Sicurezza vista da vicino: Intervista ad un Hacker

Posted on giugno 16, 2007. Filed under: Filosofia Hacker |

Pubblicato da Alexsandra 20 Marzo 2007

Nell’anno appena passato abbiamo visto una crescita esponenziale di applicazioni maligne che hanno contaminato migliaia di computer in tutto il modo, è legittimo chiedersi a questo punto perché e come tutto questo avvenga, abbiamo assistito allo sfacelo che Link Optimizer (alias Gromozon) ha causato e a tutte le varianti che il malware ha presentato, oltre a questo ho avuto modo di vedere in vari forum come sia semplice attribuire la colpa agli Hackers.

Sembra proprio che la figura dell’Hacker sia diventata di moda, ma credo che non sia chiaro cosa significhi il termine Hacker, troppo spesso si legge nelle varie sezioni security di tanti forum “penso proprio che un Hacker sia entrato nel mio computer” oppure come nel caso sopra esposto di Gromozon si ricorra all’appellativo Hacker per definire un gruppo o un team di programmatori che sviluppano un codice malevole col solo scopo di arrecare danno a migliaia di utenti, ma lo scopo di questo articolo non è quello di parlare di questo genere o gruppo di persone, ma bensì di coinvolgere veri Hacker, per sentire direttamente da loro come sia possibile raggiungere un discreto grado di sicurezza del nostro sistema, e su come utilizzare al meglio il nostro computer.

I media hanno sempre descritto questa figura in maniera un po’ ambigua, ci sono sempre stati presentati come dei criminali informatici, e sembra che siano loro gli artefici di qualunque cosa succeda in rete, io direi che sarebbe giunto il momento di cominciare a conoscerli, finora è sempre stato associato al termine Hacker la filosofia di pirata informatico, ma negli ultimi anni si sta diffondendo una cultura diversa chiamata Ethical Hacking, che rappresenta un gruppo di Hacker, esperti in sicurezza, che hanno creato una nuova forma di hacking, rappresentata da un insieme di specialisti che eseguono attacchi a vari sistemi sottolineando però che non c’è nessuna intenzione di arrecare danni o sottrarre informazioni riservate.

In pratica eseguono delle simulazioni e redigono dei report che consegneranno ai legittimi proprietari in cui evidenziano le falle nei loro sistemi e sopratutto propongono le soluzioni da adottare per proteggersi, in rete ho avuto modo di leggere che queste azioni sono illegali in quanto esiste una violazione del sistema, ma tralasciamo per un attimo questo aspetto che non è lo scopo del nostro articolo, cerchiamo di apprendere come questo può essere visto ed utilizzato come un vantaggio per noi

Sulla base di quanto appena citato mi sono chiesta “ma perché non sentire direttamente qualcuno di loro in merito alla sicurezza dei sistemi?” potrebbe essere utile a tutti sentire un parere direttamente da questi specialisti su come utilizzare al meglio il nostro computer, quale tecniche di difesa possiamo adottare e quali software possiamo installare per rendere più difficile il loro compito.

Ho contattato uno di loro, il suo nik è Franz, è uno dei cofondatori del sito HackerAlliance.net ed appartiene a un gruppo di Ethical Hacker, prima di continuare col proseguo dell’articolo, e vista la disponibilità in merito alla mia richiesta, cerchiamo di conoscerlo meglio.

Alex : Ci parli un po’ di te?
Franz : Lavoro in ambito di gestione di una rete LAN gigabyte (2 giga ridondati con dei server da 100 terabytes) che serve circa 5 Laboratori (non posso essere più specifico perdonate), con routers, pix firewall con accessi sia intranet (Lan aziendale) che esterni, da tutta Italia passando tramite delle access list gestite da dei Pix. Conosco benissimo quali possono essere sia le problematiche interne ed esterne di accesso, ho un passato, ma ancora presente in alcuni casi di Hacker, sempre nel senso buono del termine.

Alex: Perché sei diventato un Hacker?
Franz : Diciamo per curiosità, voglia di imparare, di capire con che cosa si ha che fare, un po’ come fanno alcuni bambini che appena ricevono in regalo qualche giocattolo lo smontano. La differenza è che loro lo fanno senza un motivo, gli Hackers hanno come motivazione principale quella di capire con cosa hanno a che fare, poi in genere cercano di aiutare gli altri a capire, ma anche qui dipende dalla persona:
-C’è chi tende a tenere tutto quello che capisce/comprende per se
-C’è chi tende a condividere le informazioni (credo questo sia lo spirito giusto)

Alex: blue”> : C’è stato qualche caso o filmografia che ti ha influenzato ad interessarti di questo campo “Oscuro” dell’informatica?
Franz : Nel mio caso ha influito molto il film Wargames [giochi di guerra], poi diciamo la mia prima appartenenza ad un gruppo è nata come gruppo di attaccanti verso siti pedopornografici.

