«Con la firma digitale oggi si può fare tutto, tutto quello che fino ad oggi si è fatto con carta e penna, e questo grazie alle norme che ce lo consentono e alla sicurezza che le tecnologie adottate offrono. La diffidenza verso il documento informatico, che per la sua immateriatilità non dà garanzie di immodificabilità, può essere superata grazie alla firma digitale, che rende il documento firmato assolutamente integro, lo “congela” nel tempo tanto da rilevare ogni minima modifica del suo contenuto, ogni minimo cambio dei bit di cui è composto. E così via a contratti, atti della pubblica amministrazione, archivi, documenti di carattere tributario, documenti di identità, tutti in formato elettronico».

Scrive così il professor Francesco Buccafurri del Dipartimento DIMET della Facoltà di Ingegneria dell’Università Mediterranea di Reggio Calabria in una pagina dedicata a un esempio di attacco alla firma digitale realizzato dallo stesso professore. L’esempio mostra come, cambiando l’estensione di un file, il contenuto del file che viene visualizzato diventa differente.

Le parole e l’esempio del professore hanno fatto il giro della Rete e, come evidenzia Punto Informatico, l’attacco si è tramutato in falsificazione, diventando quindi qualcosa di diverso dalla notizia iniziale, generando una sorta di panico in forum e mailing list.

Ma analizziamo più nel dettaglio l’esempio fornito da Buccafurri. «Nel file dell'esempio preparato dal prof.re» sottolinea Punto Informatico «ovviamente non cambia il contenuto: il problema è nel visualizzatore per questi documenti, il quale identifica il contenuto in base all'estensione e mostra di volta in volta una parte diversa dello stesso documento firmato, in base all'estensione del file. La firma dunque non viene falsificata, dato che è apposta su entrambi i contenuti, e questi non sono separabili se non annullando la validità della firma digitale: una verifica del file permette di identificare il raggiro in pochi minuti, dato che la traccia del misfatto è consultabile in ogni momento e non si può nascondere o eliminare».

E ancora: «L'attacco si basa sulla creazione di un file ad hoc che contiene sia un documento html sia una bitmap: i due file sono "accodati", in un unico file. La bitmap è inserita nel commento di un file HTML, quindi non viene visualizzata se l'estensione del file è HTML, come è previsto per i tutti commenti. Al contrario se l'estensione è BMP, viene visualizzata solo la bitmap all'inizio del file e non il testo html contenuto in fondo al file».

Il problema risiede tutto nel visualizzatore dei documenti di Windows: una correzione risolverebbe la questione.

Autore: Arianna Bernardini

Ultimi articoli correlati:

• Documenti elettronici e mail certificate. E la firma digitale su pen drive.
• Firma digitale per sosituire tutte le password ed averne una una unica per sempre
• Informatica nella pubblica amministrazione:accordi per diffusione posta certificata e firma digitale
• Nuovo formato per la firma digitale italiana. Sarà Xml
• Firma digitale: l'Europa impara dall'Italia
• Firma digitale italiana: si chiama "Moc" e si basa sulla propria impronta digitale
• Firma digitale: si potrà utilizzare semplicemente la versione gratuita di Adobe