La vulnerabilità tecnologica delle moderne autovetture – e non lo dico da collezionista di veicoli d’epoca – comincia a farsi sentire anche da chi ha sempre pensato che l’elevato livello di informatizzazione non avesse sostanziali controindicazioni. Il fatto che una coppia di ricercatori (non veri e propri pirati informatici) avesse dimostrato quanto fosse facile interferire sul regolare funzionamento di una macchina prodotta da Fiat Chrysler era parso poco più di una boutade. Vedere quella Jeep comandata a distanza da due burloni sul sofà di casa sembrava curioso, forse anche divertente. Se gli spettatori di quel video, rapidamente divenuto virale su Internet, hanno trascorso qualche minuto tra lo sbalordimento e l’incredulità, c’è da dire che l’emozione più duratura è toccata in sorte alla vasta platea di acquirenti di quella tipologia di vettura.

I possessori di quel modello di Jeep hanno inizialmente provato un piccolo brivido di paura, cercando di immaginare le conseguenze di una indebita intrusione nei sistemi informatici che corredano la propria auto. Le rassicurazioni arrivate dall’azienda costruttrice e da qualche esperto che ha commentato l’azione di “brigantaggio” sembravano aver chetato ansie e timori, riducendo la preoccupazione che la connettività delle dotazioni di bordo potesse pregiudicare una normale fruizione del veicolo. I proprietari del bellissimo fuoristrada hanno rapidamente maturato la consapevolezza che le mille funzionalità hi-tech potessero incappare in qualche bricconata, ma anche hanno constatato che – tutto sommato – non c’è un hacker a ogni angolo di strada pronto a fare “dispettucci” (di tutt’altra innocuità).

La performance di “car-hijacking”, ovvero di pirateria automobilistica con tanto di dirottamenti e altre imprevedibili azioni, sembrava aver esaurito il suo effetto dopo qualche articolo di giornale o una manciata di interviste ai soliti esperti che tentavano di sottolineare come quell’episodio fosse la punta dell’iceberg. La linea dello “state tranquilli” ha rapidamente prevalso, con immensa felicità di chi con grande leggerezza si è buttato alle spalle un grattacapo non da poco. Ma qualche cliente di FCA non ha mandato giù la situazione e ha pensato bene di avviare una class action per far valere i diritti tipici dei consumatori. Nella fattispecie, la grande industria avrebbe saputo dei potenziali rischi, ma non avrebbe adottato le necessarie iniziative volte a scongiurare pericoli di sorta. Va infatti detto che le specifiche possibilità di hackeraggio erano note dal 2015 e si sapeva che il tallone d’Achille era nel sistema multimediale di intrattenimento.

Contro il procedimento, avviato su sollecitazione della non trascurabile massa di acquirenti del modello “incriminato”, l’azienda ha fatto appello alla Suprema Corte, ma i tre anni senza adottare provvedimenti e senza trovare rimedi sono pesati sulla bilancia della giustizia come la spada di Brenno. Il ricorso di FCA è stato così respinto e adesso si fanno sempre più forti le ragioni di chi ha sfidato il colosso dell’automotive in sede giudiziaria. I clienti chiedono 50mila dollari per ciascuna vettura “difettosa” e mostrano riconoscenza verso Chris Valasek e Charlie Miller che hanno scovato la micidiale vulnerabilità che permetteva a eventuali malintenzionati di acquisire indebitamente il controllo del sistema di gestione del motore e di tanti accessori. La colpa starebbe tutta nella “fragilità” del software Uconnect che permette la connessione dell’auto a Internet attraverso la rete cellulare e consente di essere online durante gli spostamenti. Nessuno dei 200mila proprietari delle vetture al centro della contesa è mai stato “hackerato” ma la circostanza non è risolutoria. La lagnanza fa perno, tra l’altro, su una suggestione perfettamente comprensibile: volendo cambiare auto, ma chi si comprerebbe una Jeep potenzialmente preda dei pirati informatici? La partita prende forma dall’oggettivo rischio di brutale deprezzamento dell’usato che per la prima volta scopriamo essere un rischio cyber.

L'articolo Connected car a rischio cyber. Comprereste un’auto hackerabile? proviene da Data Manager Online.

Non conosco McKeel Hagerty ma già mi è simpatico. È etichettato come “car enthusiast” e questo potrebbe essere sufficiente per meritare la mia stima, sentimento che giunge a livelli incontenibili non appena si scopre cosa sta combinando. Il tizio vive a Detroit e questa circostanza anagrafica è il primo indizio per avvicinarci poco alla volta al tema che stiamo per affrontare. Detroit è la capitale del mondo a quattro ruote e mister Hagerty è l’amministratore delegato della più importante compagnia assicuratrice di vetture d’epoca che ci sia negli Stati Uniti d’America. Da collezionista – e soprattutto da appassionato di veicoli vintage – non posso che provare una sorta di venerazione per un tipo così, non tanto per racimolare in futuro uno sconto sulle polizze a copertura dei rischi del mio parco macchine, ma quanto per le iniziative che McKeel Hagerty sta intraprendendo. Il signore protagonista di questa puntata della mia veterana rubrica sulle pagine di Data Manager ha avviato la campagna “Save Driving” per preservare – a tutela e vantaggio delle future generazioni – la “guida umana” delle autovetture in circolazione sulle nostre strade.

