Fidarsi Del Software

Facciamo un esperimento insieme: all'esperimento

Grazie di aver partecipato. Naturalmente era uno scherzo 🤣🤣

E soprattutto, come lo potete sapere con certezza? Nelle prossime righe capiremo insieme quanto tempo resta al vostro dispositivo.

Perché ti fidi di un software?🔗

Nell'epoca moderna, usiamo un processo molto veloce per ottenere qualsiasi software vogliamo. Per la maggior parte dei sistemi operativi, questo processo funziona grossomodo così:

• Apri il gestore del software
• Cerca il software che ti interessa
• Installalo

"Gestore del software" che a sua volta è un software che ci permette di installare altro software. Dipendentemente dalla vostra piattaforma potrebbe chiamarsi con uno di questi nomi: "App", "Google Play", "Microsoft", "Amazon" seguito dal suffisso "Store". Non ci pensiamo troppo su, perché ce li fornisce il produttore del nostro telefono, dunque ci fidiamo. Ci fidiamo perché sappiamo che qualcuno sta supervisionando ciò che ci viene inserito dentro.

Ma quello che troviamo in questi "Store", non è l'unico modo di interagire con il software, giusto? La pagina con cui avete interagito all'inizio, è anch'essa un software. Okay, certo, vi ci ho portato io, e potreste argomentare con un semplice "mi fidavo di te.." e avere 100% ragione, ma se non fossi stato io a chiedervelo ci avreste pensato su?

Facciamo un altro esempio di software simile con cui interagite ogni giorno. Anche questi sono software:

Vi fidate sempre di tutti loro?

Perché se questo fosse il caso, significherebbe che per voi i virus informatici non esistono: sarebbero tutti software di cui vi fidate e che avete deciso consciamente di installare. Il che ci porta alla seconda alternativa: I virus esistono senz'altro, e qualche volta possono essere installati senza il vostro consenso, oppure abusando della vostra fiducia.

La "fiducia" non è una buona metrica per proteggere la vostra vita digitale. Dunque è interamente possibile che io abbia effettivamente installato un virus nei vostri dispositivi.

È necessario fidarsi?🔗

Questa è una buona domanda. Dovete sempre, necessariamente fidarvi per fare qualcosa di utile con i vostri dispositivi? Probabilmente la maggior parte di voi crede di sì. Sfortunatamente, vi devo dare ragione: Ken Tomphson ci ha dimostrato in un famoso paper che pur controllando tutto il controllabile attorno al software che usiamo, alla fine della fiera, dobbiamo fidarci in qualche misura, di qualche componente, accettando implicitamente il fatto che quest'ultima potrebbe essere malevola, e rendere malevolo tutto ciò che tocca.

Il massimo che possiamo fare, è controllare la misura in cui decidiamo di fidarci di un certo software o meno. Però in che modo possiamo ridurre la fiducia che poniamo su un certo software?

Avete installato un virus?🔗

Ok, basta chiacchiere, scopriamo se avete effettivamente installato un virus o meno. Di seguito ho l'intero codice sorgente per la pagina che potrebbe aver installato un virus sul vostro dispositivo:

<!DOCTYPE HTML>
<html>
	<head>
		<title>
			L'esperimento di Luca
		</title>
		<meta charset="utf-8" />
		<meta name="viewport" content="width=device-width, initial-scale=1">
	</head>
	<body>
		<center>
			<h1 id="titolo">Benvenuto</h1>
			<button id="bottone">Cliccami</button>
			<br/>
			<label id="messaggio" for="progressbar"></label>
			<br/>
			<progress id="progressbar"></progress>
			<script type="text/javascript">
			 function sleep(s) {
				 return new Promise(resolve => setTimeout(resolve, s * 1000));
			 }

			 const titolo = document.getElementById('titolo');
			 const progresso = document.getElementById('progressbar');
			 const messaggio = document.getElementById('messaggio');
			 const bottone = document.getElementById('bottone')
			 messaggio.hidden = true;
			 progresso.hidden = true;
			 bottone.onclick = async function () {
				 progresso.hidden = false;
				 messaggio.hidden = false;
				 messaggio.textContent = "Scaricando il virus...";

				 await sleep(2).then(async () => {
					 messaggio.textContent = "Installando il virus...";
					 progresso.value = 0;
					 while (progresso.value < 1) {
						 await sleep(Math.random()).then(progresso.value =
							 progresso.value + Math.random());
					 }
					 messaggio.textContent = "Virus installato";
				 });

				 alert("Congratulazioni, ho appena installato un malware sul tuo dispositivo.")
				 titolo.textContent = '¯\\_(ツ)_/¯';
				 await sleep(1.1).then(bottone.hidden = true);
				 await sleep(1.3).then(messaggio.hidden = true);
				 await sleep(1.5).then(progresso.hidden = true);
				 await sleep(2).then(document.body.hidden = true);
				 await sleep(Math.random()).then(window.history.go(-1));
			 }
			</script>
		</center>
	</body>
</html>

