forum.perlulivo.it

“Un servizio di impareggiabile valore”: così lo Stato aiutava Hacking Team
I rapporti tra l’azienda milanese e i servizi ruotano intorno a due persone: il colonnello Riccardo Russi e il generale Antonello Vitale. E andavano ben oltre lo schema cliente-venditore, tanto che nel 2014 i due aiutano Vincenzetti anche a svelare i piani di due dipendenti in uscita

“Il C ha letteralmente “stanato” MM (e anche GL), ha portato alla luce del sole il loro vero progetto e ha reso all’azienda un servizio di impareggiabile valore”.Bisogna destreggiarsi tra abbreviazioni e termini tecnici, ma nel milione di email di Hacking Team messe in rete da WikiLeaks si scoprono sempre più storie e sempre più dettagli. Come le righe qui sopra, del 28 giugno 2014. Come vedremo, il segno di un’alleanza sorprendente tra lo Stato italiano e la società milanese specializzata in software spioni. Proprio tra maggio e giugno 2014, i servizi avrebbero aiutato David Vincenzetti, ceo di Hacking Team, a fronteggiare una scissione interna e la scelta di due dipendenti di mettersi in proprio.

Il colonnello e il generale, corteggiati
Nel dedalo di email divenute pubbliche con l’attacco informatico subito da Hacking Team il 5 luglio, emergono due figure cardine del rapporto tra l’azienda e i servizi italiani. Sono il colonnello Riccardo Russi e il generale Antonello Vitale. Entrambi sono oggetto di un lungo e continuo corteggiamento da parte di Vincenzetti. Che manda loro notizie sul cybercrimine e offre più o meno direttamente nuovi prodotti e nuovi sistemi. Il 14 dicembre il ceo di Hacking Team scrive ai due: “La nostra tecnologia dev’essere portata avanti al più presto e declinata secondo le esigenze del Governo Italiano. Se vogliamo muoverci dobbiamo farlo ora”.

I contratti e l’aiuto contro il MiSe
Russi e Vitale comunicano tramite le proprie caselle e-mail personali e non quelle istituzionali. Ricostruendo la fitta rete di contatti, restano pochi dubbi: sono loro i contatti della Presidenza del Consiglio che - a novembre 2014 - si adoperano per liberare Hacking Team dai nodi burocratici imposti dal Ministero dello Sviluppo Economico. Obblighi di autorizzazione per l’export, che secondo Vincenzetti avrebbero significato la chiusura della ditta. E che vengono sospesi grazie agli interventi dall’alto. Interessati, certo: è dal 2012 e fino a tutto il 2015 che la Presidenza del Consiglio dei Ministri - cioè i servizi - usano e pagano per decine di migliaia di euro i prodotti di HT.

I due traditori
Ma torniamo a giugno 2014, perché è lì che si intuisce quanto l’aiuto dato ad Hacking Team dai due ufficiali potesse andar oltre i rapporti normali tra cliente e e venditore. I due dipendenti in uscita sono Mostapha Maanna e Guido Landi. Hanno deciso di mettersi in proprio - come fa anche un terzo, Alberto Pelliccione - sfruttando quanto imparato fin lì. Tradiranno Hacking Team vendendone i segreti, secondo la versione di Vincenzetti. Ma i due in qualche modo vengono scoperti dai due ganci governativi dell’azienda, Vitale e Russi. Che si mettono persino a disposizione di Vincenzetti per incastrarli. A inizio maggio Russi incontra due volte Maanna e Landi, si fa spiegare tutto sulla nuova avventura in vista, poi fa rapporto al capo di Hacking Team. Che il 15 maggio convoca tutti i dipendenti e annuncia le dimissioni dei due colleghi “traditori”. E poi a fine giugno esulta, come sopra: “Il C ha letteralmente “stanato” MM (e anche GL), ha portato alla luce del sole il loro vero progetto e ha reso all’azienda un servizio di impareggiabile valore”.

