La sicurezza informatica
annuncio pubblicitario
La sicurezza informatica Competenze Sviluppare applicazioni informatiche per reti locali o servizi a distanza. Gestire progetti secondo le procedure e gli standard previsti dai sistemi aziendali di gestione della qualità e della sicurezza. Conoscenze Normative di settore nazionale e comunitaria sulla sicurezza. Problematiche sulla sicurezza informatica. La crittografia. Abilità Applicare le normative di settore sulla sicurezza. Salvaguardare un sistema dai virus. Prerequisiti Realizzare applicazioni in rete. Saper progettare e realizzare sistemi informativi. Accertamento dei prerequisiti 1 Che differenza c’è tra dato e informazione? 2 ICT vuol dire: a Informatica & Computer Tecnologici b Information & Communication Tecnologies c Information, & Computer Transmission d Information & Communication Transmission 3 Indica in quali situazioni è più efficiente un computer (C) e in quali l’uomo (U). a Attività ripetitive b Scrivere una poesia c Calcolare la distanza dalla terra alla luna d Controllare i biglietti di ingresso a un museo e Progettare una casa 4 Nei sistemi peer-to-peer... a vi può essere un solo server 251-272_U14.indd 251 b vi è un client e più server c ogni nodo è sia client sia server d vi può essere un solo client 5 Quali di questi è un indirizzo errato? a www.brown.uk b www.setup.pip c www.comune.torino.it d comp.scuola.it 6 Quale di questi non è protocollo di Internet? a HTTP b PTHP c SMTP d HTML 7 Quali sono le parti di cui si compone una pagina HTML? 10/02/12 19.50 14 UNITÀ lezione 1 Dal problema al programma. La sicurezza Come programmare ● Gestione rischi Uno dei principali problemi dei sistemi informatici è la sicurezza nel tempo delle apparecchiature hardware, dei programmi e dei dati. Uno degli aspetti più controversi è quello della stima della probabilità del verificarsi di un pericolo, del costo della sua prevenzione e del costo dei danni che potrebbe procurare (esposizione). Dal punto di vista economico bisogna riuscire a formulare un piano che riduca il costo e il rischio di esposizione. È importante quindi classificare i tipi di rischi a cui i sistemi possono essere soggetti. Le misure da adottare si possono classificare in due categorie: • riguardanti la sicurezza fisica del sistema basata sul controllo dell’ambiente; • riguardanti la sicurezza dei dati e dei programmi. ● figura 1 Controllo impronte digitali ● Sicurezza fisica I primi tipi di rischio sono quelli accidentali. Rientrano in questa casistica tutti i problemi che possono capitare al sistema per eventi non prevedibili come per esempio gli incendi, le alluvioni, i terremoti ecc. Tra questi il rischio di incendio è sicuramente il più diffuso e quindi tutti gli ambienti devono essere dotati di sistemi per la rilevazione degli incendi e di sistemi antincendio molto sofisticati. Più complesso il problema delle manomissioni e dei sabotaggi. In questo caso l’unico modo è controllare l’accesso alle aree con porte chiuse e apribili solo con particolari sistemi, meglio ancora se l’accesso è unico e sorvegliato. I sistemi più diffusi sono quelli con porte dotate di badge, semplici ed economici, ma che garantiscono una sicurezza relativa (il badge può essere rubato e utilizzato da altri). Più sicuri sono i sistemi con accesso tramite controllo delle impronte digitali che richiedono meccanismi più sofisticati (figura 1). Sicurezza dati e programmi Anche per quanto riguarda la sicurezza dei dati si può fare una suddivisione tra danni accidentali e danni dolosi. Tra i primi, oltre a quelli dovuti a problemi sugli ambienti già visti prima, vi sono i problemi dovuti a danni alle apparecchiature, con particolare riferimento ai dischi in cui sono memorizzati dati e programmi. Tra questi il problema più frequente è la cosiddetta “aratura” del disco, cioè il fatto che la testina tocchi il disco creando un solco sullo stesso rendendo così illeggibili i dati. In questi casi anche se parte del disco risulta ancora utilizzabile (sempre che la testina sia ancora buona) è meglio cambiare completamente il disco ripristinando il contenuto dello stesso con un sistema di backup/restore. Un altro problema frequente è la caduta di tensione della corrente dovuta al malfunzionamento dell’alimentazione (fulmini, blackout). In questo caso ciò che viene danneggiata è la transazione applicativa che non può concludersi, e quindi i dati non risultano consistenti. Un primo tipo di soluzione è quella di dotare questi sistemi di gruppi di continuità, cioè particolari apparecchiature che permettono di fornire corrente all’elaboratore per un certo 2 251-272_U14.indd 252 La sicurezza © Mondadori Education 10/02/12 19.50 periodo di tempo anche a fronte di un blackout (figura 2). In questo modo la transazione può terminare regolarmente e possono essere effettuate tutte le operazioni di chiusura previste in questi casi. Se mancano queste apparecchiature vi è una soluzione a posteriori, cioè quella di creare dei file di LOG in grado di contenere tutte le operazioni fatte sino a quel momento. Il sistema è così in condizione di riportare la situazione dati a uno stato consistente. Per evitare l’uso fraudolento dei dati bisogna invece provvedere a fornire il sistema di protezioni all’accesso. Anche in questo caso possiamo avere sistemi di controllo più o meno sofisticati a seconda del livello di sicurezza che si vuole raggiungere. Poiché questi metodi possono risultare particolarmente costosi (soprattutto per elaboratori personali), si possono utilizzare metodi semplici, come la digitazione di un codice identificativo e di una password oppure si possono dotare i personal computer di lettori di badge o di riconoscitori di firma. ● figura 2 Gruppi di continuità Backup e restore I rischi di perdita dei dati sui dischi magnetici possono, in parte, essere prevenuti attraverso una corretta manutenzione degli stessi. Per risolvere questo problema sono nati sistemi appositi, che si articolano in due componenti: la funzione di backup e quella di restore. L’operazione di backup permette di copiare il contenuto dei dischi magnetici su supporti rimovibili (floppy, nastri magnetici, dischi magneto/ottici ecc.) che possono essere archiviati in luogo sicuro. Nelle grosse organizzazioni questi vengono messi in apposite casseforti a prova di acqua e di fuoco. Il restore è l’operazione inversa, quella cioè che permette di ricostruire, se necessario, il contenuto dei dischi magnetici dai supporti rimovibili preventivamente prodotti. I dati inseriti nel sistema tra un backup e l’altro verranno però perduti. ! Poiché il backup dei dischi dei grossi calcolatori può essere anche molto lungo (decine di ore), in genere si effettua quello completo solo periodicamente (per esempio nel fine settimana o ogni 15 giorni) e tutte le sere si realizza un backup incrementale, salvando cioè solo i file che sono stati modificati rispetto al backup precedente. In questo modo l’attività di salvataggio è più veloce, anche se l’eventuale ripristino risulterà più complesso e più lento. È comunque da considerare che quest’ultima operazione andrà fatta solo in casi eccezionali. Nei sistemi in cui la perdita non può essere accettata neanche a livello giornaliero (banche, aziende di produzione ecc.), si utilizzano in appoggio anche i sistemi di journaling, cioè la creazione di file (detti di LOG) in grado di registrare tutte le operazioni fatte nella giornata, così da permettere di ricostruire la situazione del sistema fino all’attimo prima del problema. Ovviamente questo file sarà registrato su un disco diverso da quello cui fa riferimento. I sistemi più moderni sono basati sul mirroring. Questi sistemi provvedono al controllo di consistenza e qualità dei dati su disco e sono in grado di spostare i dati da zone del disco che stanno gradualmente diventando inaffidabili verso zone più sicure, o su altri dischi. Avere gli stessi dati memorizzati su due dischi può risultare più costoso, ma permette a un sistema di ripartire immediatamente dopo una perdita su disco, senza aspettare il restore: basta sostituire il disco originale con il disco copia. Il controllo degli accessi La protezione contro gli accessi non