La vulnerabilità tecnologica delle moderne autovetture – e non lo dico da collezionista di veicoli d’epoca – comincia a farsi sentire anche da chi ha sempre pensato che l’elevato livello di informatizzazione non avesse sostanziali controindicazioni. Il fatto che una coppia di ricercatori (non veri e propri pirati informatici) avesse dimostrato quanto fosse facile interferire sul regolare funzionamento di una macchina prodotta da Fiat Chrysler era parso poco più di una boutade. Vedere quella Jeep comandata a distanza da due burloni sul sofà di casa sembrava curioso, forse anche divertente. Se gli spettatori di quel video, rapidamente divenuto virale su Internet, hanno trascorso qualche minuto tra lo sbalordimento e l’incredulità, c’è da dire che l’emozione più duratura è toccata in sorte alla vasta platea di acquirenti di quella tipologia di vettura.

I possessori di quel modello di Jeep hanno inizialmente provato un piccolo brivido di paura, cercando di immaginare le conseguenze di una indebita intrusione nei sistemi informatici che corredano la propria auto. Le rassicurazioni arrivate dall’azienda costruttrice e da qualche esperto che ha commentato l’azione di “brigantaggio” sembravano aver chetato ansie e timori, riducendo la preoccupazione che la connettività delle dotazioni di bordo potesse pregiudicare una normale fruizione del veicolo. I proprietari del bellissimo fuoristrada hanno rapidamente maturato la consapevolezza che le mille funzionalità hi-tech potessero incappare in qualche bricconata, ma anche hanno constatato che – tutto sommato – non c’è un hacker a ogni angolo di strada pronto a fare “dispettucci” (di tutt’altra innocuità).

La performance di “car-hijacking”, ovvero di pirateria automobilistica con tanto di dirottamenti e altre imprevedibili azioni, sembrava aver esaurito il suo effetto dopo qualche articolo di giornale o una manciata di interviste ai soliti esperti che tentavano di sottolineare come quell’episodio fosse la punta dell’iceberg. La linea dello “state tranquilli” ha rapidamente prevalso, con immensa felicità di chi con grande leggerezza si è buttato alle spalle un grattacapo non da poco. Ma qualche cliente di FCA non ha mandato giù la situazione e ha pensato bene di avviare una class action per far valere i diritti tipici dei consumatori. Nella fattispecie, la grande industria avrebbe saputo dei potenziali rischi, ma non avrebbe adottato le necessarie iniziative volte a scongiurare pericoli di sorta. Va infatti detto che le specifiche possibilità di hackeraggio erano note dal 2015 e si sapeva che il tallone d’Achille era nel sistema multimediale di intrattenimento.

Contro il procedimento, avviato su sollecitazione della non trascurabile massa di acquirenti del modello “incriminato”, l’azienda ha fatto appello alla Suprema Corte, ma i tre anni senza adottare provvedimenti e senza trovare rimedi sono pesati sulla bilancia della giustizia come la spada di Brenno. Il ricorso di FCA è stato così respinto e adesso si fanno sempre più forti le ragioni di chi ha sfidato il colosso dell’automotive in sede giudiziaria. I clienti chiedono 50mila dollari per ciascuna vettura “difettosa” e mostrano riconoscenza verso Chris Valasek e Charlie Miller che hanno scovato la micidiale vulnerabilità che permetteva a eventuali malintenzionati di acquisire indebitamente il controllo del sistema di gestione del motore e di tanti accessori. La colpa starebbe tutta nella “fragilità” del software Uconnect che permette la connessione dell’auto a Internet attraverso la rete cellulare e consente di essere online durante gli spostamenti. Nessuno dei 200mila proprietari delle vetture al centro della contesa è mai stato “hackerato” ma la circostanza non è risolutoria. La lagnanza fa perno, tra l’altro, su una suggestione perfettamente comprensibile: volendo cambiare auto, ma chi si comprerebbe una Jeep potenzialmente preda dei pirati informatici? La partita prende forma dall’oggettivo rischio di brutale deprezzamento dell’usato che per la prima volta scopriamo essere un rischio cyber.

L'articolo Connected car a rischio cyber. Comprereste un’auto hackerabile? proviene da Data Manager Online.

Non conosco McKeel Hagerty ma già mi è simpatico. È etichettato come “car enthusiast” e questo potrebbe essere sufficiente per meritare la mia stima, sentimento che giunge a livelli incontenibili non appena si scopre cosa sta combinando. Il tizio vive a Detroit e questa circostanza anagrafica è il primo indizio per avvicinarci poco alla volta al tema che stiamo per affrontare. Detroit è la capitale del mondo a quattro ruote e mister Hagerty è l’amministratore delegato della più importante compagnia assicuratrice di vetture d’epoca che ci sia negli Stati Uniti d’America. Da collezionista – e soprattutto da appassionato di veicoli vintage – non posso che provare una sorta di venerazione per un tipo così, non tanto per racimolare in futuro uno sconto sulle polizze a copertura dei rischi del mio parco macchine, ma quanto per le iniziative che McKeel Hagerty sta intraprendendo. Il signore protagonista di questa puntata della mia veterana rubrica sulle pagine di Data Manager ha avviato la campagna “Save Driving” per preservare – a tutela e vantaggio delle future generazioni – la “guida umana” delle autovetture in circolazione sulle nostre strade.

