Backdoor crittografici spiegati
La crittografia è di gran lunga uno dei soggetti più importanti nell’era dell’informazione. Ogni volta che accedi a un sito, c’è un algoritmo che verifica la tua password rispetto a un valore hashato, determinando se puoi autenticarti nel tuo account o meno. È così che teniamo a bada gli hacker. Quindi, cosa succede quando l’algoritmo che dovrebbe mantenerti al sicuro ha un backdoor che consente a determinate persone di avere accesso illimitato ai tuoi account e ai tuoi dati personali?
Il 19 maggio 2015, Apple e Google hanno esortato il presidente degli Stati Uniti Barack Obama a riconsiderare l’imposizione alle aziende tecnologiche del settore privato di includere backdoor nei loro algoritmi crittografici. Il mio obiettivo è spiegare come ciò ci influenzi come consumatori di tecnologia e i profitti delle aziende che ci forniscono tale tecnologia.
Un Po’ di Storia: Dual_EC_DRBG
Potresti essere perdonato se il termine “Dual_EC_DRBG” ti suona come un gergo arcano, ma è forse un termine legato a uno dei più grandi scandali nella storia della tecnologia di crittografia. La nostra storia inizia nei primi anni 2000, quando la crittografia a curve ellittiche iniziava a radicarsi nei sistemi informatici. Fino ad allora, generare un numero casuale era un dolore a causa della sua intrinseca prevedibilità. Vedi, le persone possono generare numeri casuali molto efficientemente poiché tutti pensiamo in modo diverso. Puoi indovinare quale numero tra 1 e 100.000 sto pensando in questo momento? Hai 1 possibilità su 100.000 di indovinare correttamente se indovini semplicemente a caso. Questo non vale per i computer. Sono assolutamente terribili in questo poiché di solito si basano su altri valori fissi per arrivare alle loro “conclusioni”. Poiché non possono “pensare”, dobbiamo sintetizzare il processo per loro. La crittografia a curve ellittiche rende il processo di generazione di un numero casuale molto meno prevedibile rispetto ai metodi convenzionali.
Tornando alla storia. L’Agenzia per la Sicurezza Nazionale (NSA) ha spinto per un modulo chiamato Dual_EC_DBRG come possibilità per generare questi numeri. Non è stato approvato.
Non finisce qui, però. Nel 2004, la NSA ha fatto un accordo da 10 milioni di dollari con i creatori del sistema crittografico RSA (le persone che all’epoca avevano la maggior quota di mercato nella crittografia) per rendere il loro modulo predefinito per RSA. Non sappiamo se la NSA abbia incluso il backdoor, ma Dual_EC_DRBG ne aveva certamente uno. Il fatto che la NSA fosse così insistente nell’includere questo modulo nella crittografia RSA non aiuta il caso contro la conoscenza preliminare.
Avanzando fino al 2015, ora hai il governo degli Stati Uniti e altri governi in tutto il mondo che si fanno avanti per chiedere alle aziende private di includere backdoor nei loro algoritmi di crittografia.
Perché i Backdoor Sono Dannosi per Tutti gli Altri
Potresti già avere un’idea del perché i backdoor siano dannosi. È una cosa ovvia, giusto? Il fatto è che ci sono altre conseguenze invisibili all’introduzione di backdoor nella crittografia oltre all’invasione della privacy da parte delle entità governative.
Primo di tutto, se un hacker scopre il backdoor (che è esattamente come è iniziato il fiasco di Dual_EC_DBRG menzionato in precedenza), puoi quasi garantire che chiunque possa sfruttarlo per dare un’occhiata a cose che ti riguardano molto da vicino.
La seconda ragione per cui i backdoor sono orribili può essere espressa meglio sotto forma di domanda: Sapendo che non solo il governo, ma qualsiasi John Doe, può dare un’occhiata ai tuoi dati riservati, apriresti mai un account da qualche parte di nuovo? Le persone si affidano alla tecnologia in questo momento perché si fidano di essa. Elimina la fiducia e vedrai pochissimi clienti nel mercato dell’impresa. Sì, i consumatori potrebbero comunque utilizzare tecnologie crittografate e connesse, ma le aziende si disimpegnerebbero in massa. Molti dei nostri produttori preferiti si affidano pesantemente alle loro basi di clienti business-to-business.
Quindi, non solo questa idea è dannosa per i consumatori, ma è anche dannosa per i profitti delle aziende che ci forniscono le cose che amiamo. Ecco perché colossi come Apple e Google sono così preoccupati per queste politiche.
Cosa pensi dovremmo fare? È una legge possibile su questo anche applicabile? Facci sapere con un commento!
