Taglie, broker e Stati: così funziona il mercato degli attacchi informatici

Guerre informatiche, il vero regno della "bufala". Come e peggio delle scie chimiche, delle dietrologie politiche, degli antivaccinisti e così via.

Il problema è sempre l'ignoranza rispetto al merito delle cose, alla realtà, ai meccanismi. Che sono sempre complessi, richiedono competenze elevate, quindi fatica, sforzo mnemonico e soprattutto concettuale. Roba che sbatte frontalmente con la "rapidità" e la "sinteticità" dei social network, che ormai costituiscono il livello basico di chi consuma questo tipo di informazione e perciò, senza alcuna logica, si ritiene "informato" al punto di poter sputare sentenze su qualsiasi aspetto dello scibile umano (si fermano sempre davanti ai problemi di scienza "hard", chissà perché...).

Sul tema, dunque, pubblichiamo molto volentieri questa inchiesta di Carola Frediani - nata e formata nelle factory di Franco Carlini, indimenticato animatore di Chips & Salsa, uno dei tanti inserti trasudanti intelligenza de il manifesto di una volta.

L'inchiesta è apparsa su La Stampa, ma non per questo concede nulla al pressapochismo. 

*****

Tra aziende che lavorano con la Nsa e hacker russi, cresce la compravendita di bachi del software, ben finanziata dai governi. Anche se l’Europa ora vorrebbe regolamentarla.

Si autodefinisce, non senza polemica ironia, il Darth Vader della sicurezza informatica. Ma anche il lupo di Vuln Street, dove Vuln sta per vulnerabilità del software. Semplificazioni giornalistiche, certo, che lui ha indossato insieme alla maschera del cavaliere Jedi sedotto dal Lato Oscuro, sfoggiata ormai in pianta stabile sul suo profilo Twitter. Sarà anche per questo che molti dei suoi colleghi non amano parlare con la stampa. Del resto lavorano in un mercato - quello dell'acquisizione e rivendita di exploit, ossia di codice che sfrutta un baco di un software per lanciare un attacco informatico - connotato dalla segretezza, e sempre più gomito a gomito con i governi. «Sarà dura trovare qualcuno disposto a parlare, chi fa quel genere di trading oggi è additato come mercante di morte o giù di lì», mi aveva avvisato un esperto italiano di cybersicurezza. Ed è vero, pochi nel settore vogliono parlare. Ma Chaouki Bekrar, il cattivo di Vuln Street, è abbastanza abituato ai riflettori. Se ne è appena puntato uno addosso sfidando la Apple. 

Apple most wanted 

Mentre infatti milioni di persone correvano ad aggiornare i propri iPhone e iPad all’ultimo sistema operativo della Mela – iOS 9, lanciato lo scorso 16 settembre – Bekrar, a distanza di neanche una settimana, ci metteva sopra tre taglie da 1 milione di dollari l’una. In pratica invitava i migliori hacker mondiali a fornirgli, in cambio di una lauta ricompensa, una tecnica capace di rompere il sistema di sicurezza degli iPhone e degli iPad e di prenderne il controllo da remoto, senza metterci le mani sopra, ma utilizzando come vettore di attacco una pagina web visitata dall’utente, oppure un sms ricevuto, o ancora una app del dispositivo.

Le tre taglie da 1 milione di dollari su iOS 9 che hanno fatto sobbalzare molti addetti del settore sono state messe da Zerodium, una piattaforma di brokeraggio fondata negli Stati Uniti lo scorso luglio da Bekrar, dopo essere stato per anni a capo della francese Vupen. Pure la sua precedente società, con sede a Montpellier, vendeva exploit – e tra i clienti aveva l’americana National Security Agency (Nsa) – anche se per trovare le vulnerabilità di un software e trasformarle in un attacco usava perlopiù risorse interne. Zerodium è invece un broker che compra exploit e li rivende. A governi, contractor, aziende. 

Stiamo parlando degli exploit più pregiati, gli 0-day o zero-day. Si chiamano così perché sfruttano vulnerabilità del software ancora sconosciute a chi lo ha sviluppato e agli utenti. Zero-day inteso come “zero giorni” da quando la vulnerabilità diventa nota: ovvero non è ancora nota se non all’attaccante (e magari ad altri come lui che l’hanno trovata indipendentemente).

Nella variegata gamma di venditori di exploit – che parte, al livello più basso, dagli scantinati della rete, dai forum specializzati su invito e i siti del Dark Web – quella di Zerodium è una boutique di lusso, dedita all’acquisizione di exploit e vulnerabilità premium. «Vogliamo catturare gli exploit zero-day più avanzati e le vulnerabilità a rischio più elevato che sono scoperte, conservate e a volte accumulate da ricercatori di talento in tutto il mondo», mi dice Bekrar via mail “iOS 9 è il sistema operativo mobile più sicuro in questo momento e sviluppare una catena di exploit in grado di aggirare gli avanzati sistemi di mitigazione (protezione, ndr) adottati è un processo lungo e complesso. Per questo pensiamo che un milione di dollari sia una cifra abbastanza alta per motivare molti ricercatori talentuosi».

Che ne sarà di quegli exploit se mai saranno ottenuti da Zerodium non è chiaro. «Li daremo solo ai nostri clienti», spiega Bekrar, e difficilmente fra questi ci sarà la diretta interessata, la Apple. «I venditori di software non possono pagare delle taglie così alte, perché manderebbero un messaggio sbagliato ai loro stessi dipendenti, che potrebbero essere tentati di andarsene per lavorare come ricercatori indipendenti».

Come dire: se giocare in attacco ti porta tanti soldi, perché stare a fare l’impiegato che rattoppa le difese?

Governi a caccia di 0-day 

Eppure anche quelli come Bekrar sono accusati di dopare il mercato, drenando risorse e talenti che servirebbero a rendere i software e la Rete più sicuri. Ma più ancora dei broker come lui, sono accusati di comportamento irresponsabile alcuni dei compratori. Come i governi, che acquistano zero-day e se li tengono per sé, invece di rivelarli ai produttori di software e hardware e agli sviluppatori. Il risultato è un boom del mercato di exploit e una Rete sempre più campo di battaglia. 

Anche se per Bekrar, e come vedremo non solo per lui, l’interpretazione è leggermente diversa. «Il mercato è in crescita perché molti ricercatori di sicurezza sono frustrati dalla mancanza di compensazioni decenti per vulnerabilità critiche, e quindi cercano compratori interessati a tali scoperte. E sì, il numero dei compratori cresce ogni giorno. Gli acquirenti più grossi sono i governi che hanno bisogno di avanzate capacità per proteggere le proprie infrastrutture o per condurre missioni di sicurezza nazionale».

Le missioni di sicurezza nazionale, a seconda del governo e delle sue priorità, possono essere molto diverse. C’è chi subito pensa alla cyberguerriglia, come il virus (tecnicamente un worm) Stuxnet, confezionato da Stati Uniti e Israele, che ha mandato in tilt le centrifughe di una centrale iraniana per l’arricchimento dell’uranio usando quattro zero-day. Ma sappiamo che molti governi usano le capacità offensive non solo per lo spionaggio o il sabotaggio ad alto livello; bensì anche per spiare dissidenti, fare operazioni di indagine ad ampio spettro; intercettare comunicazioni di massa, e così via.

Zerodium sostiene di vendere solo a grandi aziende della difesa, tecnologia, finanza che hanno bisogno di proteggersi; e a governi “democratici”, non presenti nelle liste nere di Usa o Onu. Sappiamo però, dalle notizie emerse sull’industria degli spyware, attigua a quella degli exploit (molti spyware usano exploit per infettare i target), che simili strumenti possono essere venduti in Paesi illiberali e autoritari, non sempre contemplati dalle liste occidentali.

