Traduttore automatico - Read this site in another language

venerdì 25 giugno 2021

Fake News, Deepfake, Fake People – La nuova frontiera della Cyber Security


Le tecnologie sono un “dono di Dio” che “può portare frutti di bene” ma che deve essere utilizzato correttamente se non vogliamo che comporti “gravi rischi per le società democratiche”

[Papa Francesco]

Durante il lockdown dello scorso anno mi misi a scrivere un articolo che non ebbe mai la luce e che aveva come obiettivo di fare riflettere sul fenomeno delle fake news che ho avuto l’ardire di associare alle minacce cibernetiche più invasive degli ultimi anni.

Tratto da : rcmediafreedom.eu

Se nei vari rapporti relativi alle minacce cibernetiche si introducesse la voce “fake news”, sono sicuro che si otterrebbero dei numeri molto interessanti, probabilmente superiori a quelli del phishing, per fare un esempio, che rappresenta il vettore d’attacco più utilizzato in assoluto secondo l’ultimo rapporto Clusit.

Più o meno, l’articolo cominciava così:

Lavorando per un’azienda americana, il termine “storytelling” viene utilizzato in maniera estremamente frequente ormai da diverso tempo. Ciò che meraviglia, forse nemmeno troppo, è che pur avendo una lingua così bella e ricca di termini, è prassi comune e consolidata in Italia, a ogni livello, affidarsi a termini stranieri, il più delle volte inglesi. Devo dire, comunque, che c’é qualcosa di particolare in questa parola, qualcosa che non saprei descrivere ma che suscita una specie di meraviglia e stupore nel chi ascolta, non appena viene evocata. Basta utilizzarla per fare apparire impreziosito un ragionamento, valido o no che sia, ed ecco che come per magia, gli interlocutori si illuminano come se si fosse espresso il concetto più profondo di sempre.

Ormai è diventato di uso comune, tanto che non ci facciamo neanche più caso, tanto che, forse, abbiamo smesso di domandarci veramente cosa intendiamo quando parliamo di storytelling oppure sappiamo di cosa parliamo ma, con tutta probabilità, ce lo siamo dimenticato.

Durante l’emergenza del coronavirus il nostro ruolo è chiaro. Ci è stato raccomandato di “eseguire gli ordini” e di fare la nostra parte rispettando le regole come, del resto, dovrebbe avvenire sempre in un contesto democratico e di comunità. Le mie azioni non hanno impatto solo su me stesso ma anche sulle persone che mi circondano e con le quali interagisco e così, al contrario.

Eppure, durante questa esperienza mai vissuta prima, abbiamo un atteggiamento un po' asimmetrico rispetto a coloro che stanno cercando di affrontare e risolvere l’emergenza e non possiamo fare altro che obbedire e fidarci.

Ed ecco la parola chiave: fiducia. Guardiamo cosa ci dice la Treccani a proposito di questa parola così importante.

fidùcia s. f. [dal lat. fiducia, der. di fidĕre «fidare, confidare»] (pl., raro, -cie).

  1. Atteggiamento, verso altri o verso sé stessi, che risulta da una valutazione positiva di fatti, circostanze, relazioni, per cui si confida nelle altrui o proprie possibilità, e che generalmente produce un sentimento di sicurezza e tranquillità: fin Dionegli uomininella fraternità umananella scienzanel progresso socialefnella vittoriafdi riuscirefnella propria stellanelle proprie forzefnell’esito di un’impresaguardare con fall’avvenireferma f.; fillimitataassolutaincondizionataaverenutrire f.; perdere la f.; dare un attestatouna prova di f.; ispirare f.; guadagnaremeritaregodereavere la fdi qualcunoriporre bene, o malela propria f.; abusare della faltrui. Di uso com. le espressioni: persone di f., di miadi tuadi sua f., persone fidate a cui si ricorre in cose delicate e d’importanza; medicoavvocato di f., quello che è liberamente e abitualmente scelto dal cliente; postoimpiegoincarico di f., di responsabilità, delicato, che si affida solo a persone sicure, fidate. 

  2. In diritto costituzionale, voto di f., votazione mediante la quale il parlamento approva (o, se la votazione dà risultato negativo, disapprova) gli indirizzi politici e la corrispondente azione del governo; mozione di f., la proposta, fatta da una delle Camere, di ricorrere al voto di fiducia; questione di f., richiesta da parte del governo di ricorrere al voto di fiducia per l’approvazione o la reiezione di emendamenti e articoli di progetti di legge: il governo ha deciso di porre la questione di fiducia

  3. In diritto civile, ftestamentaria (o disposizione testamentaria fiduciaria), disposizione di testamento per la quale il soggetto che riceve il bene ne è il beneficiario apparente, avendo l’obbligo di trasmettere quel bene ad altra persona (che normalmente non potrebbe essere erede diretto del testatore).

Fiducia è una parola “pesante” che abbraccia scenari ampi e che rappresenta una responsabilità importante in chi la dà e in chi la riceve.

Questo per dire che dobbiamo confidare in coloro che stanno cercando, con non poche difficoltà, di fare fronte ad un problema a cui nessuno era preparato. Pertanto, dobbiamo avere fiducia nelle istituzioni centrali, nelle amministrazioni locali, nei medici, negli scienziati e, non meno importante, in chi ci racconta ciò che succede, ovvero i giornalisti e i conduttori. 

Fiducia... dobbiamo averla in maniera incondizionata, soprattutto considerando il mondo nel quale viviamo? Un mondo nel quale siamo bombardati quotidianamente da una quantità enorme di notizie che affermano tutto ed il contrario di tutto?

Ecco, forse, il punto fondamentale: la gestione della comunicazione.

Sia da parte delle istituzioni sia da parte dei media, soprattutto all’inizio della pandemia, la modalità con cui si è comunicato ha provocato una fuga di notizie che ha generato profonde discussioni ma anche reazioni irrazionali verso tutto e tutti, a partire dal famoso episodio relativo a coloro che affollarono le stazioni del nord per scappare al sud tanto che, col passare dei giorni ci siamo resi conto che quella reazione così irrazionale è stata pur sempre innescata da un gesto altrettanto irresponsabile.

