Mentre mancano prove di un ascolto generalizzato delle nostre conversazioni da parte degli smartphone, sappiamo invece con certezza che parte delle nostre conversazioni viene carpita dagli assistenti vocali, come Alexa, Cortana, Siri o l’Assistente Google. 

Il funzionamento di questi assistenti vocali, infatti, prevede esplicitamente che vengano registrati e trasmessi alle rispettive case produttrici tutti i suoni ambientali captati dai loro microfoni appena prima e appena dopo che è stata pronunciata la wake word o parola di attivazione (“Alexa” o “OK, Google”, eccetera): i comandi, infatti, vengono interpretati dai computer remoti di queste case produttrici, non dal dispositivo locale.

A volte questi assistenti credono di aver sentito la wake word quando in realtà è stato detto qualcos’altro e quindi può capitare che prendano degli spezzoni di conversazione privata e li mandino a Google, Amazon, Microsoft o Apple, dove possono essere archiviati e ascoltati da alcuni dipendenti di queste aziende (se la cosa non vi piace, potete chiedere l’eliminazione delle registrazioni). Ma a parte questi incidenti, non effettuano intercettazioni generalizzate e di massa.

Anche così, comprensibilmente molti utenti non vogliono correre il rischio di avere orecchie indiscrete in casa, per esempio nei momenti intimi o durante incontri professionali confidenziali, per cui rifiutano di installare Alexa e simili in casa o in ufficio. 

Però un assistente vocale è spesso molto comodo. I problemi di riservatezza e sorveglianza sparirebbero ce ne fosse uno che fa il riconoscimento vocale in locale, senza mandare spezzoni della nostra voce a nessuno e cancellandoli automaticamente dal dispositivo dopo che sono stati usati. Amazon ha presentato proprio questa possibilità pochi giorni fa: sarà disponibile “prossimamente”, perlomeno per gli utenti statunitensi (video, a 00:4:50).

Purtroppo questa opzione riguarda soltanto i dispositivi più recenti di Amazon, dotati di processore AZ1 Neural Edge e quindi è disponibile soltanto sugli Echo di quarta generazione, sull’Echo Show 10 e sui dispositivi futuri. Non sarà disponibile sui dispositivi precedenti.

È comunque un buon segno: la privacy aumenta e in più i tempi di risposta diventano più brevi grazie al fatto che il riconoscimento dei comandi avviene localmente invece di dover registrare la voce e mandarla via Internet a computer remoti che poi restituiscono l’azione corrispondente.

Fonti aggiuntive: The Verge, Engadget.

La Bundesnetzagentur, l’agenzia governativa tedesca per le infrastrutture, ha annunciato lunedì scorso che in Germania gli smartwatch per bambini che hanno una funzione di ascolto e monitoraggio a distanza sono proibiti e vanno distrutti, perché sono l‘equivalente di una microspia.

Le indagini dell’agenzia hanno infatti scoperto che i genitori li stavano usando per origliare gli insegnanti durante le lezioni a scuola.

L’agenzia ha spiegato che i genitori possono inoltre usare questi smartwatch, dotati di carta SIM, per ascoltare di nascosto i bambini e l’ambiente in cui si trovano. Tramite un’app, possono comandare questi orologi in modo che chiamino un numero telefonico desiderato senza che se ne accorga chi li indossa o chi sta nelle vicinanze e così intercettare le conversazioni: queste funzioni sono proibite secondo la legge tedesca.

La Bundesnetzagentur raccomanda in particolare alle scuole di fare molta attenzione agli studenti che indossano smartwatch dotati di funzioni di ascolto e ordina a chi li ha comprati di distruggerli e di mandare all’agenzia una prova dell’avvenuta distruzione, seguendo queste istruzioni.

Non è la prima volta che un dispositivo smart viene proibito dalle autorità o sconsigliato dalle associazioni di difesa dei consumatori o dagli esperti d’informatica a causa di queste funzioni di sorveglianza nascosta: nel 2016 era successo con alcuni robot e bambole e a marzo 2017 era capitato con i CloudPets.

Il presidente della BNA, Jochen Homann, ha detto che “l’ambiente dei bambini va protetto”, anche perché una ricerca di un’associazione di difesa dei consumatori norvegese ha scoperto che molti di questi smartwatch non hanno alcuna protezione informatica e quindi possono essere abusati facilmente da sconosciuti per pedinare i bambini, parlare con loro di nascosto e scattare foto.

Decifrare le comunicazioni di un computer semplicemente toccandolo con le dita: se uno scenario del genere fosse proposto al cinema o in una serie TV, probabilmente verrebbe liquidato come un altro esempio delle assurdità partorite dagli sceneggiatori a corto di idee. Ma sull'MIT Technology Review è stato segnalato un articolo proveniente dalla Tel Aviv University e intitolato Leva le mani dal mio laptop (Get Your Hands Off My Laptop), che spiega in dettaglio come è possibile usare il semplice tocco per decodificare le chiavi crittografiche che proteggono i dati di un computer.