Investigazioni pubbliche per uso privato
Ma se sei il titolare della migliore azienda italiana (e non solo) per spiare pc e telefoni, non può finire così. Perché nel frattempo, appena usciti da Hacking Team, Maanna e Landi creano la MALA srl, con sede a Torino. E allora Vincenzetti torna a chiedere aiuto ai suoi amici potenti. Lo stesso Russi - il 28 giugno - chiede a Vincenzetti del materiale per le proprie indagini: “Quello di cui ho bisogno sarebbe una relazione/resoconto, in ordine cronologico su quanto accaduto, iniziando dalle dimissioni di Pelliccione, la visita del generale, la mia e la successiva scoperta delle precedenti intenzioni del Maanna, fino alle loro dimissioni. Così da poter mettere in ordine cronologico tutti i particolari. Una descrizione sommaria dei danni che due potrebbero arrecare alla hackingteam”. Il giorno dopo, Vincenzetti può esultare ancora, scrivendo a un suo collaboratore, Fabrizio Cornelli: “Due giorni di lavoro di gran lunga più intensi di tanti altri. True life hacking. Ma è per i nostri amici del governo che ora intensificano le attività su alcune persone che frequentavamo”.

Le investigazioni private
Un anno dopo, Hacking Team e Vincenzetti non si sono di certo dimenticati dei due ex colleghi. Loro cercano ancora di fare concorrenza all’ex azienda, ma forse non hanno idea di chi si sono messi contro. In vista di una causa legale da intentare contro i due, a fine aprile 2015 Hacking Team decide di affidarsi a una società di investigazioni private milanese, diretta da Fabio Di Venosa. Maanna e Landi vengono pedinati per 11 giorni tra fine giugno e inizio luglio, come mostrano i resoconti inviati dalla società investigativa. Il costo è di 70 euro all’ora per investigatore. E l’ultimo giorno di sorveglianza è stato il 4 luglio scorso. Come finirà, ora che gli hacker hanno hackerato Haking Team, è davvero impossibile dirlo.

http://www.lastampa.it/2015/07/11/tecno ... agina.html

Parla Vincenzetti, fondatore dell’Hacking Team: “Attaccati da un governo o da chi ha un forte potere economico”
Il manager milanese racconta come la sua società sta gestendo la fuga di dati sensibili e sottolinea: «Noi siamo i buoni»

MASSIMO RUSSO
«Le esperienze che mi è capitato di vivere mi hanno rafforzato. Non temo per la mia incolumità e sono convinto che l’azienda si rimetterà in piedi. Penso che quel che è capitato non sia opera di persone qualsiasi ma che l’attacco, per la sua complessità, debba essere stato condotto a livello governativo o da un’organizzazione che disponeva di fondi molto ingenti».

Alla fine, dopo una settimana di silenzio, venne il giorno della sua verità. David Vincenzetti, 47 anni, il fondatore dell’azienda milanese Hacking Team, accetta finalmente di parlare e di raccontare la propria versione sull’attacco informatico che ha colpito la società. Un’operazione che ha rivelato milioni di documenti custoditi nei server dell’azienda, oltre a parti del codice sorgente di Galileo, la suite che oltre 40 governi usano in tutto il mondo per infiltrarsi nei computer e nei telefoni cellulari di terroristi, trafficanti, criminalità organizzata.

Da Yara all’indagine P4: a rischio centinaia di casi dopo l’attacco informatico - RAPHAEL ZANOTTI

Lo stesso pacchetto che in alcuni casi è stato venduto e utilizzato anche in nazioni non democratiche, come il Sudan, la Libia, L’Etiopia, per mettere sotto sorveglianza oppositori del governo. Oltre 400 gigabyte di informazioni disponibili nei torrent e consultabili su Wikileaks, che da giorni non fanno dormire neppure gli esperti del cyberspionaggio e le polizie di mezzo mondo, incapaci a loro volta di valutare a fondo la portata del danno.

La conversazione si svolge al telefono, in inglese. Vi prende parte anche il portavoce della società Eric Rabe. Le condizioni sono semplici: disponibilità a parlare, a patto di poter decidere cosa potrà andare tra virgolette, senza tuttavia il controllo preventivo dei virgolettati.

