\chapter[Repressione e Tecnologia]{Repressione e tecnologia: una panoramica} % \begin{center} \includegraphics[width=1\textwidth]{images/telecamere.jpg} % \end{center} Che la repressione usi le tecnologie non \`{e} una novit\`{a}. Quello che cerchiamo di fare in questo capitolo, dunque, \`{e} una panoramica sul problema, cercando di quantificarlo, di capirne i rischi e i margini di azione. \section{Chi ha qualcosa da nascondere?} Tutti/e. Sul tuo computer transitano un mare di informazioni delicate: i siti che visiti, le persone con cui parli, i messaggi che ti scambi sono monitorati in modo sistematico, per meglio classificarti. Discorso analogo vale per smartphone e tablet. Con un po' di analisi \`{e} possibile sapere chi sei, dove vivi, chi frequenti, la tua routine, il tuo carattere. Questi dati possono rivelare tanto i tuoi gusti musicali quanto le tue tendenze politiche: la profilazione commerciale va a braccetto con una schedatura di massa. Non si tratta per\`{o} solamente di proteggere la propria identit\`{a}, o fatti specifici legati a reati: monitorando la rete, la polizia cerca soprattutto di capire quali sono i soggetti pi\`{u} attivi all'~interno di un gruppo, al fine di rendere pi\`{u} facile un'~attivit\`{a} di contrasto. \section{I miei dati sono al sicuro?} La sicurezza informatica \`{e} una materia complessa, proviamo quindi a districarla. Il tuo computer \emph{contiene} dei dati. Chi controlla il tuo computer ha il pieno accesso ai tuoi dati. Questo non \`{e} cosi improbabile: accessi fisici (computer lasciati incustoditi) o software (attraverso internet) avvengono quotidianamente. Il tuo computer \emph{comunica}. Ogni volta che chatti, videochiami, scrivi email, ti connetti a dei social network, invii foto o ascolti musica, il tuo computer scambia messaggi con altri server. Qualcuno potrebbe \emph{ascoltare} queste comunicazioni. Molti dei \emph{servizi} che usi su internet controllano i tuoi dati. Le aziende (google, facebook, microsoft, yahoo\ldots{}) tengono traccia di ogni possibile informazione su di te, e puoi stare certo che le inoltreranno alle autorit\`{a} non appena richiesto. Stai quindi delegando i tuoi dati alla loro gestione. Ti fidi di loro? Per finire, ricorda che la gestione della tua sicurezza \`{e} principalmente un approccio mentale; in molte occasioni \`{e} necessario prestare attenzione: ad esempio nell'usare il computer di un tuo amico, o quelli di un \emph{internet point}, potresti lasciare l\`{i} le tue password, permettendo ai visitatori successivi di vedere i tuoi dati. \section{Con i piedi per terra} % \TPGrid{1}{7} % \begin{textblock} %{1}(0,1) % \includegraphics[width=.9\TPHorizModule,height=.9\TPHorizModule]{images/bigbrother.jpg} % \begin{center} % \includegraphics[width=.9\textwidth]{images/bigbrother.jpg} % \end{textblock} % \end{center} % Domanda naturale \`{e} chiedersi quanto realistici siano questi problemi e \emph{chi} \`{e} materialmente in grado di compiere degli attacchi informatici per impadronirsi dei tuoi dati. Alcuni attacchi sono accessibili a molti, altri richiedono risorse e capacit\`{a} meno comuni. Ad esempio, un collega invadente potrebbe leggere le tue email mentre ti allontani dal computer per una pausa. La polizia, invece, preferisce sequestrarti il computer per fare analisi approfondite: sta a te fare in modo che queste analisi non portino a nulla! Situazioni diverse quindi, a seconda del tipo di attacco del quale si diventa bersaglio. \subsection{Malware} Tutti sappiamo cos'\`{e} un virus. Un Malware \`{e} un programma simile a un virus che ha lo scopo di ottenere il controllo del tuo computer, trasformandolo in una sorta di microspia altamente tecnologica. Questa tecnica \`{e} sempre pi\`{u} usata dalle polizie di tutto il mondo, ed \`{e} decisamente la pi\`{u} potente. C'\`{e} qualche evidenza di uso anche da parte della polizia italiana. Ci si pu\`{o} proteggere innanzitutto smettendo di utilizzare sistemi operativi proprietari (Microsoft Windows e Mac OSX) dal momento che sono decisamente pi\`{u} controllabili rispetto ad esempio a GNU/Linux (sebbene anche un utilizzo sconsiderato di Linux possa comportare dei rischi). Problemi simili si riscontrano anche nelle applicazioni, un esempio significativo \`{e} Skype: \`{e} infatti noto che questo programma non solo \`{e} monitorato dalle polizie, ma viene addirittura utilizzato per controllare tutte le attivit\`{a} del computer. Possiamo quindi dire che Skype \`{e} un malware. Grazie alle pubblicazioni di Wikileaks nella pagina degli Spy Files~\footnote{\scriptsize\url{http://wikileaks.org/The-Spyfiles-The-Map.html}} \`{e} possibile avere un quadro sulla diffusione dell'~industria di sorveglianza mondiale. In questa pagina~\footnote{\scriptsize\url{https://we.riseup.net/avana/malware-di-stato}} invece, abbiamo iniziato a raccogliere le inchieste in cui \`{e} stato utilizzato il malware come strumento di intercettazione. \subsection{Sequestro} Con un mandato, la polizia pu\`{o} sequestrare materiale informatico a scopo di indagine. Nel dubbio, la polizia sequestra tutto quello che pu\`{o} (computer, penne USB, fotocamere, registratori\ldots{}). Dopo