In pratica, si tocca con un filo elettrico (o, più disinvoltamente, con le mani preferibilmente sudate, così conducono meglio la corrente elettrica) una parte del computer che conduce corrente, come le alette di raffreddamento, la schermatura delle porte USB, Ethernet, VGA, HDMI e simili, oppure uno dei cavi che collegano il computer a una periferica.

In questo modo, usando appositi strumenti di cattura e amplificazione (può bastare uno smartphone con qualche semplice accessorio), si capta e si misura la corrente che circola nel computer, che non è fissa, ma varia in base ai calcoli che il computer sta facendo istante per istante. L'analisi di queste variazioni di corrente permette di estrarre le chiavi di cifratura RSA in pochi secondi e quindi decifrare tutte le comunicazioni cifrate del computer.

Inquietante, ma le contromisure sono comunque piuttosto semplici: quella ovvia è non permettere a nessuno di toccare il computer, anche se questo non sempre è facile. Secondo gli esperti dell'MIT Technology Review, è possibile evitare questi attacchi aggiungendo dati casuali alle attività di calcolo.

Fonte: HowStuffWorks.com

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Una delle dicerie più diffuse a proposito delle tecniche per difendersi dalle intercettazioni raccomanda di rimuovere la batteria dal telefonino per evitare che il dispositivo possa essere usato come microspia ambientale. Secondo le considerazioni tecniche presentate da Stackexchange, tuttavia, questa precauzione potrebbe non bastare ed è inutilmente complicata.

Alcuni telefonini, infatti, contengono una seconda batteria seminascosta, molto più piccola di quella principale, che serve per alimentare l'orologio interno (il chip di clock, in gergo). In teoria, questa batteria (mostrata a destra nella foto qui accanto insieme ad un altoparlante e a un microfono di cellulare), oppure un condensatore, non è sufficiente a trasmettere un segnale radio cellulare tradizionale, ma potrebbe alimentare non solo l'orologio ma anche altri circuiti del telefonino, almeno per brevi periodi.

Per esempio, potrebbe alimentare soltanto il microfono, un processore e una memoria nella quale registra una conversazione; la registrazione verrebbe inviata all'ipotetico sorvegliante in seguito, quando viene ricollegata la batteria principale e il telefonino si riconnette alla rete cellulare.

Questi scenari possono sembrare fantascientifici, ma va considerato che nascondere una funzione del genere sarebbe relativamente semplice, dato che gli schemi circuitali dei telefonini sono difficili da esaminare in dettaglio e non sono pubblicamente documentati, e che Edward Snowden, in un'intervista trasmessa dall'emittente statunitense NBC, ha dichiarato che l'NSA può accendere uno smartphone “anche quando il dispositivo è spento” (“They can absolutely turn them on with the power turned off to the device”). Bisogna capire cosa s'intende per “spento”, dato che gli smartphone hanno vari livelli di spegnimento, e inoltre spegnerli premendo il tasto d'alimentazione è diverso dal rimuoverne la batteria.

Se volete sapere se il vostro telefonino contiene questa batteria supplementare, potete mettere il telefonino in modalità aereo, segnare l'ora esatta indicata dal dispositivo, spegnere il telefonino, togliere la batteria e la SIM e aspettare circa cinque minuti. Passati questi minuti, potete rimettere a posto la batteria (ma non la SIM) e riaccendere il telefonino, che dovrebbe restare automaticamente in modalità aereo e quindi non può ricevere dalla rete cellulare il segnale dell'ora esatta. Guardate che ora indica il telefonino: se è ancora esatta, vuol dire che qualcosa ha tenuto alimentato il suo orologio interno.

Complicato, vero? C'è per fortuna una precauzione meno complicata: lasciare altrove il telefonino.

Ho iniziato qualche tempo fa una collaborazione con Agenda Digitale, per la quale ho scritto, oltre a un articolo sui presunti nativi digitali, questo articolo su cos'altro ci possiamo aspettare dalle rivelazioni di Snowden.

Finora abbiamo visto intercettazioni e infezioni targate NSA, ma perché fermarsi lì, al livello del software? Sarebbe molto pratico invece raggiungere il livello hardware, alterando i componenti in modo che abbiano già la spia a bordo, per così dire. E in effetti qualcosa in questo senso è già stato fatto. Magari l'articolo v'è sfuggito durante la frenesia natalizia, per cui ve lo segnalo di nuovo.

Mikko Hypponen, di F-Secure, ha tenuto recentemente a Bruxelles un TED Talk nel quale ha messo bene in chiaro, con la competenza di chi lavora da anni nel settore della sicurezza informatica, le vere implicazioni del Datagate e di qualunque programma di sorveglianza preventiva di massa.


Il video è già stato tradotto e sottotitolato da Anna Cristina Minoli e Alessandra Tadiotto, ma con l'aiuto di Luigi Rosa mi sono permesso di sistemare qualche refuso e presentare qui il discorso di Hypponen nella sua interezza, perché merita davvero ed è ricco di spunti per riflessioni profonde e amare, non soltanto sull'informatica, ma sul senso profondo di cosa intendiamo per democrazia e libertà. È un discorso tecnico che finisce per essere politico nell'accezione più nobile di questo termine, spesso annacquato dai teatrini di alcuni commedianti.

