Nella questione della richiesta dell’FBI ad Apple di sbloccare il telefonino appartenuto a uno dei terroristi della strage di San Bernardino, in California, è entrato un altro nome che conta: Microsoft. Cosa più unica che rara, Microsoft si è schierata con Apple e contro l’FBI, e lo ha fatto con le parole di Brad Smith, President e Chief Legal Officer dell’azienda, che annunciano il deposito di una memoria legale in favore di Apple.
La memoria è sottoscritta non solo da Microsoft ma anche da molti altri nomi importantissimi dell’economia digitale: Amazon, Box, Cisco, Dropbox, Evernote, Facebook, Google, Mozilla, Nest Labs, Pinterest, Slack, Snapchat, WhatsApp e Yahoo. Tutti contrari alla richiesta dell’FBI.
In sintesi, spiega la memoria, secondo queste aziende “l’ordine del governo ad Apple supera i limiti delle leggi esistenti e, se applicato più estesamente, sarà dannoso per la sicurezza degli americani a lungo termine”. Questi grandi nomi collaborano regolarmente con le forze dell’ordine e molti “hanno squadre di dipendenti a tempo pieno… dedicate a rispondere alle richieste di dati dei clienti da parte delle forze di polizia”. Nessun desiderio di fiancheggiare criminali o terroristi: non c’è alcun “interesse a proteggere coloro che violano la legge. Ma [queste aziende] respingono l’affermazione infondata del governo secondo la quale la legge consentirebbe al governo stesso di requisire e comandare i tecnici di un’azienda per minare le funzioni di sicurezza dei loro prodotti”.
Spiega Brad Smith nell’annuncio: “L’ordine del tribunale a sostegno della richiesta dell’FBI cita l’All Writs Act, che è entrato in vigore nel 1789 ed è stato emendato in modo significativo per l’ultima volta nel 1911. Riteniamo che le questioni sollevate dal caso Apple siano troppo importanti per affidarle a una normativa ristretta risalente a un’altra era tecnologica per colmare quella che il governo ritiene sia una lacuna delle leggi attuali. Dovremmo invece rivolgerci al Congresso per trovare l’equilibrio necessario per la tecnologia del ventunesimo secolo… Se vogliamo proteggere la privacy personale e mantenere la sicurezza delle persone, la tecnologia del ventunesimo secolo va governata con leggi del ventunesimo secolo”.
Dopo aver citato il rispetto per il lavoro delle forze dell’ordine e le collaborazioni di Microsoft con gli inquirenti, Smith esprime un altro concetto fondamentale: “la gente non userà tecnologie di cui non si fida”. In altre parole, obbligare Apple (e poi, inevitabilmente, Microsoft e gli altri) a indebolire la sicurezza del proprio software non aiuterà gli inquirenti: i criminali e i terroristi non faranno altro che rivolgersi ad altri fornitori di hardware e software meno insicuri. Inoltre: “…la cifratura forte ha un ruolo vitale nel creare fiducia. Aiuta a proteggere le informazioni personali e i dati proprietari aziendali sensibili contro hacker, ladri e criminali, e non dovremmo creare delle backdoor tecnologiche che minino queste protezioni. Farlo ci esporrebbe tutti a rischi maggiori…. prendendo le difese di Apple, prendiamo le difese dei clienti che contano su di noi per tenere sicure e protette le proprie informazioni più private.”
Più chiaro di così non si può. Ma la vicenda ha anche un altro aspetto profondamente interessante: le crescenti richieste governative di accesso ai dati digitali dei sospettati custoditi dalle aziende nei cloud stanno trasformando il modo in cui queste aziende vedono i dati dei clienti. Se finora hanno pensato che questi dati potessero essere una miniera d’oro da analizzare e rivendere (Google e Facebook basano su questo i propri imperi economici), ora stanno cominciando a rendersi conto che avere accesso alle informazioni private dei clienti non è una risorsa, ma un onere. Un onere che espone colossi come Apple a richieste governative che possono devastarne il modello commerciale.
Nella questione è entrato anche Edward Snowden, con la sua solita brillante e concisa analisi su Twitter: “Se oltre all’utente c’è qualcun altro che può entrare, non è sicuro. L’accessibilità da parte del fabbricante è una vulnerabilità.” Per fare un paragone con situazioni più familiari, lo scenario che il governo americano sta cercando di far accettare è l’equivalente di una legge che obbliga i costruttori di case a custodire una copia delle chiavi d’ingresso di ogni casa che costruiscono. Il risultato è che i dipendenti infedeli dei costruttori possono abusare di queste chiavi e quelli fedeli sono soggetti all’interesse di criminali che, di fronte alla possibilità di razziare le case impunemente, non esiterebbero a ricorrere a corruzione e ricatti di quei dipendenti.
Ed è per questo che Apple e altri grandi nomi dell’informatica si stanno evolvendo verso una custodia dei dati dei clienti nella quale soltanto il cliente è in grado di decifrare i propri dati. Non per proteggere i criminali, ma per proteggere gli onesti.
C’è una fotografia molto diffusa in Rete che mostra una telecamera di sorveglianza piazzata in un luogo molto emblematico: la casa dove abitava George Orwell, l’autore che aveva ipotizzato un futuro in cui saremmo stati sorvegliati in ogni istante della nostra vita.
Molti hanno interpretato questa fotografia come un simbolo del fatto che il futuro inquietante previsto da Orwell si è avverato e che le sue parole di monito non sono servite a nulla, ma c’è un dettaglio importante: se si va a visitare la casa di George Orwell, al 22 di Portobello Road a Londra, si scopre che la telecamera non c’è.