il sequestro, la polizia prende possesso di tutto ci\`{o} che trova su computer e hard disk. Se i dati del computer non sono cifrati, la polizia pu\`{o} facilmente accedere alle password che hai salvato sul tuo computer, ai tuoi documenti, alla cronologia (del browser, delle chat etc.) e, se usi un client di posta, alle tue e-mail. La migliore soluzione contro questo attacco \`{e} criptare il proprio disco. \subsection{Richiesta di dati al fornitore di servizi} La maggior parte dei servizi che utilizzi sono online: email, social network e altri. La polizia pu\`{o} chiedere alle aziende che gestiscono tali servizi tutto ci\`{o} che \`{e} possibile sapere su una certa email o su uno specifico account: solitamente vengono richiesti i contenuti delle comunicazioni e gli indirizzi IP da cui l'utente si \`{e} collegato. Anche senza mandato. Cancellare i dati sui nostri account online non ci da garanzia alcuna. Ad esempio, Facebook e forse anche altre aziende mantengono nei propri server una copia dei dati che l'utente ha cancellato dal suo account, per un certo periodo di tempo. Altre aziende favoriscono la persistenza dei dati sui loro server. Ad esempio, GMail scoraggia la cancellazione delle email mettendo a disposizione di tutti uno spazio di memorizzazione molto grande e propone la archiviazione delle vecchie comunicazioni invece che la cancellazione delle stesse. \subsection{Intercettazioni} Le comunicazioni che effettui tramite Internet attraversano le infrastrutture del tuo provider (fastweb, alice, tiscali, \ldots{}). Alcuni di queste comunicazione sono cifrate, ed \`{e} quindi molto complicato leggerne il contenuto, ma molte altre invece non lo sono: vengono definite ``in chiaro''. In sostanza, una buona parte delle tue comunicazioni \`{e} perfettamente leggibile dall'~amministratore della tua rete cos\`{i} come dall'~azienda che ti fornisce connettivit\`{a}. Il tuo fornitore di ADSL o di telefonia mobile potrebbe inoltre collaborare con la polizia permettendole di controllare ci\`{o} che fai. Questa tecnica di controllo \`{e} tecnologicamente meno potente dei malware, visto che l'uso della crittografia la pu\`{o} inibire. Dal punto di vista legale, questa procedura \`{e} del tutto equivalente ad una ``intercettazione telefonica''. \section{Legal} \subsection{La perquisizione informatica} \subsubsection{Come funziona} Se ti trovi in un luogo pubblico \`{e} possibile per la polizia chiedere di controllare il tuo computer (o smartphone) senza necessit\`{a} di mandato o giustificazione. \subsubsection{Come comportarsi} Per quanto riguarda il portatile, una semplice soluzione \`{e} abbassare lo schermo: la maggior parte dei sistemi chiede una password per sbloccare lo schermo. A quel punto, se la password non \`{e} troppo facile (ad esempio uguale al nome utente) difficilmente sar\`{a} possibile accedere al sistema con una semplice perquisizione. Ricordati che non sei tenuto a dire la password, oltre al fatto che \`{e} sempre ammessa l' eventualit\`{a} di non ricordarla. Per gli smartphone sono disponibili metodi simili per mettere un blocco allo schermo, spesso in modo molto semplice. \subsection{Il sequestro} Il caso del sequestro \`{e} differente: si tratta tipicamente di un evento organizzato in cui la polizia entra in un domicilio per sequestrare oggetti utili alle indagini. La perquisizione di domicilio necessita, normalmente, di mandato. È per\`{o} possibile subire una perquisizione domiciliare senza mandato se finalizzata alla ricerca di armi o droga; in questo caso la polizia non pu\`{o} sequestrare nulla che non sia armi o droga. Ecco alcune raccomandazioni: \begin{itemize} \item Spegnere i computer o ``bloccarli'' (ad esempio attivando lo screensaver del portatile): questo, più che per il sequestro in s\`{e}, serve ad evitare che sia condotta \emph{anche} una perquisizione. \item Verificare che siano posti i sigilli su tutto il materiale sequestrato, compresi computer, hard disk, \ldots{}; se questo non avviene, chiedere che sia messo a verbale. \item Richiedere la presenza di un perito di parte al sequestro. Chiunque pu\`{o} esserlo (ovviamente un background informatico risulta maggiormente credibile). \item Richiedere la presenza di un avvocato. \item Se ti vengono richieste le password non sei obbligato a darle. Non ricordare \`{e} meglio che negare e porsi in un atteggiamento ostile. Considera per\`{o} che se il computer non \`{e} cifrato, tutte le password ivi memorizzate saranno violate con estrema semplicit\`{a}, ad esempio quella di avvio di Windows oppure la password del vostro servizio on line preferito. \item Se il tuo computer \`{e} gi\`{a} acceso e viene usato da polizia o periti durante il sequestro, chiedi che sia messo a verbale. A maggior ragione se era spento e viene acceso. \end{itemize} Dopo il dissequestro (ovvero alla riconsegna del materiale) \textbf{non} accendere per nessun motivo i dispositivi, per non precludere la possibilit\`{a} di una eventuale controperizia. Avvisa invece un esperto informatico di tua fiducia%~\footnote{Continua online~\url{https://we.riseup.net/avana/opuscolo-legal}}. .Continua online {\scriptsize\url{https://we.riseup.net/avana/opuscolo-legal}} \chapter{Ricette per la tua sicurezza} \section{Un computer sicuro} Utilizzare programmi sicuri su un computer non sicuro \`{e} poco utile; allo stesso modo, nessuna tecnica crittografica ci protegger\`{a} da una password banale. Una porta blindata \`{e} inutile, se lasci la chiave sotto lo zerbino. Quelle che seguono sono ricette sempre valide, qualsiasi cosa tu voglia fare con il computer. \begin{figure}[!b] \includegraphics[width=1\textwidth]{images/malware.jpg} \end{figure} \subsection{Abbandonare Windows e Mac} { \ricettafont Difficolt\`{a} di configurazione: media (se vuoi installare GNU/Linux a fianco di un altro sistema operativo), facile (se vuoi intallare solo GNU/Linux), facilissima (se usi freepto) \\ Difficolt\`{a} quotidiana: media \\ Utile contro: malware } \\ Un malware \`{e} un programma che esegue operazioni arbitrarie su un computer senza che noi riusciamo ad accorgercene. Anche se ancora non molto diffuso \`{e} il pi\`{u} pericoloso tra gli attacchi al quale possiamo essere soggetti perch\'{e} permette l'accesso completo al nostro computer e, di conseguenza, anche a tutti i nostri dati. Ad esempio, la Polizia li utilizza per controllare gli indagati attraverso la webcam e il microfono del loro computer. L'utilizzo di malware come strumento di intercettazione si sta diffondendo e il target pi\`{u} vulnerabile a questo tipo di attacco \`{e} il sistema operativo Microsoft Windows. Anche Mac OS X non \`{e} esente da attacchi. Non sono invece noti attacchi seri a GNU/Linux. Il rimedio migliore per proteggersi da questo genere di attacco \`{e} abbandonare Windows a favore di un sistema operativo open source come GNU/Linux ed acquisire un po' di destrezza nel suo utilizzo. Ad esempio puoi usare freepto. Vedi l'ultimo capitolo per maggiori informazioni. \subsection{Cifrare i propri dati} { \ricettafont Difficolt\`{a} di preparazione: facilissima con Freepto, facile se hai un Mac, facile se installi da zero GNU/Linux, medio/difficile in tutti gli altri casi \\ Difficolt\`{a} quotidiana: minima \\ Utile contro: sequestro } \\ Per proteggere i dati dal sequestro, la soluzione pi\`{u} semplice ed efficace \`{e} la cifratura del disco. Nella pratica, questo richiede l'inserimento di una password all'~avvio del computer. Se la password \`{e} sufficientemente complessa e viene mantenuta segreta, il contenuto del disco sar\`{a} indecifrabile. La cifratura del disco di sistema non protegge dati messi su penne usb o dischi esterni. Un ulteriore motivo per scegliere di cifrare il disco \`{e} la possibilit\`{a} di scaricare le email con Thunderbird, cancellandole dai server di posta e custodirle al sicuro sul vostro disco cifrato. Questo non vi protegge pero' dai malware: per evitarli, il consiglio migliore che possiamo darti \`{e} Abbandona Windows e Mac\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo\#abbandonare-windows-o-mac}}. % \footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-crypto}} \subsection{Password} { \ricettafont Difficolt\`{a} quotidiana: facile \\ Utile contro: accessi non autorizzati } \\ Una password ``sicura'' aiuta a prevenire accessi indesiderati al vostro account. Spesso, per pigrizia, si imposta una stessa password per accedere a pi\`{u} servizi in rete. Inoltre, password semplici possono essere indovinate da programmi appositi. \`{E} bene condividere alcune considerazioni per la gestione di una password: \begin{itemize} \itemsep1pt\parskip0pt\parsep0pt \item Non dovresti usare password importanti in contesti non sicuri (internet point, computer di persone non fidate o di persone di cui fidi ``personalmente'' ma non tecnicamente); comunque, a volte questo succeder\`{a}. In questo caso, cambia la password (da un computer fidato) appena puoi. \item Non usare password facili: il tuo nome, la tua data di nascita o altri dati noti. Non usare parole semplici, usa combinazioni di lettere MAIUSCOLE e minuscole, combina numeri e simboli. Lunghezza minima consigliata: 8 caratteri. \item Non condividere le password se non \`{e} proprio assolutamente necessario. \item Diversifica il pi\`{u} possibile le password e comunque utilizza sempre password diverse per contesti diversi (ad esempio utilizza password diverse per la mail di lavoro, per la mail su server commerciale e per la mail su server autogestiti come autistici/inventati o riseup). \item Se il tuo computer non \`{e} cifrato, le password che memorizzi sul tuo browser saranno registrate in chiaro; valuta quindi di non salvare affatto quelle particolarmente sensibili (o, meglio, cifrati il disco!) \end{itemize} \subsection{Cancellazione sicura dei file} { \ricettafont Difficolt\`{a} di configurazione: media; su freepto: gi\`{a} configurato Difficolt\`{a} quotidiana: facilissimo \\ Utile contro: sequestro del computer } \\ Quando cancelli i dati sul tuo PC rimangono comunque delle tracce sul disco ed \`{e} possibile, per un tecnico forense, recuperarli completamente o in parte attraverso l'uso di opportuni software. Alcuni programmi per\`{o} permettono la cancellazione sicura dei tuoi file, cos\`{i} che sia impossibile recuperarli