Come un hack su larga scala renderebbe disastroso l'Internet of Things

I racconti catastrofistici sull'Internet of Things stanno appassionando tutti. Trattano di auto (con o senza pilota), di reti elettriche, dighe e sistemi di ventilazione delle gallerie. Un racconto ambientato nel prossimo futuro pubblicato pochi mesi fa sul New York Magazine, particolarmente vivido e realistico, descrive un cyberattacco a New York in cui vengono colpite le auto, il sistema idrico, gli ospedali, gli ascensori e la rete elettrica. In questo genere di racconti, muoiono sempe migliaia di persone e tutto degenera nel caos. Nonostante questi scenari ingigantiscano i danni di massa, i rischi per i singoli sono reali. I computer e la sicurezza di rete tradizionali non sono ancora preparati per contrastarli.

Gli aspetti fondamentali nella sicurezza dell'informazione classica costituiscono una triade: riservatezza, integrità, disponibilità. L'acronimo è "CIA," (confidentiality-integrity-availability)—e in effetti può creare confusione, parlando di sicurezza nazionale. Essenzialmente, le tre cose che si possono fare con i dati sono: rubarli (riservatezza), modificarli (integrità) o impedirvi l'accesso (disponibilità).

Finora, a essere minacciata è stata soprattutto la riservatezza. Cosa che può costare parecchio: uno studio ha stimato che subire una violazione della riservatezza dei dati può costare mediamente 3,8 milioni di dollari (3,4 milioni di euro). E può causare imbarazzo: come nel caso delle foto di celebrità rubate dall'iCloud di Apple nel 2014 o del furto di dati ai danni del sito di incontri Ashley Madison nel 2015. Può causare anche danni: come quando il governo della Nord Corea ha rubato decine di migliaia di documenti interni della Sony o come quando degli hacker hanno rubato gli account di circa 83 milioni di clienti di JPMorgan Chase, tutto nel 2014. Possono intaccare persino la sicurezza nazionale: come nel caso del furto di dati dell'Office of Personnel Management da parte—presumibilmente—della Cina, nel 2015.

Per quanto riguarda l'Internet of Things, le minacce all'integrità e alla disponibità dei dati possono avere conseguenze molto più gravi rispetto a quelle rivolte alla riservatezza. Un conto è se la vostra serratura della porta digitale viene hackerata per sapere chi c'è in casa, un altro conto è se questa può essere hackerata per permettere a un ladro di aprire la porta—o impedirti di entrare in casa. Un hacker che può negarti l'accesso alla tua auto, o controllarla a distanza, è molto più pericoloso di uno che origlia le tue conversazioni per sapere dov'è la tua auto.

Con l'avvento dell'Internet of Things e dei sistemi cyber-fisici in generale, è come se avessimo dotato internet di piedi e gambe: la capacità di agire direttamente sul mondo fisico. Quelli che una volta erano attacchi a dati e informazioni, ora sono attacchi alla carne, all'acciaio e all'asfalto.

Le minacce attuali includono la possibilità di causare incidenti aerei violando le reti di computer, di disattivare le auto a distanza, sia quando sono spente e parcheggiate sia mentre corrono in autostrada. C'è preoccupazione per la manipolazione dei conteggi delle strumenti per le votazioni elettroniche, per i tubi dell'acqua congelati tramite termostati hackerati e per gli omicidi a distanza attraverso attrezzature mediche hackerate. Le possibilità sono praticamente infinite. L'Internet delle cose comporta dei rischi che non possiamo nemmeno immaginare.

L'aumento dei rischi è causato da tre fattori: sistemi controllati tramite software, interconnessioni tra i sistemi e sistemi automatici o autonomi. Vediamoli punto per punto:

Controllo dei software. L'Internet delle cose implica che tutto si trasformi in un computer. Questo ci concede enorme potere e flessibilità, ma comporta anche delle insicurezze. Se sempre più oggetti sono controllati da software, queste diventano vulnerabili agli attacchi che abbiamo visto contro i computer. Dato che la maggior parte di questi prodotti sono molto economici e durano a lungo, molti dei sistemi di riparazione e di aggiornamento che funzionano con i computer e gli smartphone, in questo caso non si rivelano utili. Al momento, l'unico modo di sistemare la maggior parte dei router è buttarli via e comprarne di nuovi. Con il frigorifero e il termostato, non si ha la stessa sicurezza che fornisce il rimpiazzare computer e il telefono ogni pochi anni: il frigo lo cambi mediamente ogni 15 anni, il termostato forse mai. Una recente indagine di Princeton mostra che ci sono 500.000 apparecchi insicuri connessi a internet. Questo numero è destinato ad aumentare.

