Da Godzilla a Riccardo III
Nel post della scorsa settimana abbiamo esposto la teoria del dataismo, che è la forma di organizzazione del potere sulla quale, nel ben e nel male, si stanno riorganizzando le nostre società post-industriali. A riprova di ciò, questa settimana vogliamo tornare su una vicenda di cui si è discusso tantissimo e che mostra il dataismo già in azione. Si tratta della vicenda dello sblocco dell’iPhone del terrorista di San Bernardino. Una vicenda che, tra l’altro, mostra, l’inettitudine di quelle agenzie statale di sorveglianza e intelligence che hanno rivestito un ruolo importante e inquietante in tutto il periodo della Guerra fredda.
Un tempo, queste agenzie, come degli spaventosi Godzilla, inquietavano menti allucinate come quella di William Burroughs o visionarie e ipersensibili come quella di George Orwell. Pure le persone comuni, però, le vivevano come un incubo. Queste agenzie potevano rovesciare governi, assassinare capi di stato ostili e infine controllare la vita delle persone e soggiogarle a certe regole se da quelle si allontanavano. La minaccia era forse più percepita che reale, ma in ogni caso agiva sui comportamenti. Certo l’incredibile intervento a gamba tesa dell’Fbi sulle email di Hillary Clinton a pochi giorni dalle elezioni sembra riportare in auge il protagonismo delle agenzie di sorveglianze e di intelligence ma, al di là del caso in sè, la realtà è ormai molto diversa da come appare. Oggi quelle stesse agenzie sono una specie di Riccardo III nell’epilogo della tragedia shakeaperiana. Il loro immenso e opaco potere è shiftato verso quelle compagnie che con il software controllano i big data e i device connessi che utilizziamo per molte ore al giorno.
A chi vogliamo dare i big data?
I dossier della gente adesso sono incapsulati nei nostri iPhone o, più subdolamente, sui server di Google o di Facebook. Sembra peggio di prima, all’apparenza, perché queste società sono sottratte da ogni possibile controllo democratico o istituzionale, controllo che in qualche modo poteva essere esercitato sulle agenzie di intelligence. Ma non è così. Alla fine dei conti, Google & co. fanno un uso “innocente” dei dati se paragonato al potenziale utilizzo che ne potrebbero fare queste agenzie, se indirizzate male. Il commercio e la pubblicità sono molto meno pericolosi delle guerre, della politica o di una non ben definita sicurezza pubblica, in nome della quale tutto è permesso.
Con i big data e i social media siamo entrati nell’epoca del dataismo diffuso e condiviso, un’epoca nella quale le agenzie di intelligence e investigazione devono reinventarsi, ridimensionarsi e dedicarsi alla loro smarrita missione originaria che è quella di essere al servizio della comunità nel suo complesso.
Non è che il dataismo sia l’Eldorato. Tutt’altro, come ci mostra un narratore ispirato come Dave Eggers nel suo The Circle (Il cerchio, Mondadori), ma è meglio del vecchio regime delle agenzie. Molta gente si sente più al sicuro con Apple di Tim Cook, con Google dei montessoriani Larry Page e Sergey Brin, con Facebook del supergeek Mark Zuckerberg, con Microsoft dello ieratico Satya Nadella o con Amazon del libertario Jeff Bezos. Se proprio si deve scegliere, come nei referendum, meglio scegliere il male minore; loro piuttosto che la NSA, il Mossad, il Kgb o il Sismi (o come oggi si chiamano).
Che agenzie come la CIA fossero piuttosto arrugginite e guardassero il mondo dallo specchietto retrovisore lo si capisce anche semplicemente leggendo il corposo report della commissione del Congresso sugli attentati dell’11 settembre o, più recentemente, ascoltando in televisione la storia delle indagini dell’FBI sull’attentato di San Bernardino. L’”Economist” si è soffermato su un particolare di questa indagine che mostra in che misura i cittadini degli Stati Uniti devono preoccuparsi dello stato della loro agenzia investigativa federale. Per i lettori italiani abbiamo tradotto questo articolo dal titolo Data Security: That’s the way to do it. A Cambridge don shows the FBI how to save money on phone hacking. Buona lettura.
L’FBI a caccia di farfalle
A febbraio l’agenzia federale di investigazione (FBI) e le forze di polizia hanno portato Apple, il gigante tecnologico, in tribunale. Il contendere verteva su un iPhone appartenuto a Syed Farook, un terrorista che, con la moglie, aveva sparato e ucciso 14 persone a San Bernardino in California nel dicembre del 2015. Successivamente Farook era stato ucciso in uno scontro a fuoco con la polizia.
L’FBI aveva chiesto alla Apple di predisporre un sistema operativo ad hoc per sbloccare l’iPhone di Farook e accedere ai dati memorizzati sul telefono. Apple aveva replicato che ciò non era praticabile perché avrebbe messo a repentaglio la sicurezza di ogni iPhone in circolazione. L’’FBI, dall’altra parte, insisteva che non c’era altro modo di accedere ai dati sensibili sul telefono del terrorista, dati potenzialmente strategici nell’individuare eventuali complici.
