Perché Qypher è necessario, adesso.

Le notizie di dati personali trapelati da grandi servizi non sono più, purtroppo, una rarità. Le cause indicate ripetutamente sono «password riutilizzate», «password troppo semplici» e «password rubate tramite phishing».

Questo non dipende solo dalla disattenzione degli utenti. La password, come meccanismo, richiede a una persona un segreto «lungo, complesso, diverso per ogni servizio — eppure memorizzabile». Con un numero di servizi in continua crescita, riuscirci alla perfezione è quasi impossibile. Quando una password trapela da un servizio, il danno si propaga a catena su tutti gli altri servizi in cui quella stessa password è stata riutilizzata: ecco perché tante fughe di dati finiscono per essere così gravi.

In Qypher non esiste proprio nessuna «password» che possa trapelare

Accedere con Qypher non prevede alcuna password, nessuna stringa di caratteri che una persona debba memorizzare. Si usa solo un'unica Carta Qypher con un codice QR stampato. Gli incidenti tipici delle password — «un segreto memorizzato viene rubato», «un segreto riutilizzato trapela» — semplicemente non possono verificarsi in questo design.

Naturalmente, questo non significa «con Qypher non può mai andare storto nulla». Se perdi la tua Carta Qypher, riemetterla subito disattiva immediatamente quella precedente. Ciò che conta è il design stesso: che nessuna persona debba portare con sé un segreto che causerebbe problemi se trapelasse. Approfondiremo questo modo di pensare alla sicurezza più avanti, nel quarto articolo.

Le opzioni di login social come «Accedi con Google» o «Accedi con Apple» sono un meccanismo comodo usato su molti siti. Poter accedere subito con un account già in tuo possesso è un vantaggio concreto.

Qypher non cerca di competere con questo meccanismo, ma punta a una posizione diversa. Il login social ti lega a un account su una specifica grande piattaforma. Qypher, invece, è un meccanismo di autenticazione indipendente, utilizzabile anche da chi non è membro di alcuna piattaforma in particolare, o da chi semplicemente pensa: «non voglio affidare tutte le mie informazioni identificative a un'unica azienda».

Ciò a cui Qypher tiene

• Neutralità: funziona come metodo di accesso autonomo, senza dipendere dall'account di un'azienda specifica.
• Versatilità: un'unica Carta Qypher può essere usata su più servizi tra loro indipendenti che supportano Qypher.
• Trasparenza: puoi verificare e scegliere, ogni volta, quali dati vengono trasmessi al sito in cui accedi.

Non si tratta di stabilire quale sia «migliore». Crediamo che avere più opzioni tra cui scegliere — a seconda della situazione e dei valori a cui tieni — sia positivo sia per gli utenti sia per chi gestisce i siti.

Ora che usare internet fa semplicemente parte della vita quotidiana, gli episodi in cui i bambini accedono per errore a servizi con limiti di età, o finiscono per effettuare acquisti costosi non voluti, vengono sollevati sempre più spesso come un problema sociale.

La verifica dell'età e l'autenticazione dei genitori di Qypher

Qypher verifica l'età in base a una data di nascita registrata e, per gli utenti che non hanno raggiunto una certa età, è progettato per richiedere l'autenticazione o il consenso di un genitore. Così un sito non deve mai «costruire da zero un proprio meccanismo di verifica dell'identità e dei genitori», il che rende molto più facile diffondere l'attenzione alla sicurezza dei bambini su più servizi.

Anche per i genitori diventa più facile tenere traccia dei servizi a cui il figlio accede, riducendo il rischio che finisca, senza che nessuno se ne accorga, in un luogo non adatto alla sua età.

Un unico meccanismo, per la serenità dell'intera società

Se la verifica dell'età e l'autenticazione dei genitori possono esistere come meccanismo comune, invece di essere costruite separatamente da ogni singolo servizio, l'attenzione alla protezione dei bambini potrà diffondersi molto più agevolmente in tutto il settore. Ciò a cui Qypher punta è essere il fondamento di questo circolo virtuoso.

La sola parola «è sicuro» forse non basta a tranquillizzarti. Qui spieghiamo, nel modo più semplice possibile, il modo di pensare che permette a Qypher di restare solido.

Per cominciare, non esiste alcun «segreto» che valga la pena rubare

Come accennato nel primo articolo, accedere a Qypher non prevede alcuna password che una persona debba memorizzare. Poiché semplicemente non esiste alcun «segreto» che un attaccante possa avere come bersaglio, i metodi di attacco comuni — rubare una password, indovinarla, sfruttarne il riutilizzo — non si applicano.

Anche nel peggiore dei casi, nulla viene conservato in una forma utilizzabile

Il database di Qypher non conserva mai le informazioni legate all'autenticazione in una forma reversibile all'originale. Ciò che viene conservato è solo un dato che ha subito una trasformazione a senso unico, dalla quale non si può ricalcolare l'originale. Anche le informazioni personali, come nome e indirizzo, sono conservate in forma cifrata. Così, anche se parte dei dati finisse in mani sbagliate, non potrebbe essere estratta in una forma direttamente utilizzabile.

Generazione affidata alla macchina, impossibile da indovinare

Le informazioni usate per l'accesso non vengono generate a partire da fattori prevedibili come data e ora: sono prodotte da un generatore di numeri casuali crittograficamente sicuro. Non essendo una stringa pensata da una persona, non esiste una regolarità che ne permetta l'indovinamento.

La sicurezza di Qypher non si basa sul «tenere segreto il meccanismo»: si fonda, come mostrato qui, su un design che regge anche quando viene reso pubblico. Se sei interessato ai dettagli tecnici, dai un'occhiata anche alla nostra pagina per tecnici, «Sicurezza».