Crea sito

Cerca

image2 image3 image1

Sicurezza e privacy

 

Gli Smartphone e i Tablet fanno parte della vita di molti, lavorativa e non. Questi dispositivi accedono e trattano dati personali come rubrica, appunti, appuntamenti, agenda, email e applicazioni dedicate alle esigenze specifiche. Tutti questi dati, come già ricordato, devono essere protetti, l’utente vuole che lo siano. Nessuno vuole che l’elenco dei nomi in rubrica con numeri, indirizzi, date di nascita (memo compleanno) possa essere acquisito in modo illecito. Si pensi, ad esempio, ad un medico che ha la banca dati dei pazienti sul proprio dispositivo. Il rischio è che dati sensibili possano essere trafugati. L’uso promiscuo del dispositivo fra “lavoro” e “privato” richiede grande attenzione.

Quando un utente acquista sul market di riferimento accede con le credenziali con cui si è registrato e con la relativa carta di credito abbinata e che accetta le condizioni di vendita.

A proposito dei rischi, molto interessante è il documento “Smartphones: Information security risks, opportunities and recommendations for users[1]” fornito dall’ENISA[2].

I rischi sono strettamente legati all’uso che si fa dello smartphone. Sono identificate tre tipologie di utenti:

1. Consumer,
lo smartphone è totalmente integrato nella propria vita. Ad esempio: social network, telefonate private, messaggistica istantanea, sms, banking, navigazione in Internet, foto, video, ecc.

2. Employee,
colui che utilizza lo smartphone per motivi di lavoro. Ad esempio: telefonate di lavoro, email aziendale, gestione delle spese, video conferenze, attività di pianificazione, lettura documenti, ecc.
In questa categoria l’uso personale è limitato e le politiche IT vengono stabilite dal datore di lavoro.

3. High official,
l’utilizzo è come per la categoria Employee, ma tratta anche dati sensibili. Qui lo smartphone può essere integrato con software di crittografia, limitato a determinate funzioni o personalizzato.

I rischi più comuni possono essere riassunti così: Fuga di dati. 

  1. Il cellulare viene smarrito o rubato. Una password non permette l’accesso ai dati. 
  2. Disattivazione errata. È il caso di quando viene ceduto o venduto lo smartphone e non si eliminano i dati all’interno.
  3. Divulgazione involontaria dei dati. Vero è che la maggior parte delle applicazioni hanno impostazioni di privacy, ma la mancanza di alfabetizzazione informatica può condurre l’utente a divulgare informazioni involontariamente.
  4. Phishing. Vengono raccolte le credenziali di accesso ai siti, dati per il banking utilizzando sms o mail che sembrano vere ma sono dei falsi.
  5. Spyware. Un software che recupera dati personali all’insaputa dell’utente.
  6. Attacchi di spoofing. Un sistema per aggirare le regole di autenticazione basate su indirizzi IP e nomi degli host. Un attaccante distribuisce un falso punto di accesso alla rete a cui gli utenti si connettono. L'attaccante, successivamente, effettua phishing.
  7. Sorveglianza. Spiare tramite lo smartphone, ad esempio tramite microfono, fotocamera, GPS.
  8. Diallerware. Vengono sottratti soldi, per esempio, attraverso malware nascosti in un sms.
  9. Malware finanziarioUn malware specifico per rubare numero di conti, di carte di credito, credenziali bancarie.
  10. Tecnologia nuova. Il livello di sicurezza di software e applicazioni non è ancora sufficientemente affidabile,

Le precauzioni che possono essere prese, per tutte e tre le tipologie di utenti evidenziati in precedenza sono:

  • Blocco automatico dello smartphone dopo qualche minuto;
  • Controllo se la fonte è attendibile prima dell’installazione;
  • Esame delle richieste di autorizzazione durante l’installazione delle App, delle condizioni contrattuali, delle clausole, degli accordi con terze parti;
  • Pulizia tramite reset di tutte le informazioni contenute prima di cedere, vendere o smaltire lo smartphone;
  • Utilizzo della crittografia per la memoria dello smartphone e dei supporti rimovibili (le card);
  • Non conservare in locale dati sensibili e utilizzare in caso di accesso web un programma che non consenta di catturare le informazioni;
  • Pulizia periodica dello smartphone.