E poi ci sono le catene di intermediari. Proprio la precedente società di Bekrar, Vupen, ha venduto exploit ad Hacking Team, l’azienda milanese produttrice di spyware. Che poi vendeva i suoi software, spesso tramite società locali, ad agenzie governative di diversi Paesi. Bekrar dice alla Stampa di aver collaborato con Hacking Team dal 2009 al 2011. Certamente le mail tra le due aziende mostrano molti contatti, e anche qualche insoddisfazione. Hacking Team era interessata a exploit per Word, Excel, Internet Explorer, Acrobat Reader, Winzip. Secondo il ricercatore di sicurezza Vlad Tsyrklevich, che ha fatto una delle poche analisi su questo mercato, Hacking Team non comprava dei veri zero-day (spesso troppo cari), ma degli exploit di seconda mano. E aveva difficoltà a rifornirsi dai broker principali di zero-day, come Vupen, i quali tendono a prediligere rapporti coi governi. O con aziende in grado di sostenere economicamente un approvvigionamento molto costoso. Per questo l’azienda di Milano era alla ricerca di hacker “indipendenti” che potessero vendergli direttamente degli attacchi più a buon prezzo. 

Il mercato nero tra forum russi e darknet 

Già, perché il mercato dei venditori di exploit è un mondo fatto a strati. Alla base c’è il mercato nero e perlopiù criminale, che comunica su forum online ad accesso riservato, come il noto Darkode, recentemente sequestrato dall’FBI, ma anche su tanti siti minori e meno noti, come 0day.in, che stanno alla luce del sole, anche se limitano l’accesso degli iscritti.

Anche sui siti delle darknet ci sono scambi del genere. Su un sito come Alphabay si trovano annunci come questo, che risale a metà settembre: un venditore di exploit abituale, di possibile origine russa, offre uno zero-day per pdf che permetterebbe di scaricare ed eseguire un programma malevolo sul computer di una persona. Basta che questa apra il pdf infetto.

Prezzo: 2500 dollari. 

Ovviamente, anche se il venditore ha una discreta reputazione sul sito grazie al meccanismo di feedback, è difficile capire vedendo solo l’inserzione se si tratti di un’offerta valida o di una mezza truffa.

Lo stesso tipo offre anche uno zero-day per il browser Tor. In questo caso la cifra bassa per un exploit del genere – 4mila dollari – è dovuta al fatto che funzionerebbe su una versione molto vecchia del browser. «Bisognerebbe capire quanti ancora usino quella versione, ma tenuto conto che gli utenti di Tor sono in genere abbastanza esperti, e quindi aggiornano spesso, è probabile che siano ben pochi ormai», commenta Claudio Agosti, sviluppatore di piattaforme che usano la rete Tor. Già, perché il valore di uno zero-day è determinato da molte variabili ma sicuramente la quantità di target contro cui si può utilizzare è una di quelle.

Qualche tempo fa era nato addirittura un mercato nero delle darknet solo dedicato alla vendita di exploit e 0-day, si chiamava TheRealDeal, ma mentre scriviamo è offline, forse per sempre, come accade spesso da quelle parti. 

A metà ottobre è arrivato invece un messaggio su una mailing list internazionale gestita da una azienda italiana di sicurezza offensiva. Un tizio con solo un indirizzo email come referenza offriva uno zero-day per Adobe Flash, il software usato da milioni di utenti per visualizzare animazioni o video in streaming, e le cui continue vulnerabilità sono ormai un bollettino di guerra giornaliero. 

Lo stesso venditore della mailing list ha lasciato simili messaggi in varie bacheche online, siti come Nulled.io o forum di hacker russi, dove offre anche exploit per Word 2013, a 5mila dollari. 

«Diciamo che chi posta online in giro non dà l’idea di essere molto bravo», commenta Fabio Pietrosanti, presidente dell’Hermes Center for Transparency and Digital Human Rights. Come aggiunge anche Luca Carrettoni, che guida un team di cybersicurezza per una nota azienda internet, «quando inizi a pubblicare vulnerabilità in maniera legittima, inizi ad essere bombardato da strane mail di gente che ti offre dei soldi». Insomma, lo scouting nel settore non manca, le occasioni per i venditori si moltiplicano sempre di più, i confini sono permeabili e la confusione sotto al cielo è grande.

Al punto che un gruppo di cracker russi, w0rm, noti per vendere exploit sul mercato nero e per aver hackerato i server di alcune società, come il Wall Street Journal, pochi giorni fa hanno annunciato sul loro sito un sorta di upgrade del proprio business: sarebbero pronti a vendere le vulnerabilità direttamente alle aziende interessate dalle stesse. Gestiscono anche un mercato online di vulnerabilità dove saranno vendute – dicono via mail alla Stampa – quelle falle di sicurezza che, pur essendo state notificate agli amministratori di un sito, non avranno ottenuto risposta.  

Il mercato grigio dei broker internazionali 

All’altro estremo, rispetto ai forum russi e a quelli delle darknet, ci sono invece le boutique di lusso che lavorano principalmente con i governi, i loro contractor o grosse aziende. Mescolando i dati pubblicati dalla ricercatrice accademica Mailyn Fidler e più recentemente dal già citato esperto di cybersicurezza Vlad Tsyrklevich, più altre informazioni raccolte indipendentemente, La Stampa ha individuato le aziende o i broker più visibili: alcuni sono in effetti dei nomi noti che in passato hanno rilasciato anche interviste ai media.

La tabella è molto grezza, parziale, solo indicativa, e va presa cum grano salis. Mancano ad esempio molti contractor della Difesa americana, che pure hanno a che fare con questo settore. Mancano alcuni Paesi certamente attivi, come Israele. «È un mercato basato sulla segretezza», commenta a La Stampa Vlad Tsyrklevich. «La maggior parte delle aziende coinvolte non parla delle proprie attività».

La compravendita di exploit è poi attività molto artigianale. Variano i prezzi, le modalità di contrattazione, i termini di pagamento. Ad esempio: come fa a sapere un compratore che lo zero-day che sta acquistando in esclusiva e a caro prezzo da un hacker lontano mille miglia non verrà venduto sotto banco anche ad altri? «La struttura dei pagamenti è in genere estesa in modo che se la vulnerabilità è scoperta poco dopo l’acquisto, il compratore non deve pagare il prezzo intero», ci spiega Tsyrklevich.

Quando ad esempio Hacking Team comprò degli exploit per Flash da un hacker russo, Vitaly Toporov, per 35 – 40mila dollari (il prezzo basso è anche perché non erano in esclusiva), il pagamento è stato diviso in tre tranche: il 50 per cento subito, e gli altri due 25 per cento nei due mesi successivi.

Da notare in ogni caso come molti dei maggiori broker o venditori più noti e ufficiali siano americani o facciano affari negli Usa. In effetti il governo americano è il primo compratore di exploit. Dai documenti rivelati da Edward Snowden sappiamo che nel 2013 la National Security Agency stanziava 25,1 milioni di dollari per “acquisti segreti di vulnerabilità software” da venditori privati, corrispondenti a una stima minima che va dalle 100 alle oltre 600 vulnerabilità all’anno. Secondo il Center for Strategic and International Studies di Washington, dopo gli Stati Uniti, gli altri principali acquirenti di exploit sono Israele, Gran Bretagna, Russia, India, Brasile, oltre ad alcuni servizi segreti mediorientali e la Corea del Nord.

