sicurezza

Come mettere in sicurezza le Blockchain dalle sue (tante) vulnerabilità

Sono diverse decine gli attacchi documentati a questa tecnologia che, tra punti deboli e vere e proprie vulnerabilità, risulta essere meno sicura di quanto si possa credere. Alcuni accorgimenti per aumentarne resilienza e resistenza ai cyber attacchi

Pubblicato il 29 Mag 2023

Giuditta Mosca

Giornalista, esperta di tecnologia

(Immagine: https://pixabay.com/geralt)

Sostenere che la Blockchain sia una tecnologia sicura è, allo stesso tempo, vero, incompleto e relativo. Vero perché, per sua stessa natura, la Blockchain e il principio di immutabilità che la contraddistingue contribuiscono a farne uno strumento utile per la cyber security.

Incompleto, perché i software sviluppati per farne uso aprono le porte a falle e debolezze e questo introduce il concetto di relatività: se una ferrovia (la Blockchain) è di per sé sicura ma le ruote dei treni che la percorrono sono tanto traballanti (le applicazioni) da danneggiare binari e traversine, la tratta ferroviaria dovrà subire interventi di riparazione forse non previsti all’origine ma prevedibili una volta compreso quale problema causa danni.

Allora occorre chiedersi come fare per ridurre i rischi per la tratta ferroviaria, ossia come mettere in sicurezza le Blockchain. Per approfondire l’argomento ci siamo avvalsi del parere di Pierluigi Paganini, esperto di cyber security ed intelligence.

Le Blockchain e le vulnerabilità

Non esiste un elenco completo delle vulnerabilità delle Blockchain, e questo è parte del problema. Poterne disporre è importante, tant’è che il governo americano incentiva l’uso e l’aggiunta di record nel Common Weakness Enumeration database, compendio delle debolezze e delle vulnerabilità note anche relative alla Blockchain.

Le Blockchain fanno gola perché violarle corrisponde a incamerare denaro senza ulteriori attività. Chi viola un database deve vendere i dati per intascare soldi, chi dirotta una transazione si impossessa di criptovalute, ossia denaro.

Paganini completa l’aspetto del censimento delle vulnerabilità: “Suggerirei di consultare fonti come il National Vulnerability Database (Nvd) gestito dal National Institute of Standards and Technology (Nist) degli Stati Uniti. È inoltre importante essere aggiornati sui principali lavori di ricerca internazionali che si focalizzano sull’analisi dei sistemi basati su blockchain e sui protocolli in uso”.

C’è un disequilibrio di fondo: mentre le autorità diventano più abili nel rintracciare le transazioni (in altre parole, a seguire il denaro), i sistemi decentralizzati intesi come comunità non sono impeccabili nell’identificare e risolvere le vulnerabilità.

Vulnerabilità che consentono attacchi e che sono create dai software, dai servizi web e dagli smart contract. A oggi gli attacchi documentati sono circa 200 ma si tratta di un elenco incompleto e puramente indicativo.

La propensione alle vulnerabilità si sposano male a un mercato, quello delle tecnologie Blockchain che, stando a un report dell’azienda di monitoraggio e marketing Cision, è prossimo a raggiungere i 20 miliardi di dollari a livello globale.

L’analisi può essere generosa in termini numerici, ma il problema delle vulnerabilità esiste a prescindere dalla cifra d’affari e, soprattutto, rischia di fornire un assist ai detrattori delle transazioni decentralizzate ma, forse ancora prima, rischia di avere un impatto negativo sugli esiti dei tanti test avviati da banche e istituti di credito (anche in Italia).

Mettere in sicurezza le Blockchain

La sicurezza delle Blockchain è una procedura che prevede l’intersezione di diverse discipline, si va dall’adozione di framework votati alla cyber security, test e pratiche di codifica. Un elenco plausibile deve contenere diversi capisaldi:

  • usare il protocollo TLS
  • proteggere le transazioni basate su API
  • implementare sistemi di autenticazione multi fattore
  • implementare e mantenere una robusta gestione delle chiavi crittografiche
  • implementare protocolli OAuth, OIDC e SAML2.

Questi ultimi protocolli sono standard utili allo scambio di autorizzazioni e autenticazioni tra domini, in particolare OAuth consiste nell’emissione di un token da parte di un server affinché i client possano accedervi. È molto diffuso dai giganti del web come Amazon, Google, Meta e Microsoft per consentire ai rispettivi utenti la condivisione di informazioni con altri servizi web.

L’uso di API è uno dei nervi scoperti ed è materia sulla quale concentrarsi in modo particolare anche se, come ricorda Paganini, sono solo una parte del problema complessivo: “Le API utilizzate per le transazioni blockchain possono essere affette dalle medesime vulnerabilità che affliggono le API in altri software. È opportuno che tali API siano opportunamente progettare e protette, problemi di autenticazione piuttosto che information disclosure sono purtroppo molto comuni. Più difficile è riuscire a trovare API non adeguatamente protette che consentano la manipolazione di informazioni e che possano consentire a un attaccante di operare transazioni fraudolente”.

Anche l’adozione dei protocolli standard (come OAuth, OIDC e SAML2) è insostituibile ma non sufficiente: “Riterrei l’adozione di protocolli come quelli citati condizione necessaria, ma non sufficiente ad una protezione completa. È fondamentale predisporre diversi livelli di protezione e monitoraggio delle differenti componenti di uno schema di blockchain”.

Questi aspetti, benché importanti, sono tra quelli propedeutici ai penetration test.

Le tre fasi del penetration testing

Per penetration test si intende una profonda analisi della sicurezza di un sistema o di una rete. Nel caso specifico di una Blockchain, l’obiettivo dei pen test è quello di scoprire le vulnerabilità e le debolezze al fine di individuare le opportune soluzioni.

La prima delle tre fasi vanno individuati i requisiti funzionali ed è uno stadio prettamente di studio nel quale rientrano:

  • lo studio approfondito dell’architettura delle Blockchain
  • la raccolta delle informazioni relative a eventuali exploit
  • valutare le logiche di gestione degli smart contract
  • stabilire gli obiettivi da raggiungere con i pen test
  • creare un ambiente di test

La seconda fase, più improntata ai test propriamente detti, è essenziale per constatare lo stato di sicurezza della Blockchain. Gli aspetti sui quali fare leva sono:

  • la valutazione dell’integrità della blockchain
  • la valutazione della sicurezza delle API
  • la valutazione della vulnerabilità delle applicazioni e della rete

Nel paragrafo seguente suggeriamo alcuni tool dediti a queste pratiche.

La terza fase è la prova materiale, ovvero testare con mano le debolezze emerse durante la seconda fase. Si tratta di un compito necessario per escludere che siano stati rilevati dei falsi positivi.

Gli strumenti utili

Ci sono diversi tool che possono essere utilizzati. Sono per lo più Open source e richiedono comunque personale preparato e formato per farne uso.

L’analisi degli smart contract può essere fatta con Manticore oppure con Oyente. Gli smart contrat Ethereum possono essere testati con Echidna.

Solgraph è una suite di test che evidenzia le vulnerabilità nella sicurezza e Solidity security è un compendio dei bug e delle debolezze più sfruttate dagli attaccanti e delle tecniche adatte per la loro neutralizzazione.

I consigli aggiuntivi

E, infine, dei consigli in più che, sottolinea Paganini, valgono per lo sviluppo di qualsiasi progetto software sicuro sia per i processi crittografici, ovvero:

  • sviluppare le applicazioni seguendo i principi di secure coding
  • implementare una gestione sicura delle chiavi crittografiche
  • implementare meccanismi robusti di autenticazione e autorizzazione
  • monitorare le minacce
  • eseguire assessment periodici di sicurezza
  • implementare politiche di Backup e ripristino efficienti
  • mantenere le componenti del sistema sempre aggiornate.

La sicurezza totale è realtà irraggiungibile ma questo non è un alibi valido per dimostrarsi imprudenti.

Valuta la qualità di questo articolo

La tua opinione è importante per noi!