autorizzati ai dati deve tenere conto della diversificazione degli utenti interessati alle informazioni. La telematica ha reso insufficiente la protezione garantita dalle barriere fisiche adottate nei sistemi tradizionali, in cui il calcolatore viene posto in una stanza chiusa, di cui solo le © Mondadori Education 251-272_U14.indd 253 Lezione 1 La sicurezza 3 Esempio di password non sicura: Giovanni 17-5-1982 AAAA Esempio di password sicura: xyK!2L3; QuR1-/kzl B!2cVz!5k persone autorizzate hanno la chiave, all’interno di un edificio controllato da rigorosi sistemi di sicurezza. Oltre a questi mezzi, che comunque vanno adottati per salvaguardare fisicamente i server, è necessario prevedere delle barriere logiche, cioè delle procedure di controllo dell’accesso ai dati e di identificazione dell’utente, in particolare di fronte alla sempre più diffusa necessità di permettere accessi remoti. ● La password è una parola d’ordine elettronica necessaria per attivare il sistema di elaborazione o consentire l’accesso a dati e applicazioni. È una delle più semplici e diffuse barriere logiche. Purtroppo è anche un sistema di controllo molto vulnerabile, perché a essa si può arrivare attraverso una serie di congetture: molti, per ricordarsi più facilmente le proprie password, le costruiscono in base alla data di nascita, al nome di un familiare o ad altre informazioni che possono essere indovinate o scoperte con relativa facilità. Se invece si è scelta una password più complessa (magari perché obbligati dai superiori o dall’azienda), spesso per paura di dimenticarla la si annota da qualche parte (su un’agenda, in qualche file del computer, o su foglietti), risultando quindi facilmente reperibile anche da altri. Va infatti ricordato che, nella maggior parte dei casi, gli accessi indesiderati avvengono dall’interno di un’azienda o di un’organizzazione: un dipendente ha molte più possibilità di procurarsi la password di un altro, a volte venendone informati direttamente da lui (anche se involontariamente) magari osservandolo mentre la digita o leggendola da qualche parte. Nel seguito forniamo alcune indicazioni che normalmente si danno su come andrebbe creata una password. • Usare almeno 8 caratteri. • Usare lettere maiuscole, minuscole, cifre numeriche e segni di interpunzione (?,!) nella stessa password. • Per ricordarla, combinare a qualche numero o carattere speciale le lettere iniziali o finali di qualche frase celebre o pensiero ricorrente; per esempio: “Quel ramo del lago di Como” potrebbe diventare 6QrDLdC3. ● Internet figura 3 Firewall 4 251-272_U14.indd 254 Password Firewall Il firewall (letteralmente “paratia tagliafuoco”) è un’altra linea di difesa contro gli intrusi di rete e consiste in particolari dispositivi che funzionano come sentinella alla porta di collegamento del computer con una rete pubblica come Internet. La sicurezza di tutta una rete aziendale connessa a Internet viene ricondotta Firewall quindi alla sicurezza di un ristrettissimo numero di nodi, molto spesso uno. Solo il nodo in questione, il firewall appunto, risulta essere direttamente colleLAN gato a Internet e particolari software di quel nodo effettuano le operazioni di controllo e verifica degli accessi (figura 3). La sicurezza © Mondadori Education 10/02/12 19.51 Così, all’esterno del firewall, l’azienda può anche disporre di una rete locale accessibile a tutti (la “zona demilitarizzata”), consentendo ai clienti di inviare posta elettronica all’azienda, navigare all’interno del sito aziendale in Internet o conoscere informazioni sui prodotti dell’impresa, ma per poter accedere a dati aziendali riservati o personali dovrà passare attraverso il firewall (figura 4). Una grande azienda può aver bisogno di più di un firewall: quando la rete aziendale cresce, può essere necessario aggiungerne altri per proteggere i computer di importanti dipartimenti aziendali, come la direzione finanziaria. In questo modo si impedirà l’accesso ai dati non solo da accessi indesiderati esterni all’azienda, ma anche da quelli interni, differenziando i dipendenti a seconda che appartengano a un dipartimento aziendale piuttosto che a un altro. Rete aziendale Internet Firewall Zona demilitarizzata Rete aziendale protetta figura 4 Protezione della rete aziendale verifica le tue conoscenze 1 Quali sono le principali cause di rischio fisico per i sistemi? 2 A che cosa servono i file di LOG? 5 Quali sono le regole che definiscono una buonaVerifica password? 3 Come funziona il backup incrementale? 6 In che ambito si usa il firewall? © Mondadori Education 251-272_U14.indd 255 4 Quando si usa il restore? Lezione 1 La sicurezza 5 10/02/12 19.51 Crittografia ● figura 1 Macchina Enigma Crittografare messaggi e documenti Con lo sviluppo del commercio elettronico, l’aumento dello scambio di dati in formato telematico e la necessità di effettuare pagamenti in formato elettronico, il problema della sicurezza nella circolazione delle informazioni in rete è diventato di notevole importanza. Infatti, con le misure di controllo all’accesso dei dati quali password e firewall, viene garantita la sicurezza dei dati e delle applicazioni a livello locale, ma non vi sono garanzie di ciò che può succedere ai nostri dati una volta che circolano sulla rete. Questo problema ha trovato soluzione nella crittografia, che consiste nell’applicazione di particolari tecniche che permettono di trasformare il messaggio da trasmettere in un testo cifrato, che risulti incomprensibile a chiunque, eccettuato il legittimo destinatario. La crittografia è una scienza molto antica perché le problematiche legate all’esigenza di inviare messaggi riservati era ancora più sentita in tempo di guerra (dai tempi degli antichi romani fino alla più recente Guerra Fredda). La necessità di inviare messaggi sicuri per l’impiego militare ha sviluppato sofisticati algoritmi matematici per eseguire una trasformazione crittografica intelligente dei messaggi. In figura 1 l’invenzione della macchina Enigma usata dai tedeschi durante la seonda guerra mondiale. Ma se inizialmente le tecniche crittografiche erano appannaggio dei militari, con lo sviluppo di Internet e del commercio elettronico e le conseguenti necessità di pagamenti elettronici, nelle università e nei centri di ricerca dell’industria si formò una vivace comunità “crittografica” che pubblicò un numero via via crescente di articoli, costruendo di fatto una nuova disciplina scientifica. Esaminiamo dunque le principali regole della crittografia, tenendo presente che il processo di trasformazione del testo in chiaro in un testo cifrato viene chiamato criptazione, il processo inverso decriptazione (o decifrazione) ed entrambi i processi si basano su un codice particolare, detto chiave. ● Chiave privata La crittografia a chiave privata è chiamata anche crittografia tradizionale, perché risale addirittura ai tempi di Giulio Cesare, quando ogni lettera del messaggio da cifrare veniva sostituita con quella che la precede o la segue di un certo numero (x) di posizioni. Questo sistema crittografico, chiamato anche simmetrico, utilizza dunque una sola chiave (il valore di x, eventualmente con segno), tanto nella fase di codifica quanto in quella di decodifica. Così, il mittente del messaggio lo cripterà con la propria chiave privata, lo invierà al destinatario che già conosce quella chiave, e che, quindi, potrà decifrarlo. Questo modello di crittografia presenta però alcuni notevoli inconvenienti: • sia chi invia, sia chi riceve conosce la chiave questa quindi diventa fissa e facilmente individuabile riducendo di molto la sicurezza; • la chiave potrebbe cambiare da messaggio a messaggio ed essere inviata al destinatario, però è necessario che la trasmissione della chiave crittografica avvenga preliminarmente all’invio del messaggio e soprattutto attraverso un canale sicuro; avendo a disposizione un canale sicuro, si potrebbe utilizzarlo per inviare il messaggio evitando di crittografarlo. La chiave però ha una dimensione inferiore e quindi ha costi di trasferimento inferiori, rispetto al messaggio; • si presenta la necessità di generare un numero molto elevato di chiavi quando il numero dei possibili trasmettitori di messaggi aumenta, come nel caso di Internet. Infatti, dato un sistema di N utenti, sono necessarie N(N–1)/2 chiavi per permettere il dialogo cifrato bidirezionale tra tutti i soggetti del sistema. 