Exodus Intelligence è una delle aziende di spicco del settore, sede in Texas. Vende informazioni su vulnerabilità ed exploit ad aziende di cybersicurezza e governi. «Troviamo il 95 per cento delle nostre vulnerabilità facendo ricerca internamente», spiega alla Stampa il presidente Logan Brown. «Abbiamo anche un programma di acquisizione che non utilizziamo molto. In Exodus lavorano 23 dipendenti, di cui 14 sono dedicati alla ricerca di zero-day». 

Qualche tempo fa Exodus aveva segnalato uno zero-day al gruppo di sviluppatori del sistema operativo Tails, usato anche da molti attivisti nel mondo, dando loro il tempo di patchare, di aggiornare il software, prima di pubblicare i dettagli.

Prima della segnalazione a Tails l’informazione è stata passata a uno dei clienti di Exodus? «Volevamo solo mostrare che tutti i software hanno buchi, e che non puoi fidarti completamente di nessuno di questi. Era un modo per accrescere questa consapevolezza. Quella specifica vulnerabilità non era di interesse dei nostri clienti corporate, quindi non l’abbiamo venduta a nessuno, e l’abbiamo segnalata alla squadra di Tails, che ha aggiustato il problema in modo rapido ed efficiente». 

Contraddizioni e dilemmi etici 

Ma in questo mercato i confini, che sono perlopiù autoimposti, possono essere molto labili. Interessante ad esempio il caso di Netragard, un’azienda di Boston che diceva di vendere solo a clienti statunitensi ma che è rimasta invischiata nel leak di Hacking Team. Dalle mail e documenti dell’azienda italiana è infatti emerso che Netragard non disdegnava di fare affari anche con aziende straniere, come appunto la società milanese (anche se tramite l’escamotage di un rivenditore statunitense) che poi a sua volta vendeva gli exploit nei suoi pacchetti di intrusione e sorveglianza a governi di mezzo mondo (spesso attraverso ulteriori intermediari). Da Netragard, Hacking Team comprò un exploit per Adobe Reader per 80,5 mila dollari.  

Dopo il leak dell’azienda italiana, Netragard ha fatto però una retromarcia clamorosa, una sorta di mea culpa in cui ha annunciato di chiudere il suo programma di acquisizione e rivendita di exploit. «Se e quando il mercato 0-day verrà correttamente regolamentato rilanceremo il nostro programma di exploit», ha dichiarato all’epoca il Ceo Adriel Desautels, che sembra essere tra i pochi del settore a favore di una regolazione di qualche tipo. Anche se ha specificato: «La regolamentazione non deve colpire gli 0-day ma chi li compra e usa».

Fine del liberi tutti? 

Proprio sul tema della regolamentazione l’Europa ha appena concluso, il 15 ottobre, una consultazione pubblica per aggiornare la legge sulle esportazioni che regola il commercio di beni a uso duale, ovvero quei prodotti che possano essere usati sia per scopi civili e commerciali che militari. Se un bene è di uso duale richiede una licenza per l’esportazione fuori dall’Europa. Nel 2014 nella lista dei prodotti duali sono finiti anche gli spyware, come quelli sviluppati da Hacking Team (o da altre aziende europee quali la tedesca FinFisher). Ora però la discussione è come rendere più stringenti e uniformi tali norme e soprattutto la loro applicazione.

A spingere per una riforma in questo senso sono parlamentari europei come l’olandese Marietje Schaake. “I diritti umani (e il fatto che siano violati in determinati Paesi, ndr) devono essere inclusi come un criterio di controllo nella legge sulle esportazioni, devono giocare un ruolo importante quando le autorità competenti sono chiamate a rilasciare una licenza”, spiega alla Stampa Schaake.

I temi sul piatto sono essenzialmente due. Il primo riguarda gli spyware: questi rientrano già nella regolamentazione ma il problema è che ogni Stato sembra applicare le regole in modo discrezionale, commenta Schaake, e il riferimento è all’Italia e ad Hacking Team. La posizione del governo italiano filtrata fino ad oggi sembra essere quella di aver applicato semplicemente la norma europea. «Quando ho chiesto informazioni al Ministero dello Sviluppo Economico – dichiara a La Stampa il deputato M5S Giuseppe D’Ambrosio, tra i pochi politici che si è interessato alla questione – mi hanno risposto che sulla base della normativa vigente nel 2014 i beni esportati da Hacking Team non erano sottoposti ad alcun vincolo specifico e pertanto potevano essere liberamente esportati a chiunque, fatte salvo le disposizioni di embargo vigenti in via generale verso alcuni Paesi o entità sensibili. E che solo dal 2015 il nuovo regolamento europeo ha previsto una licenza d’esportazione anche per i trojan (gli spyware come Rcs, ndr)”.

Ma l’ambiguità su come sono applicati in concreto regolamenti e sanzioni nei diversi Paesi resta, almeno per Schaake. «Credo che andrebbe investigato se le autorità italiane abbiano applicato propriamente le leggi europee e le sanzioni Onu. Ci sono seri dubbi al riguardo quando Hacking Team ha ottenuto un via libera per esportare in Russia e Sudan», dice l’europarlamentare. Insomma, è chiaro che sugli spyware in Europa l’interesse ora è alto, così come la volontà di porre un freno al liberi tutti che è esistito fino ad oggi.

La seconda questione ha a che fare invece con gli exploit ed è più delicata. Dovrebbero essere regolamentati anche questi come gli spyware? E in che modo?

Di fronte a tali domande molti ricercatori di sicurezza oppongono subito una levata di scudi. Tutti, ma proprio tutti, distinguono fra spyware ed exploit. «Gli spyware sono decisamente delle armi digitali», ammette Bekrar. «Tuttavia gli exploit possono essere sviluppati anche per ragioni di difesa, per fare dei penetration testing (test su un sistema in cui si simula un attacco, ndr), e quindi devono essere esclusi da simili regolamentazioni». E Logan suona addirittura catastrofico: «Penso che restrizioni governative interferirebbero solo con la ricerca a scopo di difesa, mentre non avrebbero effetti sul mercato nero delle cyberarmi».

Loro rappresentano ovviamente una parte interessata. Ma anche ricercatori che lavorano solo “in difesa” hanno pareri simili. «Ci sono indubbiamente problemi etici nel trattare con regimi repressivi; ma proprio il liberi tutti concesso da alcuni Paesi ad alcuni venditori rischia di ripercuotersi ora sulla comunità di ricercatori legittimi», commenta ancora Vlad Tsyrklevich. 

Le responsabilità dei governi, le risposte del mercato 

Al di là del dibattito su se e come regolare – che è in corso anche negli Stati Uniti, dove come in Europa si deve implementare l’accordo internazionale di Wassenaar per il controllo del commercio di armi – c’è chi punta il dito su altre questioni.

«È chiaro che se i governi hanno informazioni su sistemi vulnerabili, che magari riguardano milioni di dispositivi, e non li risolvono, lasciano internet insicura» commenta Carrettoni. Come intendono bilanciare dunque le loro esigenze di intelligence con la protezione delle infrastrutture e degli utenti?

Per limitare i danni del mercato nero criminale e di quello grigio che pur essendo legale promuove segretezza e insicurezza, c’è chi pensa che bisognerebbe spingere il mercato “bianco”, quello alimentato dalle aziende tecnologiche disposte a pagare delle ricompense a chi trovi falle sui loro prodotti. «Devi tirare dentro le aziende produttrici di software e hardware», spiega Carrettoni. «E quindi fare in modo che chi lavora nel settore abbia delle compensazioni decorose. Se crei delle alternative valide le persone inizieranno a considerare quell’opzione».