Anna, Alessandra, se leggete queste righe e concordate con le nostre modifiche, usatele pure: questo testo è liberamente condivisibile. Per tutti: se trovate refusi o avete traduzioni migliori, segnalatele nei commenti. E se siete d'accordo con quello che ha detto Hypponen, fate circolare le sue idee.

Mikko Hypponen: Come l'NSA ha tradito la fiducia del mondo. È ora di agire

Le due invenzioni più grandi della nostra generazione sono probabilmente Internet e il telefonino. Hanno cambiato il mondo. Eppure, un po' a sorpresa, si sono anche rivelate gli strumenti perfetti per lo stato di sorveglianza. È emerso che la capacità di raccogliere dati, informazioni e connessioni su praticamente chiunque di noi e su tutti noi è proprio quella che abbiamo sentito per tutta l'estate attraverso le rivelazioni e le fughe di notizie riguardanti le agenzie di intelligence occidentali, in gran parte agenzie di intelligence statunitensi, che sorvegliano il resto del mondo.

Ne abbiamo sentito parlare a cominciare dalle rivelazioni del 6 giugno scorso. Edward Snowden ha cominciato a far trapelare informazioni, informazioni classificate top secret, provenienti dalle agenzie di intelligence statunitensi, e abbiamo cominciato a conoscere cose come PRISM, XKeyscore e altre. E questi sono esempi del tipo di programmi che le agenzie di intelligence statunitensi stanno impiegando in questo momento contro il resto del mondo.

E se ripensate alle previsioni sulla sorveglianza espresse da George Orwell, beh, viene fuori che George Orwell era un ottimista.

(Risate del pubblico)

Stiamo assistendo ora a tracciamenti di singoli cittadini su scala molto più vasta di quanto Orwell avrebbe mai potuto immaginare.

Questo è il famigerato centro dati della NSA nello Utah. Aprirà prossimamente e sarà sia un centro di supercalcolo che un centro di archiviazione dati. Potete immaginarlo come una sala immensa, piena di dischi rigidi per l'immagazzinaggio dei dati che stanno raccogliendo. È un edificio piuttosto grande. Quanto grande? Posso darvi i numeri – 140 000 metri quadrati – ma questo non vi dice molto. Forse è meglio immaginarlo con un termine di paragone. Pensate al più grande negozio IKEA in cui siate mai stati. Questo è cinque volte più grande. Quanti dischi rigidi ci stanno in un negozio IKEA? Giusto? È piuttosto grande. Stimiamo che la sola bolletta dell'elettricità per far funzionare questo centro di archiviazione dati sarà dell'ordine delle decine di milioni di dollari all'anno. E questo tipo di sorveglianza a tappeto significa che è possibile raccogliere i nostri dati e conservarli sostanzialmente per sempre, conservarli per lunghi periodi di tempo, conservarli per anni, per decenni. Questo crea dei rischi completamente nuovi per tutti noi. Questa è sorveglianza a tappeto, globale, di tutti.

Beh, non esattamente di tutti, perché l'intelligence americana ha solo il diritto legale di monitorare gli stranieri. Possono monitorare gli stranieri quando le connessioni dati degli stranieri terminano negli Stati Uniti o passano per gli Stati Uniti. Sorvegliare gli stranieri non sembra tanto grave, finché non ci si rende conto che io sono uno straniero e voi siete degli stranieri. Di fatto, il 96 per cento del pianeta è abitato da stranieri.

(Risate del pubblico)

Giusto?

Quindi è in effetti una sorveglianza a tappeto, globale, di tutti noi, tutti noi che usiamo le telecomunicazioni e Internet.

Ma non fraintendetemi: ci sono dei tipi di sorveglianza che vanno bene. Amo la libertà, ma anch'io riconosco che certa sorveglianza va bene. Se le forze dell'ordine stanno cercando di trovare un assassino, o catturare un signore della droga o prevenire una sparatoria in una scuola, e hanno delle piste e un sospettato, va benissimo che intercettino le telefonate di questo sospettato e le sue comunicazioni via Internet. Questo non lo metto affatto in discussione.

Ma non è di questo che si occupano i programmi come PRISM. Non hanno nulla a che vedere con la sorveglianza di persone per le quali ci sono buone ragioni per sospettare che abbiano commesso qualche reato, ma sono sorveglianza di persone che loro sanno essere innocenti.

Quindi le quattro grandi argomentazioni a sostegno di questo tipo di sorveglianza sono: prima di tutto, non appena si comincia a discutere di queste rivelazioni, ci sono quelli che negano cercando di minimizzare l'importanza di queste rivelazioni, dicendo che sapevamo già tutto, sapevamo che stava accadendo, non c'è niente di nuovo. E non è vero. Non lasciatevi dire da nessuno che lo sapevamo già, perché non lo sapevamo. Le nostre peggiori paure potevano essere qualcosa del genere, ma non sapevamo che stava accadendo. Ora sappiamo per certo che sta accadendo. Non lo sapevamo. Non sapevamo di PRISM. Non sapevamo di XKeyscore. Non sapevamo di Cybertrans. Non sapevamo di DoubleArrow. Non sapevamo di Skywriter -- tutti questi programmi diversi gestiti dalle agenzie di intelligence statunitensi. Ma ora lo sappiamo.

