I fuorilegge di Moore

Eugene Kaspersky, CEO della società di antivirus russa Kaspersky Lab, ammette che lo scorso anno gli è passato per la mente che potrebbe morire in un incidente aereo causato da un attacco informatico. Kaspersky è un uomo dai gusti eclettici e dall'umorismo fanciullesco; quando ci siamo incontrati nel suo ufficio alla periferia di Mosca, stava sgranocchiando uno spuntino di granchietti interi giapponesi liofilizzati e zuccherati, e a un certo punto mi ha mostrato un paio di biancheria intima da uomo, comprata in una strada di Mosca, che aveva stato timbrato Protetto da Kaspersky Anti-Virus. Ma è diventato piuttosto serio quando l'argomento è passato ai giorni precedenti il ​​1 aprile 2009.

Quella era la data in cui ci si aspettava che un virulento worm chiamato Conficker ricevesse un aggiornamento dal suo creatore sconosciuto, ma nessuno sapeva a quale scopo. Una modifica al codice di Conficker potrebbe far sì che i circa tre milioni di macchine del suo esercito di computer asserviti, chiamati botnet, inizino ad attaccare i server di qualche azienda o rete governativa, vomiti miliardi di pezzi di spam o semplicemente migliorino il proprio worm capacità di propagazione. È come se avessi un milione di eserciti di veri soldati. Cosa sai fare? chiese retoricamente Kaspersky. Quello che vuoi . Ha lasciato che affondasse per un momento. Stavamo aspettando il 1° aprile per qualcosa . Ho controllato il mio programma di viaggio per assicurarmi di non avere nessun volo. Non avevamo idea di questa funzionalità. I funzionari della sicurezza erano davvero nervosi. Alla fine? Non è successo niente. Wow! Wow! gridò Kaspersky. Si fece il segno della croce, giunse le mani in una posa da preghiera e guardò verso il soffitto.

Questa storia faceva parte del nostro numero di luglio 2010

• Vedi il resto del problema
• sottoscrivi

Le incognite su Conficker nella primavera del 2009 (l'infezione rimane diffusa ma, finora, inattiva) riflettono incognite più grandi su quanto sarà negativa la sicurezza informatica ( vedi Briefing ). Le tendenze non sono promettenti: visita i laboratori di Kaspersky, o quelli di qualsiasi azienda di sicurezza informatica o avamposto di ricerca, e impari rapidamente che il malware è più difficile da rilevare, la consegna dello spam più veloce e gli attacchi che crescono in numero e impatto finanziario ( vedere L'aumento delle minacce informatiche globali vedere la presentazione ). Gli esperti di sicurezza e gli aggressori sono coinvolti in una sorta di corsa agli armamenti. Nel caso di Kaspersky, i suoi ingegneri e crittografi fanno di tutto, dalla ricerca di metodi di rilevamento dei virus automatizzati più veloci al troll sui blog di hacker in lingua russa per indizi su ciò che sta arrivando.

Le soluzioni ingegnose si stanno moltiplicando, ma gli attacchi si stanno moltiplicando ancora più velocemente. E le rivelazioni di quest'anno sugli attacchi in Cina contro obiettivi aziendali e politici, tra cui Google e il Dalai Lama, suggeriscono che anche il sofisticato spionaggio elettronico si sta espandendo. Quello che abbiamo visto, nell'ultimo decennio o giù di lì, è che la legge di Moore funziona più per i cattivi che per i buoni, afferma Stewart Baker, ex consigliere generale della National Security Agency ed ex capo della politica presso la Dipartimento della sicurezza interna degli Stati Uniti, riferendosi alla previsione che i circuiti integrati raddoppieranno la capacità dei transistor circa ogni due anni. Sono davvero i 'fuorilegge di Moore' che stanno vincendo questa battaglia. Il codice è più complesso e ciò significa maggiori opportunità di sfruttare il codice. Ci sono più soldi da guadagnare sfruttando il codice, e ciò significa che ci sono sempre più persone sofisticate che cercano di sfruttare le vulnerabilità. Se guardi cose come malware trovato, o attacchi, o la dimensione del raggio che le persone stanno tirando, c'è un aumento esponenziale.

