Mozilla ha presentato ieri Firefox Monitor, un nuovo servizio di sicurezza che promette di informarci tempestivamente se il nostro account è esposto a qualche nuova minaccia. Monitor controlla le informazioni pubbliche sui furti di dati e se trova una corrispondenza con i vostri account, vi avvisa.

Firefox Monitor è realizzato in collaborazione con Have I benne Powned (HIBP), e sostanzialmente ne replica il funzionamento. Quando c'è un furto di dati, con conseguente pubblicazione di indirizzi email e password, sarete informati e potrete modificare la password o agire come meglio credete. Oppure potete visitare la pagina e inserire la vostra email per scoprire se è a rischio.

"Una volta scoperto che il tuo indirizzo email è compromesso, dovresti cambiare la password su tutti i siti dove l'hai utilizzata" – comunicato ufficiale di Mozilla.

Già lo scorso giugno Mozilla aveva fornito spiegazioni sul funzionamento di Firefox Monitor, sottolineando in particolare come la ricerca tramite il database di HIBP avviene in modo tale da anonimizzare le informazioni ed evitare ogni esposizione indesiderata dell'indirizzo email.

Lo fanno usando una ricerca tramite hash, vale a dire che prima l'indirizzo viene trasformato in una sequenza di caratteri più o meno casuale (e non ripetibile) e poi inserito nel database. Tramite questo sistema Mozilla e HIBP ottengono una protezione nota come k-anonymity, sviluppata proprio per impedire che da dati strutturati su una specifica persona sia impossibile risalire alla persona stessa. O se non altro molto difficile, dato che "impossibile" quando si parla di sicurezza è sempre un termine poco credibile.

In altre parole, l'indirizzo email che inserite in Firefox Monitor non lascia mai il relativo server perché viene spedita la versione hash; anzi più precisamente una porzione di hash. Alla chiusura della pagina non resta traccia del vostro passaggio.

In caso di attacco verso Firefox Monitor, un eventuale malintenzionato potrebbe riuscire comunque a recuperare le versioni codificate degli indirizzi email. Successivamente, avendo tempo e risorse, potrebbe anche recuperare gli indirizzi email originali. A quel punto avrebbe gli indirizzi di persone che hanno usato Firefox Monitor per sapere se sono esposti a qualche rischio.

Un'informazione relativamente inutile, ma per limitare i rischi Firefox Monitor non memorizza nulla. Ogni sessione è gestita sul computer del cliente e protetta con crittografia (encrypted client session). Non è una garanzia assoluta, ma è uno sforzo notevole per proteggere un indirizzo email che probabilmente è già stato compromesso da qualche altra parte.

---