giugno 4, 2014
Cyber-notizie dal lato oscuro: 4 giugno 2014
Fedele alla parola data, ecco a voi la seconda “puntata” della mia serie settimanale (o più o meno settimanale) “notizie oscure dal lato cibernetico”; beh, sul titolo c’è ancora un po’ di confusione…
Il tema principale di oggi è la sicurezza delle infrastrutture critiche; in particolare, voglio parlare dei problemi e dei pericoli che le riguardano, ovvero degli attacchi a installazioni nucleari e di produzione, trasporti, centrali elettriche e ai sistemi di controllo industriale (ICS).
A dire il vero, non si tratta di notizie fresche fresche, ma risalgono alla settimana scorsa. Per fortuna non assistiamo ogni settimana a problemi di sicurezza delle infrastrutture critiche, o per lo meno non ci sono regolarmente incidenti di grande rilevanza. Probabilmente ciò dipende dal fatto che la maggior parte dei problemi vengono tenuti nascosti (una decisione comprensibile e preoccupante allo stesso tempo), oppure semplicemente non ne veniamo a conoscenza (alcuni attacchi vengono condotti in maniera molto silenziosa, cosa ancora più preoccupante).
Ebbene, vi proporrò una serie di notizie curiose affinché possiate farvi un’idea della situazione e delle tendenze attuali circa i problemi di sicurezza delle infrastrutture critiche; allo stesso tempo, vi indicherò cosa si dovrebbe fare per affrontare queste minacce.
In realtà ci sono molte ragioni per rimanere sorpresi dai problemi riguardanti le infrastrutture critiche…
Il motto degli ingegneri che sviluppano e installano sistemi ICS è: “assicurare operatività stabile e costante, tutto il resto non importa!”. Di conseguenza, se si individua una vulnerabilità nel sistema di controllo (attraverso la quale un hacker può impossessarsi dell’intero sistema), oppure se il sistema è collegato a Internet, oppure se la password è davvero (e dico sul serio) 12345678, non importa! A loro interessa soltanto che il sistema funzioni senza interruzioni, senza intoppi e a una temperatura stabile!
Tuttavia, pensandoci bene, un’interferenza di qualsiasi tipo o un tentativo di risolvere un problema di sicurezza può provocare l’interruzione del servizio, un vero e proprio dramma per gli ingegneri che si occupano di ICS. Ebbene sì, è ancora così che funziona nel mondo delle infrastrutture critiche, tutto è bianco o nero, nessuna sfumatura intermedia. O forse si nasconde solo la testa sotto la sabbia?
A settembre dello scorso anno, abbiamo impostato un honeypot, che collegavamo a Internet per simulare un sistema industriale. Il risultato? In un mese è stata violata la sua sicurezza ben 422 volte, e in molte occasioni i cybercriminali sono riusciti a infiltrarsi fino ai Controllori Logici Programmabili (PLC); uno particolarmente brillante è riuscito persino a riprogrammarli (come Stuxnet). L’esperimento dell’honeypot ha dimostrato che se un sistema di controllo industriale (ICS) è connesso a Internet, è praticamente sicuro al 100% che già dal primo giorno verrà attaccato dagli hacker e con successo. E se ciò avviene… beh, è un gran bel problema. Una catastrofe in stile film d’azione hollywoodiano. Un ICS può essere di diversi tipi e dimensioni. Vediamo vari casi.
Malware nucleare
Un modo diverso per festeggiare l’anno nuovo… Uno dei computer del centro di controllo della centrale nucleare di Monju, in Giappone, proprio durante le prime ore del 2014 è stato infettato da un malware che si è infiltrato nel sistema durante l’aggiornamento di un software libero! No, davvero, non sto scherzando. Anche a me ci è voluto del tempo per accettarlo.
Impiegati del turno di notte che utilizzano un software libero sul sistema di controllo di un REATTORE NUCLEARE? Aggiornare un programma video per far passare il tempo durante le lunghe ore del turno di notte? E soprattutto, un computer utilizzato per un compito così importante è connesso a Internet???
Diciamolo una volta per tutte: un computer industriale deve essere come un eremita: non deve avere assolutamente nessun contatto con il mondo esterno. È semplice. E ciò vale anche per le chiavette USB: ogni dispositivo rimovibile che venga in contatto con delle installazioni di così grande importanza deve essere prima analizzata con la massima attenzione. E non dimentichiamoci che Stuxnet è riuscito ad entrare nella centrale nucleare di Natanz grazie a una USB.