La foto, infatti, è una creazione digitale dell’artista Steve Ullathorne, che si diverte a manipolare fotografie di edifici storici aggiungendovi oggetti attuali che rimandano in qualche modo all’antico proprietario, come in questo caso. Se vi interessa sapere quali altri edifici ha alterato digitalmente, qui potete trovare il suo libro.
L’immagine della casa di Orwell dotata di telecamera di sorveglianza gira in Rete da febbraio 2012 e continua tuttora ad essere una bufala bispluserrata, come si direbbe nella Neolingua usata nel libro 1984 che ha reso celebre l’autore britannico.
Ricordate quando eravate bambini e vi mettevano a letto nella vostra cameretta e nella semioscurità ogni forma sembrava un mostro e faceva paura? Io ero particolarmente ossessionato da una vestaglia appesa dietro la porta della mia stanza: avrei giurato di averla vista muoversi tante volte.
Immaginate ora che vostro figlio venga a raccontarvi che ha paura perché di notte sente delle voci in camera sua. Probabilmente pensereste che se lo sta sognando o che sta manifestando la naturale paura infantile di restare solo. Dev’essere quello che hanno pensato Jay e Sarah, i genitori di un bimbo di tre anni negli Stati Uniti, quando il piccolo ha raccontato che sentiva le voci. Fino al momento in cui le hanno udite anche loro provenire dall’interno della cameretta: Sarah è entrata e ha sentito una voce dire “Svegliati bambino, papà ti sta cercando”.
Possessioni demoniache? No, semplicemente un baby monitor troppo tecnologico e insicuro. Oggi sono molto diffuse le versioni Wi-Fi di questi dispositivi per sorvegliare a distanza i bambini mentre dormono e sentire se piangono o hanno bisogno, e soprattutto vanno di moda le versioni bidirezionali, dove non solo si può vedere e ascoltare il bimbo ma si può anche parlare con lui.
Nel caso di Jay e Sarah, il baby monitor era accessibile da Internet a causa di una configurazione insicura e qualcuno lo ha scoperto (non è difficile) e ha cominciato a chiacchierare con il bambino.
Se avete dispositivi di questo genere, ricordate dunque di cambiare la loro password predefinita e di configurarli in modo che non siano accessibili dall’esterno e tenete aggiornato il loro software di gestione (spesso questi dispositivi vengono venduti con difetti di sicurezza che vengono corretti in seguito). Oppure lasciate perdere le soluzioni hi-tech e procuratevi un baby monitor tradizionale, che funziona via radio e non è così vulnerabile semplicemente perché non consente di parlare al bimbo.
Moltissime telecamere di sicurezza commerciali, compresi i modelli più costosi, sono estremamente vulnerabili e consentono a malintenzionati di usarle per spiarci, secondo le ricerche svolte da Gianni Gnesa, consulente della zurighese Ptrace Security. Gnesa vorrebbe dirci quali, e stava per farlo in una conferenza di sicurezza informatica, ma il suo intervento è stato annullato per motivi legali.
In alcuni casi queste telecamere hanno credenziali d’accesso (password e simili) non modificabili, backdoor non documentate e connessioni su telnet prive di qualunque protezione. Uno dei modelli esaminati da Gnesa ha 30.000 esemplari vulnerabili e accessibili via Internet, facilmente reperibili usando servizi come il motore di ricerca Shodan.
Ma i nomi delle telecamere insicure sono sotto bavaglio: una delle marche ha infatti inviato una comunicazione legale a Gnesa mentre si apprestava a presentare i propri risultati alla conferenza Hack in the Box a Singapore.
Gnesa non può quindi fare nomi, ma dice che si tratta di “telecamere di fascia media molto diffuse che si possono trovare su Amazon […] hanno buone recensioni e si dichiarano sicure” e può descrivere quello che ha trovato: “tutte hanno vulnerabilità che permetterebbero di spegnerle, bloccare la trasmissione delle immagini o accedere al pannello di amministrazione”.
La soluzione è cercare aggiornamenti al software e configurare l’accesso a queste telecamere in modo che non si affaccino direttamente a Internet e quindi non espongano all’esterno le proprie vulnerabilità (per esempio depositando le proprie immagini su un server sicuro). Ma si tratta di interventi decisamente fuori dalla portata dell’utente comune, per cui conviene affidarsi a specialisti informatici oppure ad altre tecnologie, più tradizionali e meno vulnerabili a distanza, per la sorveglianza video di qualunque risorsa importante.
Questo articolo vi arriva grazie alle gentili donazioni di “rosstefan” e “lontanolontano”. Diversamente dagli altri articoli di questo blog, quest’articolo è soggetto al diritto d’autore di Bruce Schneier, al quale ho donato la mia traduzione.
Lo scandalo del calcio truccato risolleva la questione delle intercettazioni e del diritto alla privacy, già stimolata dall’allarme terrorismo. L’intrusione nelle comunicazioni e la sorveglianza sembrano sempre più necessarie e giustificate. Ma Bruce Schneier, uno dei più rispettati esperti di crittografia e sicurezza (non solo informatica), ha scritto per Wired un articolo di riflessione lucido e penetrante, che è un forte richiamo alla realtà e credo meriti particolare diffusione anche in italiano. Con il suo permesso, lo traduco qui dall’inglese.
Il valore eterno della privacy
di Bruce Schneier
18 maggio 2006 Translated from the English original by Paolo Attivissimo. Copyright to this translation belongs to Bruce Schneier.
