Gli spazi e le ragioni dell'hacking

Un percorso intensissimo di analisi degli attacchi hacker delle scorse settimane e di quanto ne è seguito, per affermare la via all'hacking. Parla l'hacklab di Firenze

Gli spazi e le ragioni dell'hackingWeb (internet) - Con questo intervento intendiamo aprire una discussione su come mutano per Internet gli scenari economici politici e giudiziari dopo il martellamento mediatico dell'immaginario collettivo che ha fatto seguito agli "Hacker's Days" (come sono stati ribattezzati dalla stampa USA gli attacchi che hanno bloccato per qualche ora Yahoo! e altri noti siti del commercio elettronico) e su come affrontare i problemi che questi mutamenti pongono a chi intenda mantenere quegli spazi di comunicazione libera e non omologata al "pensiero unico" che sinora è stato possibile aprire dentro Internet.

La prima cosa che si impone, anche all'osservatore superficiale, è quanto sia stata enorme la sproporzione tra quanto è effettivamente successo - chi bazzica la rete sa bene che il down di qualche ora di un server è cosa abbastanza comune, e che la stragrande maggioranza degli utenti non si sarebbe nemmeno accorta di nulla - il panico generale che si è sollevato o che si è preteso di sollevare, e le misure che si vorrebbero adesso far credere destinate a "ripristinare la sicurezza di tutti su Internet".

Nemmeno le conseguenze finanziarie dell'episodio giustificano il gigantesco spettacolo mediatico e gli strappamenti di capelli di presidenti USA e governi messi in scena per l'occasione. Chi ha familiarità con gli andamenti borsistici sa bene che i cali dell'indice Dow-Jones e Nasdaq che si sono verificati (seguiti del resto da pronti rialzi grazie alla vertiginosa impennata dei titoli delle aziende che si occupano di sicurezza) sono fisiologici, specie quando ci sono in ballo capitalizzazioni finanziarie gonfiatissime come quelle di cui sono stati oggetto i siti del commercio elettronico. E sa benissimo che in occasioni del genere, se c'è qualcuno che ci perde c'è anche qualcun altro che ci guadagna.
Ma si ingannerebbe anche chi volesse vedere in questa sproporzione solo la consueta isteria mediatica di giornalisti e mezzibusti televisivi a caccia di notizie strabilianti da vendere. Stavolta, ad aprire il gran ballo la cui solfa finale è come sempre "più sicurezza in rete per difendere il commercio elettronico" (e vedremo cosa significa questo discorso) sono stati gli astri più luminosi nel firmamento del potere mondiale.

Poche ore dopo l'accaduto, Janet Reno, ministro della giustizia USA, ha solennemente promesso al mondo la cattura dei "cybercriminali del terzo millennio" (suona bene, nevvero?) Clinton ha esternato le sue stupefatte preoccupazioni. Parlamenti e governi di tutto il mondo si sono accodati ai leader del Nuovo Ordine Mondiale nelle esortazioni a identificare e scongiurare questa nuova minaccia all'umanità.

A questo proposito, si potrebbe anche osservare che forse forse, agli albori del terzo millennio, ci sarebbero per l'umanità dei pericoli un tantinello più gravi di cui preoccuparsi: le guerre di sterminio, l'inquinamento ambientale e lo spreco delle risorse, la miseria, lo sfruttamento e la morte per fame e malattia di centinaia di milioni di uomini donne e bambini...

Problemi che magari non sono così cyberaffascinanti, ma da cui l'umanità - ivi compresi quei due miliardi di persone che in vita loro non hanno mai fatto una telefonata - è magari un po' più afflitta che non dal simpaticone di turno che viola un sito Web per falsificare le parole di Clinton e mettergli in bocca che in rete ci vuole più pornografia, venendo promosso per qualche giorno al rango di spauracchio mondiale. Ma si sa, noi siamo degli irriducibili renitenti al pensiero unico, e siamo così pericolosamente estremisti da credere che i sacri principi del business e della logica del profitto non bastino a giustificare la barbarie e gli orrori del "Nuovo Ordine Mondiale"...

Comunque, retoriche millenariste a parte, le ipotesi sugli autori di questo "vilissimo attentato" si sono sprecate. Si va dalle esilaranti dichiarazioni di Eric Holder (viceministro della giustizia USA) che ha dato la colpa ai genitori americani, che trascurano di sorvegliare i loro vispi pargoletti quando stanno al computer, alle seriose ipotesi dell'FBI sul "nuovo terrorismo elettronico" nato sulla scia del complotto in rete ordito da cospiratori internazionali per fracassare le vetrine di Seattle. Su quest'ultimo punto in particolare si è accanita la stampa, insistendo nel confondere (spesso con fraintendimenti tecnici tanto assurdi quanto divertenti, specie se messi in bocca all'hacker di turno frettolosamente scovato a scopo di intervista) consolidate e tradizionali pratiche di disobbedienza civile in rete quali il "netstrike" o l'invio massiccio di e-mail di protesta con un attacco tipo "distributed denial of service" come quello attuato contro Yahoo! e co.

