Dentro lo scandalo dello spyware

John Guarino è il proprietario di TecAngels, una società di consulenza informatica composta da due persone a Manhattan. Dai a Guarino il tuo PC Windows sofferente e in due o tre ore te lo restituirà in perfetta salute. Spesso riesce a risolvere i problemi dei suoi clienti al telefono.

Ma la scorsa estate, Guarino si è imbattuto in un problema che non è riuscito a risolvere. Nel processo di stanare lo spyware e i virus che infettano i computer dei suoi clienti, ha iniziato a trovare gli stessi misteriosi intrusi in una macchina dopo l'altra. Erano file dal nome strano che si nascondevano nel profondo del registro in cui Windows memorizza le impostazioni e le istruzioni che controllano tutto l'hardware e il software di un computer.

Per Guarino, i file sembravano un rootkit, un software che inganna un sistema operativo facendogli ignorare worm, virus e qualsiasi altro file che un hacker potrebbe voler nascondere all'interno del computer di un utente. I file non sembravano causare danni e il software antivirus di Guarino non li ha identificati come minacce. Ma erano apparsi sui dischi rigidi delle persone senza invito - la definizione convenzionale di malware - quindi Guarino li ha rimossi.

Ma i file non sono andati tranquilli. Dopo che Guarino li ha cancellati, le unità CD sui computer dei suoi clienti smettevano di funzionare. La solita soluzione - reinstallare il software che guida i lettori di dischi - non ha corretto il problema. Guarino non riusciva a spiegare questo strano effetto, e i suoi clienti non lo pagavano per passare ore a ricercarlo; volevano solo indietro i loro computer. Quindi di solito ricorreva all'opzione nucleare: reinstallare il sistema operativo da zero.

Dopo sei o sette di questi incontri, Guarino si stava stancando. Poi, il 30 settembre, ha scoperto i misteriosi file sul proprio PC. Questo è ciò che mi ha davvero fatto incazzare, dice Guarino. Ero tipo, 'Non posso crederci. Ho l'ultimo firewall, l'ultimo software antivirus, tre o quattro programmi antispyware. Come ha fatto questo ad arrivare qui?'

Come ogni buon investigatore, Guarino fece marcia indietro. Sapeva che i file non erano stati lì l'ultima volta che aveva scansionato il suo computer. Cercò di ricostruire tutto ciò che aveva fatto con la sua macchina nei giorni precedenti: quali programmi aveva installato, quali e-mail aveva ricevuto, quali siti Web aveva visitato.

Poi si ricordò di aver acquistato un CD musicale il giorno prima e di averlo ascoltato sul computer. Era un album della Sony BMG Music Entertainment chiamato Tocco , della cantante ritmica e blues Amerie. A differenza della maggior parte dei CD, questo disco non può essere riprodotto utilizzando un comune software di riproduzione multimediale come iTunes, RealPlayer o Windows Media Player. Per ascoltare il CD, gli acquirenti hanno dovuto installare il lettore Sony BMG personalizzato incluso nel disco. Guarino l'aveva fatto.

Ora ha dato un'occhiata più da vicino al portagioie del CD. Gli è saltata fuori una frase: Contenuto migliorato e protetto. Evidentemente, il disco conteneva una qualche forma di software di gestione dei diritti digitali (DRM), un programma progettato per controllare la copia e quindi scoraggiare la pirateria.

Alla fine i pezzi si sono uniti. I file misteriosi assomigliavano a un rootkit; il solito scopo di un rootkit è nascondere qualcosa; un programma di protezione dalla copia era il genere di cosa che i suoi creatori potrebbero voler nascondere agli utenti; e la rimozione di questo particolare rootkit ha disabilitato l'unità CD. Guarino poteva solo concludere che la fonte del malware fosse la stessa Sony BMG.

Fu allora che mi arresi, dice Guarino. Poteva combattere il malware una macchina alla volta. Ma se la seconda casa discografica più grande del mondo volesse installare software segreto sui computer dei suoi clienti, non vincerebbe mai.

Prima di accantonare il problema, Guarino ha fatto una cosa molto importante. Ha inviato via e-mail i suoi registri a F-Secure, un'azienda di sicurezza informatica di Helsinki, in Finlandia, il cui software aveva utilizzato per rilevare i file. Sebbene gli osservatori di malware di F-Secure non avessero mai incontrato il rootkit in precedenza, sono stati rapidamente in grado di confermare i sospetti di Guarino. Nelle due settimane successive, arrivarono a un'altra realizzazione molto più preoccupante: il rootkit poteva nascondere altri file con la stessa facilità con cui nascondeva il software di protezione dalla copia di Sony BMG. Ogni computer che fosse mai stato utilizzato per riprodurre un disco Sony BMG protetto da copia era ora, in effetti, un ricettacolo aperto per worm, virus e altri malware.

Il 17 ottobre, F-Secure ha contattato Sony. Due settimane dopo, il rispettato esperto di sicurezza Mark Russinovich ha trovato il rootkit sul proprio computer e ha pubblicato le sue scoperte sul suo blog ampiamente letto. Ha anche scoperto che altri software installati insieme al programma di protezione dalla copia contattavano segretamente Sony BMG tramite Internet ogni volta che un utente di PC riproduceva un disco protetto da copia. E nel corso dei mesi successivi, quella che era iniziata come una curiosità nel negozietto di Guarino si trasformò in uno scandalo in piena regola, completo di trattative sottobanco, denunce pubbliche, smentite accese, boicottaggi rabbiosi, azioni legali vendicative e scuse dolorose.

Sebbene il suo scopo originale fosse quello di nascondere il software che impediva agli ascoltatori di fare più di tre copie della loro musica, il rootkit di Sony BMG è diventato il simbolo più pubblico fino ad oggi degli eccessi percepiti della tecnologia DRM - e del crescente sospetto che le aziende dei media sembrano porto nei confronti dei propri clienti. Lo scandalo continua ad avere ripercussioni. Ha riacceso una disputa nella sfera pubblica sui modi in cui ai consumatori dovrebbe essere consentito di utilizzare le informazioni digitali protette da copyright e, al contrario, fino a che punto i detentori del copyright possono spingersi per proteggere la loro proprietà intellettuale dalla pirateria. (Vedi Who Will Own Ideas?, un pacchetto speciale TR pubblicato nel giugno 2005.)

