Trusted computing

Da Wikipedia, l'enciclopedia libera.

Un disegno di Benjamin Stephan che rappresenta il Trusted computing

L'espressione inglese Trusted Computing (TC) (letteralmente informatica fidata o calcolo fidato) si riferisce ad una tecnologia nascente, derivata da specifiche del Trusted Computing Group (TCG) – che ha ereditato quelle del Trusted Computing Platform Alliance (TCPA) – con l'obiettivo dichiarato di produrre computer più sicuri mediante l'uso di opportuni hardware e software.

Il termine deriva da trust (in italiano fiducia) ma assume un significato particolare: non significa necessariamente che sia affidabile dal punto di vista dell'utente, ma piuttosto che debba essere considerato fidato secondo i canoni imposti dai produttori. In linea teorica è possibile che i dispositivi che implementeranno tale tecnologia potranno, oltre che proteggere il software da manomissioni, imporre restrizioni su applicazioni ritenute non affidabili, in quanto non approvate dai produttori.

I sostenitori del TC sono le più grandi aziende dell'industria informatica mondiale, come AMD, hp, IBM, Intel, Microsoft e Sun e lo presentano come la soluzione per ottenere computer più sicuri, affidabili e meno attaccabili da virus e programmi nocivi. L'esercito USA è interessato a tale tecnologia e richiede che tutti i suoi computer ne siano dotati ^[1]^[2]

D'altro canto i critici di questa soluzione – soprattutto membri della comunità del software libero ed open source (a sorgenti aperti) – sostengono che un pericoloso effetto collaterale del TC possa essere quello di imporre delle restrizioni irragionevoli su come i legittimi proprietari possano usare i propri computer.

Esistono già sia l'hardware che il software che permettono di realizzare i meccanismi di controllo per i quali viene proposto il TC, e sono utilizzabili per l'amministrazione del sistema. È infatti l'amministratore che solitamente garantisce la sicurezza e decide il livello di fiducia del sistema. Le pratiche di amministrazione di un sistema sono però efficaci in modo direttamente proporzionale all'esperienza e alle capacità dell'amministratore stesso, qualità che nella maggior parte degli utenti desktop sono assenti. Le funzionalità del TC dovrebbero appunto sopperire con la tecnologia alle lacune degli utenti in materia di sicurezza.

La disapprovazione del TC da parte di alcuni esperti di sicurezza deriva dal fatto che tale tecnologia potrebbe aumentare la capacità di controllo dei sistemi da parte dei produttori hardware e software, in maniera che essi possano imporre quello che gli utenti hanno il diritto di fare con i propri dispositivi, e approfittarne per attuare meccanismi che minaccerebbero la libera competizione del mercato dell'Information and Communication Technology ed il libero sviluppo del software da parte dei singoli individui, come invece attualmente accade.

[modifica] I concetti base

Alla base del Trusted Computing vi sono i meccanismi di crittografia asimmetrica. Questi vengono applicati per i seguenti scopi:

Ogni singolo dispositivo (computer, CPU, telefono cellulare) è identificato univocamente da una sorta di passaporto elettronico
La crittografia è eseguita a livello hardware in modalità sicura
Le informazioni possono essere firmate con la chiave della macchina
Le informazioni possono essere cifrate con la chiave della macchina

[modifica] La natura della fiducia

Il termine fiducia (trust) significa qualcosa di diverso per gli esperti di sicurezza rispetto all'accezione che spesso gli attribuiscono i profani. Per esempio, la definizione di sistema fidato per il dipartimento della difesa degli USA è tale che esso possa compromettere la sicurezza di chi lo usa; ossia, «un sistema di cui sei costretto a fidarti perché non hai scelta». Il crittografo Bruce Schneier osserva che «computer "fidato" non vuol dire computer affidabile». Secondo quelle definizioni, gli utenti confidano che la propria scheda video mostri correttamente le immagini sullo schermo. La fiducia nel linguaggio della sicurezza è sempre una sorta di compromesso o di debolezza – a volte inevitabile, ma mai desiderabile in quanto tale. Ad esempio, è possibile che una paziente si fidi del proprio medico, ritenendolo una persona in gamba; ma è altrettanto possibile che sia l'unico presente nella località in cui il paziente vive cosicché quest'ultimo è costretto a fidarsi di lui.

La principale controversia sul Trusted Computing riguarda il significato di fiducia. Il Trusted Computing Group indica come "Technical Trust" (fiducia tecnica) il fatto che «un'entità può essere ritenuta fidata se si comporta sempre nella maniera attesa per gli scopi per la quale è stata pensata». I critici invece vedono un sistema "fidato" come un sistema al quale si è costretti a doversi fidare piuttosto che uno particolarmente affidabile.

I critici inoltre sono preoccupati del fatto che non si può vedere com'è realizzato l'hardware che implementa il TC per essere sicuri che sia realizzato correttamente e non contenga delle backdoor (meccanismi in grado di garantire l'accesso non autorizzato a chi ne conosce presenza e uso -precedente inquietante il caso del Clipper Chip- ) o funzioni nascoste che possono rappresentare un rischio per la sicurezza del sistema e quindi, dipendentemente dall'ambito nel quale il sistema viene utilizzato, per la riservatezza o per la sicurezza di un'azienda o per la sicurezza nazionale. Le specifiche del TC sono pubbliche ma non lo sono le relative implementazioni. Allo stesso modo, molti sono preoccupati che i modelli crittografici ed i relativi algoritmi utilizzati diventino obsoleti. Ciò potrebbe portare ad un'obsolescenza forzata dei computer con TC. Per esempio, nelle nuove versioni delle specifiche TC è stato aggiunto, e richiesto, l'algoritmo crittografico AES.

