Proposta di legge americana vuole inserire backdoor obbligatorie nella cifratura di dispositivi e servizi

di pubblicata il , alle 16:01 nel canale Security Proposta di legge americana vuole inserire backdoor obbligatorie nella cifratura di dispositivi e servizi

Una proposta di legge avanzata nella Commissione Giustizia del Senato americano chiede di introdurre backdoor obbligatorie in dispositivi e servizi. Un enorme e ingiustificato rischio per la sicurezza di privati e aziende

 
33 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
cdimauro30 Giugno 2020, 07:12 #31
Originariamente inviato da: WarDuck
Siamo d'accordo. Ma una porta lasciata aperta può tranquillamente essere scambiata per una falla.



Quello che infatti cercavo di dire. Che esistono già soluzioni _adottate_ nel campo della forensics che tecnicamente non sono vere e proprie backdoor ma che alla fine della fiera ti fanno ottenere potenzialmente lo stesso risultato.



Sicuramente . Ma lo stato attuale è questo. Tra l'altro nel mondo Android c'è anche il problema di dispositivi vecchi e non più supportati.

Questa è di poco tempo fa:
https://www.zdnet.com/article/new-c...id-smartphones/

È stata patchata naturalmente, ma per anni è stata lì.



Sono d'accordo che la questione tecnica sia rilevante, ma te stai assumendo una possibile implementazione, e cioè quella di avere appunto una sorta di pass-partout univoco per tutti i dispositivi, ma non sta scritto da nessuna parte che debba essere così.

Tra l'altro tutti i sistemi di cifratura e di firma digitale si basano sul fatto che la chiave privata deve rimanere appunto, privata.

Ad esempio, una mitigazione per un cold boot attack "semplice" è quella di consentire il boot solo a firmware firmati digitalmente. Tipicamente chi detiene la firma è il produttore del dispositivo.

Se la chiave privata viene resa disponibile, sono bei guai.

Stessa cosa nel caso dei certificati dei siti web, se si viene a conoscenza della chiave privata chiunque potrebbe intercettare gli handshake e decifrare traffico online.

Cioè il problema che tu dici, esiste già oggi in una moltitudine di casi.



Ma guarda in realtà molti provider di servizi cloud al pubblico non tengono i dati cifrati nei loro dischi. Si limitano a cifrare le comunicazioni. Mi sembra che Dropbox sia uno di questi. Non so se adesso hanno cambiato politica, ma una volta almeno era così.

Io sono d'accordo con voi sui pericoli di una cosa del genere, ma non possiamo ignorare la realtà attuale. Questa cosa dev'essere regolamentata in qualche modo.

Mi sembra che in linea generale (e dal punto di vista puramente tecnico, ossia della "sfruttabilità" siamo sostanzialmente d'accordo, ma cozziamo sul fatto che una backdoor sia messa apposta lì per essere sfruttata (mentre una falla non è stata pensata / realizzata allo scopo. Anche perché altrimenti ricadrebbe nella definizione di backdoor).

Riguardo a dove stiano le chiavi, se non ricordo male l'equivalente AMD di SGX consente di non memorizzarle nel server. Nel senso che la tua sessione virtuale viene crittata prendendole dall'esterno, e nemmeno chi ha messo in piedi la macchina fisica (e generato quelle virtuali) è in grado di usarle.
cronos199030 Giugno 2020, 07:28 #32
Riguardo al caso FBI/Apple:

https://www.ilpost.it/2016/02/17/apple-fbi-iphone/
https://www.ilpost.it/2016/02/25/a-...caso-apple-fbi/
https://www.ilpost.it/2016/03/29/lf...san-bernardino/

La Apple NON ha aiutato l'FBI, l'FBI ha agito da sola e ha ottenuto i dati che gli serviva senza l'aiuto di Cupertino.

https://www.ilpost.it/2016/03/22/ap...san-bernardino/
cronos199030 Giugno 2020, 07:32 #33
Originariamente inviato da: Cfranco
E allora a che serve una backdoor ?
Una backdoor è comunque il sistema migliore per accedere ad un sistema. Inoltre, seguendo i discorsi di Warduck, il Cold Boot attack è possibile solo avendo il dispositivo fisico, una backdoor puoi agire anche da remoto.
Originariamente inviato da: WarDuck
Io sono d'accordo con voi sui pericoli di una cosa del genere, ma non possiamo ignorare la realtà attuale. Questa cosa dev'essere regolamentata in qualche modo.
Io comprendo il tuo ragionamento di fondo, ma ti faccio una semplice domanda. Previo che il discorso sarebbe quello della "sicurezza" dei cittadini riguardo ad indagini di vario tipo su reati (terrorismo compreso), come posso fidarmi di una nazione che vara una legge del genere, quando quella stessa nazione ha spiato per anni pure i suoi alleati attraverso le società del suo paese, di nascosto e raccogliendo tutti i dati possibili immaginabili? E che al tempo stesso si permette di colpevolizzare la Cina per azioni analoghe pur non avendole mai dimostrate?

A prescindere da tutte le motivazioni del caso, i primi di cui non mi fido affatto sono proprio quelli che cercano di promuovere tale legge.
Inoltre, sarò malpensante, ma nel momento in cui rendi possibile in modi relativamente facile l'accesso ai dispositivi delle persone (e quindi ai loro dati personali) il passo per renderli accessibili anche ai non autorizzati lo reputo decisamente breve. Fermo restando che, come detto sopra, non mi fido per prima cosa proprio di coloro che invece sarebbero autorizzati.
« Pagina Precedente     Pagina Successiva »

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
^