Il progetto in questione va a cozzare (ed è questa l’unica collisione in programma, state tranquilli) con il pensiero recentemente dominante dell’accelerare la corsa dell’umanità verso veicoli in grado di muoversi autonomamente senza la necessità che ci sia un essere vivente al loro volante. Il sogno di Hagerty (e non credo solo il suo) è quello di vedere persone in carne e ossa alla guida di auto condividere le strade con “robot car”, senza necessariamente cedere tale opportunità a queste ultime. Il mio amico (sono bastate poche righe per entrare virtualmente in confidenza) possiede ancora la prima auto che aveva comprato trentasette anni fa, spendendo “ben” 500 dollari. Ha una Porsche 911S del 1967 che ha restaurato con il suo papà e di cui va orgogliosissimo. Recentemente, ha fondato “The Human Driving Association” e da gennaio a oggi ha già affiliato 4000 iscritti (saranno 4001 appena finisco di scrivere l’articolo), ma dichiara di aver bisogno di almeno sei milioni di membri per avere la forza e il peso per preservare la “guida umana”.

#SaveDriving Perché preservare la cultura della guida umana? – @McKeelHagerty @Umberto_Rapetto
Click To Tweet

In un periodo storico in cui c’è chi infiamma le piazze con proclami sulla protezione di qualche razza, preferisco schierarmi con Hagerty. Mi piacciono le auto di tutti i colori e lo stesso mi capita con la gente. In particolare – e veniamo al dunque – ho sempre più solida la convinzione che il processo di robotizzazione (applicato indiscriminatamente e soprattutto senza una ponderata valutazione di impatto sociale, economica e – perché no? – di sicurezza) vada rallentato. Le considerazioni da farsi, e che in pochi stanno facendo, potrebbero avere le più ampie prospettive. Quasi fosse una lotteria parrocchiale, metto la mano nel bussolotto e prendo solo due numeretti.

Sfilato l’elastichino dal primo biglietto, leggo che c’è scritto “libertà”. Le vetture “autonome” limiteranno l’indipendenza di chi le possiede e le utilizza. Andranno (voglio essere moderno e “a la page”) a compromettere la nostra “sovranità”. Ma siccome non sono sovranista, nemmeno se di questi tempi potrebbe sempre far comodo, mi sbrigo a far scorrere via il secondo elastico e ad aprire il secondo biglietto dell’immaginaria pesca di beneficenza. Anche qui, a differenza degli incarti dei Baci Perugina, una sola parola: “Sicurezza”. A chi racconta che le “driverless car”, quelle senza conducente, sono le auto più sicure, devo rappresentare la mia diffidenza. Non sono un agnostico del progresso tecnologico, ma non riesco nemmeno ad avere un atteggiamento fideistico. Quelle vetture saranno guidate da un software che – sfruttando la più sofisticata e ridondante sensoristica di bordo – farà muovere il veicolo con le massime garanzie di affidabilità. La stessa storia l’ho sentita raccontare a proposito del mio personal computer e qualche volta ho avuto il dubbio (e la dimostrazione) che qualcosa non andasse come invece mi aspettavo. Il “blue screen” che palesa il collasso del mio stressatissimo pc e i mille bug che inquietano l’utenza non mancheranno anche sulle auto del futuro. Ma nessuno ne parla per non sembrare antiquato. Ne parleranno i nostri nipoti con altri malcapitati dal carrozziere, anche lui robot naturalmente.

L'articolo Auto autonoma? No, io autonomo proviene da Data Manager Online.

I fotogrammi di “Wargames”, mitica pellicola del lontano 1983, vanno finalmente in pensione. O almeno tocca in sorte, alla sequenza in cui il giovane protagonista si fa spedire dal preside per l’eccessiva turbolenza in classe e ne approfitta per sbirciare nell’ufficio della segreteria i codici di accesso al sistema informatico in cui venivano registrati i voti meritati in interrogazioni e compiti in classe. Chi ha i capelli bianchi (e chi non li ha più nemmeno d’argento) non fatica a ricordare che lo studente David J. Lightman (interpretato da Matthew Broderick) si collega da casa al computer della scuola, utilizzando un ormai romantico “accoppiatore acustico” e – per farsi bello con la fidanzatina – approfitta dell’accesso indebito da remoto per “rimediare” un’insufficienza che poteva compromettere la futura pagella.

L’encomiabile (si fa per dire) avventuroso percorso del ragazzotto (che poi si cimenta in ben più perigliose inerpicate telematiche fino a portare il mondo sull’orlo di un “conflitto termonucleare globale”) – oggi – è stato definitivamente dichiarato obsoleto e inutile. La sua condotta ha ispirato mille tentativi di imitazione e qualche volta è capitato di leggere sui giornali di qualche liceale che è riuscito a modificare i registri scolastici, ma nessuno avrebbe mai pensato che la situazione potesse evolvere come invece è accaduto a Concord, in California, all’inizio di maggio.

