acker
STORIA DI UN HACKERAGGIO EPICO, PRIMA PARTE: L'INCURSIONE
Post di Riccardo Sisti su universal-access, 20\08\2012, h. 09.58.

Tutto comincia un venerd pomeriggio. Quello del 3 agosto scorso. Mat
Honan  un giornalista della rivista statunitense Wired. Scrive
d'informatica da anni, non  certo un dilettante con i computer.
Racconta lui stesso il suo venerd da incubo in un articolo e in una
videoconfessione.

Alle cinque del pomeriggio il suo telefonino (un iPhone) si spegne di
colpo. Mat lo collega all'alimentatore e lo riaccende. L'iPhone parte
con la schermata di configurazione, completamente azzerato, come se
fosse appena uscito dal negozio. Niente panico, pensa Mat, ho una
copia di tutti i miei dati su iCloud. Mat si collega ad iCloud ma non
riesce a entrare: il login  sbagliato, gli risponde il servizio di
Apple.

Niente panico di nuovo, si dice Honan: sul suo computer portatile c'
una copia di sicurezza dei dati del telefonino. Apre il computer e vi
trova un avviso: iCal, il servizio di agenda di Apple, non riesce a
collegarsi al suo account su Gmail. Poi lo schermo diventa grigio e
compare la richiesta di un PIN di quattro cifre. Che per Mat non ha e
non sa. Anche il computer  bloccato. Va al suo iPad. Bloccato anche
quello.

C' di peggio: tutti i dati sul computer, sull'iPad e sull'iPhone sono
stati eliminati grazie alla funzione di cancellazione da remoto:
ironicamente, quella che dovrebbe servire a proteggere i suoi dati da
occhi indiscreti e a rendere inutilizzabili i dispositivi in caso di
furto. L'account Apple di Mat  stato violato, e quindi stavolta  il
criminale ad avere in mano le chiavi dell'antifurto. O meglio
dell'autodistruzione, in questo caso.

Non  finita: anche il suo account su Google  stato cancellato e la
sua password di Twitter  stata cambiata. Dal suo account Twitter
violato, che Mat usa per lavoro, stanno partendo messaggi razzisti e
omofobi. E Honan non ha una copia di scorta dei dati che aveva sul
portatile. Non gli funziona pi il cellulare. L'hackeraggio ha preso
il controllo completo della sua identit digitale e gli ha fatto
perdere un anno di dati, documenti e mail, comprese tutte le foto
della figlia nata un anno prima. OK: panico.

Mat stacca la connessione Internet di casa, convinto che l'intruso sia
entrato nella rete informatica domestica. Ma non  cos, e i dettagli
dell'attacco rivelano la pericolosa dipendenza dal cloud che si sta
diffondendo non solo nei prodotti Apple, presi di mira in questo caso,
ma anche nel mondo Microsoft e nei servizi di Google. Come si dice nei
thriller da quattro soldi, quello che  successo a Mat potrebbe
succedere a chiunque.
Mat Honan ha ricostruito le fasi dell'incursione che l'ha colpito.
L'aggressore  partito dal suo account Twitter, nei cui dati pubblici
c'era il nome del sito Internet di Mat. Sul sito Internet c'era
l'indirizzo Gmail di Mat. L'aggressore ha visitato la pagina di
recupero password di Google immettendo l'indirizzo di Mat, senza
chiedere di reimpostare la password: questo gli ha permesso di vedere
l'indirizzo alternativo di mail usato da Mat per il recupero della
password di Gmail. Era un indirizzo di Me.com, che  di Apple: Google
lo mascherava parzialmente, ma era facile da indovinare: era
l'iniziale del nome e il cognome di Mat.

L'aggressore ha trovato l'indirizzo di fatturazione usato da Mat
semplicemente interrogando il servizio pubblico Whois e immettendovi
il nome del sito di Mat: era un dato accessibile a chiunque. Poi ha
chiamatoAmazon.com, e con una tecnica semplice ma elegante (che non 
il caso di descrivere qui)  riuscito a prendere il controllo
dell'account Amazon di Mat e vedere le ultime quattro cifre della sua
carta di credito.

A questo punto l'aggressore aveva tutto il necessario per prendere il
controllo dell'account Apple e quindi dei servizi iCloud del
giornalista: nome dell'account, indirizzo di fatturazione e ultime
quattro cifre della carta di credito. Ha chiamato il servizio clienti
di Apple, ha fornito questi dati e ha ottenuto da Apple una password
temporanea e da l una password definitiva che gli ha permesso di
leggere la mail di Mat su Me.com e di cancellare tutti i dati dal
computer, dall'iPad e dall'iPhone di Mat.

Dato che la casella su Me.com era legata all'account Google di Mat,
l'aggressore ha chiesto a Google di reimpostare la password di questo
account e la mail contenente il link per reimpostarla  arrivata
pressoMe.com, ossia in mano all'aggressore, che ha cos preso il
controllo della mail Google di Honan.

L'account Twitter di Honan era gestito tramite questa mail di Google,
per cui l'intruso ha chiesto a Twitter di mandargli una mail di
reimpostazione password e cos si  impadronito dell'account Twitter
del giornalista. Poi ha cancellato l'account Google del povero Honan.
L'attacco era durato in tutto ventisette minuti. E il movente,
assolutamente imprevedibile, stava per essere rivelato

La beffa, per Mat Honan, arriva neanche un quarto d'ora dopo la prima
avvisaglia d'attacco: qualcuno, su Twitter, rivendica l'incursione.
Mentre Honan a fatica rimette insieme i pezzi della sua vita digitale
passando ore al telefono con il servizio clienti di Apple, Twitter e
Google, riesce a comunicare via Internet con l'aggressore, che si fa
chiamare Phobia, e si fa spiegare le ragioni della devastazione
informatica che l'ha colpito.