Mentre i sostenitori affermano che il trusted computing aumenta la sicurezza, i critici ribattono che non solo la sicurezza non ne trarrà alcun beneficio, ma il TC faciliterà anche la realizzazione del Digital Rights Management (DRM), lederà il diritto alla riservatezza e imporrà altre restrizioni agli utenti. Affidare la gestione dei computer in rete ad autorità di controllo (peraltro non associabili ad enti pubblici) piuttosto che ai singoli individui potrebbe creare fenomeni di censura informatica. Per i critici, bisognerà dunque contrastare il Trusted Computing con il secure computing (informatica sicura), in cui la principale preoccupazione sia quella dell'anonimato piuttosto che della trasparenza. I sostenitori del secure computing sostengono che è possibile ottenere della sicurezza addizionale senza passare il controllo dei computer dagli utenti a dei super-utenti.

I sostenitori del TC ritengono che le preoccupazioni sulla riservatezza siano prive di basi, poiché i consumatori manterranno la scelta tra sistemi basata sulle loro necessità individuali. Per di più, i sostenitori del TC asseriscono che alcune necessità richiedano dei cambiamenti a livello hardware per permettere al computer di agire come un sistema fidato.

[modifica] Terminologia correlata

Il progetto in questione è conosciuto con nomi diversi. Trusted Computing (informatica fidata) era il nome originale, ed è ancora usato dal Trusted Computing Group (TCG) e da IBM. Microsoft lo ha ribattezzato trustworthy computing (informatica affidabile). Intel ha da poco iniziato a chiamarla safer computing (informatica più sicura). Al contrario, Richard Stallman, informatico di fama mondiale e fondatore della Free Software Foundation, ha adottato il nome di treacherous computing (informatica infìda).

[modifica] Implementazioni di Trusted Computing

Una varietà di iniziative ricade all'interno del Trusted Computing: tra le più note si ricorda il progetto di Microsoft chiamato Next-Generation Secure Computing Base (NGSCB), precedentemente conosciuto con il nome di Palladium, che nei piani dell'azienda verrà incluso in future versioni di Windows Vista. Il Trusted Computing Group (TCG) redige le specifiche per la realizzazione di una sottosistema crittografico chiamato Trusted Platform Module (TPM), di modo che dispositivi prodotti da ditte diverse si comportino allo stesso modo nei riguardi dell'hardware e del software con il quale interagiscono.

Il TPM, come i microchip presenti nelle smart card, è un piccolo computer costituito da CPU, coprocessore crittografico e generatore di numeri casuali implementato in hardware (elemento essenziale per velocizzare alcune operazioni crittografiche), da canali di I/O, da RAM e ROM, da un proprio file system interno ed è dotato di un proprio sistema operativo. Tra le altre cose, esso permette di generare chiavi RSA e memorizzare dati in maniera sicura, conservando nel proprio file system le chiavi crittografiche usate per cifrare quei dati.

Intel sta lavorando alla sua implementazione di un TPM all'interno delle proprie CPU, tecnologia nota col nome di Trusted execution Technology; quella di AMD è conosciuta come Secure Virtual Machine[1] (SVM).

[modifica] Principali funzionalità

L'unità TPM, secondo le specifiche del Trusted Computing Group, avrà cinque principali funzionalità. Ognuna ha uno scopo diverso, anche se possono essere usate insieme. Perché siano attive, però, è necessario che anche il software in utilizzo ne implementi il supporto. Queste caratteristiche sono:

Endorsement Key
Input/Output sicuro
Memory curtaining
Sealed storage
Attestazione remota

[modifica] Endorsement Key

(Lett. Chiave di Approvazione)

L'integrità del sistema viene protetta da manomissioni e falsificazioni grazie ad una sofisticata tecnica crittografica che impedisce a emulatori software (ad esempio driver) di avviare una transazione sicura con un programma, un dispositivo hardware o un sistema remoto. Ciò sarà realizzabile mediante una coppia di chiavi RSA di 2048 bit che identifica univocamente ogni TPM .Tale coppia di chiavi ,detta Endorsement Key, è diversa per ogni chip e viene generata al momento della produzione del chip .In alcuni casi,ma non sempre, è revocabile (e dunque modificabile ) solo con una password fornita dal produttore . Il TPM è realizzato in modo che non esistano funzioni in grado di estrarre direttamente tale chiave, e lo stesso dispositivo hardware (secondo le specifiche) riconoscerà di essere stato manomesso . All'atto dell'instaurazione di una transazione sicura, i TPM coinvolti dovranno firmare un numero casuale per certificare la loro identità e la propria adesione alle specifiche TCG. Ciò potrà ad esempio impedire la falsificazione dell'IMEI di un cellulare rubato.

Le credenziali di Approvazione, Conformità e Piattaforma possono generare, su richiesta del proprietario, una Attestation Identity Key (AIK, lett. Chiave di Attestazione dell'Identità) univoca da sottoporre ad una Autorità di Certificazione Questa funzionalità potrà estendersi fino alla creazione di una vera e propria infrastruttura a chiave pubblica hardware e all'identificazione univoca di ogni dispositivo conforme alle specifiche TCG.