Coloro che sono favorevoli a controlli d’identità, telecamere e database di sorveglianza, data mining e altre misure di sorveglianza generalizzata rispondono spesso a chi sostiene il diritto alla privacy con quest’obiezione: “Se non stai facendo niente di male, che cos’hai da nascondere?”.
Ecco alcune risposte argute:
“Se non sto facendo niente di male, allora non hai motivo di sorvegliarmi”
“Perché è il governo che decide cosa è male, e continua a cambiare la definizione di cosa è male”
“Perché potresti usare in modo sbagliato le mie informazioni”
Frecciate come queste, per quanto valide, mi turbano, perché accettano il presupposto che la privacy consista nel nascondere qualcosa di male. Non è così. La riservatezza è un diritto umano intrinseco ed è un requisito necessario per mantenere la condizione umana con dignità e rispetto.
Ci sono due proverbi che esprimono in modo perfetto questo concetto: quis custodiet custodes ipsos? (Chi sorveglia i sorveglianti?) e “il potere assoluto corrompe in modo assoluto”.
Il cardinale Richelieu aveva ben presente il valore della sorveglianza quando pronunciò la celebre frase “Se mi si dessero sei righe scritte dal pugno del più onesto degli uomini, vi troverei certo qualcosa per condannarlo all’impiccagione”. Sorvegliate chiunque abbastanza a lungo e troverete qualche elemento per arrestarlo – o più semplicemente ricattarlo. La privacy è importante perché senza di essa le informazioni derivanti dalla sorveglianza verranno abusate: per fare i guardoni, per venderle ai maghi del marketing e per spiare i nemici politici, chiunque essi siano in quel particolare frangente.
La privacy ci protegge dagli abusi di coloro che sono al potere, anche se non stiamo facendo nulla che sia considerato sbagliato nel momento in cui viene effettuata la sorveglianza.
Non facciamo nulla di male quando facciamo l’amore o andiamo al gabinetto. Non nascondiamo nulla intenzionalmente quando cerchiamo un luogo privato dove riflettere o conversare. Teniamo diari privati, cantiamo in privato sotto la doccia, scriviamo lettere ad amanti segreti e poi le bruciamo. La riservatezza è un bisogno umano fondamentale.
Un futuro nel quale la privacy è costantemente sotto attacco era talmente inconcepibile per i creatori della Costituzione americana che essi non si posero neppure il problema di specificare la riservatezza come un diritto esplicito. Era intrinseca nella nobiltà del loro vivere e nella loro causa. Era evidente che essere sorvegliati in casa propria era irragionevole. Osservare e spiare erano atti così indecenti da essere inconcepibili fra i gentiluomini dell’epoca. Si sorvegliavano i criminali, non i liberi cittadini. Si era padroni in casa propria. Sono valori intrinseci nel concetto di libertà.
Perché se veniamo osservati in tutto ciò che facciamo, siamo sotto costante minaccia di correzione, giudizio, critica, persino plagio della nostra individualità. Diventiamo bambini, tenuti in catene sotto occhi sempre vigili, col timore costante che – ora o nell’incerto futuro – le tracce e le abitudini che ci lasciamo dietro verranno riesumate per implicarci da qualunque autorità si sia concentrata improvvisamente su quei nostri atti allora privati e innocenti. Perdiamo la nostra individualità, perché tutto ciò che facciamo è osservabile e registrabile.
Quanti di noi, negli ultimi quattro anni e mezzo, si sono fermati di colpo durante una conversazione, improvvisamente consapevoli di poter essere ascoltati di nascosto? Magari si trattava di una telefonata, oppure di uno scambio di e-mail, di una chattata o di una chiacchierata in un luogo pubblico. Magari stavamo parlando di terrorismo o di politica o di Islam. Ci blocchiamo e per un istante temiamo che le nostre parole possano essere tolte dal loro contesto; ma poi ridiamo della nostra stessa paranoia e proseguiamo. Ma il nostro comportamento è cambiato e il nostro modo di parlare viene sottilmente alterato.
Questa è la perdità di libertà che ci si pone di fronte quando ci viene tolta la nostra privacy. Questa è la vita nell’ex Germania Est o nell’Iraq di Saddam Hussein. Ed è il nostro futuro, man mano che permettiamo a occhi incessantemente spioni di entrare nelle nostre vite personali e private.
Sono in troppi a definire erroneamente la questione contrapponendo sicurezza e privacy. La vera scelta è fra libertà e controllo. La tirannia, sia che emerga sotto la minaccia di un attacco fisico straniero, sia che derivi da un’autorevole sorveglianza domestica, resta comunque tirannia. La libertà richiede sicurezza senza intrusione, sicurezza abbinata alla privacy. Una sorveglianza generalizzata da parte della polizia è, per definizione, uno stato di polizia. Ed è per questo che dobbiamo essere paladini della riservatezza anche quando non abbiamo nulla da nascondere.
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle gentili donazioni di “icaro200*”, “antonio.bu*”, “robyv*” e “alberto.dol*”. Se vi piace, potete incoraggiarmi a scrivere ancora. Ultimo aggiornamento: 2015/07/11 18:50.
La vendita risulta dalla fattura per 480.000 euro pubblicata fra i dati trafugati all’azienda (immagine parziale qui accanto). È davvero difficile pensare che i responsabili di questa vendita non sapessero in che sorta di mani stessero mettendo strumenti così letali.
