Sono Contrario alla pentola a pressione perchè non si vede la cottura ! (M. Boldi)
Ha ragione Massimo Boldi
Per motivi di sicurezza nazionale gli USA hanno deciso di rimuovere tutto il software di casa Kaspersky da tutti computer che afferiscono alla P.A.
Il Fatto
Release Date:
September 13, 2017
For Immediate Release
Office of the Press Secretary
Contact: 202-282-8010
WASHINGTON – After careful consideration of available information and consultation with interagency partners, Acting Secretary of Homeland Security Elaine Duke today issued a Binding Operational Directive (BOD) directing Federal Executive Branch departments. and agencies to take actions related to the use or presence of information security products, solutions, and services supplied directly or indirectly by AO Kaspersky Lab or related entities.
The BOD calls on departments and agencies to identify any use or presence of Kaspersky products on their information systems in the next 30 days, to develop detailed plans to remove and discontinue present and future use of the products in the next 60 days, and at 90 days from the date of this directive, unless directed otherwise by DHS based on new information, to begin to implement the agency plans to discontinue use and remove the products from information systems.
This action is based on the information security risks presented by the use of Kaspersky products on federal information systems. Kaspersky anti-virus products and solutions provide broad access to files and elevated privileges on the computers on which the software is installed, which can be exploited by malicious cyber actors to compromise those information systems. The Department is concerned about the ties between certain Kaspersky officials and Russian intelligence and other government agencies, and requirements under Russian law that allow Russian intelligence agencies to request or compel assistance from Kaspersky and to intercept communications transiting Russian networks. The risk that the Russian government, whether acting on its own or in collaboration with Kaspersky, could capitalize on access provided by Kaspersky products to compromise federal information and information systems directly implicates U.S. national security.
https://www.dhs.gov/news/2017/09/13/dhs-statement-issuance-binding-operational-directive-17-01
Considerazioni
Che sia vero o falso , che sia una mossa della nuova guerra fredda che si combatte a suon di bit , ma una cosa è certa : le pubbliche amministrazioni e specialmente le strutture rivolte alla sicurezza non dovrebbero usare software di tipo chiuso.
Nella tipologia di software di tipo “chiuso” ci inserisco anche il firmware presente sulle apparecchiature attive che dovrebbero svolgere compiti di instradamento e sicurezza come switch , router e firewall.
Al “grande” pubblico il concetto di “rischio per la sicurezza nazionale” con l’utilizzo di apparecchiature “chiuse” , viene evidenziato dall UK.
e poi ripreso anche in USA
Il concetto è semplice : Come faccio a sapere che un firewall o un router comperato da un’azienda di uno stato terzo non abbia delle caratteristiche che lo rendano , in maniera attiva o passiva , pericoloso per la sicurezza nazionale ?
Dal 2012 ad oggi , in maniera sempre più massiva, si stanno utilizzando software e apparecchiature attive che di certo non vengono analizzati prima di essere utilizzati anche in ambito militare.
Non esiste una regolamentazione sull’utilizzo di “software chiuso” in Italia. (non ne ho mai letto o sentito e spero di sbagliarmi ) .
Immaginiamo per un attimo che , per la nostra dorsale di comunicazione digitale , si utilizzino router e altre apparecchiature attive provenienti da una determinata azienda. Immaginiamo solo per un attimo che esista un “bug” non “evidenziato” ma conosciuto. Le conseguenze sarebbero disastrose.
In altri paesi si usa la buona prassi di utilizzare software e hardware non attingendo ad un solo fornitore, effettuando scelte eterogenee così da cercar di limitare l’impatto di uno 0-day o del Lok-In.
Avete mai provato a prendere un’apparecchiatura attiva di fascia alta e di analizzare il suo comportamento trasmissivo a vuoto? Sniffante il traffico che genera prima off-line (non raggiungibilità di internet ) e poi On-Line ? Fatelo !
Alcuni paesi si stanno muovendo:
http://amministrazionelibera.org/?tag=india&i=1
In rete con il minimo sforzo , di pagine se ne trovavo a migliaia , quindi un po di ricerca non fa male .
Siamo in alto mare.