Sembrava, perciò, esserci stata l’occasione per riflettere sul modo in cui, in parallelo agli sforzi medici, si dovesse e potesse affrontare il coronavirus sul piano della comunicazione, ragionando appunto su uno storytelling dell’emergenza.

Invece, la narrazione della crisi è proseguita su binari che facevano affidamento su termini, pratiche e abitudini che, purtroppo, caratterizzano in negativo la comunicazione da tempo, ben prima della diffusione del Covid-19.

Il sensazionalismo, l’analisi grossolana, la ricerca frettolosa di buoni e cattivi, di eroi e di nemici della patria. In un momento in cui gli italiani non possono far altro che fidarsi di ciò che viene loro detto, la confusione e la disinformazione hanno dilagato tanto quanto il virus, rendendo sempre più difficile la comunicazione e, di fatto, quasi vanificando l’occasione di proporre finalmente una narrazione di qualità, mai come ora di vitale importanza.

E tutto ciò perché oggi come oggi la lettura, l’approfondimento, la ricerca della veridicità delle notizie è privilegio di pochi mentre la maggioranza delle persone ascolta gli imbonitori politici e i giornalisti di parte che pur di raccattare voti, da un lato, e influenzare l’opinione pubblica dall’altro, anche in una situazione così critica come questa, usa la comunicazione in modo fazioso e strumentale.

Tutto ciò, lo vogliate o no, rientra nella categoria delle fake news.

Fake” o fake news” continuano ad essere termini che non rendono giustizia all’ampiezza del fenomeno che stiamo vivendo perché sarebbe più corretto parlare di manipolazione o di disinformazione che non sono, senza dubbio, concetti nuovi ma che, rispetto al passato, si arricchiscono di ulteriori implicazioni.

Appurato che, ormai, la maggior parte della popolazione preferisce apprendere qualsiasi tipo di informazione dai “social”, indipendentemente dall’importanza dell’argomento, è possibile affermare che tra i principali rischi vi sia quello che possano essere ritenute valide informazioni palesemente false.

Questa situazione è ulteriormente ingigantita dal cosiddetto “backfire effect” ossia il fenomeno secondo il quale “quando si contesta un’informazione falsa ma già consolidata, si finisce col confermarla ancor di più perché, purtroppo, si è restii a cambiare la propria opinione”.

Possiamo affermare che tutti i settori culturali della società contemporanea sono vittime delle “fake news” anche se la concentrazione maggiore risulta essere sui contenuti di carattere scientifico.

Il punto di vista personale è che la disinformazione in questo settore trova terreno fertile nel propagarsi perché si basa principalmente sull’ignoranza dei concetti di base.

Il fatto che il linguaggio scientifico sia estremamente specifico permette a coloro che creano disinformazione di ottenere un immediato e notevole successo incidendo negativamente sul mondo accademico che rischia di perdere di credibilità. È emblematico anche il fatto che quando subentrano falsità che riguardano la salute, il danno provocato rischia di diventare irreparabile.

Sono stati svolti molti studi al riguardo e ciò che emerge è che esiste la convinzione da parte di molti nel definire centrale il ruolo delle “tech companies”, le società tecnologiche che, lungi dal funzionare come semplici “piattaforme” svolgono un ruolo più in linea con le caratteristiche e i requisiti delle aziende.

Il grande potere di queste società non si esaurisce nel caricare contenuti su una piattaforma ma, al contrario, si innalza grazie al controllo in maniera selettiva e puntuale di ciò che noi vediamo dal momento che è proprio questo il loro modello di business.

E l’obiettivo finale, come per la politica, del resto, rimane quello di aumentare il loro pubblico di utenti, “lisciandogli il pelo, per usare un eufemismo un po' “francese” 😊, modificando il flusso delle informazioni a dispetto della loro presunta neutralità.

A tal fine fanno largo uso di algoritmi sofisticati, analisi di dati, tecniche di data matching e profiling grazie ai quali viene processata una grande mole di informazioni raccolte, concesse a terzi senza, molto spesso il consenso degli interessati oppure con un consenso inconsapevole; dati che vengono utilizzati, contestualmente alla raccolta, nella promozione pubblicitaria e nel micro targeting attraverso i social media.

I bot sono un altro strumento utilizzato in modo notevole. Si tratta, come sappiamo, di programmi che accedono alla rete attraverso lo stesso tipo di canali utilizzati dagli utenti umani e che consentono, tra le altre cose, attraverso specifici algoritmi, di realizzare compiti precisi come le attività di data scraping e Web scraping che danno luogo all’estrazione di dati e informazioni presenti in una determinata pagina per usarle in altri contesti.

Nella piazza virtuale le informazioni false o scorrette, siano esse di natura commerciale oppure politica, sono occultate, inviate a un micro target di persone sulla base di dati raccolti da potenti società di web marketing, senza che gli interessati ne siano a conoscenza.

Sempre più spesso il “dibattito pubblico”, incentrato su temi di grande complessità e di difficile soluzione, che riguardano il futuro di tutti, viene stravolto e trasformato in vere e proprie campagne di marketing del consenso, fatte di soli slogan che riempiono lo spazio pubblico.

In buona sostanza, le tech companies sono stimolate, anche dal punto di vista economico, a dare la priorità ai contenuti sensazionali dal momento che sono maggiormente suscettibili nell’attirare l’attenzione oltre che nel favorire la polarizzazione e la radicalizzazione dei dibattiti.

La sensazione dilagante è che la disinformazione che circola sulle piattaforme sia frutto di un progetto organizzato e condotto da attori che hanno compreso benissimo alcuni principi basilari dell’economia digitale attraverso i quali ottenere ingenti introiti pubblicitari.

Tutto ciò ha continuato a dilagare in modo incontrollato cosicché, nell’ottobre 2018, le principali piattaforme digitali hanno sottoscritto un “codice di condotta” per combattere la disinformazione online. Si tratta di un inizio ma che rappresenta una tappa fondamentale nella lotta ad un problema che potenzialmente è in grado di minacciare la fiducia dei cittadini verso le istituzioni, come ribadito in ambito UE.