In un’intervista all’International Business Times, il portavoce di HackingTeam, Eric Rabe, ha difeso oggi l’operato dell’azienda facendo notare che la fattura in questione (di cui non ha smentito l’autenticità) risale al 2012, quando il Sudan non era ancora nella lista nera dell’ONU. Una difesa abbastanza fragile, dato che ben prima che entrasse formalmente in lista nera il Sudan non era un paese al quale si poteva vendere malware di sorveglianza sperando che venisse usato eticamente e a fin di bene. Ora nuovi documenti smontano questa difesa e dimostrano che i rapporti di HackingTeam con il governo sudanese sono proseguiti almeno fino a gennaio 2014. Ma partiamo dall’inizio.
––——————
L’ipotesi che HackingTeam facesse affari con il Sudan, basata sulle indagini tecniche di Citizen Lab, aveva già spinto le Nazioni Unite ad incaricare un comitato di esperti di investigare sull’azienda a settembre 2014, anche perché tali affari sarebbero stati probabilmente in violazione delle sanzioni europee sul commercio di armi militari verso il Sudan.
Come racconta in dettaglio Motherboard, HackingTeam inizialmente ha risposto all’ONU che il Sudan non era uno dei suoi clienti e poi ha detto all’ONU che il software non è considerato un’arma e che quindi le Nazioni Unite non hanno l’autorità per fare domande. Ma HackingTeam non ha mai chiarito se aveva avuto affari in passato con il governo del Sudan.
Ora, grazie ai dati trafugati, sappiamo che li aveva avuti. La fattura, fra l’altro, riguarda solo metà dei pagamenti ricevuti dal Sudan, che ammontano in tutto a 960.000 euro.
David Vincenzetti, CEO di HackingTeam, era indubbiamente al corrente delle perplessità dell’ONU: a febbraio rispose al comitato di esperti delle Nazioni Unite usando toni decisamente aggressivi e dicendo che ogni ulteriore richiesta del comitato di esperti gli sembrava una violazione ingiustificata e ingiustificabile del diritto al segreto commerciale. Il 21 aprile, Vincenzetti addirittura ha accusato l’inchiesta ONU di essere un danno per la reputazione e l’immagine di HackingTeam.
L’ONU ha chiesto ancora a HackingTeam ben cinque volte (l’ultima il 15 maggio scorso) di chiarire se l’azienda avesse mai fatto affari con il Sudan. HackingTeam non ha mai risposto.
Questo muro del silenzio si è infranto con la fuga di dati di ieri, dalla quale sono emersi documenti che smentiscono le parole di HackingTeam. Tanto per cominciare, c’è l’elenco dello stato dei rapporti con vari paesi. Per il Sudan, al posto di Active (attivo) o di Expired (scaduto) usati per gli altri paesi clienti (tranne la Russia), c’è una frase compromettente: “12/31/2014 Not officially supported” (non supportato ufficialmente). Sarebbe molto interessante chiedere ad Eric Rabe di spiegare il significato di questa frase.
La paziente analisi collettiva dei documenti interni di HackingTeam ora resi pubblici ha rivelato oggi anche un altro documento di HackingTeam che parla di una fattura “116/2012” etichettata “NISS” per un importo di 76.000 (euro, si presume) all’interno di un elenco etichettato “Fatture 2013 da riaprire”.
Ma soprattutto sono state segnalate oggi due mail dello staff di HackingTeam in cui viene prestata assistenza al Sudan il 15 gennaio 2014 proprio per il malware di sorveglianza RCS. La scusa che la fattura trafugata è del 2012 e che quindi non ci sono più rapporti con il governo del Sudan ha insomma seri problemi di credibilità.
Trascrizione delle mail (evidenziazioni aggiunte da me):
Da: Alessandro Scarafile [a.scarafile@hackingteam.com] 15/01/14 10:02
Oggetto: Problema core iOS in RCS 9.1.14
A: ornella-dev@hackingteam.com
Vi segnalo un’anomalia urgente e bloccante rilevata in Sudan, durante l’installazione di RCS 9.1.4 + hotfix.
Durante la build di un Installation Package per iOS, si ottiene l’errore “Core for ios not found…” (screenshot allegato).
La cosa è evidentemente collegata alla mancanza dell’indicazione del core per iOS nella sezione Monitor (screenshot allegato).
Segnalo anche che “ogni tanto” (misurato su alcuni login/logout dalla console) non viene mostrato il numero di versione di RCS (screenshot allegato).
Spero che il problema per iOS possa essere risolta [sic] semplicemente caricando a mano il core, in quanto la connessione internet da qui non consentirebbe – al momento – il download di un intero file di installazione di RCS.
Condivido direttamente su “ornella-dev” un altro problema che abbiamo in Sudan, per avere supporto rapido, in quanto siamo di fronte al cliente.
2 Anonymizers correttamente installati. La sezione System della Console continua a mostrare in rosso SOLO quello più vicino al Collector.
Le connessioni in SSH sulle macchine Linux dicono che i sistemi sono up and running; il daemon dell’anonymizer è in piedi e attivo.
“Allontanando” un Anonymizer dal Collector e posizionandolo come ultimo hop… diventa verde in Console.
Non credo questo comportamento possa essere collegato a qualche firewall (che non hanno), in quanto a quel punto il Collector non riuscirebbe nemmeno a parlare con l’Anonymizer più “lontano”.
Avete suggerimenti su cosa potrebbe essere?
Forse qualcosa in fase di installazione? (che spiegherebbe anche i problemi sul core iOS della mia e-mail precedente).
FYI di seguito i dati dei 2 VPS:
IP: 46.251.239.129
User: root
Pass: ousKvawcAH
IP: 46.251.239.130
User: root
Pass: Wb9cofhJjj
Sarà molto interessante chiedere al portavoce di HackingTeam di giustificare questi segni di attività recente con i servizi di sicurezza del Sudan.
