Fin dagli albori di internet l’e-commerce (e successivamente l’e-banking) è stata una delle cosiddette “killer-applications”, cioè una delle principali applicazioni in grado di cogliere le opportunità offerte da internet. Al contempo l’e-commerce è sempre stata anche una delle applicazioni più difficili da realizzare, principalmente a causa della complessità dei sistemi di pagamento, dell’elevato grado di sicurezza necessario e del necessario coordinamento di tutti gli attori coinvolti in un processo di vendita. Oltre a queste obiettive difficoltà realizzative l’e-commerce ha dovuto superare la diffidenza degli utenti che, spesso a ragion veduta, non si fidavano nell’affidare i propri pagamenti ad un mezzo non completamente sotto il loro controllo. Con l’inizio del nuovo millennio i sistemi di e-commerce si sono sdoganati superando le iniziali diffidenze degli utenti e raggiungendo un grado di complessità tecnologica e sicurezza adeguato. Oggigiorno acquistare servizi e beni tramite e-commerce, effettuare pagamenti e altre operazioni finanziare è una attività comune, che viene fatta da una larga fascia di utenti. La sicurezza dei sistemi di pagamento online odierni è adeguata. Un risultato di quanto affermato è sicuramente l’aumento smisurato degli attacchi di phishing (v Riquadro A), che aggirano in qualche modo i sistemi di sicurezza informatica, sfruttando l’anello debole di un sistema di e-commerce, la disattenzione degli utenti.

Negli ultimi anni abbiamo assistito all’enorme crescita dell’accesso ad internet in mobilità (mobile internet). Come già accaduto per internet ed i PC, (accesso fisso ad internet), anche per il mobile internet, l’e-commerce rappresenta un servizio fondamentale. Si parla in questo contesto di m-commerce (mobile commerce), le cui potenzialità sono ancora superiori a quelle dell’e-commerce, soprattutto se si considerano i molteplici scenari di utilizzo oggi possibili (acquisti direttamente dal terminale mobile “on-the-road”).

Anche di m-commerce si parla da tempo, ma la diffusione reale dei servizi sta diventando solo ora una realtà a causa della enorme crescita dei terminali mobili, crescita avvenuta in quattro principali direzioni:

• Evoluzione dell’hardware: a partire dai primi smartphone i terminali mobili sono diventati dei sistemi multi-radio (che usano molteplici standard trasmissivi, GPRS, UMTS, WiFi, NFC, BlueTooth, ZigBee, WiBree, NFC, …), dotati di numerosi sensori (accelerometri, giroscopi, GPS, sensori di luce e di temperatura, sensori di prossimità, …) e di display di dimensioni adeguate a forme di interazione  complesse(1).
• Evoluzione della potenza di calcolo e della memoria: la potenza di calcolo dei recenti terminali mobili e la memoria disponibile sono notevoli, superiore a quella dei PC con i quali i primi servizi di e-commerce sono nati. Questo ha comportato ad esempio, interfacce complesse e potenza per compiere i calcoli necessari alla sicurezza delle transizioni.
• Evoluzione dei sistemi operativi: l’adozione di piattaforme hardware standard (es. la famiglia di processori ARM) ha permesso la crescita di sistemi operativi veri e propri per terminali mobili e la compatibilità del software su famiglie estese di terminali. Oggigiorno i sistemi operativi per terminali mobili sono principalmente i seguenti: Symbian, PowerPC di Microsoft, OSX (presente solo sugli iPhone), mentre Android e il recentissimo WebOS della Palm non sono ancora sul mercato.
• Evoluzione della modalità di interazione: il grande passo in avanti è stato compiuto dai device multi-touch (in primis l’iPhone) che hanno permesso di stravolgere la modalità di interazione con i terminali mobili. Device touch erano già stati introdotti sul mercato, il vero punto di svolta è stato il multi-touch. A partire dai primi sistemi di questo tipo si è iniziato a parlare di Natural User Experience (NUEx), anche nel contesto mobile. La NUEx di fatto è un nuovo concetto di interazione con i dispositivi informatici, nella quale, semplificando, è il sistema ad adattarsi al modo di essere dell’utente e non il viceversa. Parallelamente inoltre, grazie alla maggiore potenza dei dispositivi mobili, grazie a browser specificamente sviluppati è stato possibile ricreare un’esperienza di navigazione ricca (in termini di grafica e design), ben oltre i limiti del WAP.

Questi elementi congiuntamente hanno reso possibile una nuova e potente spinta verso nuove forme di m-commerce, che superassero i limiti della classica sequenza di acquisto tramite la rete: navigazione, acquisto, pagamento, transazione. Gli odierni scenari di m-commerce sono estremamente orientati alla naturalità del gesto di acquisto. Per capire questo concetto occorre specificare meglio come si svolge un tipico acquisto tramite m-commerce.

