Se questa è guerra cibernetica, dove sono tutte le armi informatiche?

Come la bomba atomica negli ultimi giorni della seconda guerra mondiale, il virus informatico noto come Stuxnet, scoperto nel 2010, sembrava inaugurare una nuova era di guerra. Nell'era della guerra informatica, hanno avvertito gli esperti, gli attacchi silenziosi basati su software prenderanno il posto di ordinanze esplosive, carri armati e mitragliatrici, o almeno prepareranno il terreno per loro.

O forse no. Quasi quattro anni dopo essere stato identificato pubblicamente per la prima volta, Stuxnet è un'anomalia: la prima e unica arma cibernetica mai conosciuta per essere stata schierata. Ora alcuni esperti di sicurezza informatica e infrastrutture critiche vogliono sapere perché. Ci sono meno obiettivi realistici di quanto sospettato? Tali armi sono più difficili da costruire che da realizzare? O l'attuale generazione di armi informatiche è semplicemente troppo ben nascosta?

Tali domande erano nella mente dei massimi esperti mondiali nella sicurezza dei sistemi di controllo industriale la scorsa settimana all'annuale S4 conferenza fuori Miami. S4 riunisce i massimi esperti mondiali sulla sicurezza dei reattori nucleari, delle reti elettriche e delle catene di montaggio.

Alla S4 c'era un ampio consenso sul fatto che, molto tempo dopo che il nome di Stuxnet è sbiadito dai titoli dei giornali, i sistemi di controllo industriale come i controllori a logica programmabile Siemens sono ancora vulnerabili.

Eireann Leverett , un ricercatore di sicurezza presso l'azienda IOActive , ha detto ai partecipanti alla conferenza che le pratiche di sicurezza comuni nel mondo della tecnologia dell'informazione aziendale sono ancora poco comuni tra i fornitori che sviluppano sistemi di controllo industriale (vedi Proteggere le reti elettriche dagli hacker è una sfida enorme). Leverett ha notato che i moderni sistemi di controllo industriale, che vendono per migliaia di dollari per unità, spesso vengono forniti con software privi di controlli di sicurezza di base come l'autenticazione dell'utente, la firma del codice per impedire aggiornamenti software non autorizzati o la registrazione degli eventi per consentire ai clienti di tenere traccia delle modifiche al dispositivo .

È anche chiaro che, negli anni da quando Stuxnet è venuto alla luce, sia le nazioni sviluppate che quelle in via di sviluppo hanno colto le operazioni cibernetiche come una nuova strada fruttuosa per la ricerca e lo sviluppo (vedi Welcome to the Malware Industrial Complex). Laura Galante, ex analista dell'intelligence del Dipartimento della Difesa degli Stati Uniti che ora lavora per l'azienda Mandiant , ha affermato che gli Stati Uniti non stanno solo monitorando le attività di nazioni come Russia e Cina, ma anche la Siria e l'obiettivo prescelto di Stuxnet: l'Iran. Galante ha affermato che le armi informatiche offrono alle nazioni più piccole e più povere un modo per sfruttare la forza asimmetrica contro nemici molto più grandi.

Anche così, le armi informatiche veramente efficaci richiedono una competenza straordinaria. Ralph Langner , forse la massima autorità mondiale sul worm Stuxnet, sostiene che il semplice hacking di sistemi critici non conta come guerra informatica. Ad esempio, Stuxnet ha fatto notizia per l'utilizzo di quattro exploit per buchi zero day (o precedentemente non scoperti) nel sistema operativo Windows. Ma Langner ha affermato che l'esperienza metallurgica necessaria per comprendere la costruzione delle centrifughe iraniane è stata molto più impressionante. Coloro che hanno creato Stuxnet avevano bisogno di conoscere l'esatta quantità di pressione o coppia necessaria per danneggiare i rotori in alluminio al loro interno, sabotando l'operazione di arricchimento dell'uranio del paese.

Concentrarsi su strumenti basati su software che possono causare danni fisici pone un livello molto più alto per le discussioni sulle armi informatiche, sostiene Langner. Secondo quello standard, Stuxnet era una vera arma cibernetica, ma l'attacco Shamoon del 2012 contro il gigante petrolifero Saudi Aramco e altre compagnie petrolifere non lo era, anche se aveva cancellato i dischi rigidi dei computer che aveva infettato.

Alcuni sostengono che le condizioni per l'utilizzo di un'arma cibernetica così distruttiva semplicemente non si sono ripresentate e probabilmente non lo faranno per un po'. Operazioni come Stuxnet, progetti invisibili progettati per degradare lentamente la capacità di arricchimento dell'Iran nel corso degli anni, sono l'eccezione piuttosto che la regola, ha affermato Tommaso Rida del Department of War Studies del Kings College di Londra. Non ci sono troppi obiettivi che si presterebbero a una campagna segreta come ha fatto Stuxnet, ha detto Rid.

Rid ha detto ai partecipanti che la qualità delle informazioni raccolte su un particolare obiettivo fa la differenza tra un'arma cibernetica efficace e un flop.

È anche possibile che siano state utilizzate altre armi informatiche, ma le circostanze che circondano il loro utilizzo sono segrete, bloccate dai governi come informazioni classificate o protette da rigidi accordi di non divulgazione.

In effetti, Langner, che lavora con alcune delle principali aziende industriali e governi del mondo, ha affermato di conoscere un altro vero attacco informatico fisico, questo legato a un gruppo criminale. Ma non ne parlerebbe.

I professionisti del controllo industriale e gli accademici si lamentano del fatto che le informazioni necessarie per ricercare attacchi futuri vengono tenute fuori dal dominio pubblico. E i servizi pubblici, le aziende industriali e i proprietari di infrastrutture critiche stanno diventando consapevoli solo ora che i sistemi che ritenevano fossero isolati dalla rete Internet pubblica molto spesso non lo sono.

Nel frattempo, la tecnologia sta guidando cambiamenti ancora più rapidi e trasformativi nell'ambito di quella che viene chiamata Internet delle cose. La connettività Internet onnipresente combinata con computer e sensori piccoli e poco costosi consentirà presto ai sistemi autonomi di comunicare direttamente tra loro (vedi Protezione della casa intelligente, dai tostapane ai servizi igienici).

Senza adeguate funzionalità di sicurezza integrate nei prodotti industriali fin dall'inizio, il potenziale di attacchi e danni fisici aumenta notevolmente. Se continuiamo a ignorare il problema, saremo in guai seri, ha detto Langner.

nascondere