L'arte dell'intrusione

L'arte dell'intrusione è il secondo libro scritto da Kevin Mitnick, con la collaborazione del giornalista scientifico statunitense William L. Simon, che tratta il tema della sicurezza informatica attraverso il racconto delle vicende relative a diversi casi di hacking realmente accaduti.

L'arte dell'intrusione
Titolo originale	The Art of Intrusion
Altri titoli	L'arte dell'hacking
Autore	Kevin Mitnick
1ª ed. originale	2005
1ª ed. italiana	2006
Genere	Saggio
Sottogenere	Sicurezza informatica
Lingua originale	inglese

«La sicurezza informatica è come un gioco continuo del gatto e del topo, con gli esperti di sicurezza da un lato e gli intrusi dall'altro»

(Kevin Mitnick)

Caratteristiche dell'opera

Mitnick propone l'opera come il sequel del celebre saggio L'arte dell'inganno di cui mantiene la struttura generale del racconto, ma sposta l'argomento della trattazione dall'ingegneria sociale a temi più tecnici, sempre relativi alla sicurezza informatica. Il libro è diviso in dieci capitoli ognuno dei quali, raccontando le storia di un attacco informatico messo in atto da un hacker (o da un gruppo di hacker) intervistato dagli autori stessi, espone una o più tematiche molto importante nell'ambito della sicurezza informatica. Ogni capitolo si apre con l'esposizione dettagliata delle varie fasi dell'attacco raccontato e commentato da Mitnick, intramezzato da citazioni testuali delle parole degli intervistati, soprattutto nei passaggi in cui l'autore desidera rendere meglio un concetto o mettere in risalto un determinato tema. Alla fine ogni racconto sono inserite tre sezioni, rispettivamente: Riflessioni, Contromisure e Conclusioni. Qui Mitnick inserisce pensieri e riflessioni personali sugli argomenti discussi, spiegazioni approfondite, eventuali sviluppi successivi della vicenda e consigli utili per evitare di diventare le prossime vittime. Al termine dei dieci capitoli è presente un undicesimo capitolo, strutturalmente diverso dai precedenti, all'interno del quale trovano posto alcuni brevi racconti raccolti dagli autori durante la stesura del libro ma che, per vari motivi, non hanno trovato una loro collocazione nei capitoli precedenti.

Nonostante i temi tecnologici trattati ed il dettaglio raggiunto dalla narrazione, gli argomenti sono esposti in modo da essere comprensibili anche da lettori senza particolari conoscenze informatiche. L'agente letterario David Fugate, nel recensire il libro per il Publishers Weekly, parlando degli autori ha scritto:

(EN)

«Given the complexity (some would say obscurity) of the material, the authors avoid the pitfall of drowning readers in minutiae. Uniformly readable, the stories—some are quite exciting—will impart familiar lessons to security pros while introducing lay readers to an enthralling field of inquiry.»

(IT)

«Data la complessità (alcuni direbbero oscurità) del materiale, gli autori evitano la trappola di far affogare i lettori in minuzie. Uniformemente leggibili, le storie – alcune molto emozionanti – impartiranno lezioni familiari ai professionisti della sicurezza, mentre introduranno lettori principianti ad un campo di indagine coinvolgente»

(David Fugate)

Come dichiarato dagli autori stessi nella prefazione, lo scopo che si prefigge Mitnick con la pubblicazione del libro, è quello di fare cambiare ai lettori gli atteggiamenti nei confronti della sicurezza informatica, oltre a fornire ai professionisti dell'IT (ma non solo) delle basi utili per rendere le proprie aziende e organizzazioni più sicure.

Argomenti trattati

Leggendo le varie storie è possibile notare che in molti degli attacchi, gli hacker, non necessitano solo di buone conoscenze come programmatori (in uno dei casi l'attaccante dichiara addirittura di non essere assolutamente bravo a programmare) come si può facilmente pensare, ma coinvolgono anche altri aspetti che vanno dall'ingegneria sociale, a conoscenze nell'ambito dell'elettronica, arrivando anche alla capacità di immedesimarsi nei progettisti della rete e dei sistemi in cui si desidera penetrare, per poterne individuare i punti deboli o "indovinare" gli schemi con i quali essi sono stati progettati.

