Navigatori italiani spiati per 7 anni: Come proteggervi e come spiare? Ve lo spiega un hacker!

05/07/10 21:24 0

Perch├® i nostri computer sono a rischio, come possiamo proteggerci dai furti di password, i motivi per cui i dati sensibili di ognuno devono essere costantemente messi in sicurezza. A colloquio con Claudio Agosti, di professione hacker La nostra posta elettronica, le coordinate della nostra banca online, il numero della nostra carta di credito. Qualcuno potrebbe averli estratti dal nostro PC. Senza che noi abbiamo mai sospettato nulla. Un esperto di sicurezza ci spiega perch├® i nostri dati personali sono meno sicuri di quanto crediamo. Claudio Agosti, esperto di sicurezza informatica, ├¿ uno che risolve problemi. Ma diversamente dal Winston Wolf di ÔÇ£Pulp FictionÔÇØ, che i problemi li risolveva seppellendoli, lui gli scheletri deve riportarli alla luce. Funziona pi├╣ o meno cos├¼: tu, azienda con una presenza in Rete, gli chiedi se il tuo database con Nmila dati ├¿ sicuro, e lui, per tutta risposta, ti esegue un ÔÇ£Penetration TestÔÇØ. E perdonate il termine. A quel punto ti mostra le falle della tua rete e passa alla cassa. Claudio Agosti ├¿ un hacker, nel senso nazionalpopolare del termine, e quando gli chiedi se i nostri dati su Internet sono al sicuro un poÔÇÖ ride, perch├® la domanda forse ├¿ ingenua, un poÔÇÖ no, perch├® anche gli hacker, in fondo, due valori ce li hannoÔÇª Ok, ora hai il mio nome e il mio indirizzo email ÔÇô ├¿ la prima cosa che gli chiedo ÔÇô cosa puoi sapere di me? Posso sapere tutto quello che, negli anni, hai dimenticato su Internet. In particolare, quello che gli altri hanno detto di te, hanno fatto con te e tu hai fatto con loro. Qualche esempio? Esempi? La foto che ti hanno fatto alla festa, che hanno messo su Flickr, i messaggi che hai inviato su un gruppo di discussione, che ├¿ indicizzato su Yahoo Gruppi. Le tue posizioni lavorative, che hai scritto su LinkedIn sperando questo ti aiutasse a trovare lavoro. Non ti ha aiutato: in compenso ha aiutato me a trovare te. Su Internet come ci si fanno gli affari degli altri? La raccolta dei dati pubblicamente diffusa e il riutilizzo degli stessi per iniziare nuove ricerche si chiama Open Source Intelligence (OSI). Con i motori di ricerca si possono fare ricerche utilizzando come discriminanti nomi, nick, email, luoghi, e analizzare lÔÇÖoutput. Un esempio: si parte da un nome, si trova unÔÇÖemail, si cerca nome + email e non si trova nulla, si cerca solo lÔÇÖemail e si trova unÔÇÖemail + un nick, si cerca quel nick e si trova un centro di discussione, le amicizie della persona, le sue foto. Quindi il problema ├¿ quanto ci si espone? Pi├╣ si usa la Rete, pi├╣ ci si espone. CÔÇÖ├¿ da considerare una tendenza che ├¿ cresciuta negli ultimi anni: la mania della condivisione di ÔÇ£parti di s├®ÔÇØ online. LÔÇÖutilizzo di blog, forum, social networking causa una diffusione di dati ÔÇ£apparentemente non riservatiÔÇØ incontrollata. Si tratta di dati estrapolabili dalle nostre domande, risposte, amicizie dichiarate. Inoltre, una volta commesso lÔÇÖerrore, potremmo trovarci nella situazione di non poterlo correggere: i motori di ricerca non conoscono oblio. Ma oltre quelli pubblicamente diffusi, quali dati ÔÇ£sensibiliÔÇØ si possono recuperare in Rete? In via legittima, pochi. Molto spesso si fa riferimento allÔÇÖidea che esistano database enormi la cui consultazione ├¿ disponibile a pagamento. Ma questo ├¿ vero in America. In America ├¿ vietato che qualcuno ti procuri danno utilizzando i tuoi dati personali, in Europa che i tuoi dati personali siano in possesso di unÔÇÖaltra persona. E questo ci porta alla fase due: quanto ├¿ possibile sapere, per un buon hacker, in via ÔÇ£non legittimaÔÇØ? Dipende dal ÔÇ£servizioÔÇØ. Quello che posso dirti ├¿ che nessun server che abbia visto nella mia carriera lavorativa effettua una separazione tra i dati utili al business e i dati degli utenti. Chi viola un server, quindi, pu├▓ potenzialmente disporre di tutti questi dati. ├ê successo