successivamente\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-wipe}}. \section{Comunicare} \begin{figure}[!t] \includegraphics[width=1\textwidth]{images/comunicare.jpg} \end{figure} Le comunicazioni personali e quotidiane sono le operazioni pi\`{u} sensibili che fai in rete e, probabilmente, sono gi\`{a} state osservate dal tuo provider adsl o di posta elettronica. Quindi, o ti trovi un provider meno impiccione oppure fai in modo che il provider non possa leggere le tue comunicazioni. Ti consigliamo di seguire entrambi questi consigli. \subsection{Usare servizi autogestiti} { \ricettafont Difficolt\`{a} di configurazione: facile \\ Difficolt\`{a} quotidiana: facilissima \\ Utile contro: identificazione, richiesta dati al fornitore di servizi, profilazione } \\ I servizi autogestiti sono delle piccole isole nella rete, spazi aperti dove individualit\`{a} e collettivi forniscono strumenti e servizi di comunicazione liberi. Questi servizi sono gratuiti per tutti/e, ma hanno un costo per chi li rende disponibili: sostienili con benefit e donazioni! I servizi autogestiti (riseup.net, autistici.org, indivia.net, tracciabi.li) prendono contromisure per evitare di fornire informazioni su di te alle autorit\`{a}. Inoltre questi servizi mettono al centro delle priorit\`{a} l'utente invece dei profitti. Questo li porta a fare scelte molto migliori nei tuoi confronti. Ad esempio, Gmail ti ``sconsiglia'' di cancellare le email, altri servizi commerciali ti incentivano ad abbinare un numero di cellulare al tuo account. Nessun server autogestito di chieder\`{a} mai di fare cose simili. Utilizzare servizi autogestiti \`{e} veramente semplice: per richiedere una email su autistici.org vai su \url{https://services.autistici.org/} e compila il modulo. Dopo qualche giorno la tua email verr\`{a} attivata~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-servizi}}. \subsection{Chat sicura}\label{sec:chatsicura} { \ricettafont Difficolt\`{a} di installazione: media, gi\`{a} installato su freepto\\ Difficolt\`{a} quotidiana: facile Utile contro: intercettazioni\\ } \\ Gli strumenti pi\`{u} diffusi per l'Instant Messaging~\footnote{\scriptsize\url{https://it.wikipedia.org/wiki/Messaggistica\_istantanea}} (Skype, GTalk, Facebook Chat, Yahoo! Messenger, etc) ``proteggono'' le tue comunicazione attraverso l'uso della cifratura SSL (o TLS). Questo rende pi\`{u} difficile ad un coinquilino o ad un collega troppo curioso di leggere facilmente le tue conversazioni. In questi casi, la tua privacy \`{e} totalmente gestita delle aziende a cui ti affidi per comunicare; non c'\`{e} alcun buon motivo per credere che di fronte alla richiesta della magistratura queste aziende intraprendano delle azioni per la tutela della tua privacy. Esistono per\`{o} delle soluzioni: I server autogestiti A/I~\footnote{\scriptsize\url{https://www.autistici.org}} e Riseup~\footnote{\scriptsize\url{https://www.riseup.net}} offrono ai loro utenti Jabber (XMPP), uno strumento molto diffuso di Instant Messagging. Peraltro, il servizio viene automaticamente attivato per chiunque abbia una mail con uno di questi server autogestiti. Inoltre, per aumentare la tua privacy puoi utilizzare OTR (Off-the-Record), una tecnologia che permette la cifratura di tutte le tue conversazioni in maniera semplice. Quando utilizi OTR nemmeno A/I o Riseup sono in grado di leggere le tue conversazioni e puoi essere sicuro che nessuno ti sta intercettando. Difficolt\`{a} di configurazione di OTR: media\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-im}}. \subsection{Usa GPG con Thunderbird + Enigmail} { \ricettafont Difficolt\`{a} di configurazione: media \\ Difficolt\`{a} quotidiana: media; se hai un gruppo con cui parli prevalentemente, facile\\ Utile contro: Intercettazione } \\ \`{E} ormai risaputo che utilizzare servizi commerciali toglie ogni riservatezza alle tue comunicazioni. Ad esempio, nulla impedisce a Google di leggere tutte le tue conversazioni, consegnarle alle forze dell'~ordine o analizzarle per proporti della pubblicit\`{a} mirata. Anzi. Anche se usi servizi pi\`{u} fidati, come Autistici/Inventati, Riseup, Indivia o Ortiche, buona norma di sicurezza consiste nell'inviare messaggi di posta elettronica che non sono leggibili a chi gestisce la tua casella email. Per proteggere la riservatezza delle tue comunicazioni puoi utilizzare GnuPG, un software crittografico che si integra molto bene con Thunderbird~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-gpg}}. \subsection{Audio/Video chat} Per fare audiochiamate (o videochiamate) ci sono varie soluzioni. Purtroppo nessuna di esse \`{e} perfetta. \subsubsection{Audio/video chat a due} { \ricettafont Difficolt\`{a} di installazione: media, gi\`{a} installato su Freepto. \\ Difficolt\`{a} di utilizzo: facile \\ Utile contro: intercettazione, skype! } \\ Abbiamo gi\`{a} parlato di Jabber e di Pidgin. Questi supportano chat audio/video tra due persone senza problemi: il grado di riservatezza non \`{e} molto elevato, ma \`{e} sicuramente molto meglio che usare skype! Il vantaggio principale \`{e} che se usi Pidgin per la chat con OTR, non serve nessuna configurazione aggiuntiva per