L'industria della sorveglianza come servizio deve essere portata al passo

Eccoci di nuovo: è emerso un altro esempio di sorveglianza governativa che coinvolge smartphone di Apple e Google e mostra come possono diventare sofisticati gli attacchi sostenuti dal governo e perché c'è una giustificazione per mantenere completamente bloccate le piattaforme mobili.

Cos'è successo?

Non intendo soffermarmi troppo sulle novità, ma in breve è la seguente:

• Il gruppo di analisi delle minacce di Google ha informazioni pubblicate che rivelano l'hack.
• La società di sorveglianza italiana RCS Labs ha creato l'attacco.
• L'attacco è stato utilizzato in Italia e Kazakistan, e forse altrove.
• Alcune generazioni dell'attacco sono gestite con l'aiuto degli ISP.
• Su iOS, gli aggressori hanno abusato degli strumenti di certificazione aziendale di Apple che consentono la distribuzione interna delle app.
• Sono stati utilizzati circa nove diversi attacchi.

L'attacco funziona in questo modo: al bersaglio viene inviato un collegamento univoco che mira a indurli a scaricare e installare un'app dannosa. In alcuni casi, le spie hanno lavorato con un ISP per disabilitare la connettività dati per indurre gli obiettivi a scaricare l'app per recuperare quella connessione.

Gli exploit zero-day utilizzati in questi attacchi sono stati corretti da Apple. In precedenza aveva avvertito che i cattivi attori lo erano stati abusando dei suoi sistemi che consentono alle aziende di distribuire apps all'interno. Le rivelazioni si collegano alle recenti notizie di Lookout Labs sullo spyware Android di livello aziendale chiamato Hermit.

Cosa c'è a rischio?

Il problema qui è che tecnologie di sorveglianza come queste sono state commercializzate. Significa che capacità che storicamente erano disponibili solo per i governi vengono utilizzate anche da appaltatori privati. E questo rappresenta un rischio, poiché strumenti altamente riservati possono essere rivelati, sfruttati, decodificati e abusati.

As Google ha detto: “I nostri risultati sottolineano la misura in cui i fornitori di servizi di sorveglianza commerciale hanno proliferato capacità storicamente utilizzate solo dai governi con l'esperienza tecnica per sviluppare e rendere operativi gli exploit. Ciò rende Internet meno sicuro e minaccia la fiducia da cui dipendono gli utenti".

Non solo, ma queste società di sorveglianza private stanno consentendo la proliferazione di pericolosi strumenti di hacking, mettendo a disposizione dei governi queste strutture di ficcanaso ad alta tecnologia, alcune delle quali sembrano divertirsi a spiare dissidenti, giornalisti, oppositori politici e operatori dei diritti umani. 

Un pericolo ancora più grande è che Google stia già tracciando almeno 30 produttori di spyware, il che suggerisce che il settore della sorveglianza commerciale come servizio è forte. Significa anche che ora è teoricamente possibile anche per il governo meno credibile accedere a strumenti per tali scopi e dato che molte delle minacce identificate fanno uso di exploit identificati dai criminali informatici, sembra logico pensare che questo sia un altro flusso di reddito che incoraggia ricerca.

Quali sono i rischi?

Il problema: questi legami apparentemente stretti tra fornitori di sorveglianza privatizzata e criminalità informatica non funzioneranno sempre in una direzione. Tali exploit - almeno alcuni dei quali sembrano sufficientemente difficili da scoprire che solo i governi avrebbero le risorse per essere in grado di farlo - finiranno per trapelare.

E mentre Apple, Google e tutti gli altri rimangono impegnati in un gioco del gatto e del topo per prevenire tale criminalità, chiudendo exploit dove possono, il rischio è che qualsiasi falla di sicurezza del dispositivo o della backdoor imposta dal governo finisca per scivolare nel commerciale mercati, dai quali raggiungerà quelli criminali.

Il regolatore europeo della protezione dei dati ha avvertito: "Le rivelazioni fatte sullo spyware Pegasus hanno sollevato interrogativi molto seri sul possibile impatto dei moderni strumenti spyware sui diritti fondamentali e in particolare sui diritti alla privacy e alla protezione dei dati".

Questo non vuol dire che non ci siano ragioni legittime per la ricerca sulla sicurezza. Esistono difetti in qualsiasi sistema e abbiamo bisogno che le persone siano motivate a identificarli; gli aggiornamenti di sicurezza non esisterebbero affatto senza gli sforzi di ricercatori di sicurezza di vario tipo. Mela paga fino a sei cifre ai ricercatori che identificano le vulnerabilità nei suoi sistemi.

Cosa succede dopo?

Il garante della protezione dei dati dell'UE ha chiesto il divieto dell'uso del famigerato software Pegasus del gruppo NSO all'inizio di quest'anno. In effetti, la chiamata è andata oltre, cercando apertamente un "divieto dello sviluppo e dell'implementazione di spyware con le capacità di Pegasus".

Apparentemente il gruppo NSO è ora in vendita.

I Lo ha detto anche l'UE che nel caso in cui tali exploit siano stati utilizzati in situazioni eccezionali, tale utilizzo dovrebbe richiedere che società come NSO siano soggette a una supervisione normativa. In quanto parte di ciò, devono rispettare il diritto dell'UE, il controllo giudiziario, i diritti procedurali penali e accettare di non importare informazioni illegali, nessun abuso politico della sicurezza nazionale e sostenere la società civile.

In altre parole, queste aziende devono essere allineate.

Cosa puoi fare

A seguito delle rivelazioni su NSO Group lo scorso anno, Apple ha pubblicato le seguenti raccomandazioni sulle migliori pratiche per contribuire a mitigare tali rischi.

• Aggiorna i dispositivi al software più recente, che include le ultime correzioni di sicurezza.
• Proteggi i dispositivi con un passcode.
• Usa l'autenticazione a due fattori e una password complessa per l'ID Apple.
• Installazione apps dall'App Store.
• Usa password complesse e univoche online.
• Non fare clic su collegamenti o allegati di mittenti sconosciuti.

Per favore, seguimi Twitter, o unisciti a me nel Bar & grill di AppleHolic ed Discussioni Apple gruppi su MeWe.