Mentre questi conflitti di basso grado continuano, aumenta anche la minaccia di una vera e propria guerra informatica. Più di 100 nazioni hanno sviluppato organizzazioni per condurre lo spionaggio informatico, secondo l'FBI, e almeno cinque nazioni – Stati Uniti, Russia, Cina, Israele e Francia – stanno sviluppando vere armi informatiche, secondo un rapporto del novembre 2009 del società di sicurezza informatica McAfee. (A maggio il Senato degli Stati Uniti ha confermato il direttore della National Security Agency, il generale Keith Alexander, a capo del Cyber ​​Command degli Stati Uniti appena creato.) Questi arsenali potrebbero disabilitare le reti militari o far crollare le reti elettriche. E la battaglia potrebbe intensificarsi alla velocità della luce, non solo a quella dei missili balistici intercontinentali. Le armi informatiche possono colpire un'enorme quantità di persone, così come il nucleare. Ma c'è una grande differenza tra loro, afferma Vladimir Sherstyuk, membro del Consiglio di sicurezza nazionale russo e direttore dell'Istituto per le questioni di sicurezza delle informazioni presso l'Università statale di Mosca. Le armi informatiche sono molto economiche! Quasi gratuito.

Quella forma di battaglia è ancora in gran parte speculativa e può coinvolgere alcune armi specializzate, mentre l'assedio di attacchi di hacker e malware è una realtà quotidiana per privati ​​e aziende. Ma i due tipi di conflitto condividono lo stesso mezzo e potrebbero condividere alcuni degli stessi approcci. Forse più significativo, il primo diventa più facile da intraprendere e più pericoloso, nell'ambiente oscuro e caotico creato dal secondo. Inseguire le botnet, inseguire lo spionaggio aziendale, non rimuoverà la minaccia di una guerra cibernetica dirompente, afferma Greg Rattray, ex funzionario della sicurezza nazionale della Casa Bianca e autore di S. guerra strategica nel cyberspazio . Ma un ecosistema più pulito metterebbe una luce più brillante sull'attività di guerra cibernetica, rendendo più facile l'individuazione e la difesa.

Sorridi e sopportalo: In assenza di solidi accordi internazionali sulla lotta alla criminalità informatica, la collaborazione ad hoc a volte riesce a portare a termine il lavoro, come quando Eugene Kaspersky, CEO della società di sicurezza di Mosca Kaspersky Lab, ha aiutato la polizia olandese a chiudere una botnet. Ma tali successi isolati non tengono il passo con l'aumento esponenziale degli attacchi.

A livello di base, la tecnologia difettosa è responsabile dell'intero casino. Molti componenti delle nostre reti attuali non sono stati costruiti per essere particolarmente sicuri ( vedi Internet Is Broken, dicembre 2005/gennaio 2006 ). Rapporto dopo rapporto delle agenzie federali, del Consiglio nazionale delle ricerche e dei gruppi di esperti come Rand ha chiarito che riparare il cyberspazio per sempre richiederà un'accelerazione della ricerca e dello sviluppo per rendere più sicure le tecnologie hardware, software e di rete e quindi ottenere rapidamente tali tecnologie a posto. L'ultima chiamata è arrivata in un rapporto pubblicato lo scorso novembre dal Department of Homeland Security, che ha concluso che l'unica soluzione a lungo termine … è garantire che le generazioni future di queste tecnologie siano progettate con sicurezza integrata da zero.

Ma la protezione del cyberspazio non può aspettare reti completamente nuove. Nel frattempo, dobbiamo iniziare ad affrontare una serie di altri problemi sistemici. Tra questi: le pratiche di sicurezza di buon senso vengono spesso ignorate, la cooperazione internazionale è tanto imprevedibile quanto la tecnologia è porosa e i provider di Internet non fanno abbastanza per bloccare il traffico dannoso. Indurire gli obiettivi - e avere buone leggi e una buona capacità di applicazione della legge - sono i pezzi fondamentali fondamentali, indipendentemente dalle altre attività che vogliamo cercare di perseguire, Christopher Painter, il direttore senior per la sicurezza informatica della Casa Bianca, ha sottolineato in una recente conferenza. Revisione della tecnologia ha indagato su tre episodi recenti – un'eccezionale indagine botnet in Olanda, un'indagine sullo spionaggio cinese in India e in altre nazioni e gli attacchi Internet del 2007 al piccolo stato baltico dell'Estonia – per trarre lezioni su come migliorare la polizia e proteggere i il cyberspazio che abbiamo, e preparati per la guerra cibernetica che speriamo non arrivi mai.