Evoluzione del processo di acquisto tramite servizi di m-commerce
La Figura 1 mostra una tipica sequenza di azioni necessarie per compiere un acquisto tramite servizi di m-commerce (al centro). La figura riporta anche 2 ulteriori chiavi di lettura delle conseguenze del workflow centrale: la user experience percepita dagli utenti, espressa tramite “emoticons” che schematizzano la sua percezione del servizio (in basso) ed una serie di possibili problemi di sicurezza (in alto).

La dimostrazione parte con un oggetto, per esempio stampato su una rivista, che si vuole acquistare tramite canale mobile. La prima cosa che occorre fare è quella di collegarsi ad un sito specifico, digitando la URL, spesso non semplice da leggere o da copiare. A questo punto occorre che la connessione dati non fallisca e che il sito sia compatibile con il browser preinstallato sul terminale mobile (non sempre vero) e sia pensato per essere navigato in mobilità (anche questo non sempre vero). Se tutto questo è vero l’utente (innervosito dai passi non per tutti ovvi che ha dovuto compiere) arriva al momento in cui deve immettere i dati della sua carta di credito (o accedere ad un e-wallet) e sperare che la transazione abbia successo.

Ovviamente lungo il processo esistono numerose minacce a partire dal phishing e typosquatting(2) , l’infezione dei terminali, il pharming(3)  e la sicurezza stessa del sito di m-commerce.

Due le aree di intervento particolarmente delicate, utili ad assicurare il successo di un’applicazione di m-commerce:

• Natural User Experience Enhancements. I sistemi avanzati di interfacciamento con gli utenti sono oggetto dei moderni sistemi informatizzati, sia in ambito mobile che non. L’innovazione consiste nella ridefinizione delle interfacce con le quali gli utenti sono abituati a lavorare, reinventandone l’esperienza di utilizzo. Lo scopo è di reinventare il modo in cui i servizi di m-commerce sono fruiti, rendendoli realmente usabili.
• Software Secure Code Development. La sicurezza delle applicazioni in generale è un punto particolarmente delicato a causa dell’oggettiva difficoltà della materia: definire procedure per lo sviluppo sicuro di applicazioni realmente affidabili è un compito arduo. L’obiettivo è creare applicativi meno vulnerabili affrontando il problema della sicurezza in modo organico e coerente fin dalle prime fasi del progetto. Per applicativi s’intendono sia i programmi installabili sui terminali che i siti web per m-commerce.

Per quanto riguarda la connessione dati l’evoluzione attesa segue trend differenti, che passano attraverso due importanti requisiti: sistemi trasmissivi a banda larga (con grandi capacità di trasmissione in termini di Mbyte/sec) ed a banda lunga (in grado di sostenere la trasmissione dati per tutta la durata della connessione, senza disconnessioni).

Natural User Experience Enhancement
Una delle caratteristiche più interessanti della nuova generazione di terminali mobili è la loro abbondanza di sensori e sistemi che permettono di contestualizzare l’uso del dispositivo. E’ in tal modo possibile capire dove e come l’utente stia usando il terminale (es. in che zona della città e se si sta muovendo). La seconda interessante funzionalità è l’abbondanza di mezzi di scambio dati fra terminali e altri oggetti. Oltre al Bluetooth sono stati presentati i primi dispositivi ZigBee (o WiBree) ed i primi terminali NFC(4) , in grado di trasferire dati da stazioni fisse semplicemente avvicinandoli ad un certo oggetto.

I terminali mobili sono quindi contestualizzati e scambiano dati con il mondo che li circonda. Questo in sintesi permette di contestualizzare i servizi di m-commerce al luogo ed alla modalità di uso (es. di corsa, in auto, in treno, …). Una prima interessante applicazione è quella del tagging. Tramite la telecamera è possibile inquadrare uno specifico tag bidimensionale (una sorta di codice a barre) stampato assieme all’immagine di un oggetto (si pensi ad un possibile acquisto) e, scattando una foto, acquisire delle informazioni e accedere automaticamente al sito internet che ne permette l’acquisto(5).

Altri servizi di tagging sono:
• Smartposter: il supporto cartaceo contiene un tag bidimensionale o un tag attivo (RFID o NFC) che contiene le informazioni necessarie per accedere alla pagina internet dove poter fare un acquisto.
• Tag 4D o Augmented Reality: all’immagine ripresa dalla telecamera vengono aggiunte delle informazioni sintetiche, sovrapponendole all’immagine reale. Il risultato è quello di avere un immagine arricchita di informazioni e modelli digitali, come ad esempio quello di un oggetto da comprare. E’ possibile vedere l’oggetto da più punti di vista ed eventualmente direttamente essere guidati all’acquisto sulla rete(6).
• Tagging reality: tramite la video camera del terminale mobile è possibile sovrapporre informazioni di augmented reality contestualizzate all’immagine ripresa. Il risultato è quello ad esempio di poter acquistare beni di consumo legati al contesto (cioè legati al posto in cui ci si trova) ed in modo molto naturale(7).