Questo elenco non vuole essere esaustivo, ma vuole sensibilizzare riguardo ai rischi che si corrono. A tal proposito, uno dei più alti è legato alle App di social networking che semplificano, in realtà, l’inserimento di moltissimi dati personali.

Cosa si sta facendo per tutelare l’utente?

Agli inizi del 2011 l’Autorità ha avviato un’indagine che ha avuto come interlocutori privilegiati i principali produttori di sistemi operativi per smartphone (nello specifico, Nokia, Microsoft, Apple, Google), al fine di verificare gli accorgimenti adottati da queste società per garantire la sicurezza nell’utilizzo delle mobile App sviluppate per i loro sistemi.

L’authority ha invitato le società ad indicare:

  1. I meccanismi adottati o i requisiti richiesti (in termini, ad esempio, di affidabilità o di adeguato rispetto di misure di sicurezza) per selezionare preventivamente gli sviluppatori terzi (quelli, cioè, non direttamente dipendenti dalla società) autorizzati a distribuire le applicazioni di propria creazione sulle piattaforme di market di quest’ultima e quali condizioni e procedure siano previste per un’eventuale revoca dell’autorizzazione;

Riscontri pervenuti. Le società hanno risposto che:

  1. In tutti e quattro i casi, lo sviluppatore terzo può proporre le applicazioni di propria creazione per la distribuzione sulla piattaforma di market dell’intermediario prescelto, soltanto a seguito del perfezionamento di una procedura di registrazione ed all’accettazione di specifici accordi contrattuali predisposti, proprio, da quest’ultimo; ne consegue una marcata eterogeneità delle clausole contrattuali cui gli sviluppatori sono vincolati, a seconda che decidano di proporre le proprie creazioni all’una o all’altra delle quattro diverse società.

L’authority ha invitato le società ad indicare

  1. Meccanismi adottati per valutare le diverse funzionalità delle applicazioni e per verificare se la raccolta di dati personali effettuata dallo sviluppatore, per il tramite dell’applicazione, sia effettivamente pertinente rispetto alle predette funzionalità e alle finalità della raccolta.

Le società hanno risposto che:

  1. In quest’ambito è stato possibile, tuttavia, identificare due diversi e contrapposti modelli di condotta, che si distinguono per il modo in cui viene garantita la sicurezza delle applicazioni messe in vendita tramite il market e possono essere definiti nel modo seguente:
  • privacy by process

Il processo di accreditamento dei potenziali sviluppatori e di inserimento delle loro applicazioni nel market viene sottoposto ad un rigido controllo, tipicamente formalizzato in un accordo ToS (Terms of Service – condizioni di contratto) tra il soggetto interessato a pubblicare il suo software sul market e il gestore del market stesso.

Inoltre, l’applicazione viene controllata allo scopo di garantirne la sicurezza sotto il profilo tecnico prima dell’immissione nel mercato.

Esempio: App Store di Apple

Chi pubblica a nome di una azienda (e non come sviluppatore indipendente), infatti, deve fornire visura della propria iscrizione al registro delle imprese e qualsiasi applicazione sottomessa, prima di essere resa disponibile sull’App Store, viene testata da un apposito team e, solo dopo averne verificato la correttezza tecnica, è pubblicata sullo store accessibile agli utenti.

  • privacy by platform

Il gestore del market non effettua un controllo preventivo sull’applicazione, ma affida la tutela dei diritti dell’utente alla solidità della piattaforma di sistema operativo, alle sue funzionalità che permettono all’utente di avere coscienza di quali dati saranno oggetto di trattamento da parte dell’applicazione disponibile sul market, facendo ricorso a meccanismi di ranking gestiti dai fruitori del servizio.

