Smart Card e DRM

Da qualche anno a questa parte le grandi aziende del recording stanno lavorando freneticamente per creare sistemi anticopia sempre più perfezionati (cioè dei nuovi sistemi DRM, “Digital Rights Management”). Questa corsa al sistema DRM “definitivo” ha creato diversi mostri, il più famoso dei quali è probabilmente la tecnologia Trusted Computing (ex TCPA/Palladium) che vedremo arrivare sul mercato nel 2007 o nel 2008 con una apposita versione di Windows Vista. Curiosamente, lungo la strada si sono perse diverse tecnologie che avrebbero potuto rappresentare una soluzione al problema della copia abusiva accettabile sia per le aziende che per gli utenti. La più interessante di queste tecnologie è senza dubbio quella delle Smart Card.

Prima di proseguire, chiariamo subito che non sempre le Smart Card hanno l’aspetto di una carta di credito e non sempre hanno bisogno di un apposito lettore. Esistono diversi tipi di Smart Card che hanno preso la forma di una normale “Penna USB” e che possono quindi essere collegate al PC direttamente attraverso una delle sue porte USB. Ne potete vedere alcuni modelli a queste URL:

Che cosa è una Smart Card?
Una Smart Card è un “carta di credito” di plastica che contiene al suo interno un microchip. Il microchip in questione è un vero computer, molto simile ad un vecchio ZX Spectrum (http://it.wikipedia.org/wiki/ZX_Spectrum) dotato di un microprocessore Zilog Z80 (http://it.wikipedia.org/wiki/Zilog_Z80). A differenza dello ZX Spectrum, una Smart Card non è però dotata nè di una propria alimentazione elettrica, nè di una propria tastiera (per non parlare del mouse), nè di un proprio display. Per questi componenti la Smart Card dipende dal PC a cui viene collegata e che agisce da sistema “ospite”. La Smart Card agisce a sua volta come un microscopico computer indipendente e fidato. La Smart Card può conservare delle informazioni sensibili al sicuro al proprio interno. L’unico modo di accedere a queste informazioni consiste nello stabilire un dialogo con la Smart Card, usando il PC come “console”, e lasciarsi identificare dalla Smart Card stessa (di solito digitando un apposito PIN). La Smart Card può anche svolgere delle vere funzioni di calcolo, anche se abbastanza limitate, proprio come un vero computer.

La caratteristica che rende una Smart Card radicalmente diversa da una normale carta di credito (di quelle dotate della striscia magnetica sul dorso) è che la Smart Card è un oggetto “attivo”, dotato di una sua “intelligenza” e di una sua “volontà”. Non si possono leggere e scrivere dati su una Smart Card nello stesso modo, del tutto incontrollato, con cui si possono leggere e scrivere dati sulla striscia magnetica di una carta tradizionale. Per leggere e scrivere dati da una Smart card è necessario creare ed intrattenere un vero dialogo con la Smart Card attraverso un apposito protocollo. Questo permette alla carta di verificare l’identità del suo interlocutore e di concedere l’accesso ai dati secondo le condizioni dettate da chi ha programmato la carta.

A cosa serve una Smart Card?
Una Smart Card può essere usata in uno qualunque dei seguenti tre modi.
1) Come equivalente digitale della chiave di una porta. In questo caso, non viene solitamente richiesto alcun PIN. La Smart Card viene infilata nel lettore e dà immediatamente accesso alla risorsa che protegge (l’acceso ad una stanza riservata, l’accesso ad un computer, etc.)
2) Come documento di riconoscimento. In questo caso, la Smart Card chiede al suo proprietario di digitare il PIN sulla tastiera. L’utente che possiede la Smart Card e che si dimostra in grado di digitare il PIN corretto viene “certificato” come il legittino proprietario della carta e gli viene concesso l’accesso alla risorsa protetta (un conto corrente bancario o qualcosa di simile). Per maggiore sicurezza, alcune Smart Card sono in grado di usare al posto del PIN le impronte digitali dell’utente, lette da un apposita telecamera presente sul sistema ospite.
3) Come computer completamente fidato. In alcuni casi, la Smart Card può essere usata per svolgere calcoli ed eseguire operazioni che richiedono la massima riservatezza. Ad esempio, per verificare la affidabilità di una Trusted Platform (cioè un PC dotato di tecnologia Trusted Computing) è necessario usare una Smart Card.