Il vantaggio delle Natural User Experience è quindi quello di saltare la fase di selezione del prodotto, interazione con il terminale per immettere la URL, connessione, navigazione del sito per trovare il punto giusto ecc. Il terminale fa tutto in automatico e porta l’utente direttamente dentro al servizio di m-commerce, nel punto giusto e con la modalità di presentazione migliore.

Software Secure Code Development
L’aumento di potenza dei terminali mobili e le migliori condizioni di uso stanno quindi invogliando gli utenti generici ad usufruire dei servizi di m-commerce. La possibilità di eseguire transazioni mediante cellulare, infatti, non è una novità di persè, ma aveva trovato sostanzialmente fino all’introduzione dell’iPhone sul mercato, scarsa diffusione. Questo era principalmente dovuto a causa dell’inadeguatezza dei meccanismi di sicurezza utilizzabili con gli strumenti tradizionali disponibili sui terminali mobili, come gli SMS, o alla difficoltà di distribuire applicazioni specifiche su una base di dispositivi sufficientente ampia.
Dal punto di vista degli sviluppatori questo si traduce in tre vantaggi:
• L’uniformità delle piattaforme hardware (ad esempio le CPU ARM), permette di condividere il bytecode assembler dei programmi fra terminali di marche differenti (anche con sistemi operativi differenti).
• La convergenza dei sistemi operativi per terminali mobili, permette di sviluppare un numero ridotto di versioni di uno stesso programma.
• La aumentata usabilità, permette di avere interazioni evolute e accattivanti per gli utenti.

Questi stessi vantaggi si applicano ai creatori di malware, oltre al fatto di avere un numero enorme di applicazioni da poter “infettare”.
I primi malware per il mondo mobile sono già stati identificati, ma si tratta sostanzialmente di esperimenti, soluzioni amatoriali e cosiddetti proof-of-concepts, malware creato appositamente per dimostrare la sfruttabilità di una specifica vulnerabilità. Al momento esistono, per tutti i principali terminali mobili Viruses, Worms, Trojans e Applicazioni per spiare il traffico in uscita (spyware) e per criptare le informazioni private (ransomware(8)). Cosa ancora non è stato “visto” sono:
• Rootkits, programmi che prendono il controllo del sistema operativo legandosi in modo indissolubile con il terminale.
• Worm o virus che non hanno bisogno dell’intervento dell’utente per diffondersi.
• Spyware con diffusione geografica elevata.
• Malware su larga scala, appositamente creato per creare profitto (malware professionale, v. riquadro).

L’esperienza mostra però che, dove ci sono soldi c’è crimine. L’ambiente mobile sta già convergendo verso lo stesso scenario di infezione dei PC. Sui PC in un primo tempo il malware era sviluppato da dilettanti o persone spinte da curiosità intellettuale, mentre ora più del 95% del malware è creato per un ben preciso scopo economico. Il mondo mobile è destinato a seguire lo stesso sviluppo (v Riquadro B).

Quello che in generale va protetto parlando di m-commerce sono sia le applicazioni sui terminali mobili (a partire dal sistema operativo) che i siti mobile web.

Per il mondo PC sono nate nel tempo alcune tecniche di programmazione sicura, appositamente studiate per aumentare le difese dei programmi. Queste tecniche vanno sotto il generico nome di Secure Code Programming. Una vulnerabilità in generale può essere considerata un baco di sicurezza del software, sia per i programmi sia per i siti web. Queste tecniche di programmazione sono specificamente pensate per ridurre l’incidenza dei bachi di sicurezza.

Le tipiche attività di investimento coprono i seguenti punti:
• definizione di checklist sia ad uso degli sviluppatori e progettisti che di chi il software lo deve comprare, giudicandone la sicurezza strutturale,
• testing di applicazioni e siti web già sviluppati al fine di effettuare un positioning (capire il livello di sicurezza implementato),
• procedure per lo sviluppo di soluzioni che siano più resilienti rispetto ai problemi discussi.
Occorre dire che sfortunatamente, a causa della natura tipicamente elusiva dei bachi di sicurezza, non esiste la sicurezza al 100% che un programma sia totalmente sicuro. L’unica cosa che si può ragionevolmente assicurare è di alzare il livello di conoscenze necessarie per corrompere un dato sistema.