<button><span>ciao</span></button>

<button>...</button>

<script type="text/javascript">
  ...
</script>

function sleep(s) {
    return new Promise(resolve => setTimeout(resolve, s * 1000));
}

new Promise(resolve => ...);

function sleep(...) {
    return new Promise(resolve => setTimeout(resolve, s * 1000));
}

const titolo = document.getElementById('titolo');
const progresso = document.getElementById('progressbar');
const messaggio = document.getElementById('messaggio');
const bottone = document.getElementById('bottone')

<h1 id="titolo">Benvenuto</h1>
<button id="bottone">Cliccami</button>
...
<label id="messaggio" for="progressbar"></label>
...
<progress id="progressbar"></progress>

messaggi.hidden = true;
progresso.hidden = true;

button.onclick = async function () { ... }

progresso.hidden = false;
messaggio.hidden = false;
messaggio.textContent = "Scaricando il virus...";

await sleep(2).then(async () => {
    ...
});

messaggio.textContent = "Installando il virus...";
progresso.value = 0;

while (progresso.value < 1) {
    ...
}

await sleep(Math.random()).then(progresso.value =
                                progresso.value + Math.random());

messaggio.textContent = "Virus installato";

alert("Congratulazioni, ho appena installato un malware sul tuo dispositivo.")
titolo.textContent = '¯\\_(ツ)_/¯';

await sleep(1.1).then(bottone.hidden = true);
await sleep(1.3).then(messaggio.hidden = true);
await sleep(1.5).then(progresso.hidden = true);
await sleep(2).then(document.body.hidden = true);
await sleep(Math.random()).then(window.history.go(-1));

Riferitevi alla sezione espandibile "Spiegazione dettagliata della pagina malevola" per capire cosa fa quel codice. Per tagliare corto: Quella pagina si limita a mostrare sul vostro schermo varie cose che succedono: gli elementi che scompaiono dalla pagina, la barra del progresso che si riempie, la finestra di dialogo che vi dice che avete installato un malware, e il messaggio di stato. Ma questo non fa di quella pagina un malware, solo un software innocente che tenta di porre la vostra attenzione su uno specifico concetto..

Qual è il Concetto?🔗

Quello che voglio farvi notare, è che in questo momento, siamo in grado di prendere la situazione sul ridere per un solo motivo: Vi ho fornito il codice della pagina "malevola" e vi ho spiegato esattamente quello che succede. Questo succede per qualsiasi software: a meno che non conosciate il codice sorgente del software che usate, non potete sapere cosa sta facendo, e questo vale per tutti i software, indipendentemente da dove provengono.

È anche per questo che è importante scegliere di usare un software libero al posto di un software proprietario se se ne ha l'opportunità. Usando software libero voi possedete a tutti gli effetti il software stesso.

I più attenti tra voi, a questo punto staranno urlando una obiezione:

"Ok, ma chi mi dice che il codice che mi hai fatto vedere in questa pagina corrisponde esattamente a quello che il tuo sito mi fornisce?"🔗

A questa obiezione, vi rispondo che facendo una "piccolissima" assunzione: quella che voi vi potete fidare che il browser che usate vi mostri sempre e solamente quello che il sito che avete chiesto gli manda, allora potete visitare nel vostro browser questo collegamento:

E il vostro browser vi mostrerà esattamente il codice sorgente della pagina che gli viene mandata. Potete verificare indipendentemente che corrisponda o meno. Naturalmente, il vostro browser faceva questo anche prima, che scrivessi questo articolo, quindi tecnicamente vi sarebbe bastato saper leggere il codice per verificare da voi cosa succede in quella pagina.

"Un momento.. e chi mi dice che il bottone mi porta proprio a quella pagina e non a un'altra?"🔗

Ottimo, vedo che siete attenti... perché non provate ad usare lo stesso trucchetto per vedere il codice di questa pagina allora?

(il bottone dovrebbe essere verso la riga n.262)

"Ma.. come faccio una cosa del genere con un'applicazione?"🔗

Giusta osservazione, la cosa più simile sarebbe avere una compilazione riproducibile, in breve, è un modo di creare un pacchetto software che vi garantisce che non ci sia alcuna differenza tra quello che il produttore distribuisce e quello che potete compilare voi stessi dal codice sorgente. Questo viene attualmente fatto da Signal, anch'esso software libero.

Conclusioni🔗

Come abbiamo visto, alla fine di qualcosa ci si deve fidare. Che sia il vostro browser, che sia il semplice fatto che l'applicazione che usate corrisponda a quella che il produttore distribuisce, alla base c'è comunque un minimo di fiducia.

Al tempo stesso la fiducia non è uno strumento adeguato per proteggere la vostra vita digitale, e per massimizzare questa protezione (ma soprattutto la vostra libertà come utenti) è necessario minimizzare il quantitativo di fiducia che si ripone in un software, a maggior ragione se tale software non è libero.

Non mi aspetto che qualunque utente impari a leggere il codice, sarebbe impensabile. Quello che mi aspetto da un utente responsabile è che utilizzi delle euristiche migliori --per scegliere il software che usa-- di un semplice "l'ho trovata sullo store".