In parte sta giù succedendo. Già nel 2005 era nato un programma di acquisizione, Zero Day Initiative, oggi gestito da HP, che paga i ricercatori per i bachi e li riporta poi ai produttori. Simile e più recente un progetto come HackerOne. Ma soprattutto ci sono internet company – Microsoft, Mozilla, Facebook, Google – che offrono delle taglie sui propri bachi.

«Negli ultimi anni siamo passati, per chi trova e rivela vulnerabilità, dal ricevere minacciose lettere di avvocati, alla pacca sulla spalla ad avere infine pagamenti più accettabili», commenta Carrettoni.

Le cifre? Due, tre, cinque, dieci mila dollari a seconda della tipologia. In casi particolari ci si spinge più su. Ma questo sistema non riesce a competere, sul piano puramente economico, con il mercato grigio. E con la domanda crescente dei governi.

«La ricerca degli zero-day non può essere fermata, e non lo sarà mai perché gli interessi in gioco oggi sono immensi», dichiara alla Stampa Alberto Pelliccione, ex-dipendente di Hacking Team che ha poi aperto una sua società di cybersicurezza, ReaQta. «Uno zero-day potenzialmente può avere lo stesso valore che per un’agenzia di intelligence ha un asset inserito ad alto livello all’interno di un governo “nemico” ed i costi sono in confronto bassissimi. Acquisire un asset ti costa milioni e impiega anni, un exploit ti costa una frazione e sei dentro nel giro di minuti». 

Nel mentre, ogni giorno si aprono nuove falle sul fronte del software. «Qualsiasi programma ampiamente usato è a rischio perché sia chi lavora in difesa sia chi va all’attacco è alla ricerca di exploit su questi, in particolare: browser, client email, server, router», commenta ancora Bekrar. Lui lo sa bene, su queste falle ha lanciato due aziende. “La vita è breve, vendi i tuoi zero-day a Zerodium”, recita il suo profilo Twitter. Una massima che per milioni di utenti si traduce in un insegnamento ben più terra terra: internet è insicuro, cestina i programmi superflui, aggiorna i tuoi sistemi, e incrocia le dita.

Fonte

Spiare i cittadini si deve, dice il Senato Usa

Nel paradiso delle libertà democratiche, spiare i cittadini è "una libertà dello Stato". Ricordate lo scandalo Datagate, sulla base delle rivelazioni dell'ex agente Edward Snowden? Decine di milioni d intercettazioni su telefoni, mail, facebook, twitter, ecc, disposte a prescindere dalla "pericolosità" reale o solo presunta degli "attenzionati", statunitensi o stranieri che fossero. Il tutto organizzato dalla Nsa, agenzia federale parente della Cia.

Uno scandalo che ha messo in forte imbarazzo l'amministrazione Obama soprattutto quando si è saputo che tra gli intercettati c'erano leader alleati, come per esempio Angela Merkel. E che quindi aveva posto la necessità di una "riforma" dell'agenzia, in modo che determinate situazioni non si potessero verificare di nuovo.

Sembrava fatta, con il progetto di legge arrivato all'esame del Senato. E invece, no, contrordine: gli Stati Uniti possono e "debbono" spiare chiunque appaia, a insindacabile giudizio dei capi dell'agenzia, un potenziale ostacolo o danno ai "vitali interessi degli Usa".

Il Senato americano ha dunque bloccato la riforma della National Security Agency. La misura - enfaticamente chiamata U.S.A. Freedom Act - prevedeva la fine della raccolta automatica di dati dalle chiamate telefoniche degli americani. E soltanto di questi. Ma non ha incassato i 60 voti necessari per l'avvio del dibattito.

Sono mancati al'appello due voti (58 quelli a favore, sui 60 necessari). Hanno votato contro quasi tutti i senatori repubblicani, ma anche qualche "democratico". Il voto negativo del Senato rinvia al prossimo anno il dibattito sulla riforma, che puntava a rinnovare e modificare il Patriot Act, la legge teoricamentre "antiterrorismo" voluta da Dabliu Bush all'indomani dell'11 settembre.

Il leader dei repubblicani al Senato, Mitch McConnell, per bloccare l'approvazione della riforma, è ricorso al più vecchio argomento possibile: ''Questo è il momento peggiore possibile per legarci le mani dietro la schiena''. Ma probabilmente non ne può esistere nessuno adatto. E le mani dietro la schiena è meglio legarle a tutti gli altri...

Fonte

La Cia ci spia, in piena libertà...

Usare Internet e i social network è presentato come un comportamento vantaggioso per la libertà di ogni individuo. Così come circolare con un telefono, possibilmente munito di gps.

L'utilità anche della connessione universale è molto chiara, a cominciare dalla possibilità di accedere a una montagna di informazioni un tempo spezzettate su supporti diversi (libri, giornali, dischi, pellicole, ecc). E anche poter definire in ogni momento la propria posizione su una mappa può essere questione di vita o di morte, in certi momenti.

Ma non è necessario essere maestri di dialettica per capire che queste libertà hanno un costo decisamente elevato: la possibilità di essere spiati in ogni istante, pedinati, registrati, localizzati. Il cittadino senza interessi politici rilevanti, ma anche molti attivisti che non si pongono la domanda chiave (“la mia attività è gradita oppure no dal mio governo o dal mio datore di lavoro?”), sono soliti fare spallucce profferendo una frase che sembra presa da un manuale di interrogatorio poliziesco: "non ho niente da nascondere". C'è in questo caso una introiezione dell'”ordine costituito”, per cui l'individuo si ritiene agente nella piena legalità, senza neanche chiedersi se i “custodi ufficiali della legalità” siano quel che dicono di essere o qualcos'altro.

Dal punto di vista strettamente liberale la critica di Edward Snowden (l'ex spia della Nsa che ha reso noto al mondo il Datagate) è definitiva: "quando dici 'non ho niente da nascondere' stai dicendo 'non ho bisogno di questo diritto, quindi mi giustifico'. È il governo che deve giustificare le sue intrusioni, non siamo noi che dobbiamo giustificarci sul perché abbiamo bisogno del diritto di parola".

Ma non basta. L'idea che esista una società “normale”, senza conflitti sociali, ovvero senza interessi contrapposti che spingono per il mantenimento o la modifica di questo assetto, è un'invenzione millenaria; peraltro sempre infranta dall'emergere dei conflitti stessi. Fa parte di questa idea la concezione del potere militare dello Stato, compresi ovviamente i suoi servizi di informazione e sicurezza, più o meno segreti, come di una specie di “vigile urbano” che regola il traffico e non ti fa la multa se non lo meriti. Mentre, nella realtà quotidiana, questi servizi sono il braccio – armato per definizione – del potere dominante, incaricato di reprimere quanto possa essere anche marginalmente "pericoloso" per quel potere. Nel caso degli Stati Uniti, peraltro, questi servizi hanno anche la pretesa di controllare l'universo mondo per “difendere gli interessi degli Stati Uniti” (lo dicono apertamente, non è un'attribuzione malevola).

Tu puoi insomma “non avere niente da nascondere”, ma sarà il tuo governo (e quello degli Stati Uniti, a un livello planetario superiore) a decidere se è vero o no, se tu puoi essere un nemico o no; prima ancora che tu abbia già maturato una critica radicale dell'esistente.

I social network sono al tempo stesso un mezzo di comunicazione ultralibero e uno spazio comunicativo ipercontrollato, senza soluzioni di continuità spaziali e temporali. Più sei libero di fare e di “schierarti”, più contribuisci alla costruzione del “Big Data” che contiene la tua scheda, la implementa, integra la rete delle tue amicizie, le classifica per tema di interesse comune (tifare la stessa squadra è ovviamente meno interessante del militare nello stesso fronte politico, ma il governo o chi per lui saprà comunque utilizzare – al bisogno – anche quell'informazione “solo sportiva”). Non si tratta di immaginare un “Grande fratello”. Si tratta di vederlo. E di capire come funziona.

