Archivio » 2003 » febbraio » venerdì 28 »

Io che di nome faccio hack

Scritto da Alessandro Lubello

Anche in Italia sono ormai molte le testate e le e-zine che parlano di hacking. Specchietto per le allodole o segno di una rinnovata forza del movimento?

Wannabe Lamer Vorrei essere hacker ma non ci riesco…  Script Kiddie Il ragazzo degli script  Cracker Terra bruciata, il Distruttore  Ethical Hacker L’hacker “Etico” Livello di pericolosità:  nullo  basso  medio  alto	Quiet, paranoid, skilled hacker L’hacker taciturno, paranoico, specializzato  Cyber-Warrior Il Mercenario, hacking a pagamento  Industrial Spy La Spia, spionaggio industriale  Government agent L’agente governativo, Cia, Mossad, FBI, ecc…
Fonte: @Mediaservice.net Srl Illustrazioni a cura di Mizzi e Squaz

È più pericoloso consegnare la propria carta di credito alla Rete o affidarla alle cure del cameriere del ristorante sotto casa? Quali rischi comporta la scelta di una password troppo banale? A queste e ad altre domande vuole rispondere H&C (Hackers & C.), nuovo mensile dedicato allo hacking lanciato da Piscopo Editore. Tiratura attesa: 140.000 copie. Prezzo di copertina: 2 euro, salvo il primo numero (in edicola a metà prezzo). Alla testa della rivista Patrizio Tassone, già direttore di Linux & C. e Linux Pratico.

Così, negli stessi giorni in cui a Roma, manager pubblici e privati discutevano le nuove frontiere della sicurezza informatica al convegno organizzato dal Centro Studi Banca Europa in collaborazione con il Centro Alti Studi per la Difesa, faceva il suo esordio in edicola una nuova rivista dedicata allo hacking, con il chiaro proposito, tra le altre cose, di rompere l’associazione indebita tra il concetto di hacking e quello di criminalità: abuso giornalistico ormai diventato quasi un luogo comune.

“Il nostro obiettivo è fare informazione corretta e approfondita su un argomento molto di moda”, spiega il direttore di H&C, Patrizio Tassone, “che però si presta sempre più spesso agli errori della stampa non specializzata o alle enfatizzazioni di strane pubblicazioni sugli hacker piene di teschi e ammennicoli funebri. Noi vorremmo invece condividere le nostre esperienze per suscitare soprattutto curiosità e passione: ingredienti che, del resto, non sono mai mancati a nessun hacker che si rispetti”.

Ma a che cosa servono le riviste di hacking? Sono uno strumento per divulgare la cultura della rete e le conoscenze sulla sicurezza, o un più o meno consapevole veicolo di informazioni “pericolose”?

Abbiamo provato a chiederlo a Raoul Chiesa, hacker etico, esperto di tecnologie di sicurezza e tra i consulenti della rivista H&C.

Qual è lo scopo di una rivista di hacking?

La storia delle prime riviste on line del mondo hacking, come Phrack e 2600 Magazine, dimostra come lo scambio di informazioni, conoscenze ed esperienze tra persone “simili” per mentalità ed interessi, sia indispensabile per diffondere e far crescere una determinata cultura. Da questo punto di vista, non fa molta differenza che si tratti di giardinaggio o di sicurezza informatica. Certo, hacking oggi è una parola che “scotta”. Del termine stesso hacker si è (ab)usato nei modi peggiori e quindi similitudini come quella che ho appena esposto sono sicuramente suscettibili di critica. Bisognerebbe allora chiedersi se, talvolta, il prefisso “hack” non venga usato da queste riviste solamente per vendere di più (quando in realtà si tratta né più né meno che di giornali di Ict Security, “underground” se vogliamo) o illustri veramente la condivisione dello spirito hacker, quel movimento culturale che ispirò Phrack e 2600.

Quante sono in Italia le riviste di hacking?

Dovrebbero esisterne cinque: non ti nascondo come sia solo una quella che leggo con interesse e senza “rabbrividire”. Sono comunque tutte realtà molto recenti, non si supera assolutamente l’anno di età, anzi la media è molto molto più bassa.

Ce ne sono all’estero?

Sì, anzi, la prima rivista di questo tipo, Hacker Journal, è nata in Italia ma ha probabilmente preso l’idea proprio dai signori di Z-Hack Academy, i quali inaugurarono poco prima una non troppo chiara “scuola di hacking” e cominciarono a pubblicare la rivista, Hacker Journal, con un enorme successo nel pubblico giovanile d’Oltralpe. Bene o male ogni paese “tecnologicamente evoluto” ha la sua hack-zine, dalla Germania all’Inghilterra passando per l’Olanda e la Francia. Molto dipende anche dai movimenti hacker esistenti in ogni paese, i quali sono spesso la spinta per la nascita di un progetto editoriale. Sono spesso loro stessi - come è accaduto nel mio caso per Hackers & C.

Come sono rispetto a quelle italiane?

Secondo me non c’è da fare una distinzione sul “come sono rispetto a…” bensì sulla qualità degli scritti nei singoli paesi. Così come esistono nell’ambiente underground “newbies”, “wannabe”, “hacker” ed “ethical hackers/ricercatori/professionisti”, queste categorie si riflettono (e hanno ripercussioni) su ciò che queste stesse persone scrivono sulle riviste per le quali decidono di lavorare o collaborare.

Le riviste di hacking sono destinate solo agli esperti di sicurezza?