“Un servizio di impareggiabile valore”: così lo Stato aiutava Hacking Team - STEFANO RIZZATO

Lunedì 6 luglio
«Alle 3:15 del mattino», racconta Vincenzetti, «sono stato allertato sull’attacco. Subito abbiamo spento il nostro network primario e abbiamo notificato a tutti i nostri clienti l’intrusione, consigliando loro di sospendere l’utilizzo di Galileo [circostanza che la polizia postale ha confermato alla Stampa ndr]. Dalle prime valutazioni sono state copiate alcune parti del codice sorgente di Rcs [remote control system, il nome interno del programma che permette di infettare computer e telefoni bersaglio ndr], documenti, messaggi di posta elettronica». Da quel momento in poi, afferma Vincenzetti, il lavoro di tutta l’azienda si è concentrato sulla valutazione del danno e sul ripristino di una situazione di normalità.

Che si può fare con il codice rubato
i vertici di Hacking team minimizzano, anche se la botta è stata dura. Certo, alcuni dei moduli sottratti e resi pubblici possono essere utilizzati dai bersagli delle investigazioni per verificare se i propri dispositivi siano infetti. Ma solo per poco. «Nel giro di alcuni giorni rilasceremo aggiornamenti in grado di superare il problema». Come per gli antivirus, così anche per Galileo, che in fondo è un virus, l’obsolescenza è molto rapida. «Entro fine anno uscirà poi la versione 10 del software, che supererà totalmente quanto accaduto».

Come è avvenuta l’intrusione
Qui, in uno scatto di orgoglio, Vincenzetti ci tiene a precisare che non è vero, come testimoniano le immagini circolate in rete, che alcune parole segrete del sistema fossero “password”: «Totalmente falso. Dopo quasi 30 anni di lavoro non commetterei mai un’ingenuità simile». Per lo stesso motivo il fondatore di Hacking team ci tiene a sottolineare che a suo parere un’operazione di questa portata può essere stata realizzata «solo a livello governativo. Non si tratta di un’iniziativa estemporanea: l’attacco è stato pianificato per mesi, con notevoli risorse, l’estrazione dei dati ha richiesto molto tempo».
Oltre all’inchiesta della magistratura italiana, commenta Vincenzetti, ce ne sono in corso altre. Ma alla domanda se anche gli Stati Uniti stiano indagando, afferma di non poter rispondere.

Le backdoor in Galileo
«Sono balle», sbotta e ride Vincenzetti. Non è vero che nei nostri programmi ci siano strumenti che ci permettono di monitorare come essi vengano utilizzati dai nostri clienti. «Oltre 40 paesi e 50 agenzie usano la nostra suite e nessuno lo farebbe senza aver prima esaminato ogni riga di codice. Inoltre il sistema funziona secondo il principio della “customer isolation”. Ovvero Hacking team lo installa, rilascia gli aggiornamenti, ma non è in alcun modo in grado di sapere per cosa sia utilizzato.

Secondo i vertici aziendali non è nemmeno vero che oltre a spiare, con l’uso di Galileo si possano inserire nei computer monitorati false prove. «A questo proposito quel che ritengo sia successo», dice Rabe, «è che nel materiale rubato ci siano anche dei file demo che noi utilizziamo per far capire ai clienti come funziona il sistema. Questi potrebbero essere stati scambiati per prove fasulle da scaricare nei pc infettati».

Le relazioni con i regimi extraeuropei
Sì, abbiamo commerciato con la Libia, ammette Vincenzetti, ma «lo abbiamo fatto quando all’improvviso sembrava che i libici fossero diventati i nostri migliori amici. Con la Siria, invece, nessun rapporto, mentre vengono ammesse le relazioni con Egitto e Marocco. Quanto all’Etiopia, «quando abbiamo saputo che Galileo era stato utilizzato per spiare un giornalista oppositore del governo, abbiamo chiesto spiegazioni, e alla fine nel 2014 abbiamo deciso di chiudere la fornitura». Vincenzetti ammette i rapporti con il Sudan ma - anche contro alcune evidenze che emergerebbero dai documenti - insiste a farli risalire a prima del periodo delle normative sul dual use, ovvero sull’impossibilità di fornire a questi governi tecnologie che si prestino sia allo scopo di perseguire i criminali che di scovare gli oppositori.