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alla gentile donazione di “ste.simon*”, “davidedani*” e “matteo.cam*” ed è stato aggiornato estesamente dopo la pubblicazione iniziale. Se vi piace, potete incoraggiarmi a scrivere ancora. Ultimo aggiornamento: 2015/07/11 18:45.
Stanotte HackingTeam, la controversa società italiana che vende software di sorveglianza a governi d’ogni sorta e per questo è etichettata come “nemica di Internet” da Reporter Senza Frontiere, è stata violata massicciamente: questo è, perlomeno, quanto risulta a giudicare dai 400 gigabyte di suoi dati riservati che sono ora a spasso su Bittorrent, a disposizione di chiunque abbia banda sufficiente a scaricarli e tempo e competenza per analizzarli.
Anche l’account Twitter di HackingTeam (@HackingTeam) è stato violato ed è stato usato per pubblicare schermate del materiale pubblicato e tweet di sfottimento come quello mostrato qui sopra.
Dentro la collezione di dati trafugata, stando ai primi esami, c’è di tutto: registrazioni audio, mail, codice sorgente, credenziali di login per i siti di supporto di Hacking Team in Egitto, Messico e Turchia. Secondo l’analisi dell’elenco di file del pacchetto Bittorrent, i clienti di HackingTeam includono la Corea del Sud, il Kazakistan, l’Arabia Saudita, l’Oman, il Libano e la Mongolia; c’è una fattura da 480.000 euro al NISS (National Intelligence and Security Services) del Sudan, che secondo Human Rights Watch ha soffocato le proteste contro il governo facendo 170 morti nel 2013, e c’è una fattura da un milione di euro tondi alla Information Network Security Agency dell’Etiopia, eppure HackingTeam ha dichiarato di non fare affari con governi oppressivi.
Stando ai dati pubblicati a seguito dell’intrusione, ci sono clienti di HackingTeam nei seguenti paesi: Arabia Saudita, Australia, Azerbaigian, Bahrein, Cile, Cipro, Colombia, Corea del Sud, Ecuador, Egitto, Emirati Arabi, Etiopia, Germania, Honduras, Italia, Kazakistan, Lussemburgo, Malesia, Marocco, Messico, Mongolia, Nigeria, Oman, Panama, Polonia, Repubblica Ceca, Russia, Singapore, Spagna, Stati Uniti, Sudan, Svizzera, Tailandia, Ungheria, Uzbekistan, Vietnam.
Fra questi paesi quello più scottante è il Sudan, perché c’è un embargo ONU contro questo paese e un’eventuale violazione di quest’embargo da parte di HT sarebbe decisamente imbarazzante, viste anche le dichiarazioni passate di HackingTeam, secondo le quali ci sarebbe un “comitato legale” che “tiene conto delle risoluzioni ONU, dei trattati internazionali e delle raccomandazioni di Human Rights Watch e di Amnesty International”. Attenzione: “tenere conto” non è sinonimo di “rispettare”. E in un’intervista a Wireddi febbraio 2014 HT dichiarava che “Siccome il nostro software è potente, lavoriamo per evitare che finisca in mano di chi potrebbe abusarne.” I risultati di questo lavoro si sono visti stamattina.
C’è anche, secondo Christopher Soghoian, un file Excel con tutti i clienti governativi, le date di primo acquisto da HackingTeam e i ricavi accumulati (maggiori dettagli negli aggiornamenti qui sotto).
Non è finita: alcuni screenshot rivelano pratiche di sicurezza davvero imbarazzanti per una società che si occupa di sicurezza informatica a livelli governativi. Ci sono le password di una persona dotata di account di posta su Hackingteam.com, conservate in chiaro in un file (forse custodito dentro un volume cifrato Truecrypt, comunque scavalcato) e costituite principalmente dalla parola Passw0rd usata ripetutamente per più siti.
E la stessa persona conserva sul computer di lavoro dei link a Youporn (aggiornamento 2015/07/11: potrebbe esserci una ragione di lavoro):
Ho contattato il CEO di HackingTeam per avere una dichiarazione sulla vicenda e sono in attesa di risposta.
Se i dati vengono confermati come autentici, è una carneficina digitale e la reputazione di HackingTeam ne esce a pezzi. Alcuni governi si cominceranno a chiedere in che mani hanno messo i loro affari più sensibili.
13:30. La vicenda sta scivolando rapidamente nel surreale. In tarda mattinata Christian Pozzi di HackingTeam si è affacciato su Twitter per dire che l’azienda ha inviato “una mail di massa a tutti i nostri clienti colpiti non appena abbiamo saputo dell’attacco informatico”. Una dichiarazione che suona decisamente come una conferma dell’autenticità dei dati in circolazione.
Non vorrei essere nei panni della persona di HT che deve spiegare ai servizi di sicurezza russi o di altri paesi che i loro dati riservati ora sono a spasso su Internet.
Non è finita: poco dopo che Pozzi ha tweetato la dichiarazione, anche il suo account Twitter è stato violato, probabilmente a causa di una password un tantinello ovvia come quelle mostrate qui sopra. Ora l’account Twitter risulta disattivato, ma non prima che ne siano stati catturati screenshot assolutamente epici.
Questa vicenda sta diventando un perfetto manuale di tutto quello che non va fatto quando c’è una violazione della sicurezza informatica. E anche di quello che non va fatto per evitare che si verifichi. Regola numero uno: quando succede un casino, stai zitto e lascia che parlino gli avvocati.
