Impronta

Nella sicurezza dei dati, la parola impronta copre tre cose diverse, e confonderle porta a politiche sbagliate. L'idea è sempre la stessa: da qualcosa di più grande si ricava un valore breve, così da poterlo riconoscere in seguito. Cambia ciò che viene impresso e il modo in cui il valore viene calcolato.

I primi due significati sono i più importanti per la prevenzione della perdita di dati, perché riconoscono documenti protetti. Il terzo descrive sistemi e non documenti, e serve per identificazione e inventario.

L'impronta di contenuto non conserva il documento in sé. Il metodo è pensato per materiale modificato o riutilizzato in parte, cioè proprio dove falliscono i controlli semplici sui file. In Anexet il metodo si configura come impronta digitale e viene eseguito in quattro fasi.

Il vantaggio è pratico: un estratto incollato in un'email corrisponde ancora alla sua fonte, e un modello ricavato da un modulo vuoto corrisponde a ogni copia compilata di quel modulo.

1. 1

   Normalizzare il testo

   Eliminare la formattazione e ridurre il documento a un testo confrontabile, così che le modifiche di impaginazione non incidano sul risultato.

2. 2

   Calcolare gli hash dei segmenti

   Calcolare gli hash su parti del testo che si sovrappongono. Viene memorizzato solo questo insieme di valori.

3. 3

   Confrontare il nuovo contenuto

   Email in uscita, caricamenti e messaggi seguono lo stesso processo e vengono confrontati con l'insieme memorizzato.

4. 4

   Agire in base alla sovrapposizione

   Una sovrapposizione rilevante indica la presenza di materiale protetto, e la regola blocca, registra o avvisa.

Un hash crittografico viene calcolato sull'intero file, e il valore ottenuto viene salvato in una banca di hash. Risponde con precisione a una domanda: è lo stesso file, byte per byte? Gli hash sono economici da calcolare e confrontare, e non producono falsi positivi.

Questa stessa precisione ne è il limite. Salvare il documento in un altro formato o cambiare un solo carattere produce un valore completamente diverso, e la corrispondenza non c'è. Gli hash funzionano bene come primo filtro e nella verifica dell'integrità dei file, ma non seguono i contenuti riscritti.

Le impronte registrate sono conservate in banche dati. Il Gestore delle impronte mostra ogni banca con dimensione, numero di documenti e data dell'ultimo aggiornamento, così l'amministratore vede cosa è protetto e quanto è aggiornato l'insieme di riferimento. Una banca che non viene mai aggiornata protegge un insieme di documenti sempre più storico.

Questo significato condivide la metafora con gli altri, ma non il meccanismo. L'impronta di un dispositivo o di un browser è un profilo costruito da caratteristiche osservabili del sistema: identificativi hardware, componenti installati, impostazioni di schermo e lingua, attributi di rete. Non deriva nulla dal contenuto protetto, e l'oggetto è un sistema, non un documento.

I difensori la usano per l'identificazione dei dispositivi e l'inventario delle postazioni, per esempio nell'inventario hardware. Gli attaccanti usano profili simili per seguire gli utenti senza cookie, quindi il termine richiede una definizione precisa in ogni programma di sicurezza.

I metodi si completano a vicenda. Gli hash sono il primo filtro più economico, le impronte di contenuto catturano ciò che la modifica nasconderebbe, e una lista di parole vietate copre i dati sensibili che nessuno ha registrato in anticipo.

Tutti i metodi di impronta sono unidirezionali. L'originale non può essere ricostruito in pratica dal valore derivato, quindi il sistema di rilevamento può riconoscere contenuti regolamentati senza conservarne una seconda copia. È un vantaggio per la privacy, ed è anche il motivo per cui l'insieme di riferimento va mantenuto.

Le impronte funzionano solo su dati che sanno leggere. Un contenuto convertito in immagine richiede prima il riconoscimento del testo, e un contenuto fortemente cifrato o parafrasato resta fuori dalla corrispondenza. Inoltre non descrivono ogni tentativo di esfiltrazione dei dati, quindi rendono di più se affiancate ad altri controlli.

Inizia registrando i documenti la cui fuga causerebbe i danni maggiori, come contratti, codice sorgente e dati dei clienti. Una banca costruita su questi file riconosce le copie che sono state modificate o riutilizzate.

Poi rivedi la banca con regolarità, perché l'insieme di riferimento è aggiornato solo quanto la sua ultima registrazione.

Per approfondire: Crittografia, codifica e hashing: qual è la differenza?.