Speciale PNRR

Tutti
Incentivi
Salute digitale
Formazione
Analisi
Sostenibilità
PA
Sostemibilità
Sicurezza
Digital Economy
CODICE STARTUP
Imprenditoria femminile: come attingere ai fondi per le donne che fanno impresa
DECRETI
PNRR e Fascicolo Sanitario Elettronico: investimenti per oltre 600 milioni
IL DOCUMENTO
Competenze digitali, ecco il nuovo piano operativo nazionale
STRUMENTI
Da Istat e RGS gli indicatori per misurare la sostenibilità nel PNRR
STRATEGIE
PNRR – Piano nazionale di Ripresa e Resilienza: cos’è e novità
FONDI
Pnrr, ok della Ue alla seconda rata da 21 miliardi: focus su 5G e banda ultralarga
GREEN ENERGY
Energia pulita: Banca Sella finanzia i progetti green incentivati dal PNRR
TECNOLOGIA SOLIDALE
Due buone notizie digitali: 500 milioni per gli ITS e l’inizio dell’intranet veloce in scuole e ospedali
INNOVAZIONE
Competenze digitali e InPA cruciali per raggiungere gli obiettivi del Pnrr
STRATEGIE
PA digitale 2026, come gestire i fondi PNRR in 5 fasi: ecco la proposta
ANALISI
Value-based healthcare: le esperienze in Italia e il ruolo del PNRR
Strategie
Accordi per l’innovazione, per le imprese altri 250 milioni
Strategie
PNRR, opportunità e sfide per le smart city
Strategie
Brevetti, il Mise mette sul piatto 8,5 milioni
Strategie
PNRR e opere pubbliche, la grande sfida per i Comuni e perché bisogna pensare digitale
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr
CODICE STARTUP
Imprenditoria femminile: come attingere ai fondi per le donne che fanno impresa
DECRETI
PNRR e Fascicolo Sanitario Elettronico: investimenti per oltre 600 milioni
IL DOCUMENTO
Competenze digitali, ecco il nuovo piano operativo nazionale
STRUMENTI
Da Istat e RGS gli indicatori per misurare la sostenibilità nel PNRR
STRATEGIE
PNRR – Piano nazionale di Ripresa e Resilienza: cos’è e novità
FONDI
Pnrr, ok della Ue alla seconda rata da 21 miliardi: focus su 5G e banda ultralarga
GREEN ENERGY
Energia pulita: Banca Sella finanzia i progetti green incentivati dal PNRR
TECNOLOGIA SOLIDALE
Due buone notizie digitali: 500 milioni per gli ITS e l’inizio dell’intranet veloce in scuole e ospedali
INNOVAZIONE
Competenze digitali e InPA cruciali per raggiungere gli obiettivi del Pnrr
STRATEGIE
PA digitale 2026, come gestire i fondi PNRR in 5 fasi: ecco la proposta
ANALISI
Value-based healthcare: le esperienze in Italia e il ruolo del PNRR
Strategie
Accordi per l’innovazione, per le imprese altri 250 milioni
Strategie
PNRR, opportunità e sfide per le smart city
Strategie
Brevetti, il Mise mette sul piatto 8,5 milioni
Strategie
PNRR e opere pubbliche, la grande sfida per i Comuni e perché bisogna pensare digitale
Formazione
Trasferimento tecnologico, il Mise mette sul piatto 7,5 milioni
Strategie
PSN e Strategia Cloud Italia: a che punto siamo e come supportare la PA in questo percorso
Dispersione idrica
Siccità: AI e analisi dei dati possono ridurre gli sprechi d’acqua. Ecco gli interventi necessari
PNRR
Cloud, firmato il contratto per l’avvio di lavori del Polo strategico
Formazione
Competenze digitali, stanziati 48 milioni per gli Istituti tecnologici superiori
Iniziative
Digitalizzazione delle reti idriche: oltre 600 milioni per 21 progetti
Competenze e competitività
PNRR, così i fondi UE possono rilanciare la ricerca e l’Università
Finanziamenti
PNRR, si sbloccano i fondi per l’agrisolare
Sanità post-pandemica
PNRR, Missione Salute: a che punto siamo e cosa resta da fare
Strategie
Sovranità e autonomia tecnologica nazionale: come avviare un processo virtuoso e sostenibile
La relazione
Pnrr e PA digitale, l’alert della Corte dei conti su execution e capacità di spesa
L'editoriale
Elezioni 2022, la sfida digitale ai margini del dibattito politico
Strategie
Digitale, il monito di I-Com: “Senza riforme Pnrr inefficace”
Transizione digitale
Pnrr: arrivano 321 milioni per cloud dei Comuni, spazio e mobilità innovativa
L'analisi I-COM
Il PNRR alla prova delle elezioni: come usare bene le risorse e centrare gli obiettivi digitali
Cineca
Quantum computing, una svolta per la ricerca: lo scenario europeo e i progetti in corso
L'indice europeo
Desi, l’Italia scala due posizioni grazie a fibra e 5G. Ma è (ancora) allarme competenze
L'approfondimento
