Perchè Wikileaks fa bene alla sicurezza

Al di là delle valutazioni di merito sull'operato dell'organizzazione guidata da Assange, su quanto siano giuste o no le sue azioni di divulgazione, e al di là delle considerazioni sui contenuti dei dispacci pubblicati, che peraltro sembrano in molti casi dimostrare con chiarezza dei concetti che implicitamente erano già dominio o del pubblico o dei governi, dal punto di vista di un operatore dell'Information Security, Wikileaks non può che condurre a risvolti positivi.
Quale migliore opera di Security Awareness della divulgazione di documenti secretati su ogni giornale, televisione e sito di news? Quale migliore dimostrazione dell'insicurezza di quella di un mito dell'opinione pubblica come il Dipartimento della Difesa degli Stati Uniti d'America, ormai protagonista delle discussioni nei social network, nei forum e nel bar sotto casa?

C'è quindi da chiedersi come mai è stato possibile aggregare ben 1.6 GB di documenti dal database di SIPRNet, la rete del Dipartimento della Difesa statunitense.
Quello che si può supporre è che i controlli siano un poco laschi, per varie ragioni, tra cui quella di permettere un accesso ai documenti più accessibile (sono supposizioni, naturalmente).
Vediamo allora qualche numero:

• 251.297: è il numero totale dei documenti in corso di divulgazione da Wikileaks;
• 133.887 i documenti non classificati o per solo uso "ufficiale";
• 101.748 sono i documenti confidenziali;
• 15.662 sono i documenti classificati come "segreti".

Anche se il numero di documenti segreti è 1/16 del totale, 15.662 documenti segreti costituiscono una fuga di informazioni impressionante.

E' lecito a questo punto porsi alcune domande:

1. davvero i documenti segreti erano gestiti in un database insiema a tutti gli altri?
2. qual è il livello di protezione richiesto per i vari livelli di questi documenti?
3. esiste un controllo dell'accesso in base al ruolo (RBAC - role base access control)?
4. perchè i documenti non sono stati crittografati?

Alla fine dei conti, è fin troppo facile accusare Wikileaks di essere responsabile di sconvolgimenti diplomatici (peraltro, ho molte riserve sulla possibilità che questo si realizzi).
Anche in questo caso si tratta di un concorso di colpe: se il controllo dell'accesso ai documenti o la loro classificazione fosse stata più efficace, forse questa fuga di informazioni non avrebbe avuto luogo. Esistono procedure e strumenti per mettere in opera una classificazione delle informazioni veramente efficace nonché un controllo accessi efficiente.
Per illustrarvi come potrebbe aver avuto luogo la fuga di informazioni, vi faccio un paragone: un'ipotetica agenzia di una banca ha un sistema di sicurezza tale per cui, quando dei rapinatori riescono ad accedere all'interno degli uffici, vengono bloccate tutte le porte di accesso. Ad eccezione di una, perché è sfuggita in sede di analisi, o perché il cavo elettrico è staccato, o perché, ancora, erano finiti i soldi in fase di realizzazione, e l'ufficio dei Servizi Generali ha detto:"Ma sì, è una porta sola, e pure nascosta. Figurati se la useranno mai." I rapinatori, che hanno un basista all'interno della banca, lo sapevano e scappano da lì.
Le frodi e le fughe di informazioni avvengono anche (se non soprattutto) in questo modo: per disattenzione o incuria di chi deve controllare.
E quindi, dove sta la colpa?

Il DOS di Wikileaks

Dario miha fatto notare che la momentanea indisponibilità di Wikileaks è stata causata dagli attacchi dell'hacktivist th3j35t3r.
Di questo hacker se ne sente parlare da qualche mese, da quando cioé è salito alla ribalta delle cronache per aver portato al takedown diversi siti islamici sospettati di arruolare nuove leve alla causa fondamentalista.
La particolarità dei suoi attacchi sta nelle tecniche che utilizza (secondo me, nel caso di Wikileaks, non usa un Distributed DOS, ma solo un DOS ben realizzato) e che sono illustrate in questo video.
Di nuove tecniche miste di attacco si sta parlando recentemente nel mondo della sicurezza: forse il nostro hacktivista sta usando tecniche di evasione, scoperte recentemente da StoneSoft e contro cui ancora poco si riesce a fare.

