Ok, stiamo parlando di cyber-attacco

Nemmeno il tempo di scrivere il post precedente e mi imbatto in questo articolo di Wired:

Future of Cyber Security: What Are the Rules of Engagement?

[...] there are numerous questions — ethical, legal and even bureaucratic — that need to be sorted out about the rules of engagement before the U.S. launches any cyber volleys in retaliation for an attack or otherwise. The most basic being, what constitutes an attack, how do we identify its source and what’s an acceptable response?

In a battle where the militarized zone exists solely in the ether(net) [...] how do we fight, let alone find, the enemy? [...]

And how do we know if the anonymous cyberwarrior attacking us is a soldier from the Red Army or just a Jolt-guzzling teen in his mother’s basement.[...]

Should the U.S. take action against a band of student hackers in China suspected of working for their government if Chinese authorities deny responsibility for their aggression?

Furthermore, if computers running NASDAQ trades are brought to a halt in a cyber attack, is that a criminal offense for the FBI to investigate or a national security incident worthy of a counterstrike?

E poi c’è la storia del team di brillanti ingegneri informatici che utilizzano, per primi, il nuovo algoritmo crittografico MD6. Poi si scropre che MD6 ha una falla, ma i bravi ingegneri lavorano sodo e creano una patch per la loro applicazione Windows, che quindi è pronta per diferendersi dagli attacchi informatici.

Peccato che questa applicazione si chiami Conficker.

Cyber-attacco o cyber-difesa?

Spesso diciamo che, in campo tecnologico, l’America è 10 anni avanti:

The U.S. government on Monday launched a national talent search for high school and college students interested in working in cybersecurity.

With the U.S. Cyber Challenge the goal is to find 10,000 young Americans to be “cyber guardians and cyber warriors,” according to a statement from the Center for Strategic & International Studies, which is sponsoring the event.

È una buona notizia, un governo che capisce l’importanza della rete nella società moderna, o è cattiva, con Internet che diventa “pericoloso” e i governi che si affannano a monitorarlo e controllarlo?

President Obama said in May that the U.S. government “is not as prepared” as it should be to respond to disruptions caused by Internet attacks. And last week, a study from the Partnership for Public Service concluded that shortages in federal cybersecurity workers and a lack of leadership threaten national security.

Io propendo per la seconda (via Alfonso Fuggetta).

Intercettare Skype e il VoIP

Press release di Eurojust (via Repubblica):

Eurojust is a new European Union body established in 2002 to enhance the effectiveness of the competent authorities within Member States when they are dealing with the investigation and prosecution of serious cross-border and organised crime.

At the request of Direzione Nazionale Antimafia in Rome, the Italian Desk at Eurojust will play a key role in the coordination and cooperation of the investigations on the use of internet telephony systems (VoIP), such as “Skype”. Eurojust will be available to assist all European law enforcement and prosecution authorities in the Member States. The purpose of Eurojust’s coordination role is to overcome the technical and judicial obstacles to the interception of internet telephony systems, taking into account the various data protection rules and civil rights.

… siamo d’accordo che è impossibile, vero?

UPDATE

Quello che voglio dire è che non è possibile intercettare alcuna comunicazione via internet, se cifrata. A meno che…

…a meno che non vogliano vietare per legge la crittografia. Un po’ come succede tuttora negli USA per chiavi crittografiche di lunghezza superiore a 64 bit (che richiedono una specifica approvazione):

Mass market encryption commodities and software employing a key length greater than 64 bits for the symmetric algorithm [...] remain subject to the EAR and require review by BIS [...]

To request authorization for your “mass market” encryption products[...], you must submit a complete review request to BIS and the ENC Encryption Request Coordinator. The following guidance is designed to help you prepare and submit your requests for 30-day “mass market” encryption revie [...]

(fonte Bureau of Industry and Security US Department of Commerce)

UPDATE 2

… che poi, anche ammesso di voler percorrere una strada di questo tipo (limitare o bloccare specifiche applicazioni), non penseranno che la gente stia lì a guardare… oggi ne parla anche Stefano qui.

UK e consultazione pubblica sul P2P

(via Linx)

Qualche mese fa il BERR (ministero inglese per il commercio, più o meno) ha avviato una consultazione pubblica sul tema del copyright su reti P2P.

Oggi sono usciti i primi risultati, contenenti le risposte fornite da chi ha compilato il questionario. A questo seguirà la pubblicazione, a fine mese, di una prima versione del Digital Britain Report, che sarà completato in Primavera.

Quello che salta all’occhio è una generale contrarietà al coinvolgimento degli ISP nella selezione degli utenti (o dei contenuti) che infrangono le leggi. Le motivazioni sono varie: difficoltà tecniche, dubbi sulla legalità di tali soluzioni e rischi legati alla privacy e sicurezza dei dati.