Ombra e Grum

L'olandese della città di Sneek aveva solo 19 anni, ma aveva già ottenuto più di quanto la maggior parte di noi possa affermare: aveva assunto il controllo illecito di ben 150.000 computer in tutto il mondo. Le vittime inconsapevoli erano state rastrellate tramite messaggi intelligenti che sembravano provenire dai loro contatti su Windows Live Messenger di Microsoft. Chi ha cliccato su un collegamento nel messaggio ha scaricato un virus; ogni computer poi è diventato un bot. Nell'estate del 2008, secondo un'accusa degli Stati Uniti, l'uomo, Nordin Nasiri, decise di vendere il controllo di queste macchine schiavizzate, una botnet che chiamò Shadow, per 25.000 euro.

Le botnet sono tra le minacce più gravi su Internet. Sono i motori dietro lo spam e le frodi e il furto di identità che lo spam perpetua (secondo un recente rapporto della società di sicurezza MessageLabs, ogni giorno vengono inviati quasi 130 miliardi di messaggi di spam e le botnet sono responsabili del 92 percento di essi). Sono anche responsabili di minacce come attacchi denial-of-service, in cui bande di computer inondano un server aziendale o governativo con così tanto traffico che non può funzionare. Migliaia di grandi botnet invadono l'etere digitale, incluse alcune che sono potenti milioni di macchine. Le botnet sono davvero la causa principale e il veicolo per portare a termine gran parte della malvagità che sta accadendo e che colpisce tutti, afferma Christopher Kruegel, informatico e ricercatore di sicurezza presso l'Università di

California, Santa Barbara.

Spionaggio nel cloud: Come gli hacker cinesi hanno sfruttato i servizi Web 2.0 per gestire una rete di spionaggio globale.

La scorsa primavera, i ricercatori hanno scoperto una rete di spionaggio informatico diretta dalla Cina da autori che rimangono sconosciuti. Nella mappa sopra, i cerchi rappresentano le posizioni di 139 computer noti per essere stati infettati dallo spyware; includevano membri del Segretariato del Consiglio di sicurezza nazionale dell'India, dell'Ufficio del Dalai Lama e dell'ambasciata pakistana negli Stati Uniti. I computer infetti utilizzavano i servizi Web 2.0 più diffusi (descritti sopra come un cloud) per effettuare il check-in con i siti degli aggressori, e questi siti inviavano quindi alle macchine gli indirizzi dei server di comando e controllo a cui si connettevano e inviavano i propri dati. In un caso documentato dai ricercatori, 1.500 delle lettere del Dalai Lama sono state inviate da Dharamsala, in India, a un server di comando e controllo a Chongqing, in Cina. I ricercatori sospettano che le infezioni originali abbiano preso piede quando alcune vittime hanno aperto documenti Word e PDF carichi di virus inviati loro per e-mail. Computer infetti sono stati trovati anche in Cina; alcuni sono stati utilizzati dagli aggressori per testare il loro sistema.

Mentre le cose si sono sviluppate, il caso Nasiri è stato un modello per un'indagine di successo sulle botnet transnazionali. Negli Stati Uniti, l'FBI ha ricevuto una soffiata sull'olandese e l'ha passata all'unità high-tech della polizia nazionale olandese, che lo ha arrestato. Quindi, con un tocco insolito, gli investigatori olandesi hanno cercato l'aiuto di società di antivirus per creare istruzioni per cancellare l'infezione dai computer delle vittime e per assumere il controllo del sistema di comando e controllo della botnet, che operava sui server nei Paesi Bassi. Volevano fare qualcosa di nuovo: eliminare la botnet, ricorda Roel Schouwenberg, un ricercatore di antivirus presso Kaspersky Lab, contattato dalla polizia olandese per eseguire l'operazione. C'era il rischio che venisse rubato da altri cattivi.

