Newsgroup: it.comp.sicurezza.varie
Titolo: Identificazione a distanza e sostituzioni di persona

Poter fare tante cose online, anche nei rapporti con enti, 
amministrazioni, ecc., � una gran bella cosa, sia per il cittadino, sia 
per la riduzione dei costi rispetto allo sportello fisico, alle carte, 
agli spostamenti.... Alcuni propongono il click online anche per 
esprimere il voto in consultazioni ufficiali. Ovviamente, si precisa 
sempre, "previa identificazione".
Ma ogni volta mi chiedo: come si pu� essere sicuri che Tizio, che usa il 
tal servizio online per disporre e operare a nome di Tizio, sia 
veramente Tizio?
 
Cominciamo col dire che le procedure di identificazione non sono affatto 
omogenee, per quel che mi � capitato di sperimentare. C'� per esempio la 
banca onnline che per identificarti pretende un bonifico effettuato da 
uno sportello  di un'altra banca fisica dove gi� hai un conto. C'� chi, 
come alcune amministrazioni, ti manda una lettera a casa per essere 
certo che sia proprio tu, all'indirizzo dichiarato, a ricevere i codici 
d'accesso. C'� in molti casi chi richiede l'invio via fax o email dei 
documenti di riconoscimento. C'�  anche chi per registrarti non chiede 
proprio nulla, per esempio si accontenta di un codice fiscale e un 
numero di tessera associativa di un  ordine professionale, lasciandoti 
cos� accedere a servizi online a nome dell'iscritto corrispondente a 
quei dati, senza ulteriori verifiche.
 
Ma prendiamo il  caso che mi pare pi� frequente, quello del classico 
fax/email con carta d'identit� o patente, e codice fiscale (ora tessera 
sanitaria col codice fiscale), usato per registrarsi ai siti, per 
attivare o  disdire servizi, eccetera eccetera.
 
Parrebbe il massimo della sicurezza, rispetto magari a contratti 
telefonici volanti (ritenuti cio� validi in base a una semmplice 
conversazione telefonica registrata, salvo vedere qual era verammente la 
volont� espressa e chi rispondeva  davvero alla cornetta!), ma anche 
nella procedura d'identificazione col fax vedo  un problema: mentre il 
documento di riconoscimento mostrato a vista dal titolare permette di 
verificare se la persona  nella fotina corrisponde alla persna che lo 
esibisce, il documento inviato via fax (con fotina pressoch� illegibile, 
peraltro) o per email... a cosa corrisponde? Ovvero, cosa mi impedisce 
di inviare il documento di Tizio e operare, fare pratiche 
amministrative, o addirittura votare... al posto di Tizio?
Nella mia vita credo di aver trasmesso o lasciato fotocopiare i miei 
documenti decine di volte, quindi non ho alcun controllo su tutti quelli 
che potrebbero avere un'immagine dei miei documenti, averla girata ad 
amici, averla venduta a compari... Per non parlare delle falsificazioni 
possibili, assai semplici su un'immagine scannerizzata e ridotta a 
bassissima qualit�, contrastatissima, come quelle che escono dai fax.
 
 
Parlo ovvero delle possibili sostituzioni d'identit�. Mi direte che 
spacciarsi per  un'altra persona � un reato e sono previste pene e 
sanzioni. Bene. Ma intanto bisogna scoprirlo, e poi bisogna scoprire il 
responsabile, e poi riuscire a perseguirlo... e non � neanche detto che 
sia in Italia. Sbaglio a pensare che la vita degli imbroglioni sia 
troppo comoda e la sicurezza dell'identificazione online sia piuttosto 
sottovalutata?

sottovalutata?
 
Non sbagli. Un *inizio* di soluzione pratica, e' dato da strumenti quali
la Tessera Nazionale dei Servizi. Ma ancora ci sono parecchi problemi da
affrontare, non ultima la dotazione dei vari uffici... che hai voglia di
avécci la CSE/TNS se poi loroli' non hanno un lettore funzionante.
 
Sulla media distanza una app che unisca NFC e fingerprint reader (ma, in
primo luogo, Secure API) potrebbe diventare un buon candidato al Marchio
della Bestia, "senza il quale nessuno poteva commerciare, o stipulare un
contratto" :-D
 
Il che pero' ci porta al problema di quando il digital divide diventa un
human divide <
http://www.keinpfusch.net/2014/07/human-divide.html
 />
 
Leonardo
 
-- 
 
Questi non hanno speranza di morte; e la lor cieca vita e' tanto bassa,
Che 'nvidiosi son d'ogne altra sorte. Fama di loro il mondo esser non lassa;
Misericordia e Giustizia li sdegna; non ragioniam di lor, ma guarda e passa.

 human divide <
http://www.keinpfusch.net/2014/07/human-divide.html
 />
 
Infatti, devi anche tener conto dei costi economici e della semplicità 
d'utilizzo per tutti i possibili utenti, e poi scegliere il male minore 
considerando costi e benefici.
 