Alex : So che esistono delle categorie di Hacker. Quali sono e come si distinguono tra di loro?
Franz : Ci sono 2 categorie nel gruppo degli Hackers, gli White hat e i Black hat. Cosa li distingue? Direi che è facile i bianchi sono i buoni, ….ma non sempre il colore indica i buoni ed i cattivi, diciamo che dipende.

Alex: Quale ritieni sia la minaccia più diffusa oggi nella rete e perché?
Franz : La più grande minaccia della rete attualmente è l’ignoranza, cerco di spiegarmi meglio

– Molta gente non sa neanche cosa sia Windows Update anche se usano il sistema operativo in questione

– Molti hanno un antivirus ma non lo aggiornano periodicamente, ergo è come non averlo.

– Firewall questo sconosciuto, ne esistono di efficaci anche gratuiti (parlando di firewall software non Hardware) che ti danno una prima indicazione se sul tuo pc c’è un traffico “anomalo” di dati in entrata/uscita.

Alex: Potresti spiegare meglio questo aspetto?
Franz : Mah… io vedo che molti non danno una grande importanza alla sicurezza del proprio pc, come ho appena detto quelle poche regole basilari che tanto vengo sbandierate in vari siti vengono proprio ignorate, e per molti sembrano non avere alcuna importanza. L’ignoranza informatica è molto più diffusa di quanto si creda e la formazione informatica degli utenti è importante, anzi importantissima, molti non sanno usare il computer, altri lo sanno utilizzare in maniera davvero superficiale, di conseguenza è facile capire il perché delle numerose epidemie di virus, worm etc..

Alex: Allora il problema più grosso nella sicurezza informatica sono gli utenti?
Franz : Per me si. Quando uno non vuole la pappa pronta, ma studia prova e sperimenta rischiandoci del suo, magari chiedendo aiuto in qualche forum, ma sopratutto legge prima di postare, non si atteggia a “superdio” per poi porre quesiti deficienti, porta rispetto a chi ne sa qualcosa in più di lui ed è disponibile ad ascoltare, non è presuntuoso ma con umiltà cerca di apprendere quello che non sa…allora il discorso cambia. Posso citare qualche esempio pratico, qualche tempo fa venne nei nostri laboratori un’azienda abbastanza grande, una multinazionale nell’ambito dell’informatica per fare dei test su degli apparati connessi in rete. Dopo qualche ora mi contattano telefonicamente (mi avevano chiesto degli accessi IP fissi cosa che ho provveduto a fare) dicendomi che i loro Pc di test re-startavano in continuazione. Domando “Ma che PC avete?” Pentium..bla bla…si va bene aggiungo io meglio che vengo a vedere. Immaginate un po’ trovarvi di fronte a dei Pc con XP senza nessun Service Pack o aggiornamento di alcun tipo attestati su una rete LAN che a sua volta vede internet (con dei firewall ovviamente). E ti credo che avevano problemi! I pc si riavviavano per via del worm Blaster che non solo avevano loro ma che avevano trasferito, appestando tutta la rete LAN (ininfluente per chi era patchato correttamente).

Alex : Si ma mica tutti sono così. Ci sono anche utenti che non sono preparati.
Franz : beh… in giro c’è di tutto sai… chi fa domande stupide, a causa della mancata conoscenza dell’argomento e delle nozioni basilari o che non segue quello che abbiamo poco sopra citato…non ci vuole mica un Hacker sai, fa tutto da solo questo è un comportamento irresponsabile. Una volta c’erano molti meno problemi in quanto l’accesso in rete (Internet) si pagava e pure caro. Era molto più controllato, chi veniva in rete ci veniva con cognizione di fatto. Adesso l’accesso ad internet ci manca che lo dia anche Sorrisi e Canzoni.