Nota: Wikileaks costituisce un'interessante inversione di tendenza nella divulgazione dei fatti e th3j35t3r vuol costituire un'inversione di tendenza nelle attività di antiterrorismo (e qui forse abuso di questo termine, ma è giusto per amor dell'iperbole).
L'antiterrorismo, per natura delle attività che va a contrastare, è un insieme di azioni che normalmente devono essere nascoste, in copertura.
Ma in questo caso, contro un'entità come wikileaks che agisce - in parte - allo scoperto, quale arma migliore dell'agire allo scoperto anche nell'attaccarla?
E' un'interessante evoluzione quella a cui stiamo assistendo: non importa che si tratti di un hacker veramente bravo, oppure di un'unità della CIA composta da hacker veramente bravi, che si sono costruiti una finta identità digitale molto realistica.
Quello che conta è che è si possono condurre azioni che un tempo era impensabile solo concepire, agendo allo scoperto, ma utilizzando reti di anonimizzatori (come TOR) per preservare la propria identità.
Quale sarà il prossimo step? Un trojan per la rete TOR scritto da hacker di una nazione teocratica che consentirà di ricostruire il percorso completo di collegamento e di risalire al responsabile di un attacco DOS? Pubblicando in tempo reale la mappa degli attacchi con le lucine che si accendono in corrispondenza dei vari router in giro per il mondo? Oppure un virus progettato da una nazione democratica fatto apposta per colpire determinati sistemi ospitati da un determinato provider in una determinata nazione scandinava?

Come migliorare gli investimenti in sicurezza

Gli investimenti nella sicurezza sono spesso guidati dalla percezione
Quando il Direttore Generale di un’azienda si vede recapitare centinaia di messaggi spam alla settimana, sarà di certo più propenso ad approvare un’investimento in un sistema antispam.
E' qualcosa di tangibile che ha un effetto immediato sulla nostra percezione e interferendo con la nostra possibilità di lavorare: chiamiamo questa una minaccia "rumorosa", che si discosta dall'altro tipo di minaccia, ovvero quella "silenziosa" in grado di causare danni sostanziali, anche senza influire sullo svolgimento del nostro lavoro.
Nel primo insieme ricadono le minacce più conosciute, quelle di cui tutti parlano e quelle per cui è più semplice individuare soluzioni: parlo di virus, worm, spam, ovvero di quei pericolosi e noiosi fattori che giornalmente influenzano la nostra produttività.
La loro visibilità da parte non solo dei vertici aziendali, ma anche dei rispettivi consorti, di figli, amici e parenti tutti, rende più facilmente affrontabili e giustificabili gli investimenti per le contromisure da adottare.
Le minacce più silenziose, quelle che riguardano, ad esempio, la sottrazione di dati, sono molto più insidiose e agiscono con passo felpato. Spesso, quando accadono, risulta difficile dimostrarne l’impatto, e, a fronte di questo, è più arduo richiedere un investimento al proprio management quando non è possibile quantificare una perdita nei profitti o nei propri asset (intesi come elementi del proprio patrimonio).
Purtroppo, come ben afferma Bruce Schneier nel Saggio “Psicologia della sicurezza”, la sicurezza ha due facce: è sia una sensazione sia qualcosa di reale.
La faccia della realtà presenta una sicurezza che utilizza il calcolo delle probabilità per determinare quanto un rischio si possa verificare e come potervi far fronte con adeguate contromisure, data una quantità di informazioni necessaria e sufficiente in grado di supportare l’analisi.
La faccia della sensazione invece riguarda la percezione che noi abbiamo nei confronti delle minacce e delle relative contromisure: queste due facce, sebbene abbiano diversi punti in comune, non coincideranno mai
Le scienze psicologiche e cognitive considerano il “rischio come sensazione” un’importante vestigia del nostro viaggio evolutivo (http://dccps.nci.nih.gov/brp/presentations/slovic.pdf), sostenendo che la sensazione intuitiva è ancora il metodo predominante con cui l’essere umano valuta i rischi.
Un altra motivazione per cui è difficile sostenere un investimento di sicurezza e ottenerne l’approvazione è la visione negativa dell’argomento “rischio”.
Per chi non vi lavora direttamente, e voglio quindi parlare della stragrande maggioranza degli esseri umani, la sicurezza ha una connotazione negativa perché è legata al rischio, elemento di fronte al quale il cervello dell’essere umano, nel processo valutativo di una determinata attività, tende a fare una smorfia di fastidio e a darvi quindi un’importanza inferiore rispetto alle finalità ultime dell'attività (e ai suoi eventuali vantaggi).
Nella tabella seguente (prosaicamente realistica) ho cercato di evidenziare alcune caratteristiche valutative che concorrono alla decisione sull'investimento, comparando una soluzione antispam e un processo/soluzione anti-frode/fuga di dati.