E non sapevamo che le agenzie di intelligence degli Stati Uniti si spingessero al punto di infiltrare organismi di normazione per sabotare intenzionalmente gli algoritmi di cifratura. Questo significa prendere una cosa sicura, un algoritmo di cifratura che è così sicuro che se lo usate per criptare un singolo file, nessuno può decifrare quel file. Anche se prendono ogni singolo computer del pianeta solo per decifrare quel singolo file, ci vorranno milioni di anni. In sostanza è perfettamente sicuro, inattaccabile. Una cosa di quel livello viene presa e indebolita di proposito, con il risultato di renderci tutti meno sicuri. Un equivalente nel mondo reale sarebbe che le agenzie di intelligence imponessero un PIN segreto in tutti gli antifurto di ogni singola abitazione in modo da poter entrare in ogni singola casa. Perché sapete, magari i cattivi hanno l'antifurto. Ma alla fine ci renderebbe anche tutti meno sicuri. Inserire una backdoor negli algoritmi di cifratura è semplicemente sconvolgente.

Ma certo, queste agenzie di intelligence stanno soltanto facendo il proprio lavoro. È quello che è stato detto loro di fare: spiare i segnali, monitorare le telecomunicazioni, monitorare il traffico Internet. Questo è quello che stanno cercando di fare, e dato che la maggior parte del traffico Internet oggi è cifrato, stanno cercando modi per aggirare la cifratura. Un modo è sabotare gli algoritmi di cifratura, e questo è un grande esempio di come le agenzie di intelligence americane stiano operando a briglia sciolta. Sono totalmente fuori controllo, e si dovrebbe riprenderne il controllo.

Cosa sappiamo in realtà di queste fughe di notizie? Tutto si basa sui file fatti trapelare dal signor Snowden. Le prime slide di PRISM dell'inizio di giugno descrivono un programma di raccolta in cui i dati vengono raccolti dai service provider, e fanno anche i nomi dei service provider ai quali hanno accesso. Hanno persino una data specifica in cui è iniziata la raccolta di dati per ogni service provider. Per esempio, specificano che la raccolta da Microsoft è iniziata l'11 settembre 2007, per Yahoo il 12 marzo 2008, e poi gli altri: Google, Facebook, Skype, Apple e così via.

E ognuna di queste aziende nega. Dicono tutte che semplicemente non è vero, che non danno accesso tramite backdoor ai loro dati. Eppure abbiamo questi file. Quindi una delle due parti sta mentendo, o c'è una spiegazione alternativa?

Una spiegazione sarebbe che queste parti, questi service provider, non stanno collaborando. Invece hanno subìto un attacco informatico. Sarebbe una spiegazione. Non stanno collaborando. Sono stati attaccati. In questo caso, sono stati attaccati dal loro stesso governo. Potrebbe sembrare assurdo, ma si sono già verificati casi di questo tipo. Per esempio, il caso del malware Flame che crediamo fermamente sia stato creato dal governo americano, e che per diffondersi ha sovvertito la sicurezza della rete di aggiornamenti Windows. Questo significa che l'azienda è stata attaccata dal proprio governo. Ci sono altre prove che supportano questa teoria. Der Spiegel, in Germania, ha fatto trapelare altre informazioni sulle operazioni gestite dalle unità di hacker di elite che operano all'interno di queste agenzie di intelligence. All'interno della NSA, l'unità si chiama TAO, Tailored Access Operations, e all'interno del GHCQ, che è l'equivalente britannico, si chiama NAC, Network Analysis Centre.

Queste recenti fughe di notizie di queste tre slide descrivono in dettaglio un'operazione gestita dall'agenzia di intelligence GCHQ del Regno Unito che aveva come obiettivo una società di telecomunicazioni qui in Belgio. Questo significa quindi che un'agenzia di intelligence europea sta violando intenzionalmente la sicurezza di una telecom di un vicino paese dell'Unione Europea, e ne parlano nelle loro slide molto disinvoltamente, come se fosse una cosa normale. Ecco l'obiettivo primario, ecco l'obiettivo secondario, ecco il team. Probabilmente fanno team building il giovedì sera al bar. Usano addirittura stucchevoli clip art su PowerPoint come: "Successo", quando riescono ad accedere a servizi come questo. Che diavolo sta succedendo?

