Rogue One e la cybersicurezza

L’anno scorso abbiamo analizzato un incidente che si svolge in Star Wars: Episodio IV. Avevamo comunque il presentimento che i problemi di sicurezza che hanno portato alla distruzione della Morte Nera fossero solo la punta dell’iceberg. I problemi dell’Impero con i sistemi per la protezione delle informazioni sono chiaramente di natura per lo più galattica. Per fortuna, i ricercatori della Lucasfilm hanno analizzato a fondo gli eventi che hanno preceduto questo incidente e li spiegano tutti in Rogue One: A Star Wars Story. Ecco cosa ne è venuto fuori.

La sicurezza inizia dalle Risorse Umane

Rogue One si apre con il capo della divisione Ricerca Armi Avanzate dell’Impero Galattico, Orson Krennic, accompagnato da un team di specialisti in Risorse Umane che convincono lo sviluppatore Galen Erso a lavorare al progetto della super arma segreta della Morte Nera. Cosa sappiamo di Erso? Innanzitutto, sappiamo che aveva lavorato in precedenza al progetto prima di rassegnare le sue dimissioni. In secondo luogo, non aveva alcuna fretta di ritornare. Ma le Risorse Umane Galattiche gli hanno fatto un’offerta impossibile da rifiutare ed eccolo di ritorno. Successivamente Krennic scoprirà che Erso era una spia industriale, colui che filtra il progetto della nave spaziale.

Un dipendente di questo tipo non sarebbe mai dovuto venire in possesso di informazioni così sensibili (non avrebbero proprio dovuto assumerlo), un team di Risorse Umane se ne sarebbe dovuto accorgere durante il processo di selezione. E invece non sono riusciti a identificare i rischi. Inoltre, una formazione per tempo sui rischi alla sicurezza avrebbe aiutato a interpretare adeguatamente i campanelli di allarme durante il processo di analisi.

Andrey Nikishin,  Special Projects Director, Future Technologies,  Kaspersky Lab
	Se pensate che si tratti di una situazione di fantasia, vi sbagliate. Il fattore umano e una formazione inadeguata in cybersicurezza sono le principali cause della maggior parte degli incidenti negli impianti industriali.

Laboratorio top-secret su Eadu

Galen Erso viene portato in un impianto di trasformazione di cristalli kyber sul pianeta Eadu, una sorta di gulag stile “ufficio di progettazione sperimentale“, dove è obbligato a lavorare a un progetto militare top-secret. Come abbiamo detto in precedenza, affidargli un progetto segreto non è stata una mossa intelligente, ma lasciarlo lavorare senza alcuna supervisione ha peggiorato la situazione. Erso decide così di inserire una vulnerabilità nella Morte Nera.

Quando si tratta di progetti complessi, soprattutto se parliamo della progettazione di infrastrutture critiche, è fondamentale analizzare più volte il progetto degli impianti prima di passare alla loro costruzione. E bisogna tenere gli occhi ancora più aperti se si ha a che fare con un dipendente sospetto e scontento.

Andrey Nikishin, Special Projects Director, Future Technologies, Kaspersky Lab
	Sono sicuro al 100% che i nostri metodi moderni di sviluppo di software sicuri fossero noti agli sviluppatori galattici. Perché non li hanno adottati? Probabilmente per lo stesso motivo per cui non lo fanno certi sviluppatori del nostro mondo, la loro attenzione è rivolta altrove. La Morte Nera è il primo esempio di ciò che potrebbe accadere quando non si presta attenzione a certi aspetti.

La mancanza di assistenza in termini di sicurezza non è nulla di nuovo. Ma l’idea di isolare Erso, che non ha alcun contatto con il mondo esterno, ma che sì può comunicare con i piloti dell’Impero (arrivando addirittura a reclutarne uno), beh diciamo che è davvero troppo.

In sostanza, Erso riesce a:

1. Informare l’Alleanza Ribelle dell’esistenza della Morte Nera;
2. Specificare loro quale sia la sua vulnerabilità;
3. Indicare l’ubicazione del progetto sul pianeta Scarif.

Scarif

Il centro dati di alta sicurezza è progettato molto meglio della maggior parte delle altre infrastrutture dell’Impero. Innanzitutto, Scarif è circondato da un campo di forza grazie al quale non può passare alcun oggetto fisico (che fa anche da firewall).  È dotato di un solo punto di ingresso, controllato dal centro. I dati sono immagazzinati su hard disk offline (un air-gap di un certo livello), protetti da accesso biometrico. L’antenna di trasmissione è sconnessa dalla rete, è necessario l’accesso fisico a essa per attivarla.