«Lo scacchiere geopolitico cambia rapidamente, e a volte le situazioni si evolvono. Ma noi non commerciamo in armi, non vendiamo fucili che possono essere utilizzati per anni». Dopo poche settimane senza manutenzione Galileo diventa inutile, perché escono contromisure di continuo. «Noi siamo i buoni», insiste Vincenzetti e - a fronte dei casi citati - tiene a ricordare le centinaia di circostanze in cui i suoi strumenti sono serviti a infiltrare cellule di terroristi dormienti, a «snidare lupi solitari», a risolvere casi di cronaca, a perlustrare la parte oscura della rete, ad avere immagini e informazioni altrimenti impossibili da ottenere. «Disponiamo anche di un modulo di intelligenza artificiale, in grado di prendere decisioni autonome. Ad esempio, in alcune circostanze, di scattare foto attraverso il cellulare quando l’apparecchio viene preso in mano per rispondere, rivelando così il volto dell’utilizzatore dell’apparecchio».

I rapporti con il governo italiano
Nonostante numerose e-mail sembrino testimoniare il contrario, Vincenzetti afferma con sicurezza che «non c’è stata alcuna condotta illecita nel rapporto con Hacking team da parte dei funzionari della presidenza del Consiglio o delle agenzie italiane». Nega le pressioni affinché l’azienda potesse fare affari indisturbata e nega anche anche gli aiuti commerciali. «Spesso andiamo a fiere ed esposizioni, come la conferenza Interpol», riconosce Rabe, «e lì ci possono aver introdotto a potenziali clienti o possono aver testimoniato la loro soddisfazione nell’usare i nostri strumenti, ma nulla più di questo. Nessun illecito». Quanto al supporto ricevuto per individuare dipendenti sleali, non vi sarebbe stato alcun intervento specifico. Per tutelarci, sostengono in Hacking team, «abbiamo assunto consulenti esterni e non ci siamo avvalsi di funzionari pubblici».

Timori per l’incolumità personale
«Non ho alcuna paura», dice infine Vincenzetti, «anche dopo quel che è successo, mi getto tutto alle spalle e vado avanti. Del resto l’anno scorso sono stato vittima di un’intimidazione: hanno sabotato il serbatoio dell’auto, collegando la batteria al serbatoio della benzina. Sei mesi prima un gruppo con le maschere di Anonymous aveva fatto irruzione nei nostri uffici rubando e distruggendo. Ma io sono indistruttibile», conclude in un tono che mescola tranquillità e orgoglio.

Questa è la verità di chi ogni giorno si sente al fronte. «Noi siamo i buoni», insiste Vincenzetti, che si dice «fiero di essere italiano e di poter dare un contributo al paese a combattere i criminali», proprio operando sul confine tra Stato di diritto e illegalità. E - anche se numerosi documenti e associazioni di attivisti cvili, da Citizen lab a Reporter senza frontiere suggeriscono il contrario - la sua convinzione è che quel confine lui e suoi non l’hanno mai superato.
@massimo_russo

RCS, il virus italiano che aiuta i Governi a spiare gli smartphone

Può un trojan spiare legalmente smartphone, tablet, notebook e computer a nostra completa insaputa? La risposta, è sì. Da alcuni anni l’azienda italiana Hacking Team Srl, dalla sua sede di Milano, ha messo a punto un complesso sistema di intercettazione e controllo degli apparati digitali che consente, da remoto, il pieno controllo di un qualsiasi dispositivo informatico: un prodotto tecnologicamente avanzato capace, a detta dell’azienda milanese, di poter violare qualsiasi protezione, dalla semplice password alla crittografia avanzata, consentendo a Governi e agenzie di sicurezza di esercitare un controllo capillare sugli obiettivi sensibili quali criminali, commercianti di droga e di armi, mercanti del sesso, terroristi e più in generale chiunque cerchi di minare la sicurezza nazionale di un Paese.

