Guide

D - Cosa ne pensi degli ethical hacker e di quello che si sta muovendo intorno al mondo della sicurezza informatica?

R - Penso d’aver fatto emergere una opinione in merito anche con le risposte precedenti. Ad ogni modo, sono un forte sostenitore della filosofia hacker “primigena”, della libera circolazione delle informazioni e così via. Forse sono anche un pò troppo estremista, ma credo che la rete dia delle possibilità precedentemente neanche concepibili all’umanità e che non sia giusto limitarle.

E’ uno di quei rari casi in cui ho timore che non esista un controllo “giusto”, nè tantomeno accettabile. In qualsiasi modo si limiti o si controlli l’informazione, si sta facendo censura. E non riesco ad immaginare casi in cui la censura sia ammissibile, in quanto tale.

 

 

D - negli ultimi anni si è sicuramente diffusa la cultura sulla sicurezza informatica, cosa è cambiato per l’attaccante?

R - Le cose sono semplicemente diventate un pò più complicate, non basta più guardare che servizio c’è attivo e scaricare l’ultimo exploit.

Bisogna far funzionare molto di più il cervello.

Sempre se, ovviamente, non ci si è limitati a fare uno scan :P

 

 

D - Quindi come si può profilare il “popolo” degli attaccanti? L’impressione è che ci sia meno gente che usa tool automatici e più personaggi di alto livello…

R - In realtà, il popolo degli attaccanti, chiamiamolo così, è aumentato notevolmente con il passare degli anni: alcuni dicono anche a causa della cultura della full disclosure, ma io non la penso così.

Con questi presupposti, è ovvio che la percentuale di persone che usa tool automatici sia semmai aumentata. Anzi, visto che è estremamente più semplice usare un tool che imparare la teoria che c’è dietro, in molti tra quelli che si accostano al mondo della sicurezza (specialmente solo per lavoro) si limitano a questo.

Quei tools automatici però stanno rapidamente perdendo di efficacia. A meno che, ovviamente, non ci si accontenti di prendere dei bersagli a caso, sapendo a priori che sono vulnerabili: tra il fatto che le honeynet si vanno diffondendo e le nuove disposizioni in materia di logs, però, è veramente stupido fare una cosa del genere!

Dunque, si, c’è un aumento numerico di quanti si interessano di sicurezza, ma le percentuali di ripartizione rimangono, secondo me, praticamente invariate. Di gente con un know how alto ce n’è proporzionalmente di più, ma adesso ce ne è decisamente più bisogno!

 

 

D - c’è più paura, o servono maggiori controlli prima di attaccare?

R - Paura forse è un termine sbagliato. Penso ci sia maggiore “consapevolezza”. In tanti hanno capito che non è poi così impossibile “arrivare sotto casa” e così ci vanno con i proverbiali piedi di piombo.

E’ finita “un’epoca felice” dell’hacking? Non so, ma lo sento dire abbastanza spesso. Io penso piuttosto che ne sia cominciata un’altra (e che, tra l’altro, Gibson non avesse del tutto torto quando faceva notare che ci sarebbe stata una esplosione di privati a banda larga e con sistemi operativi microsoft, il che apriva nuovi orizzonti della sicurezza…)

 

 

D - Sono terreno di facili conquiste? pensi che a breve la situazione potrà cambiare? Finora non ci sono state offerte di sicurezza gestita per i privati… o almeno, niente che ci sia diffuso.

R - I sistemi Microsoft hanno sofferto di lacune gigantesche in fase di progettazione e implementazione, anche dal punto di vista della sicurezza. Non ha nemmeno senso parlarne sui sistemi 9x! Con Windows 2000 (e 2003) ritengo Microsoft abbia fatto grandi passi avanti, ma c’è sicuramente molto lavoro da fare. Trovo anche particolarmente sgradevole la politica Microsoft sugli Advisory: secondo me non porta a nulla di buono, come in generale l’atteggiamento che Microsoft tiene nei confronti dei “ricercatori indipendenti”.

Il controllare le vie di distribuzione degli Advisory, ma soprattutto la scarsezza di particolari tecnici di questi ultimi (non che mi illuda di poter avere molto di più in un sistema closed source) espongono ad evidenti problemi. Sto pensando, ad esempio, al treno di exploits che sfruttavano il buco nella NTDLL.DLL, qualche tempo fa.