Alex: Non è che adesso ne fai di tutta un’erba un fascio?
Franz : A tutti può capitare di scivolare, di commettere un errore, magari banale che non può essere nemmeno preso in considerazione, (la prima esperienza in rete prima di diventare un ethical hacker e’ quella del defacer/cracker)… dicevo…che anche se le procedure sono conosciute il pericolo si annida nella disattenzione, ma l’utente informatico sa poi come risolvere la situazione in ogni caso si è messo in pericolo con le proprie mani. La fase del “Lato oscuro” all’inizio ti affascina. E’ il modo più “facile” di apparire in rete

Alex : Disapprovo anche se capisco ……. forse.
Franz : La tentazione della via più facile prende tutti…solo poi ti rendi conto che non era quello che volevi

Alex: Ma allora la sicurezza cos’è, o meglio da dove passa?
Franz : Passa dalle regole che abbiamo parlato prima, e l’insicurezza passa dalla fretta dalla disattenzione o dalla stupidità, ultimamente episodi di phishing, tecniche di social engineering sono diventate pure routine. Sono troppi gli utenti che hanno abbassato la guardia o che bellamente continuano come se niente fosse. Come dico spesso questi sparano nel mucchio, vuoi che su 10.000 email inviate non ci siano 100 che abboccano?

Alex: blue”> : Etica Hacker, per te cosa rappresenta e come la potresti rappresentare con un esempio pratico?
Franz : L’etica consiste che se per caso o “volutamente” si scopre una falla in un sito/sistema che potrebbe causare l’intrusione altrui lo si segnala al gestore, senza causare danni. Da precisare che spesso la cosa non fa piacere al gestore stesso che o non ti risponde o ti dice “fatti gli affari tuoi” oppure “ti denuncio”.

Alex: Secondo me i mass media hanno generalizzato troppo sul fenomeno Hacker associandolo al termine di “pirata informatico” e estendendo certe peculiarità del “pirata” a tutto il mondo dell’underground. Tu come vedi questo aspetto?
Franz : Non si può negare che negli ultimi tempi ci sono stati numerosi attacchi a sistemi informatici, defacement, frodi informatiche ecc. Il problema è che non bisogna incolpare di tutto gli Hacker, è anche vero che un Hacker ha tutte le conoscenze necessarie per fare gli atti di cui sopra, tuttavia la nostra attenzione è rivolta altrove…

Alex: Dici che è rivolta altrove, cioè dove?
Franz : …è rivolta altrove, punto finisce lì la frase. Posso solo aggiungere che per compiere azioni come quelle citate, non ci vuole certo un Hacker, è sufficiente avere delle buone conoscenze informatiche, il resto lo fa chi usa il pc, molte persone usano il computer solo come un mezzo e non come un fine e quindi hanno una conoscenza della propria macchina molto limitata, ne risulta che le persone normali sono maggiormente esposte ai pericoli della rete e non seguono le basilari regole di protezione…mi sembra di averlo già detto…o no.

Alex: Però non vedo una vostra “presa di posizione” in merito a quanto viene scritto un po’ dappertutto sugli Hackers.
Franz : Mi fa arrabbiare vedere gente che riesce a malapena ad accendere il computer che parla di Hacker, denigrando e infangando una categoria di persone e una tradizione orgogliosa, considerando criminali da quattro soldi quelli che hanno costruito Internet, i fondatori del www e paragonano la nostra conoscenza informatica con quella di una massaia che fa le tagliatelle. Noi siamo qui e continuiamo a tenere in piedi le cose. E’ grazie a noi se voi riuscite ad acquistare online, eppure paragonate la nostra opera alle catene di Sant’Antonio, allo spam, ai defacement etc…per te è poco??. Un’altra cosa… è tempo di finirla con la caccia agli Hacker, è tempo sprecato e non ha senso, non siamo una razza diversa, non ci riconoscerete dal modo di vestirci, dai nostri hobby, siamo come voi, una cosa però abbiamo di diverso, Alex…noi ci chiediamo il perché delle cose.

Alex: Ho toccato un tasto delicato, scusami.
Franz : No…ma il concetto di Hacking è quello di esplorare, conoscere i limiti delle cose e creare qualcosa di nuovo, magari essere anche in grado di stupire. Ricordo una frase di J.F. Kennedy diceva “Alcuni vedono le cose come sono e dicono : Perché? Io sogno le cose che non sono mai state e dico : Perché no?” Solo perché qualcosa non sia mai stata fatta prima non dovrebbe impedirti di tentare a farlo, anzi dovrebbe essere preso come una sfida, uno stimolo a confrontarti e ogni volta che ti chiedi se è possibile fare qualcosa, l’unica risposta giusta è “Provarci”.

Alex: Noto che c’è stata una grande evoluzione nelle tecniche usate dai pirati informatici. Allo stato attuale come consigli di agire?
Franz : Direi anzi che c’è stato un peggioramento, ormai il vero “Hacker” nel senso del termine si è quasi estinto quelli che agiscono adesso sono quasi tutti Crackers/Lamer… E chiudiamo così questo aspetto …Cosa significa essere un hacker di Raoul Chiesa

Alex : La pirateria informatica, a parte l’intrusione nei sistemi altrui come si lega con il P2P? Ovvero la Cassazione di recente ha assolto 2 studenti che scaricavano file protetti…la legge Urbani quindi non è più valida?
Franz : Leggendo vari articoli sembra che l’assoluzione sia dovuta al fatto che quanto accaduto era precedente alla legge Urbani, ma…le regole sono fatte per essere violate, o no?