Il problema è che l'indagine tra Stati Uniti e Paesi Bassi è stata un'eccezione. Nel periodo in cui Shadow veniva chiuso, un'altra botnet, nota come Grum, stava guadagnando forza ( vedere Botnet Snapshot nella presentazione) . Il sistema di comando e controllo di Grum era ospitato da una società ucraina chiamata Steephost. Nel novembre 2009, Alex Lanstein, ricercatore presso la società di sicurezza informatica statunitense FireEye, ha scritto un'e-mail seria all'indirizzo di notifica degli abusi di Steephost. Ciao Abuse, ha esordito, pensavo ti interessasse sapere di una rete criminale a valle di te. Ha esposto i fatti su Grum e altri siti dannosi che ospitava, ma non ha ricevuto risposta. Pochi giorni dopo, tuttavia, ha notato la comparsa di una sorta di foglia di fico della botnet: gli indirizzi Web dei siti dannosi ora portavano a false home page di e-commerce. A marzo, la società di sicurezza informatica Symantec ha affermato che Grum era responsabile del 24% di tutto lo spam su Internet, rispetto al 9% alla fine del 2009.

I proprietari di Steephost, che non potevano essere raggiunti per un commento, avevano poco di cui preoccuparsi nel fare il pollice a personaggi come Lanstein. Le botnet operano liberamente oltre i confini nazionali e le forze dell'ordine sono molto indietro. Un trattato che mira a rafforzare la cooperazione investigativa, la Convenzione europea sul crimine informatico, è stato firmato da 46 paesi, principalmente in Europa, ma inclusi Stati Uniti, Canada, Sud Africa e Giappone. Ma non è stato firmato da Cina, Russia o Brasile, che (insieme agli Stati Uniti) si contendono la leadership come i principali host mondiali di attacchi informatici. Alcuni firmatari, come l'Ucraina, non sono noti per gli sforzi entusiastici per fermare le botnet. E i tentativi di creare una versione globale si sono bloccati ( vedi Global Gridlock sul Cyber ​​Crime ). Le botnet sono una seria minaccia, ma siamo sfortunati finché non ci sarà un accordo internazionale sul fatto che la criminalità informatica ha davvero bisogno di contromisure e persecuzioni abbastanza rigorose in quasi tutte le nazioni che utilizzano Internet, afferma Vern Paxson, informatico presso l'Università di California, Berkeley, che studia attacchi Internet su larga scala.

Date le scarse prospettive per un accordo globale, gli Stati Uniti stanno cercando di stringere accordi bilaterali con alcune delle peggiori fonti di attacchi, inclusa la Russia. La Russia collabora su una base ad hoc nel perseguire i criminali informatici locali – ha recentemente aiutato nell'arresto di diverse persone in Russia che avrebbero effettuato un furto online di $ 10 milioni dalla Banca di Scozia – ma si ferma prima di consentire alle forze dell'ordine di altri nazioni accedono alle sue reti. Tuttavia, Sherstyuk, lo zar russo della sicurezza delle informazioni, mi ha detto: vogliamo aiutare a stabilire le regole nella sfera dell'informazione. E scommetto che ci sono molte cose che possiamo fare insieme.

Istantanea della botnet: Una botnet chiamata Grum è una delle principali fonti di spam su Internet. Ecco alcune delle sue statistiche vitali.

Anche molti fornitori di servizi Internet, un'altra potenziale fonte di difesa, stanno facendo uno sforzo tiepido. Gli ISP hanno la capacità di identificare e mettere in quarantena le macchine infette sulle loro reti, contenendo così una fonte di spam e attacchi. Ma in pratica, la maggior parte degli ISP ignora tutti tranne quelle macchine così nocive da indurre altri ISP a vendicarsi bloccando il traffico. È molto più economico fornire la larghezza di banda extra che affrontare effettivamente il problema, afferma Michel van Eeten, professore di politica tecnologica presso la Delft University of Technology in Olanda, che studia le botnet. Descrive il caso di un ISP australiano che stava prendendo in considerazione la tecnologia per interrompere automaticamente i computer infetti. L'ISP abbandonò presto il piano quando si rese conto che 40.000 clienti confusi e arrabbiati si sarebbero collegati alle linee di assistenza clienti ogni mese, chiedendosi perché fossero stati tagliati fuori e come pulire le loro macchine. Gli ISP in genere si prendono cura dei bot che attivano contromisure contro l'ISP stesso, van Eeten

dice, ma non molti di più, a causa dell'impatto sui costi di un tale sforzo.

