Esistono poi alcuni errori che è facile commettere o miti che è bene sfatare prima di fare delle assunzioni errate a proposito della propria rete. Tenete quindi ben presente che in una rete:
Con protocolli come l'http, l'ftp, o la posta elettronica (sia pop che imap e smtp), è possibile fare uso di ``certificati'' emessi da particolari autorità (autorità che si fanno garanti della identità dell'utilizzatore del certificato) che provino l'identità del server.
In Italia purtroppo, per risparmiare qualche euro, si è instaurata la pratica di generare da sé i propri certificati senza utilizzare quelli emessi da particolari autorità anche in strutture che per dimensioni, per necessità, e per competenze tecniche dovrebbero per lo meno porsi qualche problema (parlo di università, enti pubblici, e di alcune strutture che costituiscono lo scheletro di internet in Italia). Vorrei pertanto approfittare di questo documento per evidenziare che se un certificato non è emesso da una autorità riconosciuta o da un'autorità terza di cui avete ottenuto i certificati in maniera sicura (non scaricandoli da internet), la validità del certificato stesso dovrebbe essere considerata nulla. Non ignorate quindi la finestrella di IE o Mozilla che vi si presenta davanti dicendo che il certificato del sito non è valido: chiunque potrebbe aver generato tale certificato (man 1 openssl) ed essersi messo in mezzo tra voi ed il vostro sito. Non siate tolleranti e mandate email all'amministratore di tale rete finché non avrà acquistato un valido certificato!
Protocolli di autenticazione come kerberos invece, partono dal principio che non è solo l'utente a dover provare la sua identità ma anche il server remoto. In questo caso, se il server non è chi dichiara di essere non sarà in grado di decifrare i dati dell'utente stesso.
Mettere a disposizione il codice sorgente di un determinato prodotto può quindi essere considerato come un atto di fiducia nei vostri confronti e costituire garanzia del buon operato dei programmatori coinvolti, che dimostrano di non aver nulla da nascondere né a voi ``clienti'' né ad eventuali attaccanti. Una cassaforte non dovrebbe essere considerata sicura perchè il suo meccanismo è tenuto segreto (un meccanismo si può sempre studiare), ma perchè pur rendendone pubblico il funzionamento nessuno è in grado di aprirla se non utilizzando la combinazione impostata.
Quando comprate un apparecchio come uno switch, un router o un firewall, provate a cercare sul sito del produttore le procedure indicate per il recupero delle password dimenticate: alcune volte vi verrà detto di rendere l'apparecchiatura raggiungibile tramite internet e di contattare il servizio di assistenza (non è uno scherzo). Questo dovrebbe dirla lunga sull'assenza di backdoor e sulla sicurezza del prodotto.
Infine, se la vostra preoccupazione maggiore è la sicurezza, ricordatevi che spesso questo non è l'interesse maggiore di chi vi vende un prodotto (e non sta a me ricordarvi che viviamo in un mondo dove l'economia è basata sul marketing e sulla massimizzazione dei guadagni). Non accontentatevi di belle parole o pubblicità accattivanti: se vi verrà rilasciato il codice sorgente sarete in grado di verificare in prima persona la qualità del prodotto.
Le solite raccomandazioni, ormai, credo che siano superflue: non scambiate mail con password (è molto più facile falsificare una mail che non intercettare una comunicazione), scegliete password che non siano contenute in un dizionario e che contengano caratteri maiuscoli e minuscoli, cifre e simboli, utilizzate tecnologie di firma digitale e verificate l'identità delle persone che vi richiedono informazioni sensibili, magari richiamandole per telefono o utilizzando qualche sorta di Web Of Trust.