Le storie di disastri che coinvolgono l’Internet of Things sono sempre più coinvolgenti. Le auto del futuro (che guidino da sole o meno), le power grid, le dighe intelligenti, i sistemi di ventilazione dei tunnel, sino alle più banali lampadine o smart Tv. Una storia sci-fi particolarmente vivida su uno scenario realistico del prossimo futuro è uscita sul New York Magazine questa estate, racconta di una New York sotto cyberattacco: un disastro che coinvolge le automobili, il sistema idrico, ospedali, sistemi elettrici e perfino gli ascensori. In queste storie, migliaia di persone muoiono. Il caos scivola sin nelle più piccole pieghe dello scorrere quotidiano. Anche se figlie di una lisergica immaginazione e fomentazione della paura della distruzione di massa, i rischi per tutti noi sono reali. La sicurezza informatica, come la conosciamo ed applichiamo oggi, semplicemente non è pronta per proteggerci da tutto ciò.

Da quando internet esiste – nella sua accezione moderna – e fino ad oggi, i problemi riguardavano quasi totalmente la segretezza. Basti pensare che il concetto stesso di segretezza in Italia viene etichettato esso stesso come “sicurezza”. L’hacking dei dati, i leaks di documenti riservati o informazioni sensibili sono uno scenario comune, ma non fanno quasi più notizia. Ovviamente, però, hanno delle ripercussioni. Un data breach, infatti, è innanzitutto un affare economico: uno studio racconta che i danni da attacchi e conseguente divulgazione dei dati, nel 2015 ammontano a $3,8 miliardi, +23% rispetto al 2014. Nell’analisi rientra anche l’Italia. Il secondo grande fattore è sicuramente quello sociale. Basti pensare al data leak di iCloud nel 2014 o quello di Ashley Madison nel 2015. Quando entra la sicurezza di intere nazioni, poi, la storia si fa più tosta. Tipo quando il governo della Corea del Nord ruba migliaia di documenti interni alla Sony oppure quando la JP Morgan si vede rubare i dati di 83milioni di clienti, o ancora l’hack all’United States Office of Personnel Management da parte – forse – della Cina nel 2015.

Quando parliamo di Internet of Things, lo scenario si fa più complesso, perché non riguarda solo le nostre informazioni, la nostra carta di credito, la nostra password di Dropbox. Una cosa è che il nostro sistema di allarme ascolti chi c’è in casa per avvisarci dei ladri, un’altra cosa è se questo sistema venga hackato da un ladro per entrare in casa. Parliamo del nostro essere fisico, di oggetti e situazioni tangibili. Un malintenzionato può hackare la vostra automobile, impedendone l’avviamento, ma anche prendendone i comandi. Anche se ci siete voi alla guida. E questo è decisamente più pericoloso rispetto ad attacchi più semplici, tipo quelli che permettono di intercettare le vostre conversazioni o sapere la vostra posizione GPS.

Se un frigorifero può compromettere una Gmail, dove andiamo?

Con la diffusione dei sistemi dell’Internet of Things, prestiamo il fianco ad un nuovo, inesplorato fenomeno. Mettiamoci d’accordo: io sono sempre schierato a favore del cambiamento tecnologico che fa progredire il mondo e il mondo aperto, connesso, pieno di cose intelligenti non può che farci avanzare verso questa fantastica direzione. L’Internet delle cose è palesemente un simbolo di questo avanzamento, che non inizia affatto dai robot o dalle macchine volanti come si poteva immaginare in Blade Runner, ma inizia dal basso, circondandoci di oggetti più piccoli e immediati: il frigo intelligente, le bilance connesse, gli orologi superintelligenti. Nel farlo, riempiamo lo spazio attorno a noi di oggetti che ci aiutano a gestire alcuni aspetti della nostra esistenza, più o meno semplici. Ma nel farlo ci esponiamo agli attacchi che avrebbero ripercussioni più che realistiche, reali. Quelli che erano attacchi che coinvolgevano perlopiù cosa possedevamo, informazioni, diventano ora, carne, acciaio, cemento. Un mare di sensori, infimi e instancabili lavoratori nel misurare pressioni, altezze, pH, pesi, una volta connessi ai computer (nel senso di sistemi connessi), a loro volta connessi ad internet, hanno formato un mare di oggetti intelligenti, connessi, controllati e controllabili. La fusione di sensori e macchine ha portato alla vendita di apparecchi all-in-one intelligenti, senzienti, sempre connessi. Il vecchio allarme antifumo, un chip da pochi centesimi collegato ad un sensore fotoelettrico e ad un cicalino, è diventato uno allarme smart, che oltre ai suddetti sensori, è sempre connesso ad internet per farvi sapere se c’è un allarme in casa a km di distanza, sull’App installata sul vostro smartphone. Molto realisticamente ci troveremo al centro di questo firmamento di piccoli esseri pensanti alimentati a corrente diretta nel giro di pochi anni. Ma se un frigorifero può compromettere una Gmail, dove andiamo?