usarlo anche per le videochiamate~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-jabber-av}}. \subsubsection{Audio chat di gruppo} { \ricettafont Difficolt\`{a} di installazione: media \\ Difficolt\`{a} di utilizzo: facilissima \\ Utile contro: intercettazione, skype! } \\ Mumble \`{e} un software molto comodo per gestire chat di gruppo in modo semplice e pratico: l'unica leggera difficolt\`{a} di installazione \`{e} la configurazione del microfono. Rispetto ad altri software commerciali (ad esempio skype) si ha anche una migliore qualit\`{a} del suono e della conversazione, soprattutto in gruppi molto grandi. Ovviamente nulla impedisce di utilizzarlo anche per chiamate tra due sole persone. La riservatezza delle conversazioni non \`{e} particolarmente robusta: paragonabile ad uno scambio di email senza l'utilizzo di crittografia~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-mumble}}. \subsubsection{Audio/video chat cifrata} { \ricettafont Difficolt\`{a} di installazione: medio-difficile \\ Difficolt\`{a} di utilizzo: facile \\ Utile contro: intercettazione, skype! } \\ Jitsi permette di fare chiamate audio/video usando la cifratura ZRTP, che puo' essere considerata ``analoga'' ad OTR. La cifratura \`{e} quindi completa, il meccanismo di verifica semplicissimo. Jitsi \`{e} un buon software ed \`{e} semplice da usare: il principale difetto \`{e} che la configurazione di default lascia molte tracce sul computer, e vanno quindi cambiate alcune opzioni per poterlo usare in maniera sicura\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-jitsi}}. \section{Navigare in rete} Tutta la tua attivit\`{a} in rete pu\`{o} essere tracciata facilmente. La maggior parte dei siti web tengono traccia degli indirizzi IP dei loro visitatori. Questi dati possono essere utilizzati a posteriori per identificare l'autore di un contenuto pubblicato su Internet. Per questo motivo non \`{e} sufficiente utilizzare uno pseudonimo per proteggere la nostra reale identit\`{a}. Esistono software che ci danno la possibilit\`{a} di rimanere anonimi durante la navigazione con il browser su internet: \subsection{Usa Firefox + HTTPS Everywhere} { \ricettafont Difficolt\`{a} di configurazione: facile, su freepto: gi\`{a} configurato \\ Difficolt\`{a} quotidiana: nessuna \\ Utile contro: intercettazione } \\ Le comunicazioni su internet possono essere in chiaro (ovvero leggibile da chiunque) o cifrate (ovvero leggibile solo dal mittente e dal destinatario). Molti servizi online offrono la possibilit\`{a} di comunicare in chiaro e in maniera cifrata ma il nostro browser (Firefox) non sceglie automaticamente la modalit\`{a} cifrata. HTTPS everywhere \`{e} un'estensione disponibile per Firefox e Chrome/Chromium che risolve questo problema. Basta un click per installarla e si guadagna \emph{molto} in termini di sicurezza: le intercettazioni delle comunicazioni cifrate sono infatti molto difficili, e possono essere condotte solo da attaccanti molto motivati~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-https}}. \subsection{TorBrowser} { \ricettafont Difficolt\`{a} di configurazione: facile, su freepto: facilissima \\ Difficolt\`{a} quotidiana: facile, ma la navigazione \`{e} molto rallentata \\ Utile contro: identificazioni; intercettazione delle comunicazioni } \\ \`{E} una versione modificata di Firefox gi\`{a} configurata per utilizzare la rete Tor. TorProject.org \`{e} una rete di server, sviluppata e gestita dal lavoro di associazioni in difesa dei diritti digitali e da individualit\`{a} di tutto il mondo. Tor fa rimbalzare il tuo traffico internet da una nazione all'~altra prima di giungere a destinazione. Questo processo rende impossibile, ad ora, l'~identificazione di chi lo usa attraverso l'indirizzo IP~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-torbrowser}}. \subsection{VPN autistici/riseup} { \ricettafont Difficolt\`{a} di configurazione: media/difficile \\ Difficolt\`{a} quotidiana: facile \\ Utile contro: identificazione; intercettazione delle comunicazioni } \\ Una VPN permette di proteggere il flusso di dati prodotto dalla tua navigazione inserendolo in una sorta di canale virtuale cifrato (tecnicamente chiamato tunnel). Questo ti permette di tutelare piuttosto efficacemente il tuo anonimato e ti protegge dal rischio di intercettazioni sulla tua linea ADSL casalinga. A differenza del TorBrowser (tendenzialmente pi\`{u} sicuro) che anonimizza il traffico generato dal tuo browser, la VPN cifra ed anonimizza tutto il traffico internet generato del tuo computer (client mail, client instant messaging, client ftp, etc.) I server autogestiti Autistici/Inventati e Riseup forniscono un servizio VPN per i loro utenti; tuttavia, \`{e} importante comprendere che esse \textbf{non} forniscono anonimato, ma solo ``confidenzialit\`{a}'': sono cio\`{e} utili per ``superare'' in modo sicuro condizioni di rete svantaggiose come ad esempio reti aziendali, hotspot pubblici o anche la propria linea casalinga, se si suppone che essa possa essere controllata~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-vpn}}. \section{Sicurezza del tuo telefono} Il cellulare \`{e} lo strumento