Il progetto in questione va a cozzare (ed è questa l’unica collisione in programma, state tranquilli) con il pensiero recentemente dominante dell’accelerare la corsa dell’umanità verso veicoli in grado di muoversi autonomamente senza la necessità che ci sia un essere vivente al loro volante. Il sogno di Hagerty (e non credo solo il suo) è quello di vedere persone in carne e ossa alla guida di auto condividere le strade con “robot car”, senza necessariamente cedere tale opportunità a queste ultime. Il mio amico (sono bastate poche righe per entrare virtualmente in confidenza) possiede ancora la prima auto che aveva comprato trentasette anni fa, spendendo “ben” 500 dollari. Ha una Porsche 911S del 1967 che ha restaurato con il suo papà e di cui va orgogliosissimo. Recentemente, ha fondato “The Human Driving Association” e da gennaio a oggi ha già affiliato 4000 iscritti (saranno 4001 appena finisco di scrivere l’articolo), ma dichiara di aver bisogno di almeno sei milioni di membri per avere la forza e il peso per preservare la “guida umana”.

#SaveDriving Perché preservare la cultura della guida umana? – @McKeelHagerty @Umberto_Rapetto
Click To Tweet

In un periodo storico in cui c’è chi infiamma le piazze con proclami sulla protezione di qualche razza, preferisco schierarmi con Hagerty. Mi piacciono le auto di tutti i colori e lo stesso mi capita con la gente. In particolare – e veniamo al dunque – ho sempre più solida la convinzione che il processo di robotizzazione (applicato indiscriminatamente e soprattutto senza una ponderata valutazione di impatto sociale, economica e – perché no? – di sicurezza) vada rallentato. Le considerazioni da farsi, e che in pochi stanno facendo, potrebbero avere le più ampie prospettive. Quasi fosse una lotteria parrocchiale, metto la mano nel bussolotto e prendo solo due numeretti.

Sfilato l’elastichino dal primo biglietto, leggo che c’è scritto “libertà”. Le vetture “autonome” limiteranno l’indipendenza di chi le possiede e le utilizza. Andranno (voglio essere moderno e “a la page”) a compromettere la nostra “sovranità”. Ma siccome non sono sovranista, nemmeno se di questi tempi potrebbe sempre far comodo, mi sbrigo a far scorrere via il secondo elastico e ad aprire il secondo biglietto dell’immaginaria pesca di beneficenza. Anche qui, a differenza degli incarti dei Baci Perugina, una sola parola: “Sicurezza”. A chi racconta che le “driverless car”, quelle senza conducente, sono le auto più sicure, devo rappresentare la mia diffidenza. Non sono un agnostico del progresso tecnologico, ma non riesco nemmeno ad avere un atteggiamento fideistico. Quelle vetture saranno guidate da un software che – sfruttando la più sofisticata e ridondante sensoristica di bordo – farà muovere il veicolo con le massime garanzie di affidabilità. La stessa storia l’ho sentita raccontare a proposito del mio personal computer e qualche volta ho avuto il dubbio (e la dimostrazione) che qualcosa non andasse come invece mi aspettavo. Il “blue screen” che palesa il collasso del mio stressatissimo pc e i mille bug che inquietano l’utenza non mancheranno anche sulle auto del futuro. Ma nessuno ne parla per non sembrare antiquato. Ne parleranno i nostri nipoti con altri malcapitati dal carrozziere, anche lui robot naturalmente.

L'articolo Auto autonoma? No, io autonomo proviene da Data Manager Online.

C’è poco da fare. In America sono più avanti. Anche negli arrivi degli stranieri, la selezione è molto più severa. Dalle nostre parti, per esempio, se arriva una ragazza rumena le ipotesi di impiego sono ristrette a due figure prevalenti. Le giovani donne che giungono da Bucarest, Timisoara o altre località di quella regione – inseguendo il miraggio di una vita migliore – si ritrovano spesso, loro malgrado, a esercitare il mestiere più vecchio del mondo o ad accudire le persone più anziane del Paese che le ospita.

Il sogno americano, però, sopravvive. Oltre oceano, le fanciulle che giungono dalla Romania non incontrano limiti dal destino altrove segnato irrimediabilmente. È la storia di Eveline, Eveline Cismaru. È l’avventura che dimostra che da quelle nazioni può arrivare chi infrange certi stantii stereotipi che condizionano ogni atteggiamento quotidiano e che sclerotizzano la nostra difficoltà ad aprire verso nuovi scenari. Eveline ha compiuto da poco 28 anni e il suo “personale” lascerebbe immaginare potenzialità basate sul fascino dell’Est europeo. Niente affatto: la giovane è destinata a farsi conoscere non per la sua beltà. E ci riesce clamorosamente.

Proprio in questi giorni, la sua epopea è giunta al capolinea: le sue rocambolesche azioni si sono chiuse con una rassegnata ammissione di colpa. Il suo “è vero, sono stata io” non si riferisce al piccolo furto in qualche appartamento in cui prestava servizio come badante. Non ha dato prova di destrezza in casa di qualche datore di lavoro. Non lo avrebbe mai fatto, magari per timore che qualche telecamera nascosta la potesse incastrare. Lei, infatti, di quegli aggeggi infernali ha una discreta competenza e sa bene che certi apparati di ripresa video possono essere fonte di un mare di guai.

