Gli avversari e le loro motivazioni

I consigli di sicurezza che partono dagli strumenti prima che dalle persone di solito falliscono. La guida Surveillance Self-Defense dell’Electronic Frontier Foundation mette al primo posto la domanda giusta: non “cosa dovrei installare”, ma “da chi voglio proteggere [le mie informazioni]”. Un avversario è, nelle sue parole, “una persona o un ente che rappresenta una minaccia per i tuoi beni”. Prima di scegliere qualsiasi protezione, aiuta nominare contro chi sei davvero, perché un operatore di ONG, un avvocato difensore e un giornalista investigativo raramente affrontano lo stesso avversario.

Cosa distingue un avversario da un altro

L’unità di conoscenza NCAE-C sulle minacce informatiche organizza gli attori delle minacce attorno a ciò che chiama un modello dell’avversario: le loro risorse, capacità, intento, motivazione, tolleranza al rischio, e l’accesso che già possiedono. Due aggressori che vogliono entrambi la tua password possono apparire completamente diversi una volta poste queste domande. Un ladro di carte di credito ha il denaro come obiettivo, competenze modeste, e passerà a un bersaglio più facile nel momento in cui sembri troppo costoso da attaccare. Un servizio di intelligence governativo ha pazienza, ingegneri, copertura legale, e nessun motivo per arrendersi.

Quattro avversari che le persone a rischio affrontano comunemente

Perché lo stesso comportamento significa un rischio diverso per persone diverse

Un’ONG che documenta abusi, un avvocato che detiene il dossier di asilo di un cliente, e un giornalista che protegge una fonte gestiscono tutti informazioni che danneggerebbero qualcuno se trapelassero, ma la persona che ne sarebbe danneggiata e l’avversario che le vuole differiscono. Per l’ONG, un attore statale o un gruppo locale ostile potrebbe volere le identità dei testimoni. Per l’avvocato, la controparte del cliente o un governo ostile potrebbe volere il dossier. Per il giornalista, il datore di lavoro della fonte o un servizio di sicurezza statale potrebbe voler sapere chi ha parlato. Access Now, che gestisce una Digital Security Helpline per “gruppi della società civile, giornalisti, blogger, difensori dei diritti umani, e attivisti”, vede questo schema in tutti i casi che gestisce: lo strumento che conta è quello che risponde alla minaccia specifica, non un elenco generico di “buone pratiche”.

Anche gli insider e gli aggressori poco esperti contano

L’unità di conoscenza sulle minacce informatiche nomina anche due categorie facili da sottovalutare: la minaccia interna (qualcuno con accesso legittimo che ne abusa) e lo “script kiddie”, un aggressore con competenze limitate che esegue strumenti costruiti da altri. Un volontario scontento con il tuo database dei donatori, o un ex partner che conosce ancora il tuo codice di sblocco, può fare tanto danno quanto un attore più sofisticato, ed è statisticamente molto più probabile che sia lui ad agire davvero.

Nominare l’avversario cambia cosa fai dopo

Surveillance Self-Defense dell’EFF inquadra chiaramente il vantaggio: una volta che sai da chi stai proteggendo le informazioni, puoi decidere “quanti disagi sei disposto ad affrontare” per difenderle, e dove quello sforzo viene sprecato. Un avvocato preoccupato che la controparte citi in giudizio le email ha bisogno di abitudini diverse da uno preoccupato che uno stato intercetti le chiamate. La prossima lezione di questo corso segue l’attacco di un avversario specifico dal primo messaggio all’obiettivo; quella successiva trasforma “chi potrebbe prendermi di mira” in un modo ripetibile di soppesare probabilità e impatto.