“Svegliati Matthew, è tardi”
Matthew sente una voce provenire dal fondo della stanza, ma non vede nessuno. Si stropiccia gli occhi e cerca di focalizzare.
“Matthew, dormiglione, su sveglia, è tardi”
La voce è distante, un po’ roca. Matthew non capisce, nella stanza non c’è nessuno con lui, e la voce non è quella di suo padre. Comunque si alza, si veste e va in cucina dove trova la madre.
“Come mai già sveglio? È prestissimo”
“Mamma, c’è qualcuno nella mia stanza, mi dice delle cose”
“Come no, ti ho detto che i fantasmi non esistono”

Un abbraccio virtuale

Internet of things (IoT), generalmente tradotto con Internet delle cose ma più propriamente con Internet degli oggetti, è un neologismo coniato da Kevin Ashton nel 1999 a indicare l'infrastruttura costituita dall'interconnessione di oggetti, sensori (di fumo, di rilevamento) dispositivi di uso quotidiano (orologi, automobili, elettrodomestici), in grado di raccogliere dati, elaborarli e trasferirli in rete. Lo scopo è, ovviamente, l'interazione di tali oggetti con altri connessi.

Questa definizione è funzionalmente associata con l'altra ormai utilizzata comunemente, e cioè Big Data, in riferimento al trattamento automatizzato di grandi quantità di dati ma anche, anzi soprattutto, alle correlazioni estrapolate da grandi insiemi di dati. I Big Data non indicano, infatti, tanto la grandezza dell’insieme di dati (data set), quanto la loro elaborazione algoritmica al fine di ottenerne correlazioni specifiche. L’applicazione classica è la profilazione degli individui per inviare pubblicità e fornire servizi o prodotti personalizzati.

L’avvento dell’Internet of things stringerà in un abbraccio virtuale tutti gli oggetti che ci circondano (si stimano per il 2020 circa 24 miliardi di oggetti connessi, fonte Gartner; per fare un paragone i siti web online sono 1,16 miliardi, fonte Netcraft), con un impatto ancora non ben definito sulle nostre vite quotidiane. Attraverso la catena degli oggetti connessi, tutti in grado di rilevare dati correlati alle nostre attività, non solo avremo una moltiplicazione esponenziale dei dati raccolti, ma anche un aumento indiscriminato dei soggetti che potranno accedere ai nostri dati. Molto spesso senza alcuna consapevolezza da parte nostra.

Uno dei luoghi di elezione dove si può toccare con mano l’evoluzione dell’IoT è Kickstarter, un sito web per il finanziamento di progetti creativi, dove possiamo rinvenire i più disparati e impensabili oggetti connessi alla rete: un irrinunciabile ombrello connesso a Internet che, mentre camminiamo, ci mostra immagini e, ovviamente, raccoglie tutti i dati possibili sulla localizzazione, direzione, velocità ecc…; l’indispensabile smart beer mug (pinta da birra intelligente); e che dire del preservativo intelligente?

Un’enorme quantità di oggetti comuni negli ultimi anni sta imbarcando chip, sensori e dispositivi di connessione radio, in modo da trasmettere i dati attraverso la rete Internet. Considerando che tanti, troppi, oggetti, non hanno alcun reale motivo di connettersi alla rete, si insinua il dubbio che molte aziende si stiano lanciando nel settore al solo scopo di monetizzare i dati raccolti dalle persone. Il sensore nel frigo segnala che manca il latte? Ecco che su Facebook appare la pubblicità di un tipo di latte che non puoi perdere. Il sensore termico indica che fa freddo? Un bel banner che pubblicizza le migliori stufe si palesa sul sito che state navigando, partner commerciale di qualche grande network.

Non si tratta, però, solo di una questione di privacy, di regolamentare la raccolta dei dati personali. È anche un problema di sicurezza.

“Svegliati Matthew, è tardi”
Dopo diversi giorni che il figlio Matthew lamentava di sentire le voci di notte, il padre, preoccupato, è andato più volte a controllare la sua stanza. Nel sentire una voce nel buio il terrore si insinua dentro di lui. Capisce subito da dove viene la voce. Si avvicina lentamente, e scopre con rinnovato orrore che la telecamera si muove, seguendo i suoi movimenti. C’è qualcuno dall’altro lato, qualcuno che ha spiato ogni mossa di suo figlio piccolo. E gli ha parlato. Per mesi. Di notte.
La voce viene dal baby monitor.