L’obiettivo dell’Unione Europea, tra le altre cose, è quello di gestire un pacchetto di norme di autoregolamentazione su base volontaria, idonee a contrastare la disinformazione del web.

Di fatto, con l’adesione a questo progetto, ogni impresa del web si è data delle regole per combattere la disinformazione in tutti gli Stati membri dell’Ue.

Da tutto ciò si evince che l’informazione si è trasformata in “comunicazione” e che, al contempo, si è sviluppata la disinformazione, che rappresenta senza dubbio un fenomeno complesso e in trasformazione, e che può essere usato come una nuova arma, per finalità di tipo politico, economico o militare.

Oggigiorno sono tantissime e raffinatissime le tecniche di disinformazione tanto da rappresentare una minaccia per la sicurezza e la stabilità di un paese. Per questo, come anticipato, ho l’ardire che possiamo considerarle come una minaccia cyber.

Non è un caso, infatti, che quando si mettono in discussione l’integrità e la stabilità di un Paese si fa ricorso ai servizi di intelligence che giocano un ruolo fondamentale nel contrasto a tali forme di minaccia. Gli stessi servizi di intelligence peraltro sono stati interessati ad una trasformazione che li ha portati ad assumere una connotazione in grado di affrontare le nuove sfide alla sicurezza.

Senza entrare nel dettaglio di cosa si intenda per intelligence e consapevole che il lettore possa, comunque, apprenderlo da diverse fonti (https://www.sicurezzanazionale.gov.it/sisr.nsf/cosa-facciamo/l-intelligence.html), proprio perché occorre confrontarsi con nuove minacce ibride e, soprattutto, asimmetriche, il suo ruolo diventa fondamentale.

L’Intelligence è strettamente legata a ciò che avviene in ambito internazionale, soprattutto in merito ai rapporti di forza tra gli Stati ma anche al mercato globale.

Questo legame è ancora più vero se pensiamo a quelle aree del mondo dove non sono presenti conflitti di natura tradizionale ma che soffrono dei fenomeni di vulnerabilità originati da conflitti economici, forme avanzate di terrorismo di varia matrice ed attacchi attuati con metodologie nuove che, necessitano di forme di intelligence specifiche.

Le tradizionali “minacce alla sicurezza” si sono evolute per arrivare a più complesse minacce cibernetiche operate da attori che, fondamentalmente, possono essere distinti in due macro-gruppi:

  • attori governativi che sono molto strutturati ed estremamente pericolosi in virtù del fatto che dispongono di ingenti risorse economiche ed umane. Possiamo rappresentare le minacce di cui sono autori in due classi: cyber warfare che è una sorta di guerra digitale e cyber espionage che rappresenta lo spionaggio digitale.

  • attori non governativi di cui fanno parte i gruppi terroristici (cyber terrorism), le organizzazioni criminali (cyber crime) ed altri attori riconducibili ad individui mossi da impulsi religiosi, politici e ideologici.

Tutto ciò porta a pensare che sempre più spesso le azioni criminali faranno uso di strumenti tecnologicamente avanzati quali l’intelligenza artificiale il cui fine sarà quello di destabilizzare i rapporti internazionali ed avere una percezione della sicurezza, per così dire, indotta.

Una possibile arma è quella del “deepfake”, basata su processi che sfruttano i principi dell’intelligenza artificiale per modificare e sovrapporre immagini e video partendo dagli originali così da elaborarne altri in cui i soggetti compiono azioni, parlano e si muovono in contesti assolutamente non reali, grazie a tecniche di machine learning quali “generative adversarial network”.

Ci sono poi i “fake people”, persone che non esistono nella realtà ma che sono i protagonisti di video virtuali che generano sentimenti forti quali rabbia, sfiducia, compassione, paura o disagio in funzione delle finalità che si perseguono.

Lo sviluppo di una cyber intelligence efficace è una realtà incontrovertibile che deve adeguarsi ai mutati scenari basandosi sull’analisi di fonti aperte, sull’elaborazione dei big data, sullo sviluppo di tecniche di intelligenza artificiale con le quali far fronte alla cyber warfare e garantire la difesa della collettività.

Da qui, risulta evidente il legame con quanto questo articolo ha avuto la pretesa di evidenziare e cioè: “notizia”, “informazione”, “disinformazione” entrano e si permeano all’interno del sistema “media” e del sistema “intelligence” e per evitare che le tecnologie così pervasive possano far “esplodere” il sistema di comunicazione e di informazione con ripercussioni inimmaginabili sulla stessa società, è fondamentale che l’intelligence assuma un ruolo centrale per garantire la sicurezza.

In sintesi, ci troviamo di fronte ad un sistema estremamente complesso all’interno del quale risulta quasi impossibile stabilire quale sia la fonte di una notizia o verificarne la veridicità. Questo perché chi genera fake news tende a mettere sullo stesso piano qualsiasi opinione o parere in merito ad un dato argomento con il risultato che tutti si sentano dei massimi esperti . Fatto, peraltro, estremamente amplificato dai social. Il dramma è che di fronte a tutto questo la maggioranza degli utenti è impotente anche e soprattutto in virtù del fatto che, ormai, accettano qualsiasi notizia venga loro fornita da giornali, tv o social.

Sembra esistere una tetra similitudine tra i tempi in cui la censura, indipendentemente dal potere politico del Paese nella quale operava, si preoccupava di bloccare le informazioni e il tempo attuale in cui altri organi di potere setacciano, valutano, modificano e costruiscono una grandissima quantità di informazioni inutili ed irrilevanti confondendo e manipolando il destinatario di queste informazioni, ossia l’utente medio, ahimè incapace di opporre resistenza.

Credo sia fondamentale, a questo punto, investire su una moderna ed efficace cyber intelligence in grado di sviluppare capacità di cyber counter intelligence che vada oltre il mero ruolo difensivo e che sia, al contrario, molto più proattiva e finalizzata a potere operare nella dimensione cyber anche con attacchi e simulazioni, il cui scopo possa essere quello di ostacolare gli avversari che via via si materializzano in questo scenario.