Interconnessioni. Quando i sistemi sono interconnessi, la vulnerabilità di uno permette che altri vengano attaccati. È già successo che degli account Gmail venissero compromessi attraverso delle vulnerabilità dei frigoriferi Samsung, che delle reti informatiche degli ospedali venissero compromesse attraverso delle vulnerabilità degli apparecchi medici e Target Corporation è stata attaccata attraverso una vulnerabilità nel sistema HVAC. I sistemi sono pieni di esternalità che colpiscono altri sistemi in modi imprevisti e potenzialmente dannosi. Ciò che può sembrare positivo per i designer di un determinato sistema diventa dannoso, se combinato con altri sistemi. Le vulnerabilità di un sistema si riversano in altri sistemi e ne risulta una vulnerabilità che nessuno aveva previsto e che nessuno si prende la responsabilità di sistemare. Con l'Internet of Things aumenteranno le vulnerabilità. È matematico: se 100 sistemi interagiscono fra loro, le interazioni sono circa 5000 e possono risultarne 5000 potenziali vulnerabilità. Se 300 sistemi interagiscono fra loro, si tratta di 45000 interazioni. 100 sistemi: 12,5 milioni di interazioni. La maggior parte delle quali saranno benigne o irrilevanti, ma alcune saranno molto pericolose.

Autonomia. I sistemi dei computer sono sempre più autonomi. Comprano e vendono in stock, accendono e spengono fornaci, regolano il flusso elettrico sulla rete e —nel caso delle auto senza pilota—guidano automaticamente veicoli pesanti verso le loro destinazioni. L'autonomia ha molti vantaggi, ma dal punto di vista della sicurezza, significa che gli effetti di eventuali attacchi possono agire immediatamente, automaticamente e ovunque. Meno umani ci sono al lavoro, più gli attacchi possono causare danni in poco tempo e più perdiamo la nostra capacità di contare su degli esseri umani in grado di notare quando qualcosa non va prima che sia troppo tardi.

Costruiamo sistemi sempre più potenti e sempre più utili. L'effetto collaterale è che sono sempre più pericolosi. Per una vulnerabilità, la Chrysler ha dovuto ritirare 1,4 milioni di auto nel 2015. Siamo abituati a sentir parlare di virus che attaccano i computer su larga scala—basta pensare alle infezioni da virus su larga scala degli scorsi decenni—ma non siamo pronti ad aspettarci che succeda lo stesso con tutti gli altri oggetti.

I governi stanno prendendo nota. L'anno scorso, sia il direttore del National Intelligence James Clapper che il direttore dell'NSA Mike Rogers si sono presentati al Congresso degli USA per metterlo in guardia da questo tipo di minacce. Entrambi credono che siamo vulnerabili.

Ecco che cosa c'era scritto nel Worldwide Threat Assessment 2015 del DNI (Director of National Intelligence): "La maggior parte delle discussioni riguardanti le minacce via internet riguardano la riservatezza e disponibilità di informazioni; il cyber-spionaggio mina la riservatezza, mentre le operazioni di denial of service e di cancellazione di dati ne minano la disponibilità. In futuro, comunque, potremo vedere più operazioni che cambieranno o manipoleranno le informazioni elettroniche allo scopo di comprometterne l'integrità (cioè l'accuratezza e l'affidabilità) invece di cancellarle o interrompere l'accesso a esse. La capacità decisionale di funzionari governativi (civili e militari), organismi dirigenziali, investitori e altri è compromessa, se non possono fidarsi delle informazioni che ricevono."

La relazione sulla sicurezza del DNI del 2016 includeva qualcosa di simile: "le future operazioni informatiche porranno quasi certamente sempre più enfasi sul cambiare o manipolare i dati per comprometterne l'integrità (cioè l'accuratezza e l'affidabilità) per intaccare la capacità decisionale, ridurre la fiducia nei sistemi o causare condizioni fisiche avverse. La maggiore diffusione di dispositivi collegati all'Internet delle cose e all'intelligenza artificiale—nell'ambito dei servizi pubblici o della sanità—non farà che esacerbare questi potenziali effetti".

Gli ingegneri che si occupano di sicurezza stanno lavorando a tecnologie che possano mitigare gran parte dei rischi, ma solo grazie all'impegno del governo queste soluzioni potranno essere impiegate. Il mercato non può rimediare da solo. Come la sicurezza dei dati, i rischi e le soluzioni sono troppo tecnici perché la maggior parte delle persone e delle organizzazioni possa prenderli in considerazione; le aziende sono interessate a nascondere ai loro clienti, agli utenti e alla gente il fatto che i loro sistemi siano insicuri; le interconnessioni possono rendere impossibile il collegamento tra il furto di dati con i danni che ne risultano; e gli interessi delle aziende spesso non coincidono con gli interessi delle persone.

È necessario che i governi facciano di più: fissando norme, facendole rispettare e implementando soluzioni tra le aziende e le reti. Mentre il Cybersecurity National Action Plan della Casa Bianca dice alcune cose giuste, non va abbastanza in là, perché molti di noi hanno la fobia delle soluzioni guidate dal governo.

Il prossimo presidente degli Stati Uniti probabilmente sarà costretto a gestire una catastrofe su larga scala legata a internet, che causerà molti morti. Spero che lui o lei si rendano conto del fatto che il governo può fare molto di più rispetto all'industria e che risponda con la volontà politica di affrontare il problema.

Bruce Schneier è un tecnico della sicurezza e uno scrittore. È il CTO della Resilient Systems, Inc., un'azienda di IBM,e il suo ultimo libro è Data and Goliath: The Hidden Battles to Collect Your Data and Control Your World. Il suo blog è schneier.com.