Facciamo esempi semplici, così ci capiamo prima. In alcune inchieste giudiziarie, degli attivisti sono stati ritenuti “pericolosi”, in determinate circostanze, perché avevano lasciato a casa i propri smartphone o semplici cellulari. Avevano insomma impedito – volontariamente o involontariamente, non conta – il proprio pedinamento minuto per minuto, la registrazione automatizzata delle proprie conversazioni, la schedatura dei propri contatti in quell'arco di tempo passato fuori casa.

Fermiamoci qui, per ora, proponendovi un articolo pubblicato su un giornale decisamente filo-governativo e pro-yankee (Repubblica) su come gli Stati Uniti procedono alla schedatura e monitoraggio delle opinioni politiche dei propri cittadini (tutti, tendenzialmente), nonché della loro evoluzione nel tempo.

Troviamo decisamente interessante, sul piano categoriale, la definizione delle “opinioni devianti dalla norma consentita” come inquinamento sociale. Non ci sembra un forzatura dire che il potere – degi Stati Uniti, in questo caso, ma crediamo valga anche per i suoi alleati italiani – considera l'opposizione politica e sociale come un “rifiuto” da estirpare. Grazie alla libertà vigiliatissima garantita dai social network basati negli Usa.

*****

Twitter, il governo Usa studia le idee politiche degli utenti: quella strana indagine che sa di Grande Fratello

Un membro della Federal Communications Commission statunitense, Ajit Pai, riporta alla luce un progetto accademico in corso da anni finanziato da un'agenzia federale. L'obiettivo? "Individuare l'inquinamento sociale, la disinformazione online e la diffusione di posizioni tendenziose". Con buona pace di due anni di Datagate

di SIMONE COSIMI

DI POLEMICHE, in questi anni di social rivoluzioni, se ne sono susseguite molte. Una dietro l'altra. L'ultima, giusto lo scorso giugno, ha travolto Facebook: si trattava del famoso studio sul contagio delle emozioni tramite la piattaforma di Menlo Park. Le scuse complete su quell'indagine, in realtà andata in scena anni prima ma venuta alla luce solo l'estate scorsa, sono arrivate a fatica e dopo un po' di tempo. Anche perché l'utenza, dopo un anno e mezzo di Datagate, sembra farsi progressivamente più cosciente dei rischi che corre condividendo fette sempre più ampie di esistenza su canali che grazie a quei dati fanno ricchi affari. Dati che spesso vengono sottoposti senza troppi problemi all'attenzione delle agenzie di sicurezza. Ecco perché molti studi, magari in corso da tempo, stanno tornando a catalizzare l'attenzione proprio in questi mesi.

Adesso una nuova polemica rischia infatti di travolgere Twitter, il social dell'informazione, delle notizie, dell'attivismo e delle mobilitazioni per eccellenza. E non solo, Twitter, anche altri "social media di microblogging". La promessa è quella, poco rassicurante e raccontata sul sito ufficiale del progetto, di indagare "l'inquinamento sociale" che circola sulla piattaforma. A formularla però, e a metterla in pratica già da tre anni e fino al prossimo giugno, la National Science Foundation, un'agenzia federale statunitense la cui missione, da statuto, è "promuovere il progresso della scienza, la salute nazionale, la prosperità e il benessere" oltre che "assicurare la difesa nazionale". Come? Con un sistema attraverso il quale tecnici e ricercatori della Nsf (solo una lettera ne divide l'acronimo dalla famigerata Nsa) campionano, raccolgono e analizzano indisturbati almeno dal 2010-2011 i dati del social dell'uccellino.

Tecnicamente l'indagine, battezzata ormai quattro anni fa ispirandosi a un termine coniato dal comico e presentatore tv Stephen Colbert, "truthy", è in mano a un gruppo di ricercatori dell'università dell'Indiana. Stando a quanto riferisce il Washington Post e a quello che si legge sul portale del team, punta a monitorare una serie di fenomeni online. Per esempio, ciò che gli esperti chiamano "epidemie sociali": tanto per cominciare la diffusione di meme, cioè immagini, idee e fotomontaggi che invadono rapidamente piattaforme di questo tipo. Ma anche "insulti politici" e altre forme di "disinformazione". La base per fondare un servizio antibufale a stelle e strisce? Forse. Ma anche qualcosa di più scivoloso e inquietante.

"Se dici la tua su un tema importante, il governo può avere interesse nel valutare se stai facendo disinformazione?", è tornato a domandarsi a quattro anni dall'inizio del progetto Ajit Pai, membro della Federal Communications Commission statunitense, sul Washington Post. "Se twitti il tuo supporto per un candidato alle prossime elezioni di novembre, il denaro dei contribuenti dovrebbe essere speso per monitorare i tuoi interventi e valutare la tua posizione politica?". Domande importanti a cui la stessa commissione di cui fa parte l'esponente repubblicano dovrà presto trovare una risposta. Anzi, è già in ritardo. Soprattutto dopo 24 mesi di terremoto sui temi dei dati personali e del tracciamento online da fonti commerciali o governative.

Lo studio si propone di utilizzare una "sofisticata combinazione di campionamenti di dati e testi, analisi di social network e complessi modelli di rete" per distinguere fra idee che si diffondono in maniera organica e tuttavia spontanea e altre che invece possano apparire in qualche modo telecomandate "dalle losche macchine congressuali". È infatti necessario ricordare che, nonostante il progetto sia partito da almeno tre anni e sulla sua base siano già stati pubblicati alcuni paper, il 4 novembre si vota negli Stati Uniti per le elezioni di metà mandato.

Psicopolizia online? Presto per dirlo. E forse troppo. Certo l'indagine marcia da anni in una direzione non del tutto chiara, se anche un importante esponente della potente Federal Communications Commission - che pure in passato si era resa protagonista di velleità simili - esce allo scoperto per domandarselo. Non basta. Pare che Truthy tenga traccia anche dell'accoppiata account-hashtag. Vale a dire parole-chiave come #teaparty o #dems sono pescate e associate a chi ha pubblicato interventi che le menzionano, per valutare la parzialità politica degli utenti. Memorizzando le interazioni in un database e assegnando loro un'etichetta, stimando anche il tipo di approccio: se positivo o negativo rispetto ad altri utenti o certi temi di discussione.

Nulla che alcuni servizi di social network analysis già non facciano da tempo, giusto. Ma nel rispetto della privacy e utilizzando dati aggregati. Nel caso dell'indagine governativa Usa, il perimetro - finanziato per quasi un milione di dollari - sembra allargarsi spropositatamente, da anni, da un legittimo interesse scientifico alla messa a punto di un sistema di tracciamento alla luce del sole. A quanto pare senza alcun coinvolgimento diretto da parte di Twitter, che rimane fra l'altro una delle piazze digitali più rispettose delle garanzie degli utenti, stando in particolare alle pagelle rilasciate dalla Electronic Frontier Foundation. Il team di Truthy racconta quasi con candore che lo studio potrebbe essere utilizzato per "mitigare la diffusione di idee false o tendenziose, individuare l'hate speech e la propaganda sovversiva e difendere un dibattito aperto". Una chiusura, quest'ultima, quantomeno contraddittoria: difendere il dibattito marchiando e segnalando ciò che una mescolanza di algoritmi, segnalazioni e campionamenti valuta come spam? Non occorre disturbare George Orwell né Philip K. Dick per pretendere di saperne, dopo tanti anni, qualcosa di più.