[modifica] Secure I/O

Le operazioni di input/output vengono rese sicure (da qui il nome di secure I/O) con l'utilizzo dei meccanismi di cifratura a chiave asimmetrica. Tutte le informazioni che transitano nei bus del sistema sono dunque cifrate. In questo modo è impossibile da parte di appositi programmi o meccanismi hardware carpire le informazioni scambiate tra la tastiera ed un'applicazione e tra l'applicazione e lo schermo, se questi inizializzano una transazione sicura.

Sul bus di collegamento tra CPU e TPM (se esterno al processore), i dati viaggiano sempre e comunque cifrati.

Principali indicazioni:

Un sistema di autenticazione biometrico potrà garantire all'utente che nessun programma spia intercetti, memorizzi e ritrasmetta i dati di accesso (impronte digitali, iride...). Vedi in seguito per ulteriori approfondimenti.
In infrastrutture semplici, si potrà garantire l'inefficacia di un keylogger (programma che monitora i caratteri digitati su tastiera) a carpire le chiavi (password) di accesso al sistema.
Si potrà impedire a programmi di cattura delle immagini visualizzate su schermo di tentare la lettura di un CAPTCHA o il salvataggio di immagini non copiabili, ad es. protette da copia non autorizzata.

[modifica] Memory Curtaining

(Lett. Separazione della Memoria)

Il memory curtaining prevede che l'hardware impedisca ad ogni programma la lettura e la scrittura delle zone di memoria (lo spazio in cui normalmente i programmi parcheggiano i dati che stanno elaborando in quel momento) utilizzate dagli altri applicativi in esecuzione.

Nemmeno il kernel del sistema operativo sarà in grado di accedere a tali zone di memoria, anche perché i dati in esse sono criptati, quindi le informazioni saranno al sicuro anche nel caso in cui un intruso riuscisse a prendere il controllo dell'intero sistema.

Qualcosa di molto simile può essere ottenuto anche con il software, ma l'approccio hardware fornisce una soluzione più elegante ed affidabile. Questo meccanismo può però anche rendere impossibili alcuni metodi di debugging (correzione degli errori di applicazioni difettose).

[modifica] Sealed storage

(Lett. memoria sigillata)

Il sealed storage protegge le informazioni per mezzo della cifratura, usando una chiave che deriva dal software utilizzato e dall'hardware su cui esso è in esecuzione. Questo significa che tali informazioni possono essere fruibili solo con la stessa combinazione di software ed hardware. Per esempio, gli utenti che tengono un proprio diario privato sul proprio computer non vogliono che altri programmi o altri computer siano in grado di leggerlo. Oggi, un virus (Sircam faceva qualcosa di simile) può cercare il diario, leggerlo e inviarlo a qualcun altro. Una volta caduto nelle mani sbagliate, anche se fosse protetto da una password, un cracker potrebbe tentare di accedere al diario lanciando un attacco basato su un dizionario. Si potrebbe accedere alle informazioni contenute nel diario dell'utente anche modificando il software di scrittura dello stesso.

Usando il sealed storage, il diario viene cifrato in modo sicuro in quanto soltanto il programma per la sua gestione (non modificato) presente in quel computer è in grado di accedervi.

[modifica] Attestazione remota

L'attestazione remota (remote attestation) permette a terzi di interrogare il sistema e di conoscerne lo stato, ovvero di rilevarne le sue variazioni. In questo modo si può evitare che informazioni riservate siano inviate da un computer compromesso o non sicuro, o che da questo siano ricevuti comandi "pericolosi". Il meccanismo si basa su un certificato digitale, generato dall'hardware, che riporta quali software sono in esecuzione al momento. Il sistema può presentare tale certificato ad altri sistemi remoti per mostrare che esso non è stato compromesso.

L'attestazione remota è di solito effettuata per mezzo della cifratura a chiave pubblica, in modo tale che le informazioni scambiate possano essere lette soltanto dai programmi coinvolti nell'attestazione, e non da malintenzionati.

Per riprendere l'esempio del diario, il programma per la sua gestione potrebbe inviare le informazioni contenute in quest'ultimo ad altri computer soltanto se questi sono in grado di attestare che su di essi è in esecuzione una copia sicura del programma di gestione dello stesso. Combinata con altre tecnologie, l'attestazione remota fornisce un canale più sicuro per i dati: l'I/O sicuro li protegge in fase di digitazione sulla tastiera e di visualizzazione sullo schermo, il memory courtaining li protegge mentre questi vengono elaborati, il sealed storage quando vengono salvati sul disco fisso; infine l'attestazione remota protegge i dati dal software non autorizzato anche quando questi vengono utilizzati su altri computer.

[modifica] Indicazioni

Le indicazioni del Trusted Computing comprendono la possibilità di creare applicazioni sicure per i produttori e/o gli utenti finali.