Portata agli estremi, dicono gli esperti, la gestione dei diritti digitali non solo limita il diritto delle persone a fare un uso equo del materiale protetto da copyright, che è garantito dalla legge sul copyright degli Stati Uniti, ma può anche creare nuovi rischi tecnologici. Quando costruisci sistemi informatici in cui non proteggi l'utente, ma qualcosa dall'utente, hai una sicurezza molto scarsa, afferma Bruce Schneier, un luminare nel campo della sicurezza informatica e direttore tecnico di Counterpane Internet Security a Mountain View, CIRCA. Questa è la mia più grande paura: l'idea che l'utente sia il nemico.

La storia del fiasco del rootkit Sony BMG non riguarda solo il cattivo giudizio aziendale o la lotta in corso sui diritti dei consumatori di fare ciò che vogliono con le cose che possiedono. Riguarda anche la paura e gli eccessi che può suscitare. Quando le società di media applicano strumenti così potenti e segreti alla protezione dei contenuti, suggerisce che il loro nervosismo per la pirateria si è trasformato in panico. Sebbene Sony BMG insista sul fatto che il rootkit è stato implementato involontariamente, l'episodio ha convinto molti osservatori che l'industria musicale era arrivata a vedere l'inganno come una componente indispensabile della gestione dei diritti digitali. Non dovrebbe sorprendere quando i clienti che si sentono trattati come ladri smettono di acquistare. Se c'è un messaggio nell'esperienza di Sony BMG per altre aziende che entrano nel mondo digitale, è che la sfiducia genera sfiducia.

Pirateria scolastica
La domanda di contenuti digitali (una parola in gergo debole ma conveniente per qualsiasi cosa, dalla poesia ai podcast) è più grande che mai. Le vendite di musica scaricabile in tutto il mondo sono quasi triplicate tra il 2004 e il 2005, da $ 380 milioni a $ 1,1 miliardi, e ora rappresentano circa il 6% di tutte le vendite di musica. A marzo 2004, il negozio di musica iTunes di Apple vendeva brani a un ritmo di circa 2,5 milioni a settimana. Secondo la versione britannica di Macworld rivista, ora vende tre milioni di canzoni ogni giorno.

Ci si potrebbe aspettare che produttori e distributori di contenuti siano entusiasti del decollo del digitale. Ma in realtà, sono spesso preoccupati dalla minaccia sempre presente di una copia dilagante. E per una buona ragione: in un mese nel 2005, 3,8 milioni di famiglie statunitensi hanno scaricato musica utilizzando i servizi gratuiti di condivisione file peer-to-peer WinMX e Limewire, mentre solo 1,7 milioni di famiglie hanno acquistato file da iTunes, secondo una ricerca di mercato azienda NPD Group. La Recording Industry Association of America stima 4,2 miliardi di dollari l'anno dei ricavi al dettaglio perduti dalla pirateria della musica digitale e ha combattuto in modo aggressivo i download illegali: a febbraio ha annunciato di aver avviato 750 nuove cause contro gli utenti di file peer-to-peer -sharing network, portando il totale dal 2003 a oltre 18.000.

Tuttavia, precedere quasi ogni download illegale è un atto molto più innocente: strappare file compressi di computer, come gli MP3, da un CD acquistato legittimamente. Il ripping e la masterizzazione di CD per uso personale è perfettamente legale negli Stati Uniti. Ma Thomas Hesse, presidente del business digitale globale per Sony BMG, afferma che rappresenta i due terzi di tutta la pirateria. La pirateria occasionale, la pirateria scolastica, è un grosso problema per noi, ha detto l'anno scorso al servizio di notizie Reuters.

Quindi le case discografiche come la Sony BMG sono naturalmente attratte dalle tecnologie che promettono di contrastare i fan ribelli. Entra nella gestione dei diritti digitali, un'industria emersa alla fine degli anni '90 per aiutare gli editori e gli studi a mantenere il controllo sui contenuti di DVD, software e simili. Per le aziende DRM e i loro clienti, controllo significa impedire ai clienti di aprire file digitali a meno che non abbiano pagato per farlo. Significa impedire la copia, la stampa, il backup o la replica di un'opera tranne quando espressamente consentito dal contratto di licenza dell'opera.

Per anni l'industria discografica non ha avuto bisogno di questo livello di controllo, dal momento che i lettori CD consumer (introdotti nel 1982 da Philips e Sony) sono stati progettati esclusivamente per riprodurre musica, non per esportarla in forma digitale. Ma nel 1996, quando i produttori di PC iniziarono a includere le unità CD-ROM come caratteristica standard nei computer di casa, era emersa la minaccia della pirateria casuale; e quando ha debuttato nel 1999, Napster, il primo popolare sistema di condivisione di musica su Internet, ha sfruttato questa minaccia. Le case discografiche hanno iniziato a fare pressioni a Washington per sanzioni legali maggiori contro coloro che erano stati sorpresi a condividere file e hanno anche iniziato a cercare modi per rendere la copia e la condivisione più scoraggianti per l'utente medio.

Questa non è una questione semplice. I dischi protetti devono includere il software DRM per limitare la copia; tuttavia, allo stesso tempo, devono essere riproducibili su normali lettori CD. Un modo per soddisfare entrambe le esigenze è rendere i CD più simili ai CD-ROM, che spesso contengono più sessioni simili ai tagli sui vecchi LP in vinile. La prima sessione di un CD multisessione, a partire dal centro del disco, contiene musica e le sessioni esterne contengono software. I normali lettori CD leggono solo la prima sessione e ignorano il resto, mentre un PC Windows con la funzione di esecuzione automatica attivata cerca prima i programmi nelle sessioni esterne che può eseguire. (Fortunatamente per gli sviluppatori DRM, l'esecuzione automatica è attivata per impostazione predefinita in Windows XP e la maggior parte degli utenti non modifica mai questa impostazione.)