Un sedicenne – di cui non è dato conoscere il nome per l’ovvia ragione che si tratta di un minorenne – è stato arrestato dalla polizia con ben quattordici capi di accusa. L’imponente massa di imputazioni, in un’epoca in cui college e altri plessi analoghi sono teatro di sparatorie e di altre manifestazioni cruente di follia, potrebbe portare immediatamente a pensare a un serial killer o a una strage al culmine di un raptus di follia. Niente di tutto questo. Chiarito che il teenager non ha strangolato il bidello per farsi dare la chiave dell’archivio, né ha accoltellato il responsabile informatico per ottenere le credenziali del database scolastico, è lecito domandarsi perché sul caso ci sia stata necessità di avviare una operazione congiunta che ha visto impegnati tutti gli sbirri della Contea di Contra Costa e persino gli 007 dello United States Secret Service.

#cybersecurity Dopo il cane antidroga, arriva quello anti-hacker – @Umberto_Rapetto
Click To Tweet

Tutto è cominciato quando l’intera comunità didattica del distretto unificato di Mount Diablo si è trovata sommersa da una torrenziale pioggia di messaggi in posta elettronica che già a prima vista si prospettavano come sospetti. L’intera zona si è trovata al centro di una perturbazione non metereologica, ma telematica: le mail erano tutte caratterizzate dalla presenza di un link che collegava a un finto portale identico a quello ufficiale delle scuole di quell’area territoriale. Se un qualunque professore avesse mai fatto click su quel collegamento fraudolento piazzato ad arte nella corrispondenza ricevuta, il malcapitato sarebbe stato indotto a inserire il proprio account e la rispettiva password: quei due elementi, finiti in un archivio posticcio predisposto ad hoc, avrebbero garantito allo studente le chiavi per accedere in modo sistematico e duraturo al sistema informatico della scuola. La trappola ha funzionato e almeno un docente ha abboccato all’amo di questo primo caso di phishing che mirava a pescare insegnanti al posto dei soliti correntisti online.

Il birbaccione ha cambiato i voti non solo suoi ma anche di oltre una decina di compagni di studi. La cosa divertente è stato il criterio discriminatorio della manipolazione dei registri: gli amici hanno visto positivamente lievitare le proprie votazioni, mentre chi era antipatico al malfattore si è ritrovato un imprevisto abbassamento della media scolastica. Il climax della vicenda è la perquisizione domiciliare. Il protagonista del colpo di scena non è stato un “cyber-cop”, ma un elemento della squadra cinofila: è stato il cane poliziotto “Doug” a trovare la chiavetta USB con le prove del misfatto. Altro che software spia per catturare hacker e criminali.

L'articolo Dopo il cane antidroga arriva quello anti-hacker proviene da Data Manager Online.

Libraesva, società italiana leader nella fornitura di soluzioni avanzate di email security, ha accolto lo scorso 18 maggio i propri Partner nella storica cornice del Museo Nicolis a Villafranca di Verona in un evento che puntava a mettere in rilievo l’importanza dell’ingegno umano, alla base di ogni innovazione tecnologica e di visione.

Immersi tra collezioni di auto e moto d’epoca, biciclette, strumenti musicali, piccoli velivoli, macchine fotografiche e da scrivere e oggetti inediti, frutto del talento più alto dell’essere umano nel corso della storia, Libraesva ha presentato agli ospiti convenuti lo stato dell’arte della sicurezza email e delle attività di prossimo sviluppo per la tutela degli utenti e delle aziende.

Dopo avere presentato e argomentato i dati raccolti nel corso dello scorso anno e analizzati per il Report del Clusit 2018, la società ha illustrato i nuovi canali di business e commerciali che ha aperto nel Regno Unito e in Turchia volti ad agevolare l’instaurarsi di nuove relazioni con aziende attive nelle aree APAC e MENA oltre che negli Stati EMEA.

Rodolfo Saccani, Security R&D Manager in Libraesva, ha trattato delle tematiche strutturali che stanno coinvolgendo il settore dell’IT security e non solo. Tra questi, il GDPR e le richieste che pone alle aziende in materia di trattamento dei dati e della privacy. Un tema che per Libraesva è ‘acqua passata’ in quanto vi adempie da oltre dieci anni. “Sono procedure che chiunque avrebbe dovuto adottare in azienda, senza attendere una normativa europea. Per noi si tratta di semplice buon senso: la sicurezza richiede un alto livello di attenzione nei confronti di ogni singolo dato, della sua provenienza e destinazione. Era imprescindibile per una realtà come la nostra non avere procedure interne pienamente rispondenti alle attese di tutela e garanzia dei nostri clienti”.

Il Generale Umberto Rapetto, ospite alla giornata di lavori, ha portato al pubblico in sala diversi spunti di riflessione in materia di sicurezza informatica. “L’entusiasmo per la celerità, l’efficacia e l’economicità della posta elettronica deve essere riequilibrato con l’acquisizione della consapevolezza che quel magico strumento può essere foriero di brutte sorprese. Gli attacchi criminali molto sovente sfruttano proprio questo fondamentale canale di comunicazione per veicolare infezioni informatiche, per recapitare cavalli di Troia, per innescare lo scippo di informazioni riservate, per danneggiare archivi e procedure. E’ prioritario blindare la propria mail, avendo cura di aggiornare costantemente le proprie difese per riconoscere la corrispondenza lecita ed evitare messaggi malevoli che possono compromettere le attività industriali, professionali e personali”.