Torniamo un po’ a quello che si diceva prima: il pubblico è costituito da hacker o da professionisti? Ma gli hacker (hacker nel senso proprio del termine, non in quello abusato di cui ho parlato prima) sono, di fatto, professionisti del settore sicurezza, giusto? Allora, probabilmente, parliamo di riviste che vengono - di fatto - acquistate da ragazzini (wannabe) ma che, in molti casi, sono acquistate anche dai professionisti dell’Ict.

L’informazione assicurata dalla stampa non specializzata su hacker e sicurezza è distorta?

Direi di sì… lasciando stare per un attimo il mondo hacking, pochissimi giorni fa svariati quotidiani riportarono la notizia secondo la quale “il Pc sarebbe attaccabile anche quando è spento”, riferendosi al “caso” (bufala) di quel giornalista Rai “spiato” da un fantomatico hacker. La notizia si rivelò, appunto, una bufala (era il vicino di casa ad ascoltare da un telefono mal riposto), ma agli italiani è stata trasmessa la solita disinformazione: “Internet è pericolosa, ci sono gli hacker cattivi, i pedofili, vi rubano la carta di credito e ora vi spiano persino mentre siete a casa!”. Questa è la triste situazione. Ovviamente non dobbiamo generalizzare. Ci sono degni esempi e tanti sforzi da parte dei giornalisti non specializzati. Ma in questi anni ne ho lette davvero di tutti i colori.

La sicurezza informatica è argomento solo per amministratori di rete?

Assolutamente no: è un argomento che tocca soprattutto il normale cittadino, i cui dati personali sono gestiti - spesso - in malo modo e senza curarsi delle minime misure di sicurezza e del buon senso. L’evoluzione tecnologica e la cosiddetta “globalizzazione” hanno come conseguenza principale la condivisione in tempo reale dell’informazione (anytime, anywhere). Queste informazioni molto spesso riguardano il mercato, nella fattispecie i consumatori, che siamo - indovina un po’ - proprio tu e io…

La sicurezza è un problema culturale o bastano prodotti più sofisticati?

La sicurezza è un problema culturale: come ama ripetere spesso Bruce Schneier, “la sicurezza è un percorso, non un prodotto”. Nell’ambiente, quando conosci qualcuno che “fa sicurezza”, gli chiedi se vende “scatole” o se fa consulting, dato che la tendenza - errata - del mercato è stata, sino a ora, proprio quella di vendere scatole, possibilmente costose, per “assicurare” al cliente l’illusione della security.

Come può essere sensibilizzato il pubblico sull’importanza della sicurezza informatica?

Non è facile, si parla di tante sfaccettature… security awareness innanzitutto, vale a dire la diffusione della sensibilità al problema sicurezza. In un’azienda tutti sono importanti nell’ottica della sicurezza, dall’usciere all’amministratore delegato passando per le segretarie e i fattorini. Il grande pubblico deve cominciare a capire che tutti i nuovi servizi (mobile, domotica, automotive) parleranno o parlano già “Ip”, il linguaggio di Internet. E che quindi tutte le vulnerabilità note al mondo Internet cominceranno a ripercuotersi sulla vita di ogni giorno: dalla lavatrice all’Umts, persone comuni come la casalinga o l’utente di strada potrebbero avere seri problemi di security.

La lotta ai crimini telematici può minacciare la privacy e la libertà di espressione?

Purtroppo, visto come stanno andando le cose, devo dirti di sì. All’ultima edizione di Smau, Stefano Zanero di Blackhats.it ha fatto un intervento molto interessante su Ethical Hacking, Unethical Laws e, analizzando la documentazione scaricabile dal sito, possiamo capire come esistano già leggi restrittive verso “chi utilizzi o sia in possesso di tool di sicurezza, effettui reverse engineering…” e così via. Questo significa che un domani un ragazzino sarà ritenuto un pericolo perché in possesso di un port scanner scaricato dalla Rete, o ancora che i security researcher non avranno più il coraggio di “aprire” il software di una terza società per scoprire falle di sicurezza e comunicarle alla comunità internazionale. Questo ci potrebbe portare all’utilizzo di prodotti “chiusi”, non toccabili e potenzialmente insicuri: un passo indietro non da poco, se ripensiamo ai termini sopra accennati quali domotica e mobile.

Molti governi, primi fra tutti gli Stati Uniti, propongono un controllo restrittivo sulle attività on line. Come conciliare diritti civili e sicurezza?

La verità, come in tutte le cose, sta nel mezzo. Recentemente ho assistito a esagerazioni da parte delle Forze dell’Ordine di alcuni paesi, li definirei quasi estremismi, verso il panorama “ethical hacking”. In altri paesi questi ethical hacker relazionano al Congresso Nazionale o sono consulenti per le più note multinazionali della sicurezza informatica. D’altra parte vi sono esagerazioni anche da parte del mondo underground e il serio pericolo che capacità di hacking vengano manipolate da malintenzionati ed eventuali terroristi. È anche vero, però, quanto ti ho detto prima: le leggi attualmente in corso di accettazione in Europa o già accettate negli Usa limitano, e di molto, chi vuole fare security research a fin di bene: sarebbe forse il caso di sentire anche altre campane e qualche esperto che nel settore ci vive veramente ogni giorno, per capire l’entità di tale danno alla libertà e sicurezza di noi tutti. E parlare di “hacking” con un po’ più di buon senso. C’è una frase bellissima che vidi su un editoriale, mi pare di B. Franklin, la quale recita: “chi è pronto a dar via le proprie libertà fondamentali per comprarsi briciole di temporanea sicurezza non merita né la libertà né la sicurezza”. Ci credo fermamente.