Un nuovo attacco informatico. Un DDOS, un diniego di servizio distribuito, causato cioè da decine di migliaia di richieste di servizio da parte di computer resi “zombi” su Internet. Crolla il sito, i server si impallano, le aziende ci rimettono qualche milione di dollari se l’attacco dura troppo a lungo.
Non c’è apparentemente niente di nuovo: è un gioco che va avanti da tempo. Questo tipo di attacchi non sono filtrabili se non utilizzando una enorme potenza di calcolo e alla fine si tratta solo di una prova di muscoli: ha più potenza a disposizione l’attaccante oppure ne ha di più il difensore? Gli attaccanti utilizzano sistemi sempre più sofisticati per raggruppare computer infettati e resi “zombi” in quelle che vengono chiamate “bot net”, reti di robot in senso etimologico: veri e propri schiavi che fanno il lavoro sporco. Uno, cento, mille, diecimila, e tutti assieme generano gigabit di traffico, fino a creare veri e propri maremoti da un terabyte e più.
Niente di nuovo: secondo Norton by Symantec Roma, ad esempio, è terzo posto in Europa, Medio Oriente e Africa per concentrazione numerica di queste botnet. Fino a oggi per via dell’incuria nella manutenzione dei PC: tipicamente grandi aziende o pubblica amministrazione, ma anche paesi come il Brasile dove moltissimi tra quelli che si connettono (tipicamente con Windows) hanno macchine piratate e compromesse.
Adesso c’è però un cambiamento in atto, che spienge addirittura il guru della sicurezza informatica mondiale Bruce Schneier, a scendere in campo. Si tratta dell’ultimo attacco “Krebs”: «Al posto dei computer tradizionali per la botnet – dice Scheier – sono state usate webcam e telecamere a circuito chiuso, videoregistratori digitali, router casalinghi e altri computer embedded che sono parte di quella che viene chiamata la Internet of Things».
Il problema da un punto di vista teorico non è nuovo: da lungo tempo si parla della fisiologica insicurezza della IoT: apparecchi non aggiornabili e soprattutto creati da aziende e programmatori che non hanno mai avuto capacità, tempo e interesse per creare codice sicuro: Microsoft, Apple e tutti gli altri grandi lavorano a lungo e investono grandi somme di denaro per avere programmatori capaci di sviluppare apparecchi sicuri e aggiornabili, con team di esperti che continuano ad aggiornarli anche dopo che sono stati venduti. Questo non accade invece per milioni di apparecchi connessi alla rete e dotati di un indirizzo IP.
«Si è detto molto sull’insicurezza della IoT – prosegue Schneier –. E infatti il software usato per l’attacco Krebs è semplice e amatoriale. Quello che questo attacco dimostra è che l’economia dietro alla IoT implica che questi apparecchi rimarranno insicuri a meno che il governo non voglia entrare nella questione e risolvere il problema. Questo è un fallimento del libero mercato che non si risolve da solo».
Il ragionamento interventista di Schneier è molto semplice: il mercato non risolverà da solo questo problema perché né il venditore né l’acquirente hanno interesse a farlo. Quello che occorre è una regolamentazione che lo imponga. Le conseguenze di questa ipotetica normativa internazionale sarebbero molto interessanti e toccherebbero tantissimi produttori (soprattutto terzini asiatici) e milioni e milioni di consumatori in tutto il pianeta.
