Paolo Mastrolilli

In America cresce la paura
di una Pearl Harbor elettronica

Si sapeva che sono molti, e temibili, gli scorridori delle praterie digitali, ma la recente guerra cibernetica tra hacker-cracker americani e cinesi ha fatto vedere che la situazione sta precipitando: ormai chiunque sappia davvero usare un computer può scatenare l'imprevedibile. Governi e servizi segreti corrono affannosamente ai ripari, ecco con quali mezzi e quali leggi.

Lo scontro in volo tra l'aereo spia americano EP 3 e un caccia cinese, avvenuto il primo aprile scorso sopra i cieli dell'isola di Hainan, non è riuscito a provocare un confronto militare tra Washington e Pechino, che gli esperti più pessimisti continuano a temere. Però è stato sufficiente per scatenare una guerra virtuale, tra gli hacker dei due paesi.
I primi a lanciare la sfida sono stati i pirati digitali degli Stati Uniti, che hanno promesso di vendicare l'onore della loro nazione, facendo incursioni contro decine di siti Internet della Repubblica popolare. Visto che il presidente Bush non voleva rispondere all'affronto del collega Jiang Zemin con veri raid aerei, i soldati del cyberspace si sono incaricati di sostituirlo, con i loro raid digitali. Gli hacker cinesi, però, non sono rimasti seduti a guardare il bombardamento americano. Come in ogni guerra totale che si rispetti, la Honker union of China ha scatenato la rappresaglia. «Non ci fermeremo - ha avvertito l'Unione degli hacker Rossi di Pechino - fino a quando avremo colpito e sfigurato mille siti degli Stati Uniti».
Il botta e risposta è andato avanti senza pietà per diverse settimane, finché la tregua è stata annunciata ufficialmente dalle due parti il 9 maggio scorso. Ma la prima guerra cibernetica del terzo millennio, tra denial of service e pagine web distrutte, ha dimostrato al mondo che ormai non c'è più verso di tornare indietro: la realtà virtuale già insidia quella dove siamo abituati a vivere da sempre. E gli hacker sono la mina vagante di questa incerta frontiera, dove qualunque persona capace di usare un computer può trasformarsi nello sceriffo o nel fuorilegge dell'universo digitale.

In realtà, l'attenzione dei pirati cibernetici per la politica e l'economia internazionale non è una novità. Ad esempio, nel 1999, quando il "popolo di Seattle" prese d'assalto il vertice della World trade organization, i media tradizionali si chiesero quale fosse il segreto della protesta. Come mai i manifestanti erano riusciti a prendere subito il controllo dei punti strategici della città, obbligando persino il segretario generale dell'Onu Kofi Annan a restare chiuso in albergo? E perché anticipavano sempre le mosse della polizia, come se conoscessero il pensiero degli agenti?
Sarebbe stato facile trovare una delle tante risposte possibili a questo mistero abbandonando un momento i canali dell'informazione tradizionale, per esplorare il mondo underground di Internet. Sul sito www.2600.com, ad esempio, c'era un link che diceva così: «Cliccate qui sopra, e sentirete in diretta le comunicazioni radio della polizia di Seattle». Era la pura verità, e quel collegamento c'è ancora. Emmanuel Goldstein, uno dei leader storici della comunità degli hacker americani, aveva deciso di dare così il suo contributo alla guerriglia urbana anti globalizzazione. Si era collegato via computer alle frequenze radio delle forze dell'ordine, perché secondo la legge americana le comunicazioni via etere non criptate sono pubbliche. Quindi aveva messo il link sul suo sito, permettendo a qualunque manifestante di entrarci 24 ore al giorno, per sapere in tempo reale dove stavano andando i manganelli della polizia1.

