I media hanno fatto un numero enorme sulla parola “hacker”. Lo senti e immagini qualcuno con una felpa con cappuccio scura che si intromette nei sistemi militari, ruba i numeri delle carte di credito o fa crollare l’economia globale. È un’immagine spaventosa. E certo, quei cattivi attori esistono. Ma sono la minoranza. La vera storia è molto più antica e molto più interessante.
Il termine in realtà risale alla metà degli anni ’60. Allora, un hacker era semplicemente un programmatore che spingeva il codice oltre i limiti previsti. Questi non erano criminali. Erano visionari. Bill Gates, Steve Jobs e Steve Wozniak rientrano in questo modello. Vedevano il potenziale nelle macchine che altri liquidavano come calcolatrici. Hanno costruito sistemi operativi e applicazioni da zero. Erano pionieri.
Ciò che li univa era l’ossessione. Curiosità pura e incontaminata. Non volevano solo costruire cose. Volevano smontare le cose per vedere come funzionavano. Quando un programma falliva, presentava un bug. Questi hacker hanno scritto patch per correggere il codice non funzionante. Hanno condiviso questa conoscenza liberamente. Alcuni alla fine venivano pagati per quello che facevano per divertimento. Questo è lo spirito originale della cultura hacker.
Quando i computer iniziarono a collegarsi in rete, la definizione cambiò. All’improvviso, un hacker era qualcuno che esplorava una rete che non avrebbe dovuto toccare. L’intento però raramente cambiava. Si trattava di conoscenza. La barriera era solo un altro enigma.
Oggi quella curiosità rimane. Mentre i titoli dei giornali parlano di virus e sabotaggio, la maggior parte degli hacker sta solo cercando di comprendere le complessità del mondo digitale. Alcuni utilizzano queste competenze per aiutare le aziende a costruire migliori muri di sicurezza informatica. Altri diventano canaglia.
Guarderemo come entrano. Guarderemo la cultura. Esamineremo le leggi che infrangono. Ma prima dobbiamo tornare indietro ai computer. Prima del silicio. Prima del codice.
Le origini del Phreaking
Molto prima di Internet c’erano i telefoni. E prima che esistessero gli hacker di Internet, c’erano i phreak.
Erano individui intelligenti che capirono come manipolare il sistema telefonico. Non hanno fatto irruzione nelle banche. Hanno fatto irruzione nella rete. Effettuavano chiamate interurbane gratuitamente. Hanno fatto scherzi ad altri utenti. Hanno trattato la rete telefonica globale come uno strumento gigantesco. Era un gioco. Era esplorazione. Fu l’antenato di tutto ciò che seguì.
Lo stack software degli hacker
Il codice è l’arma principale. Non ingegno. Codice.
Mentre su Internet si parla di una vasta comunità di hacker, la realtà è molto più specializzata. Solo una frazione effettivamente scrive i propri exploit. Il resto esplora il Web, scaricando strumenti predefiniti. Esistono migliaia di programmi per sondare le reti. Questi strumenti conferiscono un potere immenso a chiunque sappia come maneggiarli. Una volta che un hacker mappa la logica di un sistema, può creare exploit personalizzati per violarlo.
Diamo un’occhiata agli strumenti reali nel kit.
Keylogging e sorveglianza
Alcuni software vengono eseguiti silenziosamente in background, registrando ogni pressione di un tasto. È installato sul computer della vittima, in attesa. Quindi, cattura tutto ciò che è stato digitato. Password. Numeri di carta di credito. Credenziali di accesso. Questi dati forniscono a un utente malintenzionato le chiavi del regno, spesso portando all’infiltrazione dell’intero sistema o al furto di identità.
Intercettare la posta elettronica era un obiettivo primario. Gli hacker hanno creato un codice per intercettare il traffico Internet. Oggi è in gran parte obsoleto. I moderni client di posta elettronica utilizzano algoritmi di crittografia complessi. Se un hacker riesce a intercettare il messaggio, vedrà solo spazzatura. I dati sono illeggibili senza la chiave.
