Articoli di Fede

Se la Mela si baca… Atto II

Dove eravamo rimasti.

San Bernardino, 2 dicembre scorso, 14 persone vengono uccise da due attentatori, morti anch’essi nella colluttazione a fuoco. Uno dei due, Syed Rizwan Farook, possiede uno smartphone, un iPhone 5C. I metodi investigativi prevedono che il cellulare venga prelevato ed acquisito per leggerne il contenuto così da agevolare le indagini sul gruppo terroristico ma… qualcosa va storto. Il telefonino è protetto da un PIN che, vista la situazione, non può essere né richiesto né fornito spontaneamente.

Gli investigatori eseguono alcune operazioni – una delle quali si è poi saputo aver compromesso in parte alcune possibilità di recupero – ma a un certo punto si arrendono e decidono di chiedere il supporto diretto di Apple. Il 16 febbraio 2016 il Giudice Federale riporta ad Apple la richiesta dell’FBI di ottenere supporto nel realizzare un firmare che “attenui” i meccanismi di protezione del sistema al fine di permettere un attacco di forza bruta finalizzato a trovare il PIN corretto. La richiesta solleva obiezioni e proteste da parte di organizzazioni che temono si parli di “backdoor” e smuove l’opinione pubblica. Qualche giorno dopo la richiesta, il 25 febbraio 2016, Apple risponde ufficialmente al Giudice per spiegare i motivi che le impediscono di adempiere a quanto intimato.

Il Giudice riconosce le ragioni di Apple e conferma che la società di Cupertino non è obbligata a sviluppare software ad hoc che violino le policy di sicurezza implementate nei loro sistemi per permettere attacchi di tipo brute force.

Il Giudice riconosce le ragioni di Apple e conferma che la società di Cupertino non è obbligata a sviluppare software ad hoc che violino le policy di sicurezza

A sorpresa, il 22 marzo il Governo Americano chiede di annullare l’Udienza programmata per quel giorno perché sembra che una “outside party” abbia dimostrato la fattibilità dell’operazione di sblocco dell’iPhone di Farook. L’FBI ha infatti bisogno di eseguire ulteriori test e chiede quindi un rinvio al 5 Aprile, così da poter confermare la possibilità di annullare la richiesta di supporto ad Apple. Il 28 marzo arriva la notizia ufficiale: il Governo USA chiede la cancellazione dell’istanza di supporto da parte di Apple presentata il 16 febbraio.

Privacy, Sicurezza e Giustizia: istanze che si rinnovano e dividono opinione pubblica, forze politiche e signori IT.

Che l’FBI abbia risolto da sé poco cambia i contorni che ha ormai assunto la vicenda: la strenua resistenza opposta da Cupertino e sfociata in 65 pagine di ricorso, l’enorme spalla d’appoggio offerta dall’opinione pubblica e dalle altre aziende ICT ha di fatto messo i bastoni fra le ruote all’FBI. Le richieste assai particolari rivolte dai G-men ad Apple per poter accedere ai dati racchiusi nell’iPhone di San Bernardino hanno acceso un dibattito su sicurezza e privacy di certo non nuovo, ma sicuramente senza precedenti, mobilitando tutti i colossi dell’Information Technology, spaccando in due la società civile e infiammando la politica.

