La parola all’esperto: Watch Dogs, tra realtà e finzione

Con un record di vendita di 4 milioni di copie durante la prima settimana, Watch Dog ha raggiunto immediatamente i primi posti delle classifiche dei migliori videogiochi, facendo impazziate i giocatori di tutto il mondo con il suo ambiente di gioco sorprendente e dal concetto rivoluzionario. L’obiettivo del videogame è mettere fuori gioco i dispositivi elettronici della città, le insegne, i segnali stradali e i semafori, i ponti elettrici, gli sportelli bancari e le videocamera di sorveglianza. Gli sviluppatori di Ubisoft hanno cercato di rendere il videogioco il più realistico possibile, permettendo al giocatore di realizzare solo gli attacchi hacker possibili nella vita reale. Kaspersky Lab ha partecipato alla stesura del copione; abbiamo dato consigli e collaborato agli aspetti più tecnici. Ora che il gioco è uscito, molti giocatori continuano a chiedersi se molte mosse hacker del gioco sono possibili nella vita reale, e se certi trucchi hacker esistano per davvero. Noi di Kaspersky Lab abbiamo raccolto alcune delle domande che molti utenti hanno posto su Facebook e le abbiamo passate all’esperto di sicurezza informatica Igor Soumenkov che ha promesso di raccontarci tutta la verità – nient’altro che la verità – sugli attacchi hacker di Watch Dog. Leggiamo ora le sue risposte!

Quanto è vicina la vita reale dalla fiction del videogioco?

Benché alcuni degli attacchi hacker siano molto simili a quelli che accadono nella vita reale, si tratta ancora di un gioco, di una simulazione. È importante che tutti comprendano che Watch Dog non vuole insegnare alla gente a diventare hacker; si tratta piuttosto di mostrare alle persone quanto sia potente uno strumento di hacking.

Tra gli attacchi che vediamo nel videogioco, quelli che possono essere realizzati nella vita reale sono:

• Intercettazione di dati (password e pacchetti WiFi su Android);
• Attacchi hacker contro Sportelli Bancari/POS (malware per sportelli bancari controllati da messagi di testo);
• Hackeraggio di automobili (lo hanno dimostrato Charlie Miller e Chris Valasek);
• Controllare semafori e altri dispositivi elettronici / provocare blackout (date un’occhiata a questo articolo: “Has New York’s traffic light system been HACKED?“)

Ecco la lista degli attacchi hacker di #WatchDogs che possiamo incontrare nella vita reale

Tweet

È davvero possibile hackerare tutte queste cose usando un telefono cellulare?

Nella vita reale gli hacker hanno a loro disposizione molti più trucchi di quelli che vediamo nel gioco; non si tratta solo di digitare qualcosa con il touchscreen del priprio smartphone o usare exploit ready-to-go. Per esempio, come funziona nella realtà un attacco ad uno sportello bancario? I criminali mettono un exploit e alcuni malware specifici su di un’unità USB rimovibile. Dopo aver collegato la USB allo sportello bancario, l’exploit fa in modo che i criminali ottengano gli alti privilegi del sistema e lancino il malware. Si potrebbe trattare di un backdoor che controlla il sistema operativo dello sportello bancario, per esempio. Una volta che lo sportello è stato hackerato, non resta che incassare il malloppo. Il passo finale (fare in modo che il bancomat sputi fuori i soldi) può essere attivato anche via smartphone.

Non pensi che i cybercriminali potrebbero prendere spunto dal gioco per poter mettere a segno qualche attacco hacker e controllare una grande città?

Noi speriamo, al contrario, che questo gioco rappresenti un’opportunità per le persone di riflettere sulla sicurezza dei sistemi operativi delle città del futuro. La sicurezza informatica va presa sul serio e il gioco vuole solo mostrare quello che potrebbe succedere se abbassassimo la guardia.

Qual è secondo te l’incidente di sicurezza informatica più pericoloso che possa accadere nella vita reale?

La maggior parte degli attacchi hacker che potete vedere nel gioco riguardano il controllo automatico dei sistemi dopo la loro violazione. Questa è, secondo me, la nuova e la più pericolosa delle ipotesi; è iniziata diversi anni fa, con l’apparizione del worm Stuxnet che all’epoca aveva attaccato i sistemi di controllo industriali. È un esempio di come un programma per computer può complicare le cose nel mondo reale, riuscendo a mandare in tilt apparecchi e sistemi fisici. Questo è quello che vediamo nel gioco e sta diventando realtà.

Sono alte le probabilità di un attacco informatico in un gioco online?

Tali rischi esistono e la loro gravità dipende dal tipo di gioco a cui state giocando e a come vi comportate sia durante il gioco che nella vita reale. Già da tempo esistono alcuni tipi di Trojan che sono in grado di rubare, per esempio, gli oggetti virtuali posseduti da un giocatore in un determinato gioco. I Trojan di oggi sono ancora più flessibili e possono attaccare la tua vita digitale in mille modi diversi: possono scegliere se vogliono rubare la tua password di Skype oppure no, o manomettere la configurazione per colpire le password del gioco. Quest’ultima azione aiuta i criminali a hackerare e sabotare gli account di gioco.

