Intercettazione della fibra ottica: il rischio è nelle giunzioni, non nel cavo.

Un luogo comune resiste da anni: la fibra ottica sarebbe impossibile da intercettare senza tagliarla, e ogni tentativo si vedrebbe subito. È vero solo in parte. Esistono tecniche che non tagliano la fibra e che, senza un monitoraggio attivo, non lasciano alcuna traccia visibile. Il rischio reale non è nel mezzo trasmissivo: è nell’accesso fisico a giunzioni, cassette e armadi che nessuno controlla.

Il mito della fibra inviolabile.

La fibra ottica non irradia segnale come un cavo in rame, e per questo si dice spesso che «intercettarla è impossibile». Ma le tecniche di prelievo esistono da decenni e non richiedono di interrompere la trasmissione. La differenza rispetto al rame non è l’assenza di rischio: è che il rischio richiede sempre un accesso fisico diretto, non un attacco remoto.

Come si intercetta davvero una fibra.

Le tecniche documentate sono poche e note agli specialisti di rete. La più semplice è la curvatura controllata (bending): un accoppiatore a clip, reperibile in commercio, piega la fibra al raggio critico e fa uscire dal nucleo una frazione della luce, senza interrompere il collegamento. Una curvatura di questo tipo introduce tipicamente una perdita di circa 1 dB o più — misurabile, ma solo se qualcuno la sta cercando.

La seconda via è lo splitting ottico: un accoppiatore a derivazione, lo stesso componente che la raccomandazione ITU-T G.671 descrive per usi legittimi di monitoraggio, con una frazione derivata tipica tra l’1% e il 20% della potenza, preleva una copia del segnale senza tagliare la fibra. Più invasivi, e più rari perché richiedono strumentazione di precisione, il taglio a V e l’accoppiamento evanescente.

Non è teoria astratta. Nel 2003 un dispositivo di intercettazione fu trovato installato sulla rete ottica di un operatore statunitense, collegato per accedere ai dati trimestrali di un fondo di investimento prima della loro pubblicazione ufficiale. Il movente era finanziario, non geopolitico: un promemoria utile per chi pensa che il rischio riguardi solo le infrastrutture strategiche.

Il punto debole è la giunzione, non il cavo.

Nessuna di queste tecniche funziona su un cavo integro in una tratta protetta. Tutte richiedono accesso diretto alla fibra nuda: in un armadio stradale, in un pozzetto, in una cassetta di giunzione, in un patch panel di un corridoio tecnico non presidiato. È lo stesso punto che decide la qualità di una giunzione a fusione: dove si apre la fibra per lavorarla, si può anche prelevarla.

La sicurezza fisica di una rete si progetta insieme alla sua posa, non dopo. Cassette con sigilli manomissione-evidenti, armadi chiusi con registro accessi, patch panel etichettati e documentati: sono misure di cablaggio, non di reparto IT. Non a caso gli standard di cablaggio per data center (la famiglia ISO/IEC 11801-5 ed EN 50173-5) impongono organizzazione e tracciabilità degli armadi: un cablaggio disordinato è anche un cablaggio dove un giunto in più passa inosservato.

Come si rileva un tentativo.

Qui la buona notizia c’è. Ogni tecnica di prelievo introduce una perdita ottica misurabile. Se una tratta ha una baseline di attenuazione certificata — la stessa che un collaudo OTDR bidirezionale produce in fase di consegna — qualsiasi deviazione successiva è un segnale d’allarme concreto, non un’ipotesi.

Va detto con altrettanta chiarezza cosa non basta. La raccomandazione ITU-T X.805 sull’architettura di sicurezza end-to-end descrive schemi di protezione contro il taglio della fibra per inserire un tap in linea, ma quegli schemi, per stessa ammissione del testo, non rilevano un prelievo fatto tramite una porta di monitoraggio che non interrompe il collegamento. Un progetto di rete «sicuro» sulla carta può restare cieco proprio davanti alla tecnica più semplice, il bending. Il monitoraggio continuo della potenza ottica, non solo il collaudo una tantum, è il controllo che chiude questo margine.

Checklist: cosa fare.

Fate mappare, con as-built georeferenziato, ogni giunzione e cassetta della rete: sapere dove sono i giunti previsti è la prima difesa contro quelli non previsti.
Chiudete armadi e pozzetti critici con serratura e, dove il rischio lo giustifica, sigilli manomissione-evidenti sulle cassette di giunzione.
Registrate una baseline di attenuazione certificata per ogni tratta critica, con collaudo OTDR bidirezionale.
Attivate un monitoraggio continuo della potenza ottica sulle tratte che contano — dorsali, data center, collegamenti verso sedi remote — e indagate ogni variazione anomala.
Limitate l’uso di splitter e accoppiatori di monitoraggio allo stretto necessario, e documentateli come qualsiasi altro giunto.
Formate chi fa manutenzione a riconoscere segni di manomissione: cassette riaperte, sigilli rotti, curvature che non corrispondono al progetto.

Il punto.

La fibra ottica resta il mezzo più difficile da intercettare senza lasciare traccia fisica, ma «difficile» non è «impossibile», e la differenza si gioca sulla sicurezza fisica delle giunzioni, non su un firewall. Per questo certifichiamo ogni tratta con una baseline OTDR verificabile e documentiamo ogni giunto in fase di posa: senza quella base, un tentativo di prelievo passa e nessuno lo saprà mai.

Avete tratte critiche di cui non conoscete esattamente ogni giunzione, o una baseline di attenuazione che non esiste ancora? Parlatene con un tecnico: sopralluogo e preventivo gratuiti, per sapere davvero cosa passa nella vostra fibra, e chi potrebbe arrivarci.