E poi si discute che OK, certo, probabilmente sta succedendo ma, di nuovo, lo fanno anche altri paesi. Tutti i paesi spiano. E magari è vero. Molti paesi spiano, non tutti, ma prendiamo un esempio. Prendiamo per esempio la Svezia. Parlo della Svezia perché la Svezia ha leggi abbastanza simili agli Stati Uniti. Quando i vostri dati attraversano la Svezia, la sua agenzia di intelligence ha il diritto per legge di intercettare il traffico. Bene, quanti soggetti di potere, politici, leader d'azienda svedesi usano quotidianamente servizi basati negli Stati Uniti, come Windows o OS X, o usano Facebook o LinkedIn, o salvano i propri dati in cloud come iCloud o Skydrive o DropBox, o magari usano servizi online come Amazon Web Services o SalesForce? La risposta è: lo fa ogni singolo leader d'azienda, ogni giorno. Ribaltiamo la prospettiva. Quanti leader americani usano webmail e servizi di cloud svedesi? La risposta è nessuno. Quindi non c'è bilanciamento. Non c'è assolutamente equilibrio, neanche lontanamente.

E quando abbiamo la sporadica storia di successo europea, anche quella, tipicamente finisce per essere venduta agli Stati Uniti. Per esempio, Skype una volta era sicuro. Era cifrato da un capo all'altro della comunicazione. Poi è stato venduto agli Stati Uniti. Oggi non è più sicuro. Ancora una volta, prendiamo una cosa sicura e la rendiamo meno sicura di proposito, con la conseguenza di rendere tutti noi meno sicuri.

E poi c'è l'argomentazione che gli Stati Uniti stanno solo combattendo i terroristi. È la guerra al terrorismo. Non dovete preoccuparvi. Beh, non è la guerra al terrorismo. Certo, è in parte guerra al terrorismo, e sì, ci sono terroristi, che uccidono e mutilano, e dovremmo combatterli, ma sappiamo da questa fuga di notizie che hanno usato le stesse tecniche per ascoltare telefonate di leader europei, per intercettare le email dei presidenti del Messico e del Brasile, per leggere il traffico di mail nelle sedi delle Nazioni Unite e del Parlamento Europeo, e non credo che stiano cercando terroristi all'interno del Parlamento Europeo, giusto? Quindi non è guerra al terrorismo. Potrebbe esserlo in parte, e ci sono terroristi, ma pensiamo veramente ai terroristi come a una minaccia esistenziale tale da essere disposti a fare davvero qualunque cosa per combatterli? Gli americani sono pronti a buttare via la Costituzione, buttarla nel cestino, solo perché ci sono i terroristi? La stessa cosa per il Bill of Rights (la Carta del Diritti) e tutti gli emendamenti, la Dichiarazione Universale dei Diritti dell'Uomo, le convenzioni europee sui diritti dell'uomo e le libertà fondamentali e la libertà di stampa? Pensiamo veramente che il terrorismo sia una tale minaccia esistenziale da essere disposti a fare qualunque cosa?

Ma la gente ha paura dei terroristi, e pensa che la sorveglianza sia accettabile perché tanto non ha niente da nascondere. Siete liberi di sorvegliarmi, se può aiutare. E chiunque vi dica che non ha niente da nascondere semplicemente non ci ha riflettuto abbastanza.

(Applausi)

Perché abbiamo questa cosa chiamata privacy, e se pensate veramente di non avere niente da nascondere, assicuratevi che sia la prima cosa che mi direte, perché saprò che non dovrò affidarvi nessun segreto, perché ovviamente non siete in grado di mantenere un segreto.

Ma la gente è brutalmente onesta su Internet, e quando sono iniziate queste fughe, molta gente ha cominciato a interrogarmi. Non ho niente da nascondere. Non sto facendo niente di male o illegale. Eppure, non c'è niente che ho piacere di condividere con un'agenzia di intelligence, specialmente una agenzia di intelligence straniera. E se proprio abbiamo bisogno di un Grande Fratello, preferirei avere un Grande Fratello nazionale che un Grande Fratello straniero.

Quando sono iniziate le fughe di notizie, la prima cosa che ho twittato è stato un commento su come, usando i motori di ricerca, stiamo potenzialmente mostrando tutto all'intelligence americana. Due minuti dopo ho ricevuto una risposta da una persona di nome Kimberly dagli Stati Uniti che controbatteva: perché dovevo preoccuparmene? Cosa sto mandando che mi dovrebbe preoccupare? Sto mandando foto di nudo o qualcosa del genere? La mia risposta a Kimberly è stata che quello che stavo mandando non erano affari suoi, e non dovrebbero essere neanche affari del suo governo. Perché si tratta di questo, si tratta di privacy. La privacy non è negoziabile. Dovrebbe essere parte integrante di tutti i sistemi che usiamo.

(Applausi)

Una cosa che dovremmo capire è che siamo brutalmente onesti con i motori di ricerca. Mostratemi la cronologia delle vostre ricerche, e vi troverò qualcosa di incriminante o di imbarazzante in cinque minuti. Siamo più onesti con i motori di ricerca di quanto non lo siamo con le nostre famiglie. I motori di ricerca sanno più di noi di quanto non sappiano di voi le vostre famiglie. E queste sono tutte informazioni che diamo via, le stiamo dando agli Stati Uniti.

