Il quiz rivelatore
Chi di noi lascerebbe le chiavi della propria auto infilate nel cruscotto o la porta di casa socchiusa? Si fa presto a parlare di sicurezza informatica, ma la verità è che le conoscenze della maggior parte delle persone in questo ambito sono scarse e, spesso, imprecise. Un nuovo report del Pew Research Survey mostra come una vasta maggioranza degli utenti americani non abbia saputo rispondere correttamente a un quiz online sulla cybersicurezza, mostrando quanto siano gravi e profonde le lacune anche da parte di chi usa un computer o un dispositivo portatile come uno smartphone o un tablet.
Le sa tutte solo uno su cento
Il test (ancora disponibile qui) non è eccessivamente complesso: le domande vertono sul significato dell’acronimo “https” all’inizio di un URL, il significato di “phishing”, l’autenticazione a due fattori e così via. Con un minimo di pratica, non è difficile guadagnarsi la sufficienza, con la maggioranza delle risposte giuste. Eppure, in media gli intervistati hanno risposto correttamente a 5 domande su 13, solo il 20% ha superato le otto risposte esatte e un misero 1% le ha azzeccate tutte, da un campione di 1.055 utenti adulti di Internet negli Stati Uniti che si sono sottoposti al quiz tra il 17 e il 27 giugno del 2016.
Bene sulle password, ma…
L’analisi è interessante non soltanto perché ci permette di toccare con mano la scarsa preparazione di molti con un argomento che, bene o male, ha ormai a che fare con la vita quotidiana di chiunque, ma anche perché è possibile analizzare quali sono gli argomenti meglio conosciuti dalla maggior parte delle persone e su quali, invece, è buio pesto, o quasi. Con l’ADSL e la fibra ottica a basso prezzo (su SosTariffe.it si possono sempre trovare le tariffe più convenienti per connettersi a Internet) visitiamo decine di siti al giorno, consultiamo front-end dei quotidiani nazionali digitali più spesso di quelli cartacei, forniamo le nostre credenziali per iscriverci a una varietà di servizi diversi. Per esempio, dovremmo essere talmente abituati (anche perché “spinti” da buona parte dei siti con credenziali d’accesso) a elaborare password complesse, con maiuscole e minuscole, simboli e numeri da riuscire a riconoscere al volo la parola chiave più sicura tra alcune che ci vengono suggerite: e in effetti per gli intervistati, o almeno per 3 su 4 di loro, è stato così.
Difendersi dal phishing
Sempre secondo lo studio, gli americani sono giustamente diffidenti nei confronti dei Wi-Fi pubblici, anche se protetti da password, perlomeno per quanto riguarda le operazioni più sensibili come l’online banking: un codice d’accesso non è infatti una garanzia sufficiente per ritenere una connessione davvero sicura. La maggioranza degli americani sa anche riconoscere un attacco di phishing (quelli che, con link nascosti e siti costruiti a immagine e somiglianza di altri di famose istituzioni, mirano a ingannare l’utente facendogli fornire spontaneamente i suoi dati sensibili) ed è a conoscenza del fatto che spegnere il GPS su uno smartphone non significa che tutto il tracking del dispositivo è disattivato (basta leggere le cronache per sapere, del resto, che i cellulari possono essere rintracciati quando si agganciano a una cella della rete mobile o a una rete wireless).
Autenticazione a due fattori, questa sconosciuta
I problemi arrivano da altre parti. Tutto sommato non conoscere la definizione di una botnet o le possibilità d’uso di una VPN per ridurre al minimo i rischi di una rete wireless non sicura non è eccessivamente grave, considerando che si tratta di operazioni che solo di rado vengono effettuate dall’utente medio; il vero disastro si ha con l’autenticazione a due fattori, a oggi l’unico modo davvero sicuro per mettersi al riparo da furti d’identità, ad esempio con la necessità di inserire sia la propria password che un codice generato al momento e inviato via SMS al cellulare associato a quel determinato account. Ebbene, solo un misero 10% di intervistati è stato in grado di riconoscere, di fronte a quattro immagini di schermi di login, l’unico che prevedeva un’autenticazione di questo tipo. Ci si è confusi con la risposta obbligatoria a due domande di sicurezza nello stesso schermo o altri sistemi che, per quanto più sicuri di una password secca, non sono autenticazione a due fattori.
Più giovane non vuol dire più sicuro
Solo il 33%, inoltre, sa che deve stare attento alla lettera “s” in fondo all’http per avere la certezza che le informazioni fornite dall’utente siano criptate, e il 39% vive nell’idea – ingenua – che usare la navigazione in incognito su un browser renda i percorsi dell’utente invisibili al proprio provider (quando, in realtà, è soltanto un modo per impedire al browser stesso, o al più al computer, allo smartphone o al tablet, cronologia e cookie relativi).
Questione di età degli utenti? Fino a un certo punto: se è vero, da una parte, che chi aveva una laurea o un titolo di studio superiore ha risposto meglio, su varie questioni gli utenti con 65 anni o più hanno risposto quasi allo stesso modo della fascia d’età dai 18 ai 29 anni (questi ultimi se la cavano un po’ meglio sul GPS e sulla navigazione privata). Insomma, ancora una volta essere un “millennial” non garantisce una maggiore conoscenza dei temi di sicurezza.
In Italia? Va ancora peggio
Va ricordato, però, che l’analisi riguarda gli Stati Uniti: e gli italiani a che punto sono? Ben più indietro, considerando che secondo il sondaggio commissionato da Google a YouGov di recente in occasione del Safer Internet Day un italiano su cinque utilizza, come propria password, semplicemente… «password». Non solo: la maggior parte ha la stessa chiave di accesso per tutti i propri account, con l’ovvia conseguenza che il furto della medesima da un qualunque sito comporta l’immediato possibile accesso a tutti gli altri. Per questo può essere una buona idea utilizzare i password manager inclusi nei browser o in applicazioni di terze parti, o se non altro ideare un sistema che consenta di legare ogni singola password al suo servizio di riferimento tramite una formula fissa: ad esempio, prendere la terza e la quinta lettera dal nome del sito e aggiungere una combinazione standard di caratteri alfanumerici, maiuscole, minuscole, numeri, simboli, stando sempre attenti a non includere parole che si possono trovare nel dizionario.
Fonti: http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
http://www.lastampa.it/2017/02/07/tecnologia/news/sicurezza-e-pc-il-complicato-rapporto-degli-italiani-con-le-password-VNJvn4XJHiGDSOtCbR319N/pagina.html