Spam	Frode/fuga di dati
Caratteristiche salienti	Caratteristiche salienti
pericoloso	pericolosa
fastidioso	costosa
originato dall’esterno (grado di fiducia nell’attore: basso)	originata dall’interno (grado di fiducia nell’attore: medio/alto)
Effetti dell’introduzione di un antispam	Effetti dell’introduzione di una soluzione/processo antifrode
Aumento della produttività	Tracciamento dei flussi informativi/delle attività dei dipendenti
Diminuzione del malware in azienda	Allarmi su movimenti sospetti di dati
Il direttore ha la percezione (reale) di lavorare meglio... e quindi ...i dipendenti lavorano meglio	Individuazione
	Prevenzione

È indubbio che il grande clamore intorno ai pericoli di attacchi causati da malware condizioni fortemente gli investimenti in sicurezza per prevenirne gli effetti. Ma una volta che l’azienda viene protetta maggiormente mediante le relative soluzioni anti-, è opportuno che si focalizzi anche sugli altri problemi, quelli che al momento fanno meno rumore.
Forse una soluzione sta nell’aumentare il rumore di fondo che questo tipo di problemi comporta. Un aiuto viene, negli Stati Uniti e nel Regno Unito, da una serie di normative emanate negli ultimi anni che obbligano le aziende a denunciare ogni incidente di sicurezza che abbia avuto una qualche influenza sui fattori di Confidenzialità, Integrità e Disponibilità dei dati dei privati cittadini. The Breach Blog tiene traccia di questi incidenti dandone notizia non appena divulgati.
Le cause di incidenti che vanno per la maggiore sono le perdite di laptop, di CD/DVD o di chiavi USB, la sottrazione di dati di carte di credito, le fughe di dati in genere, l’errore umano nella gestione di dati sensibili o confidenziali.
Da parte nostra ci impegneremo affinché la conoscenza e le notizie vengano diffuse il più possibile, allo scopo di modificare la frase “Gli investimenti in sicurezza sono spesso guidati dalla necessità di adeguamento a normative o regolamentazioni (compliance).” in “Gli investimenti in sicurezza sono guidati dall’effettiva necessità di protezione delle informazioni in azienda.”

La fotocopiatrice moderna: un colabrodo di dati

Perchè un hacker dovrebbe impiegare ore e ore del suo tempo cercando di penetrare i sistemi di una rete aziendale per carpirne i dati più sensibili e confidenziali, quando, con molto meno tempo e meno rischi di essere individuati, basta proporre un rimpiazzo economicamente vantaggioso di una fotocopiatrice?