La sorveglianza cambia la storia. Lo sappiamo da esempi di presidenti corrotti come Nixon. Immaginate se avesse avuto il tipo di strumenti di sorveglianza disponibili oggi. Fatemi citare testualmente il presidente del Brasile, la signora Dilma Rousseff. È stata uno degli obiettivi della sorveglianza della NSA. Le sue mail sono state lette, e lei ha parlato alla sede delle Nazioni Unite e ha detto: “Se non c'è nessun diritto alla privacy, non può esistere nessuna vera libertà di espressione e opinione, e quindi non può esistere una democrazia efficace.”

Ecco di cosa si tratta. La privacy è il mattone fondamentale delle nostre democrazie. E per citare un collega ricercatore della sicurezza, Marcus Ranum gli Stati Uniti oggi stanno trattando Internet come se fosse una delle loro colonie. Siamo tornati all'epoca della colonizzazione, e noi, gli “stranieri“ che usiamo Internet, dovremmo vedere gli Americani come i nostri padroni.

Il signor Snowden è stato accusato di molte cose. Qualcuno lo accusa di avere causato, con le sue rivelazioni, problemi all'industria del cloud e alle società di software. Dare la colpa a Snowden di aver causato problemi all'industria del cloud americano sarebbe come dare la colpa del riscaldamento globale ad Al Gore.

(Risate e applausi)

Allora, cosa dobbiamo fare? Dovremmo preoccuparci? No, non dovremmo preoccuparci. Dovremmo arrabbiarci, perché tutto questo è sbagliato ed è prepotente e non si dovrebbe fare. Ma questo non cambierà la situazione. Quello che cambierà la situazione per il resto del mondo è cercare di stare lontani dai sistemi costruiti negli Stati Uniti. È molto più facile a dirsi che a farsi. Come si fa? Un singolo paese, qualunque singolo paese in Europa non può sostituire o creare dei sostituti dei sistemi operativi e dei servizi cloud statunitensi.

Ma magari non lo si deve fare da soli. Magari lo si può fare insieme ad altri paesi. La soluzione è l'open source. Creando insieme dei sistemi aperti, liberi e sicuri, possiamo aggirare questa sorveglianza, e così il singolo paese non deve risolvere il problema da solo. Deve solo risolvere un piccolo problema. E per citare un collega ricercatore sulla sicurezza, Haroon Meer, un paese deve solo far partire una piccola onda, queste piccole onde insieme diventano una marea, e la marea solleverà tutte le barche nello stesso tempo, e la marea che costruiremo con sistemi sicuri, liberi e open source, diventerà la marea che ci innalzerà tutti al di sopra dello stato di sorveglianza.

Grazie.

(Applausi)

In tutto questo pasticcio delle intercettazioni statunitensi rivelate da Edward Snowden sento levarsi una puzza d'ipocrisia. Troppe volte i governanti (anche europei) hanno detto che la sorveglianza elettronica sistematica, il tracciamento di tutte le transazioni economiche e la raccolta a lungo termine di dati sono una necessità anche nelle società che si definiscono democratiche, perché c'è il terrorismo, e soprattutto hanno spesso zittito chi osava chiedere il rispetto del diritto fondamentale alla privacy insinuando che soltanto chi ha qualcosa da nascondere ha paura della sorveglianza.

È un mantra che sento ripetere anche a tante persone comuni, che sono indifferenti alla marea montante di rivelazioni su quanto siamo spiati perché, dicono, tanto non hanno nulla da nascondere.

La notizia di stasera, proveniente dal Guardian, è che l'NSA avrebbe spiato le comunicazioni telefoniche di almeno 35 leader politici e militari del mondo. È partito subito il coro degli indignati, in Francia e Germania (con Hollande e Merkel in testa) ma anche in Italia.

Cari politici, adesso che siete voi a essere intercettati, la cosa improvvisamente dà fastidio ed è uno scandalo inaccettabile. Ma scusate un momento: se non avete niente da nascondere, perché vi indignate?

È il solito teatrino della sicurezza: i politici strilleranno, manderanno lettere di ferma protesta a Washington, il governo americano giurerà che davvero non lo farà mai più (ma in realtà continuerà a farlo, perché così fan tutti – perlomeno tutti quelli che possono), i nostri governanti potranno vantarsi pubblicamente di aver risolto il problema e noi, che eleggiamo questi commedianti della sicurezza, faremo finta di crederci. E il teatrino riprenderà come prima, come fa da decenni. Che pena.

La postazione d'ascolto statunitense di Menwith Hill, nel Regno Unito (2003).

Dagli Stati Uniti arriva un classico esempio di “effetto Snowden”: ogni evento informatico insolito viene visto alla luce della paranoia derivante dall'esistenza dei sistemi d'intercettazione di massa del governo statunitense.

Michele [sic] Catalano, una giornalista statunitense piuttosto ben conosciuta, annuncia sul proprio blog che dopo aver cercato pentole a pressione su Google ha ricevuto una visita dei funzionari dell'antiterrorismo. Le pentole a pressione si usano per gli ordigni esplosivi improvvisati. Questo, secondo la sua deduzione istintiva, vuol dire che Google fa la spia, e lo fa anche con i cittadini americani.

