Usare in sicurezza gli hot spot pubblici

settembre 2009 Non solo Internet café, ma anche sale d’attesa in aeroporto, bar, hall di alberghi, “Wi-Fi zone”, sale stampa, perfino aree di servizio autostradali e addirittura certi stabilimenti balneari particolarmente ben attrezzati. Tutti luoghi in cui sono spesso disponibili un hot spot pubblico o dei PC pubblici.

Indubbiamente una gran comodità, che risparmia la fatica di portare con sé tutta l’attrezzatura, accenderla e configurarla; quanto ai propri dati, se si ha avuto l’accortezza di salvarli su un sistema Web based, come Google Docs, SkyDrive, Zoho o tanti altri, non sarà nemmeno necessario collegare un pen drive: tutto sarà accessibile via Internet, dal PC pubblico o dal proprio PC ma via hot spot pubblico.

Tutto perfetto quindi? Non proprio. Bisogna infatti tener presente che la questione sicurezza, quando si accede a Internet da PC pubblico o tramite hot spot, assume particolare rilevanza, e questo soprattutto se l’utilizzo riguarda informazioni sensibili di interesse professionale, come e-mail, liste contatti, planning e così via: evidentemente non si desidera che queste informazioni possano venire intercettate.

Va infatti considerato che a parità di fragilità delle protezioni perimetrali del proprio computer, quando ci si trova sotto copertura di un hot spot pubblico, di fatto ci si trova potenzialmente nel “territorio di caccia” di eventuali attaccanti, che potrebbero conoscere e sfruttare a proprio vantaggio eventuali vulnerabilità nella protezione.

L’attaccante è anche favorito dal fatto che senza neppure doversi muovere si vede passare davanti tutta una serie di potenziali bersagli, fra i quali statisticamente non mancheranno quelli scarsamente protetti; inoltre, trattandosi di un’utenza di passaggio, in caso l’attacco alla segretezza delle credenziali abbia successo, e le credenziali vengano usate solo successivamente per attuare eventuali frodi, risulterà poi difficile risalire a quando e dove esse siano state carpite. Il rischio è insomma maggiore (e più insidioso) che se ci si trovasse in sede.

Si consideri anche che, se in una particolare sessione di collegamento ci si limita a leggere l’e-mail privata o ad accedere alla propria home page iGoogle per vedere previsioni del tempo o i propri feed RSS preferiti, vi è il rischio che delle credenziali di accesso apparentemente secondarie vengano intercettate e da lì un pirata esperto possa fare leva per un furto d’identità che, a seconda dei casi, potrebbe portarlo a fare acquisti su eBay, ottenere password sfruttando la funzione “password dimenticata” con inoltro al proprio account privato, e così via.

Infatti, a causa dell’intreccio reciproco che spesso si viene a creare tra registrazioni, siti e account di posta privati e professionali, tutti i propri dati accessibili su Web, siano essi professionali o altro, sono potenzialmente vulnerabili se è presente una “breccia” qualsiasi nella protezione della propria identità digitale.

È per questo che le cautele abitualmente applicate per la protezione a casa o in ufficio devono essere rigorosamente applicate, anzi se possibile rafforzate, quando l’accesso viene fatto tramite infrastruttura pubblica. Vediamo quindi che cosa fare e che cosa non fare quando ci si trova in questa situazione.

Usare protezione Wi-Fi al massimo grado possibile
In realtà questo accorgimento non è sotto il controllo di chi si collega all’hot spot: l’abilitazione di una protezione crittografica e il suo tipo e lunghezza di chiave vengono scelti da chi ha configurato l’access point, e i client non possono fare altro che uniformarsi.

È però sensato fare attenzione, nella finestra di Windows Visualizza Reti senza fili disponibili, al tipo di protezione che è stata impostata: se la rete è totalmente priva di protezione, meglio non far circolare informazioni sensibili, a meno che la connessione con il sito di destinazione non avvenga mediante SSL (indicata dalla presenza di HTTPS nella barra di indirizzi).

Se invece la protezione è presente, ma è WEP, si ricordi che è facilmente neutralizzabile da pirati di media esperienza, pertanto se i dati sono importanti oppure da essi si possono ricavare credenziali di accesso a dati importanti la si deve considerare equivalente a nessuna protezione.

In questa situazione è meglio limitarsi a visitare siti puramente informativi, per orari aerei, previsioni del tempo e news, ma astenersi dall’usare siti che richiedono di immettere le proprie credenziali (anche “solo” per leggere la posta elettronica, per una web chat, un forum o un social network). Se l’hot spot è malamente protetto ed è necessario effettuare operazioni che comportano l’uso di dati sensibili, meglio usare una connessione attraverso il telefono cellulare, se possibile e se non troppo costosa.