Le Smart Card come chiavi digitali
Una delle applicazioni più comuni delle Smart Card è come “carta di fidelizzazione”. Molti distributori di carburante e molti negozi usano le Smart Card come documento di riconoscimento per i propri clienti. In realtà, in questo caso, la Smart Card non identifica il suo proprietario più di quanto lo identifichi la chiave della sua auto. Chiunque porti la Smart Card al distributore otterrà i punti collezione, esattamente come chiunque riesca ad impossessarsi della chiave dell’auto la potrà guidare. In questi casi la Smart Card agisce come chiave elettronica e non viene chiesto alcun PIN. La Smart Card spesso contiene i dati dell’utente e dei suoi punti collezione, in modo che siano usabili presso qualunque distributore anche in assenza di un database centralizzato.

Le Smart Card come documento di riconoscimento
Nel caso dei conti correnti bancari, le Smart Card vengono usate come vero documento di riconoscimento. In questo caso viene chiesto il PIN e la Smart Card si basa su di esso per certificare che il suo detentore è anche il suo legittimo proprietario od almeno una persona da lui delegata. Molte carte di credito e molte carte di debito (Bancomat) al giorno d’oggi sono delle Smart Card dotate di microchip, anche se il loro uso è ancora limitato. In alcune applicazioni, come nel settore militare, le Smart Card sono addirittura in grado di riconoscere l’impronta digitale del loro proprietario o la sua impronta dell’iride. In questo caso non è possibile “prestare” la Smart Card a nessuno.

Smart Card simili a quelle bancarie sono già usate in molti paesi per sostituire i documenti di riconoscimento (carta d’identità, patente, etc.). In molti casi queste Smart Card contengono anche alcuni dati dell’utente (ad esempio i punti patente residui).

Le SIM dei telefoni cellulari
Anche se molti non lo sanno, noi tutti facciamo affidamento ad una Smart Card per l’addebito del traffico telefonico. La SIM dei telefoni cellulari è infatti una normale Smart Card confezionata su un supporto plastico più piccolo del normale e quindi più adatto ai telefoni cellulari. Ad essere precisi, le SIM dei telefoni cellulari sono delle Smart Card molto potenti e molto raffinate. Sono in grado di contenere delle discrete quantità di dati e sono anche in grado di ospitare delle vere applicazioni software, come se fossero dei piccoli computer palmari.

Le SIM certificano l’identità dell’utente presso il fornitore di servizi, in modo che sia possibile addebitargli il traffico consumato senza discussioni. Per questo il telefono è sempre in grado di chiedere un PIN di verifica, anche se molti utenti tendono a disabilitarlo.

La vocazione delle SIM a funzionare anche come sistemi DRM è tale che, in realtà, sono già usate a questo scopo da diverso tempo ed in diversi modi. A parte l’ovvia strategia di fornire servizi vincolati alla SIM, come molti servizi di rete, esiste anche un apposito sistema DRM, noto come OMA DRM (Open Mobile Alliance DRM), già arrivato alla Rel. 2.0 e già disponibile su oltre 400 diversi tipi di telefoni cellulari di quasi tutti i produttori. Grazie a questo sistema DRM vengono già protetti i loghi personalizzati e le suonerie di molti fornitori. I contenuti multimediali dei TV-fonini sono e saranno protetti da questo e da altri sistemi analoghi, tutti basati sull’uso della SIM come elemento di riconoscimento dell’utente (vedi ad esempio: http://www.coremedia.com/en/88632/drm/ ).

Le Smart Card del Digitale Terrestre
La prima applicazione “pubblica” delle Smart Card come elemento di un sistema DRM si è avuta con l’avvento del Digitale Terrestre (DTT). Per accedere ai servizi “pay-per-view” è infatti necessario usare un decoder abilitato, dotato di slot per le Smart card, e comprare una apposita Smart Card prepagata (od una sua ricarica). Queste Smart Card agiscono semplicemente come “testimoni” e come “gestori” del credito riconosciuto all’utente. Solitamente queste Smart Card non richiedono l’uso PIN (alla rete televisiva non interessa sapere chi è realmente seduto davanti alla TV in quel momento), anche se in alcuni casi l’utente può decidere di farne uso (in modo da evitare che il figlio quattordicenne possa accedere ai canali per adulti).