Può anche accadere che gli hacker colpiscano non sono i giocatori, ma anche gli sviluppatori del gioco. Lo scopo, in tal caso, è diverso: rubare la proprietà intellettuale creando server di gioco online illegali.

Nella modalità Decryption Multiplayer, quando diversi giocatori giocano in contemporanea, il processo di decrittazione si accellera. Questo può avvenire anche nella vita reale? Ho sentito dire che diversi dispositivi possono lavorare in contemporanei attraverso la stessa wireless, condividendo così la potenza di calcolo. Mi puoi dire qualcosa di più riguardo a questa questione?

Sì, è vero. Ci sono processi informatici che vengono gestiti più velocemente quando si usano delle risorse condivise. Ne tipicpo esempio è un attacco di forza bruta nei confronti delle password. È possibile distribuire il lavoro per provare diverse combinazioni di password tra diversi dispositivi. Esistono software per poter gestire il compito, ma è anche possibile ricorrere ad app separate che aiutino a condividere il compito tra i diversi dispositivi che condividono la rete wireless.

Qual è secondo te il vero ostacolo alla creazione di una vera “smart city” come si vede in #Watch Dogs ?

Gli ostacoli sono molti, ma nella pratica si riducono principalmente a questioni di diritti amministrativi. Nella Chicago viruale di Watch Dogs, i semafori, le pompe di benzina, gli sportelli bancari, i sistemi di sorveglianza e i ponti sono tutti connessi ad una singola network. Ciò significa che una singola azienda è responsabile dell’intera infrastruttura e ha un solo data center.

Nella vita reale, sono ancora molti i chilometri da percorrere prima di arrivare a questo punto perché tutti questi sistemi sono gestiti da diversi enti. Prendiamo il caso degli sportelli bancari: ogni banca ha una separata rete di bancomat. Dunque, il l’ostacolo più grande potrebbe essere rappresentato proprio dall’eventuale unione di tutte queste aziende, enti e organizzazioni sotto lo stesso tetto e data center.

Dall’altro lato, se tutti gli enti e i sistemi fossero connessi, forse sarebbe più facile proteggerli. Esiste un concetto e si chiama “superficie di attacco”: se le aziende sono poche, anche il numero dei server diminuisce, e questo significa meno attacchi. In altre parole, quando un’azienda di sicurezza deve proteggere un singolo data center dove coinfluiscono più entità, spende meno risorse.

Ho sentito dire che gli hardware di oggi usati negli attacchi di hacking richiedono un investimento minimo e possono mandare in tilt l’infrastruttura di un’intera città. Qual è la tua opinione in merito?

Hackerare “l’intera infrastruttura di una città”…. Come ho detto in precedenza, non esistono città gestite da un unico sistema. Sono molte le infrastrutture: la rete degli autovelox, la rete degli sportelli bancari e così via. Questo rende impossibile hackerare l’infrastruttura di un’intera città. Per quanto riguarda l’hardware, non è una questione scontata: un hacker può lavorare persino con un PC da 100€. Quello di cui si ha realmente bisogno è un monitor, una tastiera, un sistema operativo e una serie di conoscenze e di strumenti. Questi ultimi sono facili da trovare su Internet, ce ne sono dia di gratuiti che a pagamento.

Qual è il miglior dispositivo mobile da usare a scopi di hacking?

Le manipolazioni più sofisticate sono possibili con uno smartphone con speciali privilegi sull’OS, sia che si tratti di un Android, su cui è stato realizzato il rooting, o un iPhone con jailbreaking. Tali dispositivi permettono di cambiare gli indirizzi MAC della line card e, tra le altre cose, lavorare sulla network ad un livello più profondo. Tuttavia, non è il dispositivo la cosa più importante; quel che conta è un set di app, specifici tool, disponibili sia per Android che per iOS.

In un futuro sarà possibile che un’azienda prenda il controllo di un’intera città e un piccolo gruppo di ribelli cerchi di hackerare i loro sistemi?

Che una sola azienda prenda il controllo di un’intera città? Non lo vedo molto verosimile, o quanto meno sarebbe insolito. Andrebbe contro gli interessi del sentimento imprenditoriale: ad un’azienda piace essere il leader, avere il controllo sul suo “reame”, essere la prima del settore, ma non gli interessa trasformarsi in un monopolio. Direi, quindi, che non si tratta di un futuro applicabile alla nostra Chicago: permettere che una sola azienda controlli tutto, contraddice i sani principi della libera concorrenza. In questo caso, dunque, non c’è motivo di credere che quest’ipotesi possa verificarsi nella vita reale, anche se quando parliamo di “smart city” ci avviciniamo sempre di più a questo scenario – ma questa è un’altra cosa. Anche in questo caso, l’infrastruttura verrà gestita da diverse entità, con diverse zone di responsabilità.