Da qui, i primi dubbi sollevati da alcune agenzie internazionali per la difesa della privacy e dei diritti umani: chi sono i clienti effettivi di Hacking Team? Quali garanzie impediscono a questi software di essere venduti a Paesi “sospetti” per spiare (e controllare) oppositori politici, partiti avversari e attivisti?

Il trojan Remote Control System (RCS): controllo totale sui dispositivi

rcs3Il funzionamento del trojan è di per sé molto semplice. Una volta commissionato, il software viene confezionato su misura e preparato per il contagio. Individuato l’obiettivo (da uno fino a centomila, monitorabili contemporaneamente da remoto, come indicato nella brochure informativa sul sito di Hacking Team), il Governo acquirente è libero di sferrare l’attacco alle sue vittime: il software maligno aggredisce il device bersaglio attraverso varie strategie di contagio (dall’invio di un allegato malevolo alla ricezione di un pacchetto autoinstallante), permettendo a quel punto il controllo completo del dispositivo attaccato.

Le possibilità fornite da RCS (fornito ai Governi con il nome commerciale “Galileo” o “Da Vinci”) sono molteplici: controllo del microfono e della fotocamera per acquisire immagini, video e registrazioni vocali, libero accesso alla rubrica e alla cronologia delle chiamate, registrazione delle mail e dei messaggi in entrata/uscita, localizzazione gps del device (con conseguente registrazione degli spostamenti del bersaglio), accesso a tutti i file contenuti sul disco e alla rete wi-fi, con cui scambiare in tempo reale tutti i dati utili per il monitoraggio. Il tutto a prescindere dal sistema operativo impiegato dal bersaglio: RCS è applicabile in ambiente Windows, OSX, Linux, Android, iOS, Blackberry, Windows Phone e Symbian.

RCS: come funziona

rcs6Secondo uno studio pubblicato il 17 febbraio 2014 dal laboratorio Citizen Lab dell’Università di Toronto, a firma dei ricercatori Bill Marczak, Claudio Guarnieri, Morgan Marquis-Boire, e John Scott-Railton, il sistema di monitoraggio messo a punto da Hacking Team utilizzerebbe un’infrastruttura di livello globale per lo scambio dei dati, facendoli “rimbalzare” all’interno di oltre 350 di server sparsi in tutto il mondo per far perdere le proprie tracce.

Lo schema è simile a quello utilizzato dalla rete Tor per mantenere l’anonimato: i dati viaggiano attraverso una serie di proxy nascosti veicolando le informazioni sottratte ai bersagli, rendendo impossibile ricostruirne il percorso per risalire alle generalità del bersaglio e a quelle del committente. Esaurito il percorso all’interno dei proxy, tutte le informazioni vengono veicolate all‘endpoint, il punto di destinazione che coincide con il Paese committente delle informazioni.

Sulla base degli studi condotti dal Citizen Lab, almeno 21 Governi mondiali sarebbero stati coinvolti nell’utilizzo di questa tecnologia: Azerbaijan, Colombia, Egitto, Etiopia, Ungheria, Kazakistan, Corea, Malesia, Messico, Marocco, Nigeria, Oman, Panama, Polonia, Arabia Saudita, Sudan, Thailandia, Turchia, Emirati Arabi Uniti, Uzbekistan, Italia.

I server, invece, secondo quanto pubblicato dagli studi dei Kaspersky Lab risulterebbero oltre 350 sparsi in 40 nazioni diverse fra cui spiccano per concentrazione Stati Uniti (64 server), Kazakistan (49), Ecuador (35) e Regno Unito (32). Il tutto, ovviamente, si svolge a completa insaputa degli utenti controllati: il contagio da RCS avviene in modo silente, senza mostrare alcun segno di allarme. La stessa durata delle batterie dei dispositivi, uno dei principali segnali di contagio da software malevoli, risulta pressochè inalterata da quella registrabile in un dispositivo “sano”.