Portiamolo all’estremo, pur rimanendo nella realtà. Le minacce di oggi includono il dirottamento aereo e, come già accennato, il controllo di automobili, che siano parcheggiate o che corrano in autostrada al momento dell’hack. Dobbiamo preoccuparci del congelamento dovuto ai termostati hackati, e magari pure dei dispositivi medici connessi che non rispondono più alle mani dei dottori. Le possibilità dovute al fatto che sempre più oggetti sono connessi, e quindi attaccabili, diventano infinite. L’Internet of Things permette attacchi che non possiamo neanche immaginare.

L’ultimo arrivato, è il worm che prende possesso delle lampadine Philips Hue. Per nostra fortuna, è solo un esperimento fatto per dimostrare la vulnerabilità di oggetti tanto diffusi: i risultati sono stati divulgati all’azienda produttrice, che ha rilasciato un aggiornamento software. Il suo scopo è verificare che la densità di oggetti IoT e la capacità di auto-infettarsi possano innescare un principio di diffusione nucleare su larga scala. Alle lampadine viene fatto credere (tramite un protocollo chiamato ZigBee) di ricevere un aggiornamento, che è in realtà un malware firmato con una chiave di Philips, che è stata divulgata in rete mesi fa. Infettata la prima, la reazione è innescata: in pochi minuti il worm si è diffuso. Un video ci mostra l’hack fatto con il war-driving (cioè lanciando l’attacco da un’automobile) o war-flying (da un drone). Gli stessi ricercatori spiegano che dal menù degli attacchi possibili, possiamo scegliere un bel brick (mandare a miglior vita le lampadine), di usarle come jammer (cioè un disturbatore di frequenza) o ancora di attaccare il sistema elettrico, spegnendo e accendendo tutte assieme centinaia – di migliaia – di piccole, innocenti lampadine led. Se ancora siamo sazi, o se non sappiamo scegliere, è possibile causare una disturbo epilettico collettivo ai soggetti fotosensibili.

Perché sono oggetti vulnerabili?

Cosa rende un dispositivo attaccabile? La sua stessa natura di oggetto connesso ed intelligente. Ciò che gli permette di compiere il suo ruolo in quanto strumento è anche potenzialmente la causa del suo disertare.

Ragionano. Volendo descrivere nei minimi termini gli oggetti della IoT, potremmo dire che tutto è un computer. Insito in ogni videocamera di sorveglianza, router, baby monitor c’è naturalmente un software che gli permette di funzionare.  Questo li rende potenti, flessibili, ma anche intrinsecamente vulnerabili, proprio come lo sono oggi i computer. La differenza sta nel fatto che noi curiamo l’aggiornamento e la sicurezza di smartphone e computer, ma del nostro router o videocamera no. Il suo software è sempre lo stesso, scritto dieci anni fa, magari con la password di default. L’attacco DDoS (Distribuited Denial of Service) che ha tirato giù Dyn portandosi dietro i suoi clienti (tra i quali Twitter, Netflix, Spotify) è stato compiuto da una rete, denominata Mirai, di videocamere zombie. Perché il suo software è stato bucato e sostituito con un malware.

Sono connessi. Ovviamente. Quando gli oggetti dell’Internet delle cose diventano interconnessi fra loro, il pericolo è che l’attacco si diffonda più velocemente, perché potrebbero lanciare attacchi fra loro stessi. Una lampadina hackata può hackare la sua vicina, e così via. Ogni oggetto, un frigorifero, un impianto di refrigerazione che offre delle possibilità a noi utenti, ha di rimando anche delle aperture verso l’esterno potenzialmente fallaci. Per il principio della reazione a catena, gli attacchi possono essere profondi e veloci. Riguardo all’attacco del 21 ottobre 2016 che vi ho raccontato prima, Dyn parla di 100.000 videocamere compromesse con un totale di banda di 1,2 Tbps. (Terabit al secondo ndr)

Che facciamo ora?

Il caso Mirai dimostra una questione semplice. Delle semplici videocamere di sorveglianza possono creare una botnet immensa semplicemente perché hanno un indirizzo pubblico e rispondono su una porta X, che è fissa per quel tale articolo di quel tale produttore. Il loro pannello di gestione, alla stregua di quello del vostro router, ha una password preimpostata in fabbrica che nessuno ha voglia di cambiare.

Quindi il problema è suddiviso equamente tra produttore, che preistalla spesso software obsoleti, scritti male e vulnerabili e la pigrizia di noi utilizzatori, che vogliamo oggetti intelligenti sì, ma pure plug and play. Alla fine metteremo in rete oggetti IoT ai quali non cambieremo password e spesso non guarderemo mai nemmeno le impostazioni di privacy o di rete.

La soluzione, semplice quanto scontata, è quella di considerare gli oggetti connessi per quello che sono: dei piccoli sistemi smart alla stregua del nostro cellulare o del nostro computer. Comprare hardware di buona qualità e non cancellare perennemente quella notifica di Aggiornamento software potrebbe arginare metà dei danni. Il resto è hacking.