Fra le discussioni più recenti nella mailing list di MisterAkko ve n’è una che riguarda la sincronizzazione dei file e l’utilizzo di servizi di sincronizzazione/condivisione come Dropbox e SugarSync (oltre a iDisk, servizio compreso nel pacchetto MobileMe). Fabio, che ha lanciato il tema, chiede se ci si fida di sistemi come questi, e se si è disposti ad affidare le proprie password e in generale i propri dati sensibili. Come spesso accade, chi risponde porta esempi personali e (se tutto va bene) la discussione si espande e si fa interessante.

Io sono un felice utilizzatore di Dropbox e non posso parlarne che bene. Tengo sincronizzati una serie di file e cartelle su cinque Mac e un iPhone. Da quando hanno lanciato l’applicazione gratuita per iPhone le cose sono davvero migliorate per me perché, fra le altre cose, posso tenere nella cartella condivisa alcuni file PDF con gli orari e i percorsi delle linee di autobus e metro di Valencia, e consultarli su iPhone quando sono fuori sede.

Nella discussione in lista sono venuti fuori alcuni metodi per la conservazione di password e dati sensibili. C’è chi si scrive le password su un foglietto da tenere nel portafoglio, c’è chi adopera e consiglia la classica chiavetta USB (magari più d’una, visto che è sempre più facile perdere questi oggetti che vengono costantemente miniaturizzati), c’è chi ha trovato molto efficace l’utilizzo di 1Password in combinazione con Dropbox.

Nelle mie esperienze dirette con altri utenti (Mac ma non solo), in genere saltano fuori due profili che stanno reciprocamente agli antipodi: da una parte l’utente facilone, distratto, senza backup recenti e che scrive password di login su post-it che appiccica al monitor (lo giuro, esistono ancora queste persone); dall’altra l’utente paranoico, con backup multipli, ridondanti e disseminati in più di un luogo, password su file cifrati salvati dentro immagini disco cifrate o partizioni fisiche cifrate, al punto che uno si chiede Ma cosa avrà mai da proteggere?

È chiaro che per l’utente paranoico qualsiasi soluzione meno paranoica sarà inefficace. In quest’ambito il giusto mezzo è difficile da trovare, e credo che non sia tanto una questione di strumenti usati per la sicurezza dei propri dati, quanto una questione di atteggiamento.

Il mio approccio era e rimane tuttora quello descritto in Strategie di backup. Sulla scia di quell’articolo mi sento di dire che, a mio avviso, l’atteggiamento più sano nei confronti della sicurezza digitale personale deriva essenzialmente:

In altre parole, se distinguiamo la sicurezza in due filoni principali — salvaguardia dei dati stessi e protezione dall’intercettazione di quei dati da parte di altre persone — le due domande da porsi sono rispettivamente 1) Quanto sono importanti questi dati per me? 2) Quanto sono importanti questi dati per gli altri? Le strategie di sicurezza si costruiranno rispondendo ai due quesiti e si differenzieranno a seconda di chi siamo, che vita facciamo, che lavoro eseguiamo, quanti e quali dati maneggiamo, e così via. Per quanto mi riguarda, vale sempre un concetto esposto nel mio articolo sulle strategie di backup:

Per me la sicurezza non significa sviluppare la strategia di backup più paranoica e ridondante possibile; se mai significa, forse paradossalmente, dipendere il meno possibile dai backup. Ovvero ridurre al minimo indispensabile la quantità di dati essenziali da conservare. Che oggi vuol dire renderla il più gestibile possibile.

Ovviamente argomenti come questo non sono mai semplici, e lungi da me il suonare semplicistico. Ma il buonsenso mi pare sempre un ottimo punto di partenza. Esempi sparsi:

1. Ad alcuni l’idea di scrivere le password personali più importanti su un foglio di carta e conservarlo gelosamente nel portafoglio sembra un’idiozia, ma oltre a essere consigliato da Bruce Schneier, uno dei maggiori esperti in sicurezza in circolazione, è un sistema più sicuro del farne una copia digitale in un file di testo e conservarlo in una chiavetta USB — per una semplice questione probabilistica: è più probabile smarrire la piccola chiavetta che non il portafoglio; analogamente è più facile che il portafoglio sia sempre con voi (e così le password), ed è più probabile dimenticarsi a casa la chiavetta.