L’uso della Smart Card come elemento di un sistema DRM ed ERM
Nei sistemi DRM le Smart Card possono venire usate esattamente come nel caso delle Smart Card usate per la televisione digitale terrestre italiana: l’utente che vuol accedere ad un film, ad un brano musicale, ad un libro, ad un programma per computer (si: anche il software può essere protetto in questo modo) od a qualunque altro documento, deve semplicemente infilare la Smart Card nell’apposito lettore. A seconda della applicazione, gli verrà chiesto o meno un PIN.

Come abbiamo specificato all’inizio, non è detto che la Smart Card debba avere la forma e le dimensioni di una carta di credito e non è detto che debba richiedere un apposito lettore. Potrebbe trattarsi di una Smart Card di tipo USB che si collega direttamente alla omonima porta del PC. Potrebbe anche trattarsi di una Smart Card di tipo SIM che si infila dentro il lettore MP3 esattamente come ora avviene per le SIM dei telefoni cellulari.

Non è nemmeno detto che la Smart Card debba essere usata per accedere ad un servizio locale. Potrebbe benissimo essere usata come documento di riconoscimento per accedere ad uno “store” su Internet e come supporto per il sistema DRM usato dallo store.

Le Smart Card possono essere usate (già adesso) anche per proteggere i documenti aziendali e personali da sguardi indiscreti. In questo caso, i documenti prodotti con MS Office o OpenOffice, la posta elettronica ed ogni altro tipo di documento digitale, può essere cifrato con un apposito programma (Gnu Privacy Guard o OpenPGP, ad esempio), copiato in forma cifrata su un CD e portato con sè. Le chiavi di cifra vengono conservate nella Smart Card, lontano dalle grinfie dei malintenzionati. In questo modo si realizza un vero sistema ERM, cioè “Enterprise Rights Management”, come quello pubblicizzato da Microsoft per il futuro windows Vista con NGSCB (Trusted Computing).

Smart Card multiapplicazione
Si potrebbe erroneamente pensare che sia necessario avere una diversa Smart Card per ogni prodotto multimediale che si acquista o, almeno, per ogni fornitore da cui si è acquistato qualcosa: una Smart Card per “Matrix” ed una per l’ultimo disco dei Nirvana, una per i DVD noleggiato da BlockBuster ed una per i CD acquistati dalla Virgin.

Non è così. Esistono già da tempo delle Smart Card multiapplicazione che possono svolgere più funzioni nello stesso momento. Le Smart Card che sono state sperimentate negli ultimi anni dai nostri ministeri sono di questo tipo ed infatti dovrebbero servire sia come patente di guida che come carta d’identità e come carta sanitaria.

Inoltre, anche le carte più semplici, non di tipo multiapplicazione, possono contenere decine e decine di chiavi di accesso, ognuna delle quali adatta a sbloccare un diverso prodotto. Una funzionalità simile è utilizzata dalle SIM telefoniche per immagazzinare i numeri di telefono della rubrica.

Sebbene una Smart Card “universale”, di tipo standardizzato, non sia ancora disponibile sul mercato, sono già stati compiuti molti studi in questo senso e l’introduzione di una carta universale è ormai solo questione di volontà politica. Se un governo dovesse decidere in questo senso, come è avvenuto per il decoder unico della TV digitale, nel giro di pochi mesi potrebbero essere disponibili le Smart Card necessarie. Il costo di questi oggetti in questo momento è dell’ordine di qualche euro e, come abbiamo detto, ne basterebbe una per tutte le applicazioni (magari in formato SIM, in modo da poter essere ospitata anche dai lettori di più piccole dimensioni).

Smart Card e Trusted Computing Platforms
Per quanto possano risultare antipatiche, le Smart Card usate per scopi di DRM, come le SIM dei telefoni cellulari e le Smart Card della TV digitale, sono molto meno “invasive” e molto meno pericolose di altri sistemi. In particolare, le Smart Card potrebbero rappresentare una seria alternativa alle “Trusted Platform”, cioè ai computer dotato di tecnologia “Trusted Computing”.

La tecnologia Trusted Computing è una nuova tecnologia di sicurezza sviluppata principalmente da Microsoft e Intel. Fino a qualche anno fa era nota come TCPA/Palladium e nel corso della sua storia ha raccolto una impressionante quantità di critiche.

