L’articolo sulla scoperta di una violazione in corso al mio account Microsoft ha suscitato un certo dibattito e colgo l’occasione per alcune precisazioni e aggiornamenti sulla vicenda; in particolar modo, chiarirò come uso la cifratura quotidianamente.
1 – Non è colpa di Microsoft, anzi!
Ritrovarmi con un indirizzo e-mail che non mi appartiene quale indirizzo per il recupero delle credenziali mi fa pensare che sia stata sfruttata una qualche vulnerabilità di servizi esterni associati al mio account e non una vulnerabilità dei servizi Microsoft. Tuttavia, osservando il log degli accessi che Microsoft mette a disposizione per i suoi utenti, come ciò sia accaduto è difficile da comprendere.
2 – Non è stato compromesso alcunché.
E questa è la cosa più importante.
3 – I miei files sono al sicuro anche nel caso di accessi non autorizzati.
Fra ieri e oggi ho ricevuto diverse richieste inerenti l’uso di CZIP X, cioè come io usi quest’applicazione per la cifratura nel mondo reale e come può mettermi al riparo da spiacevoli incidenti, e questo post serve proprio a dare una risposta di massima a tutte le richieste.
CZIP X è un’applicazione che consente di creare archivi crittografati usando tre tra gli algoritmi più noti, testati e affermati: Blowfish e Twofish di Bruce Schneier, e Rijndael/AES sviluppato dall’NSA.
Sebbene possa apparire un po’ macchinosa al primo approccio, in realtà con l’uso diventa molto semplice e la si usa quasi automaticamente poiché i passi da compiere sono sempre gli stessi; in più, è concepita per far sì che la medesima sequenza di passi sia identica su qualsiasi sistema operativo si installi l’applicazione:
- Clicco “Crea archivio cifrato”
- scelgo uno o più files da inserire nell’archivio
- scrivo la passphrase che proteggerà l’archivio
- scelgo l’algoritmo di cifratura e le altre opzioni
- avvio l’operazione e indico dove salvare l’archivio dopo la cifratura.
Nel mondo reale uso CZIP X per creare archivi cifrati con l’opzione “non condivisibile” poiché questa altera la passphrase usando alcuni dati dell’hardware del dispositivo sul quale l’archivio viene generato. Quest’opzione mi torna utile dal momento che salvo i miei files in cloud, dunque fuori dal mio computer o dal mio smartphone. Nella malaugurata ipotesi che qualcuno riesca a effettuare l’accesso ai miei documenti, l’archivio crittografato con questa opzione mi può far stare tranquillo perché, oltre ad avere usato un solido algoritmo di cifratura e oltre ad avere usato una passphrase complessa, quel tipo di archivio potrà essere decifrato solo e soltanto nel computer o nello smartphone che ho usato per crearlo.
Io stesso, pur conoscendo la passphrase, non potrò decifrare l’archivio in un altro mio dispositivo né un altro utente del dispositivo originale potrà farlo perché CZIP X ha usato lo username dell’utente connesso al sistema operativo nel momento in cui l’archivio è stato creato. Per poter decifrare altrove quell’archivio, bisogna usare un file chiamato HwInfo.czkey che può essere generato nella finestra di conferma di successo dell’operazione e cliccando sul tasto “Esporta informazioni hardware“: questo file va custodito separatamente così da poterlo usare se si desidera riaprire un archivio in un dispositivo diverso da quell’originale. Nemmeno a dirlo, il contenuto di quel file è cifrato, quindi pur aprendolo con un editor di testo non potrà leggersi il contenuto.
Infine, un’altra caratteristica che trovo molto utile è la possibilità di generare un QR Code per condividere un archivio cifrato con qualcuno senza dover comunicare la passphrase per decifrare il contenuto: la passphrase è nel QR Code in forma cifrata, quindi, a me basta soltanto inviare il codice QR al destinatario dell’archivio, il quale potrà scansionare o caricare l’immagine nella sua copia di CZIP X per decifrare il tutto.