1.
Nel luglio del 2000 Emmanuel Goldstein, che ha preso in prestito questo pseudonimo dal rivale del Grande Fratello nel libro 1984 di Orwell, è stato condannato da un tribunale federale di New York per un'altra faccenda. Ancora una volta, però, c'era di mezzo il suo sito Internet, dove aveva pubblicato un programma scritto per aggirare la criptazione dei film in Dvd. La Motion picture association of America, ossia la potente lobby dei produttori cinematografici di Hollywood, gli aveva fatto causa, accusandolo di voler "napsterizzare" i film. La sua trovata, infatti, scardinava la protezione tecnologica dei Dvd, consentendo lo scambio gratuito sulla rete dei capolavori di Spielberg, Lucas, o chi preferite voi.
Il programma incriminato si chiamava DeCss, e l'aveva scritto l'hacker norvegese Jon Johansen, in collaborazione con un pirata tedesco e uno olandese, incontrati nel cyberspace. Johansen non aveva mai visto di persona i suoi complici, ma tramite Internet le informazioni necessarie a fregare Hollywood avevano viaggiato liberamente attraverso mezza Europa. Goldstein poi aveva recuperato il prodotto finito dagli Stati Uniti e lo aveva pubblicizzato in tutto il mondo, offrendolo sul piatto d'argento della rete.
Ecco, questi sono solo alcuni esempi, per dimostrare come Internet abbia abbattuto da tempo tutte le frontiere, consentendo agli hacker di diventare un problema anche per la sicurezza internazionale. Prima di continuare su questa strada, però, è necessario un chiarimento chiave.

Con la parola hacker, ormai, ci siamo abituati a definire chiunque combini qualcosa di strano con i computer, possibilmente violando la legge. Ma il termine, in realtà, affonda le radici negli anni Cinquanta, quando al Massachusetts institute of technology di Boston venne creato, con l'aiuto del Pentagono, uno dei centri da cui sarebbe partita la rivoluzione digitale. Gli studenti più bravi e fissati si chiamavano hacker e aderivano a un'etica molto precisa: dare accesso illimitato all'informazione sui computer, per migliorarli sempre di più. In sostanza erano dei monaci, al servizio del progresso tecnologico. Oggi tipi come Emmanuel Goldstein si considerano gli eredi quella filosofia: secondo loro gli hacker sono gli ultimi difensori della democrazia, davanti ai potenziali abusi della rivoluzione digitale commessi dai governi o dalle grandi corporation. Nel frattempo, però, la parola è stata scippata anche da altri pirati, che vogliono fare solo danni o rubare. Qualcuno allora ha proposto di distinguere i buoni dai cattivi con il lessico: i primi continuano a chiamarsi hacker, e i secondi cracker. Ma il confine resta labile e soggettivo, e gli stessi "pirati etici" alla Goldstein non sempre condividono l'ingannevole soluzione della doppia etichetta.
Il governo degli Stati Uniti, comunque, ha cominciato a combattere sul serio tutti i crimini digitali già dal 1984, con l'approvazione al Congresso del Computer fraud and abuse act. La nuova legge stabiliva pene massime di cinque anni di prigione contro chiunque usasse la tastiera allo scopo di commettere reati, e il presidente Reagan la firmò subito.
La tecnologia però corre più veloce della giurisprudenza e quello strumento dimostrò presto di essere inadeguato. Infatti i parlamentari lo hanno emendato nel 1986, poi nel 1994 e infine nel 1996, aggiornandolo nel National information infrastructure protection act. Quest'ultima legge ha fatto salire la pena massima a vent'anni di galera, per i reati più gravi di spionaggio, ma il senatore democratico di New York Charles Schumer e quello repubblicano dello Utah Orrin Hatch hanno già presentato delle modifiche, perché vorrebbero il permesso di processare come adulti gli hacker minorenni.

