Il vade mecum del privacy & security aware navigator

Può sembrare indifferente l’adozione di un browser o di un altro, ma così non è. Analizziamo da vicino cosa significa utilizzare un browser per effettuare le nostre navigazioni su internet:

  1. E’ la nostra finestra su internet. Un errore (flow/bug) potrebbe consentire ad un malware, di raggiungere la nostra intranet di casa. Pensiamo al caso Adobe Flash od anche alla VM Java di Oracle. Basta poco, e la nostra sicurezza va a farsi benedire.
  2. E’ il nostro gestore dei cookies nelle loro varie e mutevoli forme.
  3. E’ il nostro gestore delle password (almeno di una parte di esse). Un errore nel password manager del browser, potrebbe essere sfruttato per effettuare un login indesiderato con conseguenze non sempre facilmente contenibili.

Molti oggi usano Chrome, ma basta ricordare il recente bug (fine 2018) che consentiva ai navigatori con browser Chrome di effettuare un login automatico, se si navigava su siti gestiti da Google, senza che l’utente ne avesse coscienza, per capire quanto non ci si possa affidare ad un tale colosso.

D’altra parte, se tale gravissimo bug, dal punto di vista privacy, sia stato, per il momento, risolto, non significa che si possa esser certi che il maggior interessato a tracciare, controllare, suggerire e comunicare i dati della rete ai suoi “amici” sponsors, noon possa “ricascarci”…

Risolto un problema, non è detto che qualcosa di simile non possa riaccadere, quindi arriviamo ad un punto cruciale: ormai i browser sono Chrome, Firefox, ed in minima parte Edge / Opera e tante altre soluzioni per ora di nicchia.

Al momento, il migliore privacy-aware browser è sicuramente Firefox (d’ora in poi FF). Il produttore, Electronic Frontier Foundation (EFF), ha la sicurezza e la privacy tra gli obiettivi principali di sviluppo dei moduli presenti all’interno del prodotto, ma che non sono sufficienti a garantirci, anche perché, ad esempio, il Do Not Track (DNT), non viene onorato da quasi nessun sito, ed a tal fine si risolve con opportuni plug-in di altissimo livello, che operano a livello di protocollo filtrando la comunicazione utile tralasciando l’enorme quantità di tracciamenti collaterali.

Non possiamo analizzarli tutti, ma menzionarne almeno 3, penso sia necessario, per completezza di quest’articolo:

  1. Ublock Origin (di Raymond Hill) prossimo ai 5 milioni di utenti: 4,921,907 users.
  2. Noscript dell’italianissimo (palermitano) e superlativo Giorgio Maone con 1,515,002 users.
  3. ABP della società Adblock Plus che ha ben 11,176,639 seguaci!

Vale la pena di ricordare che sebbene siano tutti e 3 ottimi plug-in (in pratica dei software da aggiungere all’applicativo principale FF), questi sono disponibili anche per Chrome e ciascuno svolge il suo compito in maniera eccelsa.

Le principali caratteristiche sono che Ublock Origin è molto semplice da usare, ma estremamente configurabile. Se lo installiamo e lasciamo così com’è fa il suo lavoro e vedremo incrementare il numero di siti filtrati (non visitati) che, di fatto, accelerano la funzionalità del browser consentendoci di concentrarci su ciò che realmente ci interessa non riducendo la nostra banda per colpa di tutti i migliaia di 3rd party cookies e trackers che tempestano le nostre consuete navigazioni. Ma quando serve UO, ci può permettere di identificare e filtrare, sulla singola pagina del sito qualcosa.com, il blocco che ci infastidisce, con la semplicissima creazione di una regola ad hock. Basta prenderci la mano ed alcuni siti, altrimenti illeggibili, diventano come d’incanto, semplici e chiari.

Noscript, che mi ostino ad usare da anni, è un po’ più da esperti, ma anche questo plug-in è stato in grado di rinnovarsi e di migliorarsi negli anni, e davvero è un ottimo compagno di navigazione sicura: di default non attiva mai Javascript e lascia a noi trustare, sito per sito lo scripting per questo, e man mano che attiviamo i trust, scopriamo che questi richiamano spesso numerosissimi ulteriori siti esterni con altri moduli JavaScript (in realtà ecmascript) e possiamo decidere quali abilitare temporaneamente o metodicamente a seconda delle necessità. Ad esempio, io blocco sempre le googletags varie. NoScript blocca gli XSS Warning (Cross Site Scripting) potendo decidere se quella volta o per sempre (frequente per molti giornali on line). Insomma praticamente tutti i siti funzionano ugualmente ma non mi tracciano… od almeno un po’ meno del consueto!

Sinceramente non ho più provato a navigare senza questi 3 plug-in-amici. Anche sullo smartphone senza UO io non mi muovo, ma le altre soluzioni sono più indicate per il desktop, per via delle loro numerose opzioni e configurazioni che sullo smartphone sarebbero davvero ardue da compilare/verificare/applicare.

