Hacking dei siti: un bene o una scocciatura?

Di recente c’è stato un incremento di hacking di siti e pare che le nuove vittime siano i sistemi di videoconferenza.

Certamente non è simpatico per un SysAdmin o responsabile IT scoprire da Twitter che il sito di cui si è responsabili ha delle falle di sicurezza che sono state sfruttate da dei simpaticoni che hanno spiattellato la falla sulla home page del sito stesso. Tanto chi vuoi che sia interessato al nostro sito! dicono in tanti.

Questi eventi dimostrano come prima cosa una teoria: la sicurezza dei siti Internet è, nella migliore delle ipotesi, sottovalutata. Password ovvie, credenziali condivise tra troppi attori, nessun test serio per gli attacchi standard, modifiche strutturali fatte all’ultimo momento, fornitori abili nella grafica web ma completamente ignoranti in tema di sicurezza, progetti gestiti dal dipartimento sbagliato, subappalti dei lavori… queste sono alcune delle cause che alzano notevolmente le probabilità che un sito venga compromesso.

Le attività di hacking non sono simpatiche, specie se ci si trova dalla parte della vittima, ma credo siano utili.

Innanzi tutto sono un metodo per far capire anche ai più testardi che la sicurezza non è una teoria di qualche antipatica Cassandra, ma una cosa seria da considerare con estrema attenzione in ogni progetto che abbia a che fare con Internet.

In seconda istanza sono un metodo per evidenziare un problema e portarlo davanti ai responsabili, anche se in un modo un po’ rozzo. Se dei veri malintenzionati entrassero in possesso delle credenziali di accesso per modificare i dati di un sito, non farebbero certo modifiche eclatanti come il defacing, ma farebbero (anzi: fanno) piccole modifiche ai dati in modo tale che quel sito distribuisca malware a chi ripone fiducia in quel sito.

Nel caso della conferenza tra FBI e Scotland Yard intercettata da Anonymous, la pubblicazione dell’audio è stato un gesto eclatante, ma, in fondo, utile. Utile in prima istanza ad obbligare le parti coinvolte a rivedere la sicurezza delle comunicazioni e utile anche a dimostrare ai contribuenti che i loro soldi non erano ben spesi.

Se la criminalità organizzata fosse stata al posto di Anonymous, non avremmo saputo nulla e la malavita starebbe ascoltando un sacco di conversazioni, vanificando le attività investigative di molti agenti.