Quando Sony BMG ha intrapreso il primo grande lancio del settore di CD protetti da copia nel 2005, ha utilizzato il metodo multisessione. Su 52 album Sony BMG pubblicati tra gennaio e novembre, le sessioni esterne includevano un programma di protezione dalla copia di Windows chiamato XCP (eXtended Copy Protection), che Sony aveva concesso in licenza da una società britannica chiamata First 4 Internet, e un doppio programma Macintosh/Windows chiamato MediaMax, da Phoenix, SunnComm con sede in AZ. Non era la prima volta che un'etichetta tentava di vendere CD con software di anticopia; Arista Records, una sussidiaria di Sony BMG, ha commercializzato un disco con MediaMax alla fine del 2003 e il software DRM della rivale Macrovision è apparso su migliaia di CD di altre etichette a partire dal 2002. Cosa era insolita per i nuovi dischi Sony BMG, tuttavia, era la tecnica scelta da First 4 Internet per rendere invisibile l'XCP.

Dispositivo di occultamento
Quando Sony ha originariamente assunto First 4 Internet, non era per creare un sistema DRM per i CD consumer. Secondo le interviste alla stampa con i dirigenti di First 4 Internet mesi prima che scoppiasse lo scandalo del rootkit, era per scoraggiare la copia di musica pre-release da parte dei dipendenti e degli appaltatori dell'etichetta e di altri destinatari. Il primo prodotto DRM dell'azienda, XCP1, rendeva la sessione musicale su CD-R multisessione, il tipo di CD registrabile utilizzato negli studi musicali, non riproducibile dai computer. Questa capacità era interessante non solo per Sony BMG, ma anche per i suoi tre principali rivali, Universal, EMI e Warner Music Group, che avevano tutti concesso in licenza XCP1 entro il 2002.

Ma questo metodo non funzionerebbe per i CD consumer, che dovevano essere riproducibili su tutti i tipi di dispositivi, inclusi computer, lettori DVD, lettori CD video e lettori ordinari. Quindi First 4 Internet ha sviluppato un nuovo programma, XCP2, che utilizza un approccio più intelligente e leggermente più permissivo chiamato combustione sterile. Questo termine poco appetitoso significa semplicemente che gli acquirenti di un CD protetto possono copiarlo sui propri computer, quindi masterizzare le copie su CD-R vuoti, ma quelle copie non possono essere utilizzate per fare più copie. (XCP2 divenne noto semplicemente come XCP.)

Secondo gli informatici della Princeton University Ed Felten e J. Alex Halderman, che hanno decodificato XCP come parte di un'indagine accademica, il software ha diverse funzioni distinte che vengono invocate separatamente. La prima volta che un disco protetto da XCP viene caricato in un computer, chiede all'utente di acconsentire al contratto di licenza con l'utente finale (EULA) di Sony BMG. Quindi copia una serie di programmi e driver sul disco rigido e avvia un programma di riproduzione multimediale proprietario. Una volta installati, secondo un white paper -Halderman e Felten pubblicato a febbraio, i nuovi driver ascoltano i tentativi di altri lettori multimediali come iTunes di leggere le tracce audio sul CD; se ne rilevano uno, sostituiscono i dati restituiti dall'unità CD con rumore casuale. Nel frattempo, una backdoor in XCP consente al lettore multimediale proprietario di leggere i dati grezzi del disco senza distorsioni.

Integrato nel lettore multimediale è un'applicazione di masterizzazione che consente al proprietario del CD di copiare fino a tre copie e masterizzarle su CD-R. Queste copie conterranno tutto il disco originale, comprese le tracce audio, il lettore multimediale e il software di protezione dalla copia. Ma saranno sterili: l'applicazione di masterizzazione sarà disabilitata, il che significa che le copie possono essere solo riprodotte, non strappate e masterizzate di nuovo. In alternativa, gli utenti possono copiare singole tracce o interi album sui propri dischi rigidi, quindi masterizzare fino a tre copie su CD-R nel formato Windows Media Audio.

Se fosse facile per gli utenti eludere o disabilitare tutte queste complesse funzioni, il sistema di protezione dalla copia sarebbe inutile. Ed ecco il nocciolo della controversia su XCP e i dischi Sony BMG: gli sviluppatori di First 4 Internet hanno deciso che un certo numero di file e operazioni del programma dovrebbero essere nascosti agli utenti medi. I driver che interferiscono con i tentativi di altri lettori multimediali di leggere un CD protetto, ad esempio, dovevano essere archiviati in un luogo segreto dove gli utenti non potevano trovarli e rimuoverli. Poi c'era il file che XCP usa per contare il numero di copie del CD che l'utente è ancora autorizzato a fare. L'applicazione di masterizzazione viene disabilitata solo quando il contatore raggiunge lo zero. Se gli utenti avanzati riuscissero a trovare questo file, potrebbero potenzialmente riportare il valore del contatore a tre dopo ogni copia masterizzata.

La segretezza stessa è una routine nell'industria del software, ma questo era diverso. I primi 4 Internet hanno raggiunto la segretezza usando un rootkit , quindi Sony BMG ha trascurato di informare i propri clienti della presenza del programma o di fornire un modo semplice per disinstallarlo. Il termine rootkit deriva dalle reti di computer che utilizzano sistemi operativi in ​​stile Unix, in cui si dice che l'amministratore di sistema, la persona con tutti i diritti e i privilegi per modificare il sistema, abbia accesso come root. I primi rootkit, scritti a metà degli anni '90, erano raccolte di strumenti software utilizzati dagli hacker di Unix per acquisire l'accesso come root e depositare codice non autorizzato senza lasciare tracce. I rootkit di Windows sono emersi nel 1999 e sono diventati così comuni da poter essere scaricati gratuitamente da collettivi di hacker come quello che produce la rivista online Rootkit ( www.rootkit.com ). Versioni più sofisticate potevano essere acquistate su Internet per poche centinaia di dollari.

I primi 4 dirigenti di Internet, citando azioni legali in corso, non risponderebbero Revisione della tecnologia domande. Pertanto, non sappiamo se gli sviluppatori dell'azienda sapessero o meno che stavano creando un rootkit, o se hanno modellato XCP su uno dei rootkit open source o commerciali. Tuttavia, gli estranei che hanno esaminato il codice di XCP hanno scoperto che conteneva alcuni componenti open source, incluso il codice di un programma che codifica la musica in formato MP3 e un altro che crittografa e decifra la musica scaricata da iTunes di Apple. (A quanto pare, quest'ultimo faceva parte di un piano mai implementato per rendere XCP compatibile con iTunes, secondo Halderman.)

