Chiesa: «C’è equilibrio tra virtuosi e mercenari»

Nell’analisi condotta tramite il progetto HPP si parla di tre macro-categorie di hacker. I “black hat”, i “white hat” e i cosiddetti “grey”. Spesso alcuni hanno un doppio cappello, ma in generale ci si schiera in una di queste aree. In termini evolutivi quali manifestano maggiore vitalità? E in Italia, semplificando, si gioca più in attacco, in difesa o diciamo “a centrocampo”?

La vitalità maggiore è (quasi a pari merito) dei black e dei white-hats, i due esatti opposti, i due “estremi”. Con il termine “black-hats” intendiamo – è importante specificarlo – quelle categorie di attacker che hanno deciso di superare l’invisibile linea di confine che esiste tra il bene e il male, vale a dire tra l’hacking e il suo utilizzo a fini dichiaratamente criminali. Questa distinzione è talvolta difficile da comprendere al mondo esterno in quanto anche la violazione di un sistema informatico è di per sé un’azione criminosa, punita dalla legge. La distinzione, il confine tra i black-hats e i white-hats consiste proprio nell’andare ben oltre quelle che possono essere le classiche spinte che portano a un’azione di hacking (curiosità, sfida ecc.), arrivando a sposare piani criminali dove il denaro e il potere sono i veri fattori scatenanti. Per fare un punto della situazione, quello che abbiamo osservato è proprio una sorta di equilibrio tra quegli hacker che fanno della ricerca una virtù e chi invece vuole ottenere benefici economici dal donare il proprio know-how al “mercato nero dell’hacking”.

Più volte in Profilo Hacker si dice che dopo l’11 settembre 2003 il massiccio intervento legislativo dei Governi contro i crimini informatici stia portando gli hacker a operare da soli piuttosto che in gruppo o che stia mettendo a rischio la collaborazione, un aspetto storico della cultura hacker. È una fase momentanea o sta cambiando radicalmente il panorama hacker?

Si è trattato di una prima fase momentanea per “osservare un po’ cosa stava accadendo”. La primissima reazione è stata istintivamente quella di esporsi di meno. Questo comportava anche l’operare preferibilmente da soli, evitare i gruppi, la pubblicazione di scoperte troppo scottanti e così via.Successivamente, però, lo spirito della collaborazione è riaffiorato – senza per altro mai essere sparito – ed è parte del panorama hacker, nazionale e internazionale. È successo poi che dopo questa iniziale “pausa” la comunità abbia iniziato a illustrare come molte delle normative e degli interventi tecnologici propri dell’antiterrorismo altro non abbiano fatto che limitare la libertà delle persone normali e oneste…per non parlare delle falle scoperte proprio dagli hacker in questi anni, periodo di grandi in cambiamenti tecnologici e sociali che hanno visto l’emergere di importanti novità quali il passaporto digitale, Rfid o le comunicazioni wireless.

Ancora sui profili finora elaborati. Tra wannabe lamer, script-kiddie, cracker, ethical hacker, quiet-paranoid-skilled hacker, cyber-warrior, spie industriali, agenti governativi e hacker militari quali sono i più diffusi, gli emergenti (in termini di maggiore influenza nel panorama underground) e i più pericolosi?

Emergenti sono sicuramente i wannabe e gli script-kiddie. Complice l’esplosione di Internet, wannabe e script-kiddie riempiono il mercato dell’offerta (e della richiesta), creando trend di settore, alimentando e destabilizzando l’offerta del black-market. Gli ethical hacker – grazie a Dio – proseguono le loro attività, evidenziando vulnerabilità che potrebbero impattare su un mondo e un mercato composto anche da attori etici che non cercano un ritorno economico. Lo spionaggio industriale sicuramente sta aumentando, complice una mancanza di etica e professionalità nel mercato del penetration testing e dell’ethical hacking, di cui le recenti cronache sono peraltro testimoni. Infine, una categoria che sta facendo passi da gigante è quella del military hacker: soggetti assoldati dal mercato militare, dove la parola d’ordine è divenuta Information Warfare, ovvero la guerra dell’informazione.

Sono presenti molte donne nel panorama hacker italiano (così come risulta da HPP)?

Sì, le donne sono presenti e attive: producono, scambiano idee, non vogliono più rappresentare una “minoranza forzata” del panorama dell’hacking. Hanno da dire molto, offrono e pretendono rispetto. La tradizione hacking al femminile è storicamente iniziata dagli Usa, ma oramai interessa l’Europa, l’Asia e l’Australia. Stando ai risultati emersi da HPP, le percentuali di hacker al femminile sono ormai significative, rappresentano una percentuale cospicua e il trend di interesse mira verso aumenti numerici da non sottovalutare.

