Insofferenza da automobile

Leggendo un articolo di Noam Scheiber su Aaron Swartz* (suicidatosi lo scorso 11 Gennaio) ho ricevuto una conferma in merito alla sensazione che provo tutte le volte che sono costretto a guidare un'automobile:

The reason hackers hate driving, the author Steven Levy wrote in his definitive account of the subculture, is that traffic delays “are so goddamned unnecessary the impulse is to rearrange signs, open up traffic-light control boxes, … redesign the entire system.”

Tralasciando il termine hacker che richiederebbe lunghi approfondimenti, è esattamente quello che mi passa per la testa!

* Su Swartz ci sarebbe tanto da dire, riporto di seguito l'introduzione della voce in Italiano presente su Wikipedia:

Aaron Swartz (Chicago, 8 novembre 1986 – New York, 11 gennaio 2013) è stato un programmatore, scrittore e attivista statunitense, co-autore della prima specifica del RSS. Ha co-fondato Reddit e il gruppo di attivismo online DemandProgress. Faceva anche parte dell'Ethics Center Lab[1] della Harvard University. Il 19 luglio 2011 era stato arrestato per aver scaricato 4,8 milioni di articoli scientifici dal database accademico JSTOR, poi liberato dietro cauzione, ed era in attesa di processo, rischiando fino a 35 anni di carcere. Aaron si è tolto la vita l'11 gennaio 2013 impiccandosi nel suo appartamento a Brooklyn, New York.

Sull'influenza A (H1N1)

Evito di sottolineare ancora una volta l'assenza di reale informazione (ad esempio i semplici paragoni con la mortalita' di altre influenze) e quanto ritengo assurdo il seguito che i mass media stanno dando alla pandemia; l'unico vero risultato di tanta disinformazione e' la firma apposta da svariati governi sui multimilionari contratti di acquisto dei vaccini che continueranno ad arricchire le multinazionali del farmaco.

Consiglio invece questo post di un blogger che effettua un analisi sui punti di contatto tra i virus biologici ed i virus informatici, e' compresa anche una sezione relativa all'hacking:

- On Influenza A (H1N1);

Oracle la mancanca di sicurezza ed i vostri curriculum

Credo che la nascita della mia passione per la sicurezza sia da ricondurre ad una ventina di anni fa, gli anni del blue boxing per intenderci. Allora era possibile compiere azioni non del tutto lecite con una estrema semplicità; ricordo ad esempio con un pò di nostalgia l'antidiluviana ITAPAC ed il facile accesso nei primi sistemi VMS o la prima volta che sfogliai i sistemi informativi della casa produttrice dei più famosi zainetti italiani. Poi arrivò Internet e le cose, se possibile, diventarono ancora più semplici: bastava studiare molto poco per potere scrivere semplici script che eseguiti durante la notte ti premiavano l'indomani mattina con l'accesso da root (amministratore) in centinaia di server: la sicurezza era ancora un optional.

Nonostante questi aspetti mi abbiano sempre affascinato, in più di 15 anni di attività nel settore ICT non me ne sono mai occupato professionalmente. Ho sempre continuato a tenermi aggiornato ed a studiare l'argomento durante il mio tempo libero o quando indirettamente ne veniva impattato il mio lavoro quotidiano.

Abbastanza spesso mi capita di riscontrare evidenti buchi di sicurezza sui siti in cui navigono e certe volte lo faccio presente agli amministratori per permettergli di applicare una soluzione, ma generalmente non cerco di approfondire più di tanto.

Questa volta è diverso.

Oracle è una delle più profittevoli e conosciute tra le aziende produttrici di software per la gestione di database e pertanto fornisce i suoi prodotti a multinazionali ed amministrazioni pubbliche di tutto il mondo. Tra gli addetti ai lavori è anche tristemente nota per non dare sufficiente importanza agli aspetti di sicurezza che hanno impatto sui suoi prodotti. Così quando in questi giorni, a seguito di un controllo sulla sicurezza di alcuni sistemi che mi riguardano, ho riscontrato la presenza di un grave problema di sicurezza proprio su un prodotto Oracle ed ho avuto la necessità di verificare quale fosse la soluzione proposta dal produttore, non mi sono sorpreso più di tanto quando ho scoperto che il problema è noto da più di 6 mesi e che Oracle non solo non ha distribuito una patch per la sua risoluzione ma non ha neanche confermato l'esistenza del bug.

Facendo una semplice ricerca su Google ho potuto constatare come questo problema di sicurezza è presente in centinaia di portali anche qui in Italia. Tra aziende, istituzioni e banche questa vulnerabilità permette di accedere ad un numero molto alto di documenti riservarti o comunque non per uso pubblico.

A titolo di esempio riporto il caso di due banche che per via di questa vulnerabilita' rendono disponibili online il loro archivio di curriculum vitae presentati da decine di migliaia di ragazzi. Questi curriculum contengono tutti dati necessari per potere commettere l'ormai noto reato di furto di identità: nome, cognome, foto, data di nascita, residenza, codice fiscale, mail, numero di cellulare ed in alcuni casi anche la firma! Ma a prescindere da questo aspetto la possibilita' di accedere a queste informazioni e' una palese violazione delle norme sulla privacy che tali banche dovrebbero rispettare.