Direzione che sembra voler fermamente imboccare anche l'House Committee on Science, Space and Technology, la commissione della Camera dei rappresentanti che vigila a livello federale sui temi della ricerca scientifica e dello sviluppo. E dunque sulle attività di enti come Nasa, dipartimento dell'energia e, appunto, National science foundation. Le rassicurazioni più volte diffuse da parte dei ricercatori, che hanno dichiarato come Truthy non sia programmato né in grado di determinare se un tweet costituisca disinformazione, non sembrano dunque sufficienti. "Il governo non ha alcun interesse nell'usare i fondi pubblici per supportare meccanismi che limitino la libertà di parola su Twitter e altri social media", ha dichiarato il repubblicano texano Lamar Smith, a capo del comitato. "La commissione ha recentemente supervisionato una serie di altri finanziamenti piuttosto discutibili della Nsf ma questo appare qualcosa di peggio che un semplice uso scorretto di fondi pubblici".

Fonte

Spiare stanca. La denuncia di Twitter

I social network sono guardati ormai con sospetto da decine di milioni di utenti. Il rischio, a medio termine, è un crollo verticale del numero degli utenti, stanche di farsi spiare dai rispettivi governi e soprattutto da quello statunitense. A quel punto la migrazione verso altri strumenti di comunicazione interpersonale, meno esposti all'occhio malefico dell'amministrazione Usa, sarebbe cosa di un attimo.

Dopo lo scandalo del Datagate, con le rivelazioni di Edward Snowden sulle modalità extralegali con cui la NSA - agenzia federale Usa incaricata fra l'altro dello spionaggio elettronico - era stato raggiunto un accordo "limitato" tra i principali social network e il governo statunitense. I primi avrebbero potuto avvertire i propri clienti di un certo numero di richieste da parte delle "agenzie". Ma non tutte e soprattutto non sempre corrispondenti a quelle effettivamente ricevute. Una mezza truffa, insomma, anche in una vicenda di spionaggio di massa.

Twitter ha rotto questo fronte, ieri, facendo causa all'amministrazione Obama. Spiazzando così in un colpo solo anche i concorrenti più forti, come  Google, Apple, Microsoft o Facebook, che si sono adeguati senza problemi ai nuovi standard governativi.

Il microblog ha depositato presso una corte federale della California una denuncia in cui mette sotto accusa il governo federale, reo di violare il "primo emendamento" della Costituzione americana, quello che tutela la libertà di parola e di espressione. E l'argomento è proprio l'impossibilità, per Twitter e gli altri social, di rivelare quanto sa a proposito delle richieste avanzate dagli 007 della NSA o dagli agenti dell'FBI.

In linea molto teorica, queste richieste dovrebbero riguardare soltanto gli indagati sospettati di attentare alla  sicurezza nazionale; ma quando le richieste riguardano decine di milioni di utenti, è chiaro che "il nemico è il popolo", ovvero il governo Usa sa di non essere nel cuore dei propri cittadini. E vuole controllarli tutti, uno per uno.

Al centro della denuncia c'è soprattutto il Dipartimento alla giustizia, che di fatto impedisce a Twitter - e a tutti gli altri social - di dare un'informazione completa sui programmi di sorveglianza del governo. "Crediamo di avere il diritto in base al primo emendamento di rispondere pienamente alle preoccupazioni dei nostri utenti, informandoli anche sullo scopo dei programmi di sorveglianza del governo", afferma il vicepresidente di Twitter, Ben Lee. "Dovremmo essere liberi di farlo - aggiunge - in maniera piena invece che in maniera incompleta e inesatta".

Al contrario che in Italia, dove la privacy non è un valore di massa, negli Usa lo scandalo datagate ha costretto tutti i big dell'informatica a correre ai ripari, fornendo ai clienti dispositivi o programmi che diano almeno l'illusione di essere un po' al riparo dall'occhio del Grande Fratello di Washington.

Nelle ultime settimane, per esempio, Apple ha lanciato il nuovo sistema operativo iOs 8 che di fatto rende impossibile alla stessa casa di Cupertino sbloccare i nuovi codici criptati degli iPhone 6. Anche Google ha annunciato una mossa simile a proposito della prossima generazione del sistema operativo Android.

Twitter che ha preso sul serio il concetto di concorrenza, ha fatto un passo molto più avanzato. Vedremo con quali effetti. Per ora, infatti, l'uso del microblog è altrettanto insicuro di prima.

Fonte

Ritratto di un cacciatore di malware

A prima vista Nex sembra un ragazzo come tanti. Taglio di capelli alla moda, un paio di sneakers sgualcite ai piedi e in tasca uno smartphone che estrae di tanto in tanto per controllare la mail. Ci incontriamo un pomeriggio di luglio a Bologna in un bar che si affaccia su piazza Verdi, nel cuore della zona universitaria. Sono passate poche ore dalla fine di Hackmeeting 2014 – il raduno delle controculture digitali, tenutosi presso il centro sociale XM24 – e i muri dei portici circostanti sono ancora tappezzati delle locandine pubblicitarie dell’evento.

Anche Nex vi ha preso parte, con un talk che ha fatto il tutto esaurito: nel buio della sala, spezzato soltanto da un fascio di luce irradiato da un proiettore, 150 persone si sono accalcate per ascoltare in religioso silenzio i suoi “racconti di sorveglianza digitale”. Due ore densissime, in cui l’hacker ha snocciolato gli episodi più significativi relativi agli ultimi due anni della sua vita. Anni vissuti pericolosamente, in prima linea contro l’industria del malware, ovvero contro quelle aziende private (come la tedesca Gamma International o l’italiana Hacking Team) che producono virus, spyware e software malevoli in grado di infettare qualsiasi dispositivo digitale – dagli smartphone ai personal computer – e metterne sotto controllo le comunicazioni. Una merce, com’è facile immaginare, richiestissima da polizie e servizi segreti di tutto il mondo, interessate a monitorare passo passo le attività di militanti politici e giornalisti non allineati.

L’industria dell’insicurezza

Claudio Guarnieri (questo il vero nome di Nex) fin da adolescente coltiva una passione sfrenata per la sicurezza informatica. Finite le scuole superiori si iscrive alla facoltà di informatica a Crema, anche se il suo percorso di studi era già cominciato molti anni prima nella scena hacker underground, quando questa era ancora un crogiolo incandescente di pensatori rivoluzionari e visionari del codice.

Prima ancora di terminare l’università viene messo sotto contratto da alcune società statunitensi che lo assumono come white hat: il suo compito è perimetrare le reti dei clienti e impedire che queste siano oggetto di incursioni ostili. Poco alla volta però Claudio si accorge che nel mondo della security professionale nulla è come sembra. «È solo un mercato di gadget che, per sua stessa natura, prospera sulla destabilizzazione delle reti». La logica che ne regola l’esistenza è semplice: maggiore è il numero degli attacchi che si verificano, maggiori sono i servizi che possono essere venduti, maggiori saranno i profitti conseguiti. Se questo meccanismo venisse intaccato, se il diffuso senso di insicurezza che aleggia oggi su Internet venisse meno, l’intero comparto collasserebbe nel giro di una notte.«Motivo per cui» prosegue «nessun player del settore ha interesse a spegnere un focolaio di minaccia una volta che l’ha individuato».

