Security Tips from US-CERT
Come usare i programmi di comunicazione in tempo reale in sicurezza
Autori testo originale: Mindi McDowell, Allen Householder

I programmi di Instant Messaging e le Chat Rooms sono strumenti convenienti per la comunicazione in tempo reale, tali tools però se non propriamente utilizzati potrebbero costituire un pericolo per la sicurezza. Facciamo prima però alcune distinzioni, elencando le differenze esistenti tra alcuni di questi strumenti di comunicazione in tempo reale:

Instant Messaging, anche se usati comunemente per scopi ludici, i programmi di instant messaging stanno diventando sempre più impiegati all’interno delle grandi aziende per la comunicazione interna. Essi rappresentano sostanzialmente una interfaccia per la comunicazione di tipo one-to-one (uno ad uno).
Chat Rooms, sia che si tratti di chat pubbliche o di chat private, esse rappresentano forum tematici per favorire l’interazione tra gruppi di persone. Anche se molti programmi di instant messaging supportano le chat tra utenti multipli, non bisogna confondere le due tipologie di comunicazione: l’instant messaging è tradizionalmente un software one-to-one mentre le chats sono programmi che permettono l’interazione many-to-many (molti a molti)
Bots, un “chat robots” o più comunemente “bots” è un software che interagisce con gli utenti attraverso meccanismi di comunicazione in tempo reale, ossia in modalità instant messaging o in modalità chat. L’utente, mediante i bots, ottiene sia informazioni a carattere generale quali condizioni metereologiche o film in proiezione, che informazioni di personale interesse quale ad esempio lo stato di un ordine. In tal caso l’utente non interagisce con un umano ma con una macchina dedicata, in alcuni casi talmente sofisticata da procurare all’utente finale l’impressione di interagire con un essere umano.

          Quali sono i pericoli derivanti dall’utilizzo di questi software? Segue un breve elenco:

Ambiguità di identità, ossia l’utente non ha mai la certezza di dialogare con la persona desiderata. Log-out dimenticati, credenziali compromesse o account condivisi tra più persone possono far sì che un terza persona possa spacciarsi per il nostro dialogante;
Predisposizione a determinati tipi di attacchi. Mediante un programma di instant messaging o di chat diventa maggiormente comodo convincere un utente ad eseguire un programma o a clicckare su un link, in quanto l’utente, credendo di dialogare con una persona fidata, è maggiormente predisposto a dar luogo alle azioni suggeritegli;
Mancanza di confidenzialità,essendo possibile che altri possano leggere la conversazione poiché le interazioni possono essere facilmente salvate e se si utilizzano i servizi commerciali liberi le comunicazioni potrebbero anche essere archiviate sui server. Non si ha pertanto il controllo sui tracciati, non si ha la certezza che altri non possano leggere le conversazioni. Conversazioni oltretutto sniffabili da un attacker
Vulnerabilità del software usato per la comunicazione in tempo reale
Riduzione del livello di sicurezza, dovuta all'inadeguatezza dei valori di default che usualmente sono inappropriati poiché tendono ad essere piuttosto permissivi per rendere maggiormente libero ed usabile il software; tutto questo a scapito della sicurezza.

          Quali sono le azioni di difesa da intraprendere?

1. Valutare i parametri di sicurezza e modificarli se troppo permissivi. Disabilitare il download automatico e, se possibile, limitare l’interazione solo con un determinato insieme di utenti
2. Scambiare informazioni personali solo quando si è certi di dialogare con la persona desiderata, evitando oltremodo di discutere di informazioni sensibili e/o delicate per il business
3. Cercare di verificare l’identità della persona con la quale si sta dialogando, specie nel caso in cui quest’ultima vi propone l’esecuzione di un programma o il click di un link
4. Verificare sempre ciò che si legge. Le informazioni o gli avvisi che possono essere ricevute in chat o via instant messaging potrebbero essere false, dannose o maliziose. Verificare quindi l’informazione o l’istruzione ricevuta accedendo ad altre sorgenti di informazione prima di intraprendere una azione
5. Mantenere i software sempre aggiornati, ossia il software utilizzato per la comunicazione in tempo reale, il navigatore web, il sistema operativo, il client di posta ed in particolare l’antivirus!