[modifica] Protezione da virus e programmi spia

La firma digitale del software potrà permettere agli utenti di riconoscere le applicazioni originali create da produttori di cui egli si fida, distinguendole da versioni false contenenti componenti di codice maligno. Ad esempio, in rete circolano molte versioni fasulle del popolare programma di messaggistica istantanea MSN Messenger, spacciate per originali ma arricchite di spyware (programmi spia), scaricabili da siti che imitano in tutto la grafica del sito originale. Il Sistema Operativo, verificando la mancanza di una firma digitale valida e constatando che il programma si spaccia per prodotto Microsoft, potrebbe avvertire l'utente che il programma non è affidabile. Si noti che le versioni espanse o i client che si appoggiano alla rete MSN di norma dichiarano l'autore (mediante l'infrastruttura PKI).

Anche se il Trusted computing è indicato come mezzo per rendere il sistema inattaccabile dai virus, Microsoft ha negato che tale funzionalità sarà presente con la semplice introduzione della sua architettura NGSCB, in quanto la maggior parte del software, inizialmente, sarà il software attuale, "non protetto". Tuttavia il colosso di Redmond afferma che il Trusted computing potrà essere utilizzato dai produttori di software come piattaforma di sviluppo per creare antivirus e firewall di nuova generazione, che possono essere avviati in uno stato di esecuzione "protetto" e quindi non manipolabile da virus e programmi spia.

[modifica] Misure di prevenzione degli imbrogli nei giochi online

Spesso nei giochi in linea viene lamentata la possibilità da parte di certi giocatori (cheater) di imbrogliare mediante l'uso di bot, cioè giocatori virtuali governati da intelligenze artificiali, o modificando la propria copia del gioco per avere un vantaggio sugli altri giocatori. Grazie alla combinazione di Remote Attestation, secure I/O e memory curtaining, il server, e allo stesso tempo gli altri client, avranno la certezza dell'onestà dei partecipanti alla sfida, ovverosia della genuinità della loro copia del gioco.

[modifica] Sistemi di Digital Rights Management

Per approfondire, vedi la voce Digital Rights Management.

L'introduzione dell'infrastruttura di calcolo fidato permetterà ai produttori di software la creazione di un sistema DRM (gestione dei diritti digitali, in pratica sistemi anticopia) praticamente inviolabile, impedendo la duplicazione non autorizzata di programmi o materiale audiovisivo.

Grazie al Sealed Storage i brani scaricati via Internet o memorizzati su supporto fisico (es. CD Audio) potranno essere crittografati in modo da poter essere letti soltanto da un programma (in caso di brano scaricato anche l'hardware in uso potrebbe venire considerato) sicuro che, grazie al memory curtaining impedirà l'intercettazione della forma decrittografata del brano, e grazie al secure I/O non permetterà ad altri programmi di spiare i buffer della scheda audio (aree di memoria tampone contenenti i flussi audio che stanno per essere riprodotti) né sostituire la stessa con un impianto di registrazione professionale. Allo stesso modo il software potrà tutelarsi da copie non autorizzate.

[modifica] Protezione dal phishing

Correntisti sicuri

Grazie all'uso della Remote Attestation, sarà possibile tutelarsi dal crescente fenomeno del phishing eseguendo una verifica sull'integrità del server bancario con cui si tenta una transazione sicura. Le specifiche del TPM prevedono che determinate chiavi di accesso memorizzate nel dispositivo (es. il PIN di accesso al conto corrente bancario) possono essere attivate solo se il richiedente rispetta i requisiti di attestazione. Non solo il browser con supporto TC (TC-enabled in gergo) potrà determinare la validità del sito internet anche in caso di improbabile camuffamento del DNS, ma lo stesso TPM non rilascerà la chiave, con la solita tecnica della firma di un numero casuale, a nessuno se non agli interlocutori autorizzati: nell'esempio il server bancario in questione.

Inoltre lo stesso server, mediante AIK e Remote Attestation, potrà distinguere se l'utente sta operando dal proprio PC di casa o da un'altra postazione (es. imponendo un tetto massimo alle operazioni, contattando telefonicamente per conferma) qualora egli abbia preso accordi in merito con la propria banca.

[modifica] Possibilità dell'uso della biometria in Rete

Bancomat biometrici in Giappone

Per approfondire, vedi la voce Biometria.

Uno dei principali ostacoli alla diffusione della biometria in una Rete di Calcolatori è la non revocabilità delle credenziali di accesso. Una password d'accesso può essere cambiata, un certificato digitale revocato, ma le impronte digitali o le creste dell'iride non possono essere cambiate nel momento in cui qualcuno entri in possesso di tali informazioni.

Pensiamo nuovamente all'autenticazione in un sistema bancario, stavolta con impronte digitali. Le impronte dell'utente vengono trasformate dal lettore in una sequenza di bit, ossia in forma digitale. Tale sequenza di bit verrà poi inviata al server per l'autenticazione. Se per assurdo un utente malevolo entrasse in possesso di tale codifica digitale, potrebbe facilmente riutilizzarla per autenticarsi al posto del legittimo utente con un client ad hoc che simula il comportamento del lettore. E non ci sarebbe più modo per l'utente di utilizzare servizi di autenticazione biometrica perché qualcuno ha già le sue credenziali.

Con la tecnologia attuale, una connessione SSL garantisce che nessuno possa intercettare la sequenza di bit rappresentante le impronte suddette, ma la presenza di uno spyware sul PC permetterebbe un'intercettazione delle impronte direttamente dal lettore con le conseguenze catastrofiche di cui sopra.