Da ultimo ma non per questo meno importante e non ci stancheremo mai di sottolinearlo, bisogna investire su una formazione di tutti gli utenti verso una crescente sensibilità della sicurezza informatica affinché i rischi sempre maggiori e sempre più complessi possano essere rilevati, analizzati ed affrontati.

Carlo Mauceli


Per approfondire:

Papa Francesco: “Le tecnologie sono un dono, usarle correttamente” - CorCom (corrierecomunicazioni.it)

L'intelligence - Sistema di informazione per la sicurezza della Repubblica (sicurezzanazionale.gov.it)

Proteggere i diritti umani nell'era della guerra ciberneticaPrima Pagina | Prima Pagina

Web e disinformazione: il ruolo dell’intelligence (diricto.it)

Fake news: la nuova era della guerra cibernetica | Trizio Consulting

Deepfake e video manipolati: come funziona il lato oscuro dell’intelligenza artificiale - Il Sole 24 ORE

Che cos'è il backfire effect, che non ci fa cambiare le nostre convinzioni errate - Wired

Rete generativa avversaria - Wikipedia

Fake people, cosa sono e perché vanno tenute d'occhio | Il Bo Live UniPD

martedì 15 giugno 2021

Il Sistema Operativo: l'anima dei PC


Possiamo affermare che la prima grande rivoluzione informatica si è avuta con la nascita dei Sistemi Operativi che ha permesso, di fatto, al mondo intero, l’utilizzo dei device.

Grazie a tecnologie più veloci e sempre “meno costose”, i computer hanno avuto uno sviluppo esponenziale ed il sogno di Bill Gates 😊, ossia avere un computer su ogni scrivania, si è avverato. Non solo; si è andati ben oltre tanto che al giorno d’oggi, rispetto al passato, è disponibile una grande varietà di sistemi di elaborazione e non c’è più bisogno di una scrivania ma bastano le nostre tasche 😊.

Vediamo, pertanto, come sono nati i sistemi operativi e, realmente, cosa sono.

Per semplificare le cose, un sistema operativo è un software che viene caricato all’avvio del computer e che permette l’utilizzo di altri software. Possiamo dire che, in assoluto, è il software più utilizzato nella vita di un computer ed è il mezzo attraverso il quale il computer stesso vive. Senza il sistema operativo molte operazioni non potrebbero esistere.

Possiamo dividere il sistema operativo in due grandi classi:

  • La prima è quella testuale;

  • La seconda, è quella grafica. Di fatto, la più utilizzata.

Se andiamo a ritroso nel tempo, il progenitore del sistema operativo possiamo datarlo tra il 1945 e il 1955 quando comparvero i primi elaboratori elettronici dotati di valvole termoioniche. Si trattava di macchine costosissime in cui i programmi venivano scritti in linguaggio macchina ed inseriti nel programmatore attraverso lettori di schede perforate ed i cui risultati venivano, successivamente, inviati alla stampante.

Nel decennio che va dal 1955 al 1965 comparvero i primi elaboratori affidabili, i cosiddetti Mainframe, grazie all’invenzione dei transistor che sostituirono le valvole termoioniche. Si trattava sempre di macchine iper-costose e gigantesche i cui acquirenti erano soltanto banche, Università e Centri di Calcolo. Contestualmente nasce anche il primo vero linguaggio di programmazione, il Fortran, il quale consente di avere un numero sempre crescente di programmatori.

E qui, finalmente, arriviamo al primo vero Sistema Operativo, prodotto dalla General Motors per il proprio IBM 701. Dal momento che non era ancora stata introdotta la tecnologia di accesso diretto alla memoria (DMA) tutte le operazioni di input/output erano a carico della CPU il che rallentava terribilmente l’esecuzione vera e propria. Per questa ragione si adottò la soluzione a lotti, i cosiddetti batch, per cui l’I/O viene gestito da un calcolatore più economico come l’IBM 1401 e l’elaborazione affidata ad un calcolatore centrale come l’IBM 7094. Il sistema operativo di questi calcolatori, il cosiddetto Batch Monitor, svolgeva pochi servizi quali la gestione dell’Input/Output e l’interpretazione ed esecuzione dei comandi contenuti nelle schede di controllo.


Nei primi anni 60, con lo sviluppo sempre maggiore dei transistor, si hanno i primi sistemi operativi in multiprogrammazione time-sharing e sistemi real-time per il controllo di processo. Nel 1962 al MIT si realizza il CTSS, il primo sistema time-sharing, su un IBM 7094 ed è in questo periodo che il MIT, la General Electric e i Bell Labs sviluppano, in modo congiunto, MULTICS, un sistema operativo in grado di supportare centinaia di utenti in time-sharing, una sorta di pietra miliare che ha influenzato lo sviluppo dei sistemi operativi che sarebbero arrivati successivamente.

La primavera del 1964 vede la nascita di IBM OS/360, un sistema operativo omnicomprensivo in grado di gestire il batch, il time-sharing e il real-time, di supportare sia il calcolo scientifico, con il linguaggio Fortran, che quello commerciale, con il linguaggio gestionale Cobol, realizzato l’anno successivo.

Negli anni immediatamente successivi, con lo sviluppo dei minielaboratori, vengono sviluppati appositi sistemi operativi tra cui, il più famoso, è UNIX.

Con l’avvento di UNIX, avvenuto nel 1969, entriamo in una nuova era che vede la nascita di sistemi operativi eterogenei:

  • OS/370 di IBM che introduce il concetto di macchina virtuale;

  • VM/CMS, nato nel 1972;

  • Sistemi operativi distribuiti su una rete di processori


Questi sistemi operativi offrono, per la prima volta, funzioni che prima erano caratteristica dei programmi applicativi determinando la nascita di elaboratori multiprocessore.

Non possiamo a questo punto non dedicare un momento a UNIX. Questo sistema fu progettato a partire dal 1969 da un gruppo di ricercatori della AT&T presso i Bell Labs tra cui sono degni di menzione Ken Thompson che lavorò anche al progetto Multics e Dennis Ritchie, uno dei pionieri dell'informatica moderna, importante per essere stato l'inventore del linguaggio C.