Intanto emergono dati aggiuntivi: secondo le ricerche degli esperti, nei file trafugati ci sono dati e password dei clienti di HackingTeam, contratti, parametri di configurazione e un file particolarmente compromettente, che elenca lo stato dei vari clienti, con Russia e Sudan etichettati come “non supportati ufficialmente”:
14:10. La vicenda dovrebbe far riflettere, a mio avviso, su tutta la questione dei trojan di stato. Se, come sembra, il codice sorgente del malware creato da HackingTeam è stato pubblicato nel pacchetto di dati trafugati, questo dimostra concretamente quello che gli esperti dicono da anni: non c’è modo per un governo di creare un malware che potrà essere usato soltanto dai “buoni”. Il malware è malware. È tossico per tutti, esattamente come le armi chimiche o batteriologiche. E prima o poi sfugge di mano.
16:30. Un utente, “Phineas Fisher”, si è attribuito con un tweet (parzialmente confermato) il merito di quest’incursione e di quella ai danni di un’altra società dello stesso settore, Gamma, qualche tempo addietro. Intanto dal Torrent sono stati estratti e segnalati online dei file Excel (Client Overview*) nei quali ci sono i clienti e i loro indirizzi di mail e su Github sono stati pubblicati quelli che sembrano essere i codici sorgente trafugati. Ci sono persino degli screenshot dei desktop dei computer del personale della società. La situazione per HackingTeam, insomma, diventa sempre più disastrosa.
17:00. Apple avrebbe dato a HackingTeam un certificato digitale come iOS enterprise developer per firmare le app e quindi farle sembrare sicure e approvate: Subject: UID=DE9J4B8GTF, CN=iPhone Distribution: HT srl, OU=DE9J4B8GTF, O=HT srl, C=IT. Da quel che ho capito (grazie a Manuel W e Maurizio C), questo in teoria avrebbe permesso a HackingTeam di inviare alla vittima via mail o postare su un sito (non nell’App Store) un’app ostile per iPhone/iPad che il dispositivo e la vittima avrebbero ritenuto sicura perché firmata col certificato, bypassando così i controlli che rendono difficile installare malware nei dispositivi iOS. Sarà interessante vedere la reazione di Apple.
18:00.C’è anche la Svizzera, e specificamente la Polizia Cantonale di Zurigo, fra i clienti di HackingTeam. Per la cifra non trascurabile di 486.500 euro la Kantonspolizei ha acquistato a fine 2014 da HT il Remote Control System Galileo (fattura numero 072/2014). Di questo acquisto ho conferma da fonte indipendente. Galileo è uno dei nomi usati da HT per indicare il proprio malware usato per intercettare i contenuti di smartphone (iOS, Android, Windows Phone, BlackBerry, Symbian) e computer (Windows, Linux, OS X) scavalcandone la crittografia. Galileo viene offerto vantandone l’uso per gestire “fino a centinaia di migliaia di bersagli”.
HackingTeam e i suoi clienti difendono spesso l’uso di malware di stato dicendo che è necessario per lottare contro terrorismo, narcotraffico e pedopornografia. Ma quando si parla di “centinaia di migliaia di bersagli” siamo nel campo della sorveglianza di massa della popolazione e quei reati non c’entrano nulla. A meno che qualche governo se la senta di dire che ha in casa centinaia di migliaia di terroristi, spacciatori e pedofili.
21:30. Si stanno accumulando molte domande, anche autorevoli (The Register, Kevin Mitnick), intorno ad alcuni pezzi di codice sorgente (come questo e questo) che a prima vista sembrano istruzioni per piazzare file di contenuto pedopornografico nei dispositivi dei sorvegliati. Prima di fare un’accusa così grave aspetterei un’analisi esperta di quel codice: non vorrei che si trattasse, per esempio, di semplici funzioni usate per creare un file dimostrativo per i test di funzionalità del malware. Quei nomi pippo e pluto, così tipici della programmazione fatta da italofoni, hanno l’aria di utenti demo.
22:45.Motherboard (Vice.com) scrive che HackingTeam “ha detto a tutti i propri clienti di interrompere tutte le attività e di sospendere ogni uso dello spyware dell’azienda”, riferendosi specificamente al software Galileo/RCS. Scrive inoltre che HT non ha più accesso alla propria mail e che probabilmente i 400 GB di dati sono solo una parte del materiale trafugato. L’intrusione sarebbe avvenuta entrando nei computer dei due amministratori di sistema di HT, Christian Pozzi e Mauro Romeo (sì, la persona che usa come password Passw0rd e lo fa ripetutamente è un sysadmin; non ridete). Nessuno dei dati sensibili era cifrato: passaporti dei dipendenti, elenchi di clienti, tutto in chiaro. Il profilo LinkedIn di Pozzi lo descrive come Senior System and Security Engineer, Hacking Team, April 2014 – Present (1 year 4 months).
Correzione: in una versione precedente di questo articolo avevo scritto che il profilo era stato cancellato; invece era online e c’era un errore mio nell’URL che stavo usando.
C’è anche di peggio. Sempre secondo le fonti di Motherboard, il software di HT ha una backdoor (probabilmente questa) che permette a HT di disattivare o sospendere il suo funzionamento, e questo non lo sanno neppure i clienti.