Croccare password
Fare i conti è un’arte di pazienza e matematica.
Le ipotesi plausibili funzionano. Semplici algoritmi che permutano lettere, numeri e simboli funzionano meglio. Ma il lavoro pesante viene svolto attraverso due metodi principali.
Innanzitutto c’è l’attacco di forza bruta. Il software prova ogni singola combinazione possibile. Si tratta di un incubo di tentativi ed errori per il bersaglio, ma spesso inevitabile per l’aggressore se gli viene concesso tempo e potenza di calcolo sufficienti.
Il secondo è l’attacco del dizionario. Qui, il programma inserisce parole comuni, frasi e password trapelate nei campi di accesso. È più veloce della forza bruta perché sfrutta la pigrizia umana.
Distribuzione di malware
I virus sono programmi autoreplicanti. Il loro obiettivo è il caos. Distruggono i sistemi. Puliscono i dischi rigidi. Corrompono i dati.
I vettori dell’infezione sono cambiati. All’inizio, gli hacker si infiltravano direttamente nei sistemi per piazzare queste bombe. Ora è più semplice creare un semplice virus e distribuirlo tramite e-mail, messaggi istantanei o reti peer-to-peer. Scarichi un file. Fai clic su “Esegui”. Sei infetto.
Ma i virus sono solo una delle opzioni. Il cavallo di Troia è più insidioso. Si maschera da software legittimo. Una volta eseguito, apre una backdoor. Questo è un percorso non protetto nella rete. Agli albori di Internet, la sicurezza era così scarsa che trovare queste porte era facile. Oggi funziona ancora perché ignora completamente l’autenticazione. L’hacker non ha bisogno di un nome utente o di una password. Hanno solo bisogno del trojan per aprire il cancello.
Botnet e spam
Un computer compromesso diventa uno zombi o un bot.
La vittima esegue un codice apparentemente innocente. Si apre una connessione tra la loro macchina e il server dell’hacker. L’hacker ora ha il controllo segreto. Non si preoccupano dei dati dell’utente. Si preoccupano delle risorse della macchina.
Questi zombie vengono utilizzati per inviare spam. Vengono utilizzati per lanciare attacchi Distributed Denial of Service (DDoS). Coordinando migliaia di bot, gli hacker possono inondare di traffico un bersaglio, mettendolo offline. È un assedio digitale.
La gerarchia degli hacker
Chi c’è dietro la tastiera? Lo psicologo Marc Rogers suddivide la comunità in gruppi distinti. Non è un monolite.
- Principianti : hanno accesso agli strumenti. Mancano di comprensione. Non sanno come funziona il codice sottostante. Sono rumorosi. Vengono catturati.
- Cyberpunk : più sofisticati. Sanno come eludere il rilevamento. Si vantano delle loro imprese. L’ego è il loro motivatore.
- Codificatori : i costruttori. Scrivono gli script e gli exploit che altri utilizzano per navigare nei sistemi. Sono gli ingegneri dell’intrusione.
- Cyberterroristi : professionisti. Si infiltrano a scopo di lucro. Fanno irruzione nei database aziendali alla ricerca di segreti proprietari. Sabotano le operazioni. Per loro non è un hobby. È un affare.
Successivamente esamineremo la cultura che lega questi gruppi.
Il tessuto sociale del codice
La maggior parte degli hacker non sono la tipica farfalla sociale. L’ossessione per il codice può isolarli. Le ore svaniscono sugli schermi. La vita reale passa in secondo piano.
I computer non hanno fornito loro solo strumenti. Hanno dato loro una tribù. Prima che il World Wide Web diventasse un servizio domestico, esistevano i Bulletin Board Systems (BBS). Queste erano le piazze digitali. Un unico computer ospitava l’intera comunità. Gli utenti si collegavano tramite modem. Hanno lasciato messaggi. File condivisi. Ho giocato a giochi basati su testo.
Questa connettività ha cambiato tutto. Le informazioni scorrevano più velocemente. La barriera all’ingresso per la condivisione della conoscenza è crollata. Ma ha anche creato un circolo vizioso di escalation.