Parte il panico mediatico, che arriva anche ai media italofoni. Ma è una bufala nata da un equivoco: se vi interessano i dettagli, li trovate in questo mio articolo per la Rete Tre della RSI.

È pronto da scaricare il podcast della puntata di stamattina del Disinformatico. I temi:

• I cinque modi più inutili per difendersi dalle intercettazioni
• Antibufala: mettere il cellulare in frigorifero protegge dalle intercettazioni?
• Quanto vale un account rubato, e cosa se ne fanno i ladri?
• Facebook, un altro giorno, un altro baco (risolto)
• Facebook, privacy violata per 6 milioni di utenti

RIM, Nokia, Apple accusati di aver reso intercettabili i loro cellulari pur di accedere al mercato indiano. E da noi?

Pur di ottenere accesso all'immenso mercato indiano della telefonia mobile, Apple, Nokia e RIM (BlackBerry) avrebbero fornito ai militari delle backdoor che permettono di sorvegliare le comunicazioni cellulari. Questo è il senso, perlomeno, di documenti sottratti da server militari indiani ad opera di un gruppo di intrusi informatici, che sembrano essere mail dell'USCC (U.S.-China Economic and Security Review Commission), una commissione statunitense sui rapporti economici e di sicurezza USA-Cina.

Scansioni dei documenti sono pubblicate qui su Imgur; la prima pagina, intestata al Directorate General of Military Intelligence indiano, dice che per avere accesso d'intercettazione alle comunicazioni dell'USCC “è stato deciso di firmare un accordo con i fabbricanti di cellulari in cambio della presenza sul mercato indiano” e che sono state “utilizzate backdoor fornite da RINOA”, dove “RINOA” sta per “RIM, Nokia, Apple, etc.”. Le pagine successive sembrano essere comunicazioni dell'USCC intercettate. La notizia è stata segnalata da Mikko Hypponen su Twitter e ripresa, sempre con formula dubitativa, da ZDNet.

Lasciando da parte l'ironia dell'intercettatore intercettato, se questa storia viene confermata, non c'è solo il problema dell'intercettazione per gli indiani e per chi si reca in India (pensando di avere un dispositivo sicuro e non intercettabile), ma c'è quello ben più ampio della presenza di backdoor predisposte intenzionalmente dai costruttori per compiacere i governi. Aprire volontariamente delle vulnerabilità nei propri dispositivi è un'idea stupida, perché non c'è modo di garantire che verranno usate solo dai “buoni”. Chiunque siano e ammesso che ce ne siano realmente.

Sia chiaro: non voglio istigarvi a farlo, ma è importante sapere che intercettare una conversazione telefonica cellulare è fattibile, e per di più con un investimento piuttosto modesto, nonostante le promesse di chi qualche anno fa sbandierò la telefonia mobile digitale GSM come una garanzia di riservatezza.

Lo ha dimostrato recentemente dal vivo l'informatico Chris Paget alla conferenza di sicurezza informatica Defcon 18 tenutasi a Las Vegas. Paget ha creato quello che lui chiama un "IMSI catcher", ossia un "acchiappa-IMSI": un apparecchio, autocostruito spendendo circa 1500 dollari (cifra più che abbordabile per un malintenzionato), che simula un'antenna della rete cellulare GSM di uno specifico operatore telefonico scelto a piacimento dall'informatico, trasmettendo allo stesso modo e annunciandosi con lo stesso codice identificativo.

I telefonini in sala hanno iniziato a connettersi all'apparecchio di Paget anziché alla vera rete telefonica cellulare perché il suo segnale era più forte. I cellulari connessi potevano effettuare telefonate in modo assolutamente normale, ma non ne potevano ricevere. A parte un breve messaggio di avviso, per gli utenti cellulari l'acchiappaIMSI di Paget era indistinguibile da un'antenna vera.

Fatto questo, Paget era in grado di ascoltare e registrare qualunque telefonata cellulare che passasse dal suo apparecchio, memorizzando anche gli identificativi IMSI (International Mobile Subscriber Identity), IMEI (International Mobile Equipment Identity) dell'utente e del telefonino, e tutti i numeri chiamati.

Come è possibile? Dopotutto uno dei punti di forza della telefonia digitale GSM è che il segnale è automaticamente cifrato. Paget ha spiegato che il sistema GSM, utilizzato in quasi tutto il mondo, ha un problema di sicurezza davvero notevole e ben poco conosciuto: un'antenna (legittima o meno) è in grado di ordinare ai telefonini che la usano di disattivare la cifratura delle chiamate. E di farlo senza informare gli utenti. "Se io decido di non abilitare la cifratura, non faccio altro che disabilitarla. Tutto qui" ha detto Paget, spiegando che lo standard GSM specifica che gli utenti devono essere avvisati quando viene disabilitata la cifratura che protegge le loro conversazioni, ma i fabbricanti di cellulari scelgono di non mostrare questo avviso. Inoltre il GSM non prescrive l'autenticazione delle stazioni radio base: in altre parole, chiunque può realizzare una finta antenna cellulare e mettersi in ascolto.

