Sta facendo scalpore in giro per la rete la vicenda di TrueCrypt , ovvero l’improvvisa decisione degi sviluppatori di TrueCrypt di smettere di sviluppare il programma, dal momento che a detta loro “sarebbe meglio andare su altri programmi”. Per capire bene l’argomento occorre fare alcune premesse.
La legislazione statunitense di oggi prevede che FBI possa inviarvi una comunicazione segreta con la quale vi intima di fare o non fare qualcosa nell’interesse della sicurezza nazionale. Tale comunicazione e’ segreta, e il suo contenuto (o la sua modalita’) non possono essere pubblicate. La comunicazione e’ vincolante. Potete cioe’ ricevere una comunicazione ove vi si dice che nell’interesse della sicurezza nazionale dovete lasciare vostra moglie, il vostro lavoro e cambiare citta’, e non potete nemmeno dirlo a vostra moglie. In che cosa consista questa “comunicazione” non e’ noto saperlo: se sia una lettera o un gruppo di persone che vi entrano in casa e puntano una pistola sui vostri figli non e’ noto.
Con queste “comunicazioni” sono stati chiusi provider di email come http://lavabit.com/ la cui colpa e’ stata quella di aver aiutato Snowden a comunicare. Come potete leggere dall’ultimo comunicato, anche alla scadenza dei termini con cui potete rendere pubblico quel che succede , (passano diversi mesi) lo stato americano attua nei vostri confronti una vera e propria persecuzione giuridica, che vi uccide coi costi degli avvocati , e vi copre di arbitrarie decisioni dei giudici, che non richiedono nemmeno di essere comunicate e che avvengono anche in assenza di difesa (ah! la terra delle liberta’! la common law!) .
Ci sono stati altri casi simili a lavabit, dal momento che oggi gli USA sono un paese -formalmente- democratico, ovvero democratico sino a quando non date fastidio a qualche ufficio del governo. In definitiva, una dittatura corporativa “soft” in stile franchista.
Detto questo, l’improvvisa chiusura di un servizio suscita immediatamente sospetti.
Il programma in questione permette(va) di criptare il vostro disco , per proteggerlo in caso venisse rubato. Ora, siccome usava chiavi molto robuste, e’ abbastanza chiaro che tale software rappresentava un problema per le forze dell’ordine che ve lo sequestravano. Compreso chi, nell’ FBI, vi rubava il computer allo scopo di leggere cosa ci fosse dentro.
Era efficace? Era potente? Era sicuro?
Personalmente, vista la natura del controllo USA, ritengo che fosse sbagliata la sua concezione. La natura della minaccia che viene dagli USA e’ tale che la criptazione non e’ la soluzione: vista la costituzione del pericolo come “sorveglianza di massa” la soluzione non e’ la crittografia, bensi’ la steganografia.
La differenza tra steganografia e crittografia e’ che la crittografia nasconde il messaggio, mentre la steganografia nasconde il canale.
E poiche’ determinare SE una comunicazione sia canale di comunicazione indesiderato e’ il lavoro piu’ grosso nel caso di un impianto come NSA, e’ abbastanza ovvio che ritengo la crittografia come una risposta utile , ma poco efficace. (la steganografia comprende spesso la crittazione del messaggio prima di nascondere il canale).
Per esempio, una delle due foto che seguono contiene la ricetta per farsi un esplosivo TEP in casa, l’altra no:
come potete verificare scaricandole, hanno dimensioni leggermente diverse (1%) perche’ si e’ cambiato un insieme di bit meno significativi. E il bello e’ che anche meta’ della foto che contiene la ricetta contiene la ricetta, quindi e’ molto resistente al danneggiamento. E il secondo punto e’ che , dal momento che usiamo i bit meno significativi, non e’ nemmeno possibile dimostrare che ci sia dentro la ricetta senza sapere la chiave con cui si e’ nascosto il documento dentro la foto. E specialmente, senza sapere che la foto contenga qualcosa: se ve l’avessi messa online senza dirvelo, dicendo che mi piacciono le tettone, come potevate saperlo? Un software che ho usato per fare questo lo trovate qui: http://www.outguess.org/ .
Come potete leggere, pero’, e’ stato attaccato e lo sviluppo si e’ fermato.