Il giornalista pensa di essere stato preso di mira per via della sua
notoriet nel mondo digitale, ma Phobia gli rivela che il motivo 
completamente diverso: all'aggressore piace il nome dell'account
Twitter di Mat Honan perch  corto (@mat), e cos ha deciso di
prenderselo. La cancellazione dell'account Google di Honan e il blocco
del suo computer, del suo smartphone e del suo iPad sono solo danni
collaterali. Phobia, che dice di avere solo 19 anni, ammette che gli
spiace che Mat abbia perso le foto della figlia.

Nel giro di poche ore la disavventura di Honan fa il giro del mondo
informatico. Nei giorni successivi Apple e Amazon turano le falle
nelle loro procedure di autenticazione messe in luce dall'attacco. Fa
scalpore il fatto che Apple usi, per la verifica delle identit,
proprio le quattro cifre del numero di carta di credito che Amazon
invece ritiene cos poco importanti da lasciarle in chiaro sul proprio
sito. E Amazon non  l'unica societ a usare quest'approccio alla
sicurezza: queste stesse quattro cifre di solito vengono stampate
senza mascherarle in ogni scontrino d'acquisto. Ma anche il
giornalista ammette di avere una parte della colpa.

I fornitori di servizi Internet hanno insomma contribuito notevolmente
al disastro, ma Mat Honan  il primo ad ammettere che la colpa  anche
in parte sua. Prima di tutto, non aveva una vera copia di sicurezza
dei propri dati: una precauzione fondamentale ed elementare.

Molti pensano che il cloud, per esempio con servizi di custodia remota
di dati come Dropbox, sia la soluzione magica al problema della copia
di sicurezza che ci si dimentica sempre di fare o non si ha voglia di
fare. Ma una copia remota  accessibile e cancellabile via Internet da
chiunque riesca a scoprirne la password, mentre una copia fisica
locale (fatta per esempio su un disco rigido)  accessibile soltanto
entrando materialmente in casa o nell'ufficio della vittima: un atto
ben pi difficile e rischioso di una telefonata al servizio clienti
per farsi reimpostare la password.

Un altro errore ammesso da Honan  l'uso di servizi Internet come
1password, che accentrano le password in un solo posto. In un caso
come il suo, in cui si  trovato scollegato da Internet e con tutti i
computer e dispositivi d'accesso azzerati, non aveva accesso ai codici
e alle domande di sicurezza dei suoi vari account, e questo ha
complicato non poco il recupero del controllo di questi account.
Sarebbe stato molto pi utile, e decisamente pi resistente alle
intrusioni, un banale quadernetto tenuto in cassaforte o almeno sotto
chiave.

Poi c' l'errore della concatenazione degli account: la violazione
dell'account Amazon di Honan ha dato accesso all'account Apple, che a
sua volta ha permesso di controllare l'account Google, dal quale poi 
stato possibile accedere all'account Twitter.

Ma la mazzata peggiore, per il malcapitato giornalista,  stata la
cancellazione da remoto dei propri computer, tablet e smartphone
tramite iCloud. Dare a terzi un potere di questo genere  un rischio
che va seriamente rivalutato alla luce dell'episodio di Mat Honan, che
non  l'unico del suo genere. Un potere cos devastante ha bisogno di
qualcosa di pi di una password come protezione. Cosa si pu fare in
attesa che i fornitori di servizi Internet migliorino la propria
sicurezza? Ne parliamo nella quinta e ultima parte.

Oltre a evitare gli errori gi accennati  opportuno irrobustire la
gestione delle password degli account pi importanti. Molti utenti
hanno un account Google, dal quale dipendono per la mail, la rubrica
degli indirizzi, l'agenda, la gestione dei blog e altro ancora. Su
questo stesso account vengono ricevute le mail di reimpostazione
password degli altri servizi utilizzati, per cui chi prende il
controllo dell'account Google di una persona spesso ha accesso a tutti
gli altri servizi utilizzati da quella persona.

Per ridurre questo rischio, oltre a usare password robuste e impostare
risposte non indovinabili alle domande di recupero password,  molto
consigliabile attivare in Google l'autenticazione a due fattori o
verifica in due passaggi, per usare l'espressione adottata da
Google: in pratica, per accedere all'account da computer o dispositivi
diversi da quelli che avete autorizzato  necessario immettere un
codice di autenticazione che viene generato al momento e inviato via
SMS al vostro telefonino. Un aggressore dovrebbe impadronirsi anche di
questo codice temporaneo, usa e getta, per poter violare il vostro
account.

La verifica in due passaggi permette di definire un elenco di computer
e dispositivi fidati, dai quali potrete accedere all'account Google
senza che vi venga chiesto ogni volta il codice di autenticazione. Se
uno di questi dispositivi viene smarrito o rubato potete revocare
questo accesso agevolato.

L'attivazione iniziale  un po' complicata, ma una volta che l'avete
superata non subirete scocciature: sui dispositivi fidati l'accesso
all'account Google sar gestito come prima, ma chi tenter di accedere
all'account da un computer diverso dai vostri si scontrer con il
codice supplementare di autenticazione.

Il disagio di questa misura di sicurezza  di gran lunga preferibile
alla devastazione subita da Mat Honan, che a questo punto pu solo
sperare che il suo caso sia di esempio per tanti utenti poco attenti
alla sicurezza informatica.
