Il Senatore Ron Wyden chiede a CISA e OMB di rendere obbligatorio l'uso di Encrypted Client Hello (ECH) per proteggere la privacy degli utenti che visitano siti web governativi, citando rischi per whistleblower e persone in crisi.
Il Senatore Ron Wyden ha recentemente sollecitato le principali agenzie di cybersicurezza e gestione del governo federale degli Stati Uniti, la Cybersecurity and Infrastructure Security Agency (CISA) e l'Office of Management and Budget (OMB), ad accelerare l'adozione di una tecnologia di crittografia chiamata Encrypted Client Hello (ECH). L'obiettivo è rafforzare la protezione dei dati sensibili degli utenti che interagiscono con i siti web governativi, in particolare per individui vulnerabili come whistleblower, veterani in crisi di salute mentale o persone che cercano supporto.
Sebbene la maggior parte dei siti web delle agenzie federali utilizzi già la crittografia standard (HTTPS), questa non nasconde un'informazione cruciale: il nome specifico del sito visitato dall'utente. Come evidenziato dal Senatore Wyden, questa informazione, nota come Client Hello, viene trasmessa in chiaro e può essere facilmente intercettata da hacker o attori stranieri che monitorano il traffico di rete. Questa visibilità indesiderata apre la porta a gravi rischi, tra cui l'identificazione di persone che segnalano illeciti, la profilazione di personale federale con autorizzazioni di sicurezza, il tracciamento di cittadini che cercano assistenza in situazioni di crisi e la mappatura delle interazioni tra diverse agenzie governative.
ECH è una tecnologia progettata per ovviare a questa lacuna di sicurezza. Quando un utente visita un sito web, il suo browser invia una richiesta iniziale al server. Con ECH abilitato, questa richiesta iniziale, inclusa l'identificazione del sito specifico, viene crittografata. In particolare, ECH si dimostra molto efficace quando i siti web si appoggiano a Content Delivery Network (CDN), infrastrutture che distribuiscono contenuti su larga scala. In questi scenari, ECH permette agli osservatori di vedere solo la rete CDN che eroga il servizio, ma non il sito web specifico a cui l'utente sta accedendo. Questo aggiunge un ulteriore livello di privacy e sicurezza.
Il Senatore Wyden ha identificato almeno 350 siti web federali che attualmente non beneficiano delle protezioni offerte da ECH. Tra gli esempi citati figurano un sistema di segnalazione dell'FBI che, pur supportando ECH, non lo ha ancora abilitato, e una hotline per la prevenzione del suicidio del Dipartimento per gli Affari dei Veterani che non è protetta da ECH a causa della mancata compatibilità con il provider CDN (Amazon, in questo caso). Altre agenzie che offrono servizi critici, come quelli per il personale di sicurezza nazionale o i canali per i whistleblower, sono anch'esse esposte a questi rischi.
Di fronte a questa situazione, Wyden ha formulato due raccomandazioni precise:
Queste proposte seguono un precedente appello del Senatore Wyden, risalente a luglio, che invitava le agenzie federali a dismettere l'uso di reti private virtuali (VPN) pubbliche obsolete e insicure. L'iniziativa di Wyden sottolinea l'importanza di un approccio proattivo e all'avanguardia nella protezione delle infrastrutture digitali governative e della privacy dei cittadini.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