Sindrome di Cassandra
In un vecchio post vi ho parlato di uno scenario in stile Die Hard 4, ovvero un mix tra cose senza senso e uno scenario più o meno credibile di ciò che potrebbe accadere un giorno. Ora vi propongo una notizia che vi fa presagire cosa potrebbe avvenire nel futuro.
Un ricercatore ha trovato il tempo di verificare se fosse possibile mettere delle luci da discoteca per le strade di alcune città statunitensi, violando il sistema di controllo dei semafori.
Il report del ricercatore risulta essere abbastanza convincente e ho particolarmente apprezzato le seguenti conclusioni:
- “… non è stato difficile trovare delle vulnerabilità [nel sistema di controllo] (a dire il vero, è stato più difficile farlo funzionare a dovere, ma questa è un’altra storia”;
- “Ho persino provato a portare a termine un attacco con un drone che volava a un’altezza di circa 200 metri e ha funzionato!”;
- “Si tratta di oltre 250 clienti in 45 stati US e 10 paesi”;
- “Parlando di un’altra vulnerabilità, il venditore del prodotto ha affermato di averla risolto ogni falla nelle nuove versioni del dispositivo. Ma c’è un grosso problema, bisogna comprare un nuovo dispositivo per sostituire quello vecchio”.
Banane al gusto di cocaina
Al giorno d’oggi, praticamente qualsiasi cosa e in qualsiasi luogo è controllata da computer. E chiunque possegga un computer, corre il rischio di essere attaccato da un hacker. E se ciò è vero, uno scenario come quello di Watch_Dogs risulta sempre più realistico.
Ecco un esempio che viene dal Belgio.
I trafficanti di droga sudamericani più fantasiosi hanno aggiunto della cocaina in alcuni container che trasportavano banane. I container venivano trasportati via nave fino in Europa e custoditi in un magazzino ad Antwerp. Successivamente, gli hacker assoldati dai trafficanti prendevano le redini della situazione: grazie a un malware che permetteva loro di accedere al sistema d’accesso del magazzino, rintracciavano l’ubicazione dei container. In questo modo i contrabbandieri potevano riappropriarsi della droga prima che il commerciante di banane andasse a prendere la sua mercanzia.
Questo è un grande esempio che dimostra come al giorno d’oggi riescano a convergere il narcotraffico tradizionale e le più moderne tecniche di cybercrimine nel più generale sistema industriale.
E voi che pensate che Apple ci metta troppo tempo a pubblicare le patch? Con gli ICS va molto peggio
Il problema della sicurezza dei sistemi ICS viene esacerbata non solo dalla riluttanza degli operatori nel voler intervenire, ma anche dall’atteggiamento dei produttori e venditori di questi sistemi di sicurezza.
In ogni caso, per lo meno la situazione sta cominciando lentamente a migliorare; è già da un po’ che gli sviluppatori non negano a oltranza la presenza di un problema di sicurezza anche se sotto gli occhi di tutti. Ma per capire la vera natura del problema, vi voglio parlare del caso che ha coinvolto la RuggedCom, grande azienda che produce strumenti di rete per i settori energetico, industriale e dei trasporti, tra i tanti altri.
E il caso di cui vi parlerò non è affatto unico nel suo genere, anzi, è piuttosto comune.
All’inizio del 2011, un ricercatore ha individuato una vulnerabilità in un dispositivo RuggedCom che consentiva di reimpostare i dati di accesso dell’amministratore. Il ricercatore ha informato l’azienda chiedendo ripetutamente (per un anno di seguito!) di porre rimedio o per lo meno di consigliare agli utenti di bloccare l’accesso remoto. Ma sempre invano. È stato totalmente ignorato. Cosicché, dopo un anno, si è stufato e ha deciso di rivolgersi all’organizzazione US-CERT, rendendo pubblico il problema.
Ovviamente, nel giro di poco tempo, la vulnerabilità è stata risolta e tutti hanno potuto tirare un bel sospiro di sollievo, compreso il ricercatore (ottimo lavoro!). Il problema, però, è sempre lo stesso, ovvero che sicuramente solo metà degli utenti avrà installato la patch. Quindi, ci sono in giro ancora tanti sistemi vulnerabili.
ICS anni ’90
Per darvi un quadro ancora più chiaro su come funziona il mondo ICS, vi propongo un altro esempio.
