Ecco come il CERN combatte gli hacker

La sicurezza informatica è tutta una questione di equilibrio—si tratta di tenere al sicuro utenti e dati, senza compromettere né la facilità d'uso, né l'efficienza. Al CERN, l'Organizzazione europea per la ricerca nucleare che ospita il noto acceleratore Large Hadron Collider (LHC), il difficile compito di coordinare la sicurezza dei sistemi, senza compromettere il clima di libertà accademica, è affidato a Stefan Lueders.

Lueders, addetto alla sicurezza informatica, ha spiegato a Motherboard via telefono che, tra professori, tecnici e altri dipendenti, il CERN deve monitorare costantemente circa 40.000 dispositivi personali; altri accademici e ingegneri, poi, si connettono da remoto. I due principali centri di elaborazione dati dell'organizzazione, in Svizzera e in Ungheria, contano circa 100.000 dischi rigidi e un totale di 13.000 server.

A questo si aggiunge la rete di elaborazione dati del Cern, che si estende tra Nord America, Europa e Asia e riprocessa i dati generati dai vari esperimenti. Anche i sistemi di controllo devono essere protetti e il CERN ospita circa 10.000 siti web.

"La superficie è vasta," mi spiega Lueders. E questa superficie viene costantemente messa alla prova: le minacce includono attacchi denial-of-service di bassa lega, hacker che analizzano i server web del CERN alla ricerca di qualche vulnerabilità e chi tenta di farsi largo nei sistemi con la forza bruta. "Succede continuamente," dice Lueders.

"Ogni giorno qualche computer viene infettato, qualche password viene compromessa tramite phishing o rubata in un internet cafè da qualche parte nel mondo. Queste cose succedono regolarmente a ogni altra organizzazione, a ogni altra università. È lo stesso problema per tutti."

Un paio di volte l'anno il CERN subisce qualche attacco più sofisticato, aggiunge Lueders. Nel complesso questi tentativi di hacking non sembrano provenire da nessun punto preciso del mondo.

"Chi ci sta attaccando? Tutti," spiega Lueders. "Non veniamo attaccati maggiormente dall'emisfero nord rispetto che da quello sud. Non mi risulta che il numero di attacchi provenienti da un paese A sia maggiore del numero di attacchi provenienti da un paese B."

Nel complesso non è neanche così importante attribuire a qualcuno gli attacchi, spiega Lueders, perché li trattano tutti allo stesso modo. "Stesso gioco, stesso business e ce ne occupiamo allo stesso modo," dice.

Uno dei modi in cui il CERN ha tentato di rinforzare le sue difese è stato chiedere consulenza ad alcuni "white hat" hacker, o hacker etici, perché mettessero alla prova i limiti dell'istituto. Appena ricevono il via libera, alcuni studenti universitari attaccano i sistemi del CERN alla ricerca di eventuali vulnerabilità. Il CERN ha anche addestrato circa altre 120 persone, tra ingegneri, tecnici e programmatori per questi test di penetrazione, ha aggiunto Lueders.

Nonostante la sua qualifica personale, comunque, Lueders ci tiene a dire di non essere davvero responsabile della sicurezza informatica del CERN. "Bene o male faccio tutto quello che ci si aspetta: mi occupo di protezione/prevenzione, individuo eventuali attacchi e, nel caso, organizzo una pronta risposta. Detto questo, però, non mi sento responsabile per la sicurezza informatica del CERN. È una responsabilità che declino," dice.

Ognuno è responsabile della sicurezza dei propri dispositivi personali o di eventuali sistemi più grandi e, se non si ritiene in grado, è tenuto a fare una delega a qualcuno che lo sia. "Se gestisci un database sei responsabile della sicurezza di quel database," dice Lueders. Lo stesso vale per i server web, i pannelli di controllo e i singoli computer.

Lueders e il suo team setacciano costantemente le reti del CERN alla ricerca di qualche macchina compromessa che invii spam o visiti qualche URL maligno. Nel caso, l'utente riceverà un avvertimento commisurato alla gravità del problema e una certa quantità di tempo per risolverlo. Nel caso non lo facesse, ovviamente, ne pagherebbe le conseguenze.

"In questi casi sono previste varie misure amministrative, si va da un semplice avvertimento, a una lavata di capo, fino al licenziamento," spiega Lueders.

Quando si tratta di fare compromessi sulla sicurezza informatica la priorità di Lueders è bilanciare la sicurezza dei sistemi con la libertà accademica.

Del resto se usasse eccessiva cautela, e non permettesse ai lavoratori del CERN di usare il linguaggio di programmazione e i software che preferiscono, correrebbe il rischio di essere davvero soffocante.

"Se volessi potrei costringere tutti a usare una certa marca di computer, con un certo sistema operativo e un certo pacchetto software. Nessun privilegio di amministrazione; niente. Se il mio unico scopo fosse massimizzare la sicurezza informatica, potrei farlo," dice.

Ma non sarebbe certo l'equilibrio sperato; né per lui, né per il CERN.

"Le persone sono abituate a un certo grado di libertà e autonomia nella scelta delle tecnologie da usare, dell'hardware, dei sistemi operativi e delle applicazioni."

Se le cose fossero diverse, il rischio sarebbe quello di mettere a repentaglio la vitalità stessa della comunità del CERN. "Se non ci comportassimo in questo modo, la gente potrebbe sentirsi messa all'angolo e correremmo il rischio di danneggiare la loro intelligenza e la loro creatività", conclude Lueders.