Le soluzione al problema è praticamente unica: fare in modo che dal bus del lettore esca una sequenza criptata non leggibile da nessuno tranne un software fidato. Con il secure I/O è possibile realizzare questa soluzione in tutta sicurezza.

[modifica] Protezione dal SimUnlock

Molti operatori di telefonia cellulare, come H3G, propongono al pubblico l'acquisto di un telefonino ad un prezzo ridottissimo a patto di utilizzarlo solo ed esclusivamente con la carta SIM abbinata e viceversa. Molti clienti, per usare il cellulare con schede di altri operatori a tariffe più convenienti e/o per usare la scheda su un altro telefonino:

sovrascrivono il software del cellulare in modo da fargli accettare tutte le SIM card GSM/UMTS (il c. d. SimUnlock);
sovrascrivono l'IMEI di un secondo apparecchio da usare con la scheda.

Grazie all'utilizzo di un opportuno TPM nei cellulari soggetti a blocco, sarà impossibile l'avvio con un software diverso da quello specificatamente approvato dal costruttore. Inoltre l'operatore potrà usare l'Endorsement Key per stabilire che l'utente non stia usando un cellulare manomesso.

[modifica] Risultati sicuri dal calcolo distribuito

L'uso dell'attestazione remota potrebbe permettere agli ideatori di un programma di calcolo distribuito che i partecipanti al programma usino una versione trusted del software di elaborazione: in questo modo si può essere sicuri che i dati inviati da quel client siano corretti, ovverosia che non siano stati deliberatamente alterati dall'utente. Questo permetterebbe di effettuare simulazioni su larga scala (per esempio simulazioni climatiche) avendo la certezza che i partecipanti non forniscono dati falsi: ciò assicura che i risultati globali della simulazione siano autentici.

[modifica] Controindicazioni

É disponibile una documentazione di approfondimento su Trusted computing.

Gli oppositori del Trusted Computing sostengono che le funzionalità che proteggono i computer dai virus e da eventuali attacchi esterni di malintenzionati vadano anche a limitare le possibilità di utilizzo del sistema da parte del proprietario. Le funzionalità di TC e, soprattutto, la sua struttura chiusa, osservano gli oppositori, potrebbero ritorcersi sul controllo del sistema da parte del legittimo proprietario.

Il noto crittografo di Cambridge Ross Anderson teme che

«il TC supporti la censura da remoto. Generalmente, gli apparecchi digitali progettati e costruiti per usare sistemi TC rimangono sotto il controllo delle aziende che li hanno costruiti anziché sotto quello del proprietario della piattaforma su cui questi sistemi vengono montati. Così qualcuno che scrive un documento che una corte ritiene diffamatorio, potrebbe essere obbligato a censurarlo – e se lui si rifiutasse di farlo, la corte potrebbe imporre di effettuare la cancellazione direttamente all'azienda produttrice del programma con cui è stato scritto il documento. Per il livello di controllo che permettono, possiamo aspettarci che i sistemi TC vengano usati per eliminare... testi che contestano leader politici.»

Continua affermando che

«i fornitori di software potrebbero rendere molto difficile il passaggio a prodotti dei loro concorrenti. In parole povere, Word potrebbe cifrare tutti i documenti con chiavi conosciute solo dai programmi Microsoft; questo vorrebbe dire che sarebbe possibile leggerli soltanto con prodotti Microsoft, e non con un qualsiasi programma di elaborazione di testi della concorrenza.

il maggior beneficio per Microsoft è che il sistema TC aumenterà notevolmente i costi di passaggio da un prodotto Microsoft (come Office) a uno concorrente (come OpenOffice). Per esempio, uno studio legale che volesse passare da Office ad OpenOffice, ora come ora, dovrebbe solo installare il nuovo software, istruire i dipendenti e convertire i propri documenti. In un arco di cinque anni, una volta che loro abbiano ricevuto documenti protetti con il TC da magari un migliaio di clienti diversi, dovrebbero ottenere il permesso (sotto forma di certificato digitale firmato) da ognuno di quei clienti per poter rendere leggibili i file dal nuovo software. Per motivi pratici lo studio legale non farà mai una cosa del genere, così che sarà ancora più legato al produttore del programma che usa (Office), e ciò darà a Microsoft la possibilità di alzare i prezzi dei propri prodotti.»

Anderson riassume il discorso dicendo:

	«Il punto fondamentale è che chiunque controlli l'infrastruttura TC acquisirà un enorme potere. Avere il controllo di questo è come far sì che tutti usino la stessa banca, o lo stesso fornitore d'accesso, o lo stesso avvocato. Ci sono molti modi con cui è possibile abusare di questo potere.»

Molti sono i timori derivanti dall'introduzione di una infrastruttura di calcolo fidato realizzata da coloro che hanno diretti interessi di mercato. Analizziamo i principali timori degli oppositori di TC.

[modifica] Impossibilità di cambiare software

Libertà di scegliere il proprio browser e il proprio lettore musicale

In precedenza è stato fatto l'esempio del diario. Il sealed storage, pur proteggendolo da codice maligno, non farebbe distinzione tra questi ed altri programmi utili, come quelli che potrebbero essere usati per convertire il diario in un nuovo formato o semplicemente editor migliori.

