Reati informatici, la riforma Europea

Tanto per concludere bene la giornata questa sera incappo in una proposta di legge del parlamento Europeo che si propone di riformare la normativa comunitaria in merito ai reati informatici.
Fin qui nulla di strano, la maggior parte dei punti toccano comportamenti che rappresentano al di la di ogni ombra di dubbio reato, a parte uno:

Cyber-attack tools

The proposal also targets tools used to commit offences: the production or sale of devices such as computer programs designed for cyber-attacks, or which find a computer password by which an information system can be accessed, would constitute criminal offences.

In buona sostanza la produzione o la vendita di dispositivi e/o programmi destinati ad effettuare attacchi informatici o a trovare la password di accesso ad un computer rappresentano reato.

Il che è un po' come dire che visto che alcuni mariti ammazzano le mogli a martellate vietiamo la produzione e la vendita dei martelli.

Ma andiamo con ordine:

I tool normalmente utilizzati per compiere attacchi sono (attualmente) programmi del tutti legittimi e la maggior parte di essi sono utilizzati comunemente per scopi altrettanto legittimi quali la verifica della sicurezza di una rete e/o la diagnostica di problemi. Tanto per citare qualche esempio wireshark, tcpdump, ab (il tool di apache per fare stress test dello stesso server web) oppure sul fronte non network qualsiasi debugger (gdb?) che permetta di analizzare l'esecuzione di un eseguibile compilato.

L'utilizzo di tali strumenti è pertanto all'ordine del giorno, nonché necessario, ad un qualsiasi programmatore o amministratore di reti, sia per la diagnostica dei problemi sia per le verifiche di sicurezza.

Ma la proposta non si ferma a regolamentarne l'uso ed il possesso (cosa già di per se priva di senso), bensì ne vorrebbe vietare la vendita e sopratutto la produzione, il che mi porta a porre alcune domande:

• Come dovrebbero essere effettuate a questo punto le operazioni di diagnostica e verifica della sicurezza? Dovremmo forse rinunciare ad attività così fondamentali?
• Vietare la produzione di tali tool (nonché la vendita) cosa lascerebbe alla polizia postale ed agli informatici forensi per svolgere le loro indagini? A questo punto anche una cosa stupida come la password di Windows diventerebbe una difesa insormontabile.
• Ed una volta che avremo lasciato le aziende senza i mezzi per verificare la loro sicurezza e la polizia senza i mezzi per indagare sulle macchine sequestrate ... a che accidenti serve questa legge? Non finirebbe forse per avvantaggiare i criminali?
• Ed infine, visto che con un qualsiasi linguaggio di programmazione sarebbe estremamente facile ricreare in casa uno di questi tool, almeno nelle sue funzioni fondamentali, verranno resi illegali di conseguenza tutti i linguaggi di programmazione?