L’etica dell’hacker

L’etica dell’hacker

Vi sono molti equivoci e fraintendimenti riguardo l’hacking e tale situazione di disorientamento è stata sinora aggravata dai mezzi di informazione, tendenti per loro natura alla ricerca del sensazionale. L’utilizzo di termini alternativi non è servito a granché, ciò che occorre è una diversa mentalità. Gli hacker sono individui con spirito innovativo e una conoscenza approfondita delle tecnologie. Essi non sono necessariamente dei criminali, sebbene, se è vero che il crimine paga, vi saranno sempre dei criminali che sono al tempo stesso degli hacker. Non c’è nulla di eticamente riprovevole nelle conoscenze che hanno gli hacker, malgrado le loro potenziali applicazioni.

Jon Erickson, L’arte dell’hacking

Soltanto cinque secoli fa, all’epoca, per intenderci, di Leonardo da Vinci, la scrittura era l’unico modo sicuro per trasmettere delle informazioni, e lo sarebbe stato ancora per molto tempo. Proprio a quel periodo, tra l’altro, risale la nascita dei servizi postali moderni: si scriveva una missiva, questa veniva presa in carico da un corriere che la portava alla stazione postale, dove contestualmente avveniva il cambio dei cavalli e del corriere, che riprendevano il viaggio fino a destinazione o alla successiva stazione. Non erano rari, in quegli anni, i furti di posta, spesso perpetrati per sottrarre informazioni politiche o militari.
Oggi, in un’epoca di continue rivoluzioni tecnologiche, la situazione è la stessa, anche se cambiano i mezzi. Non ci sono più cavalli ma cavi sottomarini che trasportano dati. Non ci sono più corrieri ma fornitori di accesso a Internet. Non ci sono più inchiostro e calamaio ma bit. I protagonisti, invece, rimangono i medesimi: gli stessi esseri umani dei tempi di Leonardo. Se la costante di cinque secoli di storia è la stessa, per quanta tecnologia abbiamo e avremo, non cambieranno mai ambizioni e motivazioni. E così, per esempio, quei furti di posta ai cavalli, oggi, sono diventati “attacchi Man in the Middle” tra due computer.

Cos’è un attacco Man in the Middle

Attacco man in the middle è una terminologia impiegata nella crittografia e nella sicurezza informatica per indicare un attacco informatico in cui qualcuno segretamente ritrasmette o altera la comunicazione tra due parti che credono di comunicare direttamente tra di loro.

Wikipedia

Questione di etica

Per rispondere alla spinosa questione, occorre tirare in ballo Steven Levy, giornalista e autore di alcuni dei più celebri libri su computer e tecnologia. Uno di questo è Hacker. Gli eroi della rivoluzione informatica, uscito nel 1984. Qui, per la prima volta, compare il concetto di “etica hacker”, una sorta di linea di condotta che deve seguire il vero hacker. Levy spiega nel dettaglio i principi generali di quest’etica, io provo a riassumerli:

• l’accesso ai computer – e tutto ciò che può insegnare qualcosa sul modo in cui funziona il mondo – dovrebbe essere libero e illimitato;
• tutta l’informazione dovrebbe essere libera;
• dubitare dell’autorità, promuovere la decentralizzazione;
• gli hacker dovrebbero essere giudicati per il loro hacking, non per falsi criteri quali gradi, età, razza o posizione;
• puoi creare arte e bellezza su un computer;
• i computer possono cambiare la vita in meglio;
• come con la lampada di Aladino, si può fargli fare ciò che si vuole (al computer).

Sulla base di questi semplici punti, nel corso degli anni si è sviluppata un’identità hacker molto precisa. Quella, cioè, di un individuo in possesso di conoscenze approfondite che le utilizza per portare delle tecnologie, di qualsiasi tipo, oltre i loro limiti. Ma sempre e comunque spinto dalla ricerca di un miglioramento per la società. A volte, questo miglioramento passa per la denuncia di chi viola i principi sociali o che rischia di infangarli.

È da questo assunto che è partito il lavoro di Phineas Fisher: far venire a galla i loschi traffici di Hacking Team.