Avendo analizzato in buona parte di Profilo Hacker anche la storia dell’hacking e alcuni dei profili più noti, rispetto al profilo dell’ethical hacker, ritiene che l’evoluzione della tecnologia modifichi l’etica hacker o esiste un cuore, un “kernel” immodificabile, una filosofia, che sarà sempre uguale e indipendente dall’evoluzione delle tecniche di hacking?

Esiste, di fatto, un “kernel non modificabile”. È altrettanto vero però che quando si parla di “etica hacker” le interpretazioni che si danno al termine sono moltissime. Un conto è rispettare le “regole di base” proprie dell’hacking, un altro è analizzare i delicati confini che esistono tra l’hacking, la legislazione vigente e alcuni aspetti propri dell’etica degli hacker. Sono discorsi, concetti e visioni differenti, che non credo saranno risolte in tempi brevi.

A suo avviso e in base a quanto emerge con la profilazione di HPP quali sono oggi le tecnologie e gli ambiti (telefonia, circuiti elettronici di pagamento, Web ecc.) più sotto pressione/attacco degli hacker?

I trend di attacco principali e maggiore interesse in questo ultimo periodo – essendo la tecnologia in primis, e l’hacking di rimbalzo, delle scienze ad “alta velocità” – hanno principalmente a che fare con le tecnologie wireless (Ieee 802.11*, ma anche Bluetooth e in generale tutto quello che “non ha un filo”) passando per il mobile (Gsm, Gprs, Edge e Umts/3G), le applicazioni Web, il social engineering “evoluto” e gli attacchi a reti Mpls. Non ultimo, la moda di creare botnet e utilizzarle per i fini più disparati. Queste sono le tendenze più recenti. Occorre ricordare come finora ogni singola scoperta proveniente dal mondo dell’hacking abbia incredibilmente, in un modo o nell’altro, aumentato comunque in maniera significativa il livello di awareness, di sensibilizzazione e presa di coscienza degli utenti finali.

Lei ritiene che l’attività di profiling così come definita con il progetto HPP sia in grado di descrivere tutta la realtà del mondo hacker o c’è qualcosa che rimane necessariamente invisibile all’osservazione?

Forzatamente c’è qualcosa che rimarrà oscuro. HPP oggi è alla sua “Fase 2”. Ciò significa che i risultati emersi derivano da questionari e osservazioni sul campo. Il cuore del progetto si svilupperà nei prossimi due anni, arrivando a toccare con mano tecniche di intrusione e attacco, exploit “in the wild” eccetera. È quindi presto per tirare le somme. Questo è anche uno dei motivi per cui uno dei nostri slogan è: “Ci limitiamo a osservare, non a giudicare”. Questa fase del progetto ci ha riservato comunque risultati inaspettati a dimostrazione di come operando con passione in certi ambienti si ottengano ricompense maggiori del previsto.

Non temete che il progetto HPP possa fallire per volontà della comunità hacker di “boicottare” la sua profilazione? E ancora più esplicitamente, le vostre honey-net, i questionari e i vostri database sono sotto attacco di hacker in questa fase del progetto?

Ci siamo posti il problema in fase di progettazione. Questo è uno dei motivi per cui ci sentiamo di affermare che i nostri questionari sono uno degli esempi migliori in tal senso: rispettiamo l’interlocutore, non gli chiediamo neppure il nickname… Abbiamo deciso di cifrare il database dei questionari, ben coscienti dell’elevato interesse che i dati in nostro possesso potrebbero suscitare presso alcune agenzie governative o servizi di intelligence. Allo stesso modo, ci siamo sottoposti ad attacchi distribuiti, richiedendo l’aiuto di membri della comunità proprio per stimare il livello di sicurezza esistente presso il database e le applicazioni Web. Abbiamo ricevuto commenti e osservazioni anche pesanti al progetto: la soluzione è stata il dialogo. Stiamo portando avanti un progetto di ricerca trasparente, sincero, guidato dalla passione. Chi ci sta rispondendo ha capito questi concetti e lo spirito che c’è dietro, spinto dalla voglia di dire la verità rispetto a un mondo troppo spesso dipinto come oscuro, criminale e “non pulito”. Il panorama nazionale e internazionale dell’hacking è invece composto da molteplici attori, motivazioni, spinte e ideali. Ci sembrava eccessivamente superficiale limitarsi alle descrizioni e alle categorie conosciute oggi dalla cultura di massa.

Nel lungo termine, quali risvolti pratici o applicativi prevedete per HPP?

Arrivare alla pubblicazione di una metodologia, libera, accessibile e integrabile da chiunque abbia qualcosa di concreto da dire, che permetta il profiling di un agente di minaccia, a fronte di un’intrusione informatica, sulla base di seri approcci scientifici, ben lontani dal pressappochismo di oggi. Fotografare un mondo che è in continua crescita, sviluppo, cambiamento, prendendo le distanze da quei cliché e quei preconcetti che ancora oggi esistono nei confronti degli hacker.