RCS: i primi casi di obiettivi politici

rcs5

In un rapporto, Human Rights Watch ha infatti contattato Hacker Team chiedendo lumi sul caso dell’emittente satellitare etiope Esat. Costituita da giornalisti e oppositori politici esiliati dall’Etiopia, la tv trasmette attualmente da alcuni Paesi europei (con studi ad Amsterdam e Londra): nel dicembre 2013 i server di Esat furono bersagliati da un violento attacco informatico sferrato da un trojan attraverso Skype. Secondo le ricostruzioni fornite dal Citizen Lab di Toronto, il trojan sarebbe stato simile e verosimilmente riconducibile allo stesso RCS commercializzato dall’azienda milanese.

Il presunto rapporto con il Governo etiope non è l’unico caso di collaborazione “sospetta” sollevato da attivisti e associazioni internazionali. Sempre secondo quanto denunciato in un rapporto dal Citizen Lab, episodi documentati di utilizzo di RCS sarebbero stati registrati negli ultimi due anni in Marocco, contro l’organizzazione giornalistica “Mamfakinch” oppositrice del Governo, e ai danni dell’attivista per i diritti umani Ahmed Mansoor imprigionato negli Emirati Arabi con l’accusa di oltraggio al Presidente in carica.

Ombre davanti alle quali l’organizzazione Privacy International, nel febbraio 2014, ha inoltrato una lettera ufficiale di chiarimento al Governo Italiano, nella persona del Ministro dello Sviluppo Economico Federica Guidi e per conoscenza al Presidente della Regione Lombardia Roberto Maroni.

Nel contenuto della missiva vengono richiesti chiarimenti circa l’operato di Hacking Team e del presunto utilizzo dei software di controllo all’interno dei casi evidenziati in Marocco, Etiopia, Arabia Saudita e Sudan. Quest’ultimo Paese, si legge nella lettera, “attualmente sottoposto a una serie di restrizioni da parte dell’Unione Europea, che includono un embargo sulle armi, ha anche esso ottenuto tecnologie per la sorveglianza dalla Hacking Team”. Da qui la richiesta di chiarimenti al Governo italiano e una richiesta, quella di uniformarsi al regolamento europeo sull’esportazione di prodotti a uso sia civile che militare, in considerazione del fatto che quelle tecnologie sollevano gravi preoccupazioni in tema di diritti umani.

La difesa di hacking Team

rcs2A fronte delle critiche e delle ipotesi avanzate negli anni, la replica di Hacking Team è sempre stata la medesima: “non vendiamo i nostri software a privati o aziende private ma esclusivamente a Governi e Agenzie governative, e mai in Paesi che violano i diritti umani, risultano sotto embargo o che sono nelle liste nere di Stati Uniti, Unione Europea, Nazioni Unite e Associazione delle nazioni del sud est asiatico. Passiamo in rassegna tutti i potenziali clienti prima di una vendita, per determinare che non vi sia evidenza oggettiva o supposta che le nostre tecnologie possano essere impiegate per violare i diritti umani delle persone.

Abbiamo inoltre istituito un team di tecnici esperti e consulenti legali, unico nel nostro settore, capace di esaminare preventivamente i potenziali clienti. Hacking Team sostiene di avere al proprio interno un organismo di controllo chiamato a verificare ogni singolo cliente: la vendita delle tecnologie informatiche è subordinata al rispetto di una serie di requisiti fondamentali, come il mancato inserimento di una nazione nelle Black-list di Stati Uniti, Unione Europea, ONU o la garanzia che il Governo di turno non abbia al suo attivo casi comprovati di violazioni dei diritti umani. In ogni contratto, inoltre, chiediamo ai nostri clienti di rispettare il diritto vigente e ci riserviamo il diritto di sospendere il contratto qualora i nostri termini vengono violati, rendendo così immediatamente inutilizzabile il servizio”.