Phineas Fisher

Phineas Fisher (noto anche come Phineas Phisher , Subcomandante Marcos ) è un attivista hacker non identificato e un rivoluzionario anarchico autoproclamato . Tra gli hack degni di nota figurano la società di sorveglianza Gamma International , il Sindicat De Mossos d’Esquadra (SME, sindacato delle forze di polizia catalane ) e il Partito turco per la giustizia e lo sviluppo al potere .

Hacking Team

Hacking Team è stata una società di tecnologie informatiche con sede a Milano, nota per aver venduto servizi di intrusione offensiva e di sorveglianza a moltissimi governi, organi di polizia e servizi segreti di tutto il mondo (sono stati costruiti rapporti e relazioni anche a diretto riporto del Presidente degli Stati Uniti d’America, lavorando con NSA, CIA ed FBI). I suoi sistemi di controllo remoto sono stati utilizzati soprattutto per la lotta al terrorismo, al narcotraffico internazionale e alle mafie, in quanto hanno permesso di monitorare le comunicazioni degli utenti Internet, decifrare file ed e-mail criptate, registrare conversazioni telefoniche, Skype e altre comunicazioni Voice over IP, attivare a distanza microfoni e videocamere sui computer presi di mira, tenere sotto controllo telefoni cellulari (telefonate, rubriche, SMS, spostamenti, calendari ecc.), leggere e rilevare anomalie nel mondo dei social network.

La società è stata criticata per aver fornito tali servizi a governi scarsamente rispettosi dei diritti umani. Hacking Team ha dichiarato, ma senza dimostrarlo, di essere stata in grado di disabilitare i software distribuiti in caso di uso non etico.

Nel luglio 2015 la società è rimasta a sua volta vittima di attacco hacker, per effetto del quale molto materiale altamente riservato è stato reso di pubblico dominio.

Hacking Team: l’epilogo

All’alba del 6 luglio 2015, l’account Twitter di Hacking Team, specializzata dunque nello sviluppo di software spia venduti in tutto il mondo, pubblica un messaggio:
Since we have nothing to hide, we’re publishing all our e-mail, files, and source code mega.co.nz/#!Xx1lhChT!rbB… infotomb./eyyxo.torrent

Che suona come “Siccome non abbiamo nulla da nascondere, pubblichiamo tutte le nostre e-mail, tutti i file e tutto il codice sorgente mega.co.nz/#!Xx1lhChT!rbB… infotomb./eyyxo.torrent”.
Fino a quel momento, Hacking Team si era sempre professata una società molto attenta a scegliere i suoi clienti. Governi integerrimi impegnati nella lotta al crimine, unità dedite all’antiterrorismo, agenzie investigative dall’etica irreprensibile. Tuttavia, facendo clic sui link di
quel messaggio Twitter, oggi non più attivi, si arrivava a scaricare una quantità impressionante di dati che dimostravano tutt’altro. Per esempio, che tra i fruitori di quei software di spionaggio vi erano governi che imponevano la più stretta censura nel proprio Paese, arrivando a perseguitare chiunque tentasse di mettere a nudo i loschi affari in cui erano coinvolti. Tariffari, elenchi di clienti ed e-mail, che dimostravano che Hacking Team era una società con ben pochi scrupoli, non erano che la punta dell’iceberg, in realtà. Nei circa 400 gigabyte di dati disponibili, infatti, si trovavano anche i “codici sorgente” dei software dell’azienda milanese. In pratica, le istruzioni più intime che davano vita ad alcuni dei più potenti programmi di spionaggio e intercettazione dell’epoca. Da quel momento, quei codici erano a disposizione di tutti. Cioè, sia di chi andava in cerca di prove per inchiodare Hacking Team riguardo ad affari molto loschi, sia di chi cercava di realizzare software ancora più efficaci e aveva modo di studiare, per la prima volta, quelli di uno dei più blasonati concorrenti. Si scoprì così, tra le altre cose, che Hacking Team era in possesso di un gran numero di exploit 0-day, vale a dire tecniche con cui sfruttare vulnerabilità di cui buona parte della comunità di esperti di sicurezza non era a conoscenza. E questo significava poter realizzare software difficilmente intercettabili, che venivano venduti, per questo, a peso d’oro. In pratica, la ricerca del gruppo di Hacking Team era finalizzata
all’arricchimento, e non ci si ponevano troppi problemi su chi utilizzasse quei software. Che ora, però, erano a disposizione di tutti. A titolo gratuito. Ah, piccolo particolare: tutta questa manna digitale non era stata messa online da Hacking Team, ma da un individuo, il cui nickname era Phineas Fisher, che era stato in grado di intrufolarsi nella rete dell’azienda per parecchio tempo. Quello necessario a trafugare400 gigabyte di dati per poi metterli online.