Per ogni capitolo sono dettagliatamente raccontati uno o due casi di hacking con caratteristiche comuni. Mitnick non si limita a descrivere la parte tecnica relativa all'attacco, ma si preoccupa di analizzare anche le motivazioni che hanno spinto gli hacker intervistati a compiere le azioni raccontate:

(EN)

«The Art of Intrusion is not so much a book about hacking as a book about hackers themselves. There's an important difference. Mitnick is at his best exploring their motivations, working techniques and personalities, an understandable focus given his own past as one of their kind.»

(IT)

«L’arte dell’intrusione non è tanto un libro sull’hacking, quanto sugli hacker stessi. C’è un’importante differenza. Mitnick fa del suo meglio per esplorare le loro motivazioni, tecniche di lavoro e personalità, un focus comprensibile visto il suo passato come uno di loro.»

( John E. Dunn, Book review: Mitnick's The Art of Intrusion, in Computerworld, 30 marzo 2005.)

Prefazione

Nella prefazione, oltre a parlare delle motivazioni per cui i lettori dovrebbero scegliere di leggere il saggio e gli insegnamenti che dovrebbero trarne, Mitnick racconta degli ostacoli incontrati nella redazione del libro: trattandosi di interviste a persone che potrebbero ancora essere incriminate penalmente, nel caso in cui venissero identificate, non è stato facile per lui e Simon capire se le storie a loro sottoposte fossero reali o inventate, soprattutto a causa della difficoltà di risalire a prove concrete. Mitnick aggiunge che i nomi e i dettagli delle storie che infine hanno deciso di raccontare sono stati spesso modificati per proteggere le identità sia dell'hacker che della vittima.

Capitolo primo: Hackerare il casinò per un milione di dollari

Nel primo capitolo Mitnick racconta la storia di un gruppo di amici, tutti consulenti nel settore high-tech che, all'inizio degli anni '90, un po' per sfida, per curiosità e per vedere fin dove sarebbero riusciti ad arrivare, cercarono un modo per ingannare le macchine di un casinò di Las Vegas e vincere ingenti somme di denaro. Per riuscire nell'impresa i quattro acquistarono una slot machine uguale a quelle del casinò, estrassero quindi la ROM dalla macchina e dal codice oggetto contenuto ricavarono il codice originale tramite reverse engineering, scoprendo così che il generatore di numeri casuali alla base del software non era veramente casuale.

Mitnick sceglie questa storia per affrontare il tema della sicurezza fisica dei componenti dei dispositivi elettronici, dando utili consigli riguardanti la scelta dei chip da integrare nelle macchine esposte ad alto rischio di hacking, nelle quali il funzionamento del software dovrebbe rimanere segreto.

Capitolo secondo: Quando chiamano i terroristi

Sono raccontate due storie, la prima parla di due hacker, all'epoca dei fatti adolescenti, diventati amici tramite chat Irc che si fanno chiamare Comrade e ne0h. Entrambi entrano in contatto con un certo Khalid Ibrahim, un uomo incontrato sulle stesse chat Irc che diceva di lavorare per dei combattenti pakistani (non si è certi se Khalid fosse chi diceva di essere o un agente infiltrato mandato per capire fino a che punto i giovani hacker erano disposti a spingersi). Khalid offrì a ne0h dei soldi per violare alcuni sistemi ma ne0h non venne mai pagato per quegli attacchi. Tuttavia, come egli stesso racconta, era sempre pronto ad accettare un nuovo incarico da Khalid e accettò anche di entrare nei sistemi della Lockheed Martin per ottenere gli schemi di progettazione di alcuni sistemi di aviazione che stavano producendo per la Boeing. Khalid chiese poi a Comrade di entrare nella SIPRNet, quest'ultimo ci provò e ci arrivò molto vicino ma venne immediatamente rintracciato dagli agenti federali ed incarcerato. Comrade sostiene che più che i soldi furono la sfida a tentarlo, il brivido di fare qualcosa che non avrebbe dovuto fare, perché sapendo che ne0h non era mai stato pagato immaginava che anche nel suo caso sarebbe andata allo stesso modo. Questi attacchi si sono verificati prima degli attentati dell'11 settembre 2001, mentre l'intervista di Mitnick risale ad alcuni anni dopo. Viene posta a ne0h una domanda su come si sentisse riguardo agli attentati, gli autori si limitano a citare la sua risposta in cui dice di sentirsi estremamente in colpa. Mitnick non fa commenti al riguardo ma esprime una considerazione personale in cui si augura che quegli attentati siano serviti a rendere tutti gli hacker americani più sospettosi e attenti ai raggiri.

