C’è un aspetto emerso dalla vicenda Hacking Team di cui in Italia non si è parlato molto, probabilmente perché è molto tecnico e non se ne intuiscono le implicazioni. È un episodio di dirottamento di dati che ci dice qualcosa sulla (poca) robustezza delle nostre infrastrutture digitali. Ma andiamo con ordine.
CHE COS’E’ HACKING TEAM E COSA E’ SUCCESSO
Tutto parte da un’azienda italiana che si chiama Hacking Team e che fornisce software e servizi per intercettazioni telematiche: spionaggio, controspionaggio e soprattutto indagini visto che tra i clienti figurano anche le forze di polizia.
Si tratta di malware, o spyware, ovvero software che viene installato nei computer da sorvegliare ad insaputa dei proprietari finalizzato a carpirne i contenuti e le attività.
Il caso Hacking Team è scoppiato nelle scorse settimane dopo che qualcuno è riuscito a sottrarre 400Gb di dati riservati dai server dell’azienda, inclusi i sorgenti dei software e circa un milione di messaggi e-mail che sono stati prontamente pubblicati da WikiLeaks rivelando molti dettagli sui clienti, sui rapporti con le forze dell’ordine e sulle tecniche.
L’incredulità su come possano uscire 400Gb di dati, che non sono pochissimi, da un’azienda che opera nel campo della sicurezza informatica ha già sollevato grandi interrogativi: è in corso un’indagine e come nei migliori film polizieschi sta prendendo piede la “pista interna”. Ma non è di questo che vogliamo parlare qui.
Molti hanno posto l’accento sull’inopportunità che le forze di polizia si rivolgano ad un fornitore privato e non abbiano queste tecnologie in casa, soprattutto per i rischi derivanti dalla minore controllabilità dei dipendenti che, mossi da personalismi o altre tentazioni, possono più facilmente rivelare all’esterno i segreti operativi e mettere quindi a rischio le azioni investigative. Altri commentatori hanno rispolverato due temi classici ma sempre attuali: il difficile compromesso tra privacy degli utenti e esigenze di pubblica sicurezza antiterrorismo e antipedofilia da un lato, e il rapporto di collaborazione talvolta eccessivamente zelante tra provider e forze di polizia in assenza di mandati dell’autorità giudiziaria dall’altro (tema che torna puntualmente quando si parla di accesso ai log, censura via DNS eccetera).
Ma non parleremo qui di questi argomenti.
DUE ANNI FA IL DIROTTAMENTO BGP
Dal materiale pubblicato da WikiLeaks è emerso un episodio risalente all’estate 2013, un po’ tecnico ma che vale la pena raccontare. Il primo a notarlo è stato l’italiano Marco d’Itri nel suo blog.In sintesi, il ROS dei Carabinieri utilizzava un server posizionato in Romania per raccogliere di nascosto i dati provenienti dai laptop di persone sottoposte a indagini.
Lo scopo di usare un server romeno a basso costo era quello di anonimizzare la destinazione dei dati.
Per motivi di altra natura tale provider romeno (Santrex, peraltro noto per fornire servizi a spammer e altri criminali digitali) fu chiuso improvvisamente, e il ROS si trovò nell’impossibilità di raccogliere i dati che continuavano ad essere trasmessi in automatico ad un server ormai non più attivo.
Per recuperare questi dati, e il controllo remoto dei dispositivi intercettati, il ROS e la Hacking Team chiesero al provider Aruba.it di attivare un vero e proprio dirottamento andando ad instradare verso i propri server il traffico diretto all’ex provider romeno.
Com’è possibile questa operazione? È più facile di quanto si pensi. L’instradamento dei dati su Internet si basa sul protocollo BGP, che è un sistema per cui ogni rete (provider) annuncia ai propri “vicini”, ovvero alle altre reti con cui è connesso, quali sono gli indirizzi IP che devono essere instradati verso di lui. I vicini possono crederci o non crederci, ma molto spesso si fidano senza fare ulteriori verifiche sulla veridicità di questi annunci e questa informazione si propaga a cascata.
Quando si fidano lo fanno per un misto di retaggi storici e di pigrizia/imperizia tecnica.
Se, idealmente, nessuno si fidasse degli annunci unilaterali e rispettasse solo le informazioni raccolte dai registri ufficiali delle autorità tecniche, questo annuncio di instradamento operato da Aruba.it non avrebbe avuto effetti se non su quelle reti (italiane) cui il ROS aveva chiesto collaborazione.