Eveline Cismaru è stata arrestata il 15 dicembre scorso all’aeroporto di Otopeni, lo scalo di Bucarest. Era appena scesa da un volo che la riportava in patria, al ritorno non da una vacanza ma da una “missione” lavorativa. Il provvedimento restrittivo, come dicono abitualmente le cronache giudiziarie, è scattato in virtù di una corposa richiesta di metterla in manette redatta dalle autorità del District of Columbia. Gli organi investigativi americani hanno individuato, in lei e in un suo socio, la responsabilità di un incredibile attacco informatico risalente a pochi giorni prima del giuramento dell’allora neopresidente Donald Trump.

La scena del crimine – lo si sarà intuito – è Washington. Non una localizzazione vaga, Washington e basta. Non c’è un indirizzo più preciso o un quartiere circoscritto. Ed è ovvio che sia così. Eveline ha hackerato 123 delle 187 telecamere ad altissima risoluzione sparse nella città e – prima del suo intervento – adoperate dal dipartimento della Polizia metropolitana della capitale. Se l’accecamento dei dispositivi di ripresa di aree sensibili è già una prodezza degna di menzione, il bello deve ancora venire.

Eveline Cismaru e il suo connazionale venticinquenne Mihai Alexandru Isvanca hanno approfittato della breccia operata nelle misure di sicurezza, che avrebbero dovuto tutelare i sistemi di videosorveglianza, per trasformare ciascuna telecamera conquistata in una sorta di rampa di lancio. Niente paura, non c’è nessun missile nella loro vicenda: gli apparati televisivi a circuito chiuso hanno solo “sparato” messaggi di posta elettronica carichi di ransomware a 179.617 indirizzi email. Gli stessi computer della polizia erano stati infettati da varianti di “Cerber” e “Dharma” che richiedevano il pagamento di 60.800 dollari per restituire il normale controllo delle telecamere ormai nelle mani sbagliate.

La contaminazione digitale fortunatamente è stata debellata in cinque giorni, giusto in tempo per evitare sorprese nel corso della cerimonia di Trump, ma i capi di imputazione nei confronti di Eveline e Mihai Alexandru sono proporzionali alla gravità della loro pesante bricconata. Venticinque anni di reclusione non corrispondono all’happy end che loro avevano immaginato quando sono saliti sull’aereo per tornare a casa.

L'articolo Eveline e Mihai moderni Bonnie e Clide proviene da Data Manager Online.

Dopo oltre un decennio in sella al Gruppo Anticrimine Tecnologico delle Fiamme Gialle, poi diventato Nucleo Speciale Frodi Telematiche, ho rincorso (e fortunatamente acciuffato) banditi in ogni angolo del pianeta maturando una certa sensibilità agli aspetti antropologici. La fortuna della mia squadra era nella irresistibile voglia di approfondire non soltanto le tematiche tecniche, ma di cimentarci in una analisi più profonda del palcoscenico su cui eravamo prepotentemente saliti.

La presenza – tra i miei ragazzi – di qualche laureato in psicologia ci ha agevolato, ma la vera benzina che ha fatto correre i nostri motori è stata certamente la curiosità e l’insaziabile fame di apprendere sempre cose nuove. In un’epoca di “nati imparati”, di impeccabili curriculum in rigoroso formato europeo, di sedicenti “guru” o addirittura di “evangelisti”, noi eravamo quelli che sedevano all’ultimo banco, che magari facevano casino ma di sicuro non si perdevano una briciola di quel che vedevano, udivano e “sentivano” non solo con le orecchie. A dispetto dello scivolare del tempo, non sono cambiato. Drogato dalla voglia di saperne sempre di più, di non accontentarmi. Una sorta di tossicodipendenza che curo con il “metadone” dell’aggiornamento continuo, approfittando di ogni piccola occasione.

Sfogliare virtualmente il bollettino di IC3 è un’abitudine radicata. La sigla IC3 non va fraintesa con una diffusa certificazione di abilità informatiche, ma è l’acronimo di un ente governativo statunitense il cui nome completo è Internet Crime Compliant Center. Si tratta di una sorta di URP, di sportello aperto al pubblico nelle cui stanze digitali sono affissi avvisi e prospetti di indubbio interesse. Il più recente report, apparso con l’arrivo dell’estate, riguarda le frodi hi-tech da ottobre 2013 a maggio 2018. I dati, che arrivano dal Federal Bureau of Investigations, non sono affatto rassicuranti. Solo negli USA – in quello specifico arco temporale – ci sono state almeno 41.058 vittime “ufficiali” che complessivamente hanno dichiarato perdite per due miliardi e 900 milioni di dollari.

#cybersecurity Non denunciare significa diventare complici silenti @Umberto_Rapetto
Click To Tweet

Se consideriamo che anche oltre oceano la maggior parte delle persone rinuncia a denunciare “bidoni” e “pacchi” subiti online, le cifre assumono rapidamente una proporzione inquietante. A differenza di quel che accade dalle nostre parti dove non di rado le Autorità – cui ci si rivolge per segnalare un simile problema – non esitano a dissuadere l’aspirante denunciante a rassegnarsi, negli Stati Uniti è costante l’invito a singoli e a imprese a rivolgersi all’IC3, nella consapevolezza che questo genere di criminalità (e tutto sommato non solo questa) può essere sconfitta solo con una cooperazione tra cittadini e istituzioni.