La seconda storia riguarda ne0h e due membri di un gruppo hacker chiamato gLobaLheLL che riuscirono a inserirsi nel sito della Casa Bianca e ad intercettare alcuni scambi di email tra gli impiegati. Mentre erano sul sito vennero contattati da Khalid che chiedeva loro di raccontargli di alcuni dei loro ultimi exploit per un articolo che stava scrivendo. I ragazzi colsero la palla al balzo e gli dissero che proprio in quel momento stavano hackerando il sito della Casa Bianca. Un paio di ore dopo un amministratore di sistema iniziò a controllare il sito e due settimane dopo il FBI arrestò tutti i membri di gLobaLheLL che erano riusciti ad identificare. Da qui nascono i dubbi, ancora insoluti, riguardanti l'identità di Khalid, essendo lui l'unica persona alla quale avevano parlato dell'attacco al sito della Casa Bianca.

Si tratta, probabilmente, del capitolo che colpisce di più i lettori dal punto di vista etico e morale. Attraverso le storie raccontate, Mitnick vuole fare capire quanto possano rivelarsi fondamentali policy e sistemi che garantiscano la sicurezza in ambito informatico, specialmente in determinati settori. Dall'altro lato cerca di spingere gli hacker, nella gran parte dei casi poco più che adolescenti, ad essere sospettosi e attenti nei confronti delle richieste che gli vengono rivolte. Li incoraggia a fare riflessioni più attente prima di agire e a prendere coscienza di ciò che le loro azioni potrebbero comportare.

Capitolo terzo: L'hack della prigione texana

Questa storia parla di Danny e Wynne, due giovani prigionieri che stanno entrambi scontando una pena in una prigione del Texas, dove si conoscono e scoprono di avere in comune la passione per i computer. Studiando sui libri e sperimentando su dei computer a cui avevano accesso dalla prigione riescono a sviluppare notevoli capacità. Grazie ad un trasferimento riescono ad avere accesso a computer più moderni e potenti e con il passare del tempo scoprono come collegarsi illegalmente a Internet e scaricare giochi, video e musica senza farsi scoprire.

Il racconto è stato usato da Mitnick come pretesto per parlare di quegli attaccanti contro cui i firewall e altre misure di sicurezza inserite tra Internet e la rete privata di una azienda non possono nulla: i cosiddetti insider. In questo caso sono detenuti ma nel mondo del lavoro potrebbero essere dipendenti scontenti o appena licenziati. Potrebbero rappresentare una minaccia superiore rispetto agli attaccanti esterni perché, al contrario di questi ultimi, conoscono la rete, hanno accesso alle varie componenti, alle macchine e alle prese di rete. Mitnick fornisce quindi una serie di contromisure, procedure e policy di gestione delle infrastrutture di rete e dell'accesso alle stesse da parte del personale. Tuttavia il compito di un responsabile della sicurezza non si esaurisce con la redazione di queste pratiche, è importante che egli continui a vigilare sul lavoro fatto cercando di migliorarle sempre, Mitnick la definisce come una sorta di "vigilanza eterna".

Capitolo quarto: Guardie e ladri

Il quarto capitolo racconta la storia di Matt e Costa, due amici che iniziarono le loro carriere di hacker con il phreaking e il wardialing e finirono con il compiere un attacco alla Boeing. L'attacco iniziò con l'hack dei computer della Corte distrettuale, possibile grazie alle credenziale di accesso di default di un software mai modificate dopo l'installazione. Tramite la macchina su cui erano riusciti ad entrare inviarono un trojan ai computer dell'azienda che aveva in carica la gestione dei primi. Sfruttando il virus inviato a questa azienda, rinominata Subsequent, riuscirono ad entrare nella loro rete e ricavare una lista con i login e le password di tutti i loro clienti, tra cui c'era appunto la Boeing. Matt e Costa non avevano cattive intenzioni: non procurarono alcun danno all'azienda e non rubarono nessun tipo di informazione. Tuttavia vennero comunque scoperti e arrestati dal Secret Service.