Cosa consiglieresti a un giocatore che volesse hackerare un altro giocatore? Conosci dei trucchi?

Noi possiamo rispondere solo in merito ai temi generali del gioco; ci occupiamo di sicurezza IT nel mondo reale. Ti consiglio di rivolgere la tua domanda a Ubisoft 🙂

Esistono dispositivi di hacking fisici? Come la blue box degli anni Settanta.

Assolutamente sì, e sono moltissimi. È il caso del plug computer, dispositivo della dimensione di un tablet o di un vecchio caricatore per telefono che si inserisce direttamente nella presa di corrente, connettendosi a Internet. Sono molti questi dispositivi: guru plug, dream plug, per menzionarne alcuni; sono tutti piccoli PC perfettamente funzionali, disegnati con lo scopo di realizzare test di sicurezza sulla rete. C’è anche il così chiamato pawn plug, una piccola scatola concepita per scannerizzare automaticamente la rete, cercare vulnerabilità e preparare report, rispettosamente.

Che differenza c’è tra hackerare un PC e hackerare, per esempio, il sistema dell’aria condizionata o un semaforo?

Tutti questi dispositivi, anche se non sono molto sicuro che questo valga anche per l’aria condizionata, sono dotati di connessione (almeno lo sono i semafori e i certi ponti). Tutti questi dispositivi sono connessi a dei computer e a dei centri di gestione, controllati a loro volta da degli operatori. Questi significa che per hackerare un semaforo è necessario hackerare il PC dell’operatore che lo gestisce. Questo è la via più fattibile, ed è quello che appare in Watch Dog; altrimenti bisognerebbe hackerare i computer dei centri operativi di questi servizi.

Sono molti gli attacchi hacker del gioco; ce ne sono alcuni che sono stati cancellati? In tal caso, perché?

Dato che siamo specializzati nella lotta alle minacce cibernetiche e conosciamo bene il funzionamento degli attacchi hacker, abbiamo potuto offrire supporto tecnico, dando consigli sugli scenari cibernetici del gioco, sia per quanto riguarda il gioco che rispetto al plot e alla caratterizzazione dei personaggi. Abbiamo lavorato insieme a Ubisoft sul copione e offerto suggerimenti su ciò che era verosimile e ciò che secondo noi andava cambiato per rendere il gioco il più realistico possibile (almeno da un punto di vista tecnico).

Non abbiamo cancellato nulla. Quando ci hanno passato il copione, conteneva già alcuni attacchi hacker. Li abbiamo studiati, ne abbiamo approvati alcuni, e corretto molti altri, ma non abbiamo cancellato nulla. Per maggiori informazioni, puoi rivolgerti a Ubisoft.

Come ci si sente a conoscere tante cose sulle più pericolose minacce cibernetiche? Puoi dormire bene di notte?

Si, dormiamo senza problemi, non ti preoccupare. Naturalmente siamo consapevoli del fatto che non esistono sistemi completamente sicuri; ma un attacco hacker costa, ci vuole un certo budget e molta volontà. Le vulnerabilità esistono e sempre esisteranno, e non si può essere sicuri di tutto, ancor meno dei nostri PC, router, reti aziendali, reti wi-Fi e nemmeno della TV. Tuttavia, la cosa importante è che sappiamo come reagire di fronte ad un attacco e percepiamo quando stiamo per essere attaccati. Questo ci fa convivere meglio con il problema.

Esiste nella vita reale un database che permette di cercare facilmente persone, così come viene mostrato nel gioco? O questi strumenti verranno creati… nei prossimi decenni?

Ci sono diversi database di questo tipo e li conoscete tutti: parlo di Facebook, LinkedIn e Vkontakte, per esempio. Bisognerà utilizzare cerca tecnologia per collegare la persona in questione al database.

Non è necessario essere dei servizi segreti per rintracciare le persone. Esistono aziende di intelligence open source che analizzano gli open data. Creano account virtuali sui social network, incoraggiano le persone ad essere amici e le aggiungono; poi, avendo diverse centinaia di amici, si avrà accesso praticamente a ogni profilo disponibile, dal momento che aggiungendo amici, si può avere accesso al profilo dei loro amici. Avere un sacco di amici con centinaia di connessioni può quasi permetterti di essere in contatto con l’intera popolazione dei social network.

Come sicuramente saprete, due persone che non si conoscono possono entrare in contatto tra loro attraverso 6 collegamenti. Questo significa che con pochi amici, potremmo quasi raggiungere ogni persona sui social. Ci sono diversi metodi: geolocalizzazione, riconoscimento facciale e vocale, ecc. Con essi, potremmo liberarci di informazioni non necessarie, trovare persone e identificare lui/lei dal profilo.