Un'altra incognita è se gli sviluppatori di XCP fossero consapevoli del fatto che un rootkit, una volta installato sul computer di un cliente, potesse aprire un passaggio per altri virus e programmi cavallo di Troia. Ma Halderman di Princeton afferma che i programmatori di First 4 Internet dovevano essere consapevoli che il metodo di occultamento che stavano impiegando era ben noto agli autori di malware. Hanno dovuto apprendere questa tecnica da altre fonti, dice Halderman. E nel corso della ricerca su come utilizzare questa tecnica, è quasi inconcepibile che non abbiano scoperto che [cloaking altro malware] è qualcosa che fanno i rootkit.

In ogni caso, la tecnica di occultamento dell'azienda è stata molto efficace, tanto che nessun esperto di sicurezza ha notato il rootkit per almeno sei mesi dopo l'uscita dei primi dischi protetti da copia. Ma subito dopo che Russinovich ha pubblicato il suo rapporto, gli autori di malware hanno scoperto che potevano usare il rootkit per tenere qualsiasi cosa, dai virus allo spyware, fuori dalla vista del sistema operativo. In effetti, meno di due settimane dopo la scoperta del rootkit Sony BMG, era emerso il primo programma malware progettato per sfruttarlo. Era un Trojan backdoor chiamato Troj/Stinx-E progettato per nascondersi all'interno del rootkit e consentire ad altri programmi di assumere il controllo dei computer degli utenti tramite connessioni a un sistema di messaggistica istantanea chiamato Internet Relay Chat.

La connessione finlandese
F-Secure ha sede in un edificio squadrato in vetro e alluminio alla periferia di Helsinki, a solo un isolato dalla fabbrica in cui Nokia, molto prima che diventasse un'azienda di telefoni cellulari, produceva migliaia di chilometri di cavi d'acciaio come parte della massiccia guerra finlandese risarcimento all'Unione Sovietica.

A dominare il centro di comando al secondo piano di F-Secure sono tre grandi schermi video. Uno raffigura l'architettura di un noto virus informatico come se fosse una gigantesca stazione spaziale rotante. Un altro mostra una mappa in tempo reale dell'attività del malware in tutto il mondo. Mika Stahlberg, un responsabile della ricerca presso F-Secure, sta utilizzando la terza schermata per illustrare le funzionalità stealth di XCP.

Posso dimostrare usando l'album di Van Zant, dice Stahlberg. lui inserisce Mettiti bene con l'uomo , un album country dei rocker veterani Johnny e Donnie Van Zant, in un computer sotto il tavolo triangolare delle conferenze del centro di comando. Lo abbiamo ordinato su Amazon lo scorso ottobre. Ok, l'ho inserito e si avvia per impostazione predefinita. Ecco l'EULA. Ovviamente voglio ascoltare la musica, quindi clicco su 'Accetto'.

Il lettore si installa e si avvia automaticamente. Ora Stahlberg sceglie una cavia per la dimostrazione di occultamento: l'accessorio calcolatrice di Windows. Avvia la calcolatrice, quindi apre il Task Manager di Windows e seleziona la scheda Processi, dove un utente può vedere un elenco di tutti i programmi attualmente in esecuzione sulla macchina. Ok, possiamo vedere che è lì nell'elenco dei processi: si chiama 'calc.exe'. Ora rinominiamolo.

Stahlberg chiude la calcolatrice, trova il file del programma effettivo sul disco rigido e gli dà un nome molto specifico: $sys$calc.exe. Riavvia la calcolatrice. Ora guarda di nuovo l'elenco dei processi. La calcolatrice è scomparsa.

Stahlberg ha appena messo a nudo la funzione principale del rootkit Sony BMG: rendere non rilevabile qualsiasi file che inizia con il prefisso $sys$. Tra i file che XCP tiene nascosti in questo modo: aries, il programma capobanda che intercetta i messaggi tra le applicazioni e il sistema operativo; crater, il driver del filtro che impedisce ad altri programmi di leggere il CD-ROM; e $sys$parking, che conta quante volte è stata utilizzata l'applicazione di masterizzazione.

Quello che fanno quasi tutti i rootkit... è filtrare l'output che le applicazioni ottengono da determinate funzioni del sistema operativo, spiega Stahlberg. XCP filtra qualsiasi output contrassegnato con il prefisso $sys$, quindi nella dimostrazione di Stahlberg, quando il Task Manager ha chiesto a Windows un elenco di programmi in esecuzione, ha restituito tutto tranne la calcolatrice. Potrebbe essere in esecuzione un programma con il prefisso $sys$ nel nome (in effetti potrebbe occupare una grande frazione della memoria del sistema e del tempo della CPU), ma nell'elenco Processi e in altre applicazioni come Esplora risorse non esiste .

Ovviamente, Stahlberg e i suoi colleghi di F-Secure non hanno capito nulla di tutto ciò la prima volta che hanno esaminato un disco Sony BMG protetto da copia, Switchfoot's Niente è suono . Immediatamente dopo aver ricevuto il file di registro di John Guarino, hanno ordinato il CD e lo hanno installato su un PC in quarantena, quindi hanno utilizzato il programma di rilevamento dei rootkit di F-Secure, chiamato Blacklight, per vedere come il software del disco aveva alterato il sistema operativo della macchina. Blacklight ha scoperto che c'erano più file nel sistema di quelli indicati da Esplora risorse, un segno inequivocabile di un rootkit.

All'inizio, i ricercatori di F-Secure erano riluttanti a etichettare il rootkit Sony BMG come una minaccia alla sicurezza, poiché era ovviamente utilizzato per la protezione dalla copia, non per diffondere virus o generare annunci pop-up. Il DRM in quanto tale non è male, afferma -Santeri Kangas, direttore della ricerca di F-Secure. Ma quando abbiamo analizzato cosa questo potrebbe fare come a veicolo per il malware, abbiamo preso posizione e abbiamo detto: 'Beh, questo è pericoloso'.

