Luca Dello Iacovo, Nòva24 15/1/2012, 15 gennaio 2012
IL VOLTO BUONO DEI POTERI
Emanuele Gentili ha una passione per la sicurezza informatica dall’età di quattordici anni. Come tanti frequenta le pagine di Facebook. E scopre una falla che avrebbe permesso manomissioni da parte di malintenzionati: senza perdere tempo invia un avviso con una descrizione dettagliata dei rischi. La breccia è chiusa in una decina di giorni, anche grazie al continuo scambio di pareri con il gruppo di sviluppatori informatici che protegge il social network. Era un punto debole in grado di causare problemi. Semplificando, i criminali elettronici avrebbero potuto inserire codici non autorizzati. Pochi si sarebbero accorti della differenza: dopo aver cliccato sul link in un messaggio email, avrebbero visto in alto l’indirizzo web «www.facebook.com», ma non sarebbe apparso alcun cambiamento osservabile a vista.
Gentili aveva raccolto un invito lanciato da Facebook l’anno scorso: il social network chiedeva segnalazioni che aiutassero a migliorare le sue difese dagli attacchi su internet. E, in seguito, ha stabilito un compenso minimo di 500 dollari per ogni nota tecnica di rilievo ricevuta, versato su una carta di credito personalizzata dove, nella parte anteriore, è incisa la parola «white hat»: indica gli hacker etici per distinguerli da chi, ad esempio, compie azioni criminali per profitto individuale o della propria organizzazione («black hat»). Finora i premi hanno raggiunto anche 5mila dollari, ma le remunerazioni non hanno un limite prestabilito.
«Le aziende coinvolgono professionisti e ricercatori di vulnerabilità incentivandoli sotto il punto di vista della pubblicità e di un riconoscimento economico: in questo modo partecipano coloro che utilizzano la piattaforma (Facebook, ndr) e hanno capacità mirate nella security», osserva Gentili. Aveva trasmesso la sua segnalazione prima che fossero annunciati eventuali compensi, stabiliti in seguito per incentivare il coinvolgimento. E lo scorso dicembre ha ricevuto 500 dollari di premio sulla carta di credito «white hat». Negli ultimi mesi ha anche indicato altre quattro "vulnerabilità", come vengono chiamati i punti deboli tra chi si occupa di sicurezza. In due casi il social network ha analizzato le osservazioni, ma non le ha accettate. Per altre due, invece, è in corso una procedura di valutazione. Chi invia gli avvisi sulle falle nella sicurezza guadagna visibilità per le proprie capacità. Diventa una forma di collaborazione volontaria.
Negli ultimi anni Gentili ha aiutato colossi come Microsoft, Apple, Google: la sua passione per la ricerca di vulnerabilità digitali deriva dal suo lavoro. Agli studi universitari preferisce ben presto l’attività imprenditoriale e fonda una sua società, Tiger Security. Ha 24 anni ed è specializzato come trainer per corsi in sicurezza offensiva con certificazione Oscp: insegna a enti governativi e aziende in che modo imparare a difendersi da attacchi informatici. Si occupa inoltre di «computer forensic»: è project leader europeo di BackTrack, un sistema operativo che racchiude strumenti per le indagini utilizzato, ad esempio, dall’agenzia degli Stati Uniti che vigila sulle difese digitali, la Nsa.
Altri colossi di internet hanno avviato programmi di collaborazione con hacker, ricercatori e professionisti dell’information security: spesso i confini fra le tre categorie sono piuttosto sottili. Il fronte comune è contro i pirati «black hat» che assaltano le rotte di internet. Nell’ultimo anno l’impatto economico degli attacchi digitali è aumentato. Secondo le rilevazioni del Ponemon Institute, in media il valore del furto di dati nelle organizzazioni registra un incremento del 7%, fino a 7,2 milioni di dollari. Negli Stati Uniti l’organo di vigilanza sui mercati finanziari, la Sec, ha chiesto alle aziende di segnalare i costi delle incursioni elettroniche e specificare la loro copertura assicurativa. L’anno scorso Google ha lanciato una sorta di gara per sapere quali sono i punti deboli del suo software per navigare su internet, Chrome. Attraverso gli avvisi su eventuali falle può prevenire sorprese improvvise e ridurre i costi generati dai danni. Come per Facebook, la ricompensa minima offerta da Google nel suo programma per i pirati «white hat» è di cinquecento dollari, ma il massimo finora accordato è di 3.133,70 dollari. Notate un gioco fra parole e numeri: la cifra «3.133,70» tradotta in lettere diventa «eleet», dove «e» somiglia al «3», «elle» a «1» e «t» a un «7». Ed eleet è il nome di un codice di scrittura adoperato tra gli hacker.