E’ bene fare una premessa, nell’articolo che segue non si intende fare critiche all’algoritmo in se o all’autore dell’algoritmo in oggetto ma bensì a tutta quell’esaltazione mediatica che da sempre reputo la rovina del nostro paese.
I fatti :
Giuseppe Scala, giovane ragazzo Napoletano, è stato premiato dall’associazione Pigreco alla Camera dei Deputati di Roma per la sua ricerca nel campo crittografico per migliorare la sicurezza delle telecomunicazioni.
Alla base del suo successo appunto c’è un nuovo metodo crittografico che a dire del ricercatore avrebbe rivoluzionato i tradizionali metodi trasformato il messaggio da criptare in qualcosa di completamente diverso.
A seguito di questi eventi e dichiarazioni tutta la comunità dell’IT Security si è movimentata alla ricerca di qualche accenno tecnico sul metodo pratico che permette di “trasformare il messaggio in qualcosa di completamente diverso”.
Ciò ha fomentato molti curiosi tra addetti al settore e non addetti al settore, tra cui l’immancabile stampa che se n’è uscita con servizi del tipo :
e vari riferimenti a :
http://multimedia.lastampa.it/multimedia/scienze-e-tecnologie/lstp/101428/
Passi pure l’ignoranza della stampa (nel senso più bonario ed etimologico del termine), non si capisce come un algoritmo reso non pubblico, ne testato ne verificato da esperti internazionali possa essere addirittura premiato dalla Camera dei deputati di Roma.
Premesso che l’associazione Pi-Greco “una associazione per la ricerca tecnologica costituita la fine di svolgere attività di utilità sociale attraverso la promozione della conoscenza delle tecnologie avanzate nel settore della informatica e delle discipline ad essa collegate, in ambito regionale, nazionale ed internazione, non ha fini di lucro.” ha lanciato una sfida che consiste nel decrittare un file crittografato con tale algoritmo, a cui il 19 Maggio 2012 al blog http://crittoscala.wordpress.com , veniva decrittato http://crittoscala.wordpress.com/2012/05/19/sfida/#comments il messaggio.
Premesso che nessuno degli autori della decrittazione si possano considerare esperti di crittanalisi di fama mondiale (senza togliere merito al loro lavoro e al loro ingegno, ma non parliamo di Bruce Schneier, Ronald Rivest, Adi Shamir, Leonard Adleman o Whitfield Diffie e Martin Hellman) sono riusciti indubbiamente nel loro intento : dimostrare l’inutilità e la debolezza dell’algoritmo Scala.
Vien da chiedersi come un progetto immaturo e non funzionale come l’algoritmo Scala possa essere addirittura premiato senza previa verifica e valutazione da parte della comunità scientifica internazionale.
Oltretutto parliamo di un algoritmo non pubblico che tuttora gode di “sicurezza” (giustamente virgolettato data la sua inefficienza e insicurezza dimostrata) tramite Security through obscurity, ovvero Sicurezza tramite segretezza, un principio che si basa sul controverso assunto che tenere segreto il funzionamento interno di un sistema lo renda più sicuro, dato che un eventuale attaccante avrebbe maggiore difficoltà nella scoperta di eventuali falle del sistema stesso.
In crittografia esiste un principio opposto (detto principio di Kerckhoffs), che afferma che il progettista di un sistema deve presumere che l’attaccante conosca il sistema alla perfezione, con l’unica eccezione della chiave crittografica. Un parallelo illuminante può essere quello di una normale serratura meccanica, con azionamento ben conosciuto ma apribile solo con la chiave giusta.
Rimane dunque lo sdegno e la perplessità non tanto nell’inefficienza e l’utilità dell’algoritmo del giovane studente (che merita comunque incoraggiamento o quantomeno apprezzamento per il tentativo), ma di come un organo prestigioso, carismatico e rappresentativo come la camera dei deputati possa premiare qualcosa di buttato li per caso senza averne valutato pregi e difetti.
Citando l’autore della decrittazione su http://crittoscala.wordpress.com/2012/05/22/deliri/
“Entrando nel merito dell’algoritmo di Giuseppe Scala penso sia pericoloso premiare un algoritmo ancora non pubblicato e studiato da veri esperti. Una premiazione, addirittura alla Camera dei Deputati, è una sorta di validazione che potrebbe convincere persone non preparate o aziende a usare l’algoritmo credendolo paragonabile ad AES.
Se a questo si somma la dichiarazione fatta sul sito della PigrecoTechnology secondo cui l’algoritmo avrebbe passato l’analisi di esperti di sicurezza informatica (inizialmente si citava l’ing. Iannone che sarebbe un “esperto indiscusso di sicurezza informatica a livello nazionale”, il riferimento è però stato tolto); amplificando tutto con articoli di questo tipo ( in questo caso non imputabili alla PigrecoTechnology ma al solito modo sensazionalista di certi giornalisti) il rischio diventa concreto.”