anche la più performante delle linee internet perde valore di fronte ad una malgestione del flusso traffico (voce/dati) nella rete IP aziendale. Ove possibile è raccomandabile implementare una rete virtuale prioritaria per il traffico voce (Voice VLAN), unitamente a switch che supportino il protocollo LLDP-MED. Ciò consente ai terminali IP di autoconfigurarsi per l’accesso alla rete “voce” mentre ai PC di collegarsi alla rete “dati”.
Un’altra discriminante per assicurarsi una buona qualità del servizio è che il router impiegato supporti la prioritizzazione del traffico tramite DiffServ (differentiated services). La disponibilità di questo meccanismo dovrebbe essere verificata con il carrier o il system integrator. Non da ultimo va verificato il livello di prestazioni del wifi aziendale: gli smartphone e i laptop dotati di applicazioni vocali o per l’elaborazione dati necessitano di molta banda sulla rete wireless.

3 – La sfida dell’implementazione

Quando si seleziona un terminale IP è utile tenere a mente il principio della funzionalità “plug & play”: i dispositivi devono potersi configurare automaticamente non appena collegati alla rete aziendale. Ciò non significa che l’installazione sia un gioco da ragazzi, l’amministratore di rete deve comunque assicurarsi che questa sia opportunamente configurata, in modo da non bloccare web proxy o pacchetti multicast.

Un altro punto da considerare è la personalizzazione dell’endpoint. La receptionist vuole essere in grado di contattare i colleghi utilizzando la selezione automatica, mentre l’assistente del direttore esecutivo preferisce utilizzare il tasto BFL (Busy Lamp Field) per rispondere alle chiamate in entrata. Se più persone condividono la stessa postazione di lavoro, ognuno vorrà avere il proprio accesso personalizzato allo stesso terminale (hot desking). Tutte personalizzazioni che vanno garantite. Poter impostare configurazioni specifiche per gli utenti interni e remoti tramite una console centralizzata è essenziale per evitare che l’amministratore di sistema venga assediato con problematiche inerenti l’uso dei terminali.

Un’ulteriore sfida è rappresentata dalla sicurezza. Le intercettazioni telefoniche sono da sempre una minaccia: bastava un collegare un chip con doppino al microfono per ascoltare le conversazioni su linea analogica, collegarsi alla centralina di distribuzione in strada in presenza di linee ISDN, scansire le frequenze DECT per hackerare le conversazioni condotte con telefoni cordless e, per quelle condotte su rete GSM, installare semplicemente celle fasulle. Oggi non è più così facile a fronte dell’introduzione di numerose tecniche di cifratura per il DECT, la voce, la connessione dati e le piattaforme UC, fino a sistemi di cifratura impenetrabili da terminale a terminale. Quando si valuta una nuova rete IP altamente integrata è necessario soppesare il livello di sicurezza garantito dalla soluzione e dai terminali a fronte della reale esigenza e del costo.

4 – Fruibilità: troppe distrazioni?

Le soluzioni UC, i telefoni IP avanzati, le applicazioni più moderne e i servizi basati sul cloud, tutti promettono alle aziende un incremento della produttività ed una semplificazione della collaborazione tra gli addetti. La convergenza delle applicazioni contribuisce a migliorare la coordinazione sui progetti e a limitare la perdita di informazioni, tuttavia è anche possibile che la quantità di informazioni condivise sovraccarichino l’utente.
Gli impiegati possono davvero concentrarsi sul proprio lavoro se costantemente interrotti da messaggi istantanei? Sia loro sia voi siete d’accordo sul fatto che il loro status di presenza sia visibile a chiunque? Se da un lato è più facile raggiungere i singoli impiegati, non li si mette troppo sotto pressione perché ora ricevono comunicazioni a qualunque ora?
In fase di implementazione di una soluzione IP, oltre a formare lo staff sugli strumenti e le applicazioni sarà anche necessaria una rieducazione in merito a come gestire il nuovo paradigma fondamentale ossia la disponibilità continua e il monitoraggio degli impiegati.
Al riguardo bisogna quindi considerare i seguenti punti:

