I finali d’anno son da sempre momenti in cui si tirano le somme dei precedenti 12 mesi. Anche io non mi esimerò da questa consuetudine.
Come riassumere il 2010?
Per prima cosa additando i bambini cattivi, auspicando che la ventura Befana provveda a compensarli con tanto carbone (possibilmente non quello di zucchero che portava a me da piccolo :-P).
Al primo posto in questa classifica dei demeriti metto (a sorpresa, scommetto) bit.ly: che gli URL shortner possano esere una manna per gli spammer di ogni genere è cosa arcinota fin da quando esistono gli URL shortener, sicchè l’uso di robusti meccanismi anti-abuso fa parte dell’ABC di chiunque si proponga di metterne in piedi uno. Bit.ly su questo fronte è stato davvero un pessimo esempio e la quantità di spam in cui è coinvolto oramai da svariati mesi a questa parte la dice lunga su quanto inefficaci siano le contromisure apposte da questo servizio. In una scala da 1 a 10, il mio voto è 2…
Alla seconda posizione piazzo invece (anche questo a sorpresa, credo) Wikileaks, e non per posizione presa in direzione della loro linea di condotta “giornalistica“: quello che è senza dubbio il sito più dibattuto dell’anno ha anche (o, almeno, dovrebbe avere) una buona dose di responsabilità nei confronti del “pubblico” cui rivolge la pubblicazione (o l’esposizione, se vogliamo) dei propri contenuti. L’apparente commistione di attività con zone della rete particolarmente blackhat e sede di ben note attività criminali è meno grave solamente dell’assordante silenzio proveniente da Wikileaks al riguardo. Semprechè Wikileaks stessa sia qualcosa che va oltre la singola persona di Assange: per tutta la durata dell’operazione tuttora in corso, Wikileaks è sembrata andare avanti con il pilota automatico, con una completa assenza di interazione pubblica e/o di responsabile gestione. Il voto (su questo specifico aspetto, sia chiaro) è 4.
Al terzo posto, invece, la stampa di settore italiana. In un mondo in cui oramai la cyberwar è una realtà da anni e in cui l’attenzione alle dinamiche operative degli operatori oscuri della rete è critica, la stampa di settore nostrana rivolge oramai il 60% della propria attenzione ai meri aspetti burocratici dell’internet governance e il restante 40% al techno-blah attorno le nuove uscite dei tecnogiocattoli più alla moda. Sugli argomenti più critici in ambito cybersecurity il contributo si limita oramai a qualche articolo sporadico e superficiale. L’esistenza di vere e proprie reti criminali operanti in rete non traspare, nemmeno quando riguarda argomenti particolarmente caldi come quello appena citato. Il mio voto è 4, mitigato solamente dal fatto che l’utente con un minimo di skill ha la possibilità di saltare a piè pari la stampa nostrana e rivolgersi a siti esteri.
Ora i bravi bimbi…
Il primo posto per quest’anno va senza alcun dubbio a Team Cymru: la security console che hanno messo a disposizione degli operatori della Rete è un oggetto che, se prenderà piede come merita, potrà segnare un punto di svolta davvero epico per quanto concerne la lotta per il contenimento degli Internet threats da parte degli operatori. Peccato solo che molti di essi non sembrino avere alcun interesse per la cosa… Il voto è comunque 8.
In seconda posizione metto la magistratura italiana. Pur con le lentezze che sono tipiche del nostro sistema, anche in Italia s’è finalmente vista una condanna effettiva per reati legati allo spam. E’ una punta di speranza per il futuro che merita un 7.
In terza posizione metto la comunità di contrasto a spam, botnet e famiglia: zitti-zitti, i takedown proseguono mese su mese, cosa che ha portato, nelle ultime settimane del 2010, il rumore di fondo del mezzo email ai valori più bassi che la mia memoria rammenti da almeno 3-4 anni a questa parte. C’è ancora molto da fare, ma un sacco di gente che si impegna per farlo: un 7 anche qui.
Chiudo indicando quello che vedo come uno dei problemi più spinosi per il 2011 in procinto d’arrivare: l’insicurezza delle credenziali utente.
I bot di oggi oramai si appropriano di tutte le credenziali su cui possono mettere mano: a poche ore