Richiamo all’azione – Internet potrebbe diventare una zona franca militare

Qual è la differenza tra un missile nucleare ed un malware?

Non è una domanda trabocchetto – un malware può prendere il controllo di un missile, mentre un missile non può essere utilizzato per distruggere un malware. Con gli strumenti adeguati, un missile può essere dirottato da un malware ma con nessuna potenza di fuoco sarà mai possibile inibire un rogue software(falsi software di sicurezza).

A differenza delle armi tradizionali, il malware può riprodursi all’infinito. Inoltre, mentre un missile spesso può essere controllato con qualche artificio, il malware tende ad attaccare in modo indiscriminato: nessuno saprà mai in anticipo né di esserne colpito, né attraverso quali canali ed in che modo. Qualsiasi cosa può succedere attraverso le imprevedibili traiettorie del web, una volta che degli hackers abbiano lanciato un programma maligno per racimolare facilmente un po’ di denaro. E’ impossibile in questo caso prevedere quale sarà l’effetto, cosa potrebbe esserne intaccato per caso e se possa avere di riflesso anche un effetto boomerang che danneggi anche i suoi stessi creatori. L’uomo tende a commettere errori in tutto ciò che fa – e la scrittura di codici, la creazione di malware  (o altro), non fanno eccezione. Vi sono numerosi esempi di questo genere di “danni collaterali” – leggete il mio precedente post sulle sorti di Internet.

Nondimeno stiamo adesso assistendo a degli sforzi condivisi per combattere i cyber criminali.

L’industria della sicurezza informatica sta riunendo le forze contro di loro, coinvolgendo anche i pesci grossi come Microsoft. Anche diverse organizzazioni non commerciali ed intergovernative si stanno unendo alla causa. I Governi stanno iniziando ad intendere che Internet potrebbe trasformarsi in una autostrada per l’Inferno, e stanno iniziando a rispondere alla necessità di fare qualcosa al riguardo. Di conseguenza stiamo assistendo ad alcuni progressi.

Questi sono i fatti.

In primo luogo, il settore militare è impegnato in diversi Paesi nella creazione di unità cibernetiche e nel “forgiare” armi informatiche (l’esempio include: Stati Uniti, India, Regno Unito, Germania, Francia, UE, NATO, Cina, Corea del Sud e Corea del Nord).

In secondo luogo, i casi di atti di sabotaggio e di spionaggio industriale sono di dominio pubblico (vedi ad esempio i casi di Duqu e Stuxnet, attacchi di alto profilo con il supporto di governi nazionali).

In terzo luogo, le notizie in merito ad attacchi minuziosamente pianificati si stanno succedendo ad un ritmo allarmante (beh, tutti noi abbiamo un’idea di chi possano essere i cattivi ragazzi dietro queste iniziative). Un nuovo termine è stato coniato per questo: APT.

E’ fuori di dubbio che tutto questo rappresenti soltanto la punta dell’iceberg. Ogni volta che veniamo a conoscenza di un nuovo programma maligno simile a Stuxnet, si scopre che:

· Il malware “perde la sua copertura” per un errore o per caso.

· Per lungo tempo il malware ha “soggiornato” tranquillamente in giro per diverse reti ed è possibile soltanto immaginare cosa possa essere successo fino a quel momento.

· Molte delle caratteristiche tecniche del malware – e lo scopo perseguito dal suo creatore – sono ancora avvolte in congetture.

Riuscite a capire dove voglio portarvi con questo discorso?

Siamo chiaramente adagiati su della polvere da sparo ed è come se stessimo segando il ramo sul quale Internet è seduta su, mentre le infrastrutture del mondo intero sono sedute sul ramo accanto. Le azioni militari stanno progressivamente trasformando Internet in un grande campo minato. L’azionamento di un singolo tasto potrebbe scatenare un tale caos da non lasciare nessuno che non sia coinvolto. La spinta del tasto sbagliato potrebbe portare tutto ad una battuta d’arresto – non soltanto i computer. La possibile reazione a catena potrebbe inghiottire le cose tanto nel mondo reale quanto in quello virtuale – centrali nucleari, forse. Potremmo assistere alla rapida degenerazione di un conflitto di rete in uno militare. Non è un’esagerazione che ha spinto gli Stati Uniti a mettere sullo stesso piano gli attacchi degli hacker ed una invasione – hanno chiaramente inteso le possibili conseguenze. Quanto più osserviamo il fenomeno, quanto più spaventoso esso appare.