Paolo Frizzi, Ceo & Founder di Libraesva ha commentato la giornata di evento dicendosi soddisfatto del percorso fatto fino ad oggi e dichiarando “L’appuntamento con i Partner Libraesva è per noi una conferma che si rinnova di anno in anno dell’importanza di creare tutti insieme una cultura della sicurezza informatica, che si basi su presupposti di collaborazione e condivisione perché l’evoluzione degli attacchi informatici non ci trovi impreparati. Le buone pratiche che abbiamo oggi presentato sono esito del lavoro svolto in sinergia con ogni Partner e con le aziende Clienti, che come noi credono nell’importanza della prevenzione dai danni derivanti da un crimine informatico geograficamente diffuso e che non accenna a diminuire”.

L'articolo Libraesva rinnova l’appuntamento con la sicurezza proviene da Data Manager Online.

Ci siamo. La tutela della riservatezza dei dati personali, come certe appassionanti serie televisive, inaugura la quarta stagione. Affacciatasi per la prima volta in maniera organica nel 1995 con la direttiva 95/46/CE, nel nostro Paese si è radicata con l’introduzione della L. 675/96 consolidando la sua efficacia con il successivo D. Lgs 196/2003. L’ultimo stadio del processo evolutivo in questa materia è rappresentato dal Regolamento Europeo, pubblicato il 27 aprile 2016, che il 25 maggio 2018 assume tutta l’operatività.

Lo “stargate” di fine mese è stato finora guardato con una certa indifferenza, probabilmente anche per colpa delle manovre oppressive di chi – intravedendo prospettive di business – si è improvvisato esperto di sicurezza e privacy, e ha cominciato a proporre ogni genere di soluzione. L’asfissiante susseguirsi di proposte di consulenze, servizi e formazione ha praticamente “vaccinato” i destinatari di una simile offerta commerciale. Il tentativo di spaventare gli interlocutori potenziali clienti non ha sortito effetti significativi. Il mondo pubblico e quello privato ha così continuato a rinviare, posticipare e procrastinare. La cosa più bizzarra si è verificata il 19 aprile. Quasi a materializzare le aspettative della sconfinata platea dei pigri cronici e degli “agnostici normativi”, appare sul sito web agenda digitale.eu una notizia a dir poco clamorosa.

Il Garante – secondo tale articolo – aveva varato una sorta di rinvio degli effetti del Regolamento Europeo 679/2016, comunicando che per sei mesi non sarebbero stati effettuati controlli e non sarebbero state applicate le micidiali sanzioni (si può arrivare fino a venti milioni di euro o al quattro per cento del fatturato…). L’esultazione collettiva è rimbombata in ogni angolo del Paese. I finti esperti, gli autodichiarati consulenti e i data protection officer per mancanza di prove contrarie hanno mostrato la personale soddisfazione “messaggiando” e twittando a riprova di aver già previsto una iniziativa del genere e in ossequio all’inossidabile buonsenso dell’Autorità preposta a vigilare sul settore.

#GDPR conto alla rovescia terminato. La privacy “s’ha da fare” – @Umberto_Rapetto
Click To Tweet

Sull’altro fronte le persone serie hanno immaginato si trattasse dell’ennesima bufala (immancabili nell’era delle fake news) e non si sono stupite nel vedere la repentina reazione del Garante che si è affrettato a smentire la fantomatica moratoria di sei mesi. Stavolta la privacy “s’ha da fare”, perché è impossibile eludere disposizioni normative vincolanti: nessun paese membro dell’Unione può far finta di nulla e disapplicare un disciplinare che ha dato ben due anni di tempo per mettersi in regola.

I cambiamenti di assetto ci sono stati. Le cose da fare sono (forse è più corretto dire “erano”) tante. Una di queste è stata senza dubbio dimenticata o quanto meno surclassata. È l’obbligo di “preparare” chi viene autorizzato a trattare i dati, ribadito a più riprese dal Regolamento 679 e indicato come condizione vincolante per consentire ai dipendenti di utilizzare informazioni personali nello svolgimento delle ordinarie mansioni d’ufficio.

I mutamenti avvenuti nel tempo e il recente provvedimento comunitario evidenziano l’inderogabile necessità di formare chi tratta dati personali e di garantire la più aderente rispondenza tra i comportamenti tenuti e gli adempimenti prescritti. L’esigenza di carattere didattico impone un rapido riallineamento delle competenze di tutti i dipendenti, in modo da evitare sanzioni e situazioni che possano compromettere l’immagine dell’azienda. Qualcuno pensa di cavarsela con una manciata di raccomandazioni date al volo, una paginetta di istruzioni e la firma su un modulo di “presa visione e accettazione”. Stavolta non siamo in Italia, ma in Europa. E lo standard in materia non sarà (né potrà mai essere) quello dei round precedenti.

L'articolo Data protection, il countdown è finito proviene da Data Manager Online.

A differenza di quel che accade da noi, dove si è maturata l’erronea convinzione che il tema sia di competenza dell’intelligence (non che non se ne debba occupare…), al di là della Manica ci sono segnali che l’argomento riguardi la Difesa. Proprio il Ministro preposto allo specifico dicastero in questi giorni ha ammesso di aver speso più per servizi e prodotti informatici che per armi e munizioni per le Forze Armate. La dichiarazione – contrastante il bilancio nostrano in cui spese per F35 e dintorni hanno una incidenza inequivocabile – è saltata fuori con la pubblicazione di un rapporto statistico in cui sono state riportate informazioni inerenti i costi sostenuti dal comparto militare britannico nell’ambito dei 35 miliardi di sterline che costituiscono il budget a disposizione.