L'impianto legislativo, nel frattempo, è stato completato con l'Economic espionage act del 1996, che punisce il furto di informazioni economiche. Questo testo riguarda soprattutto i ladri professionisti, e infatti i primi condannati sono stati l'imprenditore di origine taiwanese P. Y. Yang e sua figlia Sally, accusati di rivendere segreti industriali all'estero. Nel dicembre del 1997, poi, è passato il "No electronic theft act", che difende il copyright e punisce i furti di software, di musica, e tutte le altre operazioni di pirateria informatica. Il target qui è più ampio, e infatti il primo a restare incastrato in questa nuova rete è stato il ventiduenne Jeffrey Levy, uno studente della University of Oregon che aveva violato alcune proprietà elettroniche.
Ma le leggi da sole non bastano a fermare i criminali digitali, e quindi il governo ha dovuto cominciare a costruire anche nuove agenzie per dare la caccia su Internet. All'inizio, il Secret service e l'Fbi hanno ricevuto l'incarico di gestire questo settore. Ma il 26 febbraio del 1998 il ministro della Giustizia Janet Reno ha deciso di unire tutte le forze, creando il National infrastructure protection center (Nipc). In pratica si tratta di una nuova agenzia, con sede all'interno dell'Fbi, che ha il compito preciso di combattere la criminalità digitale, coordinando gli sforzi di tutte le polizie federali con quelli delle aziende e degli specialisti privati di sicurezza. Il 22 maggio del 1998 il presidente Clinton ha indicato gli scopi di questo centro, con la Presidential decision directive numero 63. Il testo dice che il Nipc ha l'autorizzazione della Casa Bianca per combattere gli attacchi cibernetici e il terrorismo digitale, condotti tanto dai singoli hacker quanto dai governi stranieri ostili.
Il giovane avvocato Michael Vatis, vice assistente direttore dell'Fbi, è stato scelto come primo capo della nuova struttura. A marzo, dopo oltre tre anni di lavoro, ha lasciato il posto al collega Ronald Dick, per tornare a guadagnare nel settore privato. Ma il 25 marzo del 1998, testimoniando davanti al Congresso, Vatis aveva fatto subito capire la gravità del problema. Secondo lui, infatti, gli Stati Uniti sono esposti al rischio di una "Pearl Harbor elettronica", ossia un attacco a sorpresa, come quello lanciato dai giapponesi all'inizio della seconda guerra mondiale. Stavolta, però, i nemici potrebbero mettere il paese in ginocchio usando semplicemente un computer.

Questa mobilitazione generale del governo sembra diretta contro i servizi segreti stranieri, piuttosto che contro i ribelli digitali tipo Emmanuel Goldstein. Ma il problema è che negli ultimi anni il confine si è fatto sempre più incerto.
I militari conoscevano da sempre i rischi legati allo sviluppo di Internet, e quindi già nel 1988 avevano finanziato la creazione del Computer emergency response team (Cert), presso la Carnegie Mellon University di Pittsburgh. Il Cert è nato dalla stessa Defense applied research projects agency che aveva costruito Arpanet, cioè l'embrione originario di Internet, e aveva coltivato i primi hacker del Massachusetts institute of technology. Suo compito è monitorare tutti gli incidenti elettronici, lanciando avvertenze pubbliche su come difendersi dagli ultimi attacchi.
Nel 1988, primo anno di attività, il Cert segnalò soltanto sei incursioni, ma nel 1999 il numero era salito a 9.859. Durante l'anno precedente, cioè il 1998, gli incidenti erano stati 3.734, e quindi nel giro di 12 mesi era avvenuto un incremento di quasi il 200%. Nel 2000 le incursioni sono state 21.756, con un altro balzo in avanti di oltre il 100% nell'arco di un anno.

Notate bene che qui stiamo parlando soltanto degli incidenti ufficialmente denunciati, e quindi ci sono ottime possibilità che il vero totale degli attacchi sia molto più alto. Parecchie aziende, infatti, non amano rivelare i loro guai cibernetici, per almeno tre ragioni: non vogliono fare brutta figura, non vogliono attirare altri attacchi e non vogliono rivelare i propri segreti alle agenzie governative.
Questo è un altro atteggiamento che fa arrabbiare gli hacker come Emmanuel Goldstein. Secondo loro, infatti, le incursioni criminali non dipendono dalla cattiveria dei ribelli digitali, fedeli all'etica del Mit, ma dalla scarsa attenzione per la sicurezza delle aziende private e dello Stato. Il dipartimento della Giustizia, in effetti, segue una strana politica sulla criptazione: la favorisce, ma fino a un certo punto, e impone limiti all'esportazione delle tecnologie necessarie per rendere inaccessibili i documenti digitali. Questa scelta nasce dalle pressioni dell'Fbi, della Cia e soprattutto della National security agency, che intendono conservare il loro vantaggio all'estero nella capacità spionistica e quindi non vogliono consegnare neppure agli alleati tutti gli strumenti migliori per criptare e nascondere le informazioni. Infatti, se ogni sistema americano e straniero diventasse inaccessibile, anche gli agenti di Washington resterebbero fuori dalla porta, quando hanno bisogno di fare indagini.