La questione non riguarda esclusivamente il quisque de populo terrorizzato al solo pensiero di dover perdere ore e ore in un ufficio di polizia a dettare una denuncia faticosamente dattiloscritta dall’operatore che – a ogni tasto – commenta che “intanto non si arriverà mai a prendere questi mascalzoni”. Il vero problema è quello non “consumer”, ma “business”. Non sono soltanto il pensionato o la massaia ad arrendersi dinanzi alla presunta impossibilità di individuazione e cattura dei responsabili di una condotta illegale: i primi a tentennare sono i dirigenti d’azienda alle prese con attacchi informatici di più diversa natura.

Il comprensibile (ma non legittimo) timore di un potenziale danno di immagine o di altre riverberazioni industriali e commerciali si mescola alla ridotta fiducia nell’apparato dello Stato (e qui parliamo dell’intera macchina della Giustizia): indagini lente a dispetto della velocità del ciclo biologico della Rete, processi proiettati nel futuro con la sofferente calendarizzazione delle udienze, immancabili intoppi e ostacoli in ogni singola fase dell’iter giudiziario, irrisolvibilità delle diatribe in tema di competenza e giurisdizione, complessità dello scenario transnazionale di Internet sono i fattori che dissuadono persino i più determinati. Non denunciare significa diventare silenti complici dei nostri avversari. Non dimentichiamolo.

L'articolo I predoni contano sull’esitazione a denunciare proviene da Data Manager Online.

Le cronache che hanno preceduto l’estate sono state costellate di episodi concreti e fondati sospetti che evidenziano una crescente fragilità del contesto in cui viviamo. Mentre si parla di “cyber” – magari a bocca piena – tra una tartina e un tramezzino durante il “light lunch” di una delle miriadi di conferenze e workshop, fuori dai nostri confini (dove alla non sempre produttiva attività turistico-congressuale si predilige la ricerca e la pratica sperimentazione) il fronte digitale è presidiato e soprattutto è al centro dell’attenzione politica e imprenditoriale. Nella “terra dei cuochi”, ben più estesa di quella famigerata “dei fuochi”, il modello MasterChef ispira l’impegno nella digitalizzazione del Paese. Si va avanti con interventi di nouvelle cousine (quelli da mezza oliva taggiasca su una foglia di cappero di Favignana adagiata su un letto di purea di cipolla di Tropea…) che non possono certo sfamare appetiti di automazione troppo datati e radicati.

Ricordo le chiacchiere di Giancarlo Scatassa, storico personaggio dell’informatica nella Pubblica Amministrazione che le nuove generazioni non conoscono. Era il grand commis che alla Funzione Pubblica – Remo Gaspari regnante – predicava “devono essere i dati e i documenti che si muovono automaticamente nei meandri degli uffici e non il cittadino che deve correre per fornire ogni volta informazioni che lo Stato già ha”. Il virgolettato non è testuale, ma sintetizza un pensiero che costituiva il refrain di ogni discorso che in qualunque circostanza Scatassa era tenuto a ripetere.

Chiacchiere. Solo chiacchiere. E proprio per questo “immortali”. Un simile discorso potrebbe entusiasmare i cittadini anche trent’anni dopo la sua declamazione originaria. Era più o meno il 1988, eppure dichiarazioni del genere mantengono una attualità incommensurabile. In questo arco temporale, si sono succeduti guru e profeti del “qualcosa punto zero”, che – senza sapere di aver biecamente copiato Scatassa – non esitano ad auspicare l’iperuranio della PA perfetta, a prospettare un futuro quasi presente fatto di soli vantaggi derivanti dalle tecnologie, a tentare di far credere che siamo a un passo dalla meta. Le code agli sportelli e le cartelle pazze del Fisco sono stati per anni lo sfondo delle promesse mancate e della fiducia tradita. Fare esempi di inefficienza contemporanea sarebbe impietoso e, avendo deciso di far voto di bontà, mi astengo dal commentare raccapriccianti episodi recenti che potrebbero minare le poche aspettative residue del quisque de populo. La digitalizzazione dell’universo pubblico rappresenta un classico degli argomenti da conversazione. La cybersecurity è invece il tema caldo: nei salotti non c’è chi non ne parla simulando di “sapere l’ultima”, al pari di chi un tempo – pur di sembrare simpatico – scodellava patetiche barzellette stantie spacciandole per appena sbocciate gemme di ironia.

Nei giorni in cui si avvia il “Governo del cambiamento”, mi permetto di alzare un dito dall’ultimo banco e richiamare l’attenzione di chi sta al di là della cattedra. Innovazione tecnologica e sicurezza digitale sono un binomio inscindibile. L’auspicio è che la circostanza non venga dimenticata. La vulnerabilità di un paese comincia proprio con il disarticolato e non omogeneo processo di informatizzazione, che a sua volta è frutto di una atavica mancanza di un progetto imperativo sugli obiettivi da perseguire e sui livelli di servizio da ottenere, della sostanziale incapacità di committenza dell’apparato pubblico centrale e locale, della inammissibile insensibilità alle conseguenze cui si può andare incontro. C’è molto, forse troppo, da fare. E non ci si può permettere il lusso di aspettare ancora o – ancor peggio – di continuare a bighellonare. Non bastano una manciata di app e qualche annuncio clamoroso a risolvere la situazione.

L'articolo Innovazione nella PA: le tante, forse troppe, cose da fare proviene da Data Manager Online.

