Di: Dott. Roberto Gallo
Questo articolo si propone di elencare i principali fattori, sia tecnici che non tecnici, che rendono il controllo della catena logistica delle apparecchiature di comunicazione fondamentale per lo sviluppo, l'installazione, il funzionamento e la manutenzione dei sistemi di comunicazione critici.
È impossibile eliminare il 100% dei "bug" e si possono creare "backdoor" indistinguibili dai "bug". Pertanto...
Chiunque utilizzi un sistema informatico sa, empiricamente, che la tecnologia presenta sempre dei difetti, che normalmente tendono a ridursi con il progredire della tecnologia, ma che non scompaiono mai per tutti i casi d'uso.
Indipendentemente dal motivo per cui i difetti vengono inseriti nei programmi e nelle apparecchiature, eliminarli è un compito impossibile nella maggior parte dei casi, ed esiste una teoria computazionale che spiega questo fenomeno (Teorema di Rice).[1] dimostra che in generale è impossibile garantire che un sistema sia privo di difetti. Inoltre, i metodi di verifica formale sono, nella migliore delle ipotesi, indecidibili o NP-difficili.[2]).
D'altro canto, un altro fatto rilevante, sebbene molto meno noto al grande pubblico, è che i dispositivi di spionaggio e sabotaggio ("backdoor") possono essere progettati in modo tale da essere indistinguibili dai problemi accidentali ("bug"). Anche in questo caso, è chiaro che esistono innumerevoli[3],[4] casi che dimostrano questo fatto, come il classico "The Underhanded C Contest[5]“, una competizione in cui i programmatori vengono premiati per “[…] scrivere codice C che sembra onesto ma in realtà contiene comportamenti dannosi […]”.
Ora, se non c'è modo di trovare tutti i "bug", indipendentemente dall'accesso al progetto e al codice sorgente, e c'è la possibilità di produrre "backdoor" indistinguibili dai "bug", la conclusione inesorabile, supportata da casi reali, è che non esiste un percorso praticabile e sicuro senza una catena logistica affidabile (progettazione, sviluppo, produzione, consegna e manutenzione).
Per l'inglese vedi.
Ipotizziamo che vengano adottati controlli ragionevoli nella progettazione e nell'implementazione di software e hardware (ad esempio, eseguiti da partner fidati e utilizzando le migliori metodologie). Inoltre, c'è un fattore fondamentale in gioco: la diversa natura della verifica dei componenti software e hardware.
Mentre nel mondo del software è possibile garantire che due copie dello stesso programma siano identiche in modo efficiente ed economico, con le apparecchiature la stessa logica non si applica: i test hardware efficaci sono individuali (ovvero attestano solo se quell'istanza ha superato il test o meno), distruttivi e costosi.
In altre parole, la certezza che un determinato componente hardware non disponga di meccanismi di intercettazione non è trasferibile a un altro componente hardware, anche se identificato come dello stesso modello. Pertanto, per l'hardware, solo un efficace controllo della catena di fornitura ha la possibilità di mitigare con successo i rischi sovrani.
Il problema della catena di fornitura è così grave che, nel settore della Difesa, gli USA hanno, oltre al Buy American Act, programmi come DARPA SHIELD[6], creato specificamente per contrastare i cosiddetti interventi sulla catena di fornitura da parte di individui o nazioni concorrenti.
Obbligato a intercettare. Obbligato a proteggere.
L'affidabilità di un fornitore di tecnologia può avere molteplici dimensioni: se continuerà a esistere tra qualche anno, se non abbandonerà una tecnologia, se è di alta qualità, ecc.
In questa discussione, nel contesto dello Stato, l'affidabilità di un fornitore deve essere considerata dal punto di vista dell'allineamento con gli interessi sovrani nazionali. Poiché molti di questi interessi e disposizioni sono sanciti dalla legge, vale la pena ricordare gli obblighi più rilevanti che riguardano il Brasile.
Obbligo di includere meccanismi di intercettazione.
I paesi maturi nel campo delle comunicazioni dispongono generalmente di una legislazione che impone l'inclusione di meccanismi di intercettazione nelle piattaforme tecnologiche. Gli Stati Uniti e il Regno Unito, ad esempio, impongono ai produttori di fornire alle autorità le chiavi di crittografia delle comunicazioni, rispettivamente nei loro USA PATRIOT Act e RIP Act.
Indipendentemente dalla legislazione, le agenzie di sicurezza lavorano individualmente o in collaborazione con i produttori per intercettare obiettivi di interesse, come mostrato nelle diapositive (Figura 1 e Figura 2) contrassegnate come "top secret" trapelate nel caso Snowden.
In altre parole, i sistemi di comunicazione e informazione sono veicoli per le capacità di intelligence strategica e tattica degli Stati, sfruttate da e con le rispettive aziende nazionali. I divieti imposti dagli Stati Uniti alle aziende cinesi sono semplici da comprendere, anche se tali misure non sono accompagnate dalla dovuta autocritica.
Figura 1 – Alleanze strategiche della NSA con i fornitori di tecnologia.
Figura 2 – Intercettazione di dispositivi da parte di un gruppo tattico della NSA per l’inserimento di intercettazioni telefoniche.
Obbligo di protezione e meccanismi specifici in Brasile.
In Brasile, l'obbligo di proteggere le informazioni e le comunicazioni critiche dello Stato è sancito dalla legislazione su più punti, di cui ne segnaliamo tre.