L'aumento degli incidenti digitali, nel frattempo, sta diventando sempre più costoso. Nell'arco del 2000 il Computer security institute di San Francisco, in collaborazione con la sede locale dell'Fbi, ha condotto un sondaggio annuale tra 273 aziende di vario tipo e ha scoperto che il 90% di esse ha subito attacchi informatici, dal denial of service al furto di files. Il totale dei danni subiti da queste compagnie è stato calcolato in 265 milioni di dollari, ossia quasi 600 miliardi di lire, ma si tratta chiaramente di una stima riduttiva.
Una valutazione esatta dei danni generati dai crimini digitali non la conosce nessuno, ma già nel 1993 Yuri Yashin, presidente della Commissione tecnica statale della Russia, aveva detto che in Europa e negli Stati Uniti essi aggirano sui 140 miliardi di dollari all'anno. Nello stesso periodo l'Fbi aveva pubblicato una proiezione più prudente, che comunque parlava di perdite comprese tra i 164 milioni e i 5 miliardi di dollari all'anno.
Di sicuro c'è che nel 1999 le grandi compagnie americane hanno speso 7,1 miliardi di dollari per garantire la loro sicurezza, e secondo gli analisti dell'Aberdeen group di Boston questa cifra è destinata a raggiungere 17 miliardi di dollari entro il 2003. E' facile intuire che se le corporation spendono tanto in sicurezza, i potenziali danni da cui difendersi sono molto superiori.

2.
I soldi, però, non sono tutto. La grande preoccupazione che ha spinto il governo degli Stati Uniti a mobilitarsi è la difesa nazionale. Prima ancora che Michael Vatis evocasse in Parlamento il fantasma della "Pearl Harbor elettronica", il ministro della Giustizia Janet Reno aveva cercato di mobilitare tutti i governi occidentali, in modo da fare fronte comune contro la minaccia. L'ex capo della Cia James Woolsey, in realtà, sostiene che spesso gli episodi più gravi di spionaggio industriale avvengono proprio tra gli alleati. Comunque il 9 e il 10 dicembre del 1997 la Reno invitò a Washington i ministri della Giustizia e dell'Interno dei paesi membri del G8, Italia compresa, per tenere un primo grande summit sul problema dei crimini digitali. I leader del G7 avevano già discusso questa sfida durante gli incontri di Halifax nel 1995 e di Lione nel 1996, e nel gennaio del 1997 si era svolto un vertice di esperti a Chantilly, in Virginia.
La ragione di questa mobilitazione internazionale sta nella cronaca di tutti i giorni. Infatti ormai i reati cibernetici, commessi da servizi segreti, hacker buoni, cracker cattivi, o delinquenti in cerca di soldi, scavalcano i confini nazionali.

Già alla fine degli anni Ottanta sui giornali di tutto il mondo era finito il caso "Cuckoo's Egg". Hans Heinrich Hubner detto "Pengo" e altri hacker di Berlino Ovest avevano invaso i Lawrence Livermore national labs degli Stati Uniti, per rubare segreti militari e venderli al Kgb. Nel 1992, invece, alcuni ragazzi svizzeri avevano aggredito il San Diego supercomputer center della California. A questo periodo risalgono anche le imprese di Kevin Mitnick, che lo hanno trasformato in una leggenda della comunità digitale. Da ragazzino Kevin frequentava un gruppo di giovani innamorati degli scherzi telefonici, che si riunivano in una pizzeria di Hollywood. Ma già nei primi anni Ottanta, quando era appena adolescente, era diventato un maniaco del computer. Secondo lo scrittore Jonathan Littman, infatti, il film Wargames è ispirato proprio a una sua irruzione, del 1979, nel sistema del North America air defense command del Colorado.
L'ossessione di scavalcare tutte le barriere digitali lo aveva portato a compiere imprese memorabili, ma anche a rimediare quattro arresti, e nel 1988 un giudice decise di trattarlo come un tossicodipendente, ordinandogli di entrare in un centro medico per disintossicarsi dal computer. Ma quando venne fuori, Kevin ricominciò tutto da capo e fu costretto a diventare un latitante. L'Fbi sospetta che in quel periodo sia scappato anche in Israele, per sfuggire alla cattura. Nel 1995, comunque, arrivò la resa dei conti. Mitnick, nascosto in North Carolina sotto falso nome, continuava le sue scorribande digitali con un telefono cellulare modificato, e tra le altre cose era riuscito a impossessarsi dei numeri di 20.000 carte di credito. Durante questi raid, però, l'hacker più ricercato del mondo aveva commesso l'errore di violare il computer di Tsutomu Shimomura, esperto di sicurezza del San Diego Supercomputer center. Shimomura si alleò con l'Fbi per catturare Kevin, che alla fine patteggiò una condanna a cinque anni di prigione. Ancora oggi però i suoi difensori, come Emmanuel Goldstein, sostengono che è stato incastrato ingiustamente: «Le sue incursioni - dicono - erano solo frutto della curiosità intellettuale, e con le 20.000 carte di credito non ha rubato neppure un penny».
Nel 1994, intanto, un sedicenne inglese che si faceva chiamare "Datastream" aveva violato i Rome labs della Grifess air force base, nello stato di New York. Si era impossessato di informazioni militari riservate e le aveva spedite in giro per il mondo, trasferendole in Europa, Sudafrica e Stati Uniti.