E ancora: ogni copia del software ha un watermark, per cui “HackingTeam, e adesso chiunque abbia accesso a questo dump di dati, può scoprire chi lo usa e chi viene preso di mira. […] è possibile collegare una specifica backdoor a uno specifico cliente. E sembra esserci un una backdoor nel modo in cui i proxy di anonimizzazione vengono gestiti, che consente a HackingTeam di spegnerli indipendentemente dal cliente e di recuperare l’indirizzo IP finale che devono contattare”.
Saranno contentissimi i clienti di HT, che volevano un prodotto che desse loro una backdoor per spiare i loro bersagli e invece si sono trovati con un prodotto che ha anche una backdoor che agisce contro di loro e rivela chi volevano spiare. Sembra un brutto remake di Inception.
Come se non bastasse tutta questa devastazione, su Twitter gira un umiliante abbinamento di carte: da una parte c’è un documento datato 2015 in cui il rappresentante all’ONU dell’Italia, Sebastiano Cardi, dichiara che HackingTeam al momento non opera nel Sudan e chiede che HackingTeam chiarisca se ci sono stati affari precedenti con il Sudan; dall’altra c’è una fattura di HackingTeam al Sudan datata 2012. Sarebbe interessante sapere come si sente ora Sebastiano Cardi.
Correzione: il paragrafo precedente è stato aggiornato per presentare più correttamente il ruolo di Cardi.
23:00. È una disfatta totale: sono finiti online anche gli estratti conto delle carte di credito dei membri di HackingTeam, i file audio, gli screenshot di Pozzi che ha in archivio il file pirata di Cinquanta sfumature di grigio, si collega dal lavoro a un desktop remoto e lo usa per scaricare film pirata su Emule e altre chicche. Vediamo quali altre sorprese ci porterà la notte.
23:55. Vorrei concludere la giornata con un grandissimo grazie pubblico a tutti i lettori che mi hanno aiutato a raccogliere al volo i pezzi di questa vicenda; senza di voi non sarebbe stato possibile, ma siete troppi per potervi ringraziare uno per uno. A domani!
2015/07/07 10:40. Ho sistemato alcune imprecisioni nel testo di questo articolo e ne sto preparando uno supplementare con gli aggiornamenti della notte e del mattino. Eccolo.
L’articolo è stato aggiornato dopo la pubblicazione iniziale.
Ricordate le parole di Samsung a proposito delle sue Smart TV, che possono trasmettere “a terzi” le parole dette quando l’utente attiva il riconoscimento vocale sul telecomando? Ne avevo parlato la settimana scorsa.
L’azienda aveva dichiarato con tono rassicurante che questi dati sensibili venivano trasmessi usando “misure e pratiche di sicurezza conformi agli standard di settore, compresa la crittografia” e che questo avveniva in“tutte” le sue Smart TV. Ma non è vero, e lo sappiamo grazie al lavoro di ricercatori di sicurezza indipendenti come David Lodge della Pen Test Partner. Non tutti i dati trasmessi sono protetti e cifrati: molti sono intercettabili da chiunque.
Lodge ha confermato che queste Smart TV, come ha dichiarato Samsung, registrano e trasmettono a terzi (specificamente la società di riconoscimento vocale Nuance Communications) le parole degli utenti soltanto in caso di comandi complessi (per esempio “Suggerisci un buon film di fantascienza”) e che i comandi di base (cambio di canale, regolazione del volume) vengono riconosciuti direttamente dal televisore senza essere trasmessi, ma ha anche scoperto che contrariamente a quanto detto dall’azienda coreana vengono trasmesse via Internet senza cifratura la registrazione audio e la trascrizione di quello che ha detto l’utente quando ha impartito un comando vocale complesso, insieme a data e ora.
Questo significa per esempio che chiunque sia nel raggio d’azione della rete Wi-Fi usata dalla Smart TV può catturare queste registrazioni e trascrizioni insieme alle conversazioni domestiche o di lavoro che spesso accompagnano i comandi vocali e farsi un’idea piuttosto intima degli orari, delle scelte televisive e delle conversazioni private del vicino di casa. Sarebbe quindi anche possibile alterare i comandi impartiti al televisore.
Samsung si è giustificata precisando che il problema riguarda soltanto le Smart TV meno recenti, per le quali verrà fornito presto un aggiornamento software che correggerà il problema. Ma il modello testato da Lodge è soltanto del 2012 ed è ancora in vendita.
L’articolo è stato aggiornato dopo la pubblicazione iniziale.
Ne avevo parlato nel Disinformatico già a novembre dell’anno scorso: molte Smart TV offrono un sistema di riconoscimento vocale che mantiene costantemente aperto il microfono del televisore e ascolta tutto quello che viene detto nelle sue vicinanze. Su quelle della Samsung, inoltre, se si preme il tasto dei comandi vocali sul telecomando la TV registra la voce dell’utente e la manda via Internet a un servizio di analisi esterno.
Questo è scritto a chiare lettere, per esempio, nelle norme per la privacy delle Smart TV Samsung: “Siete pregati di tenere presente che se le vostre parole pronunciate includono informazioni personali o altre informazioni sensibili, tali informazioni faranno parte dei dati catturati e trasmessi a terzi tramite il vostro uso del Riconoscimento Vocale.”
Ora la vicenda è esplosa in Rete (Punto Informatico, Guardian) e Samsung ha risposto dichiarando che l’utente viene avvisato del fatto che il televisore sta ascoltando perché sullo schermo compare l’icona di un microfono e che comunque il riconoscimento vocale è opzionale e disattivabile. Inoltre, aggiunge sempre Samsung, i dati vengono trasmessi usando “misure e pratiche di sicurezza conformi agli standard di settore, compresa la crittografia”.