A provare a far di conto, ci si accorge che nell’anno fiscale 2016/2017 le Forze Armate hanno speso solo 1 miliardo e 150 milioni di “pound” per le dotazioni “tradizionali” e hanno invece totalizzato 1,45 miliardi nel segmento ICT. Un esame attento delle cifre a disposizione evidenzia che la spesa hi-tech, con i suoi +300 milioni rispetto la voce “armi”, ha fatto un significativo balzo in avanti perché nel 2015/16 era invece inferiore di 500 milioni nei confronti delle dotazioni “classiche”. Soltanto le spese per la costruzione e la manutenzione di navi e aerei hanno scavalcato quelle per computer e reti e gli specifici costi non hanno bisogno di dissertazioni a giustificazione della relativa entità.

Senza dubbio l’investimento in tecnologie nel segmento “information and communications” non è sufficiente a regalare serenità a proposito di cybersecurity, ma costituisce un primo segnale importante. I sistemi informativi sono il tessuto connettivo di un paese, le Forze Armate il presidio a salvaguardia, i Servizi Segreti il dispositivo di tempestiva (preventiva) acquisizione di ogni dato o notizia utile a predisporre la difesa o la reazione o a suggerire una eventuale inevitabile prima mossa. Se si hanno chiari questi principi e se non si commette l’errore di mescolare i ruoli degli attori che devono salire sul palcoscenico, ci si può incamminare sul lungo e impegnativo percorso che porta alla capacità di gestire una ipotetica minaccia cibernetica.

#security Emergenza cyber. Siamo messi peggio di Achille. Le nostre “ciabattine infradito” non garantiscono protezione ai troppo vistosi talloni @Umberto_Rapetto
Click To Tweet

Il primo passo – e dovremmo averlo compiuto da tempo – è e rimane quello culturale. È imprescindibile la sensibilizzazione della classe politica, che deve comprendere la fragilità della situazione e le possibili catastrofiche conseguenze di un conflitto non poi così virtuale. È fondamentale la consapevolezza dell’apparato statale, dei gestori delle infrastrutture critiche, dell’impresa privata e dei cittadini che la condizione di belligeranza è inevitabilmente radicata e che occorre una partecipazione proattiva già nei momenti di apparente quiete.

In altri ambiti geografici, la militarizzazione della macchina a tutela del ciclo tecno-biologico nazionale è già avvenuta. La coscienza che la guerra è cominciata non è appannaggio di pochi e magari maldestri addetti ai lavori. Il management pubblico e privato di paesi come Stati Uniti, Russia e Cina ha ben chiari gli obiettivi di convergenza di risorse e idee, ben sapendo che l’ora X è già scoccata. Da noi, si dovrà superare la condizione narcolettica che non ci fa percepire l’effettiva caratura del problema. Non sono farsesche esercitazioni (analoghe alle altrettanto inutili simulazioni di evacuazione antincendio utili solo a far rincontrare in cortile qualche vecchio collega ormai trasferito ad altro piano dello stabile) o patetici “penetration test” concordati per non far danni a dare la patente di “invulnerabilità”. A voler guardare le calzature ai piedi, siamo messi peggio di Achille. Le nostre “ciabattine infradito” non garantiscono protezione ai troppo vistosi talloni.

L'articolo Cyberwar, c’è chi si prepara proviene da Data Manager Online.

Una volta ero solito vedere miei interlocutori rimuovere il coperchio posteriore del proprio cellulare, staccare la batteria e tirare un sospiro di sollievo. Mi capitava spesso quando incontravo persone ossessionate dalla paura di essere intercettate. Qualcuno aveva detto loro che questa era una valida precauzione e questo era sufficiente a garantire la serenità. Ho sempre avuto dubbi sulla reale efficacia di una simile procedura, ma non ho mai manifestato le mie perplessità in proposito a chi mi sedeva di fronte e doveva raccontarmi qualcosa di delicato. Immaginavo che una microspia poteva essere piazzata proprio nel piccolo accumulatore di energia, opportunamente farcito con i necessari componenti di microelettronica e trasformato in un minuscolo trasmettitore, finalmente libero da quel guscio che attutiva voci e rumori da catturare e spedire al curiosone di turno. Più ci pensavo, più me ne convincevo. Io avrei fatto proprio così, ma me ne guardavo bene dal dirlo.

I tempi sono cambiati, ma la fonte della nostra preoccupazione è sempre la stessa. Se i nostri lontani trisavoli esclamando “in cauda venenum” indicavano la coda come serbatoio del veleno dello scorpione, a volerne mutuare l’espressione dovremmo facilmente immaginare che il terrificante pungiglione sia nascosto nel dispositivo di telefonia mobile che portiamo sempre al seguito. Quattro ricercatori della Princeton University hanno trovato la maniera di tracciare gli spostamenti geografici di cellulari anche quando l’utente ha opportunamente disattivato sia il sistema GPS sia la connettività Wi-Fi. Arsalan Mosenia, Xiaoliang Dai, Prateek Mittal e Niraj Jha sono riusciti a dimostrare le straordinarie possibilità dell’attacco “PinMe”, immaginariamente basato su una sorta di “pinzami” o “spillami” che del tutto involontariamente gli utilizzatori di dispositivi mobili sembrano pronunciare al momento dell’attivazione dell’apparato appena acquistato. Il sorprendente metodo poggia su una serie di dati che possono essere raccolti senza consensi o autorizzazioni di sorta, informazioni che le aziende produttrici di smartphone non ritengono abbastanza delicate da meritare specifiche misure di sicurezza.

