Google ha introdotto un nuovo tipo di prodotto appositamente progettato per proteggere la sicurezza online di un gruppo di utenti "molto piccolo". Secondo Dario Salice, Advanced Protection Product Manager di Google, la società già offre buoni strumenti per la sicurezza online che soddisfano le esigenze di miliardi di persone, ma ci sono anche rappresentanze piu’ piccole di utenti che hanno bisogno di avere a disposizione strumenti di protezione piu’ forti: a queste si rivolge il nuovo prodotto chiamato Protezione Avanzata.

Secondo la società di Mountain View, a volte anche gli utenti più attenti alla sicurezza sono vittime di truffe di phishing, soprattutto se quelle truffe di phishing sono state create individualmente per l’utente in questione. Per risolvere questo problema, Google ha lavorato al programma di protezione avanzata chiamato Advanced Protection, nato per fornire strumenti per una maggiore sicurezza, progettati per coloro che hanno un elevato rischio di attacchi di violazione del proprio account e sono disposti a perdere un po’ di comodità per avere una maggiore protezione.

Google ha spiegato di aver iniziato lo sviluppo di questo nuovo prodotto prendendo una strada insolita perché "c’è una minoranza trascurata di nostri utenti che sono ad un rischio particolarmente elevato di attacchi online mirati". La società ha dunque investito per offrire un servizio che sa già in partenza verrà utilizzato da poche persone, ma nonostante questo sa che ne è valsa la pena.

A chi si rivolge dunque il nuovo prodotto di Google? Ad esempio, ai membri dello staff di una campagna di una prossima elezione, i giornalisti che hanno bisogno di proteggere la riservatezza delle loro fonti o persone con rapporti violenti che cercano protezione.

Una volta che l’utente si è iscritto all’Advanced Protection Program, Google si impegna ad aggiornare tempestivamente la sicurezza dell’account per far fronte alle minacce emergenti: per gli iscritti al programma saranno messe a disposizione "le più forti difese che Google ha da offrire" ha garantito Salice.

Al debutto, l’Advanced Protection Program si concentra su tre difese di base: phishing, protezione dei dati più sensibili dalla condivisione accidentale, e blocco dell’accesso fraudolento all’account.

Google Advanced Protection contro il Pishing

Per quanto concerne gli attacchi di tipo phishing – truffa attraverso cui un malintenzionato cerca di ingannare la vittima convincendola a fornire informazioni personali, dati finanziari o codici di accesso, fingendosi un ente affidabile in comunicazioni come email – l’Advanced Protection di Google attiva la richiesta di utilizzare chiavi di sicurezza per l’accesso all’account.

La maggior parte delle persone ottengono il loro codice di sicurezza per l’approvazione di un accesso tramite un messaggio di testo (SMS) o tramite ua notifica sul telefono Android se hanno attiva la verifica a due fattori. Queste opzioni funzionano bene per la maggior parte delle persone e nella maggior parte dei casi, ma per una sicurezza maggiore è possibile utilizzare piccoli dispositivi USB o wireless per generare una chiave di sicurezza univoche in locale, sul dispositivo da cui si cerca di accedere: non si accede all’account Google senza il codice di sicurezza generato da una Security Key (come una apposita pennetta USB) al momento del tentativo di accesso.

Le chiavi di sicurezza USB sono da tempo considerate la versione più sicura della verifica in 2 passaggi e la migliore protezione contro la phishing: utilizzano la crittografia a chiave pubblica e le firme digitali per dimostrare a Google l’identità. Un aggressore che non dispone della chiave di protezione viene automaticamente bloccato, anche se ha la combinazione username/password dell’account che vorrebbe violare.

Stop alla condivisione accidentale dei dati sensibili

L’Advanced Protection di Google offre anche la protezione dei dati più sensibili dalla condivisione accidentale. A volte capita che le persone per sbaglio concedono ad una applicazione che ritengono affidabile ma in realtà è maligna l’accesso ai propri dati di Google. I nuovi strumenti di protezione avanzata di Google impediscono questo limitando automaticamente l’accesso completo a Gmail (servizio di posta elettronica) e a Drive (servizio di cloud storage) ad applicazioni specifiche. Inizialmente, Gmail e Drive sono le sole due app di Google che potranno beneficiare della protezione avanzata.

Protezione Avanzata contro gli accessi fraudolenti

Infine, l’Advanced Protection di Google prevede il blocco dell’accesso fraudolento all’account. Alcuni malintenzionati provano ad accedere ad un account facendo finta di essere il proprietario di quell’account a cui è stato bloccato l’accesso, richiedendo ad esempio una nuova password. Per gli utenti iscritti al programma di protezione avanzata, Google va ad attivare ulteriori passaggi per evitare l’accesso fraudolento durante il processo di recupero dei dati dell’account, inclusi ulteriori revisioni e richieste per verificare l’identità di chi sta chiedendo il ripristino dell’account, oltre a dettagli precisi sul perché è stato perso l’accesso all’account.

La protezione avanzata di Google e’ utile?

Google ha spiegato in un post nel suo blog di aver testato il programma Advanced Protection per alcune settimane. Ha fatto parte del test anche Andrew Ford Lyons, un tecnologo presso Internews, un’organizzazione internazionale senza scopo di lucro che ha sostenuto lo sviluppo di migliaia di media in tutto il mondo, secondo cui "I giornalisti, i difensori dei diritti umani, i sostenitori dell’ambiente e gli attivisti della società civile che lavorano su qualsiasi numero di questioni sensibili possono rapidamente trovarsi vittime di malintenzionati fortemente abili e altamente capaci", ha dichiarato Andrew. "Per coloro i cui lavori possono far diventare il loro profilo piu’ visibile, attivare questo [Advanced Protection] potrebbe essere un passo di prevenzione essenziale."

Chi puo’ e come si attiva la protezione avanzata di Google

Chiunque con un account Google personale può iscriversi al programma Advanced Protection, ma serve utilizzare il browser Chrome per iscriversi alla protezione avanzata perché supporta lo standard U2F per le chiavi di sicurezza (supporto che dovrebbe prossimamente essere esteso anche in altri browser). Il programma sarà esteso anche agli account di G Suite prossimamente.