A fine capitolo Mitnick afferma che spesso gli attacchi di questo tipo sono preziosi, in quanto evidenziano i punti deboli nelle misure difensive di un'azienda, invitando ad una riflessione: "Se l'azione dell'attaccante non ha prodotto nessuna interruzione di servizio e nessun danno fisico o economico all'organizzazione, nel momento in cui essa viene messa faccia a faccia con le proprie vulnerabilità, ne soffre o ne beneficia?". Anche in questo caso Mitnick offre i suoi consigli ricordando alcune delle pratiche di base che possono aiutare a garantire la sicurezza dei sistemi come, ad esempio, cambiare sempre la password di default quando si installa un nuovo software o si collega alla rete un nuovo dispositivo.

Capitolo quinto: L'hacker Robin Hood

Adrian Lamo è il protagonista della storia raccontata nel quinto capitolo. Egli hackera senza nascondere la propria identità e se trova un punto debole del sistema, anziché sfruttarlo lo comunica all'organizzazione attaccata. Mitnick definisce questa categoria come i Robin Hood dell'hacking e aggiunge che andrebbero osannati e non arrestati, in quanto aiutano un'azienda a scoprire i propri punti deboli prima che un hacker malintenzionato possa utilizzarli per danneggiarli. Mitnick spiega che il primo passo del metodo di Adrian per iniziare un attacco, consiste nell'immedesimarsi nei ragionamenti e nei processi mentali della persona che ha progettato il software o la rete che sta attaccando, sfruttando la conoscenza degli schemi e delle pratiche standard usate dagli architetti di rete. Un giorno Adrian decide di hackerare la rete di Excite@Home che all'epoca era uno dei maggiori ISP americani, trovando la via di accesso giusta attraverso un proxy server. Il ragazzo scopre che quel server sembra dimenticato, in quanto non ospita nessuna funzionalità importante. Contatta quindi responsabili della sicurezza della Excite@Home che decidono di incontrarlo e analizzare i documenti prodotti da Adrian al riguardo. L'ingegnere capo chiede al ragazzo come possono fare a risolvere il problema sulla macchina vulnerabile e quest'ultimo si limita a prendere un coltellino multiuso e tagliare il cavo di alimentazione della macchina. Mitnick scrive che dopo quel gesto l'ingegnere si limitò ad attaccare alla macchina un'etichetta con su scritto di non ricollegarla. Non tutte le organizzazioni comunque reagiscono allo stesso modo di fronte ad un "hacker Robin Hood" e come dice Mitnick, il fatto che Adrian sia un eroe non significa che sia un santo. Un giorno Adrian decide di vedere se poteva entrare nel sito del New York Times e riesce a sfruttare l'abbonamento del giornale per navigare nel database del LexisNexis. Adrian viene denunciato e condannato a sei mesi di arresti domiciliari e due anni di libertà vigilata, più un risarcimento alle sue vittime.

In questo racconto Mitnick mette in evidenza un punto critico per le reti di varie aziende, ovvero gli apparati o le macchine che rimangono collegate ma che non svolgono più alcuna funzione fondamentale. Questi apparati caduti in disuso potrebbero rivelarsi la porta perfetti per accessi non autorizzati in quanto, spesso, vengono letteralmente dimenticati e non vi vengono più effettuati i necessari controlli e aggiornamenti di sicurezza.