La prima è contenuta nella Legge sulla Sicurezza Nazionale (7.170/1983), che all’articolo 13 punisce con la reclusione da 3 a 15 anni chiunque “comunica, consegna o consente la comunicazione o la consegna, a un governo o gruppo straniero, o a un’organizzazione o gruppo esistente illegalmente, di dati, documenti o copie di documenti, piani, codici, cifre o questioni che, nell'interesse dello Stato brasiliano, sono classificate come riservate". È importante notare che la legge stabilisce che anche il meccanismo di protezione tecnica stesso (il cifrario) è riservato.
Un altro elemento legislativo rilevante si trova nel decreto 8.135 del 2013, che all’articolo 1, comma 3, dispone che “[i] programmi e le attrezzature destinati alle attività di cui al capoverso [quelli utilizzati dallo Stato] devono avere caratteristiche che ne consentano la verifica al fine di garantire la disponibilità, l’integrità, la riservatezza e l’autenticità delle informazioni”.
Infine, l'Ordinanza 23 del 2014 del Consiglio di Difesa Nazionale stabilisce che le risorse crittografiche per la protezione delle informazioni classificate devono essere sviluppate internamente, dallo Stato stesso o da una Società di Difesa Strategica.
Insieme, queste tre basi giuridiche e normative sono armoniose e coerenti con la realtà tecnica e geopolitica secondo cui le apparecchiature di comunicazione sono una questione di Stato, devono essere verificabili e autoctone e implicano il controllo della catena logistica, data l'impossibilità materiale di verifica a posteriori.
Il momento storico brasiliano
L'attuale progresso tecnologico richiede che il mondo viva una nuova guerra, la guerra cibernetica, che richiede agli Stati di sviluppare programmi nel campo delle tecnologie dell'informazione e della comunicazione, cercando di ridurre al minimo le vulnerabilità nell'elaborazione, nella trasmissione e nell'archiviazione delle informazioni strategiche del Paese, senza mettere a rischio la sovranità nazionale.
In linea con questo scenario, stiamo vivendo in Brasile un momento storico di ripresa del predominio tecnologico nelle comunicazioni critiche, con un crescente grado di nazionalizzazione, dovuto ad azioni, atteggiamenti e misure messe in atto dal Ministero della Difesa, con il coinvolgimento delle Forze Armate, della Base Industriale della Difesa e dell'Accademia.
Si può affermare che questo movimento è sostenuto da progetti rilevanti guidati dallo Stato, vale a dire: il progetto LinkBR2 coordinato dal Comando dell'Aeronautica Militare, il progetto RDS-Defense Software Defined Radio coordinato dall'Esercito brasiliano, il progetto Rondon Radio sotto la responsabilità dell'Esercito brasiliano e in fase di sviluppo da parte di IMBEL, il progetto del sottomarino nucleare sotto la responsabilità della Marina brasiliana, il progetto del Sistema integrato di monitoraggio delle frontiere (SISFRON) sotto la supervisione dell'Esercito brasiliano e il programma di comunicazioni geostazionarie e satelliti di difesa (SGDC) che coinvolge il Ministero della Scienza, della Tecnologia, dell'Innovazione e delle Comunicazioni e il Ministero della Difesa.
Questi programmi riducono la nostra vulnerabilità nelle attività critiche dello Stato, in particolare nell'ambito della Difesa, in conformità con la Strategia di Difesa Nazionale, ricercando soluzioni all'avanguardia nelle tecnologie dell'informazione, delle comunicazioni e della cibernetica.
In definitiva, lo Stato brasiliano deve affrontare questa sfida legata all'elaborazione, alla trasmissione e all'archiviazione delle sue informazioni strategiche in modo tempestivo, con azioni e strategie collaborative nel perseguimento di una produzione di apparecchiature di comunicazione autoctone e all'avanguardia.
Non si tratterebbe di un'azione isolata e specifica da parte del Ministero della Difesa, bensì di azioni tra partner che consentano un ambiente di cooperazione e fiducia tra varie entità del governo, del mondo accademico e della base industriale della difesa, e che forniscano incentivi al settore privato nei settori dell'informatica, delle comunicazioni e della cibernetica.
[1] HG Rice, Classi di insiemi ricorsivamente enumerabili e i loro problemi decisionali, Trans. Amer. Math. Soc. 74 (1953), 358-366, https://doi.org/10.1090/S0002-9947-1953-0053041-6.
[2] Sandip Ray e Warren A. Hunt. Verifica deduttiva di macchine pipeline mediante quantificazione del primo ordine. In Rajeev Alur e Doron A. Peled, a cura di, Computer Aided Verification, volume 3114 di Lecture Notes in Computer Science, pagine 254–256. Springer Berlin – Heidelberg, 2004.
[3] https://underhandedcrypto.com
[4] https://blog.rust-lang.org/2016/12/15/Underhanded-Rust.html
[5] http://www.underhanded-c.org
[6] https://www.darpa.mil/program/supply-chain-hardware-integrity-for-electronics-defense
Di: Débora Menezes Uno studio dimostra che il valore delle richieste di riscatto è aumentato da $ 100 a $ 100.000. Per saperne di più
Riconoscere subito i segnali degli attacchi informatici ed evitare intrusioni catastrofiche. In un Per saperne di più