Se, invece, la protezione dell’hot spot è basata su WPA o WPA2, la tratta radio si può considerare adeguatamente protetta, almeno per quanto oggi possibile; restano, naturalmente, validi i rischi relativi al resto del percorso dati.

Spegnere il Wi-Fi appena non serve più
Il Wi-Fi consuma energia e apre una potenziale via d’attacco alla sicurezza del proprio PC e dei dati e credenziali memorizzati su di esso. Due buone ragioni per attivarlo solo quando effettivamente necessario per la navigazione e poi spegnerlo. Per esempio, se tutto quello che si deve fare è leggere la posta e rispondere, è consigliabile attivare il Wi-Fi solo per la fase necessaria a scaricare i messaggi, poi disattivarlo mentre li si legge e si preparano le risposte; solo al termine, al momento di inviare le risposte, si potrà brevemente riattivarlo. Si guadagnerà sia in sicurezza sia in autonomia della batteria.

Disattivare il Wi-Fi è facile e non richiede neppure di usare sequenze di comandi Windows: alcuni portatili hanno un pulsante dedicato che disattiva le funzioni wireless, molti altri prevedono una combinazione di tasti (in genere con il tasto Fn) e messaggi di conferma che appaiono in sovrimpressione sul video.

Mai abilitare il salvataggio persistente di credenziali nei siti visitati
Tutti i siti e servizi Web in cui è necessaria registrazione richiedono di immettere le credenziali per l’accesso. Per comodità molti di questi siti prevedono una funzione con cui è possibile far “ricordare” al sito stesso le credenziali: in questo modo l’accesso è più comodo e non bisogna sforzare troppo la memoria.

Attenzione: la funzione è riconoscibile per il fatto che il pulsante di abilitazione si trova nella pagina Web stessa e non nei menu a scomparsa del browser. La funzione non va quindi confusa con l’analoga funzione offerta anche dal browser, che funziona in un altro modo (ne parliamo nel prosieguo dell’articolo).

Nel caso di funzione implementata dal sito, le credenziali vengono salvate come cookie nel browser del PC usato per la navigazione. Pertanto, se la funzione viene abilitata e le credenziali immesse una prima volta e poi ricordate, e lo stesso PC viene poi lasciato libero e utilizzato da altri utenti, aprendo lo stesso sito questi utenti si troveranno automaticamente abilitati all’accesso dell’utente che li ha preceduti su quel sito!

Evitare se possibile di immettere informazioni sensibili
Certo tutti i siti di e-commerce sono adeguatamente protetti con SSL (HTTPS) e attentamente controllati dai rispettivi gestori per renderli il più possibile immuni ad attacchi alla sicurezza delle credenziali, come il cross-site scripting.

Quindi, in condizioni normali, è ragionevole fidarsi delle protezioni previste e si possono effettuare accessi e acquisti in tranquillità. Quando, però, ci si trova in trasferta, il contesto generale di sicurezza (rete, applicativi, proxy, intercettazioni su tratta Wi-Fi o lato router) è un po’ meno sotto controllo.

In questo caso, a titolo prudenziale, è quindi preferibile rimandare operazioni quali transazioni bancarie, acquisti con carta di credito, accessi a siti con autorizzazione permanente all’addebito su carta o conto corrente e così via, a meno che non siano strettamente necessari durante il viaggio (per esempio: acquisto biglietti, prenotazioni hotel).

Se è necessario comunicare un numero di carta di credito, ad esempio per confermare una prenotazione alberghiera, ed è possibile farlo a voce utilizzando il tradizionale canale telefonico, può essere preferibile scegliere questa via piuttosto che correre il rischio di essere intercettati per una falla di sicurezza del PC o della rete.

Usare le funzioni del browser per cancellare i dati a rischio
Durante la navigazione il browser accumula valori associati al sito visitato e salvati sul client (cookies), dati immessi nei campi delle form, password salvate, e così via. Lo scopo di questo salvataggio è ovvio: semplificare l’esperienza di navigazione risparmiando all’utente la fatica di ricordare e digitare molte informazioni nei siti più visitati. Il fatto che la funzionalità sia implementata direttamente dal browser ha il vantaggio di essere disponibile con qualsiasi sito, anche con quelli che non prevedono di per sé una propria funzione di salvataggio credenziali.