Per quanto riguarda il caso olandese, è emerso che anche le indagini riuscite sono difficili da perseguire. Oggi Nasiri è in attesa di processo in Olanda per accuse olandesi. Ma un uomo brasiliano originariamente accusato insieme a lui è sfuggito al processo. L'accusa degli Stati Uniti aveva affermato che il brasiliano aveva orchestrato la ricezione di 23.000 euro da un acquirente e fatto in modo di ricevere supporti elettronici da Nasiri contenenti il ​​codice del bot. Sembrava che fosse stato colto in flagrante. L'anno scorso, tuttavia, gli Stati Uniti hanno ritirato le accuse, citando l'indisponibilità di un testimone chiave. La polizia olandese afferma di averlo scortato all'aeroporto Schiphol di Amsterdam e di essere tornato in Brasile, un uomo libero.

Spionaggio

Nel 1959 il leader spirituale tibetano, il Dalai Lama, fuggì a Dharamsala, una pittoresca cittadina ai piedi delle colline himalayane dell'India settentrionale che è ancora sede del governo in esilio del Tibet. Lì, un caffè locale chiamato Common Ground funge anche da organizzazione non governativa che cerca di colmare il divario tra la cultura cinese e quella tibetana. Ma nel 2009, uno scienziato informatico in visita al bar ha scoperto un ponte di tipo diverso: un oleodotto di spionaggio elettronico. Il ricercatore, Greg Walton, ha notato che i computer nella rete mesh Wi-Fi della città, chiamata TennorNet, stavano trasmettendo a un server di comando e controllo a Chongqing, in Cina.

La portata dello spionaggio si estendeva ben oltre il caffè. Secondo i ricercatori della società di informatica forense di Ottawa SecDev Group (incluso Walton) e dell'Università di Toronto, le vittime includevano agenzie dell'establishment della sicurezza nazionale indiana; i dati compromessi includevano informazioni personali, finanziarie e commerciali appartenenti a tibetani, indiani e personalità dei diritti umani in tutto il mondo ( vedere Spionaggio nel cloud nella presentazione ). La scoperta è avvenuta prima che gli attacchi con sede in Cina contro Google e altre società occidentali spingessero Google a ritirarsi dalla Cina ( vedi China's Internet Paradox, maggio/giugno 2010 ). Ci mancano buone metriche per capire quanto sia grande il problema dello spionaggio, ma sembra chiaro che stia peggiorando molto e velocemente, afferma Paxson. Google China è stato un campanello d'allarme, e ce ne sono molti altri là fuori.

Battaglia baltica: Nel 2007, a seguito di una disputa sui piani dell'Estonia di spostare un monumento russo, sono scoppiate rivolte tra russi ed estoni.

La Cina nega che il suo governo fosse dietro gli attacchi del Dalai Lama o di Google, e il gruppo di Toronto afferma che il gruppo di Toronto afferma di non poter dimostrare che lo fosse. Ma possiamo tranquillamente ipotizzare che ci sia un mercato cinese per l'intelligence sulle persone attive nei circoli tibetani. Molte istituzioni – corporazioni, governi, università – sono in una posizione simile al governo del Tibet in esilio, in quanto detengono dati che vale la pena rubare perché di valore per qualcuno. E il lavoro canadese ha fatto luce sulle tecniche di spionaggio globale che, a detta di tutti, sono molto più diffuse degli attacchi degli aggressori con sede in Cina su obiettivi tibetani. Con la crescita esponenziale della criminalità informatica, le organizzazioni pubbliche e private troveranno penetrazioni informatiche se cercano, afferma John Mallery, scienziato informatico presso il Computer Science and Artificial Intelligence Laboratory del MIT. Più o meno, le organizzazioni sono impantanate in infrastrutture e componenti intrinsecamente insicuri che non sono mai stati progettati per la sicurezza e, nella migliore delle ipotesi, sono stati adattati con misure di sicurezza parziali. Oggi l'attaccante ha il vantaggio a livello architettonico e sta innovando più velocemente dei difensori. Quindi ciò che le organizzazioni possono fare è gestire la propria vulnerabilità isolando informazioni preziose.