Un utente che volesse cambiare il programma per la gestione del proprio diario con uno alternativo (concorrente) potrebbe incontrare problemi come l'impossibilità per il nuovo programma di gestione del diario di leggere le informazioni presenti nel vecchio, perché queste potrebbero essere accessibili solo con il programma che aveva precedentemente.

L'utente potrebbe essere impossibilitato a leggere o modificare le informazioni presenti nel proprio diario se non lo fa per mezzo del programma con quale esso è stato creato. Se l'editor originale non permettesse l'esportazione dei file in una versione non protetta da sealed storage, l'utente si ritroverebbe costretto all'uso di tale programma.

C'è chi teme che Microsoft possa usare questa funzionalità per impedire a programmi come OpenOffice.org di leggere file prodotti con il pacchetto proprietario Office. La diffusione, ad esempio, di documenti Word in Rete da parte di una Pubblica Amministrazione o azienda dove Office è in uso da anni, costringerebbe tutti coloro che necessitano di leggere tali documenti ad acquistare una regolare licenza del pacchetto (ed eventualmente dell'intero sistema Microsoft Windows). Ciò, tuttavia, non dovrebbe essere realizzabile in quanto viola le norme antitrust, atte a impedire il monopolio di un soggetto nel mercato.

L'autenticazione remota potrebbe causare altri problemi. Attualmente i siti internet possono essere visitati con diversi browser (il programma che usiamo per navigare sul web), però alcuni siti possono essere realizzati (volontariamente o meno) in modo che qualcuno di essi non sia in grado di visualizzarli. Gli sviluppatori però hanno trovato il modo di aggirare questo problema facendo emulare dal browser usato questo o quell'altro programma, a seconda delle necessità del sito visitato. Per esempio, quando il sito MSN di Microsoft non faceva vedere le pagine ai browser non Microsoft, gli utenti potevano accedere a quelle pagine impostando il proprio navigatore per emularne uno Microsoft. Un sistema di autenticazione remota potrebbe rendere inutile ogni tipo di emulazione, cosicché siti come MSN potrebbero richiedere un certificato in modo da essere sicuri che in quel momento il visitatore stia effettivamente usando Internet Explorer. Viceversa, contestatori accaniti di Microsoft (come il gruppo che ha realizzato Explorer Destroyer[2]) potrebbero rivalersi contro Internet Explorer bloccandolo del tutto e scatenando una vera guerra dei browser.

[modifica] Perdita del controllo sui propri dati

Molti temono che con TC... qualcuno entrerà nei nostri PC

I contestatori del TC, vista la presenza delle maggiori etichette musicali e cinematografiche nel TCG, contestano che l'obiettivo unico di Trusted Computing sia quello di supportare in modo più rigoroso il meccanismo di gestione dei diritti digitali o Digital Rights Management (DRM): una tecnologia per evitare che gli utenti condividano e utilizzino, senza autorizzazione, file coperti da diritti d'autore o privati. Microsoft ha già annunciato una tecnologia DRM che farà uso del TC per Windows Media Player, e che forse vedremo in Windows Vista.

Il Trusted Computing può essere usato per attuare il DRM. Un esempio potrebbe essere all'atto del download (scaricamento) di un file musicale di un artista: gli artisti potrebbero fornire delle regole su come la loro musica può essere utilizzata. Per esempio, potrebbero volere che l'utente abbia la possibilità di fruire della loro opera solo tre volte al giorno, senza dover pagare altro. Inoltre potrebbero usare l'attestazione remota per inviare la loro musica solo ad un lettore musicale in grado di far rispettare le loro regole: il sealed storage impedirebbe all'utente di aprire il file con un altro lettore che non rispetta le restrizioni dell'editore, mentre il memory curtaining impedirebbe all'utente di fare una copia del file mentre esso viene riprodotto. Un eventuale watermark audio impedirebbe la riproduzione su sistemi trusted (muniti di supporto a TC) se l'utente registrasse il brano per via analogica con metodi convenzionali, ad esempio collegando l'uscita della scheda audio ad un impianto di registrazione.

Senza l'attestazione remota, questo problema non esisterebbe. L'utente potrebbe scaricare la canzone anche se non ha un lettore che non rispetta le restrizioni dell'artista e magari che permette la conversione della canzone in un formato "senza restrizioni" come l'MP3 o l'OGG.

[modifica] Difficoltà nel cambiare computer

Con il Trusted Platform Module facente parte integrante e indivisibile del personal computer (ad esempio se è integrato nella CPU), tutte le identità digitali (le Attestation Identity Key) utilizzate per proteggere i dati e i contenuti multimediali legalmente acquisiti sono, di fatto, "al di fuori della portata dell'utente". Per un utente che voglia cambiare computer (ad esempio per malfunzionamento), oppure utilizzare i suoi dati su più di una piattaforma, si presenta quindi un problema.

Le specifiche del TCG prevedono una procedura per il trasferimento delle AIK ad un altro TPM, ma tale procedure non può essere semplice, in quanto aprirebbe la strada a possibili violazioni alle restrizioni delle licenze d'uso di software, o di contenuti protetti da proprietà intellettuale, che utilizzino sistemi DRM legati alla tecnologia del TC. D'altro canto, chi volesse utilizzare l'infrastruttura TC del proprio computer per proteggere dati di cui è l'autore, vorrebbe avere la possibilità di trasferire facilmente tali dati anche su altri sistemi ai quali ha accesso, come è in grado di fare se utilizza soluzioni di protezione della privacy quali GPG o PGP.