6 251-272_U14.indd 256 Crittografia © Mondadori Education 10/02/12 19.51 esempio Algoritmo: “scalare di x posizioni”, dove x rappresenta la chiave di soluzione A B C D E F G H .... . X 4, E F G H I L M N .... . ● CRIPTAZIONE DECRIPTAZIONE CIAO + chiave = GOES GOES + chiave = CIAO perché bisognerà scalare di 4 posizioni in avanti per scrivere il messaggio criptato, e 4 posizioni indietro per decifrarlo Chiave pubblica La crittografia a chiave pubblica permette di comunicare senza dover ricercare percorsi segreti per trasmettere le chiavi. In questo tipo di crittografia a ogni utente vengono assegnate due chiavi, diverse ma complementari: una chiave pubblica e una privata. Ogni chiave mette in chiaro il messaggio che l’altra chiave ha codificato, ma il processo non è reversibile: la chiave usata per cifrare un messaggio non può essere utilizzata per decriptarlo (ecco perché questo sistema si chiama asimmetrico). In questo modo, una delle chiavi complementari (quella pubblica) può essere disseminata ovunque ed è disponibile all’interno di un apposito archivio online, mentre l’altra (la privata) è conservata solo dal suo proprietario (figura 2). Così, per spedire un messaggio a un determinato soggetto, è necessario procurarsi la sua chiave pubblica e criptare il messaggio con essa; il destinatario, e solo lui, potrà decifrare il messaggio con la propria chiave privata. In questo modo viene meno il problema della comunicazione della chiave e il numero delle chiavi necessarie nel sistema diminuisce notevolmente: con n utenti, basteranno 2*n chiavi. Testo in chiaro Testo in chiaro Crittografia Decriptazione Chiave pubblica del destinatario Testo crittografato MITTENTE Testo crittografato Chiave privata del destinatario DESTINATARIO figura 2 Crittografia a chiave pubblica © Mondadori Education 251-272_U14.indd 257 Lezione 2 Crittografia 7 10/02/12 19.51 Gli algoritmi matematici su cui si basano questi sistemi sono facili da calcolare in un senso (la fase di criptazione), ma lenti e complicati da risolvere nel senso inverso. Per migliorare la sicurezza è possibile applicare un meccanismo di doppia criptazione per garantire sia la riservatezza sia la sicurezza del mittente (figura 3). Con questo sistema, non solo il messaggio cifrato è molto più sicuro, ma è anche possibile autenticare i propri messaggi. Il destinatario può dunque verificare l’identità del mittente poiché il mittente sarà quello la cui chiave pubblica renderà leggibile il messaggio cifrato. Nell’esempio illustrato di seguito, solo se il Rag. Bianchi potrà capire il messaggio sarà sicuro che il mittente è il Dott. Rossi. Testo in chiaro Testo in chiaro Crittografia Chiave privata del mittente (autocertificazione) Testo crittografato (A) Chiave pubblica del mittente Decriptazione Testo crittografato (A) Decriptazione Crittografia Testo crittografato (B) Chiave pubblica del ricevente (riservatezza) MITTENTE Testo crittografato (B) RICEVENTE Chiave privata del ricevente figura 3 Mittente e ricevente esempio Vediamo dunque come funziona lo scambio di messaggi con la crittografia a chiave pubblica: se il Dott. Rossi vuole mandare un messaggio al Rag. Bianchi, dapprima lo cripterà usando la propria chiave privata, quindi ricripterà il messaggio con la chiave pubblica del Rag. Bianchi, e glielo invierà. Nel passaggio, il messaggio non è decifrabile da nessuno, perché anche se qualcuno ipotizzasse o sapesse che il messaggio proviene dal Dott. Rossi e provasse a decriptarlo con la chiave pubblica del Dott. Rossi, il risultato saebbe ancora in forma cifrata per la criptazione con la chiave del Rag. Bianchi. Solo il Rag. Bianchi, appunto, potrà decriptarlo, oltre che con la chiave pubblica del Dott. Rossi, anche con la propria chiave privata e, quindi, leggere il messaggio. ● Tecnica mista Anche la crittografia a chiave pubblica ha i suoi inconvenienti: • la relativa lentezza delle elaborazioni matematiche nelle operazioni di criptazione/decriptazione rende poco pratica la codifica di messaggi di grandi dimensioni; • il possibile vuoto nella cifrazione di alcune strutture dei messaggi rende più facile risalire al testo in chiaro. Per queste ragioni esistono alcune varianti della crittografia a chiave pubblica che permettono di utilizzarla soltanto per la funzione ridotta, ma essenziale, dello scambio della 8 251-272_U14.indd 258 Crittografia © Mondadori Education 10/02/12 19.51 chiave simmetrica. In pratica, si tratta di cifrare il messaggio con una chiave simmetrica, come nel sistema della crittografia a chiave privata, quindi, avendo la necessità di inviare al destinatario la propria chiave simmetrica, la si codifica con il sistema della chiave pubblica asimmetrica, così che il Rag. Bianchi dell’esempio precedente dovrà decriptare dapprima la chiave e poi il messaggio con la chiave simmetrica decifrata. ● Certificazione digitale Un ultimo aspetto legato all’utilizzo di chiavi pubbliche riguarda la certificazione delle chiavi stesse: in effetti, un intruso potrebbe creare una propria copia di chiavi e inviare quella pubblica al Rag. Bianchi, dicendogli che appartiene al Dott. Rossi. Il solo metodo per prevenire questo tipo di attacchi è di avere in qualche maniera la conferma che la chiave pubblica usata da un utente sia veramente la sua. Questo è ancora più importante se si tratta di effettuare dei pagamenti e l’oggetto della transazione è, per esempio, il numero della carta di credito. Una soluzione è quella di conferire a una terza parte affidabile il compito di verificare e certificare le chiavi: si parla dunque di certificazione digitale. Un certificato digitale di sicurezza è l’equivalente di un libretto di circolazione o di un passaporto: è un marchio numerico di riconoscimento rilasciato da un ente di certificazione affidabile (organizzazioni internazionali, banche, organizzazioni di categoria ecc.), che assicura che una chiave pubblica appartiene a una certa persona o azienda. Quindi, per poter utilizzare il meccanismo della chiave pubblica, occorre: • la registrazione dell’utente presso un’autorità di certificazione; • la generazione di una coppia di chiavi (una pubblica e una privata); • la certificazione della chiave pubblica; • la registrazione della chiave pubblica. ● Molto spesso la firma digitale viene confusa con l’impronta digitale. La firma digitale è un’ulteriore informazione che viene aggiunta a un documento informatico al fine di certificarne l’integrità e la provenienza. Firma digitale Nell’art. 1 del D.P.R. 28.12.2000, n. 445 (disposizioni legislative e regolamentari in materia di documentazione amministrativa, anche denominato Testo Unico in materia di Documentazione Amministrativa) è contenuta la definizione legislativa di firma digitale: “firma digitale è un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi asimmetriche a coppia, una pubblica e una privata, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l’integrità di un documento informatico o di un insieme di documenti informatici” In base alla normativa italiana, che ha recepito le disposizioni in materia di firma elettronica emanate a livello europeo, solo se ricorrono alcuni requisiti, la firma digitale può avere lo stesso valore di quella autografa e quindi rendere legali i documenti. I requisiti necessari sono i seguenti: a. essere connessa in maniera unica al firmatario; b. essere idonea a identificare il firmatario; c. essere creata con mezzi sui quali il firmatario può conservare il proprio controllo esclusivo; d. essere collegata ai dati cui si riferisce in modo da consentire l’identificazione di ogni successiva modifica di detti dati. Affinché sussistano tali requisiti, la firma digitale deve passare attraverso la validazione di un Ente certificatore esterno, che operi secondo procedure rigorose e a loro volta “certificate” verificabili ricorrendo ad un elenco pubblico, e a ciò espressamente preposto (ad es. le Camere di Commercio), e deve rispondere a tutta una serie di certezze di carattere tecnico e materiale (ad es. che il firmatario, sia il solo a conoscere la chiave privata che attiva la procedura di firma). © Mondadori Education 251-272_U14.indd 259 Lezione 2 Crittografia 9 10/02/12 19.51 Crimini informatici ● Il reato informatico Il reato informatico ingloba svariate tipologie di attività illegali, accomunate dal fatto di avere a che fare con le nuove tecnologie dell’informazione e della comunicazione e in particolare con il mondo di Internet. Nella comunicazione COM (890) 2000 del 26 gennaio 2001, fornita dall’apposita commissione al Consiglio europeo, il reato informatico viene definito “reato connesso ai sistemi informatici”, “reato tramite la tecnologia”, “reato telematico”. Una prima suddivisione è tra reati informatici specifici e convenzionali. I primi nascono da “nuove idee criminali” e impongono la modifica e l’aggiornamento dei codici già esistenti, poiché ci si trova di fronte a nuove attività illegali non ancora previste dalla normativa vigente. Nel secondo caso siamo di fronte all’utilizzo dei nuovi mezzi tecnologici per effettuare attività illegali già note e generalmente già previste dalla normativa. Con la legge n. 347 del 23 dicembre 1993, vengono apportate numerose modifiche e integrazioni al codice di procedura in tema di criminalità informatica. In particolare: • viene esteso il concetto di violenza sulle cose e attentato a impianti di pubblica utilità, in modo che venga punito anche chi danneggia programmi e sistemi informativi (art. 392 e 420 c.p.); • nel concetto di documento viene considerato anche quello informatico per quanto riguarda la falsità (art. 491 bis c.p.) e la segretezza (art. 621 c.p.); • vengono introdotti come reati l’accesso abusivo a un sistema informatico (art. 615 ter c.p.), la detenzione e diffusione abusiva di codici di accesso (art. 615 quater c.p.) e la diffusione di programmi diretti a danneggiare o interrompere un sistema informatico (art. 615 quinquies c.p.); • viene esteso il concetto di “corrispondenza” alle comunicazioni informatiche e telematiche sia per quanto riguarda la violazione, intercettazione, interruzione e falsificazione (artt. 616, 617 quater, 617 quinquies, 617 sexies c.p.); • viene esteso il concetto di “trasmissione a distanza di dati” (art. 623 bis c.p.) comprendendo qualunque tipo di dato; • vengono introdotte norme che riguardano il “danneggiamento di sistemi informatici o telematici” (art. 635 bis c.p.) e la “frode informatica” (art. 640 ter c.p.). ● I virus informatici Un virus informatico è un programma (cioè una serie di istruzioni scritte da un programmatore ed eseguibili da un computer) scritto per inserirsi all’interno di istruzioni di altri programmi modificandoli. Il virus inizia la propria attività quando il programma che gli fa da portatore viene eseguito. Tra le istruzioni del virus che vengono eseguite ve ne sono alcune che provvedono a copiare il virus stesso su altri programmi. È normale che il virus prima di portare a termine il compito per cui è stato scritto provveda a replicarsi. Normalmente dopo la fase di replicazione, il virus comincia a compiere l’azione per cui è stato scritto, che può consistere, per esempio, nel distruggere dati e/o programmi presenti su di un supporto magnetico o, semplicemente, nel far comparire a video un messaggio. 10 251-272_U14.indd 260 Crimini informatici © Mondadori Education 10/02/12 19.51 I virus informatici (virus in latino significa veleno) hanno mutuato il loro nome dal campo medico-biologico, per una vaga somiglianza con alcune caratteristiche dei virus nella microbiologia: come questi ultimi, per riprodursi, devono penetrare in una cellula ospite e assumere il controllo dei suoi processi metabolici, così i virus informatici devono penetrare nel programma ospite modificandolo, sia per riprodursi sia, in seguito, per danneggiare dati e/o programmi presenti su supporti registrabili. Come nella biologia i virus sono organismi relativamente semplici e molto piccoli rispetto all’organismo che invadono, così anche i virus informatici sono dei programmi costituiti da poche centinaia di istruzioni, al massimo un migliaio; ciò consente loro di portare a termine il compito per cui sono stati scritti senza, in genere, far notare la loro presenza all’utente del computer. Le tipologie di virus che possono infettare un sistema informatico sono diverse, ma hanno in comune lo schema della figura 1: • il virus arriva sul computer (tramite penna USB, posta elettronica, collegamento in rete); • il virus viene fatto eseguire (involontariamente) e si replica nella macchina; • il virus si diffonde altrove (infettando altri dispositivi USB, attaccandosi ad allegati e spedendo e-mail, duplicandosi su altre macchine tramite collegamenti in rete). 2 VIRUS 1 Computer A 3 Computer B figura 1 Virus Con la diffusione di Internet i pirati informatici utilizzano pesantemente la posta elettronica per trasmettere i virus. Oggi, infatti, la posta elettronica è uno dei maggiori veicoli di trasmissione dei virus. In alcuni casi, se viene abilitata la funzione anteprima sul client di posta, l’esecuzione del virus può essere avviata anche solo posizionandosi su un allegato, senza aprirlo esplicitamente. Internet sta diventando, come qualsiasi mezzo di trasmissione, una fonte di diffusione di virus informatici. In particolare la possibilità di scaricare programmi da tutto il mondo può consentire una rapida diffusione di qualsiasi virus, anche appena creato. ● Tipi di virus Esistono molte classificazioni dei virus; in genere sono basate su come si comportano dal punto di vista informatico o sui tipi di danni che fanno. Un virus informatico può essere distruttivo oppure solamente invasivo. La prima tipologia caratterizza tutti quei virus che sono in grado di infettare uno o più file e che determinano sempre effetti negativi sul sistema. La seconda tipologia riguarda virus che hanno solo scopo didattico e, pur attaccando uno o più file, non hanno conseguenze distruttive. La stragrande maggioranza dei virus, comunque, appartiene alla prima categoria. Diamo alcune definizioni di tipi di virus: • boot-virus: sono quei visus che infettano il settore di avvio o la tabella delle partizioni di un disco. I sistemi informatici vengono in genere infettati da questi virus se avviati con dischi floppy infetti, sempre più rari per la graduale scomparsa dei floppy; • worm: è un programma (o un insieme di programmi) autonomo in grado di diffondere copie funzionanti di se stesso o di suoi segmenti su altri sistemi informatici. La propagazione avviene normalmente attraverso le connessioni di rete o gli allegati e-mail; • cavallo di Troia: è una tecnica che consente di alterare l’esecuzione dei programmi, modificando o aggiungendo istruzioni nei programmi stessi; la particolarità di questo © Mondadori Education 251-272_U14.indd 261 Lezione 3 Crimini informatici 11 10/02/12 19.51 software è che in apparenza svolge compiti inoffensivi mentre lavora minuziosamente per danneggiare l’integrità o la sicurezza dei dati presenti nel sistema; bomba logica: è un programma che viene eseguito al verificarsi di condizioni prestabilite e che, a sua volta, determina condizioni che facilitano l’attuazione di un atto non autorizzato; spesso la bomba logica è la condizione scatenante sulla quale è in attesa un troiano; rabbit: è un programma che, riproducendosi velocemente nel sistema, tende a saturare le risorse e la capacità di elaborazione della CPU; non si riproduce nei programmi ed è specificatamente diretto all’intasamento degli organi della macchina; virus nelle Macro: può essere contenuto generalmente in un documento di Microsoft Word, Microsoft Excel o Microsoft PowerPoint, e consiste in una Macro; può diffondersi a tutti i documenti che vengono aperti con quella particolare applicazione. Questo tipo di virus può essere trasmesso da una piattaforma all’altra, limitatamente a quelle su cui gira MS Office, a causa dello scambio di file; retrovirus: virus che si annida nei programmi antivirus e li mette fuori uso. Il nome deriva dai retrovirus biologici, in grado di attaccare il sistema immunitario (come agisce, per esempio, l’HIV). • • • • ● Prevenzione Per prevenire i problemi legati ai virus è importante seguire alcune norme sia a livello strutturale sia comportamentale. Antivirus Esistono molti programmi antivirus gratuiti. Forniscono protezione a livello base, ma per i computer a livello domestico o di piccoli uffici vanno benissimo. Se invece si hanno neccessità di protezione maggiori, gli stessi software offrono delle versioni a pagamento più complete. 