Capitolo sesto: Saggezza e follia dei penetration test

Il capitolo tratta due diverse storie riguardanti il penetration test, definito dagli autori del libro anche come un modo legale di fare hacking. Una grossa azienda di consulenza, che Mitnick rinomina "Newton" ingaggiò una piccola società di consulenza informatica chiamata l0pht per un penetration test approfondito dell'intera organizzazione. La l0pht riuscì ad inserirsi nella rete bersaglio tramite una vulnerabilità individuata sul firewall ed una sul web server Apache; riuscirono anche ad avere accesso alle caselle vocali dei dirigenti della Newton. La Newton non superò nemmeno il controllo definito "analisi fisica", in quanto alcuni membri della l0pht riuscirono ad entrare negli edifici semplicemente accodandosi ai veri dipendenti all'ingresso. Inoltre la Newton aveva appena licenziato un dipendente e aveva buttato la scrivania fuori dall'edificio, dimenticando dentro documenti aziendali riservati che furono trovati dall'azienda incaricata del penetration test. Nella seconda storia un'azienda farmaceutica soprannominata Biotech ingaggiò Dustin Dykes, un consulente di sicurezza della Callisma Inc., per svolgere un penetration test, o come dice Dustin, per "hackerare a scopo di lucro". La Biotech chiese di essere sottoposta a qualsiasi tipo di attacco che un avversario avrebbe potuto tentare, ovvero attacchi tecnologici semplici e complessi ma anche social engineering e intrusioni fisiche. Dustin organizzò un piano di attacco che prevedeva un'entrata silenziosa per poi procedere aumentando sempre più il volume delle loro intrusioni fino a che qualcuno li avesse notati. Dustin e alcuni colleghi riuscirono a portare una parte dell'equipaggiamento in una sala riunioni all'interno dell'edificio e a collegare un Access Point non autorizzato ad una presa Ethernet senza che nessuno li fermasse o chiedesse loro cosa stavano facendo. Grazie al raggio di copertura dell'Access Point potevano hackerare i sistemi della Biotech rimanendo in un furgone all'esterno dell'edificio. Riuscirono a decrittare numerose password ottenendo così le chiavi d'accesso per tutti i sistemi in rete. Durante quella che definiscono come "intrusione fisica" Dustin riuscì anche ad accedere agli uffici senza un tesserino valido e a collegare (e successivamente recuperare) un keylogger alla macchina dell'amministratore di sistema incaricato di supervisionare il test. Verso la fine del test Dustin e i colleghi erano curiosi di capire quanto in là avrebbero potuto spingersi prima che alla Biotech si accorgessero di loro. Lo scoprirono quando trascinarono all'interno di uno degli edifici una grossa antenna, un apparecchio ingombrante e che richiedeva sforzo per essere trasportato. Nessuno sembrò notarli e chiese una spiegazione o un'autorizzazione.

Tramite questi due casi di hacking Mitnick ribadisce l'importanza di policy aziendali ben definite. Incoraggia i responsabili a formare adeguatamente il personale nei confronti di chiunque tenti di accedere agli edifici dell'organizzazione e mette in evidenza l'importanza di strumenti che controllino l'affidabilità dei dispositivi che vengono collegati alle prese di rete. Mitnick consiglia alle aziende a fare un penetration test a tutto campo perché ritiene che quello sia l'unico modo per sapere quanto davvero siano vulnerabili.

Capitolo settimo: Naturalmente la vostra banca è sicura, no?

La prima storia raccontata in questo capitolo ha per protagonista un ragazzo estone di nome Juhan che però non si considera un hacker, ma semplicemente qualcuno che prende molto sul serio la questione sulla sicurezza. Una notte Juhan si imbatté nel sito di una banca, chiamata da Mitnick Banca di Perogie. Navigando sul sito decise di esplorare più in dettaglio alcune pagine, accorgendosi del fatto che poteva cambiare manualmente il valore di alcuni campi nascosti nel form della pagina senza che il server chiedesse alcuna autorizzazione. Per quest'ultimo era quindi indifferente che Juhan inserisse un dato proveniente dal server della banca o dal suo computer personale. Juhan sfruttò questa vulnerabilità per ricavare il file delle password tramite uno script, ma li si fermò. Lavorando per un'azienda che offriva consulenza per la sicurezza informatica si limitò ad informare i suoi superiori che a loro volta informarono la banca.

La seconda storia riguarda Gabriel, un ragazzo francese che si definisce un hacker white hat. Gabriel testò la sicurezza della rete aziendale di un'altra banca, chiamata dagli autori banca del Sud. Riuscì a superare il perimetro della rete grazie ad una vulnerabilità comune solitamente presente sui server su cui è installato Citrix MetaFrame, un software che consente l'accesso di un utente alla propria postazione di lavoro da remoto. Entrato nella rete scopre un dossier lasciato da un'azienda di consulenza che la banca aveva chiamato per testare i propri sistemi, in cui era contenuto l'elenco di tutte le vulnerabilità che erano state individuate.