La nascita di UNIX ha dato luogo ad una serie di varianti come BSD (Berkley Software Distribution), SCO System V, Minix e, successivamente, LINUX, realizzato nel 1991 dallo studente finlandese Linus Stallman, famoso per essere stato il paladino del software libero.

A cavallo degli anni 70/80 assistiamo al fenomeno dell’abbattimento dei costi hardware grazie allo sviluppo della tecnologia LSI (Large Scale Integration) e alla costruzione di chip integrati e alla nascita dei Personal Computer in grado di avere prestazioni simili a quelle dei calcolatori medio-grandi di 10 o 20 anni prima. Contestualmente, nel 1964, nasce il Basic, un nuovo linguaggio di programmazione.

I più importanti sistemi operativi di questo periodo sono:

  • CP/M-80 della Digital Research per le CPU Intel 8080 e Z-80;

  • MS-DOS di Microsoft, simile al CP/M-8 adottato da IBM per il proprio Personal Computer, lanciato nel 1981 e che pose le basi per lo sviluppo di Microsoft.

Questi anni sono estremamente vivaci e fertili dal punto di vista informatico ed anche l’Italia ne trae beneficio con l’affermazione e la successiva rapida crescita di Olivetti che nel 1972 costituisce a Ivrea il Servizio Sviluppo Software che può contare sulle esperienze maturate da alcuni ingegneri negli USA presso il MIT. È da questo gruppo, svincolato dai gruppi di sviluppo prodotto per rispondere ad una strategia di rilancio decisa dal top management di allora, l’amministratore delegato Ottorino Beltrami e la responsabile del product planning Marisa Bellisario, che tra il 1973 e il 1975 nasce il Cosmos, sistema operativo del TC 800.

Il TC 800 è un sistema di terminali bancari video-tastiera, ciascuno dei quali ha memoria e disco sufficienti per elaborare la parte locale della transazione bancaria di sportello. I terminali sono poi collegati al master, sempre della stessa famiglia, che concentra il tutto colloquiando con l'elaboratore centrale (in genere un grosso IBM). L'importanza dell'innovazione consiste nel fatto che l'elaborazione non avviene più tutta al centro, ma in parte si svolge presso i terminali di sportello, che diventano parte attiva di un sistema complesso.

La posizione di avanguardia in questo campo si conferma a inizio anni '80 con Cosmos II, su minicomputer S1000, un sistema che presenta protocolli LAN e WAN standard ISO ed ECMA, organismi internazionali di standardizzazione in cui Olivetti gioca un ruolo di rilievo.

Le competenze acquisite nel software consentono in seguito alla Olivetti di avere un ruolo importante anche nei grandi programmi sia italiani (Progetto finalizzato Informatica del CNR), sia europei (Progetto Esprit dell'Unione Europea).

A partire dal 1984 esplodono i sistemi operativi con interfaccia grafica. Ispirandosi all’interfaccia grafica sviluppata da Xerox qualche anno prima, Apple dà vita, sul Macintosh, a Mac OS che rappresenta il primo sistema operativo per PC con interfaccia grafica che rappresentò una vera rivoluzione.


Subito dopo assistiamo alla nascita di X Windows System in ambiente UNIX e a Windows da parte di Microsoft che, all’inizio, non era un vero e proprio sistema operativo ma un’estensione di MS-DOS.

Nel 1987 IBM sviluppa OS/2 per il proprio PC PS/2 che non ha, però, un grande successo. L’imposizione sul mercato da parte di Microsoft avviene con la nascita di Windows 3.0 nel 1990, sistema operativo che supporta il multitasking e la memoria virtuale, a cui seguiranno Windows 3.10 e 3.11 mentre nel 1992 vengono introdotti il supporto multimediale e le funzioni di rete per lan e peer to peer.

Solo a partire da Windows 95 si può parlare di sistema operativo vero e proprio per Windows oltre al fatto che si passa dal calcolo a 16 bit a quello a 32 bit. Seguiranno poi Windows 98, nel 1998, Windows ME, nel 2000, Windows 2000, sempre nel 2000, Windows XP, nel 2001 e via via tutti gli altri fino ad arrivare a Windows 10 dei nostri giorni.


Anche Linux nelle sue varie distribuzioni fornisce l’interfaccia grafica: Red Hat, nel 1994, Debian GNU/Linux, nel 1996, Ubuntu nel 2005.

Una menzione a parte meritano i sistemi operativi di rete che nacquero con il fenomeno che si sviluppò negli anni ’80 con la nascita delle reti di computer.

Nacquero così:

  • Sistemi Operativi di Rete che sono dei normali sistemi operativi con l’aggiunta di software per il collegamento a macchine remote e quindi alle relative risorse condivise come file e stampanti;

  • Sistemi Operativi Distribuiti che sono sistemi operativi che girano su sistemi a più processori oppure che inviano i processi da elaborare ad altri computer della rete.

Su queste basi nasce nel 1983 il sistema operativo Netware di Novell che consente la connessione in rete di computer dotati di sistemi operativo quali MS-DOS, Windows, Unix e Mac OS.

Sull’onda delle nuove esigenze di connessione e condivisione di informazioni e device, Microsoft sviluppa diversi Sistemi Operativi di rete, sempre denominati Windows: NT, nel 1993, 200 Server, nel 2000, Server 2003, nel 2003, Server 2008, nel 2008, Server 2012, nel 2012, ecc.


Al giorno d’oggi, rispetto al passato, è disponibile una grande varietà si sistemi di elaborazione dalle più disparate dimensioni e performance a costi contenuti e sono sempre più diffuse le interconnessioni tra i vari dispositivi in modalità sia wired che wireless.

Tutto questo ha portato allo sviluppo di sistemi operativi per le più svariate architetture ed in particolare per i cellulari i cui due sistemi operativi più importanti sono IOS di Apple e Android di Google.

Ma di questo ne parleremo in un prossimo articolo...

