Per motivi di sicurezza, dobbiamo rallentare l'innovazione nelle cose connesse a Internet

Questo è il punto di vista dell'esperto di sicurezza Bruce Schneier, che teme che in un disastro informatico si perdano vite umane a meno che i governi non agiscano rapidamente. Di

• Martin Giles pagina di archivio

6 settembre 2018

An Rong Xu

I gadget intelligenti sono ovunque. È probabile che tu li abbia sul posto di lavoro, a casa e forse al polso. Secondo una stima della società di ricerca Gartner, ci sarà oltre 11 miliardi di dispositivi connessi a Internet (esclusi smartphone e computer) in circolazione nel mondo quest'anno, quasi il doppio rispetto a solo un paio di anni fa.

Presto saranno online molti altri miliardi. La loro connettività è ciò che li rende così utili, ma è anche un incubo della sicurezza informatica. Gli hacker hanno già dimostrato di poter compromettere qualsiasi cosa, dalle auto connesse ai dispositivi medici, e gli avvisi stanno diventando sempre più forti che la sicurezza viene ridotta in modo insufficiente nella fuga precipitosa per portare i prodotti sul mercato.

In un nuovo libro chiamato Clicca qui per uccidere tutti , Bruce Schneier sostiene che i governi devono intervenire ora per costringere le aziende che sviluppano gadget connessi a fare della sicurezza una priorità piuttosto che un ripensamento. L'autore di un'influente newsletter sulla sicurezza e blog , Schneier è ricercatore presso il Berkman Klein Center for Internet and Society dell'Università di Harvard e docente di politiche pubbliche presso la Harvard Kennedy School. Tra gli altri ruoli, è anche nel consiglio di amministrazione della Electronic Frontier Foundation ed è Chief Technology Officer di IBM Resilient, che aiuta le aziende a prepararsi ad affrontare potenziali minacce informatiche.

Schneier ha parlato con Revisione della tecnologia del MIT sui rischi che corriamo in un mondo sempre più connesso e sulle politiche che secondo lui sono urgentemente necessarie per affrontarli.

Il titolo del tuo libro sembra volutamente allarmistico. È solo un tentativo di spremere le vendite?

Può sembrare come pubblicare clickbait, ma sto cercando di sottolineare che Internet ora influenza il mondo in modo fisico diretto e questo cambia tutto. Non si tratta più di rischi per i dati, ma di rischi per la vita e la proprietà. E il titolo sottolinea davvero che qui c'è un pericolo fisico e che le cose sono diverse da come erano solo cinque anni fa.

In che modo questo cambiamento sta cambiando la nostra nozione di sicurezza informatica?

Le nostre auto, i nostri dispositivi medici, i nostri elettrodomestici ora sono tutti computer con oggetti collegati. Il tuo frigorifero è un computer che mantiene le cose fredde e un forno a microonde è un computer che rende le cose calde. E la tua macchina è un computer con quattro ruote e un motore. I computer non sono più solo uno schermo che accendiamo e guardiamo, e questo è il grande cambiamento. Ciò che era la sicurezza informatica, il suo regno separato, ora è tutto sicurezza.

An Rong Xu

Hai inventato un nuovo termine, Internet+, per incapsulare questo cambiamento. Ma abbiamo già la frase internet delle cose per descriverlo, no?

Odiavo dover creare un'altra parola d'ordine, perché ce ne sono già troppe. Ma l'Internet delle cose è troppo ristretto. Si riferisce agli apparecchi collegati, ai termostati e ad altri gadget. Questa è solo una parte di ciò di cui stiamo parlando qui. È davvero l'Internet delle cose più i computer più i servizi più i grandi database in costruzione più le società Internet più noi. Ho appena abbreviato tutto questo in Internet+.

Concentriamoci sulla parte americana di quell'equazione. Nel libro dici che stiamo diventando dei cyborg virtuali. Cosa vuoi dire con questo?

Siamo già intimamente legati a dispositivi come i nostri telefoni, che guardiamo molte volte al giorno, e ai motori di ricerca, che sono un po' come i nostri cervelli online. Il nostro sistema di alimentazione, la nostra rete di trasporto, i nostri sistemi di comunicazione sono tutti su Internet. Se va giù, in misura molto reale la società si ferma, perché ne dipendiamo così tanto a tutti i livelli. I computer non sono ancora ampiamente integrati nei nostri corpi, ma sono profondamente radicati nelle nostre vite.

Non possiamo semplicemente staccare un po' la spina per limitare i rischi?

Questo sta diventando sempre più difficile da fare. Ho provato ad acquistare un'auto che non era connessa a Internet e ho fallito. Non è che non ci fossero auto disponibili come questa, ma quelle della gamma che volevo erano tutte dotate di connessione a Internet. Anche se potesse essere disattivato, non c'era alcuna garanzia che gli hacker non potessero riattivarlo da remoto.

Gli hacker possono anche sfruttare le vulnerabilità della sicurezza in un tipo di dispositivo per attaccarne altri, giusto?

Ci sono molti esempi di questo. La botnet Mirai ha sfruttato le vulnerabilità nei dispositivi domestici come DVR e webcam. Queste cose sono state rilevate dagli hacker e utilizzate per lanciare un attacco a un server di nomi di dominio, che ha poi messo offline un gruppo di siti Web popolari. Gli hacker che hanno attaccato Target sono entrati nella rete di pagamento del rivenditore attraverso una vulnerabilità nei sistemi informatici di un appaltatore che lavorava in alcuni dei suoi negozi.

Vero, ma questi incidenti non hanno portato alla perdita della vita o di un arto, e non abbiamo ancora visto molti casi che comportano potenziali danni fisici, vero?

