ITUB20152771A1

ITUB20152771A1 - Sistema e metodo per prevenire il phishing attraverso esperienze qualitative coscienti

Info

Publication number: ITUB20152771A1
Application number: ITUB2015A002771A
Authority: IT
Inventors: Claudio Anastasio
Original assignee: Inposte It Spa; Fkm Srl; Favarin Simone; Claudio Anastasio
Priority date: 2015-08-03
Filing date: 2015-08-03
Publication date: 2017-02-03
Also published as: WO2017021896A1

Description

"SISTEMA E METODO PER PREVENIRE IL PHISHING ATTRAVERSO ESPERIENZE QUALITATIVE COSCIENTI"

DESCRIZIONE

La presente invenzione ha per oggetto un sistema e metodo per la prevenzione di attacchi informatici dove viene impiegata in qualche maniera la falsificazione dell'identità, attraverso contromisure qualitative delle esperienze coscienti - nel seguito denominato anche per brevità Sistema -, ovvero attraverso un'esperienza cosciente con una sensazione qualitativa diversa da un'altra.

Sono noti sistemi vari di prevenzione dagli attacchi di phishing (ovvero attacchi informatici ingannevoli attraverso i quali il malintenzionato cerca di ingannare la vittima convincendola a fornire informazioni personali, codici di accesso o inducendola in errore ad eseguire azioni che possono compromettere i dati personali), che forniscono , ad esempio, misure di verifica sugli indirizzi IP del server, sul nome a dominio del sito web, sull'indirizzo email, sulla presenza di connessioni sicure, ma che richiedono un'attenzione proattiva dell'utente o un'azione da eseguire da parte dell'utente per completare la verifica. Detti sistemi incapaci di restituire all'utente certezza dell'inganno senza che quest'ultimo debba eseguire un'azione di verifica, controllo o riconoscimento, tali da non poterli ritenere, allo stato attuale della tecnica, sufficientemente efficaci a riconoscere un attacco di phishing da parte di una popolazione di utenti di normale cultura e alfabetizzazione informatica.

Sono noti anche altri sistemi di protezione che fanno uso di dispositivi hardware e software, caratterizzati da un meccanismo di autenticazione dell'utente, o da un'insieme di tecniche e metodi di autenticazione, attraverso 1 'uso di sistemi o dispositivi diversi tra loro (ad esempio password OTP - One Time Password verifica SMS; etc.).

Tuttavia, anche questi ultimi, non soddisfano lo scopo del presente Sistema, rimanendo necessaria un'azione attiva e specifica da parte dell'utente, con grossi dispendi di risorse in mezzi, infrastrutture e materiali, senza tuttavia ottenere risultati difensivi sufficientemente idonei.

Sono altresì note, infine, alcune contromisure che utilizzano una barra anti-phishing specifica sui siti web, controllando 1'autenticità di ogni pagina scaricata dal sito . Anche queste risultano inefficaci contro le nuove tecniche di phishing che utilizzano "keylogging" da email ingannevoli, consentendo la navigazione sul sito originale, ma catturando i dati al momento del loro inserimento sulla tastiera; anch'esse prive di un sistema e metodo in grado di avvisare 1'utente del tentativo di phishing sin dal momento stesso della ricezione di una email ingannevole, senza che 1'utente debba verificare o controllare l'autenticità della provenienza o dell'identità della email o del sito web.

L'ultimo rapporto sulle attività di phishing realizzato dall'organizzazione internazionale "APWG" (Anti Phishing Working Group), che raggruppa una coalizione di oltre 2.000 istituzioni nel mondo, tra cui organizzazioni governative, ha stimato nel 2014 oltre 255.000 nuovi attacchi ogni giorno. Solo in Italia 1 'ultimo rapporto reso noto da Anti Phising Italia nel 2015 stima una crescita mensile di attacchi di circa il 91%.

Da un punto di vista generale, 1'obiettivo del presente trovato è di offrire ad ogni utente un'esperienza cognitiva qualitativa e univoca per sito web ed email, tale da garantire un'immediata differenza tra il sito o email ingannevole e quello originale, senza che il malintenzionato possa replicare e/o ingannare tale modalità di navigazione sul web.

Il limite, fino ad ora riscontrato, nelle tecniche, metodi e sistemi tradizionali, e in quelli più innovativi, era nell'obbligo, da parte dell'utente, di utilizzare sistemi di verifica o di autenticazione prima di procedere a qualsiasi operazione sul web.

Scopo del Sistema è quello di eliminare la verifica da parte dell'utente, inserendo elementi univoci qualitativi dell'esperienza cosciente tali da distinguere 1'inganno dall'originale.

L'originalità e ingegnosità della proposta consiste nell'aver disegnato un nuovo processo e sistema che rende uniche le pagine web del sito originale e delle email agli utenti, con elementi caratteristici noti solo all'utente e che non necessitano di una attenzione volontaria, ma che rispondono a sensazioni qualitative particolari dell'esperienza cosciente almeno in quattro proprietà fondamentali:

- Ineffabili, perché sono relativi solamente al soggetto che li esperisce, il quale non può dire agli altri come sta vedendo, gustando, odorandò, etc.