Alex : Se non sono indiscreta quale metodo utilizzi per violare un sistema?
Franz : Qui la risposta non può essere unica, non c’è un metodo “standard” dipende da molte cose. Diciamo che il primo step è quello di acquisire più informazioni possibili sul “bersaglio” con vari sistemi, ne ho citato sopra uno dei più comuni, ovvero la scansione delle porte, poi si può procedere in vari modi in base al risultato.

a) Il bersaglio è protetto da un firewall scansione delle porte non porta ad alcun risultato.
b) Un tracciamento mediante contatto magari inviando una semplice e-mail all’eventuale webmaster e poi in base alla risposta (se avviene) tracciare il percorso della e-mail
c) Si riesce a sapere il tipo si sistema operativo e altro software che utilizza il bersaglio
d) Si cercano delle falle non patchate del sistema operativo in questione (i cosiddetti zero-day)
E mi fermo qui……

Alex : Che consiglio dai agli utenti per proteggere al meglio i loro sistemi?
Franz : Mi sembra che ne abbiamo già ampiamente parlato, per la difesa direi poche semplici regole:
-Usare il cervello è la prima, mai aprire allegati anche se si conosce il mittente salvo vi abbia avvisato dell’invio di qualche cosa. (Anche se non e’ vero neanche questo)….tempo fa un collega mi dice…ho ricevuto una email strana da uno del commerciale che dice che mi ama ma non riesco ad aprirla forse perché non ho visual basic installato puoi provare ad aprirmela tu? Io dico ok…ecco come ho conosciuto il worm I LOVE YOU (antivirus aggiornato al giorno prima). Da quel momento non mi sono più fatto fregare ne da amici che nemici.

-Un antivirus non aggiornato non è più valido.
-Scansioni periodiche antispyware, ed evitare di usare browser ufficiali come Explorer sono i primi ad essere infettati, usare browser alternativi come Firefox ed Opera (a breve torna anche Netscape).
-e poi quanto riportato qualche domanda fa, …l’ignoranza informatica, credo che questo sia il punto focale di tutto il discorso.

Concludiamo questa intervista con delle brevi considerazioni in merito a quanto abbiamo esposto.

Non so se sia una mia impressione, ma ho notato come siano cambiate le cose domanda dopo domanda, all’inizio sembrava un argomento destinato solo ad un’utenza “specializzata” e la premessa presentava anche una vena nostalgica dell’etica Hackers, abbiamo anche visto gli aspetti dell’Hacking, uno trasgressivo ma al tempo stesso che non fa danni e si limita alla segnalazione e l’altro di pirata informatico puro, che cerca solo di distruggere, ma nel proseguo ho potuto notare come gli argomenti si siano evoluti e plasmati a quello che poi è apparso come tema dominante, cioè la sicurezza del sistema, incentrata sull’utilizzatore del Pc.

Mi sembra inoltre che gli argomenti trattati ed esposti siano interessanti e alla portata di tutti, molti aspetti gli abbiamo già toccati in varie discussioni nel nostro forum, ma non erano mai stati legati tra loro, abbiamo anche sentito quali siano i rischi maggiori e sopratutto che contromisure adottare. All’inizio pensavo di non avere nessuna risposta, oppure di avere delle risposte prettamente tecniche, del tipo che la sicurezza vada costruita con un insieme di software, di modifiche varie al sistema, ma invece ho potuto constatare che la parte predominante sia un’altra.

Tempo fa ho letto in rete una frase che diceva “Il problema sta sempre tra il monitor e lo schienale della sedia” e mi sembrava una battuta o una frase fatta, ma anche Kevin Mitnick in qualche intervista ha più volte affermato che “l’anello debole della catena è il fattore umano”, con questo non voglio mettere in rilievo o enfatizzare i problemi che possono avere gli utenti poco esperti, ma cercare di rendere il più possibile comprensibile le problematiche inerenti la nostra sicurezza, ampliandone le prospettive e dare delle indicazioni utili ai lettori, soprattutto a quelli meno esperti e alieni ai concetti come software, computer, internet e sicurezza. Io credo fermamente che diffondere le conoscenze e le informazioni, sia il primo e vero passo verso una discreta sicurezza informatica, proprio oggi in cui l’informazione è il bene più prezioso, ma molti si fermano alla paternità della notizia, altri addirittura protestano perché hanno diffuso prima la notizia stessa, ma quello che veramente manca è un bacino in cui poter “pescare” sia le notizie ma anche trovare un dibattito con risposte concrete ai vari problemi. La sola notizia non porta ad un’evoluzione dell’utente poco esperto che certe terminologie per lui sono incomprensibili, ma serve un filtro, un punto di riferimento per tutti che possa guidare indistintamente sia utenti esperti che utenti poco esperti in questo processo di evoluzione che deve essere attuato.