I fotogrammi di “Wargames”, mitica pellicola del lontano 1983, vanno finalmente in pensione. O almeno tocca in sorte, alla sequenza in cui il giovane protagonista si fa spedire dal preside per l’eccessiva turbolenza in classe e ne approfitta per sbirciare nell’ufficio della segreteria i codici di accesso al sistema informatico in cui venivano registrati i voti meritati in interrogazioni e compiti in classe. Chi ha i capelli bianchi (e chi non li ha più nemmeno d’argento) non fatica a ricordare che lo studente David J. Lightman (interpretato da Matthew Broderick) si collega da casa al computer della scuola, utilizzando un ormai romantico “accoppiatore acustico” e – per farsi bello con la fidanzatina – approfitta dell’accesso indebito da remoto per “rimediare” un’insufficienza che poteva compromettere la futura pagella.

L’encomiabile (si fa per dire) avventuroso percorso del ragazzotto (che poi si cimenta in ben più perigliose inerpicate telematiche fino a portare il mondo sull’orlo di un “conflitto termonucleare globale”) – oggi – è stato definitivamente dichiarato obsoleto e inutile. La sua condotta ha ispirato mille tentativi di imitazione e qualche volta è capitato di leggere sui giornali di qualche liceale che è riuscito a modificare i registri scolastici, ma nessuno avrebbe mai pensato che la situazione potesse evolvere come invece è accaduto a Concord, in California, all’inizio di maggio.

Un sedicenne – di cui non è dato conoscere il nome per l’ovvia ragione che si tratta di un minorenne – è stato arrestato dalla polizia con ben quattordici capi di accusa. L’imponente massa di imputazioni, in un’epoca in cui college e altri plessi analoghi sono teatro di sparatorie e di altre manifestazioni cruente di follia, potrebbe portare immediatamente a pensare a un serial killer o a una strage al culmine di un raptus di follia. Niente di tutto questo. Chiarito che il teenager non ha strangolato il bidello per farsi dare la chiave dell’archivio, né ha accoltellato il responsabile informatico per ottenere le credenziali del database scolastico, è lecito domandarsi perché sul caso ci sia stata necessità di avviare una operazione congiunta che ha visto impegnati tutti gli sbirri della Contea di Contra Costa e persino gli 007 dello United States Secret Service.

#cybersecurity Dopo il cane antidroga, arriva quello anti-hacker – @Umberto_Rapetto
Click To Tweet

Tutto è cominciato quando l’intera comunità didattica del distretto unificato di Mount Diablo si è trovata sommersa da una torrenziale pioggia di messaggi in posta elettronica che già a prima vista si prospettavano come sospetti. L’intera zona si è trovata al centro di una perturbazione non metereologica, ma telematica: le mail erano tutte caratterizzate dalla presenza di un link che collegava a un finto portale identico a quello ufficiale delle scuole di quell’area territoriale. Se un qualunque professore avesse mai fatto click su quel collegamento fraudolento piazzato ad arte nella corrispondenza ricevuta, il malcapitato sarebbe stato indotto a inserire il proprio account e la rispettiva password: quei due elementi, finiti in un archivio posticcio predisposto ad hoc, avrebbero garantito allo studente le chiavi per accedere in modo sistematico e duraturo al sistema informatico della scuola. La trappola ha funzionato e almeno un docente ha abboccato all’amo di questo primo caso di phishing che mirava a pescare insegnanti al posto dei soliti correntisti online.

Il birbaccione ha cambiato i voti non solo suoi ma anche di oltre una decina di compagni di studi. La cosa divertente è stato il criterio discriminatorio della manipolazione dei registri: gli amici hanno visto positivamente lievitare le proprie votazioni, mentre chi era antipatico al malfattore si è ritrovato un imprevisto abbassamento della media scolastica. Il climax della vicenda è la perquisizione domiciliare. Il protagonista del colpo di scena non è stato un “cyber-cop”, ma un elemento della squadra cinofila: è stato il cane poliziotto “Doug” a trovare la chiavetta USB con le prove del misfatto. Altro che software spia per catturare hacker e criminali.

L'articolo Dopo il cane antidroga arriva quello anti-hacker proviene da Data Manager Online.

Ci siamo. La tutela della riservatezza dei dati personali, come certe appassionanti serie televisive, inaugura la quarta stagione. Affacciatasi per la prima volta in maniera organica nel 1995 con la direttiva 95/46/CE, nel nostro Paese si è radicata con l’introduzione della L. 675/96 consolidando la sua efficacia con il successivo D. Lgs 196/2003. L’ultimo stadio del processo evolutivo in questa materia è rappresentato dal Regolamento Europeo, pubblicato il 27 aprile 2016, che il 25 maggio 2018 assume tutta l’operatività.

Lo “stargate” di fine mese è stato finora guardato con una certa indifferenza, probabilmente anche per colpa delle manovre oppressive di chi – intravedendo prospettive di business – si è improvvisato esperto di sicurezza e privacy, e ha cominciato a proporre ogni genere di soluzione. L’asfissiante susseguirsi di proposte di consulenze, servizi e formazione ha praticamente “vaccinato” i destinatari di una simile offerta commerciale. Il tentativo di spaventare gli interlocutori potenziali clienti non ha sortito effetti significativi. Il mondo pubblico e quello privato ha così continuato a rinviare, posticipare e procrastinare. La cosa più bizzarra si è verificata il 19 aprile. Quasi a materializzare le aspettative della sconfinata platea dei pigri cronici e degli “agnostici normativi”, appare sul sito web agenda digitale.eu una notizia a dir poco clamorosa.