Come suggerisce Mallery, la lezione è che le organizzazioni dovrebbero pianificare le perdite e rimanere costantemente vigili, perché nessuna infrastruttura IT in rete può essere veramente sicura. Considera che in risposta a precedenti incursioni (rilevate anche dai ricercatori canadesi), lo staff del Dalai Lama aveva installato firewall all'avanguardia un anno prima della scoperta di Walton. Ma i firewall in genere devono essere programmati per bloccare i siti ostili e le spie con sede in Cina hanno utilizzato una gamma sempre mutevole di intermediari apparentemente benigni, tra cui Google Groups, Twitter e Yahoo Mail. Si ritiene che gli aggressori abbiano incorporato il loro malware in documenti Microsoft Word e PDF inviati da indirizzi e-mail apparentemente amichevoli che erano stati falsificati o violati. Se la vittima ha aperto l'allegato con una versione vulnerabile di Adobe Reader o Microsoft Office, lo spyware ha messo radici.

Fortunatamente, alcune tecnologie emergenti potrebbero fornire una soluzione anche in questi casi. Lo spionaggio informatico spesso comporta l'invio di comandi dannosi a un computer infetto che poi restituisce i dati. Rilevare la firma di quei comandi, e quindi bloccarli, è l'obiettivo del Kruegel di Santa Barbara, che ha sviluppato una tecnologia che individua la comunicazione anche se l'infezione iniziale non è stata rilevata. Anche se gli aggressori potrebbero compromettere le macchine, dice Kruegel, se riesci a identificare i comandi abbastanza velocemente, puoi bersagliarli e abbatterli. Prevede di portare la tecnologia sul mercato entro un anno.

Anche i cambiamenti a livello politico potrebbero fare la differenza: in questo momento, nessun trattato esclude ciò che hanno fatto gli agenti con sede in Cina. Mentre le convenzioni delle Nazioni Unite fanno dichiarazioni forti sui diritti umani, ad esempio, e tali convenzioni sono frequenti

invocato per condannare le azioni della Cina e di altre nazioni: niente di paragonabile affronta il saccheggio digitale che colpisce obiettivi nei regni della politica, degli affari e dei diritti umani. Il crimine informatico si sta trasformando in spionaggio informatico a causa dell'assenza di restrizioni a livello globale, afferma Ronald Deibert, che ha contribuito a guidare la ricerca sullo spionaggio come direttore del Citizen Lab, un avamposto di ricerca presso l'Università di Toronto. Avere un trattato aiuterebbe a responsabilizzare i governi. Puoi dire: 'Ecco il trattato, e la Cina, non stai rispettando le regole, ma l'hai firmato'. ( Vedere Militarizzare il cyberspazio, Notebook, p 12. ) Nel frattempo, è lecito presumere il peggio sulla prevalenza dello spionaggio informatico. Dobbiamo considerare questo come una piccola finestra su un problema molto più ampio, dice. Abbiamo tipo immerso il dito in una piscina qui.

Quindi gran parte di Internet in Estonia è stata chiusa da una serie di attacchi informatici. La difficoltà di attribuire tali attacchi evidenzia la necessità di nuove tecnologie e accordi internazionali ampliati.

Chi l'ha fatto?

La mattina del 27 aprile 2007, il governo estone, nonostante le proteste della Russia, ha iniziato a spostare una statua in bronzo di un soldato sovietico che era stata originariamente installata nella capitale Tallinn per commemorare i morti della seconda guerra mondiale. I 300.000 russi di etnia che vivono in Estonia erano furiosi. Non molto tempo dopo, iniziarono gli attacchi su Internet. Le botnet hanno preso di mira giornali, telecomunicazioni, banche e siti governativi estoni. La rete nazionale è stata assediata per settimane. La Russia sembrava l'ovvia colpevole: il suo governo aveva avvertito che la rimozione della statua sarebbe stata disastrosa.

Se stavi osservando il traffico di rete estone durante gli attacchi, avresti visto gli eserciti di bot avanzare dagli Stati Uniti, dall'Egitto, dal Perù e da altri paesi. Ma un'ispezione più attenta ha rivelato che molti dei bot stavano prendendo ordini dai computer in Russia (e le istruzioni su come inondare i siti Web estoni con ping inutili si diffondevano nelle chat room online con sede in Russia). Tuttavia, era impossibile determinare se lo stesso governo russo stesse dirigendo le attività ostili. La Russia ha negato la responsabilità ma ha rifiutato di consentire qualsiasi analisi forense delle sue reti.