Garanzie e rassicurazioni fornite esclusivamente sulla parola, considerata l’impossibilità per un organismo indipendente di condurre una verifica e lo stretto riserbo vigente sui contratti siglati da Hacking Team.

http://www.alground.com/site/rcs-virus- ... hone/38925

-----

nota:
il trojan si attiva solo dopo aver bucato il sistema. Per dargli filo da torcere occorre avere una PASSWORD ROBUSTA.
Per capire quando una password è ben costruita ci si può appoggiare a tools facilmente trovabili in rete come ad esempio:
http://www.passwordmeter.com/

Mit: l'"occhio" dei governi peggiora la cyber-sicurezza

ROMA - Fornire ai governi libero accesso ai dati criptati mette seriamente a rischio la cyber-sicurezza. Secondo lo studio guidato da Daniel Weitzner, dell'Istituto di Tecnologia del Massachussetts (Mit), e pubblicato su DSpace, fornire questa possibilità sarebbe come lasciare le chiavi di casa sotto lo zerbino: un espediente comodo, ma molto pericoloso. L'analisi rafforza i timori sull'aumento dei pericoli della rete già evidenziati dal grave attacco hacker subito dall'azienda italiana Hacking Team, che fornisce software di sorveglianza ai governi.

Da mesi molti governi occidentali, in particolare Usa e Gran Bretagna, spingono per aumentare i poteri sulla rete delle forze dell'ordine, in particolare per renderle capaci di accedere, previa autorizzazione, a dati crittografati che possano aiutare a combattere criminalità e terrorismo. Al di là delle questioni etiche e politiche i ricercatori del Mit spiegano che questi maggiori poteri si tradurrebbero però in un'arma a doppio taglio. Il rapporto sostiene che tali meccanismi pongono rischi per la sicurezza di gran lunga più gravi, tanto da mettere in pericolo l'innovazione su cui dipendono le economie mondiali.

Secondo i ricercatori, le proposte avanzate da molte agenzie, come Fbi, peggiorerebbero la già traballante sicurezza informatica. Uno dei punti deboli sarebbe in particolare la richiesta che i sistemi informatici garantiscano alle forze dell'ordine l'accesso di tutte le informazioni crittografate memorizzate. Questo vorrebbe dire quindi registrare tutte le 'chiavi' necessarie ad aprire i documenti criptati. "Sarebbe come raccogliere - - ha spiegato Daniel Weitzner, uno degli autori - tutti i documenti sensibili e al posto di distruggerli lasciarli sul tavolo di un ufficio aperto". Queste politiche aprirebbero pericolosissime falle nella sicurezza del cyber-mondo. "Sarebbe come lasciare le chiavi di casa sotto lo zerbino", ha aggiunto Weitzner. "Può essere conveniente, ma allo stesso tempo diamo modo a chiunque di entrare in casa nostra".

http://www.repubblica.it/tecnologia/sic ... 118641883/

Benvenuti in Unione Sovietica.

trilogy ha scritto:Uno dei punti deboli sarebbe in particolare la richiesta che i sistemi informatici garantiscano alle forze dell'ordine l'accesso di tutte le informazioni crittografate memorizzate. Questo vorrebbe dire quindi registrare tutte le 'chiavi' necessarie ad aprire i documenti criptati.

Eppure rimane il fatto che terroristi e malavita organizzata usano la crittografia (non solo nelle comunicazioni) per mettere al sicuro i loro dati. E poiché i dati crittografati sono inviolabili (ci vuole troppo tempo per craccare una chiave) l'unico modo per accedere ai dati è avere le chiavi. Non vedo soluzione. O la magistratura ha le chiavi, e le usa quando ci sono legittimi casi per usarle, oppure banditi e terroristi sono al sicuro.
Lo stato ha già il monpolio della forza, delle armi e della possibiltà di imprigionare. Il tutto perché è stato ritenuto che fosse meglio dare questo potere allo stato e non a tutti (fanno eccezione gli USA per le armi). Una cosa che come sappiamo contempla la possibilità di abusi da parte degli uomini dello stato. Si tratta come sempre di pesare i due rischi: a) rischio di abuso da parte dello stato; b) possibilità piu' concreta di abuso da parte di malviventi e terroristi.

Una prima domanda: secondo voi i banditi cosa propongono?