I segnali d’allarme
All’inizio degli anni ’90 il tono cambiò. Alcuni utenti di BBS hanno smesso di condividere gli strumenti e hanno iniziato a mettersi in mostra. Hanno pubblicato i registri. Hanno caricato come trofei dati sensibili dai server violati. Per le forze dell’ordine, questa sembrava una minaccia esistenziale. Sembrava che centinaia di persone potessero violare qualsiasi firewall a piacimento.
I media hanno amplificato la paura. I rischi reali per la sicurezza sono diventati mostri mitici nella percezione pubblica.
Oggi il panorama è più frammentato. Siti come Hacker.org si concentrano sull’istruzione. Offrono enigmi. Gamificano l’acquisizione di competenze. Allora hai 2600: The Hacker Quarterly. La rivista cartacea sopravvive. Il sito web trasmette discussioni. È un archivio vivente della cultura.
La motivazione e la legge
Perché lo fanno? Per molti, la risposta è la curiosità. Non malizia.
Pensa a un sistema sicuro come al Monte Everest. La scali non perché odi la montagna. Lo scali perché è lì. Vuoi sapere come funziona. Tiene?
Negli Stati Uniti la curiosità è un crimine. Il Computer Fraud and Abuse Act rende illegale l’ingresso non autorizzato. Periodo. Non hai bisogno di rubare nulla. Non è necessario rompere nulla. Il solo fatto di entrare in un sistema senza permesso è sufficiente per essere perseguiti.
Questa pressione legale ha rimodellato l’ecosistema. Ha creato una divisione.
Cappelli neri contro cappelli bianchi
Internet è un campo di battaglia. Da un lato ci sono i cappelli neri. Cercano infiltrazioni. Diffondono virus. Sfruttano le vulnerabilità per guadagno o caos.
Dall’altro lato ci sono i cappelli bianchi. Usano le stesse abilità. Comprendono intimamente le vulnerabilità. Ma costruiscono muri. Sviluppano software antivirus. Rattoppano i buchi prima che i cappelli neri li trovino.
Nonostante le differenze, entrambi i gruppi condividono un alleato comune: il software open source.
Perché? Perché open source significa che il codice è visibile. Chiunque può studiarlo. Chiunque può modificarlo. Sia che tu stia cercando di rompere un kernel Linux o di rafforzarlo, trarrai vantaggio dall’intelligenza collettiva. Si impara dagli errori degli altri. Stai sulle spalle dei giganti.
L’incontro
Questa cultura non è solo online. Converge fisicamente.
DEFCON a Las Vegas è il raduno più grande. Partecipano in migliaia. Competono negli eventi Capture The Flag. Discutono le tendenze di sviluppo. È un mix caotico di commercio, commedia e seria ricerca sulla sicurezza.
Poi c’è il Chaos Communication Camp in Germania. È meno sfarzoso. I partecipanti dormono in tende. L’infrastruttura è a bassa tecnologia. Ma la posta in gioco è alta. Ci ricorda che la cultura valorizza l’idea tanto quanto lo strumento.
Definire i termini
C’è una guerra linguistica in corso all’interno della comunità stessa.
Molti programmatori si rifiutano di chiamare “hacker” gli autori malintenzionati. Per loro, un hacker è qualcuno che costruisce. Qualcuno che migliora la sicurezza. Qualcuno che crea.
Quelli che irrompono? Sono cracker.
I cracker si infiltrano. Causano danni. Rubano dati. Ma il grande pubblico usa il termine “hacker” come un termine negativo generico. La distinzione è persa. La sfumatura è sparita.
Questa confusione ha conseguenze legali. Modella il modo in cui le società vedono la privacy e l’innovazione digitale. Il prossimo passo è capire come la legge cerca di mettersi al passo con la tecnologia che si muove più velocemente della legislazione.
Dobbiamo vedere come i tribunali interpretano queste definizioni. E cosa succede quando il “cracker” è in realtà solo un curioso cappello bianco che ha commesso un errore.