Come dicevo, sono tutti contro, fuorché i soggetti detentori di copyright…

***

In attesa del rapporto del governo, vi copio e incollo le 4 possibili alternative di regolamentazione del traffico P2P che sono state individuate dal governo e su cui è stata aperta la consultazione (consultation on legislative options to address illicit peer-to-peer (P2P) file-sharing):

1. Option A1: Streamlining the existing process by requiring ISPs to provide
   personal data relating to a given IP address to rights holders on request without them needing to go to Court
2. Option A2: Requiring ISPs to take direct action against users who are
   identified by the rights holder as infringing copyright through P2P…
3. Option A3: Allocating a third party body to consider evidence provided by
   rights holders and to direct ISPs to take action against individual users as required, or to take action directly against individual users
4. Option A4: Requiring that ISPs allow the installation of filtering equipment
   that will block infringing content…

Se posso dare il mio modesto parere, l’unica fattibile, legalmente e tecnicamente, mi sembra la A3. Poi, naturalmente, fra il dire e il fare…

Google e neutralità dei contenuti: quella della rete è acqua passata

Supponiamo che questo sia un falso allarme e che Google non stia intaccando la neutralità della rete. In fondo vuole fare un semplice “Edge Caching”: gli utenti di alcuni ISP accederebbero più velocemente ai contenuti di Google perché presenti già nella cache. Non si avrebbero contenuti più prioritari, solo contenuti oggettivamente più veloci.

Secondo David Isemberg (via Mantellini):

Net Neutrality only becomes an issue when a carrier picks and chooses which cache to supply pipes to.
…
The concern of Network Neutrality advocates is not with access but with delivery…Since the edge caching Google is proposing is about access, not delivery, there’s no problem.

e queste posizioni mi sembrano, più o meno, condivise da Luca de Biase nel suo post di ieri.

E se  il discorso sulla neutralità della rete fosse diventando obsoleto? (nota: non in termini assoluti, ma nel senso che ormai è stato sviscerato abbondamentemente)

E se fosse ora di cominciare ad interrogarsi sulla neutralità dei contenuti?

Cosa succederebbe a quei piccoli ISP con basso potere contrattuale (ie, numero di utenti) per invogliare i Google e i Microsoft del futuro a investire in edge caching (tanto per fare un esempio) presso di loro?

La rete di accesso sta diventando meno costosa e gli ISP, conseguentemente, stanno perdendo il loro potere. I fornitori di contenuti, dall’altra parte, stanno diventando i veri attori del futuro: fareste, voi, un contratto con il vostro ISP se non vi assicurasse un accesso veloce a, che so, i servizi di Google?

Il focus, ormai, è sui contenuti. Per ora sto fantasticando, ma non è tanto inverosimile che tra un po’ siano loro, i fornitori di contenuti, ad avere il coltello dalla parte del manico.

Regolamentare Internet: Berlusconi non è solo

Oops: ultimamente mi era sfuggito un feed abbastanza interessante. Sembra che Berlusconi non sia l’unico che cerchi di regolamentare Internet. Ci si mette anche il ministro della cultura della autorevolissima Inghilterra (via LINX). Oltre, naturalmente, al prossimo G8.

Dico questo non per difendere B. Né per ribattere, una volta tanto, agli inglesini di The Register, a cui piace mettere alla berlina l’Italia. È per rispondere a chi magari pensa che “lui non sa quel che dice” o “non vi preoccupate, tanto non sa nemmeno cosa sia Internet”. Ecco, il problema è che forse lo sa.

Phishing in aumento in UK

I cyber-squatter sono tornati alla carica piu’ agguerriti che mai. Recentemente, Nominet, il registry dei domini .uk, ha notato un aumento nella registrazione di nuovi domini utlizzati per attivita’ di phishing. La cosa sembra essere seria anche perche’ i domini vengono registrati a nome di ignari sconosciuti con conseguente furto d’identita’.

Avevo parlato di phishing qualche tempo fa e della difficolta’ di combattere questa pratica (illegale) senza entrare nel campo minato della censura. Come se non bastasse, l’attuale sistema di registrazione di un dominio e’ completamente automatico e, a mio avviso, non aiuta a prevenire i furti d’identita’ che Nominet sta sperimentando in questi giorni (ne’ puo’ impedire l’inserimento di dati fasulli!). E’ anche vero, pero’, che un sistema come quello attualmente adottato in Italia, basato su fax, fotocopie di documenti, etc, e’ anacronistico (e infatti lo stanno cambiando) e non e’ detto che risolva il problema.

Internet e’ a rischio?

Ieri mi sono imbattuto nelle 10 minacce alla rete, tradotto in Italiano da Web *.0? (qui la cronistoria, dal post originale in poi). Come primo impulso, mi sono chiesto perche’ mai dovremmo essere a rischio di censura o di eccessiva regolamentazione da parte dei governi? Il problema piu’ grande della rete, al momento, sono botnet e frodi informatiche, che ne minano alla base la reputazione.