tecnologico pi\`{u} diffuso in assoluto, per questo vale la pena chiedersi come utilizzarlo nel modo migliore. Il primo problema da affrontare riguarda l'utilizzo della rete GSM; situazione pi\`{u} complessa si registra nell'utilizzo degli smartphone: le loro funzioni avanzate offrono opportunit\`{a} aggiuntive e introducono nuovi problemi. \subsection{Fonia} Tutti i cellulari si appoggiano alla rete GSM. Questo ha gi\`{a} delle implicazioni di sicurezza. Quando usi il cellulare la tua posizione viene continuamente comunicata al tuo operatore con un'approssimazione di circa 50 metri. Inoltre esistono sistemi di monitoraggio ``preventivo'', in grado cio\`{e} di rilevare i movimenti di un dispositivo in tempo reale interpretando i comportamenti abituali e ``anomali'' e allertando le autorit\`{a} nel caso di aggregazioni di soggetti attenzionati. I tabulati telefonici e gli sms di ciascun cittadino sono archiviati per almeno 2 anni (spesso di pi\`{u}) e sono accessibili in qualsiasi momento dalla polizia. Questi dati, apparentemente innocui, sono in realt\`{a} utilissimi anche semplicemente per individuare nuovi soggetti da sorvegliare. Tutte le telefonate effettuate sono intercettabili dagli operatori e di conseguenza da polizia e magistratura. Tale possibilit\`{a} nella realt\`{a} viene ampiamente sfruttata: benché solo una piccola parte delle intercettazioni sia utilizzabile come prova in sede processuale, le intercettazioni sono particolarmente diffuse a scopo investigativo, anche nei confronti di chi non \`{e} indagato. Per concludere, sebbene le telefonate siano molto monitorate, sono leggermente preferibili agli sms. \subsection{Smartphone} Non tutti i cellulare sono uguali, alcuni sono pi\`{u} evoluti di altri. Parliamo di smartphone. Questi dispositivi, che sono veri e propri computer leggeri ed estremamente portatili possono generare traffico e comunicare in rete (wifi/3G) e possono essere ``estesi'' attraverso l'installazione di nuove applicazioni. Esistono poi altri tipi di cellulare, che chiameremo i featurephone, i quali offrono le stesse possibibilit\`{a} degli smartphone anche se si presentano meno usabili e meno accattivanti. Smartphone e featurephone offrono modalit\`{a} di comunicazione aggiuntive rispetto ai vecchi cellulari quali e-mail, chat, social network. Queste possibilit\`{a} si possono tradurre in minacce. Ad esempio, le applicazioni che installiamo con tanta facilit\`{a} potrebbero rivelarsi dei malware e trasformare il nostro smarphone in una microspia ultra portatile: questa eventualit\`{a} si \`{e} gi\`{a} tradotta in realt\`{a} in molte occasioni. Occorre quindi cautela nello sceglire quali applicazioni installare, evitando l'installazione compulsiva. Non solo le app possono avere secondi fini: lo stesso ``market'' \`{e} in realt\`{a} un sistema capace di installare ci\`{o} che vuole di sua iniziativa sul nostro dispositivo. Questo d\`{a} un potere enorme alle aziende che lo controllano, e non pu\`{o} tranquillizzarci. La localizzazione degli smartphone \`{e} ancora pi\`{u} precisa (raggiungendo una precisione di pochi metri) che con il GSM: grazie all'~utilizzo di GPS e reti WiFi, qualsiasi applicazione pu\`{o} ottenere informazioni molto dettagliate sui tuoi spostamenti. Uno smartphone \`{e} a tutti gli effetti un computer tascabile, e se utilizzato in maniera opportuna puo' avere diversi vantaggi rispetto ad un cellulare tradizionale: la possibilit\`{a} di scattare foto e metterle online rapidamente, ad esempio, \`{e} di grande utilit\`{a} per un attivista; anche la disponibilit\`{a} di chat cifrate \`{e} sicuramente pi\`{u} attraente degli SMS, ma dobbiamo ricordarci che gli smartphone non possono essere considerati uno strumento sicuro al 100\%. In particolare, ci sentiamo di sconsigliare fortemente gli smartphone BlackBerry ed Apple ( iPhone e iPad). Anche gli smartphone Android non sono esenti da problemi, ma lasciano la possibilit\`{a} di un uso abbastanza sicuro ad un utente cosciente. Una guida completa alla sicurezza del proprio smartphone sarebbe troppo lunga per questo opuscolo: quelle che forniamo qui sono ricette per usare gli smartphone a fini di mediattivismo o per ottenere un livello di sicurezza tale da poter essere violato ma solo con un considerevole investimento di tempo e denaro. \subsection{ObscuraCam: anonimizzare le immagini} { \ricettafont Difficolt\`{a} di installazione: facile \\ Difficolt\`{a} utilizzo: facile \\ Utile contro: identificazioni } \\ Se scatti delle foto con il tuo smartphone durante un corteo faresti bene ad editarle in modo da rendere i volti delle persone irriconoscibili se pensi di conservarle o se pensi di condividerle su un social network. Nei processi contro gli attivisti i riconoscimenti attraverso le foto rappresentano spesso una prova decisiva. Inoltre ricorda che spesso non \`{e} sufficiente coprire solamente il volto, ma \`{e} necessario anonimizzare anche: spille, indumenti e tutti gli altri accessori utilizzabili per l'~identificazione. Inoltre sia Facebook che Google utilizzano software capaci di riconoscere automaticamente il volto delle persone fotografate ed associargli