Un mondo senza regole

Nel 2016 l’esperto di sicurezza Eyal Ronen e Colin O'Flynn, uno studente presso la Dalhousie University in Canada, partecipano alla conferenza Black Hat Security di Las Vegas spiegando come, utilizzando un drone, sono stati in grado di prendere il controllo delle lampadine intelligenti Philips Hue da 400 metri di distanza. Sono lampadine gestibili interamente tramite smartphone. Attraverso la connessione al router è possibile modificarne il colore, l’intensità luminosa e spegnerle e accenderle a distanza.

Ronen prende di mira quello specifico oggetto perché si tratta di dispositivi notoriamente sicuri e di una azienda che non bada a spese per la realizzazione dei suoi prodotti. L’attacco non è stato semplice, anche perché è avvenuto sui dispositivi (le lampadine) presenti all'interno di un ufficio nel quale si trovano aziende ben note e sensibili ai problemi di sicurezza dei loro prodotti. Alla fine, però, l’hacking ha richiesto poco tempo e un costo inferiore ai 1000 dollari. Nel caso specifico si sono limitati a far lampeggiare le lampadine.

Ovviamente la Philips ha minimizzato l’impatto del bug, che comunque alla fine è stato corretto (la compagnia si è attivata velocemente), ma Ronen ha comunque provato che anche oggetti di livello superiore possono essere hackerati. Si potrebbe pensare che in fondo sono solo lampadine, ma indurre uno sfarfallio e impostare determinate frequenze potrebbe addirittura provocare effetti nocivi sull'uomo, fino a determinare crisi epilettiche. Inoltre, ed è un punto fondamentale, l’accesso a questi dispositivi consente di accedere attraverso il router (estraendone le credenziali di accesso) a tutti gli altri dispositivi connessi e quindi di raccogliere i loro dati, compreso le password.

Gli utilizzi illeciti o dannosi degli oggetti connessi a Internet sono limitati solo dall'immaginazione degli hacker. È recente il caso dell'albergo che si è ritrovato a dover pagare un riscatto per ottenere lo sblocco delle camere. Anche in questo caso l’attacco è stato possibile perché l’intero sistema era connesso in rete. Il direttore ha immediatamente annunciato di voler sostituire le serrature “intelligenti” con serrature classiche.

Quindi, se anche un’azienda seria come la Philips produce oggetti che possono essere hackerati, figuriamoci gli altri oggetti che nei prossimi anni verranno connessi alla rete (vedi Study on Mobile and Internet of Things Application Security). Avremo miliardi di oggetti e dispositivi costruiti spesso col solo scopo di raccogliere dati e monetizzarli, con scarsa attenzione per la loro sicurezza. Molti di questi oggetti, infatti, non hanno nemmeno un sistema di aggiornamento del firmware, per cui eventuali bug semplicemente non potranno essere risolti.

E non stiamo parlando di lampadine od ombrelli, gli oggetti connessi alla rete sono molto, molto, molto più pericolosi. Attraverso il motore di ricerca Shodan (il nome deriva dall'antagonista di un videogame cyberpunk, System Shock), specifico per gli oggetti connessi alla rete, è possibile rintracciare di tutto: router, frigoriferi, smart Tv, apparecchiature per i raggi X, baby monitor, telecamere di videosorveglianza, telecamere di monitoraggio del traffico, semafori e anche dispositivi SCADA (Supervisory Control And Data Acquisition, cioè “controllo di supervisione e acquisizione dati”), per capirci, quelli che controllano impianti industriali, come centrali elettriche e nucleari, impianti di trattamento dei rifiuti, ecc.

Shodan si muove come una persona che bussa a tutte le porte di una città, ma nel suo caso si tratta di porte informatiche dietro ognuna delle quali si trova non un computer ma un oggetto, un dispositivo, un prodotto. Shodan fornisce anche una mappa dei sistemi di controllo industriale che sono accessibili da Internet (mappa Radar ICS).

Il problema non è che quegli oggetti sono rintracciabili in rete, ma che alcune porte non hanno una serratura oppure ne hanno una troppo facile da aprire. E se a quella porta corrispondesse un baby monitor che sorveglia vostro figlio? Un estraneo potrebbe parlargli senza che voi ne foste a conoscenza, potrebbe osservare vostro figlio nel chiuso della sua stanza.