Non scendo nel dettaglio degli aspetti tecnici per via della mancanza di tempo e comunque non e' questo blog il posto piu' adatto per tale tipo di discussioni.

Non potendo quindi procedere a contattare direttamente tutti i clienti di Oracle ho semplicemente comunicato l'esistenza del problema alle prime due banche trovate con una semplice ricerca su Google (quelle che rendono pubblici i curriculum vitae di cui parlavo prima) ed inviato una richiesta di risoluzione ad Oracle (non mi aspetto di ricevere alcuna risposta quanto meno a breve termine).

Intercettazioni telefoniche, segreti di stato e hacker

(7 Settembre 2007: Autorità Greca per la sicurezza e la privacy nelle comunicazioni multa Ericsson)

Politici, star del gossip, imprenditori, dirigenti sportivi.. tutti intercettati. La stampa italiana ha dato ampio spazio agli scandali legati alle intercettazioni a tappeto, più o meno lecite, che si sono svolte negli ultimi anni. Da calciopoli e la Gea World di Alessandro Moggi al provvedimento che il parlamento sta per votare, dalle intercettazioni del Sismi dei giudici stranieri a quelle ai danni di giornalisti di Repubblica.

Non mi dilungherò quindi in considerazioni che tanto spazio hanno trovato e trovano sulle testate giornalistiche ma più semplicemente voglio portarvi a conoscenza di un lungo ma interessante articolo (in Inglese) dal titolo: The Athens Affair, apparso oggi su IEEE Spectrum, rivista pubblicata da Institute of Electrical and Electronics Engineers. Il titolo dell'articolo potrebbe confondere ed essere (e magari presto lo sarà) scambiato per il titolo di un lungometraggio americano ma il suo contenuto non è nè fantascienza nè fiction.

La notizia non è particolarmente recente ma per la prima volta sono stati portati alla luce una serie di elementi tecnici fino ad oggi sconosciuti; consiglio di leggere l'articolo piuttosto che il breve riassunto che segue utile più che altro a chi l'Inglese non lo mastica.

Il sottotitolo dell'articolo è: "How some extremely smart hackers pulled off the most audacious cell-network break-in ever" che in Italiano si traduce più o meno: "Come degli hackers particolarmente in gamba hanno organizzato il più audace attacco della storia ad una rete mobile".

Tutto ebbe inizio il 9 Marzo del 2005 quando venne ritrovato nel suo appartamento il corpo di un ingegnere greco di 38 anni, apparentemente si trattava di un suicidio. Era invece l'inizio di uno scandalo che nei mesi successivi ha attanagliato la Grecia a partire dal suo primo ministro che il giorno dopo ricevette la notizia che il suo cellulare, come quello di un altro centinaio di importanti personalità (ministro degli esteri, ambasciatori, parlamentari europei, etc..), era stato messo sotto controllo.

Gli hacker ebbero la possibilità di agire indisturbati per mesi, registrando telefonate ed acquisendo informazioni su vari segreti di stato. Nel passato l'unico altro episodio paragonabile è quello di un programmatore tedesco che nel 1986 rivendeva segreti di stato Americani ai Russi.

In questo caso gli hacker effettuarono delle modifiche alla parte di software installata in un particolare switch delle stazioni base della rete mobile di Vodafone. Le modifice erano volte a redirezionare le chiamate verso un apparecchio con cui le potevano ascoltare o, all'esigenza, registrare.

Lo switch in oggetto è un Ericsson AXE che, opzionalmente può essere dotato del modulo aggiuntivo IMS (Interception management system) per le intercettazioni. La Vodafone Grecia non si era però fornita di questo modulo ma durante un aggiornamento del software dello switch la Ericsson installò la versione 9.1 che includeva anche il software di gestione dell'IMS, così gli hacker modificarono, senza dare nell'occhio, il software presente sullo switch in modo da nascondere in una particolare area di memoria le numerazioni telefoniche che intercettavano. Inoltre installarono un rootkit appositamente realizzato, ovvero un insieme di software che permetteva di nascondere le tracce di tali intercettazioni.

Le intercettazioni inziarono durante le Olimpiadi di Atene del 2004 (Agosto) e terminarono il 24 Gennaio del 2005 quando, in maniera del tutto casuale, fu scoperto l'operato degli hacker. Vodafone Grecia richiese l'intervento dei tecnici della Ericsson a causa di un malfuzionalmento nell'invio di SMS e durante tale intervento i tecnici si accorsero della presenza del software illecito che oltre a redirezionare le telefonate verso altri apparecchi si occupava anche dell'invio per SMS dei dati necessari alla geolocalizzazione dei cellulari sotto controllo. Il software fu eliminato dagli switch l'8 Marzo del 2005, l'indomani fu ritrovato il corpo dell'ingegnere greco. Ancora oggi non si conoscono i responsabili delle intercettazioni anche perchè Vodafone, multata per l'accaduto di 76 milioni di euro, si è rifiutata di fornire alcuni log che potrebbero aiutare l'indagine.