Da poco meno di una decina d'anni, la maggior parte delle fotocopiatrici è dotata di un hard disk interno che, con l'opzione di default, consente la copia di ogni singola pagina fotocopiata e restituita all'utente su carta.

Un interessante servizio della CBS illustra come è possibile accedere ai dati anche attraverso dei casi pratici: lo potete seguire qui http://www.cbsnews.com/video/watch/?id=6412572n

Una troupe della CBS ha seguito l'attività di un'azienda di smaltimento di materiale tecnologico che rileva fotocopiatrici usate: nei due casi illustrati, migliaia di documenti, contenenti dati confidenziali di cittadini statunitensi, Social Security Number, cartelle cliniche con referti ospedalieri, nominativi di persone indagate dalla polizia,

E' comunque da notare che tutti i maggiori produttori di macchine fotocopiatrici rendano disponibili componenti per la cancellazione sicura o la codifica dei dati conservati su disco: tali componenti richiedono un'ulteriore spesa dell'ordine di qualche migliaio di dollari, rendendo spesso l'investimento su una fotocopiatrice estremamente oneroso.

Per mitigare questo genere di rischi, si possono adottare accorgimenti come l'impiego di meccanismi di codifica o cancellazione sicura e/o contrattualizzare un processo di dismissione che comprenda la rimozione e la distruzione del disco interno o quantomeno la sua cancellazione sicura.
E' inoltre opportuno considerare questo genere di potenziali fughe di dati all'interno dell'attività di risk assessment.

Infine, il Garante della Privacy, nel provvedimento del 13 ottobre 2008, dal titolo "Rifiuti di apparecchiature elettriche ed elettroniche (Raae) e misure di sicurezza dei dati personali" dispone di

adottare idonei accorgimenti e misure, anche con l'ausilio di terzi tecnicamente qualificati, volti a prevenire accessi non consentiti ai dati personali memorizzati nelle apparecchiature elettriche ed elettroniche destinate a essere:

a. reimpiegate o riciclate, anche seguendo le procedure di cui all'allegato A);

b. smaltite, anche seguendo le procedure di cui all'allegato B).

Tali misure e accorgimenti possono essere attuate anche con l'ausilio o conferendo incarico a terzi tecnicamente qualificati, quali centri di assistenza, produttori e distributori di apparecchiature che attestino l'esecuzione delle operazioni effettuate o che si impegnino ad effettuarle."

Controllatemi, per favore! Ovvero, come il fattore umano incide su confidenzialià, integrità e disponibilità

Fino a qualche anno fa, la mia carriera si era svolta come dipendente all'interno di dipartimenti IT.
Ogniqualvolta mi si presentasse la richiesta, da parte del dipartimento Internal Audit o del responsabile della sicurezza, di un monitoraggio delle mie attività e di quelle dei miei colleghi, storcevo il naso: "Ma non se ne parla neanche!", "Abbiamo ben altro da fare, dobbiamo far andare avanti il business!", "Abbiamo bisogno di un elevato grado di libertà e di superare determinate barriere" e poi, in ultimo ma con definitiva determinazione "Ma dal punto di vista della Privacy, hai verificato che si possa fare?"
All'accenno della Privacy dei dipendenti e dei potenziali ostacoli posti dalla normativa italiana sul lavoro e dalle rappresentanze sindacali, il progetto di controlli si arenava silenziosamente e inesorabilmente.
Accade talvolta però che la propria inossidabile resistenza al cambiamento venga intaccata da una serie di eventi che la rendono più duttile e malleabile alle istanze esterne.
Sto parlando di quelle situazioni di difficoltà in cui è necessario dare delle risposte a fronte di interruzioni di un servizio all'utenza, quelle situazioni in cui viene puntato il dito verso un presunto probabile responsabile.
Per ogni servizio esiste un gruppo variegato di stakeholder, costituito dagli utenti del servizio, che possono essere interni o esterni nel caso di servizio in outsourcing, dai responsabili dell'erogazione del servizio e, non ultimi, dagli amministratori di sistema.
Nel caso di outsourcing le cose si complicano sensibilmente, perché all'erogazione di un servizio corrispondono dei livelli di servizio garantiti che hanno delle conseguenze anche economiche.
Ebbene, in che situazione si può trovare l'amministratore a fronte di avvenimenti interruttivi provocati sia da problemi di sistema sia da errore umano?
In qualcosa di questo genere:
- nel non poter dimostrare di non avere effettuato un'operazione che aveva condotto a un'interruzione di servizio;
- nell'incapacità di determinare chi, dei vari sistemisti di un gruppo di supporto, avesse svolto una determinata attività che aveva portato a un'interruzione di servizio;
- ad accumulare ritardi indotti dal tentativo di ripristino di una situazione precedente alle modifiche introdotte alla configurazione (chi caspita si ricordava cosa era stato fatto durante la configurazione e com'era esattamente la situazione prima della modifica?)