Stranger hacks family's baby monitor and talks to child at night #IoT #kidshttps://t.co/yTuxZMfcGP pic.twitter.com/OfzOkklxDI

— Alex Drozhzhin (@GrzegorzBr) 14 gennaio 2016

Ovviamente sia Shodan che Censys, altro search engine specializzato, sono nati per ricerche di vulnerabilità dei sistemi per motivi di sicurezza, ma entrambi possono essere utilizzati per scopi nefasti (comunque Shodan e Censys non sono utilizzabili anonimamente). Naturalmente non è un problema dei motori di ricerca, ma dell’intrinseca insicurezza di molti degli oggetti connessi in rete.

Già nel 2015 il capo sezione della divisione informatica dell’FBI avvertì dei tentativi di hackeraggio del sistema di controllo della rete elettrica americana. Il rischio era, all’epoca, molto basso, perché non risultava che i terroristi avessero armi informatiche adatte, ma sopratutto perché la rete elettrica degli USA in realtà è un’accozzaglia di reti diverse, non uniformi e mal collegate. Paradossalmente questo è un bene perché al massimo si potrebbe prendere il controllo di piccole zone della rete elettrica.

Il punto è che non esistono regole per le aziende che producono oggetti connessi alla rete Internet, per cui ogni azienda si crea il proprio personale approccio alla sicurezza di tali oggetti. E quindi l’Internet of things diventa una galleria degli orrori, con giocattoli che registrano i discorsi dei bambini e li salvano su un server online non protetto esponendo al pubblico le registrazioni comprese le password, lampadine smart che possono essere infettate da virus o hackerate, GPS tracker per controllare i vostri figli che possono essere hackerati consentendo a terzi di sapere dove si trovano i bambini, vibratori che tracciano gli utenti senza il loro consenso, smart Tv controllate dalla CIA, fino ai ransomware (virus che bloccano l’utilizzo del sistema fino al pagamento di un riscatto) per i sistemi SCADA.

E se l’hacking di una telecamera può provocare un danno minimo, prendere il controllo di una serie enorme di dispositivi può portare a danni gravissimi anche per l’intera società. Il più devastante attacco alla rete Internet, infatti, è stato realizzato utilizzando una botnet (insieme di dispositivi controllati dall'esterno) di dispositivi IoT, tramite il malware Mirai. La mappa dei dispositivi infettati copre tutto il mondo.

Hackerare una intera città

Sempre più spesso i nostri sistemi informatici sono autonomi. Accendono il forno, le luci di casa, aprono il box auto, regolano il flusso di energia elettrica. Non si limitano a rendere le nostre case più accoglienti, ma vanno ben oltre. Abbiamo algoritmi che comprano e vendono azioni, regolano i semafori nelle città, e così via.

L’utilizzo di sistemi informatici e tecnologie di comunicazione per rendere autonomi i servizi pubblici, e l’interconnessione degli stessi, consente di giungere all'ottimizzazione dei servizi, così innovando la mobilità, l’efficienza energetica e riducendo gli sprechi nelle città. Le smart city, città intelligenti, sono già presenti tra noi, migliorano la qualità della vita e soddisfano le esigenze di cittadini, imprese e istituzioni.

Singapore è considerata una smart city di eccellenza, leader nell'applicazione di politiche di mobilità intelligente, con servizi estesi e connessioni a banda larga cellulare. Barcellona è risultata particolarmente brillante per le sue politiche energetiche e di sostenibilità. Di Copenhagen è nota la vivibilità e il rispetto dell’ambiente.

Ma molte altre città si stanno avviando sulla strada dell’integrazione dei servizi gestiti da sistemi automatizzati, e alcuni esperimenti sono presenti anche in Italia. L’impatto sulla vivibilità e il miglioramento della qualità di vita è enorme, basti pensare alla riduzione dei costi di gestione. Un esempio banale è il risparmio di tempo grazie ai sistemi che guidano verso il parcheggio più vicino libero, con una riduzione anche del traffico e quindi dell’inquinamento. Si innesca una catena di benefici che va dalla maggiore produttività fino alla riduzione dei costi sanitari.

La base portante di una smart city è ovviamente una rete di sensori il più estesa possibile, che possano dialogare tra loro. Ma l’utilizzo di tecnologie di comunicazione rende le smart city più vulnerabili agli attacchi informatici. Gli esperti dicono che non è più una questione di “se”, ma di “quando”.

