La necessità di implementare una tecnologia di crittografia più sicura con la quale proteggere i dati degli utenti potrebbe presto escludere tutti i possessori di dispositivi troppo vecchi per supportare l’aggiornamento.
di Signe Brewster
Temendo di perdere utenti in alcune delle regioni più povere ed oppresse del mondo, fornitori quali Facebook e CloudFare stanno avanzando richieste per un passaggio più graduale al nuovo standard di crittografia Web che proteggerà tutto, dai siti di social media alle transazioni online.
A partire da questo mese, i browser dovrebbero cominciare ad escludere l’algoritmo conosciuto come SHA-1 al fine di sostituirlo con il suo successore, lo SHA-2, entro il 2017.
Facebook e CloudFare, che fornisce connessioni sicure e veloci per le pagine Web, vorrebbero permettere ai possessori di dispositivi non compatibili con lo SHA-2 di continuare a utilizzare lo SHA-1.
Quando gli utenti di Internet visitano un sito protetto, lo scambio di informazioni a due vie viene protetto in parte da uno strumento di crittografia conosciuto come funzione hash. Questi algoritmi convertono un qualunque messaggio in un unico miscuglio di lettere e numeri che assicura la provenienza del messaggio dalla fonte corretta. In presenza della dicitura “https” all’interno dell’URL, è possibile che il sito web visitato stia utilizzando lo SHA-1. Questi saranno i primi siti il cui accesso verrà negato ad una piccola porzione di utenti della rete.
Dalla metà degli anni ’90, due funzioni hash hanno ricoperto il ruolo di principali protettori dei browser per consumatori. Con l’aumentare della potenza di calcolo, e il diminuire dei costi, la facilità con cui è possibile violare questi strumenti è cresciuta. Il secondo sistema, denominato algoritmo MD5, è stato rimosso nel 2008 dopo che alcuni ricercatori hanno identificato una serie di gravi difetti di sicurezza. Si stima che il costo per una violazione del hash SHA-1 si aggiri oggi intorno ai $100.000 – una cifra che continuerà a scendere.
“Le persone hanno praticamente riconosciuto che quanto è accaduto con l’algoritmo MD5 ha probabilità sempre più alte di verificarsi con lo SHA-1”, spiega il CEO di CloudFare, Matthew Prince.
La soluzione più efficace consiste nel sostituire lo SHA-1 con il più sofisticato SHA-2. Rispetto a MD5 e SHA-1, che sono sempre stati compatibili con i dispositivi commerciali, lo SHA-2 è stato implementato per la prima volta nel 2001. I possessori di dispositivi datati – in particolare i telefoni cellulari più comuni nei paesi di Africa ed Asia – potrebbero restare tagliati fuori dai siti web crittografati e non disporre delle risorse per effettuare un aggiornamento. CloudFare stima che il 6.08 percento dei browser in Cina non dispone del supporto per lo SHA-2. In Siria, si parla invece del 3.63 percento.
Richard Barnes, capo della sicurezza Firefox presso Mozilla, dice che la società ha rilevato che solo il 3 percento dell’intero traffico web utilizza il sistema di validazione SHA-1.
“L’interruzione dell’esperienza online di questi utenti è positiva per la rete”, dice Barnes. “L’impiego di un software antiquato è pericoloso; oltre a richiedere una crittografia ormai compromessa, un vecchio software presenta solitamente altri problemi di sicurezza che sono già stati risolti nelle versioni più recenti”.
Se esiste alcuna ragione per continuare a supportare lo SHA-1, è affinché gli utenti trovino il tempo per scaricare un nuovo software in grado di supportare l’aggiornamento, dice Barmes. Firefox aveva già abbandonato lo SHA-1 lo scorso anno, ma si era poi vista costretta a recuperarlo dopo aver rilevato un forte calo nei download di Firefox. Gli utenti con browser più vecchi non potevano più connettersi a mozilla.org per scaricare il nuovo software compatibile con il sistema SHA-2.
Con il continuo calare dei prezzi, anche lo SHA-2 diventerà obsoleto e necessiterà di un successore. Molti degli odierni dispositivi non supportano lo SHA-3. Tecnologie come l’informatica quantistica potrebbero improvvisamente rendere l’intera famiglia di algoritmi facile da infrangere.
“Questa è una pratica che dovremo ripetere più volte”, dice Prince. “L’allestimento di un meccanismo con il quale supportare responsabilmente i vecchi sistemi nel periodo di transizione a quelli moderni è semplificherebbe l’intero processo di migrazione”.
(MO)