In breve, non c'era un modo semplice per attribuire l'attacco. In un mondo che ammette la prospettiva di una guerra cibernetica, situazioni che prospettano una guerra cibernetica, situazioni del genere sono tra i maggiori problemi che le nazioni devono affrontare, ma certamente non gli unici. Se una violazione della rete finalizzata allo spionaggio non può essere facilmente distinta da una che prelude ad un attacco, è difficile sapere quando un contrattacco è giustificato. Non esiste nemmeno un modo per condurre ispezioni per le armi informatiche, misurare la loro potenziale resa o certificare che siano state distrutte. Quando il Senato ha fatto pressione sul generale Alexander, il nuovo capo del Cyber ​​Command degli Stati Uniti, per spiegare come gli Stati Uniti avrebbero affrontato questi problemi, le sue risposte sono state classificate. L'intero fenomeno della guerra cibernetica è avvolto in una tale segretezza governativa che fa sembrare la Guerra Fredda un periodo di apertura e trasparenza, scrive Richard Clarke, l'ex zar dell'antiterrorismo, nel suo nuovo libro, Cyber ​​War: The Next Threat to National Security e cosa fare al riguardo.

Ma le implicazioni del problema dell'attribuzione sono abbastanza chiare. Un attacco a una nazione della NATO obbliga altri membri della NATO a unirsi alla lotta, sottolinea Michael Schmitt, preside e professore di diritto internazionale presso il Centro europeo di studi sulla sicurezza George C. Marshall in Germania. Sbagliare sarebbe un disastro. Questa non è una situazione in cui puoi pensare l'altro lato ha attaccato, dice. Si deve sapere . Come abbiamo appreso di recente, devi avere le prove giuste quando vai in guerra. E nel caso di una minaccia informatica, un governo potrebbe facilmente giudicare erroneamente la sua fonte, poiché gli indirizzi Internet possono essere nascosti o falsificati. Ho il terrore che tu attribuisca a uno stato erroneamente, dice Schmitt.

A lungo termine, le soluzioni tecnologiche proposte potrebbero risolvere questo problema. I gruppi di ricerca della Georgia Tech, dell'Università della California, di San Diego, dell'Università di Washington e di altre istituzioni stanno lavorando su come stabilire la provenienza dei dati. In un approccio sviluppato dai ricercatori di San Diego e dell'Università di Washington, l'identità del computer originale che ha emesso un pacchetto di dati rimarrebbe allegata a quei dati, in forma crittografata. La chiave digitale di questa identità sarebbe detenuta da una terza parte fidata, forse accessibile solo su ordine del tribunale. Tutti gli strumenti del potere nazionale, dalla forza diplomatica a quella militare fino all'influenza economica, sono piuttosto inutili se non si può attribuire chi ha sferrato un attacco, afferma Stefan Savage, informatico dell'Università della California, San Diego, che sta sviluppando la tecnologia. Ma mentre la tecnologia può potenzialmente dirti l'identità

la tecnologia può potenzialmente dirti l'identità di una macchina che ha condotto un attacco (o ha commesso un crimine), questo non è sempre utile se la fonte originale era un computer pubblico. Essere in grado di attribuire attività a una particolare macchina è molto diverso dall'essere in grado di dire 'Qual era la sua vera fonte?' Dice Vern Paxson di Berkeley. Anche se arrivasse fino al sistema terminale, cioè il luogo della vera origine di un attacco, potresti avere un bar a Shanghai. Paxson avverte che in generale, gli approcci al tracciamento delle identità nel cyberspazio comportano ovvie implicazioni sulla privacy. La tecnologia per affrontare questo tipo di problemi, la capacità di essere in grado di monitorare chi sta facendo cosa e rintracciarlo, sarebbe molto potente, dice. Ma sarebbe anche tecnologia da stato di polizia.

Con le soluzioni ancora lontane, per evitare un'inutile epidemia o un'escalation della guerra informatica dovrà fare affidamento su tecniche di intelligence più convenzionali. La sorveglianza delle reti di computer a volte può fornire gli indizi necessari per identificare ed esporre un potenziale aggressore, afferma Bret Michael, informatico presso la Naval Postgraduate School di Monterey, in California. Così possono le reti di base dell'intelligenza umana. Se le agenzie di intelligence possono individuare la fonte di una minaccia, possono far luce su un malfattore prima che attacchi o subito dopo, dice. A volte basta essere identificati per impedire che si verifichi un attacco.

Vertice informatico

In una frizzante mattina di aprile di quest'anno, più di 140 diplomatici, politici e scienziati informatici sono arrivati ​​nella città di montagna di Garmisch-Partenkirchen, in Germania. Il loro ospite era il ministero degli interni russo.