Proprio sulla base di quanto sopra noi ci proponiamo in quello che potrebbe essere il progetto più interessante ed ambizioso che si possa trovare in rete, tutti pensano ad incrementare l’afflusso dei propri utenti con sezioni dedicate alla sicurezza, sull’onda di infezioni famose, tipo Gromozon, sono addirittura sorti siti e forum che si occupano solo di questo, ebbene questo non è altro di più sbagliato che possiamo fare, sembrerà la mia una presa di posizione a favore di una determinata “politica” di prevenzione e a sfavore di una soluzione immediata del problema, ma credetemi che una volta che è stato ripulito il sistema se non si adottano delle regole di comportamento e delle appropriate configurazioni ai software di difesa si ricasca nel problema.
in ultima analisi molti predicano che “prevenire è meglio che curare” ma in realtà non lo fanno, si fermano su concetti di bassa cultura al solo scopo di incentivare le visite ma pochi si propongono come punto di riferimento a soluzione del problema, noi non abbiamo preconcetti dominati che pongono le basi su quale software consigliare, possiamo però mettere al servizio di tutti quello che stiamo facendo, cioè la nostra esperienza tradotta e semplificata in poche regole e piccole configurazioni ai vari software che ci hanno portato finora ad evitare infezioni ed a una navigazione in tutta tranquillità.

Concludo dicendo che se con questo articolo troverete delle risposte e finito di leggerlo vi sentite colmi di sicurezza e certi di aver compreso il vero obbiettivo da raggiungere, beh …. credo proprio di aver fallito, io spero che vi sentiate delusi e spero che questo stato d’animo vi porti a dire la vostra, in quanto non è abbastanza quanto esposto e che vi spinga ad agire, uscendo dal guscio protettivo o da quella illusoria sicurezza che il software x o il software y vi possono a malapena garantire, io spero che qualcuno di voi riesca a prendersi un suo spazio per elaborare quanto ho scritto, magari migliorare ed ampliare questi concetti e gli aspetti che abbiamo presentato e noi ci proponiamo come valida alternativa, indipendente e libera da vincoli di ogni sorte ma con il solo scopo di portare un beneficio a tutti …. beh allora ricordatevi che ….. siamo qui.

A qualcuno queste poche parole di conclusione non piaceranno, meglio, vuol dire che ho colto nel segno, se invece altri vogliono mettersi in discussione e approfondire l’argomento nel nostro sito troverà molto materiale adatto per risolvere o minimizzare il problema, penso che sia chiaro che non è demonizzando il problema che troviamo la soluzione, ma è solo con la consapevolezza che esiste, con l’impegno e la costanza che possiamo ambire a livelli evolutivi che magari ora sembrano solo un’utopia, per questo ci proponiamo come esempio da seguire, o con altri articoli in merito o semplicemente seguendo attivamente le nostre discussioni nel forum in merito al problema. Tutto questo sarà frutto di test, prove ed esperienze che noi abbiamo eseguito, in sostanza possiamo offrire una soluzione basata sulla nostra esperienza e, credetemi, questo non è un palliativo per cercare quello che abbiamo già, non ricorriamo a politiche di bassa cultura per incentivare le già innumerevoli visite che abbiamo quotidianamente, ma solo e semplicemente ………vogliamo essere il punto di incontro tra il problema e la soluzione.

Fonte.

Make a Comment

Lascia un commento

Effettua il login con uno di questi metodi per inviare il tuo commento:

Logo WordPress.com

Stai commentando usando il tuo account WordPress.com. Chiudi sessione / Modifica )

Foto Twitter

Stai commentando usando il tuo account Twitter. Chiudi sessione / Modifica )

Foto di Facebook

Stai commentando usando il tuo account Facebook. Chiudi sessione / Modifica )

Google+ photo

Stai commentando usando il tuo account Google+. Chiudi sessione / Modifica )

Connessione a %s...

Liked it here?
Why not try sites on the blogroll...

%d blogger cliccano Mi Piace per questo: