Almeno una volta nella vita ci siamo ritrovati ad utilizzare un hotspot pubblico, sostanzialmente una connessione wireless completamente gratuita e non protetta da rete riscontrabile in diverse zone del territorio italiano.
La prima distinzione da fare è la tipologia di hotspot: se si parla di un servizio offerto magari da un esercizio commerciale di prestigio, da una biblioteca o addirittura dal comune in cui siete ubicati è possibile per la maggiore – e ripeto, per la maggiore, non sempre – navigare tranquillamente come se si stesse usando la propria connessione dati, d’altra parte bisogna prestare particolare attenzione a tutti quegli hotspot che si trovano “alla buona” e che, improvvisamente, compaiono come funghi nel nostro gestore di connessioni.
PREMESSA: in questo articolo faremo riferimento proprio alla seconda tipologia di hotspot.
Usare una WiFi pubblica a volte è un’autentica manna dal cielo, tuttavia ci sono da considerare i rischi per la sicurezza ad essa connessi. In particolare, va fatta molta attenzione sull’utilizzo di servizi e portali cui si accede tramite username e password. Vi racconto, per essere ancora più chiara, una piccola storia realmente accaduta qualche anno fa:
L’università che ho frequentato inaugurò un grosso hotspot semi-pubblico, non coperto da cifratura, ma che per essere utilizzato richiedeva quello che si definisce “weblogin” – l’immissione di un nome utente ed una password personali immediatamente dopo la connessione.
Per un periodo le cose funzionarono bene tuttavia, a causa di alcuni evidenti errori di configurazione, degli studenti smaliziati – ed abbastanza capaci – decisero di mettersi “in ascolto” su tale hotspot e di “rubare” letteralmente le credenziali d’accesso Facebook di alcuni malcapitati studenti. Ci riuscirono, ed è inutile dire che le bacheche delle povere vittime letteralmente pullulavano di messaggi strani e senza senso, da alcune “confessioni personali” fasulle a vero e proprio spam ossessivo.
Un delirio che fece scoprire il significato della parola SSL a molte, molte persone.
Appunto, SSL. Il “secure socket layer” che permette di cifrare i dati in transito dal server al computer ad un livello di rete relativamente basso e che rende molto difficile – a meno di non usare altri strumenti ad-hoc, ma state tranquilli che le competenze richieste in tal caso sono davvero molto avanzate – la loro intercettazione.
Diciamo in generale che le transazioni verso siti e portali di una certa importanza – vedi banche, poste, e-commerce e quant’altro – vengono gestite tramite SSL limitando notevolmente la possibilità di una fuga di credenziali d’accesso, tuttavia è bene considerare i rischi a cui si potrebbe essere esposti navigando tramite un hotspot pubblico e non protetto da chiave di rete:
I file configurati per la condivisione potrebbero essere visibili ad altri PC connessi alla WiFi
Uno dei “pericoli” più ovvi, ma spesso meno considerati, dell’accesso ad una WiFi pubblica: solitamente si tratta di un router e, in caso la connessione (da Windows) fosse contrassegnata come “Sicura” e le condivisioni fossero attivate, tutti gli altri computer o dispositivi collegati all’hotspot avranno la possibilità di visionare i file da voi condivisi. Una situazione abbastanza simile potrebbe verificarsi anche su Linux e Mac.
Esiste inoltre il rischio che all’hotspot pubblico siano collegati PC o dispositivi in generale infetti da qualsivoglia tipo di malware: in tal caso, qualora le condivisioni di rete fossero attive, il rischio di contrarre l’infezione sarebbe molto alto.
Difficoltà di accesso da terzi: molto bassa.
Soluzioni immediate: disattivare le condivisioni di rete, oppure contrassegnare l’hotspot in Windows come “Rete Pubblica”
Soluzioni avanzate: non necessarie.
Basta che l’utente spione sia in ascolto sull’hotspot e, tramite un semplice scanner, potrà intercettare tutto il traffico che da voi passa attraverso l’hotspot pubblico stesso. Se accedete a siti web, fate ben attenzione che questi siano protetti da SSL/TLS – https (controllando la presenza di https:// davanti al link), altrimenti è possibile che le vostre credenziali d’accesso siano lette.
Come detto poc’anzi per le connessioni protette SSL/TLS la cosa è un po’ diversa: non potranno essere decifrate le credenziali d’accesso ai siti, tuttavia il sito web su cui navigate apparirà comunque nello scanner.
Visto che parliamo di un hotspot non protetto, la cosa potrebbe essere ulteriormente semplificata se l’utente spione si collega alla vostra stessa rete.