  • Chi può o dovrebbe avere accesso alle informazioni sulla presenza degli impiegati presenti nella directory aziendale tramite le funzioni di visualizzazione della disponibilità erogate via BLF?
  • Come si può evitare che gli impiegati vengano distratti in continuazione? Se l’utente seleziona la modalità “non disturbare” (DND), questo stato è visibile su tutti i canali? (chat, telefonia, stato presenze)
  • E’ possibile attivare o disattivare automaticamente le notifiche mail o chat (ad esempio al di fuori dell’orario di lavoro o nel week-end?)
  • E’ possibile differenziare i messaggi importanti da quelli meno rilevanti?
  • Dove e soprattutto quali dati sull’attività degli utenti vengono archiviati? (archivio chat, conferenze telefoniche, uso di internet)

In generale, la migrazione al mondo “all-IP” rappresenta una sfida per chi è coinvolto nell’implementazione dei sistemi. Non stanno solo cambiando le applicazioni individuali, ma anche l’intera infrastruttura e le modalità operative. Che si tratti di soluzioni UC o dei terminali IP, un’interfaccia utente non complessa e un minimo di formazione semplificherebbero la via verso l’integrazione delle soluzioni per la telefonia IP di nuova generazione.

Trovare la piattaforma e i terminali ideali è la vera sfida per le organizzazioni. Si tratta di un processo con così tante variabili da richiedere ai responsabili IT/TLC di prendersi il proprio tempo e possibilmente di rivolgersi a specialisti.

Continua a leggere

Saremo presto liberi dalla maledizione delle password?


Probabilmente non tutti sanno che almeno una persona su dieci della propria cerchia di amici, parenti e conoscenti utilizza una delle 25 password più facilmente hackerabili del mondo. Sicurezza e limitazioni spesso vanno a braccetto, tuttavia a fronte del naturale desiderio di semplificare, molte persone lasciano che le proprie informazioni personali siano accessibili virtualmente da tutte le direzioni. D’altro canto, i più cauti si ritrovano con una quantità incredibile di password e codici infiniti da memorizzare, e alla fine ci si avvale dell’uno o l’altro promemoria altrettanto alla mercé del mondo. Ma è possibile che non ci sia una soluzione più semplice?

Questione di fiducia

Probabilmente sì, ma “più semplice” non è sufficiente: deve essere anche “più sicura” e “meno invasiva”. Ad esempio la soluzione che permette ad algoritmi di apprendere dalle proprie abitudini potrebbe risultare invitante: la password sarebbe necessaria solo quando il sistema non riconosce un comportamento o luogo abituale, che si tratti dell’orario di attività, dei luoghi visitati, della velocità di inserimento testi, ecc. Tuttavia consentire a Microsoft Cloud di raccogliere informazioni sui propri contenuti per compilare statistiche per alcuni può comportare un livello di trasparenza incompatibile con il concetto di protezione dei dati.

Fidarsi del sistema, come oggi fa la maggior parte della popolazione al di sotto dei 20 anni, non è da tutti. Se la generazione precedente non è così lassista quando si tratta di protezione dei dati, è perché ha ancora vivido nella memoria il tempo in cui misure di sicurezza più restrittive ricordavano agli internauti che l’hackeraggio non è una pratica riservata unicamente alle celebrità e che gli attacchi informatici diretti non avvengono solo nei film di spionaggio. È anche più semplice rilassarsi quando l’unica propria preoccupazione sono i borseggiatori: a livello aziendale però questo rischio cambia dimensione drasticamente.

Meno password, più qualità

A qualsiasi livello ci si trovi, la protezione del dispositivo (tablet, computer o telefono) e la protezione dei dati implicano due password diverse. Per la prima si stanno già cercando soluzioni alternative: oltre a modelli semplici ma facilmente riconoscibili e a sensori per la lettura delle impronte digitali (qualora si fosse d’accordo sull’archiviazione delle proprie impronte, e tenendo in conto il fatto che non esiste opzione migliore), è ora possibile sostituire 10 numeri e le 26 lettere della tastiera con 12 emoji tra 2500 disponibili e selezionarne una sequenza di 4 o 6. Alta protezione E divertimento quindi, ma, di nuovo, una sola di queste password non è sufficiente! Tra le altre alternative divertenti, Nova Spatial sta attualmente sviluppando un sistema di autenticazione basato sul riconoscimento di una determinata area su una cartina mondiale digitale, le cui coordinate geografiche vengono utilizzate come codice la cui memorizzazione non è necessaria – basta sapere dove si trova un particolare albero, piscina, incrocio o altro.