- Intrinseci, perché sono elementi semplici ed atomici, cioè non riducibili a nuli'altro. - Privati, poiché relativi al soggetto che li esperisce e pertanto non paragonabili con quelli esperiti da altri soggetti.

- Apprensibili direttamente o immediatamente nella coscienza, ovvero esperienze immediate e non inferenziali della coscienza.

Tali da rendere possibile che una serie di dati sensoriali provenienti da differenti canali periferici vengano poi unificati in una dimensione omogenea ed unitaria (1'esperienza soggettiva, appunto).

L'innovatività della proposta si sostanzia nella combinazione del tutto originale e ingegnosa dell'utilizzo di tecniche e procedimenti in parte già noti. Tale combinazione porta all'ottenimento di un risultato industriale nuovo, economicamente utile e attualmente non raggiunto con 1'impiego di uno o più elementi e mezzi isolatamente presi.

Il problema tecnico allo stato attuale dell'arte, che è alla base della presente invenzione, è di fornire un sistema e metodo che consenta, in un sistema generico di trasmissione email e in un sistema generico di pubblicazione di siti web, di restituire all'utente un'esperienza di lettura e navigazione sul web univoca, basata su una serie di dati sensoriali non replicabili, tale da poter distinguere, a semplice "percezione sensoriale", un attacco informatico ingannevole di phishing da una comunicazione o sito web originale -con riferimento alle attuali tecniche - raggiungendo i summenzionati obiettivi.

Tale problema è risolto da un nuovo Sistema che usa un metodo per la prevenzione del phishing attraverso contromisure qualitative delle esperienze coscienti, comprendente i seguenti processi (del

Sistema):

1)PREREQUISITI:

a.predisposizione di una banca dati elettronica protetta per 1'archiviazione dei dati personali degli utenti, consultabile a distanza da un generico utente e dal gestore del servizio di posta elettronica o applicazione web (denominata per brevità Repository);

b.predisposizione di un generatore elettronico casuale, elaborato con con dati volatili, di un codice rappresentativo di una percezione sensoriale visiva, oppure tattile, acustica, vestibolare o cinestesiea (denominato in sigla CSP - Coding of Sensory Perception). Ad esempio il codice colore in esadecimale per la percezione visiva; il codice Ascii (American Standard Code for Information Interchange) di un terminale Braille per la percezione tattile; un suono o nota musicale per la percezione acustica; il valore di misurazione di un movimento, della posizione e dell'ambiente attraverso accelerometro, giroscopio, magnetometro, esposimetro, barometro o geomagnetico per la percezione vestibolare; il valore di misurazione motoria di un muscolo attraverso elettrodi per la percezione cinestestesica;

c.associazione del CSP ad una denominazione testuale rappresentativa della percezione sensoriale (denominato in sigla NCSP Name of CSP);

d.associazione del CSP ad un codice numerico casuale, non direttamente derivato e/o collegato all'elaborazione del CSP o al NCSP (denominato in sigla EN - Easy Number).

2)ASSOCIAZIONE UTENTE:

a.associazione dell'utente, nel Repository, ai dati di CSP, NCSP e EN;

b.possibilità per l'utente di modificare, cambiare e/o aggiornare il CSP (attraverso una diversa codifica di una nuova percezione sensoriale), del relativo NCSP (anche di fantasia, scelto dall'utente), e del relativo numero facile da ricordare EN;

3)INTEGRAZIONE EMAIL E WEB:

a.integrazione dell 'insieme dei dati CSP, NCSP e EN collegati tra loro al singolo utente (esperienza soggettiva) in ogni messaggio di posta elettronica o pagina web del mittente il messaggio email o del titolare del sito web, sia in forma di stringa di testo sia in forma di rappresentazione sensoriale (ad esempio la rappresentazione del colore per la percezione visiva, la riproduzione di un suono o di una voce per la percezione acustica; la rotazione del testo o delle immagini per la percezione vestibolare, etc.);

Il principale vantaggio del Sistema, secondo la presente invenzione, risiede nel consentire ad ogni utente una percezione sensoriale caratteristica e univoca in ogni messaggio di posta elettronica o pagina web di navigazione, tale da rendere altamente improbabile che il malintenzionato di un messaggio ingannevole (phishing) possa conoscere e, quindi, replicare, attraverso 1'inganno, la riproduzione delle stesse informazioni sensoriali, diverse da utente a utente e comunque di volta in volta modificabili solo dall'utente stesso.

Ne consegue che tutti i sistemi di messaggistica, posta elettronica e pagine web che fanno uso di tale Sistema, offrono all'utente un efficace metodo di prevenzione contro il phishing.

La presente invenzione verrà qui di seguito descritta secondo una sua forma di realizzazione preferita, fornita a scopo esemplificativo e non limitativo.

Nell'esempio qui descritto, all'attuale stato della tecnica, per realizzare il Sistema con il metodo oggetto dell'invenzione si ricorre alla rete pubblica internet quale vettore di trasporto dei dati.

