CYBERNOTIZIE: CENTRALI NUCLEARI VULNERABILI E CONTROLLO CIBERNETICO

Con la presente, un rapido commento su alcune “notizie”, o piuttosto, aggiornamenti, su ciò che ripeto da anni! Odio dire “ve l’avevo detto” ma… VE L’AVEVO DETTO!

Prima cosa

(Foto a caso della) centrale nucleare di Cattenom in Francia dove, spero, sia tutto eccellente in materia di sicurezza informatica.

È da, ehm… vediamo un po’, più di 15 anni che esorto a una maggiore consapevolezza riguardo i problemi di sicurezza informatica nell’industria e nelle infrastrutture. Di recente si è assistito a un incremento nel dibattito su questo problema da parte di organismi statali, istituti di ricerca, media e opinione pubblica in giro per il mondo. Ad ogni modo, con mio grande dispiacere, sebbene se ne sia parlato molto, non sono stati fatti grandi progressi nell’agire concretamente, legalmente, diplomaticamente, e tutti gli altri avverbi. Ecco un esempio marcato che lo dimostra:

Questa settimana Chatham House, l’influente centro di ricerca britannico, ha pubblicato un report dal titolo “Sicurezza informatica negli impianti nucleari civili: comprenderne i rischi”. In effetti il titolo da solo fa venire la pelle d’oca; ma alcuni dettagli all’interno… ACCIDENTI!

Non scenderò nei particolari: potete leggere il report da soli, se avete molto tempo da perdere. In questa sede dirò che il succo del report è che il rischio di un attacco informatico agli impianti nucleari sta aumentando in tutto il mondo. Oh-Oh.

Il resoconto si basa esclusivamente su interviste ad esperti. Sì, ciò significa che non si sono serviti di alcuna basilare evidenza referenziata. Un po’ come se qualcuno provasse a spiegare il contenuto di un film erotico, senza averlo visto. Comunque, c’era da aspettarselo: questo settore, dopo tutto, è segreto ovunque.

Ora permettetemi comunque di raccontarvi il film erotico per come mi è stato descritto, leggendo il report! Almeno, fatemi esporre le sue conclusioni principali, che sono tutte, se ci pensate bene, apocalittiche:

1. L’isolamento fisico delle reti informatiche delle centrali nucleari non esiste, è un mito. (Fate attenzione, questo si basa sulle centrali esaminate, qualunque esse siano: nulla di concreto. I britannici notano che le connessioni VPN sono utilizzate di frequente nelle centrali nucleari, spesso dagli appaltatori; di solito non sono documentate – ovvero non dichiarate ufficialmente -, e a volte vengono semplicemente dimenticate mentre in realtà sono del tutto operative e pronte per essere utilizzate [leggi: abuso])

2. In rete si può trovare una lunga lista di sistemi industriali connessi a Internet tramite motori di ricerca come Shodan.

3. Ammesso che ci sia l’isolamento fisico, può comunque essere facilmente aggirato servendosi di una chiavetta USB, come in Stuxnet.

4. In tutto il mondo, l’industria dell’energia atomica non ha la benché minima intenzione di diffondere informazioni sugli incidenti informatici, rendendo difficoltoso comprendere in modo accurato la portata della situazione sulla sicurezza. Inoltre, questa industria non collabora granché con le altre, il che significa che non impara dalle proprie esperienze e competenze.

5. Per tagliare i costi, l’industria si serve sempre più di software commerciali di base, vulnerabili.

6. Molti sistemi di controllo industriale nascono già insicuri. Inoltre, installarli senza interrompere i processi che controllano è molto difficile.

7. E molto altro ancora nelle 53 pagine del report.

Questi fatti e dettagli allarmanti non sono una novità per gli specialisti della sicurezza informatica. Tuttavia, speriamo che le pubblicazioni di alto profilo come queste comincino ad apportare un cambiamento. A oggi, la cosa più importante è che tutti i rispettivi software vengano aggiornati al più presto, e che in generale, la sicurezza informatica industriale venga rinforzata fino a raggiungere un livello di garanzia – il tutto prima che si verifichi una catastrofe, non dopo.

Tra le altre cose, il report raccomanda la promozione di sistemi di controllo industriale già sicuri. Udite udite! Siamo totalmente a favore! Il nostro sistema operativo di sicurezza persegue un’iniziativa del genere. Rendere inviolabili i sistemi di controllo industriali, incluso SCADA, richiede una totale revisione dei principi di sicurezza informatica. Sfortunatamente, la strada è ancora lunga, e siamo solo all’inizio. Però, almeno abbiamo tutti ben chiara la direzione da intraprendere. Piccoli passi…

Seconda cosa

Da molti anni insisto anche sulla creazione di un accordo globale contro la guerra informatica. Sebbene ci siano segnali di una maggiore comprensione della logica che sta dietro a un tale accordo da parte dei rispettivi enti (accademici, diplomatici, governativi, organizzazioni internazionali, ecc.) vediamo pochi progressi reali verso un accordo concreto, proprio come la messa in sicurezza dei sistemi industriali. Tuttavia, almeno il controllo dello spionaggio e della guerra informatica, finalmente, è in agenda.

Foto : Michael Reynolds/EPA. Source

Per esempio, alla fine di settembre, Barack Obama and Xi Jinping hanno concordato che i loro Paesi (le due maggiori economie al mondo) non commettano più cyberspionaggio commerciale contro l’altro. Inoltre, il tema della sicurezza informatica ha dominato la loro conferenza stampa congiunta, insieme a un sacco di misure volte a rallentare il cambiamento climatico. Curiosamente, le spinose questioni di spionaggio politico e militare non sono state affatto toccate!

Dunque, questo rappresenta una svolta? Affatto!

Tuttavia, ancora una volta, questo piccolo passo va, perlomeno, nella giusta direzione. Secondo alcune voci, Pechino e Washington stanno negoziando un accordo che proibisca gli attacchi nel cyberspazio. Nell’incontro di settembre tra i due leader, il tema non è stato trattato, ma auspichiamo lo sia presto. Sarebbe un passo importante, anche se simbolico.

Di certo, in teoria tali accordi dovrebbero essere firmati da tutte le nazioni del mondo, rendendo la prospettiva di una smilitarizzazione di Internet e del cyberspazio un po’ più vicina. Sì, sarebbe lo scenario ideale, ma per adesso, non molto realistico. Continuiamo a insistere.