#security #privacy Siamo condannati a esser seguiti, pedinati, spiati? La spiegazione è nella nostra tasca @Umberto_Rapetto
Click To Tweet

In termini pratici, il sistema riesce a combinare e sfruttare sia dati che provengono dal dispositivo sia informazioni non riconducibili direttamente al cellulare. Il succulento “paper” redatto dal team universitario spiega che “PinMe” riesce a funzionare con le informazioni “sensory and non-sensory” che sono immagazzinate sullo smartphone. Quali dati sono in gioco? Nella categoria “non-sensory” rientrano per esempio il fuso orario e lo stato della rete, mentre nell’altra sezione ci sono la pressione atmosferica e la temperatura. Un po’ pochino, ma quel che basta per incrociare quegli elementi con quelli disponibili attraverso servizi ausiliari come le mappe altimetriche.

[amazon_link asins=’1520569912,B078LGWZKW,1593271441,151909034X,1980302863,8808521052′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’8d2166ca-30cf-11e8-a508-c14d98b9104b’]

La precisione pare reggere il confronto con quella offerta dal GPS degli smartphone di penultima generazione e quindi ci si può davvero accontentare. Naturalmente, tutto comincia con l’installazione di una app maligna che, resa appetibile per le dichiarate spettacolari funzioni, cattura l’attenzione della potenziale vittima che non esita a scaricarla da qualche store e ad attivarla. Le applicazioni per il “fitness”, per esempio, sono le più adatte per raccogliere e rendere poi disponibili una enorme quantità di dati “riutilizzabili” da chi è pronto a spiare. OpenStreetMap, Google Maps, OpenFlights e tante altre comuni applicazioni sono una cornucopia di informazioni pronte a integrare il tracciamento degli spostamenti del bersaglio.

Fermiamoci qui e proviamo a riflettere. Almeno un attimo. Se non ci importa nulla di essere seguiti da un tanto invisibile quanto indesiderato “angelo custode” – che ripercorre passo dopo passo ogni momento della nostra giornata – e non ci interessa che la privacy sia andata a farsi friggere, pensiamo a chi davvero subisce un danno da scoperte di questo genere. Cerchiamo di non essere egoisti. Avete immaginato il destino di Federica Sciarelli che vede svanire in un attimo la suspence tipica di “Chi l’ha visto?” tutti i mercoledì sera su Rai Tre?

[amazon_link asins=’1520569912,B078LGWZKW,1593271441,151909034X,1980302863,8808521052′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’8d2166ca-30cf-11e8-a508-c14d98b9104b’]

L'articolo Inutile nascondersi e spegnere il GPS proviene da Data Manager Online.

L’inizio d’anno non si è fatto certo mancare i fuochi d’artificio. Lo spettacolo pirotecnico che maggiormente rimarrà impresso nella nostra memoria è senza dubbio la vicenda dei bug nei microchip. Chi, incredulo per la notizia, ha esclamato “porco cane!” dimostra una certa conoscenza del calendario cinese, ma l’aggiunta “suina” esubera la classificazione del 2018. È cominciato in anticipo l’anno del cane, che a rigore avrebbe dovuto vedere l’alba il 16 febbraio. Il maiale arriverà nel 2019 e chissà quante altre volte l’imprecante abbinamento verrà profferto prima di allora.

La storia della “cardiopatia” dei nostri computer è una pagina triste che disincentiva qualsivoglia tentativo di scherzare in proposito e che induce a fare tutte quelle riflessioni che nel tempo abbiamo rinviato, sbuffando l’immancabile “ma figurati!” con cui si ribatteva ogni volta che si sentiva prospettare un potenziale pericolo o rischio. La traversia in questione non si ferma alla drammatica constatazione di una spiacevole vulnerabilità, né alle conseguenti considerazioni che spingono anche i più incauti a preoccuparsi.

Gli immancabili complottisti (e con loro molta gente che non crede alle scie chimiche o ad altre solenni amenità che affollano il web) non si sono lasciati sfuggire un dettaglio che la cronaca – almeno dalle nostre parti – si è guardata bene dal porre nella dovuta evidenza. Quel birbaccione di Brian Krzanich, amministratore delegato dell’azienda protagonista della debacle tecnologica, a novembre avrebbe venduto il 60 per cento delle sue azioni Intel. Ha incassato 39 milioni di dollari guadagnandone 25: sbalorditivo fiuto per le plusvalenze da non lasciarsi scappare, oppure funesto presagio di catastrofiche riverberazioni immediatamente conseguenti la possibile diffusione della notizia della falla nei microchip?

