Il SIM swapping, o lo scambio di schede SIM, \u00e8 un metodo di hackeraggio in espansione dall'introduzione generalizzata dell'autenticazione a due fattori.
Il suo funzionamento e le sue conseguenze sono un rompicapo per la protezione dei dati perch\u00e9 l'aggressione consente di ottenere il numero di telefono della vittima, che viene spesso utilizzato come secondo fattore di autenticazione.
Il codice ottenuto consente successivamente di accedere a qualsiasi genere di conto online: bancario, professionale, istituzionale o addirittura infrastrutturale nel caso in cui l'attacco sia sferrato contro il gestore di un'infrastruttura.
Siccome queste soluzioni di autenticazione a due fattori sono le stesse per tutta la popolazione, ne siamo tutti interessati sia a livello privato che a livello professionale o politico.
Invito quindi il Consiglio federale a rispondere alle seguenti domande:
1. quali sono le misure adottate dall'Amministrazione federale per proteggere i suoi collaboratori da un attacco di SIM swapping?
2. L'UFCOM ha gi\u00e0 documentato questa problematica e formulato raccomandazioni al riguardo?
3. Per proteggere tutta la popolazione, i Comuni, i Cantoni e la Confederazione, quali misure potrebbero essere adottate per impedire questo tipo di attacchi?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Il ricorso all'autenticazione a due fattori \u00e8 una misura fondamentale per la cibersicurezza e la protezione dei dati. Questo metodo d'identificazione previene un numero molto elevato di ciberattacchi perch\u00e9, per raggiungere i loro scopi, gli aggressori devono riuscire a penetrare in due sistemi di sicurezza diversi. \u00c8 vero per\u00f2 che i metodi di autenticazione basati sull'invio di codici a un numero di telefono possono essere raggirati. Oltre al SIM swapping menzionato dall'autore dell'interpellanza, vengono sfruttate le vulnerabilit\u00e0 presenti nei protocolli di trasmissione e segnalazione (SS7). L'autenticazione mediante token SMS \u00e8 perci\u00f2 pi\u00f9 sicura di un'autenticazione a un solo fattore (password), ma non abbastanza per soddisfare esigenze di protezione elevate.
Per questo motivo, per l'autenticazione a due fattori sono state approntate alternative pi\u00f9 sicure. Le smartcard e le chiavette USB sicure (\"cryptostick\") permettono ad esempio un'identificazione sicura e la crittografia della comunicazione. Anche i dispositivi che generano una password usa e getta sono una realt\u00e0 consolidata ormai da molti anni. Nel processo di autenticazione a due fattori si stanno affermando software in grado di generare una password usa e getta e applicazioni come Mobile ID, che sono integrate direttamente nelle schede SIM.
In merito alle domande poste, il Consiglio federale prende posizione come segue:
1) Nell'Amministrazione federale, i requisiti in materia di autenticazione sono regolamentati nelle direttive concernenti la protezione di base. Le persone possono accedere ai sistemi di postazione di lavoro e ai sistemi server dell'Amministrazione federale unicamente mediante un'autenticazione a due fattori i cui mezzi di identificazione presentano il livello di sicurezza \"elevato\". Sono pertanto escluse le soluzioni basate sull'invio di codici a numeri di telefono.
2) Il Centro nazionale per la cibersicurezza raccomanda l'utilizzo generalizzato dell'autenticazione a due fattori mediante i metodi di identificazione sicuri sopraindicati. Questa misura figura ad esempio nel documento \"Telelavoro - Accesso remoto pi\u00f9 sicuro\".
3) Esistono soluzioni sicure in alternativa all'autenticazione a due fattori mediante SMS. Queste ultime possono gi\u00e0 essere utilizzate. Si tratta di mezzi di identificazione che consentono di rendere sicuro il processo di identificazione a due fattori eliminando il rischio di SIM swapping.
Risposta del Consiglio federale.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1644969600000)\/","SubmittedBy":"Buffat Micha\u00ebl","BusinessStatus":229,"BusinessStatusText":"Liquidato","BusinessStatusDate":"\/Date(1655424000000)\/","ResponsibleDepartment":7,"ResponsibleDepartmentName":"Dipartimento delle Finanze","ResponsibleDepartmentAbbreviation":"DFF","IsLeadingDepartment":true,"Tags":"4|9|34|1216|1236","Category":null,"Modified":"\/Date(1690502461190)\/","SubmissionDate":"\/Date(1639699200000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Consiglio nazionale","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5112,"SubmissionLegislativePeriod":51,"FirstCouncil1":1,"FirstCouncil1Name":"Consiglio nazionale","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politica nazionale|Politica di sicurezza|Media e comunicazione|Diritto penale|Diritti umani"}}