Il gestore del servizio di messaggistica o applicazione web, che per brevità nell'esempio chiameremo genericamente Gestore, integra il Sistema anche attraverso lo sviluppo di un'applicazione web internet, ad accesso protetto con autenticazione. Il Sistema consentirà agli utenti di scegliere o modificare la preferenza dei dati sensoriali caratteristici e di associarli al proprio account registrato presso il Gestore.

In testa ad ogni pagina web o messaggio di posta elettronica del Gestore il Sistema compone una barra anti-phishing dell'altezza di 50 pixel con colore di sfondo uguale al codice colore associato all'utente (percezione visiva). All 'interno della barra anti-phishing è inserita una stringa di testo che riporta il nome dell 'utente, il nome del colore scelto (che può essere anche un nome di fantasia) ed il numero facile dell'utente.

Ogni Gestore che utilizza il Sistema integrato nelle proprie applicazioni non conosce i dati di percezione sensoriale scelti dall'utente.

L'utente che utilizza applicazioni web o riceve messaggi di posta elettronica da qualsiasi Gestore che ha integrato il Sistema, troverà sempre gli stessi dati sensoriali caratteristici nei messaggi di posta elettronica e sulle pagine web del Gestore.

Al sopra descritto sistema e metodo ogni persona esperta del ramo, allo scopo di soddisfare ulteriori e contingenti esigenze, potrà apportare numerose ulteriori modifiche e varianti, tutte peraltro comprese nell'ambito di protezione della presente invenzione, quale definito dalle rivendicazioni allegate.

documento firmato elettronicamente

Claims

RIVENDICAZIONI 1.Sistema e metodo per prevenire il phishing attraverso esperienze qualitative coscienti, caratterizzato da un Sistema comprendente i seguenti processi: a.predisposizione di una banca dati elettronica protetta per 1'archiviazione dei dati personali degli utenti (denominata per brevità Repository); b.predisposizione di un generatore elettronico casuale, elaborato con con dati volatili, di un codice rappresentativo di una percezione sensoriale (denominato in sigla CSP Coding of Sensory Perception); c.associazione del CSP ad una denominazione testuale rappresentativa della percezione sensoriale (denominato in sigla NCSP Name of CSP); d.associazione del CSP ad un codice numerico casuale, non direttamente derivato e/o collegato all'elaborazione del CSP o al NCSP (denominato in sigla EN - Easy Number); e.associazione dell'utente, nel Repository, con i dati di CSP, NCSP e EN; f.possibilità per l'utente di modificare, cambiare e/o aggiornare il CSP (attraverso una diversa codifica di una nuova percezione sensoriale), del relativo NCSP (anche di fantasia, scelto dall'utente), e del relativo numero facile da ricordare EN; g.integrazione dell 'insieme dei dati CSP, NCSP e EN collegati tra loro al singolo utente (esperienza soggettiva) per ogni messaggio di posta elettronica o pagina web del mittente del messaggio email o del titolare del sito web, sia in forma di stringa di testo sia in forma di rappresentazione sensoriale (a titolo esemplificativo, ma non limitativo, la rappresentazione del colore per la percezione visiva; la riproduzione di un suono o di una voce per la percezione acustica; la rotazione del testo o delle immagini per la percezione vestibolare, etc.). 2.Sistema e metodo per prevenire il phishing attraverso esperienze qualitative coscienti, come da rivendicazione n. 1, in cui il Sistema può essere consultabile a distanza attraverso una rete, pubblica o privata, secondo un qualsiasi protocollo di trasporto dati. 3.Sistema e metodo per prevenire il phishing attraverso esperienze qualitative coscienti, come da rivendicazione n. 1, in cui il codice di percezione sensoriale CSP, di cui alla lettera (b), può essere costituito da un algoritmo di tipo irreversibile . 4.Sistema e metodo per prevenire il phishing attraverso esperienze qualitative coscienti, come da rivendicazione n. 1, in cui il codice di percezione sensoriale CSP, di cui alla lettera (b), può rappresentare la percezione visiva, oppure tattile, acustica, vestibolare o cinestesica (a titolo esemplificativo, ma non limitativo, il codice colore in esadecimale per la percezione visiva; il codice Ascii American Standard Code for Information Interchange - di un terminale Braille per la percezione tattile; nn suono o nota musicale per la percezione acustica; il valore di misurazione di un movimento, della posizione e dell'ambiente attraverso accelerometro , giroscopio , magnetometro , esposimetro, barometro o geomagnetico per la percezione vestibolare; il valore di misurazione motoria di un muscolo attraverso elettrodi per la percezione cinestestesica ). 5. Sistema e metodo per prevenire il phishing attraverso esperienze qualitative coscienti, come da rivendicazione n. 1, in cui il codice di percezione sensoriale CSP, di cui alla lettera (b), può essere un qualsiasi valore, dispositivo o strumento, in base all'evoluzione della tecnica. 6. Sistema e metodo per prevenire il phishing attraverso esperienze qualitative coscienti, come da rivendicazione n. 1, in cui il processo di integrazione, di cui alla lettera (g), può comprendere strumenti identificativi o certificativi dell 'identità di provenienza (a titolo esemplificativo, ma non limitativo, firma digitale, certificato di protezione, verifica indirizzo IP, etc.)