12 251-272_U14.indd 262 Per anticipare e prevenire le più comuni infezioni da virus è opportuno: • nel caso di elaboratori aziendali, dotare ciascuna macchina di una password che impedisca l’accesso al personale non autorizzato; evitare che vengano installati programmi senza licenza e che ci sia un frequente scambio di dischetti tra casa e ufficio; • qualora si lavori in rete è opportuno gestire il file server esclusivamente come elaboratore dedicato, evitando di utilizzarlo come postazione di lavoro (è necessario ricordare che se un virus contagia direttamente un server, viene trasferito più velocemente a tutta la rete da lui dipendente ed, eventualmente, ad altre reti connesse tramite router o bridge); anche per le operazioni di posta elettronica è opportuno utilizzare un elaboratore dedicato esclusivamente a tale funzione; • eliminare le e-mail che hanno come allegati dei file eseguibili (.EXE, .COM, .BAT ecc.). • impostare un’elevata protezione da Macro eventualmente prevedendo l’attivazione solo su richiesta; • non installare mai sul proprio computer programmi passati da amici e conoscenti specialmente su floppy disk: potrebbero contenere virus; • disabilitare dal BIOS del proprio computer il BOOT da floppy; i virus da BOOT SECTOR (è il settore o record di avviamento del Sistema Operativo) sono tra i più diffusi; • effettuare sempre il salvataggio dei dati (backup) con cadenza almeno settimanale; con i dati salvati e i dischi programmi intatti, anche in caso di disastro non imputabile a virus (se si rompe l’hard disk): si sarà in grado di ripristinare il contenuto del computer; • effettuare una copia del settore di avviamento (boot record) e della tabella delle partizioni (partition table) del proprio hard disk usando uno dei programmi di utilità in commercio; questa copia potrebbe scongiurare necessità di riformattare l’hard disk. I programmi antivirus I programmi antivirus sono programmi che cercano di individuare i virus informatici presenti sul computer e di provvedere, poi, alla loro eliminazione. Per individuarli analizzano il contenuto del disco e verificano la presenza del virus in base a un “pattern” o stringa di riconoscimento. Per funzionare in maniera corretta questi programmi devono essere aggiornati di frequente per riconoscere anche i virus di nuova produzione. Per ovviare a questo problema oramai tutti i produttori di antivirus offrono l’aggiornamento via Internet. Crimini informatici © Mondadori Education 10/02/12 19.51 Nel caso, poi, che il programma antivirus rilevi la presenza di un virus spesso è anche in grado di rimuoverlo (in automatico o su richiesta). A volte, però, la rimozione automatica non è possibile perché il virus è troppo recente e quindi viene messo in quarantena in attesa che venga trovato un metodo per rimuoverlo. ● Hacker e cracker Un hacker è una persona che si impegna nell’affrontare sfide intellettuali per aggirare o superare creativamente le limitazioni che gli vengono imposte. Il termine è applicato a ogni aspetto della vita e si esplicita prevalentemente in ambito informatico ed elettronico. Il termine hacker viene in genere associato ai criminali informatici, ma l’intenzione dell’hacker è generalmente l’esplorazione, il divertimento, l’apprendimento, senza creare reali danni. Il cracker è invece colui che si ingegna per eludere blocchi imposti da qualsiasi software, in genere con scopi distruttivi. Il cracking può essere usato per diversi scopi secondari, una volta guadagnato l’accesso di root nel sistema desiderato o dopo aver rimosso le limitazioni di un qualsiasi programma. I cracker possono essere spinti da varie motivazioni che vanno dal guadagno economico (tipicamente coinvolti in operazioni di spionaggio industriale o in frodi) all’approvazione all’interno di un gruppo di cracker. Vediamo alcune delle tecniche che spesso utilizzano per superare le barriere logiche dei sistemi: • collegarsi direttamente con un calcolatore della rete interna che dispone di un accesso autonomo, aggirando così il filtro del firewall; • passare attraverso una “porta di servizio” (back door), una porta virtuale che può essere stata lasciata nel sistema per facilitare, per esempio, interventi di manutenzione; • fare spoofing, cioè sfruttare il meccanismo delle comunicazioni basate sul protocollo Internet a livello di rete (IP), per assumere un’altra identità e infiltrarsi in una intranet. ● Programmatori di virus Gli autori dei virus informatici rientrano nella più ampia cerchia di coloro che commettono crimini mediante l’uso del mezzo informatico; questi ultimi presentano delle caratteristiche proprie. Le indagini sinora condotte indicano concordemente che si tratta, nella maggior parte dei casi, di soggetti giovani, dall’età media compresa fra i 24 ed i 33 anni, ben preparati in informatica, di indole audace e, quasi sempre, di sesso maschile. In particolare coloro che realizzano virus informatici hanno studiato per anni il funzionamento dei computer e dei diversi sistemi operativi, conoscono il linguaggio assembler e il linguaggio C e ne sanno sfruttare tutte le più recondite caratteristiche; il virus rappresenta spesso un vero e proprio capolavoro di programmazione. In genere i computer criminal e, in particolare, quasi tutti gli autori di virus informatici, sono soggetti senza precedenti penali, ma esistono sintomi che lasciano intuire il modificarsi di questa realtà. La stessa criminalità organizzata si va orientando verso reati la cui complessità di preparazione e di attuazione è tale da richiedere o, addirittura, rendere indispensabile l’uso del computer. verifica le tue conoscenze 1 Che cos’è un reato informatico? 3 Come si possono classificare i virus? 2 Come ci si difende dai virus? 4 Che differenza c’è tra un hacker e un cracker? © Mondadori Education 251-272_U14.indd 263 Lezione 3 Crimini informatici 13 10/02/12 19.51 Privacy e diritto d’autore ● Privacy e dati personali Con la diffusione dei sistemi informatici sono nati molti problemi di tipo giuridico connessi alle problematiche della privacy. Ricordiamo a questo proposito che la legge n. 675 del 31 dicembre 1996 sulla salvaguardia dei dati personali è stata promulgata allo scopo di: • migliorare la protezione dei dati personali; • tener conto della tutela giuridica e della riservatezza individuale nella stesura e nella conservazione dei documenti contenenti dati personali; • proteggere i dati personali da utilizzi esterni non autorizzati; • garantire i diritti dei soggetti a cui si riferiscono i dati personali; • definire le responsabilità dei detentori di dati personali altrui e imporre loro obblighi di prevenzione; • proteggere i dati personali, tenendo conto della sicurezza nazionale. Chiunque detenga e gestisca dati personali altrui deve: • avere ottenuto autorizzazione scritta dal soggetto a cui i dati si riferiscono; • comunicare all’interessato le finalità dell’utilizzo di tali dati; • essere disponibile a verifiche su richiesta dell’interessato; • attuare procedure di protezione dei dati gestiti. ● Diritto d’autore La norma di riferimento sul diritto d’autore è la legge . 