#CyberSecurity #Intel @Umberto_Rapetto L’etica è come il #microchip non si modifica @bkrunner
Click To Tweet

Il calendario non si presta ad alleggerire i sospetti dei più maligni. La breve distanza tra la fortunata cessione delle quote e la sventurata propagazione della voce che il processore esponeva gli utilizzatori di pc, tablet e smartphone a seri problemi lascia spazio ai cattivi pensieri. Che Krzanich sapesse o non sapesse, poco cambia. L’etica è come il microchip, non si modifica. L’esser per bene non prevede patch o aggiornamenti integrativi. Il problema tecnico, però, purtroppo resta. E il problema non è quello della falla appena scoperta. O almeno non è solo quello. Il vero guaio è che, dopo tanti anni a pensare a virus o bug capaci di deteriorare i nostri software, siamo costretti a fare i conti con la fragilità dell’ingrediente “ferroso”, quell’hardware che si dimostra meno duro di quanto si potesse etimologicamente immaginare.

Se un microprocessore comincia a sbagliare o si inchioda cosa succede? E se un’intera serie di chip va fuori uso contemporaneamente? E se una azienda ha l’intero “parco macchine” con il medesimo processore? E se la stessa sorte toccasse a tutte le organizzazioni pubbliche e private? Fermiamoci qui, prima che qualcuno etichetti la mia storica rubrica come “catastrofista”. La storia dei primi di gennaio non ha riguardato un computer, cento, mille o un milione, ma ha coinvolto la quasi globalità degli apparati del Globo terracqueo. Stavolta si è trattato di una sorta di bazzecola, che ha tenuto desta l’attenzione nemmeno per una settimana. E se al prossimo giro – invece di qualche grattacapo per possibili violazioni della riservatezza (questioni di tutto rispetto, non mi si fraintenda) – ci si trovasse dinanzi a una tanto spettacolare quanto drammatica paralisi sincrona di tutti i dispositivi elettronici nelle case e negli uffici, come andrebbe a finire?

Non è fantascienza e, ahinoi, è rischio conosciuto e studiato da tempo. Torneremo a parlarne, speriamo solo per accademico divertissement. Nel frattempo chi vuole entrare nell’atmosfera, cerchi in Rete la “manchurian printer”. È un incubo già preventivato, niente paura, e nel prossimo numero ne discuteremo. Buon 2018.

L'articolo Processori sotto processo. Solo loro? proviene da Data Manager Online.

Mala tempora currunt. Il risvolto digitale del nostro pianeta attraversa un periodo indiscutibilmente difficile. Forse, l’atmosfera è infeltrita dal sovraffollamento di moderni necrofori che rimuovono quel che resta delle vittime dei cyber-attacchi. Probabilmente, sono i troppi monatti hi-tech a sottolineare la criticità della situazione. In ogni caso, l’atmosfera è pesante. Due deputati a stelle (50 e non 5) e strisce hanno presentato un disegno di legge che mira ad abilitare le legittime difesa e reazione di chi ha subito una incursione da parte di presunti pirati informatici. Quella che si intravede in prospettiva è una sorta di miniaturizzata “licenza di uccidere” non rilasciata a leggendari agenti segreti, ma riconosciuta al quisque de populo, indipendentemente sia stato “violato” a livello individuale o nel contesto organizzativo di appartenenza.

Il provvedimento in questione, che si chiama “Active Cyber Defense Act” (ACDC) e va a emendare uno dei capisaldi della normativa in materia di crimine informatico (ovvero il “Computer Fraud and Abuse Act”), autorizza chi è stato hackerato a organizzare ricognizioni, cacce al colpevole e spedizioni punitive. In termini pratici, chi è finito nel mirino dei pirati informatici può uscire dalla propria rete e intraprendere l’itinerario inverso a quello percorso da chi ha compiuto l’aggressione. L’obiettivo è di raggiungere la rampa di lancio degli invisibili missili piovuti sui computer presi a bersaglio, così da identificare il responsabile, intrufolarsi nei suoi apparati, cancellare ogni informazione questo possa aver sgraffignato, sviluppare e consolidare metodologie e tecnologie per tracciare rapidamente la locazione fisica dell’aggressore.

#CyberSecurity @Umberto_Rapetto Negli USA arriva la legge del taglione 2.0
Click To Tweet

Dalle nostre parti, ci sarebbe qualche difficoltà a immaginare la legittimazione di una simile condotta. Il codice penale italiano parla fin troppo chiaro in proposito. Basta andare a leggere quel che dice l’articolo 392 c.p. per rendersi conto che è preferibile astenersi da iniziative che invece oltre oceano potrebbero diventare la regola. Chiunque agisce allo scopo di esercitare un proprio diritto (e nei dintorni di un sistema informatico non si fatica a immaginarne più d’uno a cominciare dalla riservatezza dei dati personali, oggi tanto di moda) e – pur potendo ricorrere all’Autorità giudiziaria – “si fa arbitrariamente ragione da sé medesimo” mediante violenza sulle cose, è punito (a querela della persona offesa) con la multa fino a cinquecentosedici euro (un milione di lire di un tempo). Il terzo comma di quella norma specifica che “si ha violenza sulle cose allorché… viene impedito o turbato il funzionamento di un sistema informatico o telematico”. Fin troppo evidente. Chi vede l’esiguo importo della sanzione pecuniaria sarebbe indotto a ritenere “conveniente” azzardare simili mosse, ma è opportuno segnalare che un simile comportamento incorpora anche altre violazioni alle norme inserite nel codice penale dalla storica legge 23 dicembre 1993 n. 547 in materia di computer crime. Chi vuol far di conto è costretto a considerare l’accesso abusivo, il danneggiamento o altre iniziative delittuose che addizionano anni di reclusione a chi si renda protagonista di qualche vendetta privata.