Esempio: Android Market

La pubblicazione non è soggetta ad alcuna verifica da parte di Google.

Nonostante questo, le applicazioni malevole o fraudolente sono eliminate in tempi brevissimi dall’Android Market, a seguito di segnalazioni degli utenti o delle aziende usate come esca.

 

I RISCHI SECONDO IL GARANTE

1. Il rischio cagionato dalla carenza di consapevolezza dell’utente in ordine a profili di assoluta rilevanza che lo riguardano in maniera diretta e possiedono potenziali attitudini lesive dei suoi diritti in materia di protezione dei dati personali;

2. Le specificità legate all’utilizzo di applicazioni, specie quelle ad opera di sviluppatori terzi, che raccolgono dati sulla vita privata (dai contatti alla posizione geografica, sino alle abitudini di consumi e comportamenti, a dati relativi alla salute ed alla vita di relazione);

3. La possibilità che i soggetti che trattano le informazioni personali degli utenti, anche eventualmente di carattere sensibile, possano renderle “pubbliche” ovvero comunicarle ad altri soggetti determinati, sia per finalità commerciali che di altro genere, non specificamente correlate alla raccolta e, più in generale, non conformi ai desideri dell’utente medesimo, innanzitutto per l’indubbia attitudine dei dati a favorire attività di profilazione dell’utente;

4. La possibilità che, in assenza di regole specifiche, i dati così raccolti possano essere archiviati sui sistemi del fornitore del servizio applicativo per periodi di tempo ultronei rispetto alla fornitura del servizio stesso, potenzialmente indeterminati; che, addirittura, possano continuare a costituire oggetto di trattamento perfino successivamente al momento in cui l’utente ha cessato di far ricorso ad una determinata applicazione ovvero di utilizzare uno specifico dispositivo.

OBIETTIVI DA RAGGIUNGERE SECONDO IL GARANTE

1. Implementare sia la trasparenza nelle modalità di funzionamento delle applicazioni, con specifico riguardo al trattamento delle informazioni personali degli utenti, sia il controllo esercitabile, nonché la dimensione;

2. Combinazione di accorgimenti tecnici - sufficientemente generali da non modificare le strategie di mercato ma comunque ragionevolmente efficaci - e di norme contrattualistiche da inserire negli accordi proposti dai gestori dei market e rivolti sia agli sviluppatori delle applicazioni che agli utenti finali.

Misure di sicurezza applicabili:

  • credenziali d’accesso
  • aggiornamenti
  • backup
  • antivirus

Telefoni cellulari e tablet sono classificati come dispositivi personali prima che portatili. Il loro contesto di utilizzo non è multiutente. Pertanto mancano concetti quali username, password, home directory, access control list.

Non è possibile definire diverse credenziali di accesso ma soltanto dei codici di sblocco. All’accensione o al ripristino dalla condizione di standby, il terminale chiede un codice di accesso per abilitare l’interfaccia utente.

È consigliato installare un’applicazione in grado di crittografare i dati prima delle loro memorizzazione, ponendo un’ulteriore barriera d’accesso rappresentata da una password alfanumerica che inibisce la lettura dei dati e le funzionalità

Gli aggiornamenti, come in ambiente PC, risolvono malfunzionamenti ed eventuali vulnerabilità, migliorano le prestazioni e la compatibilità con le applicazioni.

I principali produttori, forniscono strumenti gratuiti per l’aggiornamento automatico del firmware dei dispositivi: è sufficiente avviare l’utility e connettere il terminale con il cavo  in dotazione per verificare la disponibilità di una nuova versione del software di sistema.

I terminali basati su Android, beneficiano di un sistema di aggiornamento attraverso la rete cellulare o la connessione wireless: il terminale provvede automaticamente al recupero dell’aggiornamento e avvisa l’utente di effettuare l’aggiornamento software.

