RedominoLabs - Cos`è un Hac

Cos'è un Hacker?
ReLabs intervista uno dei primi hacker d'Italia, fondatore, ex-C.T.O. ed oggi Presidente Onorario della @
Mediaservice.net, Security Advisory Company.
Raoul Chiesa
Raoul Chiesa nasce a Torino il 3 luglio del 1973: è uno dei primi hacker d'Italia. Il suo viaggio attraverso le reti informatiche
internazionali delle maggiori aziende corporate degli anni '80 e '90 risale al 1986, quando Raoul aveva appena 13 anni, con
lo pseudonimo di Nobody.
Dopo una serie di sensazionali incursioni nelle istituzioni finanziarie, governative e militari, nel 1995 viene riconosciuto come
uno dei principali membri della comunità hacker europea e nord-americana dalle principali autorità internazionali.
Dal 1997 Raoul si occupa professionalmente di sicurezza informatica ad alto livello, dopo aver fondato la
@ Mediaservice.net, azienda che si occupa di security consulting. I loro principali clienti sono istituti di ricerca, multinazionali,
operatori finanziari, la Pubblica Amministrazione e la Sanità Pubblica, ecc... Inoltre, Raoul Chiesa si è impegnato in una
campagna di "diplomazia tecnologica", grazie alla quale egli ha potuto promuovere il puro spirito etico hackeriano e la
sicurezza IT in Italia e in Europa, lontano dal semplice commercio e dagli interessi dei brand, in modo da poter supportare la
sua personale visione dell'Open Source.
Intervista a Raoul Chiesa
1. ReLabs: Qual è oggi il sistema operativo più "sicuro" per te?
Raoul: L'OS più sicuro è a mio avviso il VMS (oggi OpenVMS), al tempo della DEC (Digital Equipment Corporation),
poi passata a Compaq e, grazie a Dio, tornata ad HP, la quale sta curando questo bellissimo sistema operativo molto
di più di quanto mi aspettassi. *VMS gira(va) su piattaforme VAX ed AXP (Alpha), ma oggi ci sono porting che
permettono di utilizzarlo anche su hardware differente. Lo ritengo il più sicuro in quanto, per svariati motivi, i bug
presenti in questo OS sono davvero pochi, pochissimi direi. Un paio di anni fa il contest per "l'OS piu' sicuro", una
sorta di Capture The Flag, è stato vinto da un team che runnava i servizi "classici" (web mail ftp etc) proprio su un
AXP con OpenVMS.
Mi è però chiaro come questo OS non sia un OS "semplice", ha problemi di licenze, di porting, di utilizzo e così via.
Ecco perché la mia seconda scelta va sulla famiglia *BSD, ovverosia OpenBSD, FreeBSD e NetBSD. In azienda da
me (@ Mediaservice.net, NdR) molti colleghi sono fan sfegatati di OpenBSD, forse anche a causa di amicizie in
essere da lunga data sia con il creatore di OpenBSD, sia con il team di sviluppo e gli amici tedeschi del CCC (Chaos
Computer Club) ed olandesi.
2. ReLabs: Cos'è un Hacker?
Raoul: Una persona che ama osservare le cose (ed avere a che fare) "out of the box", ovverosia al di là di quanto ci
viene raccontato. Certamente un curioso, spesso un visionario, sicuramente una persona con la passione per le cose
che fa. In questo ultimo decennio (ma si parte già dagli anni '80) il termine "hacker" ha purtroppo acquisito, per la
massa, significati differenti, spesso associati alla criminalità ed al cybercrime, ma le origini proprie del termine
richiamano scenari "puliti", quasi commoventi ed annoverano, tra gli altri, persone che Internet l'hanno di fatto
costruita.
3. ReLabs: Parlaci del Criminal Profiling
Raoul: Il Criminal Profiling è una scienza bellissima: ne rimasi letteralmente folgorato nel 2001-2002, quando
acquistai (e divorai!) il libro "Criminal Profiling: dall'analisi della scena del delitto al profilo psicologico del criminale", di
Massimo Picozzi ed Angelo Zappalà. Anni più tardi ebbi la fortuna di conoscere personalmente gli autori (ed ottenere
la mia copia con dedica del libro! ) ma quella pubblicazione mi aprì davvero gli occhi. Nel 2003 tenni delle lezioni
sul cybercrime presso il Master in Criminologia dell'UNICRI e da lì iniziò nella mia testa il sogno di applicare il Criminal
Profiling al mondo dell'hacking e dei computer-crimes: con la D.ssa Stefania Ducci - allora criminologa presso
l'UNICRI - iniziammo una lunga ricerca su quanto era stato fatto sino ad allora, unitamente ad uno studio approfondito
del mondo dell'hacking e degli hacker, analizzandolo però da più punti di vista: tecnologico (InfoSec), criminologico,
psicologico e sociale.
