In questo articolo Indice dei contenuti 3 sezioni
Conservare i file sul cloud è diventato un gesto automatico, tanto che quasi nessuno si ferma a chiedersi cosa stia caricando davvero su Google Drive, iCloud, OneDrive o Dropbox. Questi servizi sono considerati sufficientemente sicuri anche per documenti importanti, a una condizione: che l’account sia protetto come si deve. Il punto delicato, però, non riguarda tanto i dati riservati in sé, quanto quelle informazioni che permettono di entrare altrove, recuperare password o decifrare archivi.
Fotografie scattate con lo smartphone, copie delle bollette, documenti di lavoro, perfino la scansione della carta d’identità. Tutto finisce nella nuvola, spesso senza distinguere la natura dei file. Eppure una differenza sostanziale esiste. Una cartella clinica, per quanto delicata, rimane un documento. Una password, un codice di recupero o una chiave crittografica sono un’altra cosa, perché chi le ottiene può usarle per aprire porte da qualche altra parte.
Il mito dei documenti sensibili nella nuvola
Su questa distinzione insistono organizzazioni come la Cybersecurity and Infrastructure Security Agency (CISA), il National Institute of Standards and Technology (NIST) e il National Cyber Security Centre britannico. Nessuna di queste demonizza il cloud, anzi. L’agenzia britannica sostiene praticamente l’opposto: anche un servizio che ospita dati molto sensibili può essere adeguato, ma più gravi sarebbero le conseguenze di un furto o di una diffusione, maggiori devono essere le garanzie pretese dal fornitore. CISA e National Security Agency raccomandano che i dati sensibili conservati online siano cifrati sia durante il trasferimento sia a riposo, ovvero quando si trovano sui server del provider. La cifratura, cioè la tecnica che rende i dati leggibili soltanto a chi possiede le chiavi di decodifica, è ciò che separa un servizio sicuro da uno che non lo è. Google Drive, OneDrive, Dropbox e iCloud applicano la cifratura di default, in transito e a riposo. Nemmeno le aziende a cui vengono affidati i file possono leggerli. È un tema tecnologico ma anche politico: il 4 agosto scorso Apple ha scelto lo scontro diretto con il governo britannico, che per contrastare alcune forme di crimine vorrebbe un accesso privilegiato ai dati crittografati degli utenti.
Le trappole che dipendono da chi usa il servizio
La cifratura non porta la sicurezza al 100%, perché entrano in gioco le abitudini delle persone. Il rischio maggiore resta il furto delle credenziali, reso molto più semplice da password debolissime o riutilizzate su più servizi. L’autenticazione a due fattori, che affianca alla password una seconda verifica come un codice ricevuto sul telefono o generato da un’app, aggiunge un livello di protezione concreto. Qualche attacco è riuscito ad aggirarla ingannando l’utente o rubando una sessione già autenticata, ma questo non significa che abbia smesso di funzionare. Rimane molto più difficile da compromettere di un accesso protetto dalla sola password, meglio ancora se affidata ad app di autenticazione o passkey invece che agli sms. Contro la condivisione accidentale di un file o contro l’accesso fisico di terzi a un dispositivo già collegato, invece, nessuna misura tecnica può fare molto.
Cosa non andrebbe mai caricato online
In cima alla lista ci sono i codici di recupero degli account. Quando si attiva l’autenticazione a due fattori, molti servizi generano una serie di codici di emergenza da usare quando il dispositivo abituale non è a portata di mano. Il NIST raccomanda di tenerli offline, stampati o trascritti a mano e custoditi in un luogo sicuro. Conservarne l’unica copia dentro lo stesso cloud a cui servono per accedere è un paradosso: se l’accesso salta, i codici diventano inutili. Un problema tanto diffuso che Google sta sperimentando un recupero basato su un video del volto del titolare dell’account.
La CISA insiste anche sui password manager, strumenti comodi e persino gratuiti, raccomandati a patto che la password principale non finisca nella nuvola, tanto meno in un file chiamato “password”. Chi entrasse nell’account senza autorizzazione si troverebbe in mano tutte le credenziali.
Un capitolo a parte riguarda il lavoro. Il dipendente che deve finire una pratica a casa e copia i documenti sul proprio spazio personale genera quella zona grigia chiamata shadow IT, dove dati e strumenti aziendali escono dai sistemi di controllo dell’impresa. Lo stesso file può essere perfettamente legittimo nel cloud scelto dall’azienda e trasformarsi in un problema una volta duplicato altrove. La domanda utile, alla fine, è sempre la stessa: cosa succederebbe se qualcuno mettesse le mani su quei file. Il furto di una fotografia può risultare indolore, quello di credenziali per altri servizi molto meno.
