Un discorso completamente diverso è quello legato all'identificazione in rete tramite certificato di autenticazione client. In questo caso, l'elenco delle crittazioni e dei livelli di sicurezza è piuttosto lungo e ben strutturato, ma le criticità non mancano e non sono colpa di chi ha pensato alla protezione dei dati.
I dati vengono sempre scambiati tramite chip NFC, quindi su onde radio, ma stavolta Il canale di comunicazione viene stabilito tramite un protocollo di scambio di chiavi Diffie Hellman, che evita l'intercettazione dei dati da parte di malintenzionati.
Il problema, però, è che arriva il momento di elaborare questi dati e chi sta cercando di carpirli sa quando agire.
"Se il passato ci insegna qualcosa" – ci dice sempre Stefano Lamonato – "è proprio che, quando i cyber-criminali hanno interesse ad accedere a delle informazioni, faranno di tutto per riuscirvi. Già nel 2008 i malware della famiglia Zeus erano in grado di sottrarre i certificati digitali di autenticazione, certificati che oggi ritroviamo nelle specifiche della CIE3 proprio come il dato presente nella carta. Lo stesso Zeus era anche in grado di inserirsi in modo trasparente nelle comunicazioni del client infetto, con la possibilità di intercettare e modificare i dati in transito nelle sessioni di navigazione Web sia HTTP che HTTPS."
Quindi il rischio c'è perché se questo tipo di autenticazione deve avvenire su dispositivi esposti al pericolo di malware, come un qualsiasi computer collegato a Internet, allora i nostri dati non sono al sicuro.
Addirittura, c'è una pericolosa analogia che ci chiarisce meglio quando i dati potrebbero essere attaccati.
Lamonato, infatti, avverte: "Particolare attenzione andrà posta, inoltre, su come gli applicativi gestiranno le informazioni della carta una volta lette. Tali informazioni saranno infatti temporaneamente memorizzate nella RAM del client, dove malware evoluti (come quelli per i sistemi POS) potrebbero facilmente accedervi. In questi scenari, pertanto, i dati accessibili da un malware sono gli stessi richiesti dall'applicazione per svolgere le sue funzioni o dal portale online per erogare la prestazione al cittadino."
Un altro ricercatore, che però preferisce rimanere anonimo, ci fa anche notare che uno dei sistemi di hashing usati (SHA1) è ormai considerato insicuro e sebbene gli altri strati di sicurezza dovrebbero escludere falle nella sicurezza, ci si chiede perché inserirlo tra le specifiche…
In definitiva, il lavoro fatto sulla CIE non è malvagio, ma molta della sicurezza dipenderà da come verranno gestite le autenticazioni. Organizzare dei servizi per il cittadino che prevedano autorizzazioni "importanti" tramite web da operare sui PC personali è un rischio perché la diffusione del malware sui computer privati è elevata e i cyber criminali troverebbero in fretta un modo per raccogliere i dati.
Limitare l'uso a terminali dedicati è invece molto più sensato da un punto di vista della sicurezza, ma ne diminuirebbe la comodità. Un lettore intermedio, appositamente creato per la Pubblica Amministrazione, potrebbe ovviare al problema, ma non ci resta che attendere gli sviluppi per capire quali saranno i reali pericoli e quali le contromisure da adottare.