4. ReLabs: Qual è il consiglio che daresti a un non esperto in merito alla sicurezza?
Raoul: Non fidarsi di nessuno Scherzi a parte, il mio consiglio è di utilizzare il buon senso: il fatto che dalla Nigeria
qualcuno che neanche conosciamo ci scriva per "darci del denaro", piuttosto che assumerci a 1000 euro al mese
dalla Romania per non fare niente tutto il giorno e "spostare dei soldi" è, evidentemente, una truffa. Meglio stare alla
larga dai rischi, evitando di esporsi. Un secondo consiglio è quello di limitare la presenza di informazioni sensibili e
personali sulla nostra persona, sia nei social network che nella vita di ogni giorno, sempre più "digitale".
5. ReLabs: Cos'è Il progetto HPP?
Raoul: HPP sta per Hackers Profiling Project. È il risultato (la partenza, direi!) di quello scambio di informazioni, studi
e ricerche iniziato proprio con Stefania Ducci nel 2003-2004. Agli inizi del 2005 partimmo con il progetto HCPP Hackers Criminal Profiling Project - divenuto poi HPP nel corso del 2006, proprio per non associare
"obbligatoriamente" il concetto di hacking a quello di criminalità. È un progetto a lunga scadenza (2005-2015), giunto
ora alle fasi 3 e 4. Il suo scopo è quello di creare una metodologia di profiling per i reati informatici, e renderla
disponibile a tutti, sotto licenza GNU/FDL, grazie anche ai contributi dell'UNICRI e dell'ISECOM (gli autori
dell'OSSTMM, per chi si occupa di penetration test un nome che e' una garanzia).
6. ReLabs: Secondo te i sistemi open si possono definire più sicuri dei sistemi a codice chiuso?
Raoul: Assoluamente sì, la risposta è automatica. Non posso "fidarmi" di un codice che non conosco e non posso
"vedere" VS un codice che posso aprire, leggere, sottoporre a code auditing. Certamente questo approccio può
generare anche "falsi sensi di sicurezza": il codice libero non è infatti esente da bachi, errori, falle, exploit e così via
(anzi!). Certo è che, grazie alle licenze open source, privati ed aziende, così come governi ed organismi di
intelligence, hanno una via più facile, semplice e veloce per verificare quanto da loro utilizzato, bypassando le
limitazioni proprie della proprietà intellettuale, licenze software, divieto di reverse engineering e così via. Credo
tantissimo nel software libero, non solo in termini di "security", quanto piuttosto come elemento che cambierà - e già
sta cambiando - il mondo. Un decide "stupendo" come il SixthSense...lo vedresti girare sotto codice chiuso ? Io
no...sarebbe come tagliare le ali ad un'aquila che sta imparando a compiere i primi voli "di test".
7. ReLabs: Qual è l'ultimo "buco" di sicurezza riscontrato?
Raoul: Ce ne sono decine e decine ogni giorno. Al momento mi sta piacendo moltissimo il lavoro che un amico
italiano sta facendo verso le vulnerabilità 0-day su Adobe. Maggiori informazioni su: http://extraexploit.blogspot.com/
8. ReLabs: Hai pubblicato nel 2007 per Apogeo Editore "Profilo Hacker", a cui è seguita nel gennaio del 2009 la
pubblicazione in lingua inglese ed aggiornata del libro, per CRC Press (Taylor & Francis Group) dal titolo "Profiling
Hackers: the science of criminal profiling as applied to the world of hacking": puoi raccontarci qualcosa di più in
merito?
Raoul: Il libro è una sorta di "diario di bordo" dei primi 4 anni di vita del progetto di ricerca HPP. Abbiamo voluto
scriverlo durante la ricerca e non dopo, proprio per permettere ai lettori di vivere con noi quest'avventura. Nel libro
raccontiamo quindi quanto emerso dal nostro lavoro, applichiamo una prima profilazione degli hackers (9 profili
principali), commentiamo gli oltre 1.200 questionari ricevuti da tutto il mondo, e spieghiamo quali saranno i prossimi
passi ed i motivi delle nostre scelte.
Certamente è motivo di orgoglio l'essere riusciti - grazie anche all'ottimo lavoro in sinergia compiuto dall'editore
italiano e nella fattispecie da Fabio Brivio, così come dai colleghi UNICRI ed ISECOM - ad "esportare" know-how verso
gli USA. Dico questo perché, tipicamente, siamo noi europei ad acquistare, leggere ed imparare dalle esperienze
d'oltre oceano. In questo caso - abbastanza unico, ahimè - sono ricercatori italiani ad avere insegnato qualcosa agli
americani...e non solo. Il fatto che poi realtà importanti come l'FBI Academy a Qauntico, in Virginia, si basino (anche)
sui nostri studi per i propri lavori...non può che renderci felici e riempierci di un po' di (sano) orgoglio nazionale!
Aggiungi commento