Senza moralità

Lo interrompo. Gli chiedo di farmi un esempio pratico. Inclina il capo e mi osserva accigliato attraverso gli occhiali dalla montatura nera che ne incorniciano lo sguardo. Sospira. Poi, pazientemente, riprende il filo del discorso. «Poniamo che tu, azienda X, venga a conoscenza di un gruppo di cracker che in questo momento sta attaccando alcune società e istituzioni. Che fai? Rendi pubblica la notizia e permetti alla community di elaborare una qualche forma di contromisura? Oppure te la tieni per te, in modo tale che, se a essere colpito è un tuo cliente, tu sei l’unico in grado di tirare fuori dal cilindro una soluzione?». Ovviamente in cambio di un bel gruzzoletto.

Quest’assenza di etica professionale e moralità è una doccia fredda per Claudio. Sopporta finché può. Poi arriva al punto di saturazione e molla tutto. Dismette i panni del venditore di gadget, del security professional, e torna a essere un hacker. Torna a essere Nex.

Allaccia i contatti con Citizen Lab, un centro di ricerca interdisciplinare finanziato dall’università di Toronto che studia l’impatto delle tecnologie digitali sull’esercizio dei diritti umani e del potere politico. A spingerlo in questa direzione è anche la situazione ingenerata in Bahrein dalle rivolte scoppiate nel febbraio 2011. Attraverso un amico direttamente coinvolto nella scena politica locale, Nex viene messo in contatto con Ala’a Shehabi, cofondatrice di Barhainwatch.org e corrispondente del Guardian. Da diversi mesi la giornalista riceve strane e-mail provenienti da mittenti sconosciuti o che si spacciano per giornalisti di Al Jazeera. Al loro interno a volte sono allegate fotografie raggelanti che ritraggono i volti di attivisti locali torturati. Altre invece contengono documenti che promettono rivelazioni scottanti sull’agenda politica del governo. Ala’a si insospettisce. Decide di inoltrare i file a Nex e ai suoi “compagni d’arme” del Citizen Lab per farli analizzare.

Un controllo globale

I risultati non lasciano dubbi. Quelli ricevuti da Ala’a erano messaggi di posta elettronica infettati con «FinFisher, uno spyware prodotto da Gamma International di cui molti conoscevano l’esistenza nel nostro ambiente ma che nessuno aveva mai toccato con mano». Si tratta di un malware per l’intercettazione tattica: è multipiattaforma – funziona su ogni sistema operativo – e una volta che è installato sul computer o sul cellulare del target, nulla sfugge più al controllo degli attaccanti. Ogni SMS, chiamata (anche quelle Skype), e-mail, sessione di chat e spostamento fisico viene monitorato in tempo reale.

Citizen Lab pubblica il suo primo report. E a quel punto la situazione sfugge di mano. Innanzi tutto a Nex, che comincia a vedere il suo lavoro in un’altra prospettiva. Analizzare un malware non è più solo una sfida intellettuale: i target, da asettiche stringhe alfanumeriche, si trasformano in carne, sangue, affetti, spazzati via per un click di troppo o per aver scaricato un file che non dovevano. Ma sfugge di mano anche al gruppo di ricerca canadese che si trova all’improvviso sommerso da segnalazioni anonime, leak e soffiate che documentano l’uso di software simili in molti altri paesi dell’area. Salta fuori anche il nome di Hacking Team, una startup milanese – foraggiata anche da Finlombarda, una finanziaria controllata da Regione Lombardia – il cui software RCS (Remote Control System), dotato di funzioni simili a FinFisher, è stato utilizzato in almeno 21 paesi.

Nex mi spiega che lo spettro di conseguenze cui va incontro un gruppo politico quando viene sottoposto ad attacchi di questo genere è piuttosto ampio: carcere, repressione, violenza fisica. Ma non solo. In contesti sociali critici la sorveglianza elettronica svolge anche una funzione dissuasiva: coloro che capiscono di esserne oggetto, infatti, spesso abbandonano l’attività politica per non danneggiare i propri compagni. In gergo si chiama chilling effect: so di essere osservato e quindi non “delinquo”. Come capitato al gruppo giornalistico investigativo marocchino Mamfakinch, scioltosi come neve al sole quando i suoi membri hanno capito di essere oggetto delle attenzioni della cyber polizia di re Muhammad VI.

E in Italia? «Abbiamo in mano molto materiale che documenta l’uso di spyware nel nostro paese. Solo che» ci tiene a precisare «non l’abbiamo mai pubblicato perché non siamo ancora riusciti a ricostruire il contesto in cui è utilizzato. E senza spiegare il retroterra di un attacco, i nostri report si limitano ad essere indicatori tecnici, privi di qualsiasi valore politico».

All’ombra del datagate

Quello del malware è un mercato che non conosce recessione. Il suo valore oscilla fra i 3 e i 5 miliardi di dollari, con punte di crescita annuali del 20%. Un’espansione favorita da diversi fattori: paradossalmente uno di questi è stato il Datagate. All’ondata di proteste levatasi in seguito alle rivelazioni di Edward Snowden, molti provider commerciali hanno reagito implementando di default la crittografia sui loro servizi. «Il risultato è che l’intercettazione su cavo è diventata più difficile e gli spyware hanno avuto un’impennata di richieste da parte di polizia e servizi».

Poi c’è il vuoto normativo in cui opera il settore. Norme per limitare le esportazioni? Zero. Minore è la regolamentazione, più bassa è la soglia d’accesso al mercato. I costi sono talmente contenuti che la corsa agli armamenti digitali è aperta «a qualsiasi dittatorello che abbia due spicci da investire. Figuriamoci ai paesi con economie più avanzate». E la proliferazione incontrollata di tecnologie appositamente concepite per rendere insicure le reti ha un’altra ovvia ricaduta: l‘ulteriore destabilizzazione delle infrastrutture comunicative globali. «Ci guadagnano un po’ tutti. Chi traffica in spyware, perché così vede allargato il suo bacino d’utenza. Chi si occupa di security commerciale, perché a quel punto il lavoro non manca mai. E infine le agenzie di intelligence, che in una rete vulnerabile hanno molta più facilità a muoversi. C’è un matrimonio d’interessi tale» conclude Nex prima di salutarmi «che una regolamentazione del mercato non è neanche immaginabile».

Fonte

Turchia: Erdogan schiva indagini per corruzione e denuncia spionaggio Usa

Le autorità turche hanno arrestato nelle ultime ore una ventina di poliziotti nel corso dell’ennesima retata contro un presunto progetto, da parte di apparati statali paralleli, di rovesciare il governo del presidente Recep Tayyip Erdogan e impossessarsi così del potere con una sorta di golpe giudiziario. Secondo i media turchi la polizia ha condotto gli arresti questa mattina presto, compiendo irruzioni e arresti in 16 diverse città, tra cui Istanbul e Izmir. Tra gli agenti arrestati c'è Yakup Saygili, l'ex capo dell'unità anti-corruzione della polizia.

Cala così definitivamente il sipario sullo scandalo per corruzione che ha rischiato di travolgere il governo turco lo scorso dicembre e al quale Erdogan ha risposto con estrema durezza rafforzando la censura su internet e sulla stampa, facendo arrestare centinaia di poliziotti accusati di spiarlo e di fabbricare prove false e facendo destituire o trasferire ad altro incarico agenti, magistrati e avvocati in tutto il paese.