F-Secure ha contattato Sony in merito alla vulnerabilità del rootkit il 17 ottobre. Ma la relazione è iniziata male, secondo Kangas. Non sapendo a chi rivolgersi, F-Secure ha portato il problema prima a Sony DACD, una filiale austriaca che produce CD. Hanno detto: 'Grazie, ma questo è di Sony BMG', racconta Kangas. Quando lui e i suoi colleghi hanno finalmente raggiunto la sede centrale di Sony BMG a Los Angeles, la prima reazione che abbiamo avuto è stata: perché stavamo parlando del loro software di protezione dalla copia con un'unità concorrente di Sony? Erano piuttosto arrabbiati.

Una volta passate le recriminazioni, i manager di Sony BMG DRM hanno chiesto a Kangas e al suo staff di lavorare con First 4 Internet su un modo per salvaguardare i proprietari dei CD protetti. Dal nostro punto di vista, l'unica soluzione con questa prima versione di XCP era smettere di distribuirlo, afferma Kangas. Ma era qualcosa che chiaramente non volevano fare. Secondo Kangas, il piano di First 4 Internet era semplicemente quello di rilasciare una nuova versione di XCP nel 2006 senza rootkit, non per sostituire i milioni di dischi che erano già stati acquistati, e offrire uno strumento di disinstallazione ai clienti che lo richiedevano.

Kangas e il suo team hanno preparato un rapporto pubblico sul rootkit, ma stavano aspettando il programma di disinstallazione di First 4 Internet prima di rilasciarlo, come cortesia richiesta dal business della sicurezza di Internet. Fu allora che furono picchiati sul tempo da un texano di nome Mark Russinovich.

Russinovich e il collega Bryce Cogswell sono gli autori di Sysinternals.com, uno dei principali blog statunitensi sulla sicurezza informatica. Russinovich è anche il capo architetto del software presso la Winternals Software di Austin e, per caso, l'inventore di alcune delle tecniche di occultamento utilizzate da XCP. Lui e Cogswell avevano trascorso parte del 2005 lavorando su Rootkit Revealer, un programma di rilevamento simile a Blacklight di F-Secure. Un giorno di fine ottobre, Russinovich stava eseguendo Rootkit Revealer sul proprio PC come parte di un test per assicurarsi che il programma non generasse falsi positivi. Russinovich afferma di evitare di proposito le aree più squallide di Internet per mantenere la sua macchina libera da malware, quindi è rimasto sbalordito quando Rootkit Revealer ha trovato file rootkit reali.

Proprio come Guarino, Russinovich scoprì che l'eliminazione dei file disabilitava il suo lettore CD-ROM. Anche un utente domestico sofisticato, se tentasse di disinstallare il rootkit eliminando i file, finirebbe per paralizzare la propria macchina, afferma Russinovich. Ma dal momento che era lui stesso a inventare la maggior parte dei trucchi che i rootkit di Windows usano per ingannare il sistema operativo e altre applicazioni, non era ostacolato. Russinovich è stato in grado di bypassare la funzione di occultamento del rootkit e, dopo aver ricordato di aver recentemente riprodotto il disco Sony BMG protetto da copia Mettiti bene con l'uomo sul suo computer: rintraccia i file che aveva nascosto su First 4 Internet e Sony BMG.

È stato inquietante per me il fatto che questa cosa avesse installato il software rootkit sul mio PC, dice Russinovich. Si era installato da solo senza dirmelo. Non sembrava esserci alcun programma di disinstallazione. Ma la cosa più sorprendente è stata imbattersi in un rootkit che faceva parte del DRM di una nota azienda.

Russinovich non ha contattato Sony BMG in merito alla sua scoperta; piuttosto, ha riversato le sue scoperte in un blog arrabbiato pubblicato ad Halloween. In poche ore, il post di Russinovich è stato ripreso da Slashdot, la famosa casa di News for Nerds. E da lì la storia del rootkit ha infuriato in tutta la blogosfera e persino nei giornali mainstream. F-Secure, sebbene fosse stato scoperto da Russinovich, è tornato rapidamente in gioco, pubblicando la propria analisi del rootkit il 1° novembre.

Tra gli appassionati di musica e gli osservatori di tecnologia, la reazione alla notizia del rootkit è stata esplosiva. In pochi giorni, gli attivisti anti-DRM hanno lanciato diversi boicottaggi contro Sony BMG. Sony punta ai pirati e colpisce gli utenti, è stato un titolo a tutto volume il 9 novembre nel Osservatorio della Scienza Cristiana . Le società di antivirus e di sicurezza hanno emesso avvertimenti consigliando ai consumatori di evitare o restituire i dischi Sony BMG. I blogger hanno alimentato le fiamme; la parola rootkit è apparsa nei blog dalle 150 alle 750 volte al giorno per tutto il mese di novembre, secondo il motore di ricerca dei blog Technorati.

Gli animi si sono ulteriormente infiammati dopo il 4 novembre, quando Russinovich ha annunciato nel suo blog che altri software che accompagnano XCP sui dischi Sony BMG hanno telefonato a casa, contattando Sony BMG su Internet ogni volta che un utente riproduceva un CD protetto. Agendo su suggerimento di un hacker finlandese e studente di informatica di nome Matti Nikki, Russinovich ha utilizzato un programma di tracciamento della rete per analizzare il traffico in entrata e in uscita dal suo computer. Ha scoperto che durante l'avvio, i CD protetti controllavano con un server di Sony BMG la presenza di materiale fresco per un banner pubblicitario a rotazione visualizzato con il lettore. Questo scambio era abbastanza innocuo; ma per Russinovich e i lettori del suo blog, l'affronto era che Sony BMG non aveva rivelato negli EULA dei CD che il software avrebbe inviato dati alla società o spiegato come sarebbero stati utilizzati quei dati. Dubito che Sony stia facendo qualcosa con i dati, ha scritto Russinovich, ma con questo tipo di connessione, i loro server potrebbero registrare ogni volta che viene riprodotto un CD protetto da copia e l'indirizzo IP [la posizione su Internet] del computer che lo riproduce.