In particolare, sappiamo che Apple nel proprio ricorso chiarisce come in questo caso non si possano affatto applicare le prescrizioni contenute nel tanto utilizzato (e forse abusato) 1789 All Writs Act, su cui si fonda la richiesta dei “feds” nei suoi confronti. Nel ricorso si sottolinea addirittura che anche qualora ciò fosse stato possibile, sarebbe risultato incostituzionale perché avrebbe finito col violare sia il Primo Emendamento, che negli Stati Uniti tutela la libertà d’espressione, che il Quinto, sul giusto processo. Circa il Primo Emendamento, Cupertino rammenta come il codice informatico sia equiparato alla parola, per cui qualsiasi persona fisica o giuridica sono protetti dall’obbligo di parlare sotto forzatura, anche nel caso in cui la parte che ne faccia richiesta sia l ‘FBI. A corredo e a sostegno delle proprie tesi difensive Apple afferma che il caso non può essere assolutamente considerato come eccezione circoscritta al singolo iPhone usato dall’attentatore di San Bernardino (come invece asserisce l’FBI), ma che al contrario, attraverso questa vicenda, FBI e Dipartimento di Giustizia stiano in realtà cercando di raggiungere uno scopo ben più ampio e ambiguo e cioè “il potere di costringere aziende come Apple a minare le disposizioni di sicurezza e gli interessi nei confronti della privacy di centinaia di milioni di utenti di tutto il mondo”. Si tratterebbe, insomma, nella pratica dell’obbligo di far compilare strumenti ad hoc come backdoor per bypassare le barriere di sicurezza crittografiche erette a standard dei dispositivi mobili, agevolando così il potenziale svilupparsi di conseguenze anche ben più gravi. Tant’è che le ragioni espresse dall’azienda di Cupertino si fondano su accadimenti già verificatisi in via pregressa: non è la prima volta che il Dipartimento di Giustizia inoltra richieste di simile natura ad Apple o ad altre aziende. È anzi, a quanto pare, una pratica ben consolidata. Una tale costrizione andrebbe poi, come abbiamo anticipato, a intaccare i princìpi stabiliti dal Quinto emendamento e Apple vedrebbe lesi altri due diritti costituzionalmente garantiti: quello a un giusto processo e quello a non essere sottoposta a “privazioni di libertà arbitrarie”, trovandosi colpita da un’ingiunzione in un caso che in fin dei conti non la vede direttamente coinvolta dai fatti della strage.

Apple nel proprio ricorso evidenzia come la richiesta dell’FBI sia incostituzionale poiché vìola il Primo Emendamento, che tutela la libertà di espressione e il Quinto, sul giusto processo.

Perciò nella battaglia che si è scatenata a suon di dichiarazioni pubbliche e in cui molti commentatori hanno colto, perché no, anche una notevole dose di business, la Mela ha sin da subito trovato conforto in una quasi unanime levata di scudi in suo favore da parte dell’intero scenario IT, fra cui non stupisce che spicchino titani del settore, quali Facebook, Twitter, Mozilla, Amazone Google. E chi non ha speso parole interamente a favore delle della Mela, volendo comprendere le ragioni dell’FBI, ha comunque finito col formulare riflessioni in cui l’aspetto del limite alle richieste dei federali è ben evidenziato. Ad esempio, Bill Gates, il papà di Microsoft, pur avendo espresso il proprio appoggio a FBI, offrendo anche lui, fra i diversi personaggi che si sono fatti avanti, il proprio aiuto alla causa, non ha taciuto al contempo il suo pensiero circa il fatto che la richiesta dovesse in ogni caso restare confinata al caso di San Bernardino. Fra le altre varie voci che si sono levate parzialmente fuori dal coro c’è anche l’eccentrico MacAfee, candidato alle presidenziali USA, che è intervenuto rendendosi pure lui disponibile a decriptare l’iPhone oggetto del contenzioso, così da non costringere Apple a spianare di fatto la strada verso la potenziale e temutissima “pratica backdoor”.  Ancora, fra le forze politiche impegnate nella campagna elettorale presidenziale e che hanno ben saputo trovare su questa vicenda altro terreno fertile su cui duellare e fare propaganda vi è il miliardario Mark Cuban, il quale si è espresso per una legge che statuisca, una volta per tutte, quali siano i casi in cui le autorità possano legittimamente richiedere alle aziende di collaborare con azioni di “hack” di questo tipo.

Certo è che il caso di San Bernardino è un esempio eclatante e forse il più emblematico di tutti, in cui la tecnologia ha alimentato una tensione altissima e mai percepita in maniera così dolorosa tra due valori fondamentali e fra loro contrapposti: sicurezza e privacy.  Lo stesso Snowden si espresso definendo la battaglia ingaggiata da Apple per la sicurezza dei propri dispositivi come il più importante caso tecnologico degli ultimi dieci anni.

Errare umano est, perseverare autem diabolicum.