Proprio questa mattina la procura di Istanbul ha archiviato anche il secondo filone dell'inchiesta a carico di 96 imputati tra cui il figlio del presidente turco Bilal Erdogan, quello del faccendiere Riza Sarraf e i figli degli ex-ministri Salih Kaan Caglayan e Baris Guler accusati di concussione, concessione illegale di permessi edilizi e riciclaggio di denaro sporco. Secondo i pubblici ministeri l'obiettivo dell'inchiesta era "rovesciare con la forza il governo e impedirgli di svolgere tutte o parte delle sue funzioni" recita la sentenza emessa stamattina. Il primo filone dell’inchiesta a carico del figlio del'ex-ministro dell'Ambiente Erdogan Bayraktar, dell’imprenditore edile Ali Agaoglu e di altri 60 imputati era già stata archiviata a inizio maggio per "mancanza di prove".
Il 17 dicembre del 2013 erano scattate le manette per decine di uomini d'affari vicini al governo, funzionari pubblici e politici di primo piano del Partito della giustizia e dello sviluppo (Akp) del premier, poi tutti scarcerati su pressione dell'esecutivo.
Erdogan, dopo i primi arresti, ha puntato il dito contro l'ex-amico Fethullah Gulen, il potente imam e imprenditore alla guida di "Hizmet", una ramificata confraternita religiosa con molti membri nella polizia e nella magistratura che ha favorito l’ascesa al potere di Erdogan fin da quando era sindaco di Istanbul ma che poi ha rotto con il ‘sultano’ circa due anni fa. Per ridimensionare il ruolo della confraternita nelle istituzioni l’Akp ha approvato in parlamento norme per garantire al governo un maggiore controllo sugli organi dello stato e per togliere i finanziamenti alla fitta rete di scuole religiose di proprietà di ‘Hizmet’.

La Turchia ha annunciato oggi di aver convocato l'incaricato degli affari esteri statunitense ad Ankara per chiedere spiegazioni sulle notizie secondo le quali Washington avrebbe intensamente spiato i leader turchi dal 2006 in poi. Pubblicando alcuni documenti resi pubblici da Edward Snowden il settimanale tedesco Der Spiegel ha svelato nei giorni scorsi che Stati Uniti e Gran Bretagna hanno realizzato un'estesa sorveglianza elettronica delle attività della leadership turca. Der Spiegel ha scritto che l'obiettivo delle intercettazioni era di raccogliere informazioni sulle intenzioni strategiche del leader turco Erdogan, da giovedì scorso nominato presidente della repubblica.
"L'incaricato d'affari Usa è stato convocato presso il ministero degli Esteri per chiedere spiegazione", ha detto il vicepremier Bulent Arinc ai giornalisti ad Ankara.

Fonte

La Cina pronta a rilasciare un proprio sistema operativo

La Cina sta pensando di lanciare un proprio sistema operativo con l'obiettivo, questo almeno secondo quanto dichiarato dal governo del Paese, di rendere i propri sistemi informativi più sicuri. Secondo quanto riportato da Xinhua news il nuovo sistema operativo potrebbe essere lanciato già ad ottobre, almeno stando alle dichiarazioni di Guangnag Ni, professore della Chinese Academy of Engineering e in precedenza CTO di Lenovo.

I dettagli riguardanti gli underpinningd del sistema operativo non sono ancora noti, ma la mossa sembra essere stata stimolata dalla fine del supporto di Windows XP e dal divieto di vendita di Windows 8 in Cina. Il governo ha inoltre lanciato un'inchiesta anti-monopolio contro Microsoft all'inizio dell'anno.

Secondo le informazioni disponibili, il sistema operativo sarà reso disponibile dapprima per sistemi desktop ed in seguito anche per dispositivi mobile. "La chiave del nostro successo sta in un ambiente che ci può aiutare a competere con Google, Apple e Microsoft" ha dichiarato Ni.

Non è la prima azione che la Cina intraprende per sciogliere i propri legami con i sistemi operativi occidentali a favore di soluzioni sviluppate localmente che potrebbero essere più facilmente protetti dinnanzi alle crescenti schermaglie delle forze di intelligence digitali internazionali.

Circa un decennio fa la Cina aveva avviato lo sviluppo di Kylin, un sistema operativo basato su FeeBSD, e appena lo scorso anno fu annunciato Ubuntu Kylin che come si può facilmente immaginare avrebbe dovuto rappresentare il secondo step evolutivo di Kylin.

Ancor più indietro, nel 2003, un consorzio di Paesi asiatici che ha visto oltre la Cina anche il Giappone e la Corea del Sud, annunciò la volontà di sviluppare un sistema operativo "asia-centrico" basato su Linux. Il progetto, che ha incluso in seguito anche Vietnam, Thailandia e Sri Lanka, è stato denominato Asianux.

Più recentemente, invece, nel 2012 il DRDO (Defense Research and Develompment Organization) dell'India ha annunciato lo sviluppo di India Operating System. "Per proteggere la nostra rete il nostro sistema operativo è essenziale" dichiarò allora V.K. Saraswat, direttore generale del DRDO.

I vari progetti citati sono fermi o in una fase di gestazione, o sono stati cassati oppure ancora hanno visto una bassa popolarità, ma sono tutti indici di una chiara tendenza: l'Asia vuole controllare il destino dei propri sistemi operativi specie a seguito delle vicende legate alle rivelazioni sull'operato dell'NSA rese pubbliche da Edward Snowden.

Se e come questa nuova iniziativa del governo Cinese andrà in porto resterà da vedere, intanto secondo recenti sondaggi circa il 70% degli utenti PC in Cina sta ancora usando Windows XP.

Fonte

La geopolitica, ormai, passa sempre più anche attraverso la tecnologia.

Mosca rinnoverà ospitalità a Edward Snowden: "Sua vita in pericolo"

La Russia, molto probabilmente, estenderà il permesso di soggiorno a Edward Snowden, in scadenza il 31 luglio. A dirlo è stato un funzionario del servizio per l'immigrazione di Mosca secondo quanto riportato dal Wall Street Journal.

"Non vedo alcun problema per estendere il suo status temporaneo di rifugiato. Le circostanze non sono cambiate: la sua vita è ancora in pericolo, per cui il servizio federale per l'immigrazione ha tutte le ragioni per estendere il suo status" ha dichiarato il vicedirettore del servizio, Vladimir Volokh, all'agenzia Interfax. Secondo il funzionario, la richiesta di Snowden sarà accettata la prossima settimana.

L'ex collaboratore dei servizi segreti statunitensi, che ha rivelato al mondo i programmi di sorveglianza globale dell'intelligence di Washington scatenando polemiche e numerose contromisure da parte degli stati spiati, ha presentato nei giorni scorsi la domanda per l'estensione del suo permesso di soggiorno in Russia. A comunicarlo è stato il suo avvocato russo, Anatoly Kutcherena, che assiste Snowden da quando lo scorso anno rimase bloccato all'aeroporto di Mosca senza documenti.

Di recente è stata rilanciata l'idea di un possibile ritorno dell'informatore negli Stati Uniti, ma servirebbe un accordo tra Snowden e le autorità di Washington che non sembrano affatto disponibili a perdonare il 'traditore' che in patria è stato incriminato per spionaggio e rischia una pena tombale.

Proprio ieri il presidente della Federazione russa, Vladimir Putin, si è detto pronto a far sviluppare "un sistema capace di garantire la sicurezza delle informazioni", definendo "una manifesta ipocrisia" la sorveglianza elettronica operata dagli Stati Uniti nel mondo.

"Per quanto riguarda il cyber-spionaggio, non è solamente una manifesta ipocrisia tra alleati e partner, ma anche un attacco diretto contro la sovranità e una violazione dei diritti umani, nonché un'intromissione nella vita privata" altrui, ha spiegato Putin rispondendo a una domanda dell'agenzia Itar-Tass.

"Sono pronto a sviluppare congiuntamente un sistema capace di garantire la sicurezza delle informazioni internazionali", ha insistito il presidente russo alla vigilia della partenza di un suo tour diplomatico in America Latina.

Fonte