Il confine è più sfumato di quanto ammetta la legge.
La maggior parte dei governi guarda agli hacker con profondo sospetto. La capacità di entrare in un sistema senza essere scoperti e di uscirne con dati riservati è sufficiente per tenere sveglio la notte qualsiasi funzionario. L’intelligenza è troppo preziosa per rischiare. Molti agenti non fanno distinzione tra un armeggiatore curioso che mette alla prova le proprie abilità e una spia straniera che ruba segreti.
La risposta legale riflette questa paranoia. Negli Stati Uniti, diversi statuti rendono illegale l’hacking. 18 U.S.C. § 1029 mira alla creazione e distribuzione di dispositivi utilizzati per l’accesso non autorizzato. Il suo linguaggio si concentra sull’intento di frode. Questo crea una scappatoia. Un hacker può affermare che voleva solo sapere come funziona la sicurezza. È una difesa debole, ma esiste.
18 U.S.C. § 1030 è più severo. Vieta l’accesso non autorizzato ai computer governativi. Tentare semplicemente di entrare può essere un crimine. Non è nemmeno necessario rubare nulla per essere puniti se si accede a un sistema governativo non pubblico.
Sanzioni e leggi globali
Le conseguenze variano. Reati minori potrebbero comportare sei mesi di libertà vigilata. Altri rischiano una pena massima di 20 anni di carcere. Il Dipartimento di Giustizia utilizza una formula che tiene conto del danno economico e del numero delle vittime per determinare la pena.
Altre nazioni hanno le proprie regole. Alcuni sono vaghi. La Germania ha recentemente approvato una legge contro il possesso di “strumenti da hacker”. I critici sostengono che la definizione è troppo ampia. Potrebbe criminalizzare il legittimo lavoro di sicurezza. Se un’azienda assume un hacker per individuare i difetti, tecnicamente potrebbe infrangere la legge prevista da questa legislazione.
L’incubo dell’estradizione
Gli hacker possono commettere crimini in un paese mentre si trovano in un altro. L’accusa diventa un grattacapo logistico. Le forze dell’ordine devono presentare una richiesta di estradizione per processare i sospettati all’estero. Il processo dura anni.
Gary McKinnon è un caso famoso. Ha violato i sistemi del Dipartimento della Difesa degli Stati Uniti e della NASA dal Regno Unito. Ha iniziato nel 2002. McKinnon ha affermato che stava esponendo i difetti di sicurezza, non rubando dati. Ha combattuto l’estradizione per cinque anni. Nell’aprile 2007, i tribunali britannici hanno respinto il suo appello finale. La battaglia era finita.
Gli hacker che rispettano la legge possono comunque guadagnare bene. Le aziende li assumono per testare i punti deboli dei sistemi di sicurezza. Altri fanno fortuna costruendo software utile. Gli studenti di Stanford Larry Page e Sergey Brin hanno creato un motore di ricerca che hanno chiamato Google. Oggi sono al 26esimo posto nella lista dei miliardari più ricchi del mondo stilata da Forbes.
Hacker famosi
Nella tecnologia il confine tra creatore e criminale è sempre stato sottile. Consideriamo Steve Jobs e Steve Wozniak. Prima di diventare i titani dietro Apple, erano hacker. I loro primi exploit non erano esattamente innocenti. Hanno manipolato i sistemi telefonici e aggirato i protocolli di sicurezza in modi che ora sembrano intenti malevoli.
Ma sono cambiati.
Hanno spostato la loro attenzione. Invece di rompere le cose, hanno iniziato a costruirle. Questo perno ha contribuito a lanciare la rivoluzione dei personal computer. Prima di Apple, i computer erano monoliti aziendali. Erano costosi. Erano ingombranti. Appartenevano a grandi istituzioni, non a famiglie. Jobs e Wozniak hanno democratizzato quel potere. Hanno dimostrato che l’informatica può essere personale.
Gli architetti Open Source
Non tutti gli hacker cercano gloria o profitto. Alcuni vogliono semplicemente costruire strumenti migliori.
