ABC Sicurezza: Internet of things

Se l’amatissimo Emmett “Doc” Brown, protagonista del celebre film Ritorno al Futuro, potesse vedere oggi le “meraviglie” dell’Internet of Things sono sicuro che la sua prima espressione sarebbe: “Grande Giove!!”. Gli basterebbe poco per rendersi conto dei passi in avanti fatti nell’informatica e nelle telecomunicazioni e in molte altre scienze. Basterebbe accendere il flusso canalizzatore e attivare i circuiti temporali della mitica DeLorean impostando come data il 1995, quando per telefonare erano necessarie le schede e nelle macchine c’erano appena le cinture di sicurezza, quando internet era agli albori e tutto era sconnesso, scollegato. Chi avrebbe mai pensato che fosse possibile condividere la posizione con il proprio amico d’infanzia per vedersi al centro di Milano, o leggere i giornali su un tablet, interagire con il cruscotto di un’automobile parlando? Forse Doc lo sapeva e forse proprio ora è a spasso negli anni novanta per dare inizio all’era dell’Internet of  Things.

Internet of FUNNY Things

Ma cos’è nella pratica l ‘Internet of Things? Il suo acronimo è IoT, un neologismo coniato per la prima volta nel 1999 al MIT da Kevin Ashton per descrivere il fenomeno con cui Internet entra nel mondo: entra nelle cose che usiamo quotidianamente, entra nei luoghi che ci circondano e anche negli oggetti che portiamo addosso. E’ quindi una rivoluzione a 360° basata su un’interazione continua tra cose, processi, device e persone connessi in rete. Il re indiscusso dell’IoT è senza dubbio lo  smartphone: uno dei primi device collegati a internet che abbiamo infilato nelle nostre tasche e che ha aperto a un modo nuovo di interagire con il mondo e con ecosistemi di riferimento.

L’IoT oggi non è più una realtà di nicchia di cui parlare solo in ambienti accademici o prettamente IT. Oggi di IoT si parla come una profonda risorsa: Cisco prevede che entro il 2022 esso genererà ricavi pari a 14.400 miliardi di dollari per il settore privato. Anche General Electric prevede aumenti di produttività indotti grazie all’IoT che potrebbero contribuire ad aumentare il Pil europeo per un valore totale di circa 2,2 migliaia di miliardi di euro entro il 2030.

Ma questa risorsa, oggi, vive un momento di riflessione che è legato al tema sicurezza, sempre più protagonista delle cronache non sempre positive, di questi anni.  Se solo si pensa che nel 2025 il numero di device connesse a Internet raggiungerà probabilmente quota 50 miliardi, è lecito, e doveroso, iniziare a preoccuparsi un po’ anche in termini di security.

Tutti gli oggetti connessi alla rete sono potenzialmente vulnerabili ad attacchi hacker: accade agli smartphone ma accade anche ai frigoriferi in rete: quelli Samsung sono stati violati ad uno degli ultimi hackathon di DEFCON  a Las Vegas, e a da questi è stato possibile violare a sua volta un account Gmail, con il quale il frigorifero condivideva il calendario del suo proprietario allo scopo di visualizzarlo su uno schermo del frigorifero stesso. Ma è accaduto anche alle Jeep Cherokee di Fca o alle vetture di Tesla Motors (link). E ancora tra i “connessi” risultano: bilance pesa persone dalle quali sono stati rubati dati relativi alla forma fisica delle persone, babymonitor violati e usati come microspie, così come smart tv e sistemi di videosorveglianza WiFi, ricevitori satellitari usati come botnet di safety.

Internet of SCARY Things

Perchè safety?  Veramente l’IoT può essere “pericoloso”? Cosi spaventoso da doverci imporre uno stop per rivedere le metodologie e le politiche di applicazione di sicurezza? Perchè anche l’ Open Web Application Security Project ha creato un progetto apposito per questo specifico settore?

Il perché è presto detto se pensiamo al già citato settore che sta rivelando a tutti la delicatezza del tema: le automobili. Infondo il sistema di centraline interne di una macchina non è molto differente da una rete di computer. Nel sistema centrale di comunicazione di un autoveicolo i messaggi vengono mandati in chiaro, nella maggior parte dei casi,  per cui risulta abbastanza facile interagire con il sistema. L’accesso a questi sistemi avviene connettendosi al CAN-bus di un veicolo, ed è possibile con diverse metodologia a seconda del modello e della marca del veicolo stesso. Per alcuni serve essere nell’abitacolo per interagire con il sistema, per altri è sufficiente ad esempio un sensore della pressione dei pneumatici.

Il CAN-bus o CAN è un bus seriale che consente la comunicazione tra dispositivi intelligenti montati su un veicolo,ovvero sensori e attuatori in grado di produrre dati da immettere sul BUS che comunica con l’Engine Control Unit, cuore pulsante dei bit automobilistici. Per semplificare, nelle macchine di nuova generazione quando si spinge il pedale del freno si attiva un sensore che comunica alla centralina di attivare i freni. Niente cavi d’acciaio. Niente olio o pezzi di ricambio. Codice, interpretazione, frenata. Affascinante e molto pericoloso se si pensa a come ogni parte di un veicolo sia ormai completamente comandata da un computer.
Ma il mondo dell’IoT non si ferma e guarda avanti. Guarda ai treni, con il progetto di Trenitalia sulla “predictive maintenance”, che sarà possibile solo grazie alla presenza di centinaia di sensori che invieranno informazioni sullo stato dei componenti dei treni. L’IoT “guida” gli aerei, i droni, interagisce con le smart grid e gli smart meters. L’IoT vive anche nelle smart city.

Sarebbe possibile prendere il controllo di tutto questo? La risposta probabilmente ad oggi è si. Facendo un paragone: le infrastrutture che sorreggono l’IoT sono equivalenti in termini di sicurezza a quelle che alla fine degli anni ’90 si affacciavano su internet fornendo servizi.

Eppure, un settore che può creare introiti come quelli suggeriti da Cisco non può, e non deve, diventare una perdita in termini sia economici che di sicurezza. Dovremmo poter rivedere il nostro approccio a ciò che già è in produzione e a maggior ragione a ciò che nel futuro lo sarà. Dedicando da subito il giusto spazio per rendere sicuro ciò che ormai è sempre presente nella nostra quotidianità, garantendo delle giuste policy e metodologie per gli utilizzatori e anche per i produttori.

Altrimenti potremmo essere costretti un giorno a dover prendere la DeLorean per tornare indietro, a sistemare il nostro futuro.