Ma non è andata così: in poche ore anche i dati provenienti da molte nazioni straniere, ignare e non coinvolte, e diretti ad una intera classe di indirizzi IP del provider romeno furono instradati verso Aruba.it. Insomma, questa operazione durata sei giorni ebbe, inutilmente e dannosamente, un impatto tecnico ben più ampio dei confini nazionali dove occorreva.Intendiamoci: dirottare il traffico di dati – così come cambiare i cartelli stradali per dirottare i veicoli – è un abuso tecnico, e ha potenzialmente anche risvolti penali. In un contesto investigativo l’operazione può essere legittima, e qui si torna ai temi generali sopra citati.
Ma se la rete è così facilmente e intrinsecamente dirottabile da chiunque, chi ci protegge dagli effetti di un’analoga azione fatta però con intenti criminali?
LA FRAGILITA’ DELLE INFRASTRUTTURE DIGITALI
Non sto criticando l’operazione Aruba/HT/ROS, perché ribadisco che si svolgeva in un contesto investigativo, ma voglio porre l’attenzione su una diffusa fragilità delle nostre infrastrutture digitali. Esistono iniziative tecniche come il Routing Resilience Manifesto cui i provider sono invitati ad aderire ed esistono tecniche e best practice da seguire per irrobustire la rete delle reti. Tutto questo non è neanche lontanamente obbligatorio per legge perché non c’è alcuna consapevolezza di queste problematiche, note a pochi tecnici. Se per costruire una società digitale ci poniamo il problema dell’accesso, del digital divide e della banda larga, non possiamo prescindere dalla necessità che la rete sia affidabile. Un dirottamento BGP, che nel peggiore dei casi consente di mettere in piedi vere e proprie intercettazioni, magari con implicazioni geopolitiche, comporta come minimo un disservizio; si tratta del cosiddetto “blackholing”, ovvero traffico che non riesce a raggiungere la destinazione. Avviene più spesso di quanto si pensi; si tratta di piccoli dirottamenti involontari causati da errori di configurazione dei provider, le cui conseguenze però si allargano a macchia d’olio.
E il più delle volte è difficile, anche per un provider, contattare i responsabili tecnici di un altro provider, soprattutto nelle grandi telco perché non ci sono best practice condivise.
Manca, negli operatori di rete, una diffusa cultura della sicurezza telematica e della criticità di tali infrastrutture su cui il livello di garanzia deve essere innalzato.
COME COSTRUIRE UNA SOCIETA’ DIGITALE CHE FUNZIONI
Prendo spunto da questo argomento per allargare la riflessione sui parametri che solitamente vengono presi in considerazione per valutare la maturità e lo sviluppo delle infrastrutture di rete che tutti riteniamo essere il fondamento per costruire la società digitale. Ebbene, la maturità della rete non si misura solo con i Mbps. La larghezza di banda è troppo spesso, anche nelle azioni governative, l’unica metrica adottata per dire se la rete sia all’altezza degli obiettivi oppure no.
La sicurezza del routing di cui abbiamo parlato è incontrovertibilmente un fattore di debolezza su cui porre degli obiettivi imprescindibili, noto ai tecnici ma non a chi prende le decisioni.
E anche in tema di “banda ultralarga” non ci si può limitare ai Mbps o ai Gbps ma bisogna parlare di altri parametri che a parità di banda determinano se una infrastruttura sia utile ed affidabile.
Ad esempio, come questa banda deve essere ripartita in upstream/downstream, quali devono essere i tempi di latenza, quale dev’essere la banda passante sulle dorsali (perché un ultimo miglio cablato a 100Mbps o a 1Gbps serve a poco se poi i colli di bottiglia sono poco più su), quali devono essere le politiche di interconnessione tra operatori (bisognerebbe parlare del grande depeering operato da Telecom due anni fa, che non ha aiutato la robustezza della rete italiana), e infine di tutti quegli aspetti legati alla qualità e all’affidabilità del servizio su cui un effettivo regime di concorrenza non si è mai ingranato.
Se il tema è l’accesso alla rete, finalizzato alla cittadinanza digitale e alla crescita economica, ovvero un obiettivo ben più ampio del mero discorso (pur sacrosanto) di cablaggi, ci sono tanti aspetti su cui lavorare al di là dei Megabit per rendere la rete uno strumento robusto su cui fondare e connettere la società del futuro.