Pensate poi a episodi di fughe di informazioni dall'interno. Chi viene messo sotto osservazione per primo? Di certo il dipartimento IT, che è quello che, secondo l'opinione comune, detiene la maggior parte delle conoscenze su sistemi. Sappiamo che questo non sempre è vero per quanto riguarda i dati, che sono spesso dominio di conoscenza di altre funzioni aziendali.

Perché quindi sopportare questo aggravio di responsabilità?
Per garantire la privacy del lavoratore?
Ma un lavoratore, secondo il buon senso, la deontologia e non ultimo il codice civile italiano, non dovrebbe

"..usare la diligenza richiesta dalla natura della prestazione dovuta, dall’interesse dell’impresa e da quello superiore dell’interesse nazionale; deve inoltre osservare le disposizioni per l’esecuzione e per la disciplina del lavoro impartitegli dal datore di lavoro o dai collaboratori di questi da cui il lavoratore dipenda gerarchicamente."(art. 2104 c.c.) ?

E quindi dove si pone il problema nel monitorare soltanto le attività sui processi più critici? Attenzione, io non sto proponendo di monitorare le attività del singolo lavoratore, ma di monitorare ciò che viene effettuato negli ambiti più critici dell'azienda, laddove il livello di attenzione sulla sicurezza deve essere più elevato, pena il detrimento delle attività dell'azienda stessa (e quindi anche di chi lavora per essa).
Quando aumenta la complessità nelle infrastrutture IT, gli amministratori implementano soluzioni che permettono di monitorare e mantenere efficacemente questi ambienti.
Ma spesso la domanda "Chi è stato l'ultimo ad accedere a quel server e cosa ha fatto?" rimane senza risposta.
Non è abbastanza monitorare server e applicazioni quando la causa numero 1 dei downtime è l'errore umano: parlate con un esperto di alta affidabilità e il discorso toccherà presto questo argomento.
In più, il problema di mantenere l'uptime è esacerbato dalla dipendenza crescente dall'outsourcing, da consulenti esterni, da impiegati temporanei e sviluppatori che amministrano server e software, una situazione che porta a una diminuzione della responsabilità diretta.
Per raggiungere un'operatività efficiente, gli amministratori devono avere una visione olistica dell'infrastruttura IT, ivi incluso il monitoraggio del fattore umano.
Ben vengano, quindi, policy, procedure e strumenti che consentono di monitorare le attività negli ambienti critici, che tengano quindi traccia di chi ha fatto che cosa e dove, tenendo ben presente però che:
1) il responsabile del controllo non deve essere una funzione dell'IT;
2) di concerto, gli strumenti non possono venire gestiti in toto dal dipartimento IT (che avrebbe quindi la piena padronanza di essi);
3) deve essere monitorata la loro disponibilità e devono essere istanziati immediati avvisi in caso di non disponibilità dello strumento (per evitare che vengano spenti o sconnessi premeditatamente).