Professionisti della sicurezza, blogger e appassionati di musica non sono stati gli unici a essere costernati. Il Dipartimento per la sicurezza interna degli Stati Uniti ha criticato Sony BMG per aver rilasciato prodotti che minavano il software antivirus ed esponevano agli hacker sia i computer di proprietà del governo che quelli di proprietà privata. In una conferenza commerciale sulla pirateria del 10 novembre, Stewart Baker, assistente segretario del dipartimento per la politica, ha castigato i grandi media per la loro ossessione per il DRM. È molto importante ricordare che è la tua proprietà intellettuale, [ma] non è il tuo computer, ha detto Baker.

Più e più volte, le persone che hanno incontrato il rootkit hanno espresso un senso di violazione. John Guarino, il consulente informatico, offre questa analogia: supponiamo che tu voglia installare la TV via cavo nel tuo appartamento. Chiami la compagnia via cavo. Dicono che qualcuno verrà a installarlo. Il tizio del cavo ti fa firmare qualcosa prima di entrare nell'appartamento. Poi scopri che in realtà non ha lasciato l'appartamento quando ha finito. Si sta ancora nascondendo. E chiami l'azienda e dici: 'Questo ragazzo è ancora qui', e loro dicono: 'Ma hai firmato il documento'. E tu dici: 'Sì, ma non dovrebbe ancora essere qui. Dov'è?' e loro dicono: 'Non te lo diremo.'

E non solo questo ragazzo si nasconde nel tuo appartamento, ma in realtà sta mangiando dal tuo frigorifero, bevendo la tua acqua, usando il bagno e non puoi fermarlo. Potrebbe invitare altri amici e farli entrare. E se provi a trovarlo e portarlo fuori tu stesso, lancerà bombe e dovrai chiamare i ragazzi delle costruzioni per ricostruire l'intero appartamento.

Questo è ciò che sta facendo Sony. Il rootkit usa il tuo processore, usa la tua memoria, il tuo hard disk. Non puoi tirarlo fuori facilmente, perché non ti diranno come. Se provi a toglierlo, in realtà rovina il tuo computer. L'unica soluzione è reinstallare l'intero sistema operativo. È totale illegalità ed è inaccettabile.

Affrontare la musica
Nonostante gli avvertimenti di F-Secure a fine ottobre, Sony BMG è rimasta sorpresa dalla controversia. In effetti, per giorni dopo che l'analisi di Russinovich ha fatto notizia, i dirigenti dell'azienda hanno mostrato poca comprensione della furia che stava suscitando nei cuori di molti dei suoi clienti. La maggior parte delle persone, credo, non sa nemmeno cosa sia un rootkit, quindi perché dovrebbe interessarsene? Hesse di Sony BMG ha dichiarato in un'intervista alla National Public Radio il 4 novembre.

Ma per i proprietari degli oltre due milioni di dischi protetti da XCP venduti da Sony BMG tra gennaio e novembre, i rapporti sono stati uno shock. I difetti di sicurezza nel software commerciale sono comuni; I prodotti Microsoft, ad esempio, sono così ampiamente utilizzati che anche il più piccolo bug verrà scoperto e sfruttato da un autore di malware, quindi il gigante del software pubblica aggiornamenti e patch su base mensile. Ma nessuna società di software o media della statura di Sony BMG ha mai distribuito un programma che, a giudizio degli esperti di sicurezza, è stato deliberatamente progettato per imitare il malware.

Sony BMG non si è scusata immediatamente ma ha cercato di risolvere il problema. Il primo passo, all'inizio di novembre, è stato pubblicare un programma basato sul Web che i clienti potessero utilizzare per rimuovere XCP dai loro sistemi. La mossa non ha aiutato le cose. Matti Nikki in Finlandia ha scoperto che un file che il programma di disinstallazione ha inserito nel computer di un utente per facilitare la comunicazione con i server di Sony BMG potrebbe essere successivamente sfruttato da qualsiasi sito Web che volesse inviare ed eseguire codice dannoso. Il programma di disinstallazione rappresentava un rischio per la sicurezza molto maggiore rispetto al rootkit originale Sony, secondo Felten e Halderman, che hanno verificato la scoperta di Nikki il 15 novembre nel loro blog ampiamente seguito, Freedom to Tinker.

Pochi giorni dopo, Sony BMG ha sostituito il programma di disinstallazione basato sul Web con uno più sicuro e scaricabile. E gradualmente, la società sembrava riconoscere la portata del disastro di pubbliche relazioni che doveva affrontare. L'11 novembre, Sony BMG ha annunciato che avrebbe interrotto la produzione di CD musicali con XCP. Il 14 novembre, la società ha affermato di essersi pentita dell'inconveniente causato ai suoi clienti e ha annunciato un programma di scambio per sostituire i dischi protetti da XCP con altri senza rootkit.

Secondo i media, i consumatori avevano acquistato 2,1 milioni di CD protetti da copia. Non è chiaro quanti di questi clienti abbiano effettivamente riprodotto i CD sui propri computer, installando così inconsapevolmente il rootkit. Ma Dan Kaminsky, un ricercatore di sicurezza indipendente a Seattle, ha scoperto prove che collegano il rootkit di Sony a centinaia di migliaia, se non milioni, di sistemi in 131 paesi. Egli definisce quel numero enorme, soprattutto se confrontato con le cifre relative alla diffusione di worm e virus di Internet. Kaminsky ha pubblicato le statistiche sul suo sito Web, -doxpara.com, insieme a mappe del mondo che mostrano le posizioni delle reti interessate.

Sony BMG, nel frattempo, ha cercato di rispondere alle preoccupazioni specifiche sollevate da Russinovich, Kaminsky e altri. In una lettera del 18 novembre alla Electronic Frontier Foundation, che in precedenza aveva pubblicato la propria lettera aperta criticando la gestione dell'episodio XCP da parte di Sony BMG, il consulente legale di Sony Jeffrey Cunard ha affermato che la società non avrebbe mai rivelato gli indirizzi Internet raccolti quando XCP ha telefonato a casa e che, in ogni caso, questi indirizzi non sono mai stati associati a informazioni di identificazione personale. Ha anche affermato che Sony BMG sarà più attenta in futuro a valutare il software di protezione dalla copia e gli EULA che ne derivano. Qualsiasi tecnologia di protezione dalla copia presente e futura utilizzata da Sony BMG sarà testata, verificata e divulgata ai consumatori, ha scritto Cunard.