La diffusione dei Mobile Network Operator e la sicurezza delle transazioni
Gli operatori mobili virtuali sono quei soggetti che operano nel mercato della telefonia mobile distribuendo sim card e creando specifici profili tariffari pur non essendo dotate di una propria infrastruttura. Essi, infatti, utilizzano l’infrastruttura dei gestori tradizionali attraverso specifici accordi commerciali. L’idea alla base degli operatori mobili virtuali è quella di permettere una maggiore concorrenza, permettendo a soggetti in grado di aggregare clienti di operare pur senza dover affrontare gli investimenti necessari per l’allestimento di una rete mobile.

I soggetti presenti (oggi o a breve) sul mercato sono riconducibili principalmente alla grande distribuzione o a operatori di fonia fissa che intendono espandere il proprio business nel settore mobile.

Mediante la creazione di un proprio MVNO(9), proprietario e gestore delle SIM card, un’azienda può trarre beneficio dalla presenza del certificato digitale a bordo delle SIM per garantire l’identità del soggetto nonché la confidenzialità e l’integrità delle comunicazioni. Inoltre può distribuire, attraverso i meccanismi di gestione OTA(10) delle SIM card, applicazioni che facilitano o mediano l’accesso ai servizi. Questa soluzione però è non può prescindere dal fatto che l’applicazione (che arriva tramite un canale trusted) sia abbastanza robusta per “sopravvivere” inalterata in un sistema potenzialmente compromesso (il terminale che la esegue).

Conclusioni
Il mondo mobile è sottoposto ad alcuni cambiamenti radicali che hanno trasformato i cellulari in complessi sistemi informatici che nulla hanno da invidiare ai normali sistemi desktop o laptop. Anzi spesso, come nel caso dell’iPhone, sono stati i precursori di nuove forme di interazione (il multi-touch). Dal punto di vista delle applicazioni m-commerce questo è risultato nella nascita di nuovi servizi, che prima non si erano diffusi per problemi di usabilità. A questo sviluppo il mondo del malware sta partecipando attivamente cercando vulnerabilità e creando malware particolarmente complessi, analogamente a quanto già in atto per il mondo PC.

Ancora non sono stati osservati malware sviluppati da professionisti, ma lo scenario è già chiaramente tracciato. La tendenza però dei produttori di malware è di spostarsi sui sistemi post-PC, non solo i terminali mobili quindi, ma anche navigatori satellitari e altri “smart device”. Le principali ditte produttrici di Anti-Virus hanno già rilasciato soluzioni di varia natura, che però spesso non sono installate dagli utenti, sono sperimentali o ancora, sono troppo pesanti per la maggior parte dei terminali. Inoltre i malware diffusi fino ad ora erano pochi, rari e richiedevano la collaborazione dell’utente (che installava qualche programma). Questo ha aiutato a ridurre il senso di urgenza del problema presso la maggior parte degli utenti di sistemi mobili, che si sentivano al sicuro grazie al fatto di non installare programmi(11).

La diffusione degli MNVO è un primo tentativo di protezione messo in atto dagli operatori, soprattutto grazie al fatto che alcune applicazioni e certificati possano essere pre-installate sulla SIM. Questa soluzione però è non può prescindere dal fatto che l’applicazione (che arriva tramite un canale trusted) sia abbastanza robusta per “sopravvivere” inalterata in un sistema potenzialmente compromesso (il terminale che la esegue).

(1) Mobile screen-size trends, http://sender11.typepad.com/sender11/2008/04/mobile-screen-s.html
(2) Typosquatting è una tecnica di attacco che sfrutta gli errori comuni di lettura delle URL, ad esempio l’errata lettura di un indirizzo di rete porta ad un sito simile, malevolo. Ad esempio digitando “ebau” invece di “ebay”.
(3) Il Pharming è una tecnica di attacco diffusa, che permette di redirigere la connessione verso un altro server malevolo, all’insaputa dell’utente anche digitando la URL correttamente. Questo viene fatto modificando le tabelle di routing dei DNS e del terminale stesso (sia PC che terminale mobile).
(4) Near Field Communication
(5) Servizio Gazza&play progettato dal CEFRIEL per il gruppo RCS, http://www.gazzetta.it/gazza-and-play/
(6) Ad esempio Advanced Marker tracking on Mobile Phones, http://www.youtube.com/watch?v=HgrJ3gwwP94
(7) Ad esempio la Sekai Camera, http://www.tonchidot.com/ e http://www.youtube.com/watch?v=KgTwSXK_5dg
(8) Ad esempio Kiazha, http://www.pitelefonia.it/servizi/ps.asp?i=2250207
(9) Mobile Virtual Network Operator
(10) Over-the-air
(11) “Less than 30 per cent of smartphone users have AV installed”, http://www.virusbtn.com/news/2008/04_03.xml  
 

La sicurezza mobile

di Enrico Frumento

pubblicato su Beltel di febbraio 2009

Leggi il nostro articolo in formato PDF...