Sulle testate giornalistiche sono comparse alcune indiscrezioni su errori che sarebbero stati compiuti dagli inquirenti nelle fasi immediatamente successive al sequestro dello smartphone. In particolare, emerge come nelle 24 ore successive al sequestro, gli inquirenti abbiano modificato la password di iCloud, probabilmente con l’intenzione di scaricarne i contenuti, cosa effettivamente avvenuta e che ha mostrato come in effetti vi fossero on line backup dello smartphone. Le voci sostenevano che i tecnici della Contea di San Bernardino avessero agito senza consultare l’FBI resettando la password di iCloud, motivo per il quale la Contea ha pubblicato un comunicato stampa precisando che l’attività è stata svolta congiuntamente all’FBI e ha prodotto come risultato il download dei backup di iCloud fino al 19 ottobre.

Il cambio della password di iCloud ha impedito il tentativo di attivazione del backup dello smartphone sulla rete, backup che avrebbe permesso di accedere a buona parte dei dati del telefono.

Certamente vista la scarsità di tempo e risorse, quello ottenuto è già un risultato, peccato però che se non fosse stata resettata la password di iCloud si sarebbe potuto forzare lo smartphone a eseguire un nuovo backup ottenendo quindi buona parte delle informazioni contenute nel dispositivo. Per farlo sarebbe stato sufficiente connettere il telefono a una presa di corrente, agire entro le 48 ore dall’ultimo accesso e far connettere il dispositivo a una rete WiFi nota. Tutte e tre le condizioni sarebbero potute essere soddisfatte, in particolare per la terza – che può sembrare la più complessa – esistono soluzioni già pronte come il noto “Pineapple” della Hak5. Lo strumento, che costa meno di 100 dollari, permette di emulare qualunque rete WiFi aperta venga richiesta da dispositivi nel suo raggio d’azione: pensiamo a reti di hotel, treni, locali pubblici, etc… utilizzate almeno una volta.

La realtà è che questa possibilità non si è potuta tentare, per via del cambio password di iCloud, quindi le soluzioni rimaste sono tutte più complesse, incluso il chiedere ad Apple lo sviluppo di un firmware ad hoc. Tra l’altro, l’FBI sosteiene che in ogni caso avrebbero dovuto tentare altre possibilità, anche avendo potuto eseguire un backup aggiornato di iCloud, perché nei backup degli iPhone parecchie informazioni non vengono incluse, come ad esempio la cache delle applicazioni, le mail, etc…

Lo spegnimento di un dispositivo iOS con versione successiva alla 7 implica la perdita di svariate possibilità di accesso ai dati, poiché al riavvio (o passate le 48 ore dall’ultimo accesso) gli iPhone si “blindano” chiudendo i canali di comunicazione verso l’esterno.

Un secondo errore sembra sia stato commesso, anche se non ci sono prove che lo attestino: lasciare che il dispositivo si spegnesse, o riavviarlo di proposito. Questo fa sì che diventi impossibile catturare il traffico di rete del cellulare (che se non viene sbloccato con il PIN non si attiva), utilizzare eventuali certificati di lockdown trovati sul PC di Farook (diventano inutili dopo 48 ore dall’ultimo sblocco) o utilizzar i vari bug noti delle versioni di iOS che permettono ai dati presenti sul dispositivo.

Analisi tecnica delle possibili soluzioni

Data la situazione contingente, rimangono diverse soluzioni ipotetiche suggerite dai vari esperti come Zdziarski e Snowden, alcune difficili da realizzare ma tutte fondate su basi teoriche realistiche.

La prima soluzione è quella di copiare la memoria NAND in modo da poterla ripristinare ogni volta che, superati i 10 tentativi, viene cancellata tramite wipe (o bloccata) dal dispositivo. In questo modo,  con 100 ripristini di NAND nel caso peggiore si potrebbe sbloccare l’iPhone di Farook. Consideriamo – dice Zdziarski – che quello è il metodo utilizzato nei negozi cinesi che eseguono upgrade della memoria dei dispositivi da 16GB a 128GB e ha un costo all’utente finale di circa 60 dollari per copia e ripristino della flash ROM: nel caso peggiore, l’attività verrebbe quindi a costare 60.000 dollari.

Invede di ripristinare la memoria NAND dopo ogni wipe, si potrebbe tentare – così come si fa già per le stazioni di gioco Wii – di realizzare un emulatore di NAND che a ogni wipe si reinizializza in automatico, così da automatizzare il processo con costi di setup certamente non indifferenti ma di realizzazione bassissimi.

Gli esperti hanno proposto diverse metodologie di attacco allo smartphone di Farook, nessuno sa quale di queste sia effettivamente stata utilizzata per accedere ai dati contenuti nel cellulare.

