Rapporto esplicativo

Sezione 4 Manipolazione non autorizzata di impianti di telecomunicazione

A titolo introduttivo, si sottolinea che le disposizioni di questa sezione si applicano unicamente ai fornitori di accesso a Internet poiché, in base all’esperienza raccolta, sono gli unici ad essere colpiti dalla manipola- zione non autorizzata degli impianti di telecomunicazione.

Art. 96a Misure di sicurezza

Il capoverso 1 delle presenti disposizioni disciplina la lotta contro gli attacchi alla disponibilità dei servizi In- ternet causati da una moltitudine di richieste (attacchi noti come distributed denial of service, DDoS). Questo caso è anche esplicitamente menzionato nel messaggio sulla revisione della LTC. Un elemento importante nella lotta contro gli attacchi DDoS è di impedire l’utilizzo di indirizzi IP falsificati da chi perpetra l’attacco (spoofing). Questo rende impossibili gli attacchi DDoS in uscita basati sullo spoofing dell’IP. A questo scopo, i fornitori di accesso a Internet sono obbligati a impiegare mezzi tecnici appropriati per filtrare pacchetti IP con un indirizzo IP sorgente falsificato provenienti dalla loro rete. Per impostare tali filtri d’ingresso, i fornitori devono allestire una lista aggiornata delle reti autorizzate, la quale può essere generata automaticamente dalla tabella di routing. I passi tecnici necessari sono descritti dall’Internet Engineering Task Force (IETF) nelle Best Current Practices BCP38 per single-homed network (reti in cui ogni dispositivo ha un indirizzo IP) e BCP84 per multi-homed networked (reti in cui un dispositivo ha diversi indirizzi IP).

I fornitori di accesso a Internet spesso mettono a disposizione dei loro clienti i dispositivi (il cosidd. customer premises equipment, CPE). Considerato che sono molto diffusi, svolgono un ruolo importante nella lotta con- tro gli incidenti informatici. Il capoverso 2 stabilisce quindi che i parametri di sicurezza di tutti gli impianti di telecomunicazione forniti ai clienti vanno configurati secondo le regole riconosciute della tecnica e aggiornati senza indugio, fintanto che i relativi fornitori continuano ad esercitare il controllo su questi dispositivi. Ciò in- clude la possibilità di colmare le loro lacune di sicurezza via updates. Al fine di ridurre al minimo l’esposi- zione al rischio di tali dispositivi, l’UFCOM emanerà delle prescrizioni tecniche e amministrative. Queste do- vranno tenere conto in particolare dei seguenti principi:

− Nessun dato di accesso standard (nome utente, password) può essere usato per accedere al CPE. I dati di accesso devono essere assegnati individualmente per ogni dispositivo. Se questo non è pos- sibile a livello tecnico, quando il dispositivo viene messo in funzione, occorre forzare un cambia- mento dei dati di accesso.

− I servizi inutili sul CPE vanno disattivati.

− Il traffico SMTP in uscita sulla porta 25 deve essere bloccato di default per tutte le connessioni dei clienti nell’area clienti privata (connessioni «residenziali», di solito indirizzi IP dinamici). Se c’è una necessità specifica o su richiesta giustificata del cliente, è ipotizzabile uno sblocco.

− Nello stato di consegna di un CPE, non devono esserci porte accessibili liberamente da Internet. Le porte aperte necessarie per il funzionamento del CPE devono essere protette da misure tecniche (ad es. restrizione IP).

− Le porte usate per la manutenzione remota da parte del fornitore devono essere limitate il più possi- bile (ad es. a un segmento di indirizzo IP usato dal fornitore per questo scopo).

− Il protocollo utilizzato per l’accesso alla manutenzione remota deve essere protetto con una tecnolo- gia di criptaggio moderna.

− Il CPE deve essere prontamente dotato di aggiornamenti di sicurezza classificati come critici dal pro- duttore. Se i CPE sono classificati come giunti a fine vita (end of life) dal produttore, devono essere sostituiti.

Se degli impianti di telecomunicazione sono infettati da malware, possono metterne in pericolo altri con cui possono stabilire una connessione. Il malware può diffondersi ulteriormente attraverso la connessione, o es- sere utilizzato per altre attività dannose, ad esempio l’invio di spam, il phishing o la partecipazione a un at- tacco DDoS. Per questo motivo, al capoverso 3 è necessario prevedere misure contro gli impianti di teleco- municazione infettati o vulnerabili. Sono ipotizzabili diverse misure. Nel caso di attività dannose, la

connessione Internet può essere bloccata o limitata per interrompere l’attività. Il blocco può anche essere applicato se un dispositivo vulnerabile viene utilizzato per un periodo di tempo più lungo. Questo spesso serve non solo a proteggere gli altri utenti, ma anche a proteggere la persona/impresa colpita (parola chiave attacchi ransomware). I dispositivi infettati possono anche essere messi in modalità sandbox (walled gar- den), in cui la connessione Internet al fornitore di servizi di telecomunicazione viene preservata ma quella a Internet è notevolmente limitata o bloccata. In questo modo l’impianto di telecomunicazione non rappresenta più un rischio per gli altri. Se le attività dannose sono associate a certi elementi di indirizzo (indirizzi IP o nomi di dominio), il loro accesso può essere bloccato per i clienti.