Quindi, se la caratteristica principale che devono avere i dati sensibili è “stare con me ovunque, essere immediatamente reperibili”, il foglietto di carta può avere un certo vantaggio sul pendrive USB. Ma se l’idea dell’usare carta e penna sembra antidiluviana e fragile, allora di certo un servizio come Dropbox è migliore di una chiavetta USB, in quanto le informazioni trasferite sui server di Dropbox sono immediatamente disponibili su qualunque computer possa collegarsi a Internet (questo per la sincronizzazione e l’accesso da una macchina su cui non è installato il software Dropbox; perché per il resto Dropbox crea una copia locale dei file). E naturalmente si possono consultare anche da iPhone.

2. La criptatura dei dati è sicuramente una misura di sicurezza efficace, ma anche in questo caso il farne uso dipende da ciò che si vuole proteggere e dall’usabilità di questi dati se dovessero finire nelle mani sbagliate. Una serie di informazioni assolutamente slegate fra loro, da cui solo il legittimo proprietario può cavare qualcosa, si possono benissimo lasciare in chiaro. Nella mia esperienza ho visto utenti chiusi fuori dalle loro stesse misure di sicurezza, vuoi per un malfunzionamento hardware del dispositivo (copia e criptatura dei dati eseguita con successo ma un settore avariato del disco non ha permesso la conseguente decodifica), vuoi perché l’utente stesso ha fatto pasticci non conoscendo bene il software per la criptatura e poi non sa come venirne a capo (sì, lo so, sono tutti software piuttosto semplici, ma non completamente a prova di idiota, ahimé).

Allo stesso tempo mi è capitato giusto una settimana fa di trovare una chiavetta USB per terra, vicino al Politecnico di Valencia. Ho provato ad analizzarne i contenuti, più che altro per vedere se c’era la possibilità di risalire in qualche modo al proprietario. C’erano dei file PDF di dispense di architettura, qualche foto di edifici e modellini, e poi varie cartelle con file Word temporanei e/o corrotti, più una cartella contenente un file di testo con una serie di password e codici; da quel che ho capito, uno di questi codici serviva ad accedere al conto corrente online di questo tizio o tizia. Pessima sicurezza? Beh, sì, ma per aver smarrito la chiavetta, non per aver lasciato quei codici in chiaro — perché se non conosco il nome della persona, né quale sia la sua banca, né tantomeno il suo codice cliente, io di quella password o codice d’accesso non so che farmene.

3. La privacy è importante, ma non a scapito del buonsenso. Con il recente boom dei servizi remoti, spesso riuniti sotto la generica denominazione cloud computing, spessissimo assisto a gente preoccupata per la riservatezza dei dati che affidano a compagnie come Dropbox, Google, Amazon, ecc. Ogni tanto risalta fuori il discorso Gmail e Google come Grande Fratello orwelliano che può leggere la nostra posta e le nostre informazioni personali. Ha più senso preoccuparsi dell’integrità di quei dati, non che qualcuno li legga. Gli account Gmail attivi al momento saranno milioni, la quantità di informazioni che circolano su quegli account sarà dell’ordine delle centinaia di gigabyte. Dubito fortemente che vi sia qualcuno in Google che si prende la briga di aprire la nostra posta. Quel che dovrebbe preoccupare maggiormente è l’integrità di quelle informazioni, perché Google, semplicemente, non la garantisce. Se abbiamo uno o più account Gmail ai quali arrivano allegati importanti, farne sempre alcune copie in locale e metterli al sicuro, invece di preoccuparsi di fantomatiche eminenze grigie che potrebbero intercettarli.

Questi ovviamente sono solo alcuni spunti. Il discorso è complesso e ha molte facce e punti prospettici da cui osservare. Possiamo certamente estenderlo nei commenti.