Il problema non viene risolto utilizzando telefonini 3G che adoperano lo standard UMTS, perché c'è un trucchetto estremamente semplice: basta utilizzare un generatore di rumore radio e un amplificatore per coprire il segnale UMTS della rete e obbligare quindi i cellulari a commutare al sistema GSM. L'unico limite dell'apparecchiatura di Paget, decisamente meno costosa di quella utilizzata per le intercettazioni legali, è che richiede che l'utente intercettato si trovi nel suo raggio d'azione.

Ovviamente intercettare una telefonata è un'operazione illegale, come lo è interferire nelle comunicazioni creando falsi ripetitori cellulari. Paget è riuscito a farlo legalmente (nonostante le proteste delle autorità) ricorrendo a un espediente ingegnoso: ha svolto la propria dimostrazione sulla frequenza dei 900 MHz, che in Europa è usata appunto per la telefonia mobile GSM ma negli Stati Uniti è libera per l'uso da parte dei radioamatori, e Paget è un radioamatore. In pratica ha simulato un ripetitore GSM europeo, compatibile con i telefonini americani quadribanda.

A che scopo realizzare questa dimostrazione spettacolare? Per far vedere che il sistema GSM è insicuro e intercettabile con pochissima spesa, checché ne dica la GSM Association, e va abbandonato in favore di soluzioni più moderne. Ora che gli utenti lo sanno, potranno scegliere se tutelare la propria riservatezza meglio di quanto facciano i venditori, per esempio scegliendo modelli di telefonino che possono essere impostati in modo da non usare il sistema GSM e collegarsi solo via UMTS (3G) oppure adottando una cifratura aggiuntiva delle chiamate, per esempio con i sistemi VOIP per telefonare usando le funzioni di trasmissione dati. L'importante, come sempre, è non cullarsi in una falsa sensazione di sicurezza e non fidarsi delle promesse dei venditori.


Fonti: NetworkWorld, DarkReading, NetworkWorld, Forbes.com, Dw-world.de, The Register.

Le stampanti ad aghi sono intercettabili: basta ascoltarle

Ebbene sì, c'è ancora chi usa le stampanti ad aghi: quelle rumorosissime che fanno "bzzz-zzz-zzzz" e che hanno afflitto una generazione di informatici e impiegati. E continuano a farlo, perché in alcuni paesi sono addirittura obbligatorie ancora oggi per la stampa di certi tipi di documenti nei quali è necessaria la copia carbone, per esempio per le ricette mediche e le ricevute delle transazioni bancarie o le stampe dei PIN delle carte di credito, come raccontano i ricercatori dell'Università del Saarland e del Max Planck Institute for Software Systems in Germania, che hanno scoperto un fatto curioso: ascoltando una stampante ad aghi è possibile intercettare quello che sta stampando.

La tecnica consiste nel registrare il rumore della stampante usando un comune microfono radio situato nelle vicinanze per poi analizzare la registrazione alla ricerca degli schemi acustici ricorrenti, che identificano spazi, parole o sequenze di lettere, procedendo non sulla base del riconoscimento dei singoli caratteri ma usando metodi statistici e un "dizionario" precompilato di suoni corrispondenti a parole specifiche, assegnando una probabilità a ciascuna parola anche in base al contesto (ossia alle parole che la precedono e la seguono), come si fa con i sistemi di riconoscimento vocale. Questa tecnica è in grado di recuperare fino al 95% delle parole stampate se si conosce il contesto del materiale intercettato e fino al 72% se non è noto il contesto.

L'articolo dei ricercatori spiega che questa tecnica è stata messa alla prova nel mondo reale in uno studio medico (usando, per motivi di privacy, ricette simulate per un paziente inesistente). Nonostante il rumore di fondo delle conversazioni in corso nella sala d'attesa, i ricercatori sono riusciti a ricostruire una ricetta medica nonostante il nome di un medicinale fosse stato abbreviato.

Il sistema non è perfetto: richiede per esempio un "addestramento" basato su campioni di rumori della stampante di cui si sappia già il significato e ha comunque un certo tasso d'errore. Ma per chi ha a che fare con documenti delicati e teme intercettazioni è importante sapere che esiste la sorprendente possibilità di origliare letteralmente una stampante e che quindi è opportuno prendere delle contromisure. La più banale, segnalata anche dai ricercatori, è una protezione acustica isolante intorno alla stampante: cosa che farà piacere anche a chi lavora nelle sue vicinanze. Se avete un capo tirchio ma paranoico che si rifiuta di sopprimere il baccano della stampante che vi fa impazzire, giocate con la sua paranoia e raccontategli cos'ha scoperto questa ricerca.

Nella bibliografia dell'articolo, inoltre, spiccano vari lavori di altri ricercatori che mostrano come si può intercettare il contenuto dello schermo di un computer usando il suo bagliore riflesso su una parete, intercettare segnali emessi da porte seriali non schermate, tastiere, cavi di collegamento per monitor e persino dai LED di stato di vari apparati, come modem e router. C'è di che sbizzarrirsi per gli aspiranti James Bond informatici e c'è di che strapparsi i capelli per chi ha paura delle intercettazioni d'ogni sorta.