PNRR 2, ecco tutte le misure per cittadini e imprese: portale sommerso, codice crisi d’impresa e sismabonus, cosa cambia
Servizi digitali
PNRR e trasformazione digitale: ecco gli investimenti e le riforme previste per la digitalizzazione della PA
Legal health
Lo spazio europeo dei dati sanitari: come circoleranno le informazioni sulla salute nell’Unione Europea
Servizi digitali
PNRR e PA digitale: non dimentichiamo la dematerializzazione
Digital Healthcare transformation
La trasformazione digitale degli ospedali
Governance digitale
PA digitale, è la volta buona? Così misure e risorse del PNRR possono fare la differenza
Servizi digitali
Comuni e digitale, come usare il PNRR senza sbagliare
La survey
Pnrr e digitale accoppiata vincente per il 70% delle pmi italiane
Missione salute
Fascicolo Sanitario Elettronico alla prova del PNRR: limiti, rischi e opportunità
Servizi pubblici
PNRR: come diventeranno i siti dei comuni italiani grazie alle nuove risorse
Skill gap
PNRR, la banda ultra larga crea 20.000 nuovi posti di lavoro
Il Piano
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUMPA2022
PNRR e trasformazione digitale: rivedi i Talk di FORUM PA 2022 in collaborazione con le aziende partner
I contratti
Avio, 340 milioni dal Pnrr per i nuovi propulsori a metano
Next Generation EU
PNRR, a che punto siamo e cosa possono aspettarsi le aziende private
Fondi
Operativo il nuovo portale del MISE con tutti i finanziamenti per le imprese
Servizi comunali
Il PNRR occasione unica per i Comuni digitali: strumenti e risorse per enti e cittadini
Healthcare data platform
PNRR dalla teoria alla pratica: tecnologie e soluzioni per l’innovazione in Sanità
Skill
Competenze digitali, partono le Reti di facilitazione
Gli obiettivi
Scuola 4.0, PNRR ultima chance: ecco come cambierà il sistema formativo
Sistema Paese
PNRR 2, è il turno della space economy
FORUM PA 2022
FORUM PA 2022: la maturità digitale dei comuni italiani rispetto al PNRR
Analisi
PNRR: dalla Ricerca all’impresa, una sfida da cogliere insieme
Innovazione
Pnrr, il Dipartimento per la Trasformazione digitale si riorganizza
FORUM PA 2022
PA verde e sostenibile: il ruolo di PNRR, PNIEC, energy management e green public procurement
Analisi
PNRR, Comuni e digitalizzazione: tutto su fondi e opportunità, in meno di 3 minuti. Guarda il video!
Rapporti
Competenze digitali e servizi automatizzati pilastri del piano Inps
Analisi
Attuazione del PNRR: il dialogo necessario tra istituzioni e società civile. Rivedi lo Scenario di FORUM PA 2022
Progetti
Pnrr, fondi per il Politecnico di Torino. Fra i progetti anche IS4Aerospace
Analisi
PNRR, Colao fa il punto sulla transizione digitale dell’Italia: «In linea con tutte le scadenze»
La Svolta
Ict, Istat “riclassifica” i professionisti. Via anche al catalogo dati sul Pnrr
Analisi
Spazio, Colao fa il punto sul Pnrr: i progetti verso la milestone 2023
FORUM PA 2022
Ecosistema territoriale sostenibile: l’Emilia Romagna tra FESR e PNRR
Il Piano
Innovazione, il Mise “centra” gli obiettivi Pnrr: attivati 17,5 miliardi
Analisi
PNRR: raggiunti gli obiettivi per il primo semestre 2022. Il punto e qualche riflessione
Analisi
PNRR: dal dialogo tra PA e società civile passa il corretto monitoraggio dei risultati, tra collaborazione e identità dei luoghi
Webinar
Comuni e PNRR: un focus sui bandi attivi o in pubblicazione
Analisi
Formazione 4.0: cos’è e come funziona il credito d’imposta
PA e Sicurezza
PA e sicurezza informatica: il ruolo dei territori di fronte alle sfide della digitalizzazione
PA e sicurezza
PNRR e servizi pubblici digitali: sfide e opportunità per Comuni e Città metropolitane
Water management
Water management in Italia: verso una transizione “smart” e “circular” 
LE RISORSE
Transizione digitale, Simest apre i fondi Pnrr alle medie imprese
Prospettive
Turismo, cultura e digital: come spendere bene le risorse del PNRR
Analisi
Smart City: quale contributo alla transizione ecologica
Decarbonizzazione
Idrogeno verde, 450 milioni € di investimenti PNRR, Cingolani firma
Unioncamere
PNRR, imprese in ritardo: ecco come le Camere di commercio possono aiutare
I fondi
Industria 4.0: solo un’impresa su tre pronta a salire sul treno Pnrr

Articoli correlati

Articolo 1 di 2