Finché non sarà possibile affidarsi alla propria memoria visiva, tramite l’utilizzo di emoji e mappe, i password manager online continuano ad aumentare. Attraverso questo genere di cassaforti virtuali come 1PassWord, LastPass o KeePass, basta un’unica “master password” per proteggere tutte le altre password archiviate e criptate. La master key è l’unica cosa di cui si ha bisogno, ma deve essere il più complicato possibile – una singola frase può già funzionare. Un esempio potrebbe essere “Apriti Sesamo!” (punteggiatura inclusa!).

L’altra faccia della biometria

A mali estremi, estremi rimedi: forse il futuro ci riserverà un processo di autenticazione più rigido tramite l’utilizzo di oggetti fisici? Un pollice, l’occhio, la voce o il viso sono i più noti esempi di una metodologia utilizzata sempre più di sovente per sbloccare i dispositivi, e che potrebbe finire con l’essere implementata anche per accedere ai profili delle piattaforme social. Gli hacker sostengono di aver raggirato il sistema di riconoscimento facciale dell’iPhone X tramite l’utilizzo di una maschera in lattice ultra-realistica, ma non ci si aspettano problemi generalizzati per i consumatori. Di conseguenza ci si aspetta un incremento dell’impiego della biometria e una maggior sofisticatezza nei prossimi decenni: si tratta semplicemente di sviluppare sensori per l’identificazione del DNA.

Questo genere di sensori sancirebbe la fine dei problemi causati da barbe o tagli di capelli che occasionalmente confondono i sistemi di riconoscimento facciale – l’unico altro problema potrebbe essere quello di avere un gemello cattivo! Jonathan Leblanc, Global Head of Developer Advocacy di Paypal, disse ancora nel 2015 che le password del futuro non saranno più scritte né memorizzate, ma piuttosto saranno impiantate, ingoiate o iniettate. Ha parlato anche di computer indossabili sotto forma di tatuaggio, sensori ECG che rilevano i dati del cuore o del riconoscimento delle vene e della pressione arteriosa. Probabilmente infallibile, ma piuttosto sgradevole… A tre anni di distanza, i tatuaggi digitali sembrano aver preso piede: il chimico Zhenan Bao, che ha recentemente sviluppato la e-skin, sottolinea le possibilità mediche e sociali di questo materiale elettronico connesso che coincide perfettamente con la pelle umana. Ma anche in questo caso ad un certo punto si ripresenterà l’ostico tema della confidenzialità: non saranno più le proprie impronte digitali ad essere utilizzate come password universali, bensì una sottile membrana elettronica posizionata sui polpastrelli e connessa allo smartphone. Da brividi, vero?

Il segreto dell’autenticazione a doppio fattore

Piuttosto che focalizzarsi sulla messa a punto di un’infallibile biometria al costo di chi sa quale invasione di privacy, probabilmente basterebbe pensare ad una semplificazione dell’autenticazione a doppio fattore. Questo sistema è già ampiamente utilizzato, soprattutto per i pagamenti online, che in genere richiedono un secondo codice inviato tramite SMS con una validità di qualche minuto. Il codice di conferma non solo può essere inviato sullo smartphone, ma anche a Google Watch, smartcard, applicazioni (per esempio con la soluzione Stormshield Data Security), token crittografato o chiavetta USB (come quella di sicurezza FIDO).

Ciò comporta però l’obbligo di portare costantemente con sé l’oggetto necessario alla ricezione del secondo codice. È più probabile lasciare a casa lo smartphone che parti del proprio corpo, a meno che il device non diventi una sorta di nuovo organo in dotazione allo “homo numericus”. Come ultima alternativa si può sempre diventare un genio in grado di memorizzare dozzine di sequenze numeriche… Your choice!

*.*

Continua a leggere