Se ne volete uno semplice, usate questo: http://www.silenteye.org/ ,per una lista piu’ ampia: http://en.wikipedia.org/wiki/Steganography_tools , per windows http://embeddedsw.net/OpenPuff_Steganography_Home.html
Questo per dire che dal momento che io disapprovo l’uso della crittazione a favore della steganografia, i software come truecrypt mi lasciano piuttosto freddo. Non sono quindi la persona piu’ indicata per dare un giudizio.
Ci sono altre due cose che insospettiscono gli addetti ai lavori, ma secondo me e’ piu’ paranoia che altro, o meglio: si tratta di inquietudini molto fiche.
Il software ha subito una review da parte di una societa’ specializzata:
http://istruecryptauditedyet.com/
e il risultato e’ qui:
https://opencryptoaudit.org/reports/
e insomma, puo’ darsi che gli sviluppatori abbiano ragione. Il rapporto, ancora in phaseI (cioe’ riguardante solo la qualita’ del codice e non quella della crittazione) recita in maniera preoccupante:
insomma, la qualita’ del software NON e’ ritenuta adatta a garantire sicurezza.
Quindi, e’ possibile che gli sviluppatori, nell’abbandonare il progetto considerandolo insicuro e consigliando alle persone di andare ad altri software, siano stati onesti ed abbiano detto il vero. Per esempio:
quindi, direi che le cose siano chiare: l’affermazione degli sviluppatori e’ fondata.
La seconda motivazione dei paranoici e’ che se anche ci fossero bachi nel codice , allora la soluzione sarebbe quella di fissarli. Il guaio di questa posizione e’ che contiene la convinzione che gli esperti di sicurezza e crittanalisi siano sempre pronti ad entrare in un progetto opensource.
Ma non e’ vero. Ci sono frotte di persone che vogliono stare in progetti opensource, ma:
- I linguaggi che richiedono solide basi ingegneristiche, come C/C++ , o anche ADA, sono snobbati per via della fatica che si fa ad impararli. La stragrande maggioranza degli sviluppatori di oggi conosce linguaggi del tipo “non so ma faccio lo stesso”.
- Le tematiche della crittoanalisi sono tematiche che si trattano poco perche’ sono faticose. Un fichissimo corso sull’ “usabilita’ dei siti web” e’ meno noioso, e meno faticoso di un corso su come funzioni a basso livello un sistema di crittazione. Bisogna studiare troppe cose, troppe cose faticose, e questo non piace.
- Le tematiche dell’architettura dei sistemi operativi sono sconosciute ai piu’. Come funzioni di preciso un sistema operativo, come faccia il boot un computer, e tante altre cose, sono ormai una conoscenza di nicchia.
e’ assai possibile che dei software come il kernel di Linux presto potranno andare avanti solo se si trovera’ il modo di scriverlo in javascript (LOL) e questo per la semplice ragione che il mercato chiede javascript piu’ di quanto richieda il C. E quindi i programmatori scelgono di studiare javascript.
Morale: anche adesso che truecrypt sembra tornare “alla comunita’ opensource” non e’ affatto scontato che trovi le persone CAPACI di mandarlo avanti.
Per cui,e’ possibile che i programmatori si siano accorti dei problemi del loro software, e che si siano accorti del fatto di non avere le risorse-tempo e le risorse-skill per fissare tali problemi.
In definitiva, le paranoie sulla chiusura del progetto truecrypt sono ragionevoli SOLO perche’ oggi gli USA hanno costruito un sistema di leggi riguardanti il cyberspionaggio tali da consentire all’ FBI di entrare in casa di qualcuno, puntare la pistola sulla testa dei figli, intimargli di non dire niente a nessuno, e qualora si faccia ricorso mettere in atto una persecuzione giuridica. Se considerate che l’autore di Lavabit NON ha commesso alcun crimine, ne’ e’ ACCUSATO di averlo commesso, e che ha tre costosissime cause in tribunale, una multa salata, e che ha dovuto chiudere l’azienda per non consentire lo spionaggio dei suoi sistemi , capite bene che di fatto l’ UNICA sequenza di FATTI che pone sospetti non riguarda la sicurezza del codice di truecrypt, o il comportamento dei programmatori che lo mandavano avanti, ma IL COMPORTAMENTO DEL GOVERNO AMERICANO.
Del resto, se andate sul nuovo sito di truecrypt, http://www.truecrypt.ch/ ci trovate in home page quanto segue:
ovvero, la prima cosa che hanno fatto e’ stata di portare via quel software dagli USA.
La terra delle lib… LOL … erta’.