Phineas Fisher si è comportato, a tutti gli effetti, da hacker, il difficile è stabilire di che tipo.
Forse non sai, infatti, che gli hacker possono essere inquadrati in tre categorie piuttosto diverse tra loro. Sono contraddistinti da un “cappellaccio”, tipo quello indossato dagli stregoni in romanzi e film fantasy, di colore diverso a seconda della loro indole. Gli hacker “buoni” sono, dunque, i white hat hacker (gli “hacker dal cappello bianco”). Si tratta di ricercatori di sicurezza, dediti in particolare al penetration testing, cioè alla ricerca dei punti vulnerabili di un sistema al fine di migliorarne le difese. Se questa ricerca è invece finalizzata a sfruttare quelle vulnerabilità per prendere possesso di un sistema per scopi malevoli, o di lucro, ecco che abbiamo i black hat hacker (gli “hacker dal cappello nero”). In qualche modo, Hacking Team potrebbe essere collocata in questa categoria, poiché sfruttava vulnerabilità poco o per nulla note per vendere software-spia al miglior offerente. Con il passare del tempo si è affermata anche una categoria intermedia: quella dei grey hat hacker (gli “hacker dal cappello grigio”). Di base un hacker dal cappellaccio bianco è solito rilevare delle vulnerabilità, comunicarle al proprietario del sistema che ne soffre e, una volta sistemate o nel caso mancasse un feedback, renderle pubbliche. Il grey hat hacker non ha questa visione globale della sicurezza: in genere tiene le vulnerabilità per sé e si offre al proprietario del sistema per porvi rimedio, in cambio di una certa cifra. Inoltre, un hacker dal cappellaccio grigio, pur non perseguendo fini malevoli, non si limita a trovare vulnerabilità ma spesso decide anche di sfruttarle, effettuando accessi non autorizzati ai sistemi. Magari solo come sfida a se stesso, ma tanto basta per discostarsi dal white hat hacking. In questa “zona grigia”, ultimamente, si fanno ricadere anche tutti quei ricercatori di sicurezza che, per varie ragioni, al fine di testare e verificare le difese di un sistema, lo violano con tecniche poco ortodosse.
Capisci bene che non è semplice etichettare un hacker in un modo o nell’altro, e che spesso il suo operato lo porta a indossare cappellacci di vario colore anche nella stessa giornata. Gli integerrimi puristi, comunque, sono concordi nell’affermare che chi si “sporca” una volta, si sporca per sempre.

Ethical hacker

Questa definizione, piuttosto recente, è equivalente a quella di white hat hacker. Si tratta di un hacker etico che effettua la ricerca di vulnerabilità e di tecniche per porvi rimedio, in modo legale, di comune accordo con chi ne viene colpito. Anche in questo caso vi sono diverse scuole di pensiero sul concetto di hacking etico, ma in linea di massima si intende una metodica che simula, ma senza conseguenze, l’attività di un hacker malevolo (un black hat hacker).

Da quanto detto finora abbiamo un quadro abbastanza preciso di quel che si intende per “hacker” nell’ambito della sicurezza informatica. In fondo, l’obiettivo comune è la ricerca di punti deboli, perpetrata con tecniche più o meno avanzate, utilizzando o meno appositi strumenti software. Poi, si è liberi di sfruttare questi punti deboli (questa fase è detta exploit) in base al proprio credo e alle proprie necessità. Per questo motivo, dal punto di vista delle nozioni, non c’è differenza tra un tipo di hacker e un altro.

Funziona un po’ come un coltello affilato: a seconda di chi lo impugna, può essere utilizzato per creare piatti da grande chef o per commettere un crimine, ma lo strumento è il medesimo.

(44)