Il Garante – secondo tale articolo – aveva varato una sorta di rinvio degli effetti del Regolamento Europeo 679/2016, comunicando che per sei mesi non sarebbero stati effettuati controlli e non sarebbero state applicate le micidiali sanzioni (si può arrivare fino a venti milioni di euro o al quattro per cento del fatturato…). L’esultazione collettiva è rimbombata in ogni angolo del Paese. I finti esperti, gli autodichiarati consulenti e i data protection officer per mancanza di prove contrarie hanno mostrato la personale soddisfazione “messaggiando” e twittando a riprova di aver già previsto una iniziativa del genere e in ossequio all’inossidabile buonsenso dell’Autorità preposta a vigilare sul settore.

#GDPR conto alla rovescia terminato. La privacy “s’ha da fare” – @Umberto_Rapetto
Click To Tweet

Sull’altro fronte le persone serie hanno immaginato si trattasse dell’ennesima bufala (immancabili nell’era delle fake news) e non si sono stupite nel vedere la repentina reazione del Garante che si è affrettato a smentire la fantomatica moratoria di sei mesi. Stavolta la privacy “s’ha da fare”, perché è impossibile eludere disposizioni normative vincolanti: nessun paese membro dell’Unione può far finta di nulla e disapplicare un disciplinare che ha dato ben due anni di tempo per mettersi in regola.

I cambiamenti di assetto ci sono stati. Le cose da fare sono (forse è più corretto dire “erano”) tante. Una di queste è stata senza dubbio dimenticata o quanto meno surclassata. È l’obbligo di “preparare” chi viene autorizzato a trattare i dati, ribadito a più riprese dal Regolamento 679 e indicato come condizione vincolante per consentire ai dipendenti di utilizzare informazioni personali nello svolgimento delle ordinarie mansioni d’ufficio.

I mutamenti avvenuti nel tempo e il recente provvedimento comunitario evidenziano l’inderogabile necessità di formare chi tratta dati personali e di garantire la più aderente rispondenza tra i comportamenti tenuti e gli adempimenti prescritti. L’esigenza di carattere didattico impone un rapido riallineamento delle competenze di tutti i dipendenti, in modo da evitare sanzioni e situazioni che possano compromettere l’immagine dell’azienda. Qualcuno pensa di cavarsela con una manciata di raccomandazioni date al volo, una paginetta di istruzioni e la firma su un modulo di “presa visione e accettazione”. Stavolta non siamo in Italia, ma in Europa. E lo standard in materia non sarà (né potrà mai essere) quello dei round precedenti.

L'articolo Data protection, il countdown è finito proviene da Data Manager Online.

A differenza di quel che accade da noi, dove si è maturata l’erronea convinzione che il tema sia di competenza dell’intelligence (non che non se ne debba occupare…), al di là della Manica ci sono segnali che l’argomento riguardi la Difesa. Proprio il Ministro preposto allo specifico dicastero in questi giorni ha ammesso di aver speso più per servizi e prodotti informatici che per armi e munizioni per le Forze Armate. La dichiarazione – contrastante il bilancio nostrano in cui spese per F35 e dintorni hanno una incidenza inequivocabile – è saltata fuori con la pubblicazione di un rapporto statistico in cui sono state riportate informazioni inerenti i costi sostenuti dal comparto militare britannico nell’ambito dei 35 miliardi di sterline che costituiscono il budget a disposizione.

A provare a far di conto, ci si accorge che nell’anno fiscale 2016/2017 le Forze Armate hanno speso solo 1 miliardo e 150 milioni di “pound” per le dotazioni “tradizionali” e hanno invece totalizzato 1,45 miliardi nel segmento ICT. Un esame attento delle cifre a disposizione evidenzia che la spesa hi-tech, con i suoi +300 milioni rispetto la voce “armi”, ha fatto un significativo balzo in avanti perché nel 2015/16 era invece inferiore di 500 milioni nei confronti delle dotazioni “classiche”. Soltanto le spese per la costruzione e la manutenzione di navi e aerei hanno scavalcato quelle per computer e reti e gli specifici costi non hanno bisogno di dissertazioni a giustificazione della relativa entità.

Senza dubbio l’investimento in tecnologie nel segmento “information and communications” non è sufficiente a regalare serenità a proposito di cybersecurity, ma costituisce un primo segnale importante. I sistemi informativi sono il tessuto connettivo di un paese, le Forze Armate il presidio a salvaguardia, i Servizi Segreti il dispositivo di tempestiva (preventiva) acquisizione di ogni dato o notizia utile a predisporre la difesa o la reazione o a suggerire una eventuale inevitabile prima mossa. Se si hanno chiari questi principi e se non si commette l’errore di mescolare i ruoli degli attori che devono salire sul palcoscenico, ci si può incamminare sul lungo e impegnativo percorso che porta alla capacità di gestire una ipotetica minaccia cibernetica.

