I governi si rafforzano, le organizzazioni militari aumentano ma la vera milizia del futuro è quella degli hacker ai quali nulla è precluso
Avete presente la classica dicotomia tra hacker e cracker? Bene, dimenticatela o almeno provateci. Pare infatti che il remunerativo lavoro di bucare sistemi di sicurezza, password e dati sensibili sia sempre di più un vero e proprio lavoro al quale molti giovani, soprattutto nord-europei, puntano. L’hacking come business prevede una forte convergenza tra attori e ruoli che, negli ultimi tempi, tendono a convergere, riducendo sempre di più la linea di separazione (spesso etica) tra l’hacker e il cracker.
Manuale per piccoli hacker
L’azienda Stonesoft, attiva dal 1990 su software di sicurezza informatica per medie e grandi imprese dei settori finance, PA, sanità e telco, ha organizzato un vero e proprio laboratorio per far testare con mano alcune delle azioni all’ordine del giorno per gli hacker in tutto il mondo, forte del rinnovato fregio ricevuto da NSS Labs. “Si pensa che le migliori password siano fatte da nomi strani, numeri e lunghe almeno 8 caratteri – ci dice Otto Airamo, Senior Network Security Specialist di Stonesoft, che è arrivato dalla Finlandia assieme al collega Olli-Pekka “Opi” Niemi, Head of the Vulnerability Analysis Group di Stonesoft – in realtà basterebbe utilizzare una password di 12 caratteri semplici ma convertiti in testo ASCII così da rendere il tutto ben più difficile da decriptare“. Spesso si consiglia di utilizzare password diverse per piattaforme differenti, un concettoi che si basa su un motivo basilare: i siti web hanno politiche di privacy diverse per cui uno potrebbe conservare solo il tuo nome, un altro anche il tuo indirizzo ed un terzo la carta di credito; da qui il buon consiglio di avere una password “unica” che non permetta con un solo hack di ottenere praticamente tutto sulla nostra vita.
Liste di password
“Gli hacker hanno fogli di testo lunghissimi, dove sono conservate le password più utilizzate per le nazioni principali – continua Otto – è evidente che un italiano sarà spinto maggiormente ad utilizzare certi termini, diversi da quello finlandese ma simili all’inglese, lingua oramai accettata come universale anche sul web“. Ma perchè fare l’hacker oggi è così tanto di moda? “C’è un intero mercato (blank market) dietro il traffico di dati personali – spiega Opi – che oscilla da qualche decina di dollari a centinaia. Tutto dipende dal mercato e dall’utente i cui dati sono stati rubati“. Il metodo migliore per rubare le password è quello della “return page” attraverso una “SQL Injection“. Quando si visita un sito preferito, al quale siamo registrati, può capitare di imbattersi in un messaggio d’errore in calce al quale si trova il link per tornare alla pagina principale. La pagine di errore altro non è che un metodo per gli hacker di ricevere le prime informazioni sull’account, tra cui il nome utente e l’ID assegnato dalla piattaforma. Con un tool online (come mostrato nel video seguente) non sarà complicato ricevere la password dell’utente specifico (tra la lista di tutte quelle del sito) e decriptarla in pochi secondi.
Centrali sotto attacco
Uno dei virus che ha fatto più discutere negli ultimi tempi è sicuramente Stuxnet, la minaccia che Stati Uniti e Israele hanno lanciato verso le centrali di gestione critica dell’Iran per controllarne mosse e obiettivi. Otto e Opi ci mostrano quanto sia paurosamente semplice varcare i limiti di una centrale nucleare media, passando per le reti interne fino a raggiungere il cuore centrale (come nel video sotto). “Il problema dei sistemi SCADA – spiega Otto – è che chi li gestisce non è pronto ad affrontare una minacca in atto. Ci sono tre bad practices che vengono messe in atto: il turarsi le orecchie per far finta di non sapere nulla, lo spostamento fisico di reti e server, il ricorrere alla virtualizzazione di tutti i processi“. Ovviamente nessuna delle tre tecniche può bloccare un hacker esperto che in qualche ora può causare danni rilevanti alla centrale e ai cittadini serviti. In questo processo vengono utilizzati due software specifici online come Nmap, che permette di vedere quali computer ci sono nella rete e i loro sistemi operativi e Metasploit, per rilevare primarie falle sui computer individuati.
Il panorama hacking aziendale
La sensazione è che davvero nulla sia precluso agli hacker esperti, sia che agiscano in gruppo che da soli. “Spesso aziende medio-grandi non si accorgono di quanti problemi ci siano nelle loro infrastrutture – ha sottolineato Emilio Turani, Country Manager per l’Italia, la Grecia, la Turchia e la Svizzera di Stonesoft – anche se le software house sono prontissime a lanciare soluzioni scudo per proteggersi, gli hacker sono anche più svelti nel trovare falle e produrre contro-software per rilevarle“. Un aiuto per capire dove è possibile migliorare i propri sistemi arriva da Evader 2.01, il tool per rilevare le Tecniche di Evasione Avanzata (AET) che permette alle aziende di lanciare manualmente o automaticamente una varietà di attacchi per provare le capacità di sicurezza delle reti e dispositivi aziendali in uso. Ulteriore linfa arriva dalla prossima acquisizione di Stonesoft da parte di McAfee che dovrebbe concludersi per 389 milioni di dollari, un’operazione tesa a potenziare il portafoglio di soluzioni di network security del fornitore statunitense grazie alla tecnologia di next generation firewall del fornitore finlandese.