Carlo Mauceli

Storia dei sistemi operativi - Wikipedia

Mainframe - Wikipedia

Cronologia dei sistemi operativi - Wikipedia

Racconti e aneddoti di un pioniere informatico - Difesa Online

IBM 701 - Wikipedia

CTSS - Wikipedia

What is the Compatible Time Sharing System (CTSS)? - Definition from Techopedia

Multics - Wikipedia

StoriaInformatica.it, dove i ricordi digitali prendono forma

COBOL: storia, applicazioni e futuro | Webnews

Microsoft PowerPoint - Giovanni Riccardi - Storia deilinguaggi di programmazione (infn.it)

Unix - Wikipedia

Unix: storia e fondamenti di una pietra miliare - IONOS

Ken Thompson UNIX systems father | Unixmen

Dennis M.Ritchie - The father of the "C" programming language | Unixmen

StoriaInformatica.it, dove i ricordi digitali prendono forma

Storiaolivettti - Software (storiaolivetti.it)

l'evoluzione dell'interfaccia grafica — Design Multimedia (desmm.com)

La storia di Windows, dal DOS alla prima Interfaccia - Lentux Informatica (lentux-informatica.com)

Evoluzione dei sistemi operativi e delle interfacce utente - Lidweb.net

StoriaInformatica.it, dove i ricordi digitali prendono forma

La storia di Windows, anno 1987: OS/2 [TurboLab.it]

StoriaInformatica.it, dove i ricordi digitali prendono forma

StoriaInformatica.it, dove i ricordi digitali prendono forma

Novell (wikiqube.net)


Confidentiality – Integrity – Availability nella Operation Technology in ottica Industria 4.0: parte seconda

Un sistema automatizzato di produzione gestito in Industria 4.0 ha necessariamente a disposizione una rete interna/esterna di gestione dei dati e del processo (ricetta di produzione, ciclo di gestione del magazzino, prove automatizzate, etc.). 

In Figura 3 è possibile capire la complessità di un sistema completo OT sviluppato in base ai moderni standards.

Figura 3: Esempio di sistema OT integrato

Questo vale dal semplice sensore che trasmette il dato alla Control Room fino alla gestione in remoto di una isola robotizzata, ove dal Server viene inviata la ricetta delle posizioni nuove per i vari robot dell’isola in base al nuovo componente da costruire (si pensi ad esempio ai robot di verniciatura in linea in una catena di produzione di componenti auto).

La ricetta o il valore del dato costituiscono il know-how dell’azienda, spesso sono proprio alla base del successo del dato processo. Così come per le persone fisiche (impiegati, addetti, managers, etc.) è d’obbligo la riservatezza, lo stesso impegno deve essere profuso per evitare il furto di dati depositati su Cloud, archivi locali, memorie distribuite nei vari punti della rete aziendale. Lo stesso vale per gli accessi: non tutti possono accedere a particolari luoghi ove si mantiene un segreto industriale, e lo stesso vale per chi vuole accedervi tramite la rete.

Allo stesso modo, anche il mantenimento della integrità sia del dato che della struttura che lo elabora e trasmette è fondamentale: cosa accadrebbe se il sensore andasse fuori calibrazione ed invece di leggere il corretto valore, leggesse un valore diverso? E se il robot applicasse una ricetta diversa sul componente in produzione? Nel primo caso potrebbe far fermare l’impianto se il valore inviato è sopra una certa soglia di warning o allarme. Nel secondo caso potrebbe imporre al robot di fare una manovra che vada a danneggiare il pezzo o il robot stesso. Esattamente come per qualsiasi errore umano.

Esiste però un terzo caso molto più subdolo per quanto riguarda l’integrità ed è il concetto di “integrità apparente”: Il sistema sotto attacco è sostanzialmente funzionante ma nel processo c’è un valore che in maniera spesso random viene alterato al fine di falsare il risultato finale del processo. Ad esempio, il collaudo in fine linea di produzione oltre ai propri scarti naturali, accuserà degli scarti dovuti a falsi segnali dati dai sensori e che verranno riconosciuti come scarto naturale.

Nella filiera di controllo nessuna informazione è relativa all’intervento del malware nascosto, ma intanto lo stesso ogni tanto da il suo contributo al totale dei pezzi scartati aggravando il costo aziendale in un continuo stillicidio. O viceversa, caso ancora peggiore, tale malware farà risultare in maniera random buono un pezzo che in realtà è scarto e quindi tale componente verrà immesso sul mercato!

Il terzo punto della triade si riferisce alla Disponibilità: sia il sistema che i dati devono essere disponibili, anche a seguito di un attacco. Nella regola di buona pratica il programma PLC o il sstema ICS (Industrial Control System) è già ridondante, così come tutte le parti critiche della rete. Ma la pratica basilare è la esecuzione di back-up di sistema fisico e organizzato in maniera “artigianale”: Mettere i dati su un hard-disk esterno che viene collegato giusto per tale scopo e poi sconnesso ed alternarlo con un secondo hard-disk è molto più efficiente nella fase di recovery che non un sistema costoso e per i ritmi richiesti di recovery spesso troppo macchinoso e lento.

Come proteggersi e con quali strategie

Da quanto discusso sopra, seppur la base di partenza è la C.I.A. e tale concetto deve essere chiaro nello sviluppo della rete OT, Una parallela triade deve essere preliminarmente predisposta e aggiornata con maggior impegno:

    • Consapevolezza
    • Conoscenza
    • Contesto Operativo

Le prime due componenti si riferiscono al fattore umano: Se tutti gli operatori, a qualsiasi livello, agenti nel sistema OT non hanno consapevolezza e conoscenza della delicatezza della sicurezza cibernetica e dei rischi che si possono tramutare in minacce o attacchi, nessun sistema di protezione è in grado di proteggere realmente.

La base è a dir poco banale: ognuno di noi si chieda cosa accadrebbe se il PC che provo ad accendere non si avvia? Quali conseguenze nell’immediato? Quali a medio-lungo termine?

E se a non partire fosse il PC della linea di produzione? O il sistema intero di produzione o controllo qualità? Essere consapevoli di questo è la prima barriera contro possibili attacchi poichè innesca il meccanismo di autodifesa con la ricerca per conoscere come fare per proteggersi, applicarsi a realizzare le protezioni e aggiornarsi anche suggerendo o concordando insieme al responsabile IT, in base al contesto applicativo, quali siano i reali possibili rischi e magari quali potrebbero essere le possibili azioni di mitigazione.