un'identit\`{a} reale. Non sempre puoi prevedere l'esito di un corteo, per questo motivo se pubblichi ``in diretta'' le tue foto sui social network ricorda sempre che possono mettere in pericolo le persone coinvolte anche se stai fotografando una situazione al momento tranquilla; ad esempio potrebbe succedere di fotografare una persona che si \`{e} assentata dal posto di lavoro per essere in piazza, e la diffusione di questa foto potrebbe causargli molti problemi. Inoltre ricorda che durante un corteo il tuo materiale fotografico pu\`{o} essere posto a sequestro se vieni fermato dalle forze dell'~ordine, quindi se le tue foto possono mettere in pericolo delle persone evita di farle. Obscuracam \`{e} un'applicazione per Android che rende semplicissimo e semi-automatico l' offuscamento delle facce e ti permette di editare velocemente le foto prima di pubblicarle online~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-obscuracam}}. \subsection{Xabber: Chat sicura} { \ricettafont Difficolt\`{a} di installazione: facile \\ Difficolt\`{a} quotidiana: facile, con OTR: media \\ Utile contro: intercettazioni } \\ Xabber \`{e} una app android di messaggistica istantanea che supporta nativamente TOR e OTR, quindi ti permette di essere confidenziale e anonimo/a. Come Pidgin, Xabber utilizza il protocollo Jabber (vedi capitolo~\ref{sec:chatsicura}) e quindi ti permette di fare chat a due o di gruppo. Con Xabber puoi comunicare sia con altri Xabber che con Pidgin ma ricordati che su uno smartphone non sei al sicuro quanto su un computer con GNU/Linux\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-xabber}}. \subsection{TextSecure} { \ricettafont Difficolt\`{a} di configurazione: facile \\ Difficolt\`{a} quotidiana: media \\ Utile contro: intercettazioni, perquisizioni } \\ TextSecure, \`{e} una app android che ti consente di inviare messaggi in modo riservato sia tramite SMS sia tramite internet. Supporta anche le chat di gruppo. TextSecure permette di inviare SMS in chiaro anche a chi non ha questa applicazione. Queste comunicazioni non sono cifrate e quindi necessario porre attenzione a come si utilizza questa app. Rispetto a Xabber, TextSecure ha queste differenze: * non occorre configurare un account; * funziona anche senza connessione internet, usando SMS; * non puo' comunicare con utenti iPhone e di computer; * l'interfaccia \`{e} un po' confusa ed \`{e} facile inviare messaggi non cifrati credendo che lo siano (controlla la presenza del lucchetto prima di inviare!)~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-sms}}. \subsection{Carte telefoniche prepagate} { \ricettafont Difficolt\`{a}: facile \\ Utile contro: intercettazioni } \\ In molte nazioni \`{e} posibile acquistare carte SIM prepagate senza fornire un documento di identit\`{a} durante l'acquisto. Tutti i telefoni posseggono per\`{o} un identificativo chiamato IMEI che viene trasmesso durante ogni telefonata. Cambiare la scheda telefonica che usate quotidianamente con una acquistata in maniera anonima potrebbe non garantire il vostro anonimato completo, dal momento che potrebbe essere comunque possibile identificare il vostro telefono. Serve quindi abbinare una scheda anonima con un cellulare non associato alla vostra identit\`{a}. \begin{figure}[!b] \includegraphics[width=1\textwidth]{images/intercettazioni.jpg} \end{figure} \section{Utilizzare computer pubblici} A volte, non \`{e} possibile utilizzare il proprio computer. Per controllare la posta o navigare su internet vengono usati computer ``pubblici'', ad esempio in un'internet point. In queste occasioni \`{e} importante ricordarsi di: \begin{itemize} \item il \emph{``private browsing''} (anche detto Incognito Mode in google chrome), una modalit\`{a} in cui la cronologia e le password non vengono salvate ~\footnote{\scriptsize\url{https://we.riseup.net/avana/opuscolo-private}}. % \item \emph{fare logout} dai tuoi account, altrimenti il successivo utilizzatore del computer avr\`{a} accesso ai tuoi dati! % \item ricorda che un computer pubblico \`{e} \emph{inaffidabile} per definizione: meglio non far passare password o dati sensibilii su di esso. Una buona pratica rimane quella di separare gli ambiti, mantenendo account separati per argomenti (ed esposizioni legali) diversi. % \end{itemize} Un'altra attenzione da porre \`{e} alle \emph{telecamere}: queste vengono usate per leggere cio' che state scrivendo, osservando lo schermo o addirittura le dita che digitano sulla tastiera. Questo pericolo, ovviamente, riguarda anche l'uso di computer proprio in luoghi pubblici (biblioteche, bar, \ldots{}). \`{E} molto difficile proteggersi da questo tipo di attacchi, ma alcuni suggerimenti sono: \begin{itemize} \item coprire una mano con l'altra quando si digitano le password; se si decide di salvare le password sul browser questa azione va fatta una tantum, quindi non \`{e} particolarmente noiosa. % \item evitare di accedere a contenuti delicati \end{itemize} \chapter{Freepto} Freepto \`{e} un sistema operativo installato su una pennetta usb. Questo significa che puoi portare la pennetta sempre con te ed utilizzare qualsiasi computer proprio come se fosse il tuo