Il cuore della tecnologia Trusted Computing è un microprocessore chiamato TPM (Trusted Platform Module) o “Fritz Chip”. Il TPM è, di fatto, una Smart Card saldata sulla motherboard del PC (o del telefonino o di altri dispositivi). Svolge tutte le stesse funzioni di una Smart Card più alcune altre legate alla sicurezza e considerate da molti osservatori decisamente sgradevoli. Una di queste funzionalità permette ad un osservatore remoto, ad esempio itunes.com, di verificare la configurazione della nostra macchina prima di lasciarci scaricare un brano musicale, in modo da garantirsi che sulla nostra macchina non sia presente software in grado di scavalcare il sistema DRM del fornitore.

Oltre a questa funzionalità “spionistica”, il TPM aggiunge anche un’altra caratteristica inquietante alle funzionalità di una Smart Card: non è rimovibile. Se per qualche motivo non volete o non potete usare più quello specifico TPM, dovete cambiare l’intero dispositivo (l’intera motherboard del PC o l’intero telefonino). Questo è ancora più grave se si pensa che il TPM, come le Smart Card e le memorie Flash, non può vivere in eterno. La parte dei suoi circuiti usata come memoria può essere cancellata e scritta al massimo per circa 100.000 volte, dopodichè diventa inutilizzabile. Questo vuol dire che il TPM, come qualunque Smart Card, può “vivere” solo per alcuni anni, non in eterno. Questo è uno dei motivi per cui le Smart Card usate dalle banche vengono sostituite ogni pochi anni.

A questo punto dovrebbe essere evidente che è certamente più facile ed economico cambiare una Smart Card ogni pochi anni che cambiare tutto il PC di casa con la stessa frequenza.

La sicurezza delle Smart Card
Le Smart Card sono estremamente sicure. Come abbiamo detto all’inizio, sono oggetti “vivi” ed “intelligenti”, in grado di verificare l’identità delle persone e dei dispositivi con cui entrano in contatto e di gestire in modo molto efficace l’accesso ai dati che proteggono. In questo senso sono enormemente più sicure delle classiche carte di credito bancarie, del tipo dotato di striscia magnetica. Le carte di credito tradizionali, infatti, sono dispositivi “passivi” che possono essere letti e clonati come un qualunque floppy disk. Questa vulnerabilità delle carte tradizionali è quello che permette ai malfattori tecnologici di oggi di clonarle e riutilizzarle a nostra insaputa. Bastano un apposito lettore magnetico ed una telecamera (per registrare il PIN mentre lo digitiamo sulla tastiera) ed il gioco è fatto.

Nonostante la straordinaria robustezza delle Smart Card, anche questi gioielli hanno il loro punto debole: per digitare il PIN bisogna usare il display e la tastiera del sistema ospite (del PC). Ciò che appare sul display e ciò che viene digitato sulla tastiera possono essere registrati e riutilizzati a nostra insaputa. Per questo motivo, in quasi tutte le applicazioni viene usato un apposito lettore, chiamato PIN Pad, che dispone di un proprio display e di una propria tastiera. Il display e la tastiera del PIN Pad sono protetti ed inaccessibili ai sistemi di registrazione che potrebbero essere usati nell’altro caso. Tutto il traffico dati che passa dalla Smart Card al PIN Pad è protetto dal PIN Pad stesso ed è anche cifrato. Ciò che esce dal PIN Pad e arriva al server, passando dal PC ospite, è cifrato ed inaccessibile. In questa configurazione il sistema è sostanzialmente inattaccabile. Questa configurazione, chiamata POS (“Point of Sale”), è ciò che si vede abitualmente alle casse dei negozi e dei supermercati.

Nel caso di applicazioni DRM è improbabile che si debba arrivare a tanta raffinatezza. Dopotutto, spesso non è nemmeno necessario digitare il PIN (come appunto non viene richiesto il PIN dalle Smart Card del DTT). In alcuni casi, tuttavia, è già disponibile una coppia display/tastiera “affidabili”: sui telefonini, ad esempio.

Fonte: http://oceanidigitali.it

Creative Commons License
Questo/a opera è pubblicato sotto una Licenza Creative Commons

Rispondi

Inserisci i tuoi dati qui sotto o clicca su un'icona per effettuare l'accesso:

Logo WordPress.com

Stai commentando usando il tuo account WordPress.com. Chiudi sessione / Modifica )

Foto Twitter

Stai commentando usando il tuo account Twitter. Chiudi sessione / Modifica )

Foto di Facebook

Stai commentando usando il tuo account Facebook. Chiudi sessione / Modifica )

Google+ photo

Stai commentando usando il tuo account Google+. Chiudi sessione / Modifica )

Connessione a %s...