In Europa, e in Italia in particolare (vedi ad esempio la carta d'identità elettronica), si sta facendo uno sforzo a livello governativo per fornire ai cittadini delle smart card per l'accesso ai servizi offerti dalla Pubblica Amministrazione, e quindi ad alcuni detrattori del Trusted computing (così come concepito finora) è venuta in mente come alternativa l'utilizzo di TPM "esterni". È il classico problema che nasce ogni qual volta si vuole utilizzare un'unica soluzione per proteggere interessi diversi e addirittura contrastanti: la stessa logica che propone di inserire il TPM nei componenti essenziali dell'hardware, cioè rendere ubiquo e obbligatorio tale elemento, pare impedire l'utilizzo di un TPM inserito in una smart card, e quindi "opzionale". Un componente esterno, ancorché più difficile da proteggere da alcuni tipi di manomissione e incidenti, ha il pregio di essere più semplice, riutilizzabile su qualsiasi personal computer e persino, per gli utenti preoccupati per la loro privacy, essere sostituito da altri dispositivi per l'accesso a un diverso tipo di servizio.

[modifica] Censura

Siti web all'indice?

I contestatori del TC, in base alla posizione dominante degli editori sui consumatori, temono che la possibilità di inibire l'uso di applicazioni non-trusted in favore di software closed-source (di cui non è possibile cioè conoscere il comportamento a priori) autoaggiornante in remoto possa permettere loro di controllare il flusso delle informazioni sulla Rete e la libertà degli utenti di consultarle.

Un giornale potrebbe richiedere, per poter scaricare i suoi articoli, che il computer dell'utente debba assicurare di leggerli usando uno specifico programma. A sua volta il programma di lettura richiesto potrebbe essere programmato per obbligare la lettura dell'ultima versione di un articolo. Questa forzatura della visualizzazione della "versione più recente" permetterebbe al giornale di "riscrivere la storia" cambiando o cancellando degli articoli, come accade nel romanzo 1984. Anche se un utente avesse salvato sul proprio computer l'articolo originale, il programma potrebbe rifiutarsi di visualizzarlo, una volta che sia a conoscenza che ne esiste una versione più recente.

I critici pensano che questo potrebbe avere degli effetti di congelamento su diversi fronti, quali la libera discussione politica, l'abilità dei giornalisti di utilizzare fonti anonime, la denuncia di cattive prassi, i blog politici e altre aree nelle quali il pubblico ha tradizionalmente goduto della protezione dell'anonimato contro le rappresaglie.

Ancora, se qualcuno ai piani alti valutasse che un determinato documento contenga informazioni "scomode", se lo volesse, sempre che abbia il potere di farlo, potrebbe rendere impossibile l'accesso al documento stesso a chiunque, anche al suo autore. Con il TC, chi ha in mano le leve del controllo ha la tecnologia per poter effettuare la censura di documenti, o di interi siti internet, senza nemmeno che le persone se ne possano accorgere. Ad esempio, un utente non si accorgerà dell'avvenuta censura di un sito se, quando tenterà di accedervi, riceverà in risposta che il sito non esiste: semplicemente il proprio browser si rifiuterà di visualizzarlo.

[modifica] Perdita dell'anonimato su Internet

Poiché un computer con tecnologia TC è in grado di dichiarare la propria identità, sarà possibile per i venditori, ed altri in grado di sfruttare la funzionalità dell'attestazione, ottenere dati sull'identità dell'utente di quel computer con un elevato grado di precisione.

Questa capacità è condizionata alla ragionevole probabilità che l'utente, in un certo momento, fornisca delle informazioni di identificazione, volontariamente o indirettamente. Un sistema comune per ottenere e collegare queste informazioni è la registrazione, da parte dell'utente, del suo computer subito dopo l'acquisto. Un altro sistema è la comunicazione delle informazioni di identificazione ad un sito internet di un affiliato al venditore.

Con le nuove tecnologie di identificazione come quelle biometriche e RFID, sempre più diffuse, è previsto che gli utenti del computer vengano identificati con molta accuratezza, e che sia disponibile un numero maggiore di informazioni su di loro. Mentre chi propone il TC sostiene che gli acquisti in linea e le transizioni di denaro possano essere ritenute più sicure grazie all'attestazione remota, questa schedatura potrebbe causare la perdita dell'aspettativa di anonimato da parte dell'utente durante l'utilizzo di Internet.

L'unico dubbio che gli scettici si pongono è quello delle modalità di utilizzo effettive dei dati personali ottenuti, specie in paesi come l'Italia dove la normativa sul trattamento dei dati personali è la più severa al mondo.

[modifica] Owner Override

La polemica nasce perché il Trusted Computing protegge il sistema da tutte le interferenze, persino dal controllo del proprietario. Una semplice soluzione a questo problema è quella di lasciare al proprietario dell'elaboratore la possibilità di controllare queste protezioni. Questa operazione è denominata Owner Override ed attualmente è abbozzata soltanto come un suggerimento di modifica. Prevede la possibilità da parte del proprietario di scavalcare le protezioni imposte dal dispositivo TPM sui dati sensibili.

Quando la Owner Override viene attivata, l'elaboratore utilizza il percorso sicuro di I/O per assicurarsi che ci sia fisicamente una persona presente e che tale persona sia il proprietario dell'elaboratore.