Gli esperti di sicurezza avevano già avanzato qualche dubbio sul ragionamento dell’agenzia. Uno studio pubblicato da Sergei Skorobogatov, un informatico dell’Università di Cambridge, ha confermato che lo scetticismo di questi esperti aveva un solido fondamento. L’iPhone di Farook avrebbe potuto essere sbloccato in un paio di giorni utilizzando apparati elettronici in commercio, con una spesa inferiore a 100 dollari.
Il sistema di sicurezza dei dati degli iPhone
Il problema che l’FBI si trovava ad affrontare era quello di accedere a un iPhone criptato al pari di tutti gli altri iPhone del pianeta. Inoltre il telefono era bloccato con un PIN. La crittografia dei dati significa che le informazioni personali di un utente sono archiviate insieme a una massa di stringhe senza senso che le rendono incomprensibili. Per poter leggere le informazioni l’iPhone deve essere sbloccato inserendo il PIN corretto. Non si tratta di un grande ostacolo. Di default il PIN è composto da quattro cifre che possono dar luogo solo a 10mila possibili combinazioni. In linea di principio, è facile provare ogni possibile combinazione fino a imbattersi casualmente in quella giusta.
Ma l’iPhone contiene una funzione progettata dalla Apple per rendere ardua questa operazione di forzatura brutale. Dopo l’immissione di sei PIN errati l’utente deve attendere un minuto per immetterne uno nuovo, Questa attesa sale progressivamente mano mano che vengono immessi nuovi PIN errati. Dopo dieci tentativi di sblocco non corretti, l’iPhone riceve l’istruzione dal sistema operativo di distruggere tutti i dati al suo interno.
Al momento della causa intentata dall’FBI, molti esperti indipendenti avevano suggerito all’FBI di tentare il recupero dei dati con qualcosa chiamato “NAND mirroring” (NAND si riferisce al tipo di memoria usata negli smartphone). Ma James Comey, il capo dell’FBI, era stato categorico sul fatto che questo sistema non avrebbe funzionato. E si sbagliava
Se bastano 100 dollari invece di 1,3 milioni, che significa?
È esattamente quello che Skorobogatov gli ha dimostrato mostrando e filmando un’operazione effettuata su un iPhone con il NAND mirroring. Il NAND mirroring fa una copia non protetta della memoria dell’iPhone su un’altra memoria. Con questa replica priva di ogni criptazione, Skorobogatov ha iniziato i tentativi di indovinare il PIN con le possibili combinazioni. A questo punto il sistema operativo dell’iPhone ha accettato tutti i tentativi evitando i blocchi temporanei e la distruzione dei dati. Ciò gli ha permesso la forzatura brutale del PIN con sei tentativi consecutivi alla volta. Ogni PIN deve essere digitato manualmente, il che rende piuttosto laboriosa l’operazione. Inoltre occorre riavviare l’iPhone a ogni serie di tentativi: il riavvio richiede qualche secondo di tempo. Una verifica esaustiva delle 10 mila varianti del PIN di quattro cifre richiede circa 40 ore di lavoro, sebbene il tempo medio per ottenere la combinazione corretta è circa la metà.
Viene allora da chiedersi il motivo per il quale l’FBI abbia ritenuto che rivolgersi a un tribunale fosse l’unica via per recuperare i dati sul telefono di Farook? Il sospetto è che abbia scelto questa strada per stabilire un solido precedente legale così da obbligare le società tecnologiche a dargli il richiesto in situazioni del genere. In quest’ottica, è stato scelto questo caso molto sentito dall’opinione pubblica per mettere in cattiva luce la Apple, in caso di rifiuto.
Qualsiasi sia stata questa motivazione, l’agenzia si è ritirata dalla causa proprio prima dell’inizio del processo. Alla fine l’FBI ha trovato il modo di ottenere quello che cercava, cioè accedere ai dati dell’iPhone del terrorista. Ma non lo ha fatto come mostrato da Skorobogatov. Ma in un modo che lascia davvero basiti. Alcune fonti suggeriscono, infatti, che l’agenzia abbia pagato a una poco nota società di cibersicurezza israeliana una somma di 1,3 milioni di dollari per sbloccare l’iPhone. Sulla base delle prove del Dr Skorobogatov ha pagato una sovraprezzo di $1.299.900.
È difficile essere d’accordo con qualsiasi cosa esca dalla bocca di Donald Trump, ma è difficile non essere d’accordo con lui quando dice che siamo nelle mani di “idiots”. Tra questi ci dovrebbe inserire lui medesimo che ha sostenuto l’FBI in questa vertenza con toni minacciosi verso Apple e le altre società tecnologiche.