Cybersecurity nel mondo di 007

Il recente No Time to Die abbassa il sipario sull’era di Daniel Craig. Con questo in mente, analizziamo tutte e cinque i film di Bond dal punto di vista della cybersecurity e, probabilmente, sarete sorpresi dalle nostre scoperte. Ciò che unisce i film, a parte Craig stesso, è una completa mancanza di comprensione delle basi della cybersecurity da parte dei dipendenti del MI6 del film.

Non è chiaro se la svista sia intenzionale (evidenziando quanto sia superato il concetto di Bond e dell’intera sezione 00) o se sia dovuta all’incompetenza degli sceneggiatori e alla mancanza di cyberconsulenti. Qualunque sia il caso, diamo uno sguardo ad alcune delle assurdità che abbiamo individuato nei film, in ordine di apparizione… Allarme spoiler!

Casino Royale

Nel primo film di Craig su Bond, vediamo la seguente scena: Bond irrompe nella casa del suo diretto superiore, M, e usa il suo portatile per connettersi a una specie di sistema di spionaggio per scoprire la fonte di un messaggio inviato al telefono di un cattivo. In realtà, Bond potrebbe farlo nel caso in cui:

• MI6 non applichi una politica di blocco automatico dello schermo e di logout, e se M lasciasse il suo portatile sempre acceso e connesso;
• MI6 non dovesse imporre l’uso di password robuste e se le password di M fossero facilmente intuibili;
• M non riuscisse a tenere segrete le sue password ai suoi colleghi, o faccia uso di password che sono state compromesse.

Ognuno di questi scenari è possibile, ma il terzo è il più probabile. Un po’ più avanti nella storia, Bond accede di nuovo da remoto a un “sito web sicuro” usando le credenziali di M.

L’atteggiamento di Bond riguardo le password non è di certo migliore. Quando deve creare una password (di almeno sei caratteri) per il conto segreto che conterrà le sue vincite al poker, usa il nome della collega (e interesse amoroso) Vesper. Per di più, la password è in realtà un mnemonico corrispondente a un numero (come le obsolete parole chiave per ricordare e comporre i numeri sulle tastiere alfanumeriche). È effettivamente una password di 6 cifre, e basata su una parola del dizionario.

Quantum of Solace

Il meno computerizzato degli ultimi cinque film di Bond, Quantum of Solace include comunque un momento degno di attenzione. All’inizio del film, apprendiamo che Craig Mitchell, un impiegato del MI6 da otto anni, cinque come guardia del corpo personale di M, è in realtà un infiltrato.

Naturalmente, questo è un problema di sicurezza “old school” piuttosto che informatico. Tuttavia, la negligenza di M con le password, come si è visto nel film precedente, suggerisce che i segreti di MI6 potrebbero essere nelle mani di supercattivi sparsi in tutto il mondo.

Skyfall

All’altra estremità della cibernetica si trova Skyfall, il più informatizzato dei cinque. Qui, la sicurezza delle informazioni è al centro della trama. La follia cibernetica è evidente dalla prima scena. Per comodità, suddivideremo la nostra analisi cronologicamente.

Fuga di dati a Istanbul

Un criminale sconosciuto ruba un hard disk portatile contenente “l’identità di ogni agente NATO incorporato in organizzazioni terroristiche in tutto il mondo”. Anche i partner dell’MI6 non sono al corrente della lista (che peraltro non esiste ufficialmente).

L’idea stessa di un tale disco comporta di per sè un’enorme vulnerabilità. Supponiamo che il database sia vitale per l’MI6 (e lo è). Cosa ci faceva allora in una casa sicura a Istanbul, protetta da soli tre agenti? Anche se il disco è, come ci è stato detto, cifrato e avvisa l’MI6 di qualsiasi tentativo di decifrazione?

Attacco cyberterroristico al SIS

Il primo vero cyber-incidente si verifica un po’ più tardi: un attacco cyberterroristico alla sede dei servizi segreti britannici (SIS). Il criminale informatico cerca di decifrare il disco rubato, apparentemente, secondo il sistema di sicurezza, dal computer personale di M, i difensori cercano disperatamente di spegnere il computer, ma gli hacker fanno saltare in aria l’edificio del SIS sulla riva del Tamigi.

L’indagine successiva rivela che il cybercriminale è entrato nel sistema di controllo ambientale, ha bloccato i protocolli di sicurezza e ha acceso il gas; ma prima di farlo, hanno violato i file di M, compreso il suo calendario, e hanno estratto i codici che rendono la decifrazione del disco rubato una questione praticamente sicura.