Come funzionario IT mi sentirei più garantito se potessi dimostrare la limpidezza del mio operato e se fosse possibile individuare anche gli errori umani in modo più rapido e preciso.
Chi non vuole permettere tutto ciò, o ha qualcosa da nascondere o non si sente completamente sicuro delle proprie competenze e capacità.

Fuga di informazioni via P2P: da Pfizer in poi

Metti una sposina che, a casa la sera, sola, quando suo marito è fuori a giocare a poker con gli amici, decide di ascoltarsi della buona musica.
Metti che voglia ascoltare proprio l'ultimo CD degli Artic Monkeys, di cui ha sentito un pezzo di sfuggita l'altro giorno in radio e che tanto gli è piaciuto.
Metti che il negozio di dischi sia chiuso e che la sposina non abbia altro a disposizione che il PC del maritino, di cui conosce la password di accesso.
Metti, infine, che sul notebook sia installato Kazaa...
Risultato: la sposina mette a disposizione della rete le informazioni di 17.000 tra impiegati attuali e passati del gigante farmaceutico Pfizer, dati contenenti informazioni sensibili come il Social Security Number associato al nome (leggete l'articolo su The Register per saperne di più).
Dimenticavo: il marito, come è lecito pensare, lavora alla Pfizer.

Risultato per la Pfizer: un'offerta ai dipendenti interessati di un servizio di monitoraggio del credito per un anno.

Cosa possiamo trarre da tutto questo?

Prima di tutto che non dovremmo lasciare le mogli sole a casa la sera, onde evitare accadimenti oltremodo spiacevoli.
Ma ancora più importante è la necessità di una serie di regole che le aziende dovrebbero implementare: innanzitutto di sensibilizzazione e di proceduralizzazione che si estrinseca nel comunicare che alcuni strumenti non possono essere installati dall'azienda e non devono essere installati dai dipendenti.
Dal momento che mettere solo un avviso non basta come misura contro un comportamento indesiderato, sarà necessario impedire questo tipo di comportamenti, e quindi installare appositi sistemi che impediscano l'installazione di software non desiderato oppure che ne consentano il monitoraggio.
Spesso nelle aziende non viene compreso che la maggior sicurezza è un fattore abilitante al proprio business: vengono implementate procedure utili solo qualora la normativa lo richieda.
A nessun ente, poi, viene demandato l'onere del controllo, ma solo nel caso di un procedimento giudiziario sarà possibile scoprire se l'azienda aveva ottemperato agli obblighi normativi (in Italia, la 196/03 impone alle aziende di proteggere i dati sensibili e di adeguare la propria sicurezza con il progredire delle minacce, implementando quindi nuovi sistemi e procedure di controllo).
Gli USA e il Regno Unito hanno fatto un passo in più: impongono alle aziende che hanno subito perdite di dati sensibili di avvisare le potenziali vittime e di darne quindi pubblica notizia.
Certo è che, nemmeno in questo caso, si avrà la sicurezza che l'azienda ottemperi all'imposizione normativa, ma le sanzioni, nel caso che la notizia arrivasse all'autorità giuridica, sono ovviamente severe.
Credo che alla fine il cerchio si debba chiudere sull'azienda che deve raggiungere la consapevolezza del grado di rischio che per sé stessa può avere una perdita di dati: reputazione, danni finanziari, procedimenti giuridici, multe, sono le potenziali conseguenze a cui può andare incontro.
Ho messo per prima la reputazione, proprio perché è quella che ha l'impatto maggiore: sia che si tratti di una banca, sia che si parli di un negozio online, la fiducia che l'utente ha nell'azienda che perde i suoi dati può calare vertiginosamente a fronte di una fuga di informazioni.