Lo svantaggio è che se abilitata su un PC pubblico, questa funzione fa sì che le credenziali e i valori immessi in una pagina da un utente restino visibili e utilizzabili anche dagli altri utenti che successivamente visiteranno quel sito usando lo stesso PC. Fortunatamente, le password vengono ricordate ma non visualizzate, cosicché, se non altro, è scongiurato il rischio che un utente possa banalmente trascrivere la password letta su schermo e usarla altrove.

Purtroppo, però, l’archivio in cui il browser salva queste informazioni non può essere considerato completamente sicuro. Se altri utenti avranno successivamente accesso allo stesso PC, esiste il rischio che l’archivio di credenziali e dati venga copiato, trasferito altrove e successivamente analizzato per decifrarlo. Così le password si riveleranno in chiaro e potranno essere utilizzate anche su altri PC. A questo punto il furto d’identità sarà compiuto e si schiuderà un varco, destinato ad allargarsi, sulla privacy complessiva dell’utente.

Il rimedio è disabilitare tutte le funzioni di salvataggio password e credenziali oppure utilizzare le funzioni di cancellazione a posteriori, prima di chiudere il browser.
Più interessante la funzione di navigazione “in incognito” proposta dalle ultime versioni di alcuni browser, con cui l’intera navigazione avviene in modo “privacy”, senza lasciare tracce e quindi senza bisogno di alcun intervento di “ripulitura” al termine di una sessione di navigazione.

Cifrare i file importanti prima di spedirli
È vero che il Wi-Fi utilizza già di per sé una tecnologia crittografica (WEP, WPA o WPA2) per proteggere i dati da intercettazioni, ma in primo luogo, come già osservato, se a essere usato è l’obsoleto WEP, di fatto è come se non vi fosse alcuna protezione.

Negli altri due casi l’intercettazione sulla tratta radio è decisamente più improbabile, ma è ancora possibile che un’intercettazione avvenga sulla tratta (cablata) fra access point e router, su cui non è usata una tecnica di crittografia: non conoscendo l’infrastruttura IT a cui ci si collega, si deve prudenzialmente assumere che questo rischio esista.

Quindi, la cosa migliore da fare, se si devono spedire informazioni importanti, magari come allegati alle e-mail, è cautelarsi ulteriormente provvedendo a crittografare il file prima di mandarlo.

Anche senza spingersi fino ad adottare software specializzati esclusivamente in cifratura (come l’ottimo open source TrueCrypt, in grado di creare anche intere unità disco virtuali crittografate e non solo singoli file), si tenga conto che molte utility di compressione, come WinZip o 7-Zip, prevedono la possibilità di proteggere i file compressi con password e cifratura “forte”, e costituiscono già una prima utile barriera di protezione.

Disabilitare l’accesso Wi-Fi ad hoc
Il Wi-Fi può funzionare in due modalità dette Infrastructure e Ad Hoc. Nel primo caso i PC client si collegano a un access point che fornisce la connettività verso Internet. Nel secondo caso i PC client si collegano fra loro in modalità punto-punto.

A meno di non configurarlo diversamente, Windows rileva ed elenca entrambi i tipi di rete ed è quindi possibile che l’utente inavvertitamente selezioni una connessione punto-punto.

Così facendo, il PC si collega, non ad un access point del gestore dell’hot spot pubblico, ma direttamente a un altro computer. Se quest’ultimo è configurato in modo tale da consentire il transito verso Internet, l’illusione di essersi collegati a un access point (magari con la “sicura” protezione WPA o WPA2) sarà completa e l’utente, sentendosi ragionevolmente al riparo da rischi, comincerà a navigare e scambiare informazioni. Purtroppo queste informazioni transiteranno tutte, in chiaro, sul PC a cui ci si è collegati e qui potranno essere intercettate!

È quindi bene disattivare il rilevamento delle reti Wi-Fi ad hoc usando l’apposita funzione di Windows: Visualizza reti senza fili disponibili, Cambia impostazioni avanzate, Reti senza fili, Avanzate, Solo reti con punto d’accesso.

Chiudere le applicazioni e uscire dalla sessione
Su PC pubblico, non allontanarsi dal computer prima di aver chiuso una per una tutte le applicazioni e poi aver chiuso la sessione (attenzione: chiuso la sessione e non semplicemente premuto Windows-L oppure aver scelto Cambia utente).

Usare le funzioni di “pulizia” dei browser e delle applicazioni usate che le prevedono. Cancellare se possibile i file temporanei di Windows. Se il PC lo consente, effettuare anche un riavvio del sistema.