Cinquantamila.it La storia raccontata da Giorgio Dell'Arti

 la comunità straniera più numerosa alla conferenza americana Black Hat - DAVIDE E GOLIA - Vincenzo Iozzo è calabrese, ha vent’anni, e spiega come violare gli iPhone La Apple annuncia un rafforzamento delle difese

LAS VEGAS. Dal nostro inviato
Vincenzo Iozzo sale sul palco della sala Milano all’Hotel e Casinò Caesar’s Palace di Las Vegas. Ad ascoltarlo un centinaio di esperti di sicurezza, che hanno pagato dai 1.400 ai 2.000 dollari a testa per imparare dai più bravi hacker del mondo i trucchi del mestiere alla conferenza Black Hat Briefings 2009. Senza incepparsi una volta, in perfetto inglese, spiega a questo pubblico di professionisti quarantenni di cybersicurezza quanto è facile attaccare un iPhone, penetrarvi per esempio con una mail "pirata" e impossessarsi di tutti i dati personali immagazzinati nell’apparecchio dall’ignaro utente. Apple proprio ieri ha annunciato un aggiornamento del software finalizzato a proteggere dagli hacker l’iPhone.
Vincenzo, studente al terzo anno di ingegneria elettronica al Politecnico di Milano, non ha ancora 21 anni. Calabrese trasferito a Milano, è di gran lunga il più giovane speaker a questa conferenza, un appuntamento annuale per la comunità di esperti di cybersicurezza organizzata a partire dal 1997 da Jeff Moss. Moss, il fondatore del movimento underground degli hacker, è anche l’organizzatore dell’altra conferenza concomitante, il DefCon, frequentata dal pittoresco universo degli hacker per hobby. Vincenzo è il più giovane, ma non è l’unico italiano: anzi, la comunità italiana si distingue quest’anno per essere la più numerosa e creativa in un evento tutto americano. I triestini Daniele Bianco e Andrea Barisano, per esempio, hanno dimostrato martedì mattina agli spettatori attoniti, come è possibile "leggere" anche a 50 metri di distanza quello che una persona sta scrivendo al computer puntando un semplice laser sul laptop e decodificando le vibrazioni dei tasti. Il romano Alessandro Acquisti, professore di Economia alla Carnegie Mellon University, ha escogitato invece un algoritmo per indovinare i numeri della Social Security, un dato anagrafico assegnato dal governo Usa e usato molto spesso come identificazione personale o come password; per farlo ha usato semplicemente la data e il luogo di nascita che milioni di persone rivelano sui siti di aggregazione sociale come Facebook o MySpace. Fuori dalla porta lo aspettava ieri pomeriggio un funzionario del Department of Homeland Security, il ministero della Sicurezza nazionale.
«Vari esponenti del ministero della Giustizia, della Social Security Administration, del parlamento americano oltre alla Homeland Security mi hanno contattato per capire come ho fatto, e soprattutto come rimediare al problema», spiega. E di un bel problema si tratta. «Se ci sono arrivato io, ci possono arrivare anche i cybercriminali che rubano i dati personali», dice. La scoperta di Acquisti dimostra come sia possibile usare masse di dati all’apparenza innocui (come una data di nascita) per risalire a una password. «La gente - continua - rivela ormai particolari sulla propria vita privata senza remore. concepibile che un giorno si possano raccogliere masse di informazioni apparentemente futili (la canzone o il negozio preferiti, il nome della migliore amica, le iniziali di un ex-fidanzato), metterle insieme e indovinare le password». Acquisti, 36 anni, studia l’interazione tra comportamento e cybersicurezza: un campo molto specializzato con rilevanza crescente. «Il mio sogno da ragazzo - racconta - era studiare alla University of California di Berkeley dove nel 2001 è stato fondato il dipartimento di Information management Systems. Ci sono riuscito, e ora ho realizzato un altro sogno: insegnare alla Carnegie Mellon University in una facoltà a cavallo tra economia della privacy ed economia del comportamento».
Andrea Barisani e Daniele Bianco, entrambi 28 anni, non hanno invece lasciato Trieste. Hanno condiviso da ragazzi la passione per l’hacking e con due amici hanno fondato quattro anni fa la loro società di consulenza di cybersicurezza, InversePath. «Da noi - dice Barisani - vengono società private e pubbliche, centri di ricerca e università per farsi aiutare a tappare i buchi nei loro sistemi. Ci sfidano a trovare vulnerabilità nei loro network, e regolarmente le troviamo». L’anno scorso hanno scoperto un elegante modo per penetrare nei sistemi di navigazione satellitare per auto; ciò significa che un pirata con intenti criminosi potrebbe diffondere messaggi falsi (attacchi terroristici, incendi, chiusure di strada) e guidare il conducente dove desidera, per esempio in un parcheggio buio e isolato di periferia.
A dire il vero quasi tutte le sessioni della conferenza (i "black hat", in contrapposizione ai "white hat", sono gli hacker con intenti criminali) sono sufficienti a far venire gli incubi. Uno speaker, per esempio, ha dedicato due ore a spiegare come aprire i lucchetti e le casseforti; un altro ha dimostrato come evitare di pagare i parchimetri digitali; un terzo come attaccare gli sms, un altro ancora come paralizzare il cloud computing, la nuova "moda" informatica che consente all’utente di accedere ai propri programmi e documenti online. Il messaggio da portare a casa anche quest’anno dalla conferenza Black Hat è che nulla è veramente sicuro o protetto: su internet non c’è quasi nessuna privacy.
«Per proteggere un sistema bisogna sapere come attaccarlo», dice Barisani. Per questo motivo i più bravi hacker del mondo sono ormai stati ingaggiati dalle più grandi società di informatica. Non è un caso che la Microsoft, zimbello della comunità degli hacker e vittima eccellente di attacchi al suo sistema operativo, sia lo sponsor principale dell’evento. «Quello che è cambiato di più dal 1993, anno in cui ho organizzato il primo raduno di hacker underground a Las Vegas, il DefCon, è che ormai tutti i partecipanti hanno un lavoro "da grandi"», racconta Jeff Moss. Alto, diafano e vestito in girocollo nero come Steve Jobs, anche Moss ha fatto il grande salto: Obama l’ha voluto nel comitato dei consiglieri del ministro della Homeland Security, Janet Napolitano. Un notevole cambiamento dai giorni in cui si faceva chiamare "Dark Tangent" e entrava nei network telefonici per fare chiamate intercontinentali senza pagare: oggi siederà di fianco a un ex-direttore dell’Fbi, a un ex-direttore della Cia, allo sceriffo di Los Angeles e al capo della polizia di New York.
Vincenzo Iozzo invece non ha ancora alcuna intenzione di fare il grande salto. «La Apple mi ha fatto un’offerta ma non mi interessa. Invece due anni fa ho accettato di fare il consulente di un’azienda tedesca di cybersicurezza, un lavoro che mi dà più flessibilità e mi consente di dare gli esami all’università». Un lavoro che, tra l’altro, paga bene. Quanto? «Non posso dirlo ma diciamo che, rispetto a un medico, a parità di ore...beh, io guadagno meglio». Ora Vincenzo torna in Italia e conta di riposarsi in agosto prima di riprendere a studiare, a lavorare e a fare il giro del mondo alle conferenze. E il suo sogno? «Mi piacerebbe proprio andare al Mit».

DANIELA ROVEDA