 

 assolutamente da bocciare.
 
Eppure � comunissima. Per esempio ho appena dovuto comunicare la mia 
email certificata... che avr� quindi valore legale come una raccomandata 
che spedisco o ricevo... e per comunicarla mi hanno chiesto un fax e 
copia di un documento.
A quel punto, la "certificazione" dell'email si baser� su un fax 
ricevuto da chiss� chi con un documento che potrebbe benissimo essere 
una copia ottenuta chiss� come, o manipolata con pochi tocchi di photoshop.
 

 su tutto il territorio nazionale.
 
 
"Nel 2009 si sono tenute le prime elezioni completamente digitali per il 
rinnovo dell'amministrazione di Honolulu, nello stato delle Hawaii: ogni 
elettore ha ricevuto un codice con il quale accedere a un sito dove 
esprimere la propria preferenza;  per la prima volta, anche Google e 
Facebook hanno consentito ai votanti di usare le relative credenziali 
per autenticarsi al sistema elettorale."
"A parte questo caso, il voto su Internet non è ancora ammesso per le 
elezioni statali e federali, soprattutto per ragioni di sicurezza: 
mentre nel sistema convenzionale bisogna alterare fisicamente le schede, 
“il rischio che si corre utilizzando un sistema online è che un 
malintenzionato riesca a modificare facilmente un gran numero di voti 
memorizzati”, ha detto David Wagner della University of California 
Berkeley. "
http://daily.wired.it/news/internet/2012/11/05/voto-elettronico-come-funziona-123456.html
 
 
 

considerando costi e benefici.
 
Amen (sigh)


su tutto il territorio nazionale.
 
...o i funzionari che fanno le somme :-)


 Amen (sigh)
 
 
Vuoi mettere, poi, che a ogni  elezione puoi visitare la tua vecchia 
scuola elementare...? :D
 
 


 
IMHO quando si discute di questi argomenti si tende a richiedere ad un 
sistema digitale molto ma molto di più di quello che è possibile con gli 
attuali sistemi convenzionali. I brogli elettorali, le firme false, ecc. 
esistono anche adesso. Se la sicurezza sta in una autodichiarazione con 
fotocopia di documento allegata...


 
Probabilmente abito in un comune "non a rischio", ma a me non hanno mai 
chiesto di consegnare alcunchï¿œ prima di entrare in cabina elettorale.
In ogni caso, se per caso venissi avvicinato da qualcuno che mi 
offrisse dei soldi per votare in una determinata maniera, sarebbe anche 
facile gabbarlo: voti come ti viene richiesto, fai la foto alla scheda, 
poi metti altre croci a caso, di fatto annullando il voto precedente. 
Tu intaschi la mazzetta ma il "padrino" non si becca il tuo voto.
 
 

 intaschi la mazzetta ma il "padrino" non si becca il tuo voto.
 
Ancor meglio: appoggi sulla scheda un lucido trasparente, disegni la X 
sul lucido, fotografi l'insieme, rimuovi il lucido e consegni la scheda :)
 

 scheda a quelli del seggio. Tu che fai?
 
E no, caro Padrino, allora voglio i Google Glass! :)
 
http://time.com/98945/google-glass-on-sale-now/
 
 


 
	"...e ora vai, vai a votare. E ricorda, se per disgrazia la
	 trasmissione e' disturbata o s'interrompe, sai come dicono
	 i vecchi, no? Le disgrazie non vengono mai sole. Riportami
	 il fiorellino all'uscita, ci tengo."
 
...sicuro, i risultati non saranno buoni come nel caso dell'orologio spia...
ma lo saranno al 99%, e il costo e' senz'altro inferiore :-D


scuola elementare...? :D
 
LOL :-D


 con la matita copiativa?
 
Ti porti da casa una X disegnata a matita su un pezzettino di carta 
trasparente, fai la foto, poi voti quel che vuoi...
Chi non gira con delle X nel portafogli?
:-)
 
 

 autodichiarazione con fotocopia di documento allegata...
 
e, spero, il tutto tenendo presenti le vulnerabilità del sistema PKI e,
comunque, la non "affidabilità" (non trovo un termine migliore)
relativa all'intero "web of trust", se a quanto sopra aggiungiamo poi
le varie intercettazioni e tutto il resto delle menate, non è molto
difficile rendersi conto di come, ad oggi, le comunicazioni digitali di
massa siano tutto meno che sicure ... o quantomeno di come siano molto
facilmente manipolabili e/o alterabili il che, per come la vedo io, ci
riporta al classico approccio "carta & matita" :)