Rappresentanti Sony BMG contattati da Revisione della tecnologia a marzo e aprile non hanno nominato i dirigenti responsabili della concessione in licenza di XCP da First 4 Internet o del rilascio dei dischi protetti da copia e si sono rifiutati di rendere disponibili i dirigenti per le interviste. Tuttavia, Cory Shields, direttore dell'ufficio comunicazioni dell'azienda, ha affermato che non è mai stata intenzione di Sony BMG includere software che ha causato problemi di sicurezza sui suoi compact disc. L'intento dell'azienda era quello di fornire una tecnologia che fosse a misura di consumatore, che consentisse alle persone di perseguire la funzionalità che desideravano, ha affermato Shields. Certamente non era intenzione dell'azienda creare un problema.

Zona di libertà
I richiami, gli scambi e le scuse del novembre 2005 non hanno messo a tacere la questione. Il procuratore generale di New York Eliot Spitzer ha criticato Sony alla fine di novembre, dopo che gli investigatori hanno scoperto che i dischi contenenti XCP non erano ancora stati rimossi dai negozi. La Federal Trade Commission ha aperto un'inchiesta e il procuratore generale del Texas Greg Abbott ha citato in giudizio Sony BMG per aver violato le leggi antispyware dello stato. I querelanti in almeno cinque stati hanno intentato una causa, chiedendo i danni alla Sony BMG per aver danneggiato i loro computer.

Sony si è occupata rapidamente di queste tute. Prima della fine di dicembre, la società aveva raggiunto un accordo provvisorio con gli avvocati, che avevano riunito le cause in un'unica denuncia presso la Corte distrettuale degli Stati Uniti per il sud di New York. L'accordo fornisce a chiunque possieda un disco con XCP un disco sostitutivo, un pagamento in contanti di $ 7,50 e (ironicamente) download digitali gratuiti della musica sul CD e fino a tre altri. Al momento della stampa, il tribunale non aveva ancora approvato l'intero accordo, ma era iniziato il programma di sostituzione.

Ma la rabbia per il rootkit nei media e nella blogosfera è continuata anche dopo la notizia della proposta di soluzione. Ciò che veramente preoccupava i consumatori, a quanto pareva, non era il danno arrecato ai loro computer: il trojan Troj/Stinx-E non si era diffuso molto e non c'era tempo per l'emergere di una seria epidemia di altri malware che sfruttano il rootkit XCP. Piuttosto, gli acquirenti di CD erano sconvolti dal fatto che il software nascondesse deliberatamente la sua presenza e contattasse Sony BMG senza il loro permesso. Ritenevano che XCP avesse violato le protezioni fondamentali: i diritti alla privacy e alla proprietà privata e le libertà di espressione e accesso alle informazioni.

Sono un appassionato di musica e ho guardato con sgomento l'intera marcia dei DRM, al punto che devi praticamente firmare un contratto per aprire una scatola di CD, dice Tim Jarrett, un Framingham, MA, sviluppatore web e blogger di tecnologia Quindi, quando ho visto che Sony non stava solo includendo questo DRM, ma lo stava facendo in modo tale da aprire i computer delle persone allo sfruttamento, penso che qualcosa dentro di me sia semplicemente scattato. Jarrett ha deciso di avviare il Sony Boycott Blog, che ha funzionato per tre mesi come uno dei principali centri di raccolta di informazioni sulla saga dei rootkit. A giudicare dai commenti che hanno lasciato, i lettori di Jarrett - che erano fino a 5.000 al giorno - erano altrettanto infastiditi. Hai una zona di libertà personale – uno spazio personale all'interno del quale puoi decidere, ad esempio, di leggere un libro al contrario, o leggerlo 20 volte, o prendere appunti, o leggerlo nella vasca da bagno, o fare una scenetta recitare il libro a un amico, dice la professoressa di diritto Julie Cohen, che studia legge sulla proprietà intellettuale e sulla privacy dei dati presso il Georgetown University Law Center. E avere un poliziotto automatico o anche solo un divieto architettonico categorico che si appropria di quello spazio personale è qualcosa che le persone percepiscono come molto invadenti.

Penso che siamo in questo periodo in cui i fornitori di contenuti stanno cercando di spingere i confini, afferma Mark Russinovich. Vogliono vedere fino a che punto possono spingersi per proteggere i loro contenuti e dove si trova la linea sottile tra la protezione dei loro contenuti dalla pirateria casuale e il fastidio del consumatore.

Buon DRM
Le domande sollevate dalla saga dei rootkit Sony BMG sono se proteggere i contenuti significhi necessariamente violare il diritto dei consumatori di controllare la loro proprietà privata, compromettere il ruolo del computer come strumento di cultura e creatività e sacrificare il principio del fair use (una disposizione nel diritto d'autore statunitense legge che consente la riproduzione di opere protette da copyright a fini di critica, segnalazione, ricerca e archiviazione).

I primi segnali non sono buoni. L'errore di Sony BMG, per quanto involontario possa essere stato, è stato per molti osservatori un'indicazione che i detentori del copyright stanno di fatto intensificando la guerra tecnologica, scegliendo di interferire sempre più profondamente con il funzionamento dei computer dei clienti in uno sforzo frettoloso e incauto di limitare scroccone.

Se Sony non si è fermata e non si è presa il tempo di chiedere a First 4 Internet cosa ha effettivamente fatto XCP, è colpa loro, afferma Schneier di Counterpane Internet Security. Trovo che First 4 Internet sia meno colpevole, perché Sony voleva comprare una specie di bacchetta magica e hanno semplicemente detto: 'Ecco, usa la nostra'.

Sony BMG non ha mai accettato completamente la colpa; anche nell'accordo transattivo di dicembre la società ha negato di assumersi qualsiasi responsabilità legale o che qualcuno fosse stato danneggiato da qualsiasi condotta illecita. Tuttavia, secondo la maggior parte delle misure di responsabilità aziendale, Sony BMG ha fatto di tutto per compensare il fiasco del rootkit. La società ora sembra diffidare di oltrepassare la linea sottile di Russinovich. Ci deve essere un equilibrio tra la protezione dei contenuti e il nutrimento e la protezione della tecnologia, riconosce il portavoce di Sony BMG Cory Shields.