Poi bisogna dividere nettamente il mondo Microsoft tra quello degli Privati e quello dei Server: da una parte, XP è una vera aberrazione (da tutti i punti di vista), e anche se non ho visto LongHorn sono scettico; ci sono innumerevoli vettori d’attacco verso un sistema Microsoft di un privato, certo più di quanti ce ne siano verso uno Linux; dall’altra, sul lato server, 2000 e 2003 non sono così pessimi, ma non userei MAI IIS. Mi interessa piuttosto vedere quali saranno i problemi con la suite . NET, che non ho ancora visto molto in giro.

Qualche dettaglio sui vettori d’attacco?

Penso ad esempio ai WK Exploits sui servizi attivi di default (workstation, messenger, etc) sulle Workstations. Inoltre, se su un pc privato linux è quasi certo che si sia a livello utente quando si fanno girare la maggior parte delle applicazioni, questo non è quasi mai vero in ambiente Microsoft. E lì anche un exploit contro un sistema di chat può essere fatale, specialmente quando si raggiunge un’elevata integrazione con il sistema operativo (basti pensare al recente bug in mIRC).

Dal lato server, IIS è un gigante dai piedi di argilla. Non capisco perchè si dovrebbe voler usare lui quando c’è un’alternativa Open e Free che è lo standard!

Ne ho una pessima immagine fin dall’epico Exploit degli eeye, anni or sono.

E non ho visto miglioramenti sostanziali nè nell’architettura (e si che effettivamente sarebbe difficile scorgerli) nè nel come viene impiegato.

Fare un software che si integra così profondamente nel sistema operativo non è cosa saggia, a mio parere.

Per quanto riguarda le offerte di sicurezza, mi lasciano perplesso: la sicurezza non è in UN software, ma in tutta una serie di cose, compresi certi comportamenti (non aprire attachments, ad esempio).

Anche le strutture organizzate che si sono proposte non hanno avuto buoni risultati. Secondo me è l’informazione che manca, come al solito. In un ufficio medio si spendono pacchi di soldi per Antivirus e compagnia bella, quando passare a Linux risolverebbe il problema.

 

 

D - Ti influenza la diffusione di sistemi honeypot?

R - Visto che non sono d’uso fare scansioni casuali, la cosa mi tocca solo entro certi limiti. Semmai, mi sono interessato parecchio alla loro costruzione e progettazione. Ritengo possano essere anche utili strumenti di studio “interno”!

Semmai sta diventando sempre più “preoccupante” la presenza di IDS e simili strumenti di analisi del traffico di rete. Ormai il famoso “entro, ed in 30 secondi sono nascosto” non basta più!

 

 

D - Le honeynet sono nate per capire meglio le mosse di chi attacca… ma fra hacker lo scambio di informazioni com’è? ci puoi dare qualche informazione su come lavora l’”underground”?

R - Non penso di poter fornire una overview esaustiva, ma posso parlare della mia esperienza personale.

I circuiti sono fondamentalmente due: quello “bianco” e quello underground. La lettura di Advisory, ML e quant’altro, proprio come dovrebbe fare ogni sysadmin security aware, è fondamentale. D’altro canto, nell’underground ci sono molti metodi per recuperare informazioni. Ne cito qualcuno.Le boards (once BBS, ora ormai praticamente dei Forum),quasi dimenticate al giorno d’oggi, rimangono uno dei pochi posti dove circola molta informazione. Ovviamente, sono praticamente tutte ad accesso controllato, e ci si arriva se presentati da amici di amici oppure per “merito” (mi ricordo almeno un caso in cui ho personalmente aggiunto il mio username al forum dopo aver bypassato lo script di protezione e POI ho scritto all’Admin chiedendo se per lui era un problema). Il resto del lavoro lo fanno i soliti canali di aggregazione, IRC e tutti i sistemi di IM.

Specialmente questi ultimi, nell’ultimo periodo: non saprei dare una ragione per questo shift, ma è quello che osservo.

Comunque, la scena dell’underground profondo è dominata dalle crew, dai gruppi più o meno noti che si scambiano informazioni e favori. Magari un giorno varrà la pena di reversare (e, perchè no, hackare) questi complessi sistemi sociali (mi veniva da parlare di prestatio) per cui un exploit non rilasciato riesce a fare il giro del mondo in poche ore. Più si va in profondità, ovviamente, più c’è paranoia nei confronti di chi non si conosce, e meno circolano le informazioni.

