Armando (Fondazione Kessler): "Nessun mercato senza reti sicure"

In una rete elettrica a due direzioni, che recepisce e veicola informazioni sui consumi e le abitudini degli utenti, la sicurezza è centrale. Sia che si tratti di reti infrastrutturali, e quindi di interesse nazionale, sia che si tratti di tutelare la privacy rispetto ai singoli cittadini.

“Mi sembra scontato che la parte delle grandi infrastrutture sarà di competenza diretta dei gestori, con personale specializzato e soluzioni all’altezza: quando ci si misura su queste scale di grandezza è sempre necessaria la massima attenzione, ma è più semplice tenere tutto sotto controllo. Le reti elettriche sono di fatto già interconnesse a livello transnazionale, e l’unica strada percorribile è quella di agire in ottica comunitaria, perché siano garantiti a tutti gli stessi standard di sicurezza”.

A parlare è Alessandro Armando, professore associato all’Università di Genova, Dipartimento di Informatica Sistemistica e Telematica, oltre che responsabile, al centro per le tecnologie dell’informazione della fondazione Bruno Kessler di Trento, dell’unità di ricerca “Security and Trust”.

La situazione si complica se dall’alta tensione si passa alle periferie, ai rami della rete dove c’è interazione con l’utenza finale. “In questi casi - continua il professor Armando - potrà succedere che, in applicazioni nuove, si svilupperanno sistemi di sicurezza con eventuali punti deboli. La progettazione di protocolli di comunicazione che utilizzano algoritmi crittografici per garantire ad esempio la confidenzialità dei dati scambiati o l’autenticazione dei soggetti coinvolti è un terreno subdolo. La letteratura parla di soluzioni pubblicate e analizzate dalla comunità scientifica, sviluppate e implementate, che dopo 17 anni hanno messo in evidenza vulnerabilità gravi. È un rischio connesso alla complessità dei sistemi”.
Un esempio per tutti, un “caso scuola” di cui proprio il professor Armando è stato protagonista due anni fa, è quello che si è verificato nell’ambito del progetto di ricerca europeo Avantssar, nato per sviluppare tecnologie di analisi della sicurezza delle piattaforme software orientate ai servizi.

In quell’occasione, analizzando i sistemi adottati dalle grandi compagnie sul web, si scoprì una “falla” nel protocollo di Google verso i clienti aziendali, che avrebbe messo a rischio il “single sign-on”, soluzione che consente agli utenti di accedere alle applicazioni di Google (Gmail, Docs, Calendar) utilizzando le credenziale dell’azienda per cui lavorano, e che quindi consente di editare documenti on line sui loro server, creare siti ecc. Se i dettagli della vulnerabilità fossero caduti in mano a malintenzionati le conseguenze avrebbero potuto essere pesanti, a partire dalla violazione della privacy degli utenti per arrivare alla sottrazione di segreti industriali. 

Ma il problema è stato segnalato in tempo a Google e al “Computer Emergency Response Team” statunitense, e l’azienda di Mountain View, insieme ai suoi clienti, ha potuto correre ai ripari modificando le applicazioni e il protocollo di autenticazione.
“Un problema del genere potrebbe verificarsi anche per le reti intelligenti applicate all’elettricità - afferma Armando - dal momento che sviluppare protocolli di sicurezza non è semplice, nonostante si stia investendo, anche molto, nello sviluppo di strumenti automatici in grado di identificare le criticità”.

I modi per rendere sempre più sicure le reti sono due, uno a monte e uno a valle: la prevenzione e il monitoraggio. Attraverso la prevenzione si possono identificare i problemi già in fase di progettazione, mentre attraverso il monitoraggio sarà possibile analizzare le attività che vengono effettuate nel sistema, studiando i comportamenti anomali e ponendovi rimedio - se fosse il caso - con rapidità. “Si tratta di approcci complementari - afferma ancora il professor Armando - che vengono utilizzati in momenti differenti del ciclo di vita dei protocolli di sicurezza”.

“Nell’ultimo decennio in questo ambiente si sono fatti grandi passi in avanti - conclude -. Gli strumenti in via di sviluppo consentono di identificare vulnerabilità che un tempo non sarebbero state notate, ma è chiaro che man mano che le applicazioni diventano più sofisticate aumenta anche la complessità dei protocolli. È una rincorsa continua. D’altra parte la sicurezza è una tecnologia abilitante: il mercato non accetta nuovi servizi online che su questo non offrano garanzie credibili. È un campo in cui o ci sono soluzioni sicure, o non ci sono soluzioni”.