Non so voi, ma io prendo un aereo ogni due, tre giorni, quasi sempre per lavoro. Ho fatto un calcolo e da dieci anni a questa parte, passo all’estero circa il 70% della mia vita. Aeroporto, telecamere, check-in, passaporto (magari già RFID) o altro documento, “occhio ai liquidi” (mai più di 100 ml), controlli di sicurezza, porte allarmate, raggi X, body scanner, via la cintura. A volte ti fanno anche togliere le scarpe. Ah, in Paesi come la Cina (ed altre nazioni), guai ad avere un accendino in tasca!
Il tutto si traduce in tempi più lunghi, code ai controlli, “stress del viaggiatore”, limitazioni di vario tipo. Beh, sì, però… facciamo tutto questo per aiutare le autorità a combattere il terrorismo, per non avere più degli 11 Settembre, per non rischiare che il nostro volo venga dirottato….
o no ?
E cosa c’entrano gli hacker con tutto ciò? Cosa c’entra il “cyber terrorismo”, termine al quale molti di noi non sono ancora – per fortuna! – abituati?
Si è appena conclusa HITB AMS 2013, l’edizione europea della conferenza “Hack in the Box”, un evento nato oramai dieci anni fa a Kuala Lumpur, in Malesia. Dopo essere divenuto in poco tempo il più importante evento underground di sicurezza informatica del continente asiatico, lo staff di HITB ha deciso di provarci anche in Europa, riuscendo nella missione: oltre trecento partecipanti (provenienti principalmente dalla stessa Europa, dalla Russia e dal Nord America) ed una quarantina di speaker, per quello che probabilmente è l’evento più “hardcore” dell’Information Security europea, insieme ad Hackito Ergo Sum (Parigi, Francia, 2-4 Maggio) ed a CONFidence (Cracovia, Polonia, 28 e 29 maggio).
Numeri molto diversi dai grandi eventi hacker statunitensi come la Black Hat o il DefCon, dove parliamo di 3.000, 4.000 partecipanti. Mega convention vere e proprie, molto amate dagli hacker nord americani, ma troppo caotiche e dispersive. HITB AMS, invece, è un evento molto più intimo, ristretto, durante il quale è stato possibile incontrare persone, ascoltare ma anche confrontarsi, andando a cena con i relatori e parlando “off the record” con alcuni di loro.
Cosa succede in una conferenza “underground”? E’ semplice. Si parla di sicurezza delle informazioni (hacking, phreaking, lotta al cybercrime, contrasto alle botnet, ricerca mirata, strumenti hardware e software e così via), andando però subito al sodo ed evitando qualunque forma di promozione commerciale. Per dirla in altre parole, non ci sono sponsor che impongono i propri speaker e fanno le “markette” dei loro prodotti, ma relatori di alto profilo, hacker noti in tutto il mondo i quali, in modo informale (dall’abbigliamento al modo di porsi e presentare) espongono i risultati dei loro lavori.
Gli interventi di questa edizione, una trentina oltre ai tre Key Note, trattavano un po’ di tutto, con titoli alquanto originali: da “Security Response in the Age of Mass Customized Attacks” a “Paparazzi over IP”, passando per “Bringing Dutch Alarm Systems to their knees”, “LTE pwnage” e “How I met your modem”, ma anche “No more blackbox iOS analysis” e “Turning your Surveillance camera against you”.
Abbastanza argomenti insomma, da poter scrivere una sorta di mini enciclopedia delle frodi digitali odierne, ma anche per capire le tendenze e dove sta andando l’ethical hacking e la security research di oggi. Non potendo però scrivere il racconto di tutti gli interventi ai quali ho assistito, ho deciso di sceglierne uno solo, affrontando gli svariati problemi, tecnologici ed etici, che esso ha generato nella mia mente di hacker seduto in sala, in mezzo a tanti miei simili, totalmente assorto e preoccupato da ciò che stavo sentendo (e su cui riflettevo, a mia volta, da quasi un anno, dato che la problematica non mi era nuova).
Hugo Teso, ethical hacker e ricercatore di sicurezza spagnolo, vive e lavora in Germania. Hugo è anche un pilota di aerei commerciali e privati, avendo come passioni proprio l’InfoSec ed il volo. Dopo aver lavorato tre anni su questo binomio, ha deciso di uscire allo scoperto.
Tutto iniziò con una (banale) domanda del buon Hugo, mentre una mattina stava volando sul suo piccolo aereo privato e comunicando con la torre di controllo. “Lo scatolotto che mi fornisce la rotta di volo e tutte le informazioni necessarie per pilotare, alla fin fine, altro non è se non un personal computer, il quale dialoga con le diverse torri di controllo e con gli altri aerei, in volo e nelle fasi di decollo ed atterraggio. E’ l’ecosistema avionico del ventunesimo secolo: sarà effettivamente sicuro come vogliono farci credere? Qualcuno avrà già tentato di approcciare questa tematica con un approccio hacker, il classico “think out of the box” proprio di questa strana razza di curiosi?”.