Linus Torvalds si adatta a questo stampo. Il creatore del sistema operativo Linux viene spesso citato come un hacker “onesto”. Non ha nascosto il suo codice. L’ha aperto. Il suo lavoro promuove il modello open source, una filosofia che vive di trasparenza. La logica è semplice. Quando consenti a tutti di vedere il codice sorgente, ottieni un’innovazione più rapida. Ottieni un sistema che viene rattoppato da migliaia di occhi, non solo da una manciata di sviluppatori aziendali.
Richard Stallman opera in quella stessa sfera etica. Conosciuto nella comunità come “rms”, ha fondato il Progetto GNU. Si è trattato di uno sforzo enorme per creare un sistema operativo libero, simile a Unix. Stallman è un forte sostenitore del software libero. Sostiene che gli utenti dovrebbero avere la libertà di studiare, modificare e distribuire il software.
La sua opposizione al Digital Rights Management (DRM) è ben documentata. Vede il DRM come una restrizione alla libertà dell’utente. Per Stallman la libertà del software è una libertà civile. Lavora a stretto contatto con la Free Software Foundation per promuovere questo programma.
Quando la curiosità oltrepassa il limite
Poi c’è l’altro lato. I cappelli neri.
Questi sono gli attori che usano le loro abilità per l’intrusione piuttosto che per la creazione. Il caso di Jonathan James si distingue come un ammonimento. Aveva solo 16 anni quando divenne il primo hacker minorenne a scontare una pena in prigione.
James non ha hackerato server casuali. Ha preso di mira obiettivi di alto profilo e ad alta sicurezza. La NASA era uno di questi. Ha anche violato un server della Defense Threat Reduction Agency. La posta in gioco era alta. Le vittime erano potenti.
Online utilizzava lo pseudonimo “c0mrade”. È una pratica comune nella cultura hacker utilizzare uno pseudonimo, o handle, per separare la propria identità digitale dalla vita reale. Ma l’anonimato non lo ha protetto.
James è stato inizialmente condannato agli arresti domiciliari. Quella sentenza è stata revocata quando ha violato la libertà condizionale. È finito dietro le sbarre. Il suo caso ha evidenziato un cambiamento nel modo in cui il sistema giudiziario considerava i crimini informatici. Non era più solo malizia. Si è trattato di una grave violazione delle infrastrutture nazionali.
Perché questo è importante oggi
L’evoluzione da Jobs a James mostra lo spettro dell’hacking. Da un lato ci sono i costruttori. Usano competenze tecniche per creare prodotti che cambiano il modo in cui viviamo. Dall’altro ci sono gli intrusi. Usano le stesse abilità per entrare nei sistemi.
La differenza non è solo tecnica. È etico.
Per l’utente medio, questa distinzione è importante. Ci affidiamo ai costruttori. Ci fidiamo
L’area grigia dell’hacking moderno
Il confine tra criminale e consulente non è sempre netto. Adrian Lamo lo ha imparato nel modo più duro. Non ha utilizzato risorse aziendali. Utilizzava le biblioteche pubbliche e gli internet cafè. Il suo metodo era semplice. Ha trovato difetti nei sistemi di alto profilo. Li ha sfruttati. Quindi ha inviato un’e-mail all’azienda per avvisarli. Sembra un comportamento da cappello bianco. Ma non è stato pagato. Non era autorizzato. Era solo curioso. Ed è andato troppo oltre. Ha curiosato. Ha letto documenti sensibili. Ha avuto accesso a materiale riservato che non aveva diritto di vedere. Il New York Times lo ha catturato. Ciò pose fine alla sua libertà. Non era una questione di abilità. Riguardava l’intento e la legge.
Kevin Poulsen ha preso una strada diversa. Lo pseudonimo “Dark Dante” si adatta ai suoi primi lavori. Si specializzò in reti telefoniche. Ha preso di mira KIIS-FM. Il suo gol era banale ma tecnico. Ha truccato le linee telefoniche in modo che arrivassero solo le chiamate da casa sua. Ha partecipato a concorsi radiofonici. Ha vinto. Ha tradito. Ma non si è fermato qui. Si è evoluto. Oggi Poulsen lavora come redattore senior presso la rivista Wired. Scrive di sicurezza. Spiega i rischi. Conosce gli strumenti perché li ha usati.
