Hackerare lo scanner di sicurezza dell’aeroporto

Qual è la prima cosa che vi viene in mente se vi chiedessi di pensare al posto più sicuro al mondo? Sicuramente rispondereste qualche bunker militare o una cassaforte presidenziale segreta. Tuttavia, per noi persone normali, le barriere di sicurezza più severe che possiamo trovare sono forse quelle localizzate negli aeroporti, specialmente quelli statunitensi. Personale di sicurezza armato, monitor e videocamere onnipresenti, controlli a 360 gradi di sicurezza e documenti prevengono che criminali e terroristi intraprendano un viaggio di piacere sul primo Boeing  o Airbus che gli passa davanti. Ecco perché è stato piuttosto sconvolgente per me scoprire che il personale della TSA, o in generale gli agenti aeroportuali, prestino maggiore attenzione alla sicurezza “fisica”, piuttosto che alla cybersicurezza.

Durante la conferenza SAS-2014, Billy Rios e Terry McCorkle, ricercatori di Qualys, hanno presentato uno studio su questo argomento. Gli esperti hanno esplorato da vicino uno dei dispositivi più importanti del sistema di sicurezza aeroportuale: l’ X-Ray introscope. Si tratta di una di quelle macchine a raggi X che “mangiano” i bagagli e fanno una radiografia delle nostre valigie, mostrando sullo schermo dell’operatore quello che contengono. Il dispositivo viene controllato da un pannello speciale che non assomiglia a un computer, ma che in realtà non è altro che uno scanner tecnologicamente molto avanzato connesso a un comune computer contenente un software specifico. Rios e McCorkle sono riusciti ad ottenere in un’asta online un Rapiscan 522B, un introscope o scanner a raggi X molto usato, e hanno analizzato i componenti del software. I risultati sono stati piuttosto sorprendenti per gli specialisti della  sicurezza. Prima di tutto, i computer funzionavano con Windows 98, un sistema operativo che ha ormai 15 anni. Microsoft da anni non fa assistenza tecnica per questo OS e, come potete ben immaginare, sono moltissime le vulnerabilità sfruttabili e senza patch presenti nelle macchine con Win98. A quei tempi era possibile infettare un computer solo collegandosi al porto di rete o comunicando con l’OS, senza nessuna operazione extra sulla configurazione del software. In secondo luogo, i ricercatori hanno osservato che, di per sé, lo speciale software di sicurezza era molto concentrato sulla sicurezza “fisica”, ovvero sul contenuto dei bagagli. In definitiva, pare che la sicurezza informatica non sia una priorità. Le password degli operatori vengono immagazzinate in plain text e ci sono molti modi per accedere al sistema senza necessità di sapere nome utente o altre informazioni. “Ti dirà che c’è un errore, [ma poi] ti lascierà entrare” afferma Rios. Ad ogni modo, la scoperta più interessante è la terza.

Armi virtuali

L’immagine che visualizzano gli operatori sul loro schermo è essenzialmente una simulazione computerizzata dei bagagli che passano attraverso il nastro trasportatore dato che i raggi X non includono i colori. Quello che fa il computer è processare e fornire immagini personalizzate che aiutano l’operatore a individuare velocemente oggetti metallici o liquidi che potrebbero trovarsi al loro interno. Sono disponibili filtri “multipli”, ma il software va ben oltre. Dato che il processo di individuazione delle minacce della macchina a raggi X è terribilmente lento (oramai nessuno cerca di portare a bordo un’arma), i supervisori testano l’attenzione degli operatori inserendo sporadicamente nel sistema l’immagine di un’arma, come se si trovasse all’interno del bagaglio. Quando un operatore vede un’arma o un coltello (il sistema contiene decine e decine di immagini di questo tipo) deve dare l’allarme. Durante questo tipo di simulazioni, l’allarme non scatterà realmente, ma il sistema interno di valutazione registrerà l’attenzione dell’operatore. Il trucco è intelligente, ma al tempo stesso aumenta la nostra preoccupazione. Quali altre immagini “photoshoppate” potrebbero essere applicate alle immagini dei bagagli? Potrebbe essere possibile aggiungere qualche immagine neutra all’interno del database e collocarla giusto sopra all’arma reale contenuta nella valigia? Data la vulnerabilità del software e del sistema, un hackeraggio di questo è in teoria possibile.

Ci dobbiamo preoccupare?

Non cancellate il vostro prossimo volo, la situazione non è così grave. Prima di tutto, i computer delle aree di sicurezza sono isolati da Internet. Sebbene sia possibile hackerarli localmente, è una sfida molto grande per un ipotetico cybercriminale. In secondo luogo, ci sono diversi rivenditori di scanner a raggi X e i ricercatori di Qualys hanno testato solo uno (e piuttosto datato). Mi auguro caldamente che gli altri siano più sicuri. Punto terzo, la sicurezza dell’aeroporto è stratificata e molti esperti del settore considerano queste misure fisiche, come il metal detector o le macchine a raggi X, come le meno importanti. Quindi anche nel caso del malfunzionamento di uno scanner multifunzione, ci saranno altre misure di sicurezza che verranno adottate al loro posto. Comunque sia, questo studio ci mostra che le misure di sicurezza tradizionali come i sistemi di controllo degli accessi amministrativi e l’ air gap (una rete di sicurezza) non possono essere sostituiti da misure di cybersicurezza. TSA adotta degli standard molto severi che descrivono la configurazione degli schermi dei posti di controllo, tra cui persino informazioni dettagliate su aspetti minori come le dimensioni dei vassoi utilizzati dai passeggeri. Questi standard devono includere inoltre una descrizione dettagliata delle misure di sicurezza IT, dato che i sistemi aeroportuali rientrano definitivamente in quelle che vengono chiamate infrastrutture critiche. Solo così potremmo ottenere una maggiore sicurezza in volo nel lungo termine.

PS: questo post è stato scritto interamente a bordo di un Airbus A330, in volo da Tenerife a Mosca. Nonostante la questione delle vulnerabilità, non ho ancora paura di volare.