Tuttavia, i meccanismi di protezione biometrici non sono l’ideale.; in questo caso, l’ostacolo viene superato prendendo “in prestito” la mano di un ufficiale morto, che viene avvicinata allo scanner. E il firewall non è la panacea di tutti i mali: è vero che blocca il trasferimento di grandi quantità di dati, ma può essere aggirato rafforzando il segnale dei trasmettitori dell’Alleanza Ribelle mediante sistemi di comunicazione interni. Inoltre, per connettere la nave al sistema non bisogna fare altro che collegare qualche cavo e tirare una leva, non c’è alcun sistema di autenticazione! L’Alleanza Ribelle riesce così a lanciare un potente attacco DDoS dall’orbita diretto al firewall.

E la cosa peggiore è che la tanto importante antenna di trasmissione non è affatto protetta. Basta inserire un dischetto e il gioco è fatto! Davvero affidare tutto all’impenetrabilità del firewall?

Andrey Nikishin, Special Projects Director, Future Technologies, Kaspersky Lab
	È ciò che accade più o meno alle difese informatiche degli impianti industriali moderni. Tutto sembra ben organizzato fino a quando non viene richiesta una consulenza sulla sicurezza o viene progettato un threat model e allora iniziano a saltar fuori semplici e potenti vettori di attacco. E gli attacchi nel nostro mondo non si limitano a fughe di dati,  le conseguenze possono essere irreparabili.

L’Internet delle Cose

Una menzione speciale va fatta alla catastrofica situazione che riguarda la protezione dell’Internet delle Cose. L’Alleanza Ribelle utilizza una droide K-2SO riprogrammato ; e non è una sorta di interprete o meccanico galattico, K-2SO è un analista di fondamentale importanza e, a giudicare dal suo comportamenti, si tratta di un tentativo di hackeraggio ben riuscito. Tutto ciò che c’è da sapere sui protocolli galattici è immagazzinato nella memoria di questo droide, ma quale sistema operativo permette la riprogrammazione? E perché il sistema galattico pensa ancora che K-2SO abbia ancora un comportamento amichevole e autorizzi le comunicazioni con i computer? Come è possibile che l’Impero non sappia che il droide è passato dall’altra parte? Dopotutto, si tratta di un’infrastruttura critica.

Come risultato della mancanza di sicurezza, K-2SO riesce tranquillamente a prendere dati da altri droidi, si connette all’Archivio dell’Impero alla ricerca di informazioni e prende il controllo dei meccanismi di difesa della stazione.

L’Alto Comando Imperiale

Le decisioni prese dai comandanti dell’Impero che riguardano la sicurezza informatica meritano di essere analizzate in dettaglio.

Grand Moff Tarkin

Tarkin impiega tattiche molto dure nella sua lotta alla fuga di informazioni. Praticamente distrugge intere città se scopre una fuga di dati. Ad esempio, ordina di far distruggere la città santa del pianeta Jedha quando viene a sapere da alcuni agenti della presenza di un disertore che sa della costruzione della Morte Nera. La seconda volta avviene a Scarif quando giunge la notizia dell’attacco dell’Alleanza Ribelle.

Orson Krennic

A parte l’incomprensibile ossessione di includere di nuovo Galen Erso nel progetto segreto, le decisioni prese da Krennic hanno una loro logica. Da un lato, prova a portare avanti delle indagini; quando arriva alla base di Scarif, ordina che vengano analizzati tutti i messaggi inviati da Galen Erso. Anche se si tratta di una decisione presa con un certo ritardo, ciò avrebbe potuto aiutare a trovare la vulnerabilità.

Ricordate anche che Krennic ha avuto la brillante idea di chiudere la base e di proteggerla durante l’attacco dell’Alleanza Ribelle, attivando il firewall in qualsiasi situazione.

Andrey Nikishin, Special Projects Director, Future Technologies, Kaspersky Lab

Dal mio punto di vista, Rogue One è forse il miglior film dal nuovo capitolo della saga. Inoltre, fornisce abbastanza materiale per la formazione su tematiche della cybersicurezza di impianti industriali e infrastrutture critiche. Chi si occupa di queste tematiche dovrebbe guardare questo film, anche chi non è fan di Star Wars. È un manuale per un ipotetico corso su come NON proteggere le infrastrutture con informazioni sensibili”.