Poche ore dopo mi sono trovato a parlare di phishing con un collega, come capire se un sito web nasconde una frode per raggirare gli utenti ignari. E chi, fra coloro che operano su Internet, dovrebbe combattere la diffusione di queste pratiche criminali.

Le conclusioni a cui siamo giunti sono un po’ prevedibili e un po’ sconfortanti (e diverse da quelle da cui sono partito). Ne elenco alcune in ordine sparso:

• Tecnicamente sarebbe possibile, se non bloccare completamente, almeno arginare il fenomeno del phishing. Si potrebbe analizzare il contenuto della pagina incriminata e confrontarlo con quello del sito autentico. Si potrebbe cercare il sito nell blacklist di siti come spamhous o analizzare il traffico DNS per capire se tale sito fa parte di una qualche botnet.
• La risposta potrebbe essere l’interdizione/chiusura temporanea del sito fino a che i proprietari non hanno abbiano fornito spiegazioni sulla sua attivita’.
• Quello di cui stiamo parlando e’, a tutti gli effetti, un filtro.
• Difficilmente gli ISP implementerebbero una soluzione di questo genere.
• Se venisse fatto a livello di DNS, data la natura centralizzata e storicamente legata alle istituzioni di questo servizio, si parlerebbe di alto rischio di censura: :chi lo sa che tipo di traffico viene veramente bloccato?:
• …

In pratica, il dubbio che una soluzione di questo tipo non possa essere implementata senza un cambiamento nella regolamentazione vigente e’ forte; e il rischio che possa essere interpretata come invasione della privacy degli utenti o, peggio ancora, come forma di censura, impedendo l’accesso a siti presunti malevoli, lo e’ ancora di piu’.

***
Alla fine (per tornare alla domanda del titolo), io non credo che Internet sia a rischio; penso, tuttavia, che mai come in questo momento sia necessaria un’estrema cautela da parte di quegli organi che ne determinano l’evoluzione e lo sviluppo, perche’ l’equilibrio fra sicurezza, liberta’ d’espressione e privacy degli utenti e’, per ora tutt’altro, che scontato.

Latest from UK

Troppo impegnato ultimamente, fra scadenze di lavoro da una parte e amici in visita dall’altra, per trovare la testa e a volte il tempo di aggiornare il blog.

E per cercare di recuperare il tempo perduto (vana impresa, in realta’) una serie di notizie flash delle ultime settimane.

Carte di credito
In UK il Chip&Pin e’ ormai lo standard: c’e’ un CHIP sulla carta di credito e un PIN che va digitato ogni volta che viene effettuato un pagamento in un negozio. Bello, peccato che non serve a niente: come ci spiegano alcuni ricercatori di Cambridge, dal chip al lettore i dati viaggiano non crittografati ed e’ questione di minuti “taroccare” il sistema e leggere pin e tanto altro. A questo punto, abbiamo anche l’imbarazzo della scelta e decidere se usare la carta su Internet o in un altro paese (video dell’intervista alla BBC).

Fra l’altro, non si capisce come un sistema del genere possa proteggerci dal cameriere (non me ne vogliano, ma e’ un cliche’) che legge i dati della carta, li copia e compra un bel televisore al plasma su Internet, dove il pin non serve.

Privacy
BT e altre compagnie vogliono affidare a Phorm il monitoraggio di tutti i loro naviganti. Motivo? Io controllo tutte le tue abitudini e ti mostro solo pubblicita’ personalizzata. Naturalmente sono escluse pubblicita’ erotiche e campagne elettorali. Meno male…

DNS e web
Questa e’ molto vecchia, un pochino nuova e tanto tecnica. E’ appena uscita una nuova RFC (RFC 5155) che risolve alcuni problemi di sicurezza di DNSSEC, il nuovo protocollo basato su chiave pubblica-chiave privata che rendera’ piu’ robusto lo scambio di dati a livello di DNS, l’infrastruttura di Internet. RFC abbastanza importante (approvata in solo 1 anno, questo forse non e’ vero :-p), e’ un altro tassello che spinge verso la standardizzazione di DNSSEC, anche se molti dubbi, politici ma non solo, ancora rimangono.

YouTube oscurato (update)
Ah, gia’. E poi c’e’ stato lo scherzetto di quel service provider che per censurare YouTube in Afghanistan e’ riuscito a oscurarlo in quasi tutto il mondo. Qui una spiegazione dettagliata (e un simpatico video) da parte di Ripe NCC, l’organizzazione che si occupa dello sviluppo dell’infrastruttura di Internet in Europa.

Naturalmente, la notizia e’ stata che YouTube e’ stato oscurato, non che nell’Afghanistan “libero e democratico” la censura e’ piu’ viva che mai.