lÔÇÖanno scorso con il motore di ricerca internazionale ÔÇ£MonsterÔÇØ. I dati di milioni di utenti che avevano inserito informazioni personali e lavorative sono stati presi da sconosciuti e rivenduti a concorrenti. In questo caso, come si muove un buon hacker? Nel caso di violazione massiva, un hacker cerca il server con pi├╣ utenti pi├╣ facilmente violabile, quindi scarica un database di username/password/email. A quel punto fa questo ragionamento: ÔÇ£Quante persone usano la stessa password sia per la posta che per i servizi online? TanteÔÇØ. Cos├¼ automatizza un sistema per scaricarsi la posta degli utenti ai quali ha rubato email e password. Fa in modo che le email copiate rimangano sul server, cos├¼ che gli utenti non notino la mancanza. E se cos├¼ non funziona? Se non funziona, si procede cercando di ÔÇ£indovinareÔÇØ la password di posta. Si pu├▓ tentare di inviare trojan allÔÇÖutente a nome di persone che conosce, e in generale iniziare una serie di attacchi informatici per violare il suo computer. Si tratta di operazioni che si discostano dalla semplice ÔÇ£ricercaÔÇØ, per passare al vero ÔÇ£spionaggio e furtoÔÇØ di informazioni. LÔÇÖidea di molti ├¿ che oggi esista anche un ÔÇ£Grande FratelloÔÇØ statale. ├ê cos├¼? No, lÔÇÖimmaginario orwelliano collettivo ├¿ distorto. Il controllo della rete telefonica, satellitare, elettrica, finanziaria da parte dello stato ├¿ noto. CÔÇÖ├¿ un organo di sorveglianza possibile grazie al fatto che lÔÇÖinfrastruttura ├¿ sua. La rete Internet, invece, ├¿ globale, e ogni frammento di globo si divide in operatori internazionali (Inet, Telecom, Albacom), ogni rete si divide tra fornitori di servizio (TIN, Tiscali, Wind), ogni servizio prende vita grazia a un server. Quindi non si pu├▓ parlare di Grande Fratello, ma di tanti ÔÇ£fratelli mediÔÇØ. Questo significa che siamo al sicuro? No, questo significa che se prima non era necessario proteggersi perch├® lo Stato ├¿ lÔÇÖunione dei cittadini e le intercettazioni uno strumento per difendere gli interessi dei cittadini, ora le intercettazioni sono una possibilit├á non regolamentata di tutti i privati. Gli scandali Telecom-Sismi, Telecom Grecia, Telecom Brasile e lÔÇÖattuale Telecom Germania cosa stanno a significare? Che ora sono i privati ad avere il potere delle intercettazioni. E che da tale potere si viene facilmente corrotti. Per questi motivi, se prima ci si poteva non proteggere, ora dovrebbe essere un obbligo morale. CINQUE CONSIGLI ANTI-HACKER 1. Utilizzare password differenti in ogni server. 2. Installare un software antispyware (Ad Aware, SpyBot, Spyware Terminator). 3. Usare un software per la protezione del disco rigido (Truecrypt). 4. Usare un software per la navigazione anonima (Torpark). 5. Cifrare la propria posta elettronica, con software come GnuPG o Enigmail, una modifica al client Thunderbird. COME FARSI GLI AFFARI ALTRUI Da segreta perversione personale, la ricerca di informazioni altrui su Internet ├¿ ormai diventata una prassi pubblica. Oggi esistono diversi servizi online che, direttamente o indirettamente, permettono di setacciare la Rete per trovare informazioni su una singola persona. 1. Spokeo ( www.spokeo.com ): Un servizio di ricerca automatizzata in oltre 40 social network. 2. Zabasearch ( http://zabasearch.com ): Il punto di riferimento per la ricerca di dati personali negli Stati Uniti. Restituisce, tra lÔÇÖaltro, la fedina penale degli utenti cercati. 3. Spock ( www.spock.com ): Un altro strumento per la ricerca di pagine personali allÔÇÖinterno di blog e social network. 4. Google Earth ( http://earth.google.it ): Un paio di clic sono sufficienti per trovare la foto satellitare della casa di una persona. In alcuni casi, anche del suo giardino o della sua auto. 5. Emule, Bittorrent & co.: Nelle profondit├á della Rete, attraverso i software di file sharing, ├¿ ancora possibile recuperare le dichiarazioni dei redditi 2005 degli italiani, diffuse (e poi ritirate) dal Ministero delle Finanze. di Ivan Fulco (Kataweb I-Tech) crashdown.it