633 del 22 aprile 1941. A questa sono state apportate nel tempo molte modifiche. Le più significative riguardo all’informatica sono quelle contenute nel decreto legislativo n. 518 del 29 dicembre 1992 che attua la direttiva europea 91/250/CEE relativa alla tutela giuridica dei programmi per l’elaboratore. Il decreto legislativo n. 68 del 09 aprile 2003 modifica la precedente legge sul diritto d’autore n. 633/1941. Si tratta del completamento di un processo di adeguamento delle leggi alle mutate condizioni, durato alcuni anni, in cui vengono date ai magistrati maggiori possibilità di applicare la normativa anche a casi completamente nuovi, a seguito della diffusione sempre maggiore di banche dati e Internet. In particolare viene chiarito con maggior precisione il concetto di “diffusione”, “distribuzione” e “riproduzione”, in modo da prevedere il concetto di download di file. Altre importanti modifiche sono quelle riportate nella legge del 18 agosto 2000 n. 248 su “Nuove norme di tutela del diritto d’autore” che ha previsto particolari ipotesi di reato per i casi di contraffazione e pirateria informatica relativi anche ai programmi per computer, nonché norme più severe in caso di contravvenzione delle leggi. Nel seguito si riportano alcuni degli articoli più significativi del decreto 518/92. Art. 1 1. All’art. 1 della legge n. 633 del 22 aprile 1941, è aggiunto il seguente comma: “Sono altresì protetti i programmi per l’elaboratore come opere letterarie ai sensi della Convenzione di Berna sulla protezione delle opere letterarie e artistiche ratificata e resa esecutiva con legge 20 giugno 1978, n. 309”. Art. 2 1. Dopo il n. 7 dell’art. 2 della legge n. 633 del 22 aprile 1941, è aggiunto il seguente numero: “8) i programmi per l’elaboratore in qualsiasi forma espressi purché originali quali risultato di creazione intellettuale dell’autore. Restano inclusi dalla tutela accordata dalla presente 14 251-272_U14.indd 264 Privacy e diritto d’autore © Mondadori Education 10/02/12 19.51 legge le idee e i principi che stanno alla base di qualsiasi elemento di un programma, compresi quelli alla base delle sue interfacce. Il termine programma comprende anche il materiale preparatorio per la progettazione del programma stesso”. Art. 3 1. Dopo l’art. 12 della legge n. 633 del 22 aprile 1941, è inserito il seguente: “Art. 12 bis – Salvo patto contrario, qualora un programma per l’elaboratore sia creato dal lavoratore dipendente nell’esecuzione delle sue mansioni o su istruzioni impartite dal suo datore di lavoro, questi è titolare dei diritti esclusivi di utilizzazione economica del programma creato”. Art. 4 1. Dopo l’art. 27 della legge n. 633 del 22 aprile 1941, è inserito il seguente: “Art. 27 bis – La durata dei diritti di utilizzazione economica del programma per elaboratore prevista dalle disposizioni della presente Sezione si computa, nei rispettivi casi, a decorrere dal 1 gennaio dell’anno successivo a quello in cui si verifica l’evento considerato dalla norma”. Art. 5 1. Dopo la Sezione V del Capo IV del Titolo I della legge n. 633 del 22 aprile 1941, è inserita la seguente Sezione IV – Programmi per elaboratori. Art. 64 bis 1. Fatte salve le disposizioni dei successivi articoli 64 ter e 64 quater, i diritti esclusivi conferiti dalla seguente legge sui programmi per elaboratore comprendono il diritto di effettuare o autorizzare: a) la riproduzione, permanente o temporanea, totale o parziale, del programma per elaboratore con qualsiasi mezzo o in qualsiasi forma. Nella misura in cui operazioni quali il caricamento, la visualizzazione, l’esecuzione, la trasmissione o la memorizzazione del programma per elaboratore richiedano una riproduzione, anche tali operazioni sono soggette all’autorizzazione del titolare dei diritti; b) la traduzione, l’adattamento, la trasformazione e ogni altra modificazione del programma per elaboratore, nonché la riproduzione dell’opera che ne risulti, senza pregiudizio dei diritti di chi modifica il programma; c) qualsiasi forma di distribuzione al pubblico, compresa la locazione, del programma per elaboratore originale o di copia dello stesso. La prima vendita di una copia del programma della Comunità Economica Europea da parte del titolare dei diritti, o con il suo consenso, esaurisce il diritto di distribuzione di detta copia all’interno della Comunità, a eccezione del diritto di controllare l’ulteriore locazione del programma o di una copia dello stesso. Art. 64 ter 1. Salvo patto contrario, non sono soggette all’autorizzazione del titolare dei diritti le attività indicate nell’art. 64 bis, lettere a) e b), allorché tali attività sono necessarie per l’uso del programma per elaboratore conformemente alla sua destinazione da parte del legittimo acquirente, inclusa la correzione degli errori. 2. Non può essere impedito per contratto, a chi ha diritto di usare una copia del programma per elaboratore, di effettuare una copia di riserva del programma, qualora tale copia sia necessaria per l’uso. 3. Chi ha diritto di usare una copia del programma per elaboratore può, senza l’autorizzazione del titolare dei diritti, osservare, studiare o sottoporre a prova di funzionamento del programma, allo scopo di determinare le idee e i principi su cui è basato ogni elemento del programma stesso, qualora egli compia tali atti durante operazioni di caricamento, visualizzazione, esecuzione, trasmissione o memorizzazione del programma che egli ha il diritto di eseguire. Gli accordi contrattuali conclusi in violazione del presente comma sono nulli. Art. 64 quater 1. L’autorizzazione del titolare dei diritti non è richiesta qualora la riproduzione del codice del programma di elaboratore e la traduzione della sua forma ai sensi dell’art. 64 bis, lettere a) e b), compiute al fine di modificare la forma del codice, siano indispensabili per ottenere le informazioni necessarie per conseguire l’interoperabilità, con altri programmi, di un programma per elaboratore creato autonomamente purché siano soddisfatte le seguenti condizioni: a)le predette attività siano eseguite dal licenziatario o da altri che abbiano il diritto di usare una copia del programma oppure, per loro conto, da chi è autorizzato a tal fine; b)le informazioni necessarie per conseguire l’interoperabilità non siano già facilmente e rapidamente accessibili ai soggetti indicati alla lettera a); © Mondadori Education 251-272_U14.indd 265 Lezione 4 Privacy e diritto d’autore 15 10/02/12 19.51 c) le predette attività siano limitate alle parti del programma originale necessarie per conseguire l’interoperabilità. 2. Le disposizioni di cui al comma 1 non consentono che le informazioni ottenute in virtù della loro applicazione: a) siano utilizzate a fini diversi dal conseguimento dell’interoperabilità del programma creato autonomamente; b) siano comunicate a terzi, fatta salva la necessità di consentire l’interoperabilità del programma creato autonomamente; c) siano utilizzate per lo sviluppo, la produzione o la commercializzazione di un programma per elaboratore sostanzialmente simile nella sua forma espressiva, o per ogni altra attività che violi il diritto d’autore. 3. Gli accordi contrattuali conclusi in violazione dei commi 1 e 2 sono nulli. 4. Conformemente alla Convenzione di Berna sulla tutela delle opere letterarie e artistiche ratificata e resa esecutiva con legge 20 giugno 1978, n. 399, le disposizioni del presente articolo non possono essere interpretate in modo da consentire che la loro applicazione arrechi indebitamente pregiudizio agli interessi legittimi del titolare dei diritti o sia in conflitto con il normale sfruttamento del programma. Art. 8 1. All’art. 161 della legge n. 633 del 22 aprile 1941, è aggiunto, infine, il seguente comma: “Le disposizioni di questa Sezione si applicano anche a chi mette in circolazione in qualsiasi modo, o detiene per scopi commerciali copie non autorizzate di programmi e qualsiasi mezzo inteso unicamente a consentire e facilitare la rimozione arbitraria o l’esecuzione funzionale dei dispositivi applicati a protezione di un programma per elaboratore”. Art. 10 1. Dopo l’art. 171 della legge n. 633 del 22 aprile 1941, è inserito il seguente: “Art. 171 bis – 1. Chiunque abusivamente duplica a fini di lucro programmi per elaboratore, o, ai medesimi fini e sapendo o avendo motivo di sapere che si tratta di copie non autorizzate, importa, distribuisce, vende, detiene a scopo commerciale, o concede in locazione i medesimi programmi, è soggetto alla pena della reclusione da tre mesi a tre anni e della multa da L. 500.000 a L. 6.000.000. Si applica la stessa pena se il fatto concerne qualsiasi mezzo inteso unicamente a consentire o facilitare la rimozione arbitraria o l’elusione funzionale dei dispositivi applicati a protezione di un programma per elaboratore. La pena non è inferiore nel minimo a sei mesi di reclusione e la multa a L. 1.000.000 se il fatto è di rilevante gravità ovvero se il programma oggetto dell’abusiva duplicazione, importazione, distribuzione, vendita, detenzione a scopo commerciale o locazione sia stato precedentemente distribuito, venduto o concesso in locazione su supporti contrassegnati dalla Società italiana degli autori ed editori ai sensi della presente legge e del relativo regolamento di esecuzione approvato con regio decreto 18 maggio 1942, n. 1369. 