In effetti, gli errori di Sony BMG nel caso del rootkit forniscono alcune informazioni su come sarebbe, al contrario, una buona gestione dei diritti digitali.

Innanzitutto, diciamo che i professionisti della sicurezza informatica, un buon DRM dovrebbe essere trasparente . Per questi professionisti, l'episodio del rootkit ha portato la segretezza troppo lontano. Se un rootkit fornisce un nascondiglio per virus, worm e trojan, rende molto più difficile il lavoro svolto dal software di scansione antivirus dei computer. E se le aziende più legittime iniziano a progettare il loro software per imitare il malware, quel lavoro diventa quasi impossibile. Ora tutto il tuo software di sicurezza deve distinguere tra codice dannoso 'buono' e codice dannoso 'cattivo', afferma Schneier.

Per essere user friendly, quindi, il software DRM deve essere compatibile con il computer. Non dovrebbe nascondersi dal sistema operativo del computer, né occupare più della sua quota di elaborazione o memoria. E i termini di utilizzo e le funzioni del software dovrebbero essere enunciati in modo chiaro per l'utente, non sepolti in un EULA di 20 pagine. Le persone dovrebbero capire l'accordo che stanno facendo e le restrizioni a cui possono essere soggette, afferma David Sohn, un consulente del personale specializzato in diritto della proprietà intellettuale presso il Center for Democracy and Technology di Washington, DC.

In secondo luogo, la tecnologia DRM dovrebbe rispettare la privacy e la sicurezza degli utenti . Dovrebbe raccogliere solo le informazioni personali necessarie per l'autenticazione e solo dopo aver ottenuto il consenso degli utenti. E le misure di protezione dei contenuti non possono essere implementate a scapito della sicurezza di un sistema informatico contro il malware reale.

Terzo, un buon DRM dovrebbe essere riparabile dall'utente . Se un sistema DRM si guasta, i consumatori dovrebbero essere ancora in grado di accedere al contenuto che hanno acquistato e, se diventa una minaccia per la sicurezza, dovrebbero essere in grado di disattivarlo. Tuttavia, ai sensi del Digital Millennium Copyright Act (DMCA) degli Stati Uniti del 1998, è illegale eludere la tecnologia che protegge i contenuti digitali. Non c'è eccezione per casi come quello del rootkit Sony BMG, in cui la stessa tecnologia DRM potrebbe causare danni. Questa bizzarra situazione potrebbe essere risolta se gli sforzi di alcuni legislatori per modificare il DMCA avranno successo. Il 14 dicembre, per la terza sessione consecutiva del Congresso, la rappresentante Zoe Lofgren, una democratica della Silicon Valley, ha presentato un disegno di legge che renderebbe legale l'elusione della tecnologia DRM se il contenuto non protetto viene poi utilizzato per scopi non illeciti, come l'archiviazione . Il disegno di legge di Lofgren è stato deferito alla Commissione Giustizia della Camera, dove è in attesa di revisione.

Quarto, e forse il più importante, una buona tecnologia DRM dovrebbe essere flessibile . La proposta che Sony BMG ha fatto ai clienti con XCP è stata piuttosto striminzita: compra questo CD per $ 13,98 e puoi farne tre copie, solo in formato Windows Media Audio. Le copie non possono essere copiate e non verranno riprodotte sui computer di altre persone. Un DRM ragionevole, al contrario, darebbe ai consumatori la libertà di utilizzare i contenuti che hanno acquistato in modi non in violazione, ad esempio copiandoli sui loro computer e caricandoli sui loro lettori mobili, o forse consentire loro di scegliere esattamente come vorrebbero usare il contenuto e addebitare di conseguenza. Lo spostamento del tempo (registrazione di feed audio dal vivo per il consumo successivo), lo spostamento del luogo (trasmissione di musica in streaming su Internet da un computer di casa a una posizione remota) o persino il campionamento e il remix potrebbero avere prezzi diversi. Il mercato dovrebbe premiare o punire i prodotti a seconda che forniscano la flessibilità che le persone desiderano, afferma Sohn.

Alcune tecnologie DRM offrono una maggiore flessibilità. Sohn indica FairPlay, il sistema DRM dietro iTunes di Apple, come un esempio che altri distributori di contenuti potrebbero fare bene a imitare: i clienti possono ascoltare brani protetti da FairPlay su un computer, creare playlist, masterizzare tali playlist su CD e spostare i brani su dispositivi portatili. (Sohn non è un fan dell'incapacità di FairPlay di operare con prodotti non Apple, tuttavia.) Il successo del negozio di musica iTunes, afferma Sohn, suggerisce che questa combinazione di funzionalità sta soddisfacendo la domanda dei consumatori. TiVo to Go è un altro esempio: i proprietari di videoregistratori digitali TiVo possono trasferire gli spettacoli registrati su DVD, PC desktop, laptop e dispositivi mobili come iPod video e PlayStation Portable di Sony.

Ma per ogni iTunes e TiVo, ci sono ancora numerosi esempi di schemi DRM restrittivi che trattano i clienti come criminali. Fino a quando non ci sarà consenso su quali diritti meritano i consumatori e quali restrizioni sono necessarie per proteggere i redditi degli artisti e dei loro studi, l'acquisto di contenuti digitali continuerà probabilmente a essere un affare spinoso.

C'è assolutamente un diritto per i detentori della proprietà intellettuale di proteggere tale proprietà, afferma Stephen -Toulouse, responsabile del programma di sicurezza presso il Microsoft Security Response Center, dove i ricercatori hanno trascorso settimane lo scorso autunno ad aiutare gli utenti Windows a rispondere all'epidemia di rootkit. Ma in quanto consumatore, mi piacerebbe vedere fornitori di software e studi ottenere feedback dai consumatori e creare tecnologie che lo riflettano.

Alla fine, quindi, la migliore risposta delle etichette discografiche al calo dei ricavi musicali potrebbe essere quella di esercitare più immaginazione, non più controllo.

Wade Roush è redattore senior di Technology Review.

nascondere