Hugo lancia un progetto di ricerca indipendente, forse iniziato per gioco, ma nel quale ha certamente messo tutta la sua esperienza e passione. Il risultato è una presentazione, durata oltre un’ora, che ha fatto rizzare i capelli anche agli hacker ed agli esperti di sicurezza più scafati: Aircraft Hacking, Practical Aereo Series.
In breve, Hugo in questi tre anni ha studiato il sistema terra-aria ad oggi utilizzato, analizzato i prodotti che compongono l’infrastruttura di comunicazione, ed ha fatto shopping su eBay. Poi ha assemblato il tutto in un laboratorio, creando degli “aerei virtuali”, per non correre il rischio che i risultati della sua ricerca, se in mani sbagliate, potessero permettere a malintenzionati, stupidi e terroristi di dirottare gli aerei sui quali voliamo ogni giorno.
Sì, anche agli stupidi. Perché il risultato della sua ricerca è probabilmente il peggior incubo per gli operatori aeroportuali, gli addetti ai lavori delle torri di controllo, le autorità che devono vigilare sulla sicurezza aerea, i costruttori di queste tecnologie, le compagnie aeree e, naturalmente, per i passeggeri.
Hugo ha dimostrato come, con un budget di molto inferiore ai 1.000 dollari USA, abbia potuto acquistare quegli “scatolotti” che osservava quando volava, da produttori quali Honeywell, Rockwell Collins e Thales.
Hugo ha dimostrato come sia possibile intercettare il traffico dati aereo (le comunicazioni tra torri di controllo e piloti) ma soprattutto alterarne i valori: quota, velocità, quali altri aerei sono presenti intorno all’aeromobile, ma anche abilitare o disabilitare il pilota automatico, agire sui motori, “chattare” con i piloti….Il tutto, remotamente, comodamente seduto sul divano di casa.
No, non è uno scherzo, non è l’ultimo Die Hard con Bruce Willis. E’ tutta verità, mostrata con tanto di “live demo” (ben due!), analisi completa degli standard di comunicazione (insicuri) come ADS-B (il sostituto digitale dei vecchi sistemi radar analogici) ed ACARS, commenti non proprio buoni su SITA (Société Internationale de Télécommunications Aéronautiques) e su ARINC (Aeronautical Radio Incorporated), partendo con un approccio molto lineare: identificazione dei vettori e dei target, discovery, enumeration, exploitation e post-exploitation. Ha scritto i numerosi software necessari e simulato il tutto nel suo laboratorio in Germania. Al termine del progetto di ricerca, non contento, ha scritto un’App per smartphone.
Sì, tutto ciò che vi ho raccontato è gestibile, comandabile, visionabile da un Android….Potreste mettervi al posto del pilota, vedere da remoto l’inclinazione, modificare la velocità, dirottare l’aereo e farlo schiantare sulla casa del vicino che vi sta così tanto antipatico. O su una scuola, una fabbrica, un grattacielo.
Ora, la buona notizia, in questo scenario postatomico ed apocalittico, è solo una. Hugo è riuscito a contattare l’Agenzia Europea per la Sicurezza Area (EASA) e sta attivamente collaborando con loro, da qualche settimana, per fare comprendere la gravità delle sue scoperte e, possibilmente, porvi rimedio, mettendo insieme tutta la “supply chain” del mondo aeronautico.
EASA fornirà ad Hugo ed al suo team di ricerca un vero aeroporto, torri di controllo e, probabilmente, un vero aereo, per uscire dalle simulazioni in laboratorio ed applicare quanto ad oggi è riuscito a far fare ai suoi aerei virtuali, agli aerei veri, Boeing ed Airbus in testa (i più moderni).
Per chi fosse interessato a toccare con mano, capirne e saperne di più, consiglio la lettura della presentazione di Hugo.
Per tutti gli altri, un semplice consiglio: se avete paura di volare, potete tirare un respiro di sollievo. Gli scenari disegnati (e dimostrati) da Hugo sono quanto di più catastrofico si possa immaginare, ed una banale turbolenza non è niente in confronto.
Infine, una riflessione: parlando con Hugo a cena, dopo il suo intervento, gli ho chiesto come mai in nessuna delle slide abbia posto l’attenzione al binomio “cyber e terrorismo”, quindi al c.d. “cyberterrorism” ed alle potenziali implicazioni di sicurezza nazionale e di lotta al terrorismo alle quali le sue scoperte, senza dubbio, porteranno.
La mia domanda era anche per capire i commenti ed il ruolo della Commissione Europea in tutto ciò, ammesso che a Bruxelles ne siano a conoscenza. La risposta è stata lapidaria: “Se avessi inserito quella parola in queste slide, oggi non sarei potuto essere qui a parlarne”. La censura non è presente solo sui media di tanti Paesi, ma anche nelle conferenze internazionali degli hacker. Sic!
La stessa cosa è accaduta pochi giorni fa ad un amico hacker israeliano, che voleva presentare i risultati delle sue ricerche sull’hacking delle moderne automobili (automotive hacking). Ma questa è un’altra storia….
RAOUL CHIESA