A questo proposito, dobbiamo essere decisi nel denunciare che dietro "fraintendimenti" del genere può nascondersi il tentativo autoritario di equiparare alcune tecniche di disobbedienza civile - tutto sommato legalitarie - a comportamenti che costituiscono reato penale. Ma dobbiamo anche essere altrettanto decisi nell'affermare che noi non
condanniamo né ci dissociamo a priori da chi decide di "commettere reato" per motivi che ci sembrino politicamente ed eticamente condivisibili, anche se non tutti condividiamo la logica dell'azione individuale e del sabotaggio "mordi e fuggi". Sappiamo troppo bene
quali abusi, orrori ed ignominie possono essere coperti dal manto della legge dello stato perché il suo rispetto ci sembri l'unica o più importante considerazione da fare in circostanze del genere. Se questo suona sgradito a chi ha tentato affannosamente di ricoprire l'hacker col vestito della rispettabilità a tutti i costi - fingendo di scordare o ignorando quanti hacker con la legge hanno avuto problemi in nome della libera circolazione dei saperi e dell'informazione - molto semplicemente non sappiamo che farci.

Ma nemmeno ci interessa giocare agli investigatori da romanzo giallo o rivendicare un movente politico di nostro gusto per un'azione che resta invece aperta a tutte le interpretazioni - vista la totale assenza di ogni dichiarazione o rivendicazione - e sulla quale ogni ipotesi è legittima. Una volta sottolineato che la scelta dei siti da attaccare non sembra casuale (si trattava dei siti maggiormente rappresentativi del commercio elettronico e che avevano visto maggiormente crescere le proprie quotazioni in borsa) e che chi ha compiuto l'attacco ha avuto se non altro la competenza necessaria a non farsi rintracciare, ci interessa innanzitutto prendere in esame quale realtà stia prendendo forma dietro le roboanti dichiarazioni sulla necessità di ripristinare "la sicurezza in rete" dalle quali siamo stati subissati nei giorni successivi.

E una prima realtà da prendere in considerazione, ignorata da quasi tutti, è questa: LE BANCHE USA SAPEVANO IN ANTICIPO DELL'ATTACCO. Secondo una nota dell'Associated Press del 14 Febbraio, il "Financial Services Information Sharing and Analysis Center" (FSISAC) aveva diramato diversi allarmi urgenti agli esperti di sicurezza di varie banche USA almeno quattro giorni prima dell'inizio degli attacchi, indicando anche alcuni indirizzi Internet di macchine compromesse da cui l'attacco sarebbe arrivato. Ma la notizia non è stata trasmessa dalle banche all'FBI o ad altre agenzie di polizia USA.

Va sottolineato che il FSISAC, secondo l'Associated Press, è un centro informazioni riservato, al punto che la sua stessa locazione fisica e l'elenco delle banche che usufruiscono dei suoi servizi - che costano sino a 125.000 dollari - sono tenuti segreti.

Questo centro è stato recentemente sviluppato e potenziato dietro diretto ordine presidenziale e in questa occasione si è dimostrato molto efficace. Le banche hanno potuto tenere segreta la notizia degli imminenti attacchi grazie a una precisa disposizione voluta dal Dipartimento del Tesoro USA, per cui non sono tenute a condividere con gli organismi di polizia statali e federali eventuali notizie e informazioni su reati ottenute attraverso questo sistema di sorveglianza.

I vertici USA hanno ritenuto che qualunque obbligo in questo senso avrebbe disincentivato
le banche ed altri soggetti strategici per l'economia statunitense dall'attrezzarsi per una efficace vigilanza contro "impiegati disonesti, bug nel software, virus ed hacker".

Senza voler commentare se questa notizia possa dare particolare credibilità alle ipotesi di chi ha visto negli attacchi ad Yahoo! etc. una manovra volta a destabilizzare la borsa a fini speculativi, ci pare evidente come essa getti una luce un tantinello diversa sulla stupefazione di Clinton all'indomani degli attacchi. In particolare ci porta a domandare quale senso abbia, ai fini della sicurezza reale, investire milioni di dollari in strutture come il NIPC (National Infrastructure Protection Center, un organismo gestito da FBI ed altre agenzie per la sicurezza delle reti USA contro i reati informatici) se poi a queste strutture non vengono trasmesse le informazioni che erano a disposizione dei più sofisticati centri di sorveglianza USA.

Una seconda realtà da prendere in considerazione è questa: INTERNET, A DIFFERENZA DELLE RETI BLINDATE PER LA GESTIONE DELLE INFORMAZIONI STRATEGICHE DI NATURA ECONOMICA POLITICA E MILITARE, E ' ALTAMENTE INSICURA, e gli alfieri della sicurezza in rete attraverso la repressione lo sanno benissimo, come sanno benissimo che le misure proposte non servono in realtà a modificare questa situazione.

Secondo un rapporto FBI, nell'anno trascorso, il 62% (sissignori, il sessantadue per cento) delle società americane ha subito violazioni degli impianti informatici senza che nessuno gridasse alla minaccia epocale del terzo millennio. Del resto, i programmi usati per l'attacco a Yahoo! e compagni si basano sugli stessi principi che milioni di ragazzini usano in tutto il mondo per fare ai loro coetanei il dispetto di mettergli KO la macchina quando litigano in Internet Relay Chat. L'esistenza di questa possibilità di attacco e dei software utilizzati è nota da anni agli esperti di sicurezza, e ponderose note tecniche su come prevenirle sono da anni disponibili su Internet. Quest'attacco ha quindi svelato a tutti che il re è nudo, ma come nella favola tutti quanti in realtà lo sapevano benissimo da tempo. Allora, come mai questa fragilità?