Il contesto merita di essere disciplinato e la soluzione americana può essere motivata da un possibile effetto di deterrenza: prima di attaccare, il saper di poter essere “ricambiato” può ridurre l’entusiasmo che solitamente accompagna gli arrembaggi digitali. Ma a pensarci bene, cosa accadrebbe se l’aggressore fosse in grado di camuffare alla perfezione la propria identità e provenienza? Come andrebbe a finire se la vittima (ingannata da mille trucchi) reagisse andando a prendersela con qualcuno che – totalmente estraneo – è stato solo adoperato con lo scippo del suo numero IP o di altro elemento a lui riconducibile?

L'articolo Pirati informatici? La legge del taglione 2.0 proviene da Data Manager Online.

Se si prova a digitare “hacked” in qualsivoglia motore di ricerca dopo aver indirizzato la caccia verso lo specifico target delle notizie di cronaca correlate a quel termine, si scopre che le vittime di incursioni informatiche sono capillarmente distribuite in ogni angolo del Pianeta. Gli attacchi strutturati, le epidemie di virus e di altri “bacilli” tecnologici, le vulnerabilità dei software più diffusi e i tradimenti del personale-chiave sono alcuni degli ingredienti dell’indigesto menu che quotidianamente tocca in sorte.

Tra le vittime illustri degli ultimi giorni c’è stato Equifax e chi si affretta a dire che è storia vecchia forse non sa che il colosso americano dell’informazione per la gestione del credito ci è cascato di nuovo. Dopo essersi fatto scippare i dati riservati di oltre 140 milioni di persone (le cui “radiografie” finanziarie sono finite nelle fauci di chissà quanti malintenzionati o semplicemente nelle mani di tutt’altro che sprovveduti speculatori), il sistema informatico di Equifax è tornato (e lo sarà ancora per chissà quanto) nel mirino dei pirati digitali. L’ultima beffa ha riguardato il sito web che ha indirizzato gli utenti a compiere un improvvido aggiornamento di Adobe Flash, con la connessione a una pagina fake che ha riservato brutte sorprese a chi non ha resistito all’irrefrenabile click del mouse sull’operazione suggerita fraudolentemente.

Tra le realtà imponenti rase al suolo dalla furia dei vandali hi-tech, spiccano le macerie delle precauzioni di sicurezza di T-Mobile, il ciclope tedesco delle telecomunicazioni mobili abbattuto da un novello Ulisse che è stato capace di portarsi via i dati personali di 76 milioni di utenti. Se si prova a immaginare quali informazioni possano essere nella disponibilità di un gestore telefonico, non è difficile comprendere la gravità di un simile “leaking” o silente furto virtuale. Non tranquillizza nemmeno il venire a conoscenza che gli hacker al soldo di Kim Jong-Un, il “vivace e giocherellone” nordcoreano, sarebbero riusciti a violare le protezioni dell’architettura tecnologica dei loro “vicini di casa”. Il deputato democratico Rhee Cheol-hee, dinanzi al Comitato per la Difesa dell’Assemblea Nazionale di Seoul, ha riportato che il saccheggio di documenti classificati è quantificabile in 235 gigabyte indebitamente carpiti al Defence Integrated Data Centre.

#CyberSecurity @Umberto_Rapetto Mai dire mai, purtroppo…
Click To Tweet

Si potrebbe continuare in un impietoso elenco di catastrofici episodi ma molto probabilmente non c’è alcuna necessità di proseguire in una sorta di giaculatoria di storie sfigatissime né di continuare a sgranare un rosario di mea culpa e invocazioni a Nostra Signora che continui a tutelarci da possibili inconvenienti.

Forse, potrebbe bastare qualche riflessione a freddo, magari prendendo spunto da questi avvenimenti per avviare una sorta di autodiagnosi propedeutica all’adozione delle iniziative più opportune. Il carnet dei resoconti apocalittici è in grado di soddisfare anche i palati più pretenziosi e di accontentare chi è convinto che nel proprio settore certe cose non possano verificarsi. Invece di partecipare a un convegno sulla cyber security per srotolare la consueta passerella e propalare le altrettanto consuete chiacchiere inconcludenti, varrebbe la pena mettersi a tavolino e analizzare un caso pratico e verificare quanto potrebbe “vestire” la propria realtà, pubblica o priva che sia. Qualche ragionamento ad alta voce può costituire l’occasione per accertare le condizioni di salute dell’organizzazione di appartenenza e per iniziare a tracciare un percorso “terapeutico” indispensabile per continuare le attività di competenza.

Dinanzi alle inevitabili similitudini con sgradevoli vicende che hanno riguardato altri a chissà quanti chilometri, varrà la pena di emulare Adriano Pappalardo e strillare il fatidico “Ricominciamo…”.

L'articolo Mai dire mai, purtroppo proviene da Data Manager Online.