L'utente proprietario potrebbe decidere quindi di:

impedire l'attivazione del Trusted Platform Module;
alterare la propria identità, cioè la Attestation Identity Key;
generare false attestazioni;
gestire le proprie chiavi (non la Endorsement Key, ovviamente) salvate all'intero del TPM.

La prima funzionalità sarà probabilmente disponibile su tutte le piattaforme dotate di TC. Attraverso il tool di configurazione del BIOS, il proprietario della macchina potrà disattivare completamente il TPM in modo che il computer si comporti come una macchina di vecchia generazione. Ciò potrebbe ovviamente incidere sulla possibilità di utilizzare software che ha come requisito minimo il TPM (a meno di non usare un driver di emulazione software).

Con l'Attestazione Remota scavalcata, sarebbe possibile forzare l'elaboratore a generare false attestazioni – certificati che indicano che si sta usando Internet Explorer quando in realtà si usa Mozilla Firefox. Invece di riportare quando il software è stato modificato, l'attestazione remota indicherebbe al contrario quando il software è stato cambiato senza il permesso del proprietario.

Mentre sembrava che l'idea dell'Owner Override sarebbe stata approvata favorevolmente, alcuni membri del TCG hanno invece dipinto questa modifica come la potenziale rovina del movimento TC. L'Owner Override, se permettesse al proprietario di manipolare le informazioni di sicurezza, farebbe cadere l'intera idea di fiducia nei confronti degli elaboratori degli altri utenti, ossia il compito stesso dell'Attestazione Remota. La Owner Override continuerebbe a fornire tutti i benefici di sicurezza e di esecuzione sulla propria macchina, ma perderebbe tutta la capacità di accertare che un altro proprietario non abbia modificato le regole o le restrizioni sulla sua macchina durante le transazioni in Rete.

Se le major del cinema e della musica insistono per l'utilizzo obbligatorio di TC da parte di ogni dispositivo elettronico collegato in Rete, le aziende che di fatto produrranno i sistemi TC prevedono almeno la possibilità di disattivare in toto il TPM.

[modifica] Ostacoli tecnici

Il Trusted Computing, per poter funzionare efficacemente, richiede che tutti i produttori implementino le specifiche pubblicate dal TCG alla lettera per garantire l'interoperabilità tra i vari sistemi, ma già ora (con poche implementazioni del TPM in commercio) ci sono problemi di incompatibilità tra l'implementazione TrouSerS del TSS (Trusted Software Stack) della IBM e quella della hp (v. TrouSerS FAQ). Inoltre le specifiche del Trusted Software Stack (e anche altre specifiche fornite dal TCG) sono in continua evoluzione, aumentando così la confusione su quale sia l'implementazione "ufficiale".

[modifica] Praticità del Trusted Computing

I critici sostengono che il Trusted Computing abbia dei rilevanti problemi pratici: qualsiasi chip, incluso il TPM, può rompersi, e in quel caso deve essere aggiornato o sostituito. Ciò comporterebbe per l'utente la perdita dell'accesso ai propri dati: dati che possono essere di grande importanza e/o valore per l'utente stesso e che non potranno essere recuperati in alcun modo. Alcuni utenti ritengono che la possibilità di un tale evento sia inaccettabile. Un'altra critica molto pesante al TC è l'ipotetica impossibilità di accesso ai dati della macchina in caso di perdita delle password di accesso. Un sistema di crittografia automatica dei dati rende impossibile l'operazione di recupero dei dati (perché quasi sempre non è il sistema ad essere importante, ma i dati che contiene) per questo i sistemi di crittografia automatica vengono utilizzati solo in contesti relativamente ristretti, un implementazione a larga scala porterebbe ad una crescita esponenziale dei problemi per gli utenti di fascia medio/bassa. (dobbiamo ricordare che l'ipotetico scopo iniziale del TC è la protezione dei dati dell'utente - e non dall'utente) Basare i diritti d'accesso ai dati o l'identificazione dell'utente sull'identità verificabile di un qualche componente hardware pone inoltre il problema di come smaltire i rifiuti elettronici.

[modifica] Voci correlate

[modifica] Note

[modifica] Altri progetti

Wikisource contiene l'articolo "Puoi fidarti del tuo computer?" di Richard Stallman sul Trusted computing

[modifica] Collegamenti esterni

[modifica] Siti e documentazioni ufficiali

[modifica] Progetti che fanno uso di Trusted Computing

(EN) openTC - progetto sponsorizzato dalla UE per creare software open source che sfrutti il TC
(EN) TrouSerS - The Open Source TCG Stack
(EN) Enforcer - driver Linux per l'utilizzo di Trusted Computing
(EN) Trusted Java - API Java per Trusted Computing

Informatica

Progetto Informatica

Portale Informatica

BarCode

Questa è una voce in vetrina, identificata come una delle migliori voci prodotte dalla comunità.
Qualsiasi miglioramento che non comprometta il lavoro svolto è naturalmente sempre ben accetto.

Segnalazioni · Archivio
Voci di qualità in altre lingue
Voci di qualità in altre lingue senza equivalente su it.wiki

Estratto da "http://it.wikipedia.org../../../t/r/u/Trusted_computing.html"

Categorie: Sicurezza informatica | Voci in vetrina