#security Emergenza cyber. Siamo messi peggio di Achille. Le nostre “ciabattine infradito” non garantiscono protezione ai troppo vistosi talloni @Umberto_Rapetto
Click To Tweet

Il primo passo – e dovremmo averlo compiuto da tempo – è e rimane quello culturale. È imprescindibile la sensibilizzazione della classe politica, che deve comprendere la fragilità della situazione e le possibili catastrofiche conseguenze di un conflitto non poi così virtuale. È fondamentale la consapevolezza dell’apparato statale, dei gestori delle infrastrutture critiche, dell’impresa privata e dei cittadini che la condizione di belligeranza è inevitabilmente radicata e che occorre una partecipazione proattiva già nei momenti di apparente quiete.

In altri ambiti geografici, la militarizzazione della macchina a tutela del ciclo tecno-biologico nazionale è già avvenuta. La coscienza che la guerra è cominciata non è appannaggio di pochi e magari maldestri addetti ai lavori. Il management pubblico e privato di paesi come Stati Uniti, Russia e Cina ha ben chiari gli obiettivi di convergenza di risorse e idee, ben sapendo che l’ora X è già scoccata. Da noi, si dovrà superare la condizione narcolettica che non ci fa percepire l’effettiva caratura del problema. Non sono farsesche esercitazioni (analoghe alle altrettanto inutili simulazioni di evacuazione antincendio utili solo a far rincontrare in cortile qualche vecchio collega ormai trasferito ad altro piano dello stabile) o patetici “penetration test” concordati per non far danni a dare la patente di “invulnerabilità”. A voler guardare le calzature ai piedi, siamo messi peggio di Achille. Le nostre “ciabattine infradito” non garantiscono protezione ai troppo vistosi talloni.

L'articolo Cyberwar, c’è chi si prepara proviene da Data Manager Online.

Una volta ero solito vedere miei interlocutori rimuovere il coperchio posteriore del proprio cellulare, staccare la batteria e tirare un sospiro di sollievo. Mi capitava spesso quando incontravo persone ossessionate dalla paura di essere intercettate. Qualcuno aveva detto loro che questa era una valida precauzione e questo era sufficiente a garantire la serenità. Ho sempre avuto dubbi sulla reale efficacia di una simile procedura, ma non ho mai manifestato le mie perplessità in proposito a chi mi sedeva di fronte e doveva raccontarmi qualcosa di delicato. Immaginavo che una microspia poteva essere piazzata proprio nel piccolo accumulatore di energia, opportunamente farcito con i necessari componenti di microelettronica e trasformato in un minuscolo trasmettitore, finalmente libero da quel guscio che attutiva voci e rumori da catturare e spedire al curiosone di turno. Più ci pensavo, più me ne convincevo. Io avrei fatto proprio così, ma me ne guardavo bene dal dirlo.

I tempi sono cambiati, ma la fonte della nostra preoccupazione è sempre la stessa. Se i nostri lontani trisavoli esclamando “in cauda venenum” indicavano la coda come serbatoio del veleno dello scorpione, a volerne mutuare l’espressione dovremmo facilmente immaginare che il terrificante pungiglione sia nascosto nel dispositivo di telefonia mobile che portiamo sempre al seguito. Quattro ricercatori della Princeton University hanno trovato la maniera di tracciare gli spostamenti geografici di cellulari anche quando l’utente ha opportunamente disattivato sia il sistema GPS sia la connettività Wi-Fi. Arsalan Mosenia, Xiaoliang Dai, Prateek Mittal e Niraj Jha sono riusciti a dimostrare le straordinarie possibilità dell’attacco “PinMe”, immaginariamente basato su una sorta di “pinzami” o “spillami” che del tutto involontariamente gli utilizzatori di dispositivi mobili sembrano pronunciare al momento dell’attivazione dell’apparato appena acquistato. Il sorprendente metodo poggia su una serie di dati che possono essere raccolti senza consensi o autorizzazioni di sorta, informazioni che le aziende produttrici di smartphone non ritengono abbastanza delicate da meritare specifiche misure di sicurezza.

#security #privacy Siamo condannati a esser seguiti, pedinati, spiati? La spiegazione è nella nostra tasca @Umberto_Rapetto
Click To Tweet

In termini pratici, il sistema riesce a combinare e sfruttare sia dati che provengono dal dispositivo sia informazioni non riconducibili direttamente al cellulare. Il succulento “paper” redatto dal team universitario spiega che “PinMe” riesce a funzionare con le informazioni “sensory and non-sensory” che sono immagazzinate sullo smartphone. Quali dati sono in gioco? Nella categoria “non-sensory” rientrano per esempio il fuso orario e lo stato della rete, mentre nell’altra sezione ci sono la pressione atmosferica e la temperatura. Un po’ pochino, ma quel che basta per incrociare quegli elementi con quelli disponibili attraverso servizi ausiliari come le mappe altimetriche.

[amazon_link asins=’1520569912,B078LGWZKW,1593271441,151909034X,1980302863,8808521052′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’8d2166ca-30cf-11e8-a508-c14d98b9104b’]

La precisione pare reggere il confronto con quella offerta dal GPS degli smartphone di penultima generazione e quindi ci si può davvero accontentare. Naturalmente, tutto comincia con l’installazione di una app maligna che, resa appetibile per le dichiarate spettacolari funzioni, cattura l’attenzione della potenziale vittima che non esita a scaricarla da qualche store e ad attivarla. Le applicazioni per il “fitness”, per esempio, sono le più adatte per raccogliere e rendere poi disponibili una enorme quantità di dati “riutilizzabili” da chi è pronto a spiare. OpenStreetMap, Google Maps, OpenFlights e tante altre comuni applicazioni sono una cornucopia di informazioni pronte a integrare il tracciamento degli spostamenti del bersaglio.