Proprio quella crittografia che vari governi, come quello del primo ministro britannico David Cameron, vogliono essere in grado di scavalcare. Inoltre, considerato il livello molto basso delle “misure e pratiche di sicurezza” viste fin qui nel settore degli elettrodomestici “smart”, c’è il rischio che sia molto facile per qualunque malintenzionato intercettare quello che diciamo in casa davanti a una Smart TV.
Proprio da Samsung arriva infatti una nuova perla di affidabilità: numerosi utenti australiani hanno notato che l’app di streaming video delle loro Smart TV inserisce a forza pubblicità della Pepsi nei video registrati dagli utenti stessi. Samsung ha ammesso il problema e ha dichiarato che sembra trattarsi di un “errore” (Ars Technica, The Register). Probabilmente l’“errore” è legato alla collaborazione fra Samsung e Yahoo per inviare pubblicità alle Smart TV.
Ma è così difficile capire che in casa nostra non vogliamo essere sorvegliati, ascoltati e bombardati di pubblicità?
Aggiornamento (2015/02/20): Samsung ha dichiarato che cambierà la formulazione del documento sulla privacy per chiarire meglio cosa viene ascoltato, registrato e trasmesso; inoltre ha indicato che i “terzi” ai quali invia i dati acquisiti sono in questo momento la società Nuance Communications. Al momento, tuttavia, la formulazione pubblicata qui e qui è invariata. Inoltre è emerso che le “misure e pratiche di sicurezza conformi agli standard di settore” sono assenti in alcuni modelli di Smart TV della Samsung.
L’articolo è stato aggiornato dopo la pubblicazione iniziale.
Se avete acquistato una “smart TV”, vi siete mai fermati a leggere le sue condizioni di gestione dei vostri dati personali? Probabilmente no. Probabilmente non immaginavate neanche che un televisore avesse delle condizioni del genere.
Ma le ha, e sono sorprendentemente invadenti e soprattutto vengono cambiate unilateralmente. In pratica, se comprate una “smart TV”, pagate per farvi schedare e spiare: quello che dite mentre il televisore è acceso verrà registrato. Non dai criminali informatici, ma dai produttori di questi dispositivi.
È un problema segnalato da varie fonti, come Techdirt e Salon, i cui esperti si sono presi la briga di leggere le tediosissime pagine informative sulla privacy che accompagnano questi e altri dispositivi “smart”. Per esempio, l’informativa generale di Samsung dice che Samsung “usa tecnologie… che consentono di sapere quando avete visto uno specifico contenuto o una specifica mail” e registra “le app che usate, i siti Web che visitate, e come interagite con i contenuti.”
Non è finita. La seguente perla è presente in questo documento sulla privacy di Samsung (link breve: tinyurl.com/tv-pettegola; versione italiana), specifico per le Smart TV: “Siete pregati di tenere presente che se le vostre parole pronunciate includono informazioni personali o altre informazioni sensibili, tali informazioni faranno parte dei dati catturati e trasmessi a terzi tramite il vostro uso del Riconoscimento Vocale.”
In pratica, se usate le funzioni di riconoscimento vocale incorporate nelle “smart TV”, state attenti a quello che dite quando siete davanti alla TV accesa, perché il riconoscimento non viene effettuato localmente, sul televisore: quello che dite viene trasmesso via Internet a “terzi” (imprecisati; forse Nuance, secondo questo manuale Samsung, pagina 222), che lo analizzano e convertono al volo in comandi.
Come se tutto questo non bastasse, i fabbricanti delle “smart TV” possono cambiare le proprie regole di gestione dei dati personali dopo che avete acquistato l’apparecchio: Techdirt riferisce che LG, per esempio, ha inviato a maggio 2014 un aggiornamento software ad alcune sue “smart TV” che conteneva una modifica di questo genere. L’utente si è trovato obbligato a scegliere fra perdere le funzioni “smart” regolarmente pagate all’acquisto, e quindi trovarsi con un televisore menomato, e consegnare a LG e ai soliti “terzi” (sempre imprecisati) una quantità esagerata di dati personali, comprese “le parole usate per cercare contenuti, i dettagli delle azioni compiute durante la visione (per esempio riproduzione, stop, pausa, eccetera), la durata di visione del contenuto”.
Se a qualcuno tutto questo fa venire in mente 1984 di Orwell, non è il solo, ma ci sono differenze importanti: nella realtà siamo noi a pagare per farci mettere in casa il teleschermo che ci cataloga, ci scheda e ci timbra, e la sorveglianza non è imposta da un governo totalitario, ma viene spinta di soppiatto dai social network e dalle agenzie pubblicitarie. E noi la abbracciamo felici. Neppure Orwell era riuscito a immaginare un futuro così.
Soluzioni? Ce ne sono poche, per ora: non comperare una “smart TV” ma un televisore normale; comperarla ma non collegarla a Internet o filtrarne la connessione e perdere così la maggior parte delle sue funzioni; oppure andare nelle impostazioni della TV e rifiutare di attivare il riconoscimento facciale e vocale. Più in generale, è opportuno far conoscere l’esistenza del problema.
Aggiornamento (2015/02/20): Samsung ha dichiarato che cambierà la formulazione del documento sulla privacy per chiarire meglio cosa viene ascoltato, registrato e trasmesso; inoltre ha indicato che i “terzi” ai quali invia i dati acquisiti sono in questo momento la società Nuance Communications. Al momento, tuttavia, la formulazione pubblicata qui e qui è invariata.
Caricamento commenti...
Devi effettuare l'accesso per postare un commento.
Devi effettuare l'accesso per postare un commento.