Colpa della vittima

Ogniqualvolta un inconsapevole mi domanda che cosa faccio di mestiere, metto da parte i titoli e la terminologia inglese precisa, per rispondergli in questo modo: io programmo soluzioni su Internet. Sarebbe a dire?

Oggi il designer mi ha passato una proposta grafica per il nuovo modulo di iscrizione alla newsletter, in cui l’indirizzo email va digitato due volte. Il cliente mi chiede di disabilitare la funzione di copia e incolla del browser, in modo che l’utente sia costretto a digitare l’indirizzo due volte e non possa scriverlo sbagliato, copiarlo e incollarlo includendo l’errore. Stiamo discutendo se sia il caso di aggiungere anche un CAPTCHA.

La newsletter deve partire dall’indirizzo [email protected] o magari [email protected], perché il supporto clienti non ha abbastanza personale per leggersi le risposte dei lettori; sono già sufficientemente oberati nel cercare di star dietro agli ordini del commercio elettronico. Come dargli torto.

Il sistemista deve lavorarsi DKIM e SPF. Sappiamo già che il phishing potrebbe essere un problema. Ma serve, la posta elettronica deve viaggiare, perché con certezza bisognerà lavorare bene sul recupero dell’accesso quando i clienti dimenticano la password. Ho visto le statistiche sull’uso della funzionalità nella vecchia versione del sito e so che è usata parecchio. Dipende dal fatto che questo sito richiede agli iscritti password sicure — almeno otto caratteri, almeno una maiuscola, una minuscola, una cifra e un segno di interpunzione. Immagino che questo costringa la gente a usare password decenti al posto del solito nome del cane e data di nascita dei gemelli, e così se le dimenticano.

D’altra parte

Ci penso, poi ci ripenso, e provo a guardare la cosa dal punto di vista dell’utente del sito. Quante seccature. La password complicata, il CAPTCHA, scrivere due volte la mail, fare attenzione al phishing. Tanti arzigogoli che l’utente si trova davanti e lo irritano quando vorrebbe solo arrivare a informarsi, poi chiudere in fretta e facilmente il suo acquisto online. Tutte forme di protezione (molte a vantaggio del proprietario del sito, qualcuna per proteggere il cliente stesso, che però di certo non apprezza il metodo). Nessuna di esse davvero a prova di bomba. A sito pubblicato, noi tecnici ci metteremo a parlar male degli utenti che aggirano la protezione, o non si raccapezzano davanti al CAPTCHA, o si lamentano perché loro usano Explorer 6 che col vecchio sito funzionava tanto bene e adesso chissà perché il sito nuovo non si naviga più, o forniscono la password al primo disgraziato che gli telefona e fa finta di essere un dipendente.

L’ambasciatore, anche quando porta pena, gode dell’immunità diplomatica.

È un po’ come quando certi poliziotti rozzi e incapaci squadrano la vittima di un crimine e si chiedono, o le chiedono, ma lei cosa ci faceva in quel quartiere la notte, non lo sa che è un posto malfamato? Ma andava in giro così scoperta? Ma portava con sé tutti quei soldi? Come se la colpa fosse della vittima, e non del criminale. Parla di questo atteggiamento, dal punto di vista della sicurezza informatica, nel suo blog Bruce Schneier:

Dobbiamo smetterla di cercare di aggiustare gli utenti per riparare le falle di sicurezza. Non ci riusciremo mai e la ricerca di quegli obiettivi nasconde il problema reale. Creare un sistema sicuro ma semplice non significa costringere la gente a fare quel che noi vogliamo. Significa creare un sistema sicuro che funziona partendo da quel che la gente fa, nonostante quel che la gente fa. Significa ideare soluzioni che offrono sicurezza senza imporre, come scrisse nel diciannovesimo secolo il crittografo olandese Auguste Kerckhoff, “stress o la consapevolezza di una lunga serie di regole”.

Nel mio piccolo mi sono ripromesso di non usare CAPTCHA, non chiedere due volte l’indirizzo mail e permettere di autenticarsi con la password di Facebook, Twitter o LinkedIn sui siti che progetto io. Non è facile e in alcuni particolari casi non è proprio possibile. Ma provare bisogna.