Supponiamo che l’allarme del disco rubato sul computer di M. abbia rappresentato un tentativo di disinformazione o di truffa (dopo tutto, il disco non avrebbe potuto essere nell’edificio). Ignoriamo, poi, le domande sulla fornitura di gas dell’edificio, chissà, forse i corridoi dell’MI6 erano illuminati con lanterne a gas dell’era Jack lo squartatore. Dopo tutto, la Gran Bretagna è una terra di tradizioni.

In ogni caso, hackerare l’ingegneria dei sistemi di controllo è perfettamente fattibile. Ma come hanno fatto i sistemi di controllo e il computer di M, presumibilmente “il sistema informatico più sicuro in Gran Bretagna”, a finire sulla stessa rete? Questo è chiaramente un problema di segmentazione. Per non parlare del fatto che memorizzare i codici di decifrazione del disco sul computer di M è un altro esempio di pura negligenza. Avrebbero potuto almeno usare un [KPM placeholder]password manager[/KPM placeholder].

Cyber bullismo M

I criminali prendono in giro M pubblicando periodicamente i nomi degli agenti nel pubblico dominio. Facendo questo, sono in qualche modo in grado di far apparire i loro messaggi sul suo portatile (sembra ci sia una sorta di backdoor, altrimenti, come potrebbero entrare?). Tuttavia, gli esperti dell’MI6 non sono interessati a controllare il portatile, solo a rintracciare la fonte dei messaggi.

Concludono che è stato inviato da un algoritmo di sicurezza asimmetrico che ha fatto rimbalzare il segnale in tutto il mondo, attraverso più di mille server. Tale tattica può esistere, ma ciò che intendono per “algoritmo di sicurezza asimmetrico” in questo contesto è chiaro come l’acqua. Nel mondo reale, algoritmo di cifratura asimmetrica è un termine della cifratura; non ha nulla a che fare con il nascondere la fonte di un messaggio.

Attacco dall’interno all’MI6

Bond individua e cattura l’hacker (un ex agente dell’MI6 di nome Silva), e porta lui e il suo portatile al nuovo quartier generale dell’MI6, senza sapere che Silva si sta prendendo gioco di lui. Entra Q: di professione un quartiermastro, di fatto il capo hacker dell’MI6, ma, in fin dei conti, un pagliaccio.

Anche qui, il ragionamento non è del tutto chiaro. È un clown perché fa ridere? O la decisione è stata un’altra conseguenza dell’analfabetismo degli sceneggiatori in materia di sicurezza informatica? La prima cosa che fa Q è collegare il portatile di Silva alla rete interna dell’MI6 e iniziare a parlare in gergo, che cercheremo di decifrare:

• “[Silva] ha stabilito dei protocolli di sicurezza per cancellare la memoria se dovesse avvenire qualche tentativo di accesso a certi file“. Concesso. Ma se Q lo sa, allora perché continua ad analizzare i dati di Silva su un computer con tali protocolli installati? E se la memoria viene cancellata?
• “È il suo sito omega, il livello più cifrato possibile. Sembra un codice offuscato per nascondere il vero scopo. La sicurezza attraverso l’oscurità“. Questo è fondamentalmente un flusso di termini casuali senza una logica unificante. Alcuni codici sono offuscati (alterati per ostacolare l’analisi) usando la cifratura, e perché no? Ma per eseguire il codice, qualcosa deve prima decifrarlo, e ora sarebbe un buon momento per capire cosa sia quel qualcosa. La sicurezza attraverso l’oscurità è in effetti un approccio reale alla sicurezza di un sistema informatico per il quale, invece di robusti meccanismi di sicurezza, la sicurezza si basa sul rendere i dati difficili da decifrare per gli aspiranti attaccanti. Non è la migliore pratica. Cosa esattamente Q stia cercando di trasmettere agli spettatori non è chiaro.

• Sta usando un motore polimorfo per mutare il codice. Ogni volta che cerco di accedere, cambia“. Questa è un’altra sciocchezza. Dove sia il codice, e come Q stia cercando di accedervi, nessuno lo sa. Se sta parlando di file, c’è il rischio di cancellazione della memoria (vedete il primo punto). E non è chiaro perché non possano fermare questo mitico motore e sbarazzarsi della “mutazione del codice” prima di cercare di capirlo. Per quanto riguarda il polimorfismo, è un metodo obsoleto per modificare il codice dannoso quando si creano nuove copie di virus in senso stretto. Non ha senso qui.

Visivamente, tutto ciò che accade sul computer di Silva è rappresentato come una sorta di diagramma a spaghetti di diabolica complessità cosparso di quello che sembra un codice esadecimale. L’occhio d’aquila di Bond individua un nome familiare che nuota nell’insieme alfanumerico: Granborough, una stazione della metropolitana in disuso a Londra: suggerisce di usarla come chiave.