Fermiamoci qui e proviamo a riflettere. Almeno un attimo. Se non ci importa nulla di essere seguiti da un tanto invisibile quanto indesiderato “angelo custode” – che ripercorre passo dopo passo ogni momento della nostra giornata – e non ci interessa che la privacy sia andata a farsi friggere, pensiamo a chi davvero subisce un danno da scoperte di questo genere. Cerchiamo di non essere egoisti. Avete immaginato il destino di Federica Sciarelli che vede svanire in un attimo la suspence tipica di “Chi l’ha visto?” tutti i mercoledì sera su Rai Tre?

[amazon_link asins=’1520569912,B078LGWZKW,1593271441,151909034X,1980302863,8808521052′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’8d2166ca-30cf-11e8-a508-c14d98b9104b’]

L'articolo Inutile nascondersi e spegnere il GPS proviene da Data Manager Online.

L’inizio d’anno non si è fatto certo mancare i fuochi d’artificio. Lo spettacolo pirotecnico che maggiormente rimarrà impresso nella nostra memoria è senza dubbio la vicenda dei bug nei microchip. Chi, incredulo per la notizia, ha esclamato “porco cane!” dimostra una certa conoscenza del calendario cinese, ma l’aggiunta “suina” esubera la classificazione del 2018. È cominciato in anticipo l’anno del cane, che a rigore avrebbe dovuto vedere l’alba il 16 febbraio. Il maiale arriverà nel 2019 e chissà quante altre volte l’imprecante abbinamento verrà profferto prima di allora.

La storia della “cardiopatia” dei nostri computer è una pagina triste che disincentiva qualsivoglia tentativo di scherzare in proposito e che induce a fare tutte quelle riflessioni che nel tempo abbiamo rinviato, sbuffando l’immancabile “ma figurati!” con cui si ribatteva ogni volta che si sentiva prospettare un potenziale pericolo o rischio. La traversia in questione non si ferma alla drammatica constatazione di una spiacevole vulnerabilità, né alle conseguenti considerazioni che spingono anche i più incauti a preoccuparsi.

Gli immancabili complottisti (e con loro molta gente che non crede alle scie chimiche o ad altre solenni amenità che affollano il web) non si sono lasciati sfuggire un dettaglio che la cronaca – almeno dalle nostre parti – si è guardata bene dal porre nella dovuta evidenza. Quel birbaccione di Brian Krzanich, amministratore delegato dell’azienda protagonista della debacle tecnologica, a novembre avrebbe venduto il 60 per cento delle sue azioni Intel. Ha incassato 39 milioni di dollari guadagnandone 25: sbalorditivo fiuto per le plusvalenze da non lasciarsi scappare, oppure funesto presagio di catastrofiche riverberazioni immediatamente conseguenti la possibile diffusione della notizia della falla nei microchip?

#CyberSecurity #Intel @Umberto_Rapetto L’etica è come il #microchip non si modifica @bkrunner
Click To Tweet

Il calendario non si presta ad alleggerire i sospetti dei più maligni. La breve distanza tra la fortunata cessione delle quote e la sventurata propagazione della voce che il processore esponeva gli utilizzatori di pc, tablet e smartphone a seri problemi lascia spazio ai cattivi pensieri. Che Krzanich sapesse o non sapesse, poco cambia. L’etica è come il microchip, non si modifica. L’esser per bene non prevede patch o aggiornamenti integrativi. Il problema tecnico, però, purtroppo resta. E il problema non è quello della falla appena scoperta. O almeno non è solo quello. Il vero guaio è che, dopo tanti anni a pensare a virus o bug capaci di deteriorare i nostri software, siamo costretti a fare i conti con la fragilità dell’ingrediente “ferroso”, quell’hardware che si dimostra meno duro di quanto si potesse etimologicamente immaginare.

Se un microprocessore comincia a sbagliare o si inchioda cosa succede? E se un’intera serie di chip va fuori uso contemporaneamente? E se una azienda ha l’intero “parco macchine” con il medesimo processore? E se la stessa sorte toccasse a tutte le organizzazioni pubbliche e private? Fermiamoci qui, prima che qualcuno etichetti la mia storica rubrica come “catastrofista”. La storia dei primi di gennaio non ha riguardato un computer, cento, mille o un milione, ma ha coinvolto la quasi globalità degli apparati del Globo terracqueo. Stavolta si è trattato di una sorta di bazzecola, che ha tenuto desta l’attenzione nemmeno per una settimana. E se al prossimo giro – invece di qualche grattacapo per possibili violazioni della riservatezza (questioni di tutto rispetto, non mi si fraintenda) – ci si trovasse dinanzi a una tanto spettacolare quanto drammatica paralisi sincrona di tutti i dispositivi elettronici nelle case e negli uffici, come andrebbe a finire?

Non è fantascienza e, ahinoi, è rischio conosciuto e studiato da tempo. Torneremo a parlarne, speriamo solo per accademico divertissement. Nel frattempo chi vuole entrare nell’atmosfera, cerchi in Rete la “manchurian printer”. È un incubo già preventivato, niente paura, e nel prossimo numero ne discuteremo. Buon 2018.

L'articolo Processori sotto processo. Solo loro? proviene da Data Manager Online.