Rispetto all’aggiornamento del software del PC, l’aggiornamento del firmware di un terminale è una operazione critica che, se interrotta (a causa di mancanza di alimentazione o distaccamento del cavo dati) può provocare il danneggiamento del dispositivo e l’impossibilità di procede a un ripristino o al recupero dei dati in esso memorizzati.

È  necessario avere la batteria sempre carica ed essere collegato a una sorgente di alimentazione durante il processo di aggiornamento. Prima di effettuare l’aggiornamento del firmware è comunque consigliato eseguire un back-up completo del contenuto della memoria del telefono (operazione eseguita automaticamente da alcune utility di aggiornamento).

I produttori di telefoni cellulari e computer palmari forniscono applicazioni che consentono di gestire alcune funzionalità del telefono direttamente da PC: lettura messaggi ricevuti e invio nuovi messaggi, accesso ai contenuti multimediali, gestione della rubrica e anche il back-up dell’intero contenuto del dispositivo, per ripristinarlo a seguito di un aggiornamento del firmware o di un reset forzato

I software antivirus sono disponibili per i maggiori sistemi operativi (Windows Mobile e Symbian OS), mentre non sono installabili sui sistemi operativi proprietari.

Un discorso a parte meritano gli ambienti più moderni, quali iOS (che equipaggia i terminali iPhone e iPad) e Android: come già visto, la distribuzione del software attraverso gli application store offre maggiori tutele per gli utenti finali, che possono contare su un sistema centralizzato di segnalazione di software malevolo.

Nel caso particolare della piattaforma Apple, poi, i meccanismi di protezione e isolamento delle applicazioni e il processo di valutazione/certificazione delle applicazioni prima della pubblicazione sull’App Store rappresentano una barriera molto efficace per la diffusione di malware[3].

*** *** ***

Di seguito i link dove è possibile reperire informazioni sulla privacy per:

Apple: http://www.apple.com/it/privacy/

Google: http://www.google.com/intl/it/policies/privacy/

Microsoft: http://www.microsoft.com/privacystatement/it-it/core/default.aspx

*** *** ***

L’unione Europea è intervenuta per disciplinare la materia con la direttiva n. 136 del 2009 che prevede il consenso preventivo all’archiviazione dei propri dati personali.

Lo sviluppo delle tecnologie traccianti e l’accresciuta consapevolezza delle criticità delle stesse hanno però recentemente indotto il legislatore a quel cambio di paradigma cui si faceva cenno poc’anzi. Il nuovo testo dell’art. 5, par. 3, primo periodo della direttiva e privacy, così come risulta dalle modifiche introdotte dalla direttiva 2009/136/CE, prevede infatti che: «Gli Stati membri assicurano l’archiviazione di informazioni oppure l’accesso a informazioni già archiviate nell’apparecchiatura terminale di un abbonato o di un utente sia consentito unicamente a condizione che l’abbonato o l’utente in questione abbia espresso preliminarmente il proprio consenso, dopo essere stato informato in modo chiaro e completo, a norma della direttiva 95/46/CE, tra l’altro sugli scopi del trattamento».

Sul presupposto di una maggiore tutela in capo agli utenti, le disposizioni comunitarie richiedono ora il consenso preventivo dell’utente (opt-in), supportato da una chiara e completa informativa, anch’essa antecedente il trattamento, fermo in ogni caso il diritto di revoca dell’interessato (opt-out). Superato dunque il sistema del solo opt-out (o meglio del silenzio-consenso + informativa + opt-out) si è approdati ad un sistema di opt-in (consenso preventivo + informativa preventiva + opt-out).

[…]

Quanto all’Italia, il decreto legislativo n. 69 del 28 maggio 2012 ha recepito la direttiva 2002/58, così come novellata dalla direttiva 136/2009, modificando il disposto dell’art. 122 del d. lgs 196/2003. Tale articolo dispone ora che «L’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con le modalità semplificate di cui all’articolo 13, comma 3.» [4].