Titolo Quis custodiet custodes? Fino a qualche anno fa solo gli addetti ai lavori sapevano cosa fosse un Security Access Module. Ora che la cultura della bigliettazione elettronica si è diffusa, è impensabile istituire un nuovo sistema che non sia basato su SAM. Essi, però, a loro volta, introducono una nuove complessità e opportunità. L’attivazione remota dei SAM, la gestione dei plafond e delle liste nere, la ricarica via Internet sono solo alcune delle nuove funzioni offerte da un Remote SAM Management System che dovrebbe costituire il necessario complemento di un qualunque Sistema di Bigliettazione Elettronica. Gianni Becattini, AD di AEP Ticketing Solutions. AEP Ticketing solutions www.aep-italia.it Satirae Juvenalis Quis custodiet custodes? AEP Ticketing solutions www.aep-italia.it Pone seram, cohibe, sed quis custodiet ipsos custodes? Cauta est et ab illis incipit uxor. (Spranga [la porta], impediscile di uscire, ma chi sorveglierà i sorveglianti stessi? La moglie è astuta e comincerà da quelli.) Osservazione di partenza #1 La sicurezza è in genere maggiore nei sistemi online Un sistema centralizzato ha maggiore facilità di tenere tutto sotto controllo AEP Ticketing solutions www.aep-italia.it Osservazione di partenza #2 La tecnologia attuale non consentirà nel breve/medio periodo di avere sistemi ALWAYS ONLINE Molte parti di uno SBE devono quindi operare oggi OFFLINE La sicurezza dei moderni Sistema di Bigliettazione Elettronica è SEMPRE basata su smart card e MODULI SAM AEP Ticketing solutions www.aep-italia.it La sicurezza informatica Crittografia E’ basata sulla crittografia Attraverso l’uso di codici detti chiavi e di opportuni algoritmi, è possibile crittografare i dati. Dati in chiaro Processo crittografico Chiavi AEP Ticketing solutions www.aep-italia.it Dati cifrati Le chiavi sono tutto Principi AEP Ticketing solutions www.aep-italia.it L’algoritmo può essere pubblico Principio di Kerkchoff (1835-1903): la sicurezza di un codifica crittografica deve essere basata su codici segreti detti “chiavi” e non sulla segretezza dell’algoritmo utilizzato. Le chiavi devono essere tenute segrete Nessun soggetto dovrebbe essere mai in possesso delle chiavi in chiaro. Chiavi nel codice? AEP Ticketing solutions www.aep-italia.it Segreti Le chiavi devono rimanere segrete AEP Ticketing solutions www.aep-italia.it Ecco perché siamo giunti ai SAM I moduli SAM (Security Access Module) sono dei computer completi (costruiti in forma di smart card a contatti) che custodiscono le chiavi e che sono in grado di eseguire operazioni crittografiche Dati in chiaro Dati cifrati Le chiavi sono “costruite” dentro al SAM AEP Ticketing solutions www.aep-italia.it I SAM sono «custodes» Quis... I moduli SAM offrono i benefici attesi per AEP Ticketing solutions www.aep-italia.it custodia delle chiavi crittografiche; esecuzione di funzioni crittografiche; generazione o verifica delle firme digitali. Creano però nuovi problemi per la loro gestione Es. furto di SAM con chiavi di accredito Uso improprio da parte degli uffici autorizzati Insufficiente tracciamento del loro uso Ecc. Eliminare Consiglio pratico #1, via il SAM AEP Ticketing solutions www.aep-italia.it Evitare i SAM nei terminali «sempre online» e utilizzare invece meccanismi di SAM remota Usare la SAM remota per le ricariche via Internet I sistemi di «SAM remota» permettono di effettuare in sicurezza, senza un SAM locale, operazioni che invece lo richiederebbero Biglietterie o macchine automatiche che hanno elevata probabilità di rimanere sempre velocemente on-line potrebbero quindi fare del tutto a meno del SAM, evitando tutti i problemi conseguenti Differenziare Consiglio #2, chiavi appropriate AEP Ticketing solutions www.aep-italia.it Distribuire ovunque solo i SAM con le chiavi che davvero servono Differenziare i SAM e distribuirli correttamente in funzione delle esigenze Inutile dare le chiavi di accredito a terminali che devono fare solo addebiti (rischio di furto evitabile) Consiglio #3, registro SAM Gestire Mantenere un registro elettronico aggiornato di tutti i SAM e delle chiavi in essi contenute Sono molte le Compagnie che non provvedono a un adeguato tracciamento Le officine di manutenzione sono spesso il luogo in cui le tracce di un SAM si perdono Prevedere procedure per la conservazione dei SAM master Prevedere procedure per gli approvvigionamenti e le spedizioni dei SAM AEP Ticketing solutions www.aep-italia.it Autorizzare Consiglio #4, attivazione SAM AEP Ticketing solutions www.aep-italia.it Configurare i SAM per richiedere una procedura di sblocco all’accensione e prevedere questa procedura in modalità remota Nessun SAM dovrebbe poter iniziare il lavoro se non è stato autorizzato dal sistema centrale L’inaffidabile comunicazione viene spesso addotta come causa di impossibilità di autorizzazione in partenza Oggi il mercato offre soluzioni assolutamente affidabili, tanto che esistono compagnie che non autorizzano l’uscita del mezzo non perfettamente «vestito» Agire sul fornitore o trovarne uno nuovo Consiglio #5, lista nera SAM Escludere Gestire la lista nera dei SAM perse o rubate AEP Ticketing solutions www.aep-italia.it Inserirle subito al primo dubbio Tutte le carte che hanno ricevuto accrediti da un SAM in lista nera devono essere automaticamente bloccate a vista Limitare Consiglio #6, usare i plafond AEP Ticketing solutions www.aep-italia.it Adottare il meccanismo dei plafond ove siano richiesti SAM con chiavi di accredito I plafond (ceiling) sono come il controllo automatico di un serbatoio, quando il livello scende si invia nuovo «liquido» In questo modo il possibile furto del serbatoio è sempre limitato nella sua entità Sorvegliare Consiglio #7, monitorare l’attività AEP Ticketing solutions www.aep-italia.it Tener traccia dell’attività dei SAM e incrociare i dati relativi con quello del sistema antifrode globale (probabilmente il consiglio di maggior valore tra quelli elencati) Se non avete un sistema antifrode, cercate subito di procurarlo Prevedere Consiglio #8, procedura allarme rosso AEP Ticketing solutions www.aep-italia.it Cercate di prevedere una procedura da attuarsi nel caso di effrazione della sicurezza Si tratta di un evento decisamente catastrofico che potrebbe implicare anche la forzata distruzione di tutte le carte in circolazione Proprio per questo è necessario pensarci prima Prevedere possibilità di aggiornamento remoto delle chiavi nei SAM Prevedere set di chiavi di scorta all’interno dei SAM Conclusioni In altre parole... AEP Ticketing solutions www.aep-italia.it PROCURATEVI UN REMOTE SAM MANAGEMENT SYSTEM (RSMS) Contact: AEP Ticketing solutions Via dei Colli, 240 50058 Signa, Italia Phone: Mail: AEP Ticketing solutions www.aep-italia.it +39 (055) 87.32.606 [email protected]
© Copyright 2024 Paperzz
