Ciao, e benvenuto nell'ottava puntata della cinquantaduesima stagione. Oggi parliamo delle cose più preziose e più fragili di tutto il sistema: le credenziali che aprono le porte. Le chiavi, le parole d'ordine, i gettoni, i certificati. Perdere una di queste, spesso, vuol dire perdere tutto. Oggi capiamo i segreti: le chiavi del regno.
Partiamo da cosa sono, perché è la posta in gioco. Un segreto, in sicurezza, è qualsiasi cosa dia accesso: la chiave che permette a un programma di parlare con un altro, la parola d'ordine di un archivio, il certificato che dimostra l'identità di un server. Sono le chiavi del regno. Chi le possiede, entra, senza dover forzare niente, perché il sistema è progettato apposta per aprirsi a chi ha la chiave giusta. Ed è proprio questo a renderle così delicate: non c'è nessuna serratura da rompere, se hai la chiave. Basta averla.
Voglio dirti come si perdono, perché è più banale di quanto pensi. I segreti raramente vengono strappati con attacchi geniali. Di solito si perdono per distrazione. Scritti dentro il codice, e poi finiti, senza pensarci, in un archivio condiviso che tutti possono leggere. Stampati per sbaglio nei registri, dove restano per sempre a disposizione di chiunque li consulti. Spediti in una chat, o in una mail, per comodità. Il modo più comune di farsi rubare una chiave non è un ladro esperto: è lasciarla, per sbaglio, in un posto dove non doveva stare, e dimenticarsene.
Voglio darti la verità più importante, perché sorprende sempre. Ed ecco la verità che quasi nessuno considera abbastanza: un segreto consegnato al client non è più un segreto. Tutto ciò che spedisci all'applicazione nel browser, o all'app sul telefono, è, di fatto, pubblico. Perché chi controlla quel dispositivo può aprirlo, guardarci dentro, ed estrarre qualsiasi chiave tu ci abbia nascosto, per quanto bene tu creda di averla nascosta. Una chiave che vive dalla parte del client è una chiave scritta su un muro in piazza. I veri segreti restano solo dalla parte del server, dove tu controlli tutto. È un limite duro, che frustra molti: vorresti che l'app sul telefono custodisse una chiave davvero al sicuro, ma non è possibile, perché quel telefono è nelle mani di qualcuno che, se vuole, può aprirlo e guardarci dentro. Ciò che esce dal tuo server, non lo controlli più.
Voglio darti le pratiche sane, perché seguono da qui. Da questa verità nascono le buone abitudini. I segreti non stanno mai dentro il codice: si tengono a parte, in luoghi fatti apposta per custodirli, e si consegnano al programma solo al momento del bisogno. Si cambiano ogni tanto, si ruotano, così che una chiave eventualmente trapelata smetta presto di funzionare. E si dà a ciascuna chiave il minimo potere necessario: se una chiave serve solo a leggere, non deve poter anche cancellare, così che, se cade in mani sbagliate, il danno sia limitato. Custodia, scadenza, potere ridotto.
Voglio darti l'immagine che rende chiara questa idea, perché la conosci. Pensa a chi lascia la chiave di casa sotto lo zerbino. Non ha rotto niente il ladro: ha solo guardato nel posto ovvio. E pensa a chi, peggio, fa una foto della propria chiave e la pubblica, convinto che tanto è solo una foto: chiunque può rifarla. Il segreto scritto nel codice è la chiave sotto lo zerbino; il segreto consegnato al client è la foto della chiave pubblicata in piazza. In entrambi i casi, non serve un genio del crimine: basta passare di lì e raccogliere ciò che è stato lasciato in vista.
Voglio trarre la lezione generale, perché è il fulcro. La lezione è che le chiavi del regno vanno trattate come tali: custodite a parte, cambiate spesso, e ridotte al minimo potere. E, soprattutto, tenute sempre dalla parte del server, perché tutto ciò che consegni al client hai smesso di poterlo tenere segreto. La maggior parte dei furti di credenziali non è un'irruzione: è qualcosa lasciato in vista, per distrazione o per comodità. Difendere i segreti, prima ancora che dai ladri, vuol dire difenderli dalla nostra stessa fretta. Perché il nemico, qui, quasi mai è un incappucciato geniale: è il collega di buona volontà, sotto scadenza, che incolla una chiave dove capita per far funzionare le cose in fretta, ripromettendosi di sistemarla poi. E poi, lo sappiamo, non arriva quasi mai.
Per oggi ci fermiamo qui. Abbiamo visto i segreti, le chiavi del regno. Un segreto è qualsiasi cosa dia accesso: chiavi, parole d'ordine, gettoni, certificati; chi le ha entra senza forzare niente. Si perdono raramente per attacchi geniali, e quasi sempre per distrazione: scritti nel codice e finiti in un archivio condiviso, stampati nei registri, spediti in chat. La verità più importante: un segreto consegnato al client non è più un segreto, perché chi controlla il dispositivo può estrarlo. Da qui le buone abitudini: custodirli a parte, farli scadere, dare a ciascuno il minimo potere. Come la chiave sotto lo zerbino, o la foto della chiave pubblicata. La lezione: le chiavi vanno custodite, cambiate, ridotte, e tenute lato server, perché il furto più comune è qualcosa lasciato in vista. Nella prossima puntata: dai per scontato di essere violato, difesa a strati. Nelle note trovi qualche spunto. Se ti è utile, condividila. Grazie per l'ascolto, e ci sentiamo alla prossima.