2. La condanna per i reati previsti dal comma 1 comporta la pubblicazione della sentenza in uno o più quotidiani e in uno o più periodici specializzati”. Art. 11 1. Dopo l’art. 199 della legge n. 633 del 22 aprile 1941, è inserito il seguente: “Art. 199 bis – 1. Le disposizioni della presente legge si applicano anche ai programmi creati prima della sua entrata in vigore, fatti salvi gli eventuali atti conclusivi e i diritti acquisiti anteriormente a tale data”. I sistemi peer-to-peer per scambio file ● Il peer-to-peer (scritto abbreviato come p2p) è una tecnologia che consente ai computer di essere collegati tra loro senza passare da un server centrale, permettendo la condivisione diretta di file (anche di file musicali) tra tutti gli utenti Web. Tutto ciò installando semplici software gratuiti sul proprio pc. L’assenza di un server centrale ha di fatto reso il “file sharing”, ovvero lo scambio di file con programmi peer-to-peer, un’opportunità per costruire un’enorme rete di conoscenze condivise. Poiché questa pratica di massa è molto diffi- 16 251-272_U14.indd 266 Privacy e diritto d’autore © Mondadori Education 10/02/12 19.51 cilmente controllabile, il file sharing può anche essere un sistema truffaldino per aggirare il copyright in un’incontrollata “terra di nessuno”. È quindi buona norma prestare attenzione a ciò che si condivide in rete con i programmi peer-to-peer per non violare le leggi sul copyright. La legge italiana sul peer-to-peer (o Legge Urbani, dal nome del ministro proponente) è il nome convenzionale attribuito alla normativa della legge n. 128 del 21 maggio 2004 della Repubblica Italiana. La materia principale è il finanziamento pubblico per certe attività cinematografiche e sportive, ma al suo interno è stato trattato anche un argomento del tutto eterogeneo, ovvero la distribuzione di opere coperte dal diritto d’autore anche attraverso il cosiddetto peer-to-peer. Prima del 22 marzo 2004, data dell’entrata in vigore di tale legge, non erano previste sanzioni per la condivisione di opere tutelate dal diritto d’autore qualora non vi fosse scopo di lucro. Però nel 2007 la III sezione penale della Cassazione, con la sentenza numero 149/2007, ha accolto il ricorso presentato da due studenti torinesi, condannati in appello a una pena detentiva, sostituita da un’ammenda, per avere “duplicato abusivamente e distribuito” programmi illecitamente duplicati, giochi per PSX, video CD e film, “immagazzinandoli” su un server del tipo Ftp (File transfer protocol). È bene precisare che in Italia chiunque effettui il download di un’opera protetta dal diritto d’autore e la metta in condivisione commette un illecito penale (è l’art. 171, lett. a-bis, lda). La norma è chiarissima: è punito chiunque lo fa “senza averne diritto, a qualsiasi scopo e in qualsiasi forma”. La pena è una multa da 51 a 2.065 euro, ma è possibile evitare il processo penale pagando la metà del massimo previsto (quindi circa mille euro) e le spese del procedimento. I programmi di p2p più diffusi mettono automaticamente in condivisione un file mentre questo viene scaricato, per cui se viene effettuato il download di materiale protetto da diritto d’autore mediante uno di essi si concretizza la fattispecie penale. Inoltre, la violazione del suddetto articolo comporta altresì l’irrogazione di una sanzione amministrativa pari al doppio del prezzo di mercato dell’opera o del supporto oggetto della violazione (art. 174-bis lda), ma detta cifra non può essere mai inferiore a 103 euro. In ambiente peer to peer entrambi i computer possono comportarsi sia come dei server sia come dei client figura 1 Sistema peer-to-peer La legge n. 633 del 22 aprile 1941 afferma che tutti i brani coperti da copyright, qualunque sia il loro formato (quindi anche MP3) e il mezzo di distribuzione (quindi anche Internet), sono tutelati dalla legge sul diritto d’autore. A partire da tale legge, con le sue successive integrazioni e modifiche relativamente alla diffusione della musica via Internet (principalmente tramite MP3), si possono riassumere i tratti principali della normativa come segue. È permesso: • scaricare software di lettura e codifica MP3; • scaricare brani musicali diffusi dagli autori; • creare MP3 per uso personale da un CD acquistato regolarmente dalla stessa persona; • creare CD audio da file MP3 scaricati, a condizione che i file siano stati diffusi con l’autorizzazione dell’autore. Non è permesso: • diffondere gli MP3 prendendo il materiale dalla propria raccolta personale; • più in generale diffondere MP3 senza esplicita autorizzazione dell’autore; • scaricare file MP3 creati da altri utenti. verifica le tue conoscenze 1 Come devono essere gestiti i dati personali dal punto di vista informatico? 2 Che cosa si intende per diritto d’autore? © Mondadori Education 251-272_U14.indd 267 3 Come funzionano i sistemi peer-to-peer? 4 In quali casi è possibile duplicare file MP3? Lezione 4 Privacy e diritto d’autore 17 10/02/12 19.51 Altre norme ● Sicurezza sul luogo di lavoro La normativa al riguardo è contenuta nel decreto legislativo n. 81 del 9 aprile 2008 che tratta dell’attuazione dell’articolo 1 della legge n. 123 del 3 agosto 2007, in materia di tutela della salute e della sicurezza nei luoghi di lavoro. Si tratta della realizzazione di un Testo Unico sulla Sicurezza che raccoglie varie leggi e norme create nel tempo. In particolare viene ripreso il decreto legislativo n. 626 del 1° settembre 1994 che si occupava della prevenzione attraverso la formazione e l’informazione dei lavoratori stessi. In particolare con questa legge vengono abrogati, poiché superati o incorporati le seguenti leggi: • DPR 27 aprile 1955, n. 547; • DPR 7 gennaio 1956 n. 164; • DPR 19 marzo 1956, n. 303 (eccetto l’articolo 64); • DLGS 15 agosto 1991, n. 277; • DLGS 19 settembre 1994, n. 626; • DLGS 14 agosto 1996, n. 493; • DLGS 14 agosto 1996, n. 494; • DLGS 19 agosto 2005, n. 187; • legge 5 agosto 2006, n. 248 (art. 36-bis, commi 1 e 2); • legge 3 agosto 2007, n. 123 (articoli 2, 3, 5, 6 e 7); • ogni altra disposizione legislativa e regolamentare in materia di sicurezza e salute sul lavoro incompatibile con il Testo Unico. Informazione ai lavoratori addetti ai videoterminali Il decreto legislativo prescrive dei requisiti a cui devono corrispondere i posti di lavoro muniti di videoterminale e alcune norme per la tutela della salute e del benessere di quanti utilizzano professionalmente un videoterminale, in modo sistematico e abituale, almeno 4 ore al giorno per tutta la settimana. L’operatore deve, quindi, avere a disposizione un posto di lavoro munito di videoterminale che risponde a requisiti ergonomici, antropometrici, di accettabilità e di sicurezza. Questi criteri possono essere derivati, per esempio, dalle norme dell’Ente Nazionale di Unificazione (UNI) per gli arredi da ufficio, che permettono di fornire un prodotto adeguato alla quasi totalità della popolazione impiegata. O, ancora, dalla norma UNI EN 29541-1994 che elenca i requisiti ergonomici ottimali del lavoro su videoterminale per garantire agli utenti di operare con sicurezza e in condizioni di benessere. In questa nota vengono fornite informazioni su quali rischi per la salute possono derivare dall’attività che richiede l’uso continuativo, per quattro o più ore al giorno, di un videoterminale. Poiché le condizioni ambientali, lo stato di benessere individuale e le richieste lavorative possono cambiare di giorno in giorno, è consigliabile dedicare i primi minuti di ogni turno di lavoro a scegliere la migliore disposizione del posto di lavoro munito di videoterminale: in questa nota riportiamo gli accorgimenti suggeriti dai maggiori esperti di ergonomia. Tra i principali argomenti trattati riguardanti i rischi ricordiamo: • rischi da radiazioni (ionizzanti e non); • rischi per la vista; • rischi da postura; • ambiente (rumore e microclima). 