Con queste due storie Mitnick sottolinea l'importanza della protezione dei dati e il testing approfondito di tutte le applicazioni accessibili esposte a Internet. Evidenzia, specialmente nel secondo caso, il valore di una "difesa in profondità" sviluppata su più livelli e che non si limiti a sorvegliare il perimetro della rete stessa. Inoltre consiglia di adottare una politica di controllo anche sugli accessi da remoto dei dipendenti come, ad esempio, limitare gli accessi interattivi agli orari d'ufficio e abilitare il monitoraggio costante degli accessi e delle disconnessioni.

Capitolo ottavo: La vostra proprietà intellettuale non è al sicuro

La prima storia ha per protagonista Erik, un consulente per la sicurezza che aveva iniziato a raccogliere i codici sorgente di tutti i prodotti appartenenti ad una determinata categoria di software. Un giorno si accorse che gliene mancava solamente uno per completare la sua "collezione" e ovviamente voleva anche quello. L'hack di Erik si rivelò più complicato del previsto: dovette cambiare strategia varie volte ma alla fine trovò una vulnerabilità sul server utilizzato per il backup del progetto e dopo un attacco durato due anni riuscì ad ottenere il codice sorgente che tanto desiderava.

Nella seconda storia il protagonista è Robert, consulente per la sicurezza di giorno e hacker di notte. Robert ricevette una richiesta da un conoscente che voleva una lista di indirizzi a cui mandare email di spam per pubblicizzare una categoria di prodotti di nicchia. L'hacker riesce ad ottenere la lista di utenti iscritti ad un sito di prodotti simili grazie ad un bug trovato nel software che usavano per gestire le mailing list. In un'altra occasione Robert si imbatté nella pubblicità di un nuovo software per produrre effetti per i video digitali. Conosceva molte persone che avrebbero voluto metterci le mani sopra, per cui decise di prenderselo sia per tenerlo per sé sia per renderlo disponibile a milioni di utenti nel resto del mondo. Dopo numerose ricerche Robert scoprì una vulnerabilità di tipo SQL injection che gli permise di autenticarsi con le credenziali del primo utente presente nel database che, come spesso accade, era un utente con privilegi di amministratore, aprendosi così la strada all'interno della rete.

In questo capitolo Mitnick cerca di portare all'attenzione dei lettore il fatto che la risorsa di maggior valore per un'azienda è la sua proprietà intellettuale, tutto il resto è rimpiazzabile. Se qualcuno ruba elettronicamente la proprietà intellettuale di un'azienda ne sta rubando una copia, non l'originale, per cui l'azienda rischia di accorgersene solo quando ormai è troppo tardi e il danno è già stato fatto. Inoltre, come di consueto, riporta una lista di consigli e contromisure per evitare attacchi simili a quelli precedentemente descritti, come di non fidarsi delle configurazioni automatiche dei prodotti commerciali che vengono installati e di fare controlli ferrei sulla possibilità di accesso a file e risorse da parte di utenti non autorizzati. Facendo particolare riferimento alla prima storia, Mitnick conclude il capitolo dicendo che in realtà qualsiasi avversario dotato di risorse adeguate alla fine sarà in grado di violare un sistema. Il compito di chi si occupa della sicurezza sta nel rendere questa sfida talmente complicata e difficile da far insorgere nell'attaccante il dubbio che non ne valga la pena.

Capitolo nono: Sul continente

Il capitolo racconta di Louis, un giovane appartenente ad un gruppo di hacker con sede nel retro di un edificio nel centro di Londra. Insieme ad un amico di nome Brock decidono di dedicarsi all'hacking dei sistemi di una azienda europea che si occupava del trasporto di prigionieri e di grosse somme di denaro. La compagnia si descriveva usando la parola "sicurezza" e i due ragazzi avevano deciso di scoprire se fosse veramente sicura come sosteneva di essere. Dovettero cambiare strategia numerose volte prima di trovare un dispositivo a cui riuscirono a collegarsi, ma non erano ancora riusciti ad entrare in profondità nella rete. Analizzando il traffico in entrata verso il dispositivo, capirono che serviva per far autenticare le guardie incaricate dei trasporti prima di permettere loro l'accesso alle risorse di rete. Così iniziarono a scansionare le porte di tutti gli Indirizzi IP che si collegavano nella speranza di trovare una vulnerabilità lato client e la trovarono in un dispositivo su cui era installato un software per il controllo del computer da remoto. Riuscirono ad assumere il controllo della macchina ma dovevano essere veloci per trovare il modo di accedere alla rete obiettivo perché presto l'utente si sarebbe accorto che il computer sembrava bloccato e lo avrebbe riavviato. Riuscirono ad ottenere le credenziali che l'utente usava per accedere alla VPN di autenticazione e ad altri dati altrettanto importanti. Le difficoltà non erano finite ma ormai si erano guadagnati l'accesso al sistema dall'interno e da quel lato la loro rete non era ben protetta quanto sembrava esserlo dall'esterno.