Sicuramente un paio di ufficiali dell’intelligence esperti dovrebbero capire che un’informazione vitale lasciata in bella vista, proprio nell’interfaccia, è quasi certamente una trappola. Perché altrimenti un nemico dovrebbe lasciarla lì? Ma lo sprovveduto Q inserisce la chiave senza pensarci. Di conseguenza, le porte si aprono, i messaggi di “violazione della sicurezza del sistema” lampeggiano, e tutto ciò che Q può fare è girarsi e chiedere: “Qualcuno può dirmi come diavolo è entrato nel nostro sistema? Pochi secondi dopo, l'”esperto” decide finalmente che potrebbe avere senso disconnettere il portatile di Silva dalla rete.

Tutto sommato, la nostra domanda principale è: gli sceneggiatori hanno ritratto Q come un dilettante maldestro di proposito, o hanno semplicemente condito la sceneggiatura con termini casuali di cybersicurezza sperando che Q si presenti come un genio?

Spectre

In teoria, Spectre aveva lo scopo di sollevare la questione della legalità, dell’etica e della sicurezza del programma di sorveglianza e intelligence globale Nine Eyes come strumento antiterrorismo. In pratica, l’unico svantaggio della creazione di un sistema come quello mostrato nel film è se il capo del Servizio Segreto Congiunto (in seguito alla fusione di MI5 e MI6) è corrotto, cioè se, come prima, l’accesso ai sistemi informativi del governo britannico è ottenuto da un cattivo insider che lavora per il nemico giurato di Bond, Blofeld. Altri potenziali svantaggi di un tale sistema non sono affatto considerati.

Come aggiunta al tema degli insider, Q e Moneypenny passano informazioni riservate a Bond che è stato ufficialmente sospeso per tutto il film. Ah! Inoltre, informano male le autorità riguardo la sua posizione. Le loro azioni possono essere per un bene superiore, ma in termini di lavoro di intelligence, fanno trapelare dati segreti e sono colpevoli di scorretta condotta professionale, come minimo.

No Time To Die

Nell’ultimo film dell’era di Craig, MI6 sviluppa segretamente un’arma top-secret chiamata Progetto Heracles, un’arma biologica che consiste in uno sciame di nanobot che sono codificati sul DNA individuale delle vittime. Usando Heracles, è possibile eliminare gli obiettivi spruzzando i nanobot nella stessa stanza, o introducendoli nel sangue di qualcuno che è sicuro di entrare in contatto con l’obiettivo. L’arma è frutto della mente dello scienziato e agente del MI6 Valdo Obruchev.

Obruchev copia dei file segreti su una chiavetta e la inghiotte, dopodiché gli agenti (i pochi che sono finiti nell’ultimo film) dell’ormai non tanto segreta organizzazione Spectre fanno irruzione nel laboratorio, rubano alcuni campioni di nanobot e rapiscono l’infido scienziato. Sappiamo già dei problemi dei controlli sul personale, ma perché non c’è un sistema di prevenzione della perdita di dati (DLP) in un laboratorio che sviluppa armi segrete, specialmente sul computer di qualcuno con un cognome russo, Obruchev? (russo = cattivo, com’è risaputo).

Il film accenna anche brevemente al fatto che, come risultato di fughe multiple di grandi quantità di dati sul DNA, l’arma può effettivamente essere rivolta contro chiunque. Per inciso, questa parte non è completamente inverosimile. Ma poi veniamo a sapere che quelle fughe di dati contenevano anche dati su agenti dell’MI6, e questo è poco credibile. Per confrontare i dati sul DNA trapelati con quelli dei dipendenti dell’MI6, le liste di questi agenti dovrebbero essere rese pubbliche. Questo è un po’ inverosimile.

La ciliegina sulla torta, nel frattempo, è l’occhio artificiale di Blofeld, che, mentre il suo proprietario era in una prigione di massima sicurezza per anni, ha mantenuto un collegamento video 24 ore su 24 con un occhio simile in uno dei suoi scagnozzi. Siamo generosi e supponiamo che sia possibile perdere un bio-impianto in un detenuto. Ma l’occhio dovrebbe essere caricato regolarmente, il che sarebbe difficile da fare con discrezione in una prigione di massima sicurezza. Cosa hanno fatto le guardie? Inoltre, nel finale, Blofeld è detenuto senza il dispositivo dell’occhio, quindi qualcuno deve averglielo dato dopo il suo arresto. Un altro infiltrato?

Non è un epilogo

Vogliamo credere che tutte queste assurdità siano il risultato di disinformazione, non un genuino riflesso della pratica della cybersicurezza nel MI6. Almeno, speriamo che il vero servizio non faccia trapelare armi top-secret o memorizzi codici top-secret in chiaro su dispositivi che non si bloccano nemmeno automaticamente. In conclusione, possiamo solo raccomandare agli sceneggiatori di aumentare la loro consapevolezza riguardo la cybersicurezza, per esempio facendo un corso di cybersicurezza.