Poi c’è Kevin Mitnick. Già solo il nome evoca i ricordi degli anni ’80. La storia racconta che ha hackerato il NORAD all’età di diciassette anni. Ha avuto accesso ai sistemi di comando della difesa aerospaziale nordamericana. La leggenda è cresciuta. La gente sussurrava che fosse sulla lista dei più ricercati dell’FBI. Non era del tutto esatto. È stato arrestato più volte. Le accuse di solito riguardavano l’accesso non autorizzato al software proprietario. Non ha semplicemente fatto irruzione. Ha preso le cose. Ha copiato la proprietà intellettuale. Il mito del genio del lupo solitario ha oscurato la realtà di un ladro persistente.
Cosa succede realmente online oggi
Non disponiamo di numeri attendibili sul numero di hacker attivi in questo momento. Le stime variano in migliaia. Il conteggio è impossibile da verificare. Perché? Perché molti sono dilettanti. Scaricano strumenti che non capiscono. Eseguono script. Si intromettono in cose che non dovrebbero. Lasciano tracce. Vengono catturati. I loro strumenti sono pericolosi. La loro conoscenza è superficiale.
Altri sono diversi. Operano nell’ombra. Conoscono l’architettura. Conoscono le vulnerabilità. Si insinuano. Prendono ciò di cui hanno bisogno. Se ne vanno. Nessun allarme si attiva. Nessun registro mostra un’anomalia. Questa è la parte spaventosa. L’intrusione silenziosa.
Il pubblico vede i titoli. Gli arresti. Le perdite. Non vedono le migliaia di violazioni silenziose. Quelli che non fanno mai notizia.
“Il confine tra criminale e consulente non è sempre netto.”
Comprendere il panorama delle minacce
Dobbiamo vedere come funzionano effettivamente questi attacchi. Non solo il chi, ma il come.
I cavalli di Troia si mascherano da software legittimo. Li installi volentieri. Aprono una backdoor. Il phishing si basa sull’errore umano. Ti induce a rinunciare alle credenziali. Spyware monitora la tua attività. Ruba dati mentre navighi.
La difesa non riguarda solo i firewall. Si tratta di consapevolezza. Crittografia protegge i dati in transito. Ma non aiuta se consegni la chiave.
Risorse come le conferenze 2600: The Hacker Quarterly o DEFCON documentano queste tendenze. Tracciano l’evoluzione degli strumenti. Discutono dell’etica. Chaos Communication Camp riunisce la comunità. Non si tratta solo di criminali. Sono i ricercatori. Critici. Ingegneri.
Le fonti vanno da Bruce Schneier sui principi di sicurezza a Paul Graham sulla cultura. I testi giuridici del Dipartimento di Giustizia delineano i confini. La legge sta recuperando terreno. Ma è sempre indietro.
Consideriamo il caso dell’hacker britannico che ha perso una battaglia per l’estradizione. O i dibattiti sulle leggi antihacker tedesche. Il quadro giuridico fatica a tenere il passo con la tecnologia.
Ci affidiamo a strumenti open source per difenderci. Utilizziamo algoritmi di forza bruta per testare i nostri sistemi. Gli stessi strumenti che ci aiutano a proteggere i dati possono essere utilizzati per comprometterli. È una realtà a duplice uso.
Non esiste una soluzione perfetta. Nessuna soluzione miracolosa. Puoi chiudere una porta. Se ne apre un altro.
La domanda rimane. Siamo più sicuri rispetto a dieci anni fa? Gli strumenti sono migliori. La consapevolezza è più alta. Ma gli aggressori sono più intelligenti. E sono pazienti.
Segui i link. Leggi i casi studio. Comprendi i meccanismi. Non temere solo l’hacker. Comprendi il sistema che sfruttano.