Mitnick scrive che i due non sfruttarono l'attacco per arricchirsi ma, al contrario, scrissero un rapporto dettagliato che consegnarono all'azienda affinché potesse prendere le adeguate contromisure. In questa storia evidenzia l'importanza della protezione non solo della rete e dei suoi dispositivi interni ma anche delle macchine che si collegano ad essa dall'esterno. Tra gli altri consiglio l'utilizzo dell'hardening, soprattutto sui dispositivi esposti direttamente su Internet. Trattandosi dell'ultimo capitolo "tecnico" Mitnick invita il lettore a riflettere su quali ritiene essere i passi principali per difendersi contro le vulnerabilità più comuni, per poi fornire l'elenco dei punti da lui ritenuti fondamentali.

Capitolo decimo: Gli ingegneri sociali: come si comportano e come fermarli

Mentre i precedenti capitoli sono incentrati prevalentemente sulle intrusioni operate con mezzi informatici, questo capitolo riprende gli argomenti trattati ne L'arte dell'inganno riconsiderando le capacità e le tecniche degli ingegneri sociali. Mitnick racconta la storia di un consulente per la sicurezza, chiamato "Whurley", che viene ingaggiato da un casinò di Las Vegas per condurre una serie di security audit. Il casinò stava cercando di migliorare l'infrastruttura di sicurezza per cui gli venne richiesto di cercare di aggirare ogni singola procedura e, ovviamente, di portarne le prove. Whurley riuscì ad entrare nel casinò senza avere un tesserino da dipendente, fingendo di ricoprire sempre ruoli diversi riuscì a spingersi sempre più in profondità nei loro livelli di sicurezza fino a raggiungere il Centro operazioni di rete (Noc) e a farsi consegnare gli schemi con i diagrammi della rete ed altri documenti estremamente importanti per l'attività del casinò stesso. Si fece anche scattare alcune foto negli uffici dei dipendenti da portare come prova.

Al termine del racconto Mitnick si preoccupa di analizzare nello specifico le varie tecniche usate da Whurley nell'ambito dell'ingegneria sociale, riportando per ognuna di esse il riferimento all'esempio approfondito contenuto ne L'arte dell'inganno; fornisce inoltre un elenco di linee guida per mettere in atto le opportune contromisure e per formare adeguatamente il personale.

Capitolo undicesimo: Storie brevi

In questo capitolo sono riportate alcune brevi storie che gli autori hanno voluto condividere perché, come loro stessi dichiarano sono divertenti, illuminanti o rivelatrici di alcuni aspetti della natura umana.

Bibliografia

La prima edizione originale del libro è stata pubblicata nel 2005 con il titolo The art of intrusion, mentre in Italia è stato diffuso in due edizioni: nel maggio del 2006 con il titolo L'arte dell'intrusione e successivamente nel febbraio del 2014 con il titolo L'arte dell'hacking. La revisione scientifica di entrambe le edizioni italiane è stata affidata all'ex hacker italiano Raoul Chiesa.

• Kevin Mitnick, William L. Simon, L'arte dell'intrusione, collana Serie Bianca, Feltrinelli, 2006, p. 289, ISBN 978-88-07-17122-2.
• Kevin Mitnick, William L. Simon, L'arte dell'hacking, collana Universale Economica, Feltrinelli, 2014, p. 304, ISBN 978-88-07-88360-6.

Voci correlate

• L'arte dell'inganno
• Il fantasma nella rete. La vera storia dell'hacker più ricercato del mondo
• Kevin D. Mitnick

Collegamenti esterni

• mitnicksecurity.com.

Controllo di autorità	VIAF (EN) 5182165326432316290004