Figura 4: Il Contesto Operativo di base di un sistema OT

Pur lasciando ai tecnici esperti la definizione della struttura OT e la gestione, la Policy di sicurezza aziendale deve essere tracciata dal proprio Board che deve coinvolgere e responsabilizzare.

Fatta la parte di “evangelizzazione”, i suggerimenti vengono spontanei dai vari attori e quindi si scopre che:

    • Sensori Analogici che forniscono semplicemente il dato in formato analogico (ad esempio il classico 4-20 mA) o digitale (ma solo in uscita) senza possibilità di essere calibrati da remoto, sono molto più sicuri di sensori in logica IoT (Internet of Things).
    • Sensori o sistemi in logica IoT sono molto performanti rispetto ai primi, ma occorre proteggerli tramite password dedicate e tutte le comunicazioni devono essere crittografate.
    • Tutte le password di sensori e sistemi forniti di default dai fornitori devono essere cambiate già dal primo utilizzo.
    • Ogni volta che si accede al sistema o al sensore specifico per cambio processo, calibrazione o manutenzione predittiva o accesso da remoto tramite linea esterna, occorre cambiare le impostazioni e password di sicurezza.
    • Il processo di cui al punto 4, se automatizzato, deve essere mediante sistema interno all’azienda
    • Un opportuno procedimento formalizzato di back-up, che sia fisico o su cloud o su più entità, deve essere implementato e verificato.
Da ultimo, ma che in realtà è l’anello debole di tutto quanto sopra e per questo motivo lo indichiamo come promemoria finale, il fattore umano (sia come possibile errore che come azione predeterminata) gioca un ruolo fondamentale nella sicurezza informatica e specialmente nel sistema OT poiché distribuito sia come IT network che fisicamente per tutte le fasi e dislocazioni produttive. L’Insider Threat deve essere opportunamente valutato e le possibili conseguenze previste e mitigate con un approccio formale e molto flessibile in base alle situazioni contingenti.

 

Alberto Monici, Alessandro Rugolo


Bibliografia

[1] Stuxnet Worm Attack on Iranian Nuclear Facilities (stanford.edu)

[2] https://www.nbcnews.com/tech/security/colonial-pipeline-paid-ransomware-hackers-5-million-u-s-official-n1267286

[3] https://www.mise.gov.it/index.php/it/incentivi/impresa/beni-strumentali-nuova-sabatini

[4] http://ijarcsse.com/Before_August_2017/docs/papers/Volume_4/1_January2014/V4I1-0528.pdf

[5] What is the CIA Triad? Defined, Explained, and Explored (forcepoint.com)


domenica 13 giugno 2021

Social Engineering: perchè le aziende dovrebbero temerlo?


La sicurezza informatica è difficile (forse anche impossibile), ma immagina per un momento di esserci riusciti. La crittografia potente viene applicata dove necessario, i protocolli di sicurezza svolgono le loro funzioni in modo impeccabile. Abbiamo sia hardware affidabile che software affidabile a nostra disposizione. Anche la rete su cui operiamo è completamente sicura. Meraviglioso!

Sfortunatamente, questo non è ancora abbastanza. Questo meraviglioso sistema può fare qualsiasi cosa di utile solo con la partecipazione degli utenti.

Le persone sono spesso l'anello debole di un sistema di misure di sicurezza, e sono loro che rendono costantemente inefficaci queste ultime.

In termini di sicurezza, la matematica è impeccabile, i computer sono vulnerabili, le reti sono pessime e le persone sono semplicemente disgustose.”

tratto da: "Secrets and Lies: Digital Security in a Networked World" , di Bruce Schneier.


L'informazione è uno dei beni più importanti di un'azienda.

Le informazioni possono costituire un segreto commerciale della società, ad esempio in circostanze esistenti o possibili possono servire per aumentare i ricavi, evitare spese ingiustificate o contribuire a mantenere una posizione dominante nel mercato di beni, lavori, servizi o apportare altri benefici commerciali all'azienda. Di conseguenza, tali informazioni devono essere protette.

Dal momento che le persone per lavorare si spostano potenzialmente in qualsiasi azienda, inevitabilmente sorge l'influenza del fattore umano su tutti i processi dell'organizzazione. Compreso il processo di protezione delle informazioni riservate.

Qualsiasi azione umana associata a una violazione del regime di sicurezza può essere suddivisa in due grandi categorie: intenzionali e non intenzionali.

Le azioni intenzionali includono il furto di informazioni da parte dei dipendenti, la modifica delle informazioni o la loro distruzione (sabotaggio). Quest'ultimo è un caso estremo e deve essere affrontato a posteriori, coinvolgendo gli organi di polizia.

Per azioni non intenzionali si intendono, per esempio, la perdita dei supporti di memorizzazione, la distruzione o il danneggiamento dei dati per negligenza. La persona in questo caso non si rende conto che le sue azioni portano a una violazione del regime del segreto commerciale.

Lo stesso vale per eventuali azioni involontarie compiute a vantaggio delle persone sbagliate, spesso indotte con l'inganno attraverso tecniche dette di "ingegneria sociale".

In molti casi un dipendente non si rende conto che le sue azioni possono comportare violazioni del regime del segreto industriale, ma allo stesso tempo chi glielo chiede sa chiaramente che sta violando il regime.

Tecniche di ingegneria sociale

Tutte le tecniche di ingegneria sociale si basano sulle peculiarità del processo decisionale umano.

Esistono varie tecniche e tipologie di ingegneria sociale:

- Il pretexting è un'azione elaborata secondo uno script prescritto (pretesto). Di conseguenza, il bersaglio (vittima) deve fornire determinate informazioni o eseguire una determinata azione. Questo tipo di attacco viene solitamente utilizzato per telefono. Il più delle volte, questa tecnica comporta niente più che semplici bugie e richiede alcune ricerche preliminari (ad esempio, la personalizzazione: scoprire il nome del dipendente, la sua posizione e i nomi dei progetti a cui sta lavorando) al fine di garantire la credibilità quando ci si presenta al bersaglio.