La mattina presto del Giorno del Ringraziamento, un altro ricercatore sulla sicurezza (che non sapeva assolutamente nulla dei sistema di sicurezza per le infrastrutture critiche), ha deciso di voler testare la sicurezza di un software (in un giorno di vacanza, cos’altro può fare un ricercatore sennò?). Proprio all’ora in cui viene servito il tacchino, è praticamente impazzito; in soli sette minuti ha individuato un attacco zero-day, e altri 20 prima della fine della giornata, alcuni dei quali consentivano di far partire i codici in remoto!
Come ha detto uno dei partecipanti al Security Analysis Summit (SAS): “I sistemi ICS si trovano ancora negli anni Novanta“. Questi sistemi sono stati progettati nel secolo scorso, da persone del secolo scorso che seguivano degli standard appartenenti al secolo scorso, e nonostante ciò vengono utilizzati ancora oggi.
Se le cose dovessero andar male nel mondo della cyber sicurezza, e se i governi dovessero schiacciare quel pulsante rosso che porterebbe al caos più totale, sicuramente i sistemi ICS sarebbero i primi a essere colpiti dalla catastrofe. E verrebbe fuori la base dell’iceberg, non solo la punta. Ma sicuramente lo verremmo a sapere… beh, lo leggeremmo da qualche parte… NO! Non lo scopriremmo perché niente funzionerebbe!
Robo *.*
Sono sicuro che tra cinque anni o poco più, ci gireranno intorno droni di ogni genere, tipo e scopo.
L’annuncio dello scorso anno di Amazon circa i suoi propositi di effettuare consegne express di merce attraverso i droni ormai non è più solo una trovata pubblicitaria: i droni stanno arrivando! I problemi saranno cia dal punto di vista legale che tecnico: sarà necessario creare delle rotte speciali, introdurre nuove regole di volo, pubblicare bollettini meteo specifici, emettere licenze per utenti o case produttrici e così via.
Ma sicuramente è questa la strada che verrà percorsa. Di recente Google ha presentato le prime auto senza guidatore (il termine “automobile” è venuto fuori già un secolo fa J).
I droni stanno facendo strada anche nel settore delle infrastrutture critiche.
Da un lato, è positivo: i droni possono automatizzare molte operazioni sgradevoli, difficili da eseguire o che non generano profitti. Dall’altro lato, però, tutta queste macchine un bel giorno potrebbero bloccarsi… e lì sì che saranno guai.
E luce fu!
E per concludere, un po’ di “romanticismo”.
Dagli inizi degli anni 2000 abbiamo capito che le reti elettriche possono essere soggette ad attacchi virus, e che in fin dei conti sono vulnerabili come un computer di casa di un qualsiasi signor Rossi.
Un fotografo francese ha scattato una serie di foto curiose riunite nella raccolta “Darkened Cities” (città al buio): il fotografo ci mostra l’aspetto delle cose nell’oscurità dopo un attacco virus alla rete elettrica. Si possono ammirare metropoli come Hong Kong, New York, San Francisco, Parigi, Shanghai, San Paolo completamente al buio. Se un giorno siete a casa seduti sul divano e all’improvviso va via la corrente, non abbiate paura. Probabilmente è solo un virus o un attacco hacker. Beh, forse un po’ d’ansia inizia a salire ora…
Ormai siete già spaventati e vi nascondete sotto le coperte o dietro al divano come facevate da bambini mentre vedevate un film horror? Ma le cose sono davvero negative come sembrano e potranno anche peggiorare?
Ebbene sì, la situazione è davvero nera, sono anni ormai che siamo sull’orlo del baratro. Degli elementi chiave delle infrastrutture critiche potrebbero non funzionare più e crollare come un castello di carte. Per fortuna ci siamo noi, gli esperti di sicurezza. 🙂
Il modo per risolvere le cose non è piagnucolare e lamentarsi. Sono sicuro che verrà affrontato il problema a livello globale e, per fare ciò, bisogna seguire tre strade: innanzitutto sviluppare una nuova generazione di software, poi sviluppare una nuova architettura per le infrastrutture critiche più sicura e infine definire degli standard di sicurezza a livello nazionale e internazionale.
Se si crea una strategia compatta che segue queste tre indicazioni, quando non ci sarà luce in casa sarà solo perché si è fulminata una lampadina e nulla di più. 🙂