Parliamo adesso del password manager. Lo saprete senz’altro, il concetto dietro al loro funzionamento: c’è un database cifrato che contiene userID, password e note che si possono utilizzare esclusivamente mediante l’inserimento di una master-pass-phrase, ovvero di una frase piuttosto complessa e di adeguata lunghezza. Il nostro scrigno delle password non può davvero essere protetto dalla consueta pw: pippo, vi prego eh! C’è quello integrato in FF, in Chrome, in Edge (Windows), in Apple Safari etc. e ce ne sono in commercio numerosissimi completamente esterni ai browser o parzialmente integrati/integrabili mediante plug-in specifici. Io li preferisco completamente separati dal browser e possibilmente, non in rete. Un attacco dall’esterno al browser è facile, poiché è continuamente esposto alle intemperie di internet. Un Password Manager come KeePass o LastPass, tenuti invece al caldo delle nostre intranet, sono un target un po’ più difficile da raggiungere, e poi il loro scudo (passphrase), se opportunamente impostato, ci protegge da eventuali scorribande di qualche hacker. Inoltre, tutti i prodotti menzionati e gli altri che girano in rete, hanno i loro automatismi standard e configurabili per sfruttare i dati a loro interno, per eseguire login mediante il browser di default e per restituirci la sessione pronta con login eseguito.

Per il passord manager ho già scritto un articolo a suo tempo ed è un tema davvero importante e sempre più necessario per il futuro, non vorrei dilungarmici troppo. Una società però, che nelle sue policies non adotti uno standard in tal senso, dimostrerebbe di essere una società incapace di adeguarsi ai rischi di sicurezza attuali. Un tale strumento, almeno dal 2015, avrebbe dovuto essere un obbligo che il CSO (Chief Security Officer) avrebbe dovuto stabilire mediante una direttiva od una policy ad-hoc. Altrimenti gli utenti avrebbero ricorso sempre più spesso ai soliti postit sul monitor o sotto la tastiera, ma peggio, a fogli excel addirittura senza cifratura e raggiungibili dalla LAN e quindi, il più delle volte, anche dalla WAN. Personalmente il mio pw manager ha oltre 700 entrate e farne a meno è ormai impossibile da molti anni. Ogni entrata ha pw diversa ed io ricordo (a malapena) solo la passphrase. Le password al suo interno sono per me un mistero, anche quelle più stupide del servizio che uso una volta l’anno!

Altro punctum dolens è il modem. Una volta bastava un qualsiasi pezzo di ferro (come dicono gli americani), ma oggi no, il Modem è la prima infrastruttura attiva, che ci connette ad internet, più ancora del browser che noi manovriamo, il modem è esposto, ormai h24/7 e prendere un marchio economico cinese o meno, mette a rischio tutta la nostra LAN casalinga. La qualità del modem non dev’essere solo tale da proteggerci durante il periodo di acquisto, ma deve esserci garantita nel tempo. Un modem può durare anche 10 anni (io ne ho uno di 15) e deve essere mantenuto con firmware aggiornato. Meglio se con un sistema di automatic update. Questo è un tema aperto per l’IOT (Internet of Things od internet delle cose), dove, la sicurezza, è sempre più trascurata.

I recenti attacchi ai modem Cisco ma anche a tutta una serie di altri marchi noti (cinesi e non) dimostrano, se ve ne fosse ancora bisogno, che la superficie d’attacco ormai s’è allargata ai nostri dispositivi personali, perché:

  1. la gente vuole spendere poco per navigare, quindi prende il primo modem che trova sullo scaffale, tipcamente il più economico;
  2. non ha il know how su come si configura “quell’aggeggio” e spesso si preoccupa solo di farlo “partire” il prima possibile e di impostare una (spesso troppo semplice) WiFiKey, e raramente imposta una seria pw cambiando quella di default, per l’accesso web all’interfaccia di gestione;
  3. non lo ricontrolla più per i prossimi vari anni. Tanto è un pezzo di “ferro”, che cosa gli potrebbe mai accadere?
  4. lascia attivo il pericolosissimo UPnP o Universal Plug and Play, nato per i giochi ma usato come pas par tout per aggirare i sistemi di sicurezza di molti dispositivi modem poco “accorti”;
  5. perché sono un parco macchine enorme, tra tanti utenti connessi, qualcuno di “utile” si trova sempre…

Già, forse al modem non molto, ma alla nostra intranet con i bot installati sul modem stesso, son davvero tante le cose che si possono fare. Gli ultimi attacchi hanno dimostrato che vi sono in giro malware che resistono anche al reboot (ripartenza anche spegnendo e riaccendendo) dei modem. Solo per far capire quanto sia importante proteggere questi asset!

Passiamo ai motori di ricerca: ancora usate google.com? No, no, non va, dovete iniziare a pensare di sostituirlo con duckduckgo, un motore privacy-aware senza truckers (i link restituiti NON hanno bisogno di jvascript né di doppi relink che Google solitamente usa per tracciare quali link siano poi cliccati. Insomma ecco un nuovo motore https://duckduckgo.com/ ma in alternativa c’è anche https://www.startpage.com/ che promette qualcosa di simile al primo e cercano insieme di emulare il grande motore con ottimi risultati. Comunque è sempre molto pericoloso dipendere in toto da un solo contendente, è sempre meglio avere valide alternative, pertanto vale la pena premiare queste alternative ed utilizzarle in luogo del famoso motore.

Luca Regoli