Difficoltà di accesso da terzi: media.
Soluzioni immediate: nessuna.
Soluzioni avanzate: usare una VPN per navigare, dall’esterno si vedrà che siete su una VPN ma non si saprà cosa state facendo.
La WiFi pubblica potrebbe essere fasulla e i dati in transito completamente intercettati
Qui c’è bisogno di una spiegazione teorica leggermente più lunga, altrimenti potrebbe sembrare una palese contraddizione a quanto detto sino ad ora. Un attacco Man-in-the-middle (MiTM), nell’ambito della crittografia, è una tipologia di attacco aggressivo ed invasivo ben differente dal classico “listener” – l’utente che si mette in ascolto sulla rete e cerca di carpire dati interessanti – del quale abbiamo parlato precedentemente.
Per portare un esempio pratico in parole semplici, il MiTM segue lo stesso criterio dei depuratori per le falde acquifere: l’acqua parte dalla sorgente ed arriva comunque al nostro rubinetto, nel mezzo del percorso c’è comunque il depuratore a filtrarla o semplicemente analizzarla in maniera totalmente trasparente, senza che ci accorgiamo di nulla.
Seguendo questo esempio la sorgente d’acqua potrebbe essere il nostro sito web, il depuratore il nostro hotspot fasullo e, infine, il rubinetto il nostro dispositivo collegato alla rete. Non esiste una procedura standard per assestare un attacco MiTM, tuttavia nel caso di hotspot falso le tipologie d’azione potenzialmente utilizzabili sono due (incluse le loro varianti):
- un hotspot falso che intercetta tutti i dati web in transito sulla rete, li modifica e invia richieste e risposte modificate al sito web (o all’utente); questo è un approccio generalmente utilizzato per “dirottare” i dati in silenzio e di usare l’utente finale come un “mezzo” per fare qualcosa (che sia accesso illegale a qualche rete deep, nodo di una botnet o quant’altro); in questo caso, qualora tentiate di navigare in siti protetti da SSL/TLS, i dati resteranno comunque cifrati e non saranno visionabili dall’esterno;
- un hotspot falso che agisce a livello HTTP, in grado di modificare gli URL, qualcosa che si avvicina molto al phishing ma… decisamente più sofisticata: con alcuni tool ad-hoc (un esempio è ssltrip), un utente particolarmente smaliziato potrebbe essere in grado di configurare l’hotspot per falsificare letteralmente gli indirizzi web rendendoli, tramite l’ausilio di alcuni particolari caratteri, visivamente – ma non di fatto – identici a quelli originali. In questo modo un utente medio verrebbe facilmente tratto in inganno, inserirebbe le sue credenziali nella pagina web fasulla (ma identica all’originale) ed il danno sarebbe compiuto.
Difficoltà di accesso da terzi: molto alta.
Soluzioni immediate: evitare l’uso di hotspot pubblici per azioni che non siano semplici sessioni di navigazione web (niente social, niente transazioni, niente accessi tramite credenziali)
Soluzioni avanzate: configurare il dispositivo per la verifica obbligatoria dei certificati SSL; usare una VPN per navigare.
In definitiva
Usare una WiFi pubblica è comodo, soprattutto se gratuita, tuttavia può portare a dei rischi per quel che riguarda alcune particolari attività in rete. Magari creare una piccola VPN privata che sfrutti la propria connessione dati casalinga potrebbe essere una soluzione al problema.
Una seconda soluzione “alla buona”, se proprio v’è necessità di infilarsi in una particolare transazione tramite un hotspot pubblico – soluzione che però consiglio solo ed esclusivamente in caso di estrema emergenza – è quella di affidarsi all’autenticazione two-step, ovvero alla ricezione di un codice su un dispositivo indipendente dalla rete (tramite SMS, smart card oppure generatore OTP digitale) necessario per completare la transazione in questione. Un meccanismo del genere è previsto di default (o attivabile on-demand) sulla maggior parte dei circuiti postali/bancari.
Una volta fuori dall’hotspot, bisogna poi modificare immediatamente le proprie credenziali d’accesso.
Insomma hotspot pubblici si, ma non troppo: non è da tutti i giorni restare vittima di sabotaggi come quelli descritti, anzi direi che è un’opzione piuttosto remota dalle nostre parti, tuttavia è bene esserne a conoscenza per valutare in maniera assolutamente tranquilla se, come e quando utilizzarli.
Ultimo appunto: diffidate da quelle reti wireless beccate in giro non protette da chiave di rete, magari con segnale potentissimo e soprattutto ubicate in zone che non conoscete: dall’altra parte potrebbe esserci qualcuno che ascolta…