C’è di peggio. Un malware, militarizzato o non, presenta errori nel proprio codice. Una mosca che si è appoggiata sulla tastiera del programmatore, era un Venerdì sera ed il collaudatore non l’ha testato bene – può succedere qualunque cosa. Un disturbo standard in un software standard ha di solito un effetto arginabile – al massimo potrebbe crollare il sistema informatico, una turbina potrebbe fermarsi o, nel peggiore dei casi, potrebbe crollare qualcosa da qualche parte. Nel caso di un missile guidato convenzionale, potrebbe esplodere al momento sbagliato o nel posto sbagliato. Ma vista la nuova ondata di malware militari, un errore potrebbe generare conseguenze davvero catastrofiche. Cosa potrebbe succedere se il codice maligno raggiungesse non soltanto il proprio target di riferimento, ma ogni bersaglio simile in tutto il mondo? Come potrebbe distinguere tra obiettivi reali e non voluti? Se un malware fosse diretto ad una determinata centrale nucleare, ma giungesse a colpire tutte le centrali [nucleari] d’energia, cosa succederebbe? Internet non ha nessun limite mentre la maggioranza delle centrali di energia sono costruite rispondendo ad un ventaglio abbastanza ristretto di prerogative. Anche se ci fosse un solo obiettivo, il numero delle vittime potenziali sarebbe molto più grande – e provenienti da ogni parte del mondo.

Spero sinceramente con il mio discorso di non essere profetico come Cassandra, parlando di attacchi mirati a progetti industriali e di warms auto propulsivi. Mi piacerebbe MOLTO avere torto.

Questo malware militare è sostenuto da professionisti di alto livello, da generosi finanziamenti, e dall’accesso ad ingenti risorse tecniche e materiali. Senza tutto ciò, come pensate sia possibile produrre un virus come Stuxnet mirato all’attacco delle strutture nucleari iraniane? Vi sarebbe anche da discutere in merito alla golden key, attualmente la garanzia di fiducia sul web (un altro campanello d’allarme, ad ogni modo). Posso solo dire delle armi informatiche che siano pronte ed innescate, ma il futuro non appare promettente. L’intera area è fuori dal controllo della società – è quasi anarchia, e chiunque può fare quello che gli pare. Come dimostrato da Stuxnet, il paragone con missili convenzionali è già molto appropriato – un malware può raggiungere gli stessi risultati di una canonica arma militare.

Anche se, vi è una differenza.

Tutte le armi, specialmente quelle di distruzione di massa, così come la tecnologia nucleare in generale, sono più o meno controllate e regolamentate, almeno in teoria. L’ONU dispone della Atomic Energy Agency (la propria agenzia per l’energia atomica), esiste un sistema internazionale mirato al raggiungimento di accordi di non proliferazione ed il Consiglio di Sicurezza dell’ONU reagisce con forza contro qualsiasi tentativo di entrare nel cerchio delle nazioni detenenti armi nucleari (così come l’Iran ha scoperto). Di certo, politica, sotterfugi e double standards giocano tutti un ruolo in questo contesto – ma tutto ciò esula dall’idea che sto trattando qui.

E l’idea è la seguente:

Considerando che la pace e la stabilità mondiale si basano fortemente su Internet, dev’essere creata una organizzazione internazionale per il controllo delle cyber-armi. Una sorta di Agenzia Internazionale per l’Energia Atomica ma rivolta al cyberspazio. In un mondo utopico, essa si occuperebbe di creare delle leggi regolamentari da applicare al cyber-spazio sull’esempio delle strutture di sicurezza nucleare che già possediamo. In particolare, l’uso di armi informatiche dovrebbe essere considerato come un atto di aggressione internazionale ed equiparato al cyber terrorismo.

Idealmente, la strada da seguire sarebbe quella di proclamare Internet (attuale zona franca militare) una sorta di cyber-Antartide. Non sono sicuro che sia possibile il disarmo. L’opportunità è già stata perduta, gli investimenti già effettuati, le armi prodotte, ed è già reale lo spettro della paranoia. Ma le nazioni hanno bisogno almeno di raggiungere un accordo sulle regole e sui controlli in materia di armi informatiche.

Mi rendo conto che attuare questa idea non sarà affatto facile. La società considera ancora realtà virtuale i computers ed Internet, alla stregua di giocattoli che nulla hanno a che vedere con il mondo reale. Questo è completamente sbagliato! Internet è parte integrante della realtà quotidiana! Ed ho già sottolineato sopra a cosa potrebbe condurre questa convinzione. Questo argomento per diversi anni è stato oggetto di discussione ai margini del settore professionale della sicurezza. Sono semplicemente il primo a parlarne pubblicamente.

E per favore, ricordatevi della prima e più importante regola della sicurezza!

–      Non Uccidete Cassandra! Per favore! –