Ci sono ancora tanti, troppi tecnici informatici che non hanno capito che mettere online un computer per poterlo comandare a distanza è una gran comodità, ma che non proteggerlo con una password e confidare invece nel fatto che nessuno al di fuori di lui (o lei) ne conosce l’indirizzo IP è una pessima idea. È una pessima idea perché esistono servizi automatici di ricerca, come Shodan, che esplorano sistematicamente tutti gli indirizzi IP di Internet e quando trovano un computer o un altro dispositivo accessibile lo segnalano pubblicamente. A quel punto il dispositivo è alla mercé del primo che passa.Qualche sera fa ho trovato su Shodan un PC Windows che faceva girare Virtual DJ (un programma che fa da mixer per DJ da discoteca). Incuriosito, l’ho tenuto sotto osservazione per un po’ in un angolo del mio monitor e mi sono accorto che non solo era visibile via Internet da chiunque senza dover digitare alcuna password, ma era comandabile. Era sufficiente immettere il suo indirizzo IP in una normale applicazione per la manutenzione remota, come VNC, per vedere cosa faceva il DJ e soprattutto per interferire con il suo lavoro, spegnendogli l’applicazione, cambiandogli a casaccio i brani o andando a sfogliare le cartelle contenenti immagini e altri dati personali. Che è quello che stavano facendo in tanti, con conseguente disperazione del DJ che vedeva che il computer sembrava posseduto e pazientemente cercava di rimettere a posto le cose dopo ogni incursione.
Così ho provato ad aiutarlo: non potendo rintracciare le sue coordinate di mail o telefono senza frugare nei suoi dati personali, ho lanciato Blocco Note sul suo PC e gli ho lasciato un messaggio sullo schermo.
“Ehilà, questo è un consiglio amichevole da parte di tutti su Internet. Non dovresti lasciare un PC accessibile a chiunque tramite VNC senza una password. Chiunque può trovare l’indirizzo IP del tuo PC e pasticciarci. Buona giornata.”
Sono passate alcune ore e il computer è rimasto accessibile. Per fortuna gli altri visitatori, vedendo il mio messaggio, hanno lasciato in pace il computer: un raro momento di galateo in Rete. Ma c’era il rischio che qualcuno meno rispettoso facesse devastazioni, per cui ho insistito.
“FAI QUALCOSA”, gli ho scritto. A quel punto il DJ si è reso conto che il computer non era posseduto dal demonio (o da un driver bislacco di Windows) ma che un altro essere umano stava cercando di comunicare con lui scrivendo dentro Blocco Note e ha capito che poteva usare quest’applicazione come sistema di chat improvvisato. Ha digitato qualche lettera e l'ho incoraggiato: “Sì, possiamo chattare se vuoi”. La sua risposta: “Sistemerò domani. Al momento non posso. Per favore smetti.”
Gli scritto che io lo avrei lasciato in pace, ma che altri avrebbero potuto continuare a far danni se non decideva di mettere una password di protezione. Mi ha risposto che il computer non era il suo, era della ditta, e che queste cose doveva farle il tecnico informatico. Che, mi è venuto da pensare, sta decisamente rubando lo stipendio se è così stupido da impostare un PC per la manutenzione remota senza mettergli almeno uno straccio di password.
Abbiamo chattato ancora un po'. Mi sono presentato e lui mi ha raccontato che è un DJ in California e che le incursioni degli internauti che trovavano il suo PC incustodito gli avevano “completamente mandato a p****e la serata”. Gli ho spiegato che non ero stato io.
Pochi minuti dopo ho visto che è stata finalmente impostata una password sulla sessione di controllo remoto del PC e da quel momento il computer non è più stato accessibile. Un utente salvato, anche se in maniera un po’ brutale, ma quanti altri computer ben più delicati sono in queste stesse condizioni? A giudicare dai risultati pubblicati su Twitter, tantissimi. Ecco due esempi fra i tanti che chiunque può trovare con Shodan o altri mezzi:
Se avete computer in gestione remota via Internet, imparate dalle disavventure del DJ californiano e proteggeteli almeno con una password e con una sessione cifrata, come descritto nel manuale di VNC. Non fate l’errore di pensare che un indirizzo IP sia un segreto.
Nessun commento:
Posta un commento