L'argomento della conferenza che li ha portati lì: come proteggere la sfera dell'informazione, come hanno detto i russi. Ma questo significava cose diverse per persone di paesi diversi. Painter, l'assistente della Casa Bianca, ha sottolineato la lotta alla criminalità informatica. I russofoni, consapevoli degli attentati suicidi che hanno recentemente colpito la metropolitana di Mosca, hanno parlato di contrastare l'addestramento e l'organizzazione dei terroristi online. Un ricercatore indiano ha parlato dell'utilizzo della rete da parte dei terroristi di Mumbai e ha descritto come le leggi indiane sono state riformate in risposta. I rappresentanti della Internet Corporation for Assigned Names and Numbers (ICANN), l'autorità responsabile dei nomi di dominio, hanno parlato delle ultime correzioni di sicurezza. Una piccola delegazione cinese ha partecipato ma ha guardato in silenzio.

Quindi, il secondo giorno, Michael Barrett, chief information security officer di PayPal, è salito sul podio per ricordare ai partecipanti ciò che avevano in comune: un insieme di tecnologie non funzionanti. Come altri obiettivi, ha affermato, PayPal, che offre agli utenti di Internet un modo sicuro per inviare denaro in 190 paesi e regioni, è sotto assedio. Quello che sta diventando chiaro a noi, e in effetti a qualsiasi praticante della sicurezza delle informazioni, è che la maggior parte delle curve, e tutti noi possiamo scavare queste curve, la quantità di virus su Internet, il numero di incursioni e bla bla bla - sono tutte sembrano tristemente simili. Tendono tutti a sembrare in scala logaritmica. Salgono tutti come quello , disse con un netto movimento della mano verso il cielo.

Riferendosi a precedenti conversazioni sul miglioramento della cooperazione e sull'aggiunta di patch di sicurezza, ha aggiunto: Non è che queste cose siano negative. Ma a questo punto mi ricorda un po' la definizione di follia, vale a dire fare sempre la stessa cosa e aspettarsi un risultato diverso. La nostra ipotesi è che per proteggere Internet, dobbiamo pensare alla sicurezza a livello di ecosistema, e questo significa ripensare alle fondamenta di Internet. Proprio mentre Barrett si stava scaldando, gli organizzatori russi lo hanno interrotto. Erano in ritardo ed era ora di pranzo, ma la decisione era il simbolo di un problema più grande. In sostanza, non abbiamo la tecnologia per affrontare le minacce fornite dall'infrastruttura di rete che abbiamo messo in atto, afferma John Mallery, ricercatore del MIT. Diversi progetti di ricerca hanno creato banchi di prova per nuove architetture Internet o prototipi di sistemi operativi e architetture hardware più sicuri, come i chip che memorizzano alcuni software in aree isolate. Ma il rapporto del Department of Homeland Security ha ancora riscontrato un urgente bisogno di ricerca e sviluppo accelerati sulla sicurezza del cyberspazio.

La discussione collettiva a Garmisch è stata utile per far avanzare gli sforzi a breve termine. Sarà cruciale cambiare il comportamento dei singoli utenti di computer e delle aziende; così sarà il rafforzamento dei legami con le forze dell'ordine, l'installazione delle ultime patch tecnologiche e l'espansione della diplomazia. Ma alla fine sarà necessario passare alle nuove tecnologie. E questo non è probabile che accada fino a quando non sperimentiamo un grave guasto o attacco. Quello che abbiamo visto è che la corsa agli armamenti spesso progredisce in modo evolutivo. Ma di tanto in tanto, loro salto , dice Paxson. Se c'è un attacco informatico che sconvolge una città per una settimana, o se una grande azienda viene messa in ginocchio, sarà un punto di svolta. Non ho modo di sapere come prevederlo. È come dire qui nella Bay Area: 'Ci sarà un grande terremoto nei prossimi tre anni?' Non lo so davvero.

Le sue osservazioni mi hanno ricordato i timori di un incidente aereo di Kaspersky; collettivamente, non possiamo prevedere come e quando le cose potrebbero cambiare. Ma come ha detto Baker, La lezione dell'11 settembre, la lezione dell'uragano Katrina, è che prima o poi succederà.

David Talbot è Revisione della tecnologia il principale corrispondente.

nascondere