Nel 2014 l’esperto di sicurezza Cesar Cerrudo metteva in guardia sulla possibilità di hackerare il sistema di traffico delle principali città americane. Ovviamente, spiega Cerrudo, non si tratta di hackerare il semaforo, quanto piuttosto di alterare i dati provenienti dalla rete di sensori wireless, che viaggiano in chiaro e senza sistemi di identificazione del sensore. Quindi, in teoria è possibile ingannare i sistemi facendo credere che le auto presenti su strada siano in numero maggiore o minore della realtà. I sistemi risponderanno di conseguenza.

Nel suo rapporto Cerrudo spiega che non è necessario essere un abile hacker, perché spesso i sistemi non sono progettati tenendo conto dei rischi di sicurezza, e molto spesso la mancanza di risorse economiche del governo cittadino incide sull'assenza di sistemi di protezione. «Questo è un problema globale – aggiunge Cerrudo – I fornitori di hardware oggi devono fare anche il software, e spesso non sanno nulla o quasi di sicurezza, non hanno le competenze o le conoscenza adatte».

Un attacco informatico a una città connessa può fare danni enormi, fino a bloccare l’intera rete di mobilità, o spegnere i sistemi di energia. Anche qui il problema non è solo la protezione dei dati, che possono essere “rubati” o semplicemente alterati, ma la continuità dei servizi pubblici, che può portare a conseguenze gravissime. Nel 2003, ad esempio, un errore del computer di controllo ha determinato un blackout nel Nord America, la cui conseguenza sono stati 11 morti e 6 miliardi di dollari di danni. Nel 2013 un bug del sistema ferroviario ha spento il sistema di controllo a San Francisco, intrappolando oltre 500 passeggeri su 19 treni.

Occorrono regole

La modifica o la manipolazione dei dati dei sistemi automatizzati può avere conseguenze importanti, influenzando anche il processo decisionale delle istituzioni. Gli ingegneri di sicurezza sono al lavoro per mitigare questi rischi, ma si tratta di un problema che non potrà mai essere risolto se non coinvolgendo in prima persona i governi. Un’azienda, infatti, ha interesse a risparmiare sui costi e a non divulgare i rischi di sicurezza o le violazioni dei propri sistemi.

L'indagine internazionale "Privacy Sweep" del 2016, condotta dai Garanti europei, fotografa una situazione drammatica. Su oltre 300 dispositivi Iot, più del 60% non supera l’esame della privacy, facendo rilevare gravi carenze, assenza di informazioni sull'utilizzo dei dati e problemi di sicurezza.

In Europa si stanno moltiplicando le iniziative istituzionali per garantire la sicurezza dei dati e dei cittadini stessi nell'ambito dell’Internet of things. Il Working Party Article 29 ha analizzato le problematiche relative all'IoT in un parere del 2014 (Recent Developments on the Internet of Things), fornendo una serie di raccomandazioni, anche pratiche per gli operatori del settore. L’intento è contribuire alla realizzazione di una regolamentazione uniforme, con l’identificazione dei ruoli e delle responsabilità dei soggetti che operano nel settore IoT.

I rischi dell'Internet of Things sono i seguenti:

 
Una normativa per l'IoT è presente nel "Regolamento europeo per la protezione dei dati personali" (GDPR), che entrerà in vigore nel maggio del 2018 e all’articolo 25 prevede una serie di prescrizioni specifiche in materia. In particolare l’attuazione dei fondamentali principi di privacy by design e privacy by default impone l’obbligo di progettare i sistemi e i prodotti con l’obiettivo di una tutela dei diritti degli utenti e dei loro dati. È a carico del progettista valutare il rischio intrinseco al servizio o all'oggetto e minimizzare i rischi di sicurezza. Non si prevedono misure minime di sicurezza, bensì un controllo costante e continuo in modo da valutare l'efficacia delle misure tecniche e organizzative, al fine di garantire la sicurezza dei dati. Tale efficacia deve essere costantemente adeguata al progredire della tecnologia.

La sfida che ci presenta un futuro con miliardi di oggetti connessi appare difficile e complessa. Non basta affidarsi alle regole interne delle aziende, occorrono norme specifiche per evitare che l'Internet of Things, potenzialmente in grado di portare benessere e innovazione, non si trasformi invece nell'incubo dei cittadini.

Foto anteprima via lavoropiù