“Ma tu ti fidi?” – “Sarà sicuro?” – “Come fai a sapere che la tua carta non verrà clonata?”.

Chiunque dichiari di acquistare beni e servizi online si è sentito rivolgere queste domande almeno una volta. Non esiste una risposta valida in ogni circostanza perché, e lo sentiamo ripetere spesso, la sicurezza non è un prodotto o una tecnologia, bensì un processo, un’attitudine, una serie di regole e comportamenti che dipendono anche dai fattori in gioco e dalle circostanze. In un acquisto online le cose più importanti sono l’affidabilità del venditore e la sicurezza della transazione.

Per quanto riguarda chi vende, le regole sono quelle del buon senso: i motori di ricerca, i forum e i social network ci possono aiutare a controllare la reputazione. E’ buona norma non fidarsi di commercianti sconosciuti, che non rispondano alle richieste di informazioni o siano evasivi. E’ bene che sul sito sia presente l’ubicazione degli uffici – da verificare per quanto possibile — e un recapito telefonico. magari i dati fiscali. I dati fiscali sono obbligatori e consentono ulteriori controlli.  Anche prezzi troppo bassi sono da guardare con sospetto: potrebbero nascondere un raggiro, merce difettosa, di seconda mano, di provenienza non legale o non in linea con le normative. In generale un risparmio di pochi euro non vale le possibili scocciature di un acquisto fatto alla leggera. Personalmente tendo a guardare con sospetto anche siti fatti male, con frequenti errori, troppo lenti e palesemente anonimi, sciatti e fatti con pacchetti preconfezionati: tutti indici di incuria. Se un’azienda non bada alla sua unica vetrina, figuriamoci che valore può dare alla soddisfazione del cliente. Insomma, un po’ di cautela e normali precauzioni per evitare brutte sorprese.

E fino a qui basta il buon senso, ma cosa bisogna sapere della parte più tecnica, dei sistemi che ci permettono di inserire i dati della carta di credito in un form ed essere ragionevolmente sicuri che nessuno se ne impossessi?

Una volta stabilito che possiamo fidarci del venditore, dobbiamo comunicare con il nostro interlocutore senza che nessuno ascolti o intercetti i dati. Senza scendere in tecnicismi, ci sono due possibili rischi da controllare in queste situazioni: gli attacchi detti “man in the middle” e “eavesdropping“. Bisogna essere certi che nessuno si frapponga fra noi e il venditore facendo finta di essere lui,  oppure semplicemente che “origli” la comunicazione rubando le informazioni.

Ci sono alcune tecnologie che sottendono alla sicurezza delle transazioni  e ci permettono  di essere ragionevolmente sicuri che il nostro interlocutore sia chi dichiara di essere e che il traffico tra il nostro browser e i suoi server sia criptato e al sicuro da malintenzionati. Questa “ragionevole sicurezza” si ottiene tramite l’utilizzo di alcune tecniche di criptazione dei dati che si basano su un certificato digitale rilasciato al venditore da un’ente autorizzato, detto “Certification Authority”.

Questo post mi è servito per introdurre l’argomento del prossimo, in cui cercherò di spiegare in modo semplice come fa il nostro browser ad essere “sicuro” che la comunicazione con il nostro interlocutore sia al riparo da malintenzionati e dare alcune semplici nozioni con le quali ciascuno potrà fare una personale valutazione dei rischi che si corrono utilizzando una connessione sicura per trasmettere dati “preziosi”.

(Gli argomenti trattati sono molto delicati, e sono qui affrontati in forma semplificata senza la pretesa di una esposizione rigorosa. C’è parecchia letteratura in proposito, ed è quella da considerare di riferimento.)