18 251-272_U14.indd 268 Altre norme © Mondadori Education 10/02/12 19.51 Relativamente alla prevenzione vengono indicate norme su come regolare • la sedia; • lo schermo; • l’illuminazione; • il tempo di lavoro. Rapporti con le pubbliche amministrazioni ● Si va sempre più diffondendo la possibilità di utilizzare i mezzi informatici per gestire le informazioni fiscali e per comunicare con l’amministrazione pubblica. Molti adempimenti fiscali sono già da tempo gestiti per via informatica, e ultimamente anche per via telematica: si sta così realizzando lo scenario B2A (business to administration). Anche se in molti casi la carta è ancora il supporto più usato (e a volte l’unico ammesso) si sta sempre più diffondendo la possibilità di far valere autonomamente l’informazione elettronica attraverso l’uso della firma digitale per la certificazione delle dichiarazioni. Autonomia amministrativa La filosofia che guida l’utilizzo delle tecnologie informatiche per lo snellimento dei rapporti tra cittadino e amministrazione si trova espresso nell’articolo 15 della legge n. 59 del 15 marzo 1997 sull’autonomia legislativa, nota come “Legge Bassanini”. 1. Al fine della realizzazione della rete unitaria delle pubbliche amministrazioni, l’Autorità per l’informatica nella Pubblica Amministrazione è incaricata, per soddisfare esigenze di coordinamento, qualificata competenza e indipendenza di giudizio, di stipulare, nel rispetto delle vigenti norme in materia di scelta del contraente, uno o più contratti-quadro con cui i prestatori dei servizi delle forniture relativi al trasporto dei dati e all’interoperabilità si impegnano a contrarre con le singole amministrazioni alle condizioni ivi stabilite. Le amministrazioni di cui all’art. 1, comma 1, del decreto legislativo n. 39 del 12 febbraio 1993, in relazione alle proprie esigenze sono tenute a stipulare gli atti esecutivi dei predetti contratti-quadro. Gli atti esecutivi non sono soggetti al parere dell’Autorità per l’informatica nella Pubblica Amministrazione e, ove previsto, del Consiglio di Stato. Le amministrazioni non ricomprese tra quelle di cui all’art. 1, comma 1, del decreto legislativo n. 39 del 12 febbraio 1993, hanno facoltà di stipulare gli atti esecutivi di cui al presente comma. 2. Gli atti, dati e documenti formati dalla Pubblica Amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi e rilevanti a tutti gli effetti di legge. I criteri e le modalità di applicazione del presente comma sono stabiliti, per la Pubblica Amministrazione e per i privati, con specifici regolamenti da emanare entro centottanta giorni dalla data di entrata in vigore della presente legge ai sensi dell’art. 17, comma 2, della legge n. 400 del 30 agosto 1988. Gli schemi dei regolamenti sono trasmessi alla Camera dei deputati e al Senato della Repubblica per l’acquisizione del parere delle competenti Commissioni. Uso di strumenti informatici Il decreto del Presidente della Repubblica n. 513 del 10 novembre 1997 sancisce le modalità di utilizzo degli strumenti informatici nei rapporti con la Pubblica Amministrazione. Si tratta del regolamento attuativo del comma 2 dell’articolo 15 visto precedentemente, e reca criteri e modalità per la formazione, l’archiviazione e la trasmissione di documenti con strumenti informatici e telematici. verifica le tue conoscenze 1 Che cosa prevede la norma sulla sicurezza per i lavoratori informatici? 2 Che cosa va regolato per poter lavorare correttamente? © Mondadori Education 251-272_U14.indd 269 3 Che cosa è l’autonomia amministrativa? 4 Si possono usare strumenti informatici nei rapporti con la pubblica amministrazione? Fai degli esempi. Lezione 5 Altre norme 19 10/02/12 19.51 sintesi lezione 1 La sicurezza I costi che le aziende spendono per l’informatica porta a considerare come importantissima la problematica della sicurezza. Si parla di sicurezza sia per quanto riguarda i sistemi (hardware e software) sia soprattutto per quanto riguarda i dati e le informazioni, vero patrimonio aziendale. lezione 2 Crittografia Fin dai tempi più remoti è invalso l’utilizzo di messaggi cifrati per evitare che venissero letti da altri che si sono evoluti con il tempo permettendo di raggiungere attulmente livelli di sicurezza veramente notevoli. Anche su Internet, per garantire la sicurezza dei dati, vengono usate tecniche crittografiche. lezione 3 Crimini informatici Con lo sviluppo dell’informatica si evolvono anche i crimini e le attività illegali. Dalla diffusione dei virus al furto e all’uso illegittimo del software. Anche le leggi si sono adeguate, recependo in molti casi le direttive europee. lezione 4 Privacy e diritto d’autore Un tema da sempre dibattuto è stato quello del diritto d’autore, sia per quanto riguarda i programmi, sia per quanto riguarda la copia e la diffusione di opere (libri, musica, film) su supporti informatici. Anche in questo caso la diffusione di Internet e delle reti ha amplificato il problema. lezione 5 Altre norme Tra importanti norme nel settore informatico vi sono quelle che riguardano la sicurezza per i lavoratori del settore e quelle che riguardano i rapporti tra aziende e cittadini con la Pubblica Amministrazione. 20 251-272_U14.indd 270 La sicurezza informatica © Mondadori Education 10/02/12 19.51 domande per l’orale La sicurezza informatica unità Ripasso MP3 1 Descrivi come funzionano i meccanismi del backup e del restore. ➞ L1 2 Descrivi il meccanismo di funzionamento della crittografia a chiave pubblica. ➞ L2 3 Come funziona un virus? ➞ L3 4 Quali sono i principali reati informatici? ➞ L3 5 Come viene applicata la norma sul diritto d’autore per le opere informatiche? ➞ L4 6 Quali sono le norme per prevenire i rischi da lavoro al computer? ➞ L5 © Mondadori Education 251-272_U14.indd 271 Unità 14 La sicurezza informatica 21 10/02/12 19.51 in English, please Abstract COMPUTER SECURITY Security issues are an important aspect of software development and information systems. These security issues affect hardware and software, as well as data. With the development of the Internet the possibilities of fraudulent access to data and information have multiplied, and thus there is a need to develop procedures that provide protection against criminal activity. The legislative bodies of the EU have issued several security regulations to be implemented by the individual states. Many of these regulations already existed in Italy, while others have been introduced only recently. c Extended Data Processing d Electronic Document Processing Exercises 1 Using a password is the best way to prevent intrusions T F 2 A computer program is covered by copyright T F 3 Security standards are in place for people working with computers T F 4 EDP means: a Enterprise Data Processing b Electronic Data Processing 5 Which of these passwords provides the best security? a Nicola b Ax7B2 c CI17758 d A!xC23” 6 List the main professional operators involved with the Internet. 7 When is copying software not illegal? Glossary Glossario Anonymous: A term used in place of your name when connecting to the Internet, when you wish to remain incognito. Backup: Indicates both the procedures and equipment used in case of breakdown or emergency. Encryption: Process that converts a text into code to prevent it being easily understood by all. Encrypted text can only be decrypted using a special key. Freeware: A program that can be copied and distributed freely without cost. Gateway: A hardware device that allows two networks to 22 251-272_U14.indd 272 La sicurezza informatica connect and exchange data. Peer to Peer: Organization in which each computer on the network can act as the server for some computers and log on as a client to others. Restore: Procedure to recover and reinstall previously stored data on your computer. Shareware: Software that may be distributed and used for free for a certain amount of time, after which you must pay the manufacturer to continue using it. Userid: Abbreviation used to define the identity of the user seeking access to the computer system. © Mondadori Education 10/02/12 19.51