portatile. Inoltre i dati che salverai all'~interno di questa pennetta saranno automaticamente cifrati (ovvero non potranno essere letti da nessun altro). Puoi scaricare Freepto e trovare ulteriori informazioni a partire da questa pagina:\url{https://www.freepto.mx} Quali sono le caratteristiche principali di Freepto? \section{Pensata per gli attivisti} Esistono molte distribuzioni GNU/Linux orientate alla sicurezza ed alla privacy, Tails~\footnote{\scriptsize\url{https://tails.boum.org/}} \`{e} forse la pi\`{u} famosa di questo genere di distribuzioni. Queste distribuzioni sono chiamate ``live'' ovvero offrono un sistema operativo pulito ogni volta che le utilizziamo, perch\'{e} rimuovono in fase di chiusura tutti i dati prodotti dall'~utente. Inoltre sono pensate per affrontare scenari di repressione veramente molto elevati, dove ad ogni singola azione va prestata attenzione, questo le rende distribuzioni difficilmente utilizzabili nelle attivit\`{a} quotidiane. L'idea che sta alla base dello sviluppo di Freepto \`{e} quella di offrire un sistema operativo semplice che permetta la gestione sicura degli strumenti utilizzati pi\`{u} di frequente dagli attivisti, senza per\`{o} rinunciare alla comodit\`{a} di un sistema operativo tradizionale. Posto che abbandonare l'utilizzo di sistemi operativi proprietari (Windows e Mac OSX) \`{e} il primo passo necessario per aumentare la nostra sicurezza, ci sono moltissimi casi in cui abbandonare completamente l'utilizzo di questi sistemi proprietari diventa difficile (magari per necessit\`{a} lavorative), ed \`{e} per questo motivo che diventa importante trovare un modo pratico e veloce per separare l'account utilizzato a lavoro dall'~account utilizzato per fare attivismo. In questo senso Freepto permette di proteggere attraverso la crittografia i nostri dati e di poterli portare sempre con noi. \emph{AVVISO:} Freepto pu\`{o} amentare notevolmente il tuo livello di sicurezza, ma se pensi di trovarti in una situazione che meriti una paranoia aggiuntiva, ti consigliamo di utilizzare TAILS e di approfondire la tua conoscenza degli strumenti che servono a proteggere il tuo anonimato e la tua privacy cos\`{i} da avere ben chiari i limiti e i rischi che derivano dall'~uso di queste tecnologie. \section{Sempre con te} Freepto \`{e} un sistema operativo completo dentro una penna usb. La puoi usare da qualsiasi computer ed avrai tutto cio' che ti serve. \section{Cifrata} I dati contenuti nella penna usb sono cifrati, quindi solo tu puoi leggerli. \section{Tutto incluso} Freepto contiene molti dei programmi utili: browser, lettore di posta, editor di immagini\ldots{} e se qualcosa manca, lo si puo' sempre installare grazie a synaptic, il gestore dei pacchetti presente anche in debian e ubuntu. \section{Preconfigurata per la sicurezza} Abbiamo cercato di rendere freepto pi\`{u} sicura possibile senza che questo peggiorasse in alcun modo l'esperienza dell'~utente: \begin{itemize} \itemsep1pt\parskip0pt\parsep0pt \item i programmi di chat e filezilla sono configurati per l'utilizzo di tor, in modo da avere connessioni anonime e sicure. \item firefox include delle estensioni per cifrare la comunicazione con i server il pi\`{u} possibile \item con firefox si puo' navigare verso i siti @.onion@ (siti interni alla rete tor la cui posizione \`{e} nascosta) \end{itemize} \section{Paranoia aggiuntiva opzionale} Abbiamo incluso dentro freepto una serie di tool per chi vuole aumentare ulteriormente il proprio livello di sicurezza: \begin{itemize} \itemsep1pt\parskip0pt\parsep0pt \item cancellazione sicura dei file \item rimozione di metadati contenenti informazioni sensibili su immagini, file audio, pdf e molto altro \item truecrypt, per gestire archivi cifrati \item torbrowser-launcher\footnote{\scriptsize\url{https://github.com/micahflee/torbrowser-launcher}}, per avere sempre l'ultima versione di torbrowser e navigare in modo anonimo \item gpg, per scambiarsi mail cifrate \item pidgin-otr, per avere chat sicure in modo molto semplice \item tortp, per forzare l'uso di TOR a tutte le applicazioni che utilizzano la rete \item florence, per avere una tastiera virtuale dove inserire le tue password \item tomb, per la gestione avanzata degli archivi cifrati \end{itemize} \section{Personalizzabile} Lo sviluppo di freepto \`{e} basato su Debian Live Build\footnote{\scriptsize\url{http://live.debian.net}}, un insieme di tool che permettono di generare delle distribuzioni live personalizzate basate su Debian (GNU/Linux). Questo significa che puoi contribuire a migliorare freepto e modificarne la configurazione per personalizzarla secondo le tue esigenze. Se sei uno sviluppatore e sei interessato a contribuire a freepto puoi farlo modificando il nostro repository su GitHub\footnote{\scriptsize\url{https://github.com/AvANa-BBS/freepto-lb}} \section{Come si usa?} In questa pagina abbiamo raccolto la documentazione e qualche piccolo tutorial su come configurare freepto: \url{https://we.riseup.net/avana/freepto-docs} \`{E} importante che tu legga la documentazione attentamente e se qualcosa non ti \`{e} chiaro potrai sempre utilizzare i commenti per segnalarcelo.