In effetti, solo un update della possibilità di intercettazione.
Che facciamo?
Restiamo ai piccioni viaggiatori mentre i messaggi viaggiano via radio?

franz ha scritto:....Eppure rimane il fatto che terroristi e malavita organizzata usano la crittografia (non solo nelle comunicazioni) per mettere al sicuro i loro dati. E poiché i dati crittografati sono inviolabili (ci vuole troppo tempo per craccare una chiave) l'unico modo per accedere ai dati è avere le chiavi. Non vedo soluzione. O la magistratura ha le chiavi, e le usa quando ci sono legittimi casi per usarle, oppure banditi e terroristi sono al sicuro. ..

Sai che la crittografia viene ormai utilizzata per tutto e da tutti: banche, governi, polizie, uffici dipomatici, ospedali. anagrafe, aziende, centri di ricerca ecc. Una volta che rendi pubbliche le chiavi, o introduci sistemi per violarle prima o poi ne perdi il controllo. Ormai gli abusi non sono l'eccezione ma la regola, con ricadute gravissime per la libertà di tutti.

Questo lungo articolo de La Stampa è istruttivo:
Intelligence o panini? La doppia vita di Hacking Team

http://www.lastampa.it/2015/07/14/tecno ... agina.html

[..]trattative per vendere una nuova tecnologia al governo italiano, e su cui c’è il massimo riserbo da parte dei vertici aziendali, al punto che molti dipendenti non ne sarebbero neanche al corrente. Si tratta di uno strumento per riuscire a “bucare” le comunicazioni che passano per la rete anonima e cifrata Tor, bestia nera di tutte le intelligence mondiali (ne abbiamo parlato qua). Una tecnologia che deve essere portata avanti al più presto – scrive Vincenzetti ai suoi contatti militari – e “declinata secondo le esigenze del governo italiano”. Anche perché, nota Vincenzetti, anche altre aziende ci stanno lavorando, tra cui lo stesso partner israeliano NICE Systems.[..]

Secondo una fonte con una conoscenza diretta di Hacking Team e del suo software, che preferisce non essere nominata, il rapporto con le intelligence è di vecchia data (oltre a quello con la Postale italiana). E l’interesse verso le polizie sarebbe stato spinto anche dall’esigenza di ampliare il mercato. Ma lavorare per gli uni o per gli altri ha implicazioni diverse anche da un punto di vista dell’architettura del software.“Lavorare con l’intelligence ha dei vantaggi - commenta la fonte – perché questa è fondamentalmente al di là della legge, e quindi non devi garantirle l’integrità dei dati raccolti, cioè che le prove acquisite non siano alterabili (in gergo, chain of proof). Invece le polizie hanno una serie di vincoli giudiziari e in alcuni casi possono chiederti che sia disabilitata la possibilità di caricare dati sul pc indagato (per limitare il rischio di inquinamento o di fabbricazione di prove, ndr), come aveva chiesto proprio ad Hacking Team la Dea americana. Se disabiliti questa possibilità di caricare dati nel pc target e fai in modo di “firmare” le prove raccolte, hai alcune garanzie, sebbene non totali”.

trilogy ha scritto:Sai che la crittografia viene ormai utilizzata per tutto e da tutti: banche, governi, polizie, uffici dipomatici, ospedali. anagrafe, aziende, centri di ricerca ecc. Una volta che rendi pubbliche le chiavi, o introduci sistemi per violarle prima o poi ne perdi il controllo. Ormai gli abusi non sono l'eccezione ma la regola, con ricadute gravissime per la libertà di tutti.

Appunto: banche. A me pare che sui media (ed anche qui) si discuta senza minimamente sapere di cosa si sta parlando.
Anche in banca ci sono chiavi il cui accesso è protetto in maniera rigorosa ma questo non impedisce il fatto che un tecnico, alle 4 di notte, necessitato ad usare una chiave per risolvere un problema che non risolto creerebbe danni per milioni, lo puo' fare senza svegliare mezza banca. Semplicemente esistono protocolli che lasciano traccia e che richiedono autorizzazioni che a loro volta lasciano traccia. Chiavi per accedere a chiavi. Troppo complesso per essere discusso (e capito) sui media normali.
I media hanno solo interesse a fare casino, per riempire pagine. Tecnicamente a questi problemi gli esperti trovano soluzioni, che sono adottate da decenni.