Non abbiamo. La maggior parte degli attacchi comporta ancora violazioni di dati, privacy e riservatezza. Ma stiamo entrando in una nuova era. Sono ovviamente preoccupato se qualcuno ruba le mie cartelle cliniche, ma cosa succede se cambia il mio gruppo sanguigno nel database? Non voglio che qualcuno hackeri la connessione Bluetooth della mia auto e ascolti le mie conversazioni, ma non voglio davvero che disabiliti lo sterzo. Questi attacchi all'integrità e alla disponibilità dei sistemi sono quelli di cui dobbiamo davvero preoccuparci in futuro, perché influiscono direttamente sulla vita e sulla proprietà.

Si è discusso molto negli Stati Uniti quest'anno sulle minacce informatiche alle infrastrutture critiche come reti elettriche e dighe. Quanto sono seri questi?

Sappiamo che almeno due volte gli hacker russi hanno interrotto l'alimentazione a frammenti della rete ucraina come parte di una più ampia campagna militare. Sappiamo che gli hacker di uno stato-nazione sono penetrati nei sistemi di alcune compagnie elettriche statunitensi. Questi hack sono stati esplorativi e non hanno causato danni, ma sappiamo che è possibile farlo. Se ci sono ostilità militari contro gli Stati Uniti, dovremmo aspettarci che questi attacchi vengano utilizzati. E gli Stati Uniti li useranno contro i nostri avversari, proprio come abbiamo usato gli attacchi informatici per ritardare i programmi nucleari in Iran e Corea del Nord.

Quali implicazioni ha tutto questo per il nostro attuale approccio alla sicurezza dei computer, come l'emissione di patch o correzioni per i difetti del software?

L'applicazione di patch è un modo per riguadagnare la sicurezza. Produciamo sistemi che non sono molto buoni, quindi troviamo le vulnerabilità e le correggiamo. Funziona alla grande con il tuo telefono o computer, perché il costo dell'insicurezza è relativamente basso. Ma possiamo farlo con una macchina? Va bene dire all'improvviso che un'auto è insicura, un hacker può farla schiantare, ma non preoccuparti perché ci sarà una patch la prossima settimana? Possiamo farlo con un pacemaker cardiaco incorporato? Poiché i computer ora influenzano il mondo in modo diretto e fisico, non possiamo permetterci di aspettare le correzioni.

Ma abbiamo già standard di sicurezza molto severi per il software utilizzato in domini cyber-fisici sensibili come l'aviazione, vero?

Giusto, ma è molto costoso. Questi standard esistono perché esiste già una forte regolamentazione del governo in questo e in pochi altri settori. Nei beni di consumo, non hai quel livello di sicurezza e protezione e questo dovrà cambiare. Il mercato in questo momento non premia affatto il software sicuro qui. Finché tu, come azienda, non guadagnerai quote di mercato aggiuntive grazie alla maggiore sicurezza, non dedicherai molto tempo alla questione

Quindi cosa dobbiamo fare per rendere più sicura l'era di Internet+?

Non esiste un settore che migliori la sicurezza o la protezione senza che i governi lo costringano a farlo. Ancora e ancora, le aziende lesinano sulla sicurezza fino a quando non sono costrette a prenderla sul serio. Abbiamo bisogno che il governo si faccia avanti con una combinazione di cose mirate alle aziende che sviluppano dispositivi connessi a Internet. Includono standard flessibili, regole rigide e leggi severe sulla responsabilità le cui sanzioni sono abbastanza grandi da danneggiare gravemente i guadagni di un'azienda.

Ma cose come le leggi sulla responsabilità oggettiva non avranno un effetto raggelante sull'innovazione?

Sì, raffredderanno l'innovazione, ma è quello che serve in questo momento! Il punto è che l'innovazione nel mondo di Internet+ può ucciderti. Raffreddiamo l'innovazione in cose come lo sviluppo di farmaci, la progettazione di aeromobili e le centrali nucleari perché il costo per sbagliare è troppo alto. Abbiamo superato il punto in cui dobbiamo discutere la regolamentazione contro la non regolamentazione per le cose connesse; dobbiamo discutere di una regolamentazione intelligente contro una regolamentazione stupida.

C'è una tensione fondamentale qui, però, vero? Ai governi piace anche sfruttare le vulnerabilità per lo spionaggio, le forze dell'ordine e altre attività.

I governi sono certamente bracconieri oltre che guardacaccia. Penso che alla fine risolveremo questa tensione di lunga data tra attacco e difesa, ma sarà un duro lavoro per arrivarci.

Il tuo libro si concentra principalmente sugli Stati Uniti. Pensi che prenderà il comando qui?

Mi concentro sugli Stati Uniti perché è il luogo in cui si trovano le principali società tecnologiche ed è il regime che conosco meglio, ma parlo un po' anche dell'Europa. L'Unione Europea è la superpotenza normativa su questo pianeta in questo momento. Penso che avanzerà ulteriormente e più velocemente degli Stati Uniti. Negli Stati Uniti, guardo più agli stati, e in particolare a Massachusetts, New York e California.

Penso anche che ci saranno trattati e norme internazionali che escluderanno alcune delle nostre infrastrutture connesse agli attacchi informatici degli stati-nazione, almeno in tempo di pace. Abbiamo urgente bisogno di un'azione a tutti i livelli ora, dal locale all'internazionale. La mia più grande paura è che ci sarà un disastro informatico e che i governi si precipiteranno a capofitto ad attuare misure, senza pensarci troppo, che non risolveranno il problema.

nascondere