Il che, in senso ASSOLUTO, è un male.

Anche perchè, seguendo la filosofia de: “La conoscenza è potere, nascondila bene”, certe cose vengono alla luce con grande ritardo.

SE vengono alla luce. (E mi riferisco in special modo a ciò che dà vantaggi concreti a chi ne è a conoscenza).

 

 

D - Quindi nei bassifondi dell’underground c’è noDisclosure?

R - In un certo senso, specialmente nei confronti di chi potrebbe divulgare la cosa: questo porta a fama (anche se di scarsa durata) e, a volte, soldi. Anche per questa ragione c’è tanta diffidenza.

C’è una buona circolazione orizzontale, ma quasi nessuna verticale. I canali da cui escono le novità sono quasi sempre gli stessi, e spesso sono anche malvisti.

 

 

D - cosa pensi dell’underground italiano e di quello mondiale?

R - E’ molto difficile farsi un’idea dello stato dell’underground, anche solo parziale. Grazie a Dio, aggiungo: we’re not all alike, after all.

Si tratta dopo tutto di un fenomeno enorme… una cosa che ho notato è il calo dell’impegno politico (hacktivismo? mah) e sociale (salvo notevoli eccezioni: olografix anyone?) diffuso un pò ovunque. Ma penso sia più un figlio dei nostri anni che un fenomeno che riguarda il mondo dell’hacking.

C’è forse più “chiusura”, ma anche qui persone più sociologicamente preparate di me potrebbero parlare di cicli: di fatto, vedo molto meno “circolare” di informazioni di quanto vorrei.

In Italia abbiamo la fortuna di avere grandi personalità e realtà: evito di fare un elenco che assomiglierebbe molto ai quei Greetz da Deface che non mi sono molto simpatici, comunque non dovrebbe essere molto difficile capire di chi parlo.

Certo, meriterebbe due parole a parte il caso BlackHats, specialmente per tutti i retroscena, ma non mi pare la sede.

Di sicuro c’è una volontà politica ben precisa dietro, che vuole vedere tra l’altro spesso e volentieri il fenomeno dell’hacking vicino ai centri sociali. Chi vuole trarre le sue conclusioni, faccia pure.

 

 

D - Hai lanciato il sasso… vuoi andare avanti o fermarti qui?

R - Preferisco evitare. Invito solo a tenere gli occhi aperti, ed osservare con che disarmante facilità chi parla di software libero, di libera circolazione delle informazioni ed in genere di tutto ciò che è FILOSOFIA dell’hacking viene addittato NON SOLO come criminale (tanto ci si era abituati) ma come dissidente rivoltoso…

Cosa che, tutto sommato è, in un mondo pieno di cancelli e finestre (chiuse) come questo.

Oggi più che mai è importante ricordare che senza il contributo di chi è hacker nell’animo l’informatica e la rete non sarebbero dove sono ora, e che quindi, forse, quelle persone dicono più verità di quanto si voglia far credere.

Ah, mi permetto un’ultima nota. Se molti usano un nickname non è per nascondersi. Non è questione di un passamontagna davanti al volto di un rapinatore. niente affatto.

Ha molto più a che vedere con Luther Blisset che con un delinquente.

Il messaggio è: “E’ l’idea che conta, NON chi la esprime”. Il nome serve appunto a quello, ad identificare chi parla. Il “chi sei, da dove vieni, di chi sei figlio” è un principio che, almeno a livello teorico, la Comunità dovrebbe (e in molti casi, ha) rifiutato.Un soprannome è legato solo alle idee che esprime. Non ha un colore, non ha una nazionalità (se non quella che sceglie di avere legandosi ad altre persone) nè una religione. E’ un nome nudo. E l’idea che esprime non ha niente a che vedere con quanto ha dietro, e merita di essere criticata SOLO in quanto tale.

“We exist…” diceva il Manifesto.

Grazie per avermi interpellato!

 

 

D - Grazie a te, e l’ultima domanda… come mai hai accettato di rilasciare questa intervista?

R - In primo luogo, ero curioso di vedere quali domande mi sarebbero state rivolte, e devo dire che in almeno un paio di punti mi hai sorpreso!

E poi, come penso chiunque altro, ho sempre voglia di parlare di argomenti che mi stanno a cuore.

 

– BF