Edward Snowden propone la tecnica del de-capping, che prevede di estrarre i dati dal chip tramite attacco con acido e laser e forzare la decifratura dei dati all’esterno, su un supercomputer, eludendo così il possibile blocco o wipe conseguente ai dieci tentativi falliti. Il metodo, pur teoricamente condiviso, non è mai stato realizzato ed è molto rischioso per l’integrità della flash che potrebbe distruggersi nel corso dell’attività.

In ultimo, rimane la possibilità di sfruttare falle e bachi cosiddetti “0-day”, cioé ancora non note al pubblico ma soltanto a chi le ha trovate o a chi ha commissionato la ricerca. Ovviamente trovare vulnerabilità “0-day” non è facile e non si può prevedere tempistica di realizzazione, a meno che tali vulnerabilità non siano state già trovate.

L’esito della vicenda

Come anticipato nell’introduzione, il 28 marzo il Governo USA chiede la cancellazione dell’istanza di supporto da parte di Apple presentata il 16 febbraio, spiegando di essere riusciti a estrarre il contenuto dei dati senza il supporto di Apple ma con l’ausilio di una “parte terza” non meglio definita. Le ipotesi su chi possa aver dato supporto all’FBI sono diverse, c’è chi parla di “hacker”, chi di “0-day”, chi di Cellebrite (società Israeliana specializzata in mobile forensics). La risposta alla domanda non è mai stata fornita ma possiamo notare consultando fonti pubbliche, con un certo stupore, come proprio lunedì 28 marzo 2016, l’FBI abbia acquistato da Cellebrite servizi di “INFORMATION TECHNOLOGY SUPPLIES” per un totale di circa $218.000. Ora questa potrebbe certamente essere una coincidenza o un semplice “rinnovo licenze” come riporta il dettaglio della spesa, ma se eseguiamo andiamo a visionare l’estrapolazione dal database dello storico di tutti ordini immessi dall’FBI verso la società Cellebrite USA Corp, notiamo come dal settembre 2009 siano stati commissionati alla Cellebrite ben 187 incarichi, per diverse centinaia di migliaia di dollari, ma l’incarico del 28 marzo è l’unico con un’importo così alto, una tipologia d’incarico diversa da tutte le altre e… dulcis in fundo, è stato stipulato proprio il giorno in cui il Governo USA ha dichiarato di aver sbloccato l’iPhone di San Bernardino precisando nel comunicato precedente che a farlo sarebbe stata una “outside party“.

Conclusioni.

Nel momento in cui scriviamo si apprende della notizia che Apple ha appena richiamato fra le proprie fila John Callas, dimostrando la serietà delle sue intenzioni a rafforzare ulteriormente i propri device.

Se non può più certo scandalizzare né stupire il grande rifiuto di Apple ad assecondare l’FBI nella sua richiesta, permane invece un amletico dubbio su come mai l’FBI abbia poi abbia rivelato al mondo intero ancora con tanto clamore di essere finalmente riuscita nel suo intento, escogitando per conto proprio una soluzione alternativa. Viene da pensare che la scappatoia poteva essere pensata dai men in black in lasso di tempo assai più breve, forse senza nemmeno rivolgersi a Cupertino e soprattutto in sordina. Resta poi nell’ombra il grande no di un’azienda, la Apple, a collaborare col governo americano, senza che si paventi una causa legale. Resta un’ingiunzione non adempiuta affermata (o fatta passare?) fino al 28 marzo scorso come legittima, mentre prima del 28 marzo la vicenda è stata nell’occhio di un ciclone giudiziario-mediatico quasi surreale. Restano uno o più vuoti normativi. Ma quello che soprattutto resta, per ora, è certamente l’amara sensazione che ci sia stato un pericolosissimo tentativo di far firmare alla collettività un contratto di scambio fra sicurezza e privacy, sfruttando biecamente la spinta emotiva di un crimine particolarmente efferato.

Articolo di Federica Bertoni e Paolo Dal Checco.

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out /  Change )

Google photo

You are commenting using your Google account. Log Out /  Change )

Twitter picture

You are commenting using your Twitter account. Log Out /  Change )

Facebook photo

You are commenting using your Facebook account. Log Out /  Change )

Connecting to %s