La sala riunioni di Materia, a Castronno, ha ospitato il workshop Cybersecurity per giornalisti. Come proteggere sé stessi e le fonti, inserito nel programma del festival del giornalismo Glocal. A condurre il laboratorio sono stati Raffaele Angius, giornalista di IrpiMedia e cofondatore del giornale d’inchiesta sardo Indip, e Sonia Montegiove, giornalista e informatica. L’incontro, svolto sabato 14 novembre, ha avuto un taglio pratico e si è concentrato sulla protezione di account, dispositivi e informatori.
Password e autenticazione
Tra i primi temi affrontati ci sono state le password salvate nei browser. Montegiove ha raccontato il caso di un laboratorio scolastico in cui, sui computer utilizzati da più insegnanti, erano conservate in chiaro le credenziali di numerosi docenti, comprese quelle del registro elettronico. Attraverso le impostazioni del browser, ha spiegato, è possibile esportarle rapidamente in un file e trasferirle altrove.
I relatori hanno ricordato le principali regole di sicurezza: usare password lunghe, non banali e diverse per ogni servizio, evitando riferimenti facilmente ricavabili dai profili pubblici. Gli attacchi, ha osservato Montegiove, si basano sempre più sull’analisi degli archivi di credenziali già rubate. Per gestire molte password è stato consigliato un password manager protetto da una frase lunga e da un secondo fattore di autenticazione. Angius ha però invitato a non concentrare tutti i servizi nello stesso account: la compromissione di un unico accesso collegato a posta, credenziali e altri strumenti può infatti esporre l’intero sistema.
Dispositivi e modello di minaccia
Secondo Angius, ogni strategia deve partire dal cosiddetto modello di minaccia, cioè dalla valutazione di chi potrebbe attaccare e di quali informazioni vorrebbe ottenere. L’autenticazione a due fattori può essere sufficiente contro molti attacchi comuni, ma non offre la stessa protezione quando l’avversario dispone di strumenti e accessi più sofisticati. Tra i limiti discussi c’è anche l’uso degli sms come secondo fattore, ancora previsto da alcuni servizi, compreso lo Spid.
Il laboratorio ha toccato anche la sicurezza di telefoni e computer. Angius ha richiamato l’importanza degli aggiornamenti e ha citato la modalità di isolamento degli iPhone, pensata per ridurre alcuni vettori di attacco. Sui computer è stata sottolineata la necessità della cifratura del disco, mentre Montegiove ha invitato a controllare periodicamente i permessi concessi alle applicazioni e a separare, quando possibile, il dispositivo di lavoro da quello personale. Un esempio discusso è stato quello di un’applicazione torcia che richiedeva accesso ai registri del telefono.
Nel confronto è emerso infine il tema delle condizioni economiche del lavoro giornalistico. Angius ha osservato che compensi molto bassi possono rendere difficile per i collaboratori acquistare dispositivi adeguati alla protezione delle fonti. Una partecipante ha inoltre sollevato il problema delle assicurazioni professionali, spesso non attrezzate per coprire la perdita di dati raccolti durante un’inchiesta. La responsabilità verso le persone che forniscono informazioni, è stato il messaggio conclusivo, resta comunque parte del lavoro giornalistico.