-
Il phishing: una tecnica volta all'ottenimento fraudolento di informazioni riservate. In genere, l'attaccante invia al bersaglio un'e-mail, contraffatta da una lettera ufficiale - da una banca o da un sistema di pagamento - che richiede la "verifica" di determinate informazioni o l'esecuzione di determinate azioni. Questa lettera di solito contiene un link a una pagina web falsa, che imita quella ufficiale, con un logo e un contenuto aziendale, e contiene un modulo che richiede di inserire informazioni riservate, dal tuo indirizzo di casa al PIN della tua carta di credito.

- Troian horse: questa tecnica sfrutta la curiosità o l'avidità del bersaglio. L'aggressore invia un'e-mail contenente un allegato con un importante aggiornamento antivirus o anche nuove prove compromettenti contro un dipendente. Questa tecnica rimane efficace finché gli utenti fanno clic ciecamente su qualsiasi allegato.


- Road Apple:
questo metodo di attacco è un adattamento di un cavallo di Troia e consiste nell'uso di supporti fisici. Un utente malintenzionato può posizionare un CD o una scheda di memoria, infatti, in un luogo in cui è possibile trovare facilmente il supporto (corridoio, ascensore, parcheggio). Il mezzo è forgiato come ufficiale ed è accompagnato da una firma progettata per suscitare curiosità.

Esempio: un utente malintenzionato può lanciare un CD con un logo aziendale e un collegamento al sito Web ufficiale dell'azienda di destinazione ed etichettarlo "stipendio dei dirigenti del primo trimestre 2010". Il disco può essere lasciato al piano dell'ascensore o nella hall. Un dipendente può inconsapevolmente prendere un disco e inserirlo in un computer per soddisfare la sua curiosità.

- Quid pro quo: un utente malintenzionato può chiamare un numero casuale dell'azienda e presentarsi come un dipendente dell'assistenza tecnica chiedendo se ci sono problemi tecnici. Se ce ne sono, nel processo di "risoluzione", il bersaglio immette comandi che consentono a un utente malintenzionato di lanciare software dannoso.

- Ingegneria sociale inversa.

L'obiettivo del social reverse engineering è far sì che l'obiettivo si rivolga all'aggressore per "aiuto". A tal fine, un utente malintenzionato può utilizzare le seguenti tecniche:

Sabotaggio: crea un problema reversibile sul computer della vittima.

Pubblicità: L'aggressore fa scivolare la vittima con un annuncio del tipo "Se hai problemi con il tuo computer, chiama questo numero" (questo riguarda principalmente i dipendenti che sono in viaggio d'affari o in vacanza).
Possiamo però limitare la percentuale di essere truffati e trafugare dati sensibili che potrebbero compromettere la nostra immagine e la nostra vita quotidiana. 

La difesa più basilare contro l'ingegneria sociale è attraverso l'istruzione. Perché chi è avvisato è armato. E l'ignoranza, a sua volta, non esonera dalla responsabilità. Tutti i dipendenti dell'azienda devono essere consapevoli dei pericoli della divulgazione di informazioni e di come prevenirla.

Inoltre, i dipendenti dell'azienda dovrebbero avere istruzioni chiare su come e su quali argomenti parlare con un generico interlocutore, quali informazioni devono ottenere da lui per un'accurata autenticazione dell'interlocutore.

Ecco alcune regole che potrebbero essere utili:

1. Tutte le password utente sono di proprietà dell'azienda. Va spiegato a tutti i dipendenti il giorno dell'assunzione che le password loro fornite non possono essere utilizzate per nessun altro scopo, ad esempio per l'autorizzazione sui siti Internet (è noto che è difficile per una persona mantenere in attenzione a tutte le password e codici di accesso, quindi usa spesso la stessa password per situazioni diverse).

Come si può sfruttare tale vulnerabilità nell'ingegneria sociale? Supponiamo che un dipendente dell'azienda sia vittima di phishing. Di conseguenza, la sua password su un determinato sito Internet è diventata nota a terzi. Se questa password corrisponde a quella utilizzata nell'azienda, esiste una potenziale minaccia alla sicurezza per l'azienda stessa.

In linea di principio, non è nemmeno necessario che un dipendente dell'azienda diventi vittima di phishing. Non ci sono garanzie che il livello di sicurezza richiesto sia osservato sui siti in cui si accede. Quindi c'è sempre una potenziale minaccia.

2. Tutto il personale dovrebbe essere istruito su come trattare con i visitatori. Sono necessarie regole chiare per stabilire l'identità del visitatore e del suo accompagnatore. Un visitatore dovrebbe sempre essere accompagnato da qualcuno dell'azienda. Se un dipendente dell'azienda incontra un visitatore che si aggira da solo per l'edificio, allora deve avere le istruzioni necessarie per scoprire correttamente a quale scopo si trovava il visitatore in questa parte dell'edificio e dove si trova la sua scorta.

3. Dovrebbe esserci una regola per la corretta divulgazione delle sole informazioni realmente necessarie per telefono e di persona, nonché una procedura per verificare se chi richiede qualcosa è un vero dipendente dell'azienda. Non è un segreto che la maggior parte delle informazioni viene ottenuta da un utente malintenzionato durante la comunicazione diretta con i dipendenti dell'azienda. Dobbiamo anche tenere conto del fatto che nelle grandi aziende i dipendenti potrebbero non conoscersi, quindi un utente malintenzionato può facilmente fingere di essere un dipendente che ha bisogno di aiuto.

Tutte le misure descritte sono abbastanza semplici da attuare, ma la maggior parte dei dipendenti dimentica queste misure e il livello di responsabilità che viene loro assegnato quando firmano gli obblighi di non divulgazione. 

Così l'azienda spende enormi risorse finanziarie per garantire la sicurezza delle informazioni con mezzi tecnici che purtroppo possono essere facilmente aggirati se i dipendenti non adottano misure per contrastare gli ingegneri sociali e se i servizi di sicurezza non controllano periodicamente il personale aziendale.

Andrea Filippo Mongelli