Sempre nel 1994, alcuni hacker russi di San Pietroburgo erano riusciti a violare il sistema informatico della grande banca americana Citybank, utilizzato per il trasferimento elettronico dei soldi. In questo modo rubarono 10 milioni di dollari, spostandoli su conti correnti in Finlandia, Germania, Olanda, Israele, Svizzera, Stati Uniti e Russia. L'Olanda, tra l'altro, non aveva leggi per i reati digitali e quindi i criminali la usavano spesso per far perdere le loro tracce. Poco alla volta, i responsabili di questa rapina cibernetica furono arrestati, in diversi paesi. Ma 400.000 dollari del bottino non sono mai stati ritrovati.
Nell'agosto del 1995, invece, un ventunenne argentino di nome Julio Cesar Ardita aveva violato il computer centrale dell'Harvard University, e poi lo aveva usato per penetrare i sistemi informatici del Jet propulsion lab della Nasa, quelli del Navy research lab, del Naval command control and oceanic surveillance, e del Los Alamos national laboratory, dove alla fine della seconda guerra mondiale era stata costruita la prima bomba atomica. Navigando senza limiti, aveva rubato password e informazioni sui satelliti militari, l'uso delle radiazioni e l'ingegneria energetica. Le autorità americane lo avevano scoperto, usando il primo ordine giudiziario di wiretapping internazionale on line, ossia di registrazione delle comunicazioni via computer. Argentina e Stati Uniti, però, non avevano un trattato di estradizione per casi del genere, e quindi Ardita era quasi riuscito a cavarsela, per l'impossibilità di processarlo. Alla fine il giovane ha accettato di andare a Boston per farsi giudicare, in cambio di una sentenza ridotta a tre anni di libertà vigilata e 5.000 dollari di multa.

Un altro caso di questo genere si è ripetuto nel febbraio del 1998, quando il diciottenne israeliano Ehud Tenebaum ha violato i computer del Pentagono. Nel suo paese lo hanno trattato quasi come un eroe digitale, ma siccome lo Stato ebraico aveva un accordo di collaborazione giuridica con Washington, il 18 marzo dello stesso anno Ehud è finito in prigione. Per catturarlo l'Fbi si è fatta aiutare dall'ex hacker americano John Vranesevic, che ora ha aperto in Pennsylvania una società di consulenza per la sicurezza digitale, lanciando il sito AntiOnline.com. Vranesevic ha raccontato di essere passato dal ruolo di hacker a quello di confidente dell'Fbi dopo aver subito minacce di morte dal presunto terrorista arabo Khalid Ibrahim, il quale sfruttava a distanza i giovani pirati digitali americani per farsi passare informazioni militari riservate.

3.
Nel marzo del 1999, infine, il primo virus globale ha messo paura a tutta la comunità digitale. Dal suo computer del New Jersey, David Smith ha lanciato "Melissa" e prima di essere arrestato ha combinato danni per 80 milioni di dollari.
Le ultime imprese riguardano la cronaca quasi contemporanea, e probabilmente le ricordano tutti. Il 7 febbraio del 2000 è scattato un attacco di denial of service, che in pochi giorni ha soffocato i siti di Yahoo!, Amazon, eBay, Buy.com, Cnn.com, ZDnet, E*Trade e Datek. Per quell'assalto, la Royal canadian mounted police ha arrestato un quindicenne canadese che si faceva chiamare Mafiaboy. Ma, già a maggio dello stesso anno, la comunità di Internet è stata messa di nuovo in ginocchio dal worm "I love you". Era un messaggio di posta elettronica che arrivava nascosto dietro un indirizzo amico, e una volta aperto distruggeva i files e i programmi in memoria. Secondo il centro di ricerche Computer economics Inc. di Carlsbad, in California, questo scherzo ha fatto danni per almeno 2,6 miliardi di dollari in tutto il mondo, e stavolta l'Fbi è dovuta andare a cercare il colpevole nelle Filippine.

Tutte queste storie confermano una sola verità: i crimini informatici non conoscono confini e possono essere combattuti solo con la cooperazione internazionale. Sul piano giuridico, però, Internet crea dei rompicapo quasi insolubili. Ad esempio, quando un hacker russo ruba soldi in America, passando da un computer olandese, dove è avvenuto il reato? A San Pietroburgo, a New York, ad Amsterdam, oppure in quella terra di nessuno chiamata cyberspace? E se il colpevole viene arrestato, chi ha il diritto di giudicarlo: i russi, gli americani, gli olandesi, o magari i ribelli etici di Emmanuel Goldstein?
Il 27 aprile del 2000, il Consiglio d'Europa ha approvato una Convenzione sul cybercrime, che aveva proprio lo scopo di cominciare a risolvere questi problemi. Eppure, durante un vertice quasi contemporaneo avvenuto a Parigi, americani ed europei non sono riusciti ad accordarsi sulle iniziative pratiche da prendere per rispondere alla sfida.
In queste condizioni, non è un caso che le autorità degli Stati Uniti, secondo i dati resi noti nel 1998 dal dipartimento della Giustizia, riescano a scoprire e processare i colpevoli dei reati informatici solo in un caso su cinquanta.
Gli eccessi a cui può portare la preoccupazione per questa minaccia sono documentati bene dal caso "Carnivore". Con questo nome, davvero poco amichevole, le autorità americane avevano battezzato un sistema che serve a spiare le e-mail in tutto il mondo. L'iniziativa ha provocato un'inchiesta parlamentare, che quanto meno ha stimolato l'Fbi a trovare un appellativo più fantasioso e meno aggressivo per la sua macchina divora messaggi.

Eppure l'attivismo dei cybercop non ha tranquillizzato il grande business. Nel 2000 i Lloyd's di Londra hanno venduto alla compagnia Counterpane security Inc. una nuova polizza da 100 milioni di dollari, proprio per assicurare i clienti contro gli assalti digitali. E non pensate che la frenata dell'economia americana o il crollo a Wall Street di alcune aziende dot.com ci stiano liberando da questa minaccia: la tecnologia di Internet è nata per restare, aldilà dei guai finanziari di chi prova a specularci sopra. Infatti il commercio elettronico mondiale già tocca il trilione di dollari annui e secondo il capo della Ibm, Lou Gerstner, è destinato a scavalcare i 7 trilioni nel giro di pochi anni.
Il poeta Allen Ginsberg, poco prima di morire, ci disse che gli hacker sono i nuovi bardi della beat generation: «Fanno col computer quello che noi facevamo con la penna, e cercano di difendere la libertà di pensiero in una società sempre più controllata». Ma il premio Nobel per l'economia Herbert Simon, ex professore di Computer science and psychology proprio alla Carnegie Mellon di Pittsburgh, non era d'accordo: «Questa storia l'ho sentita già altre volte: il potere nelle mie mani è più sicuro che nelle tue. Ma chi ha eletto questi hacker alla carica di difensori della democrazia?». Ecco, dal confronto tra queste due correnti di pensiero potrebbero dipendere la reputazione dei pirati digitali e la sicurezza futura della società informatica.


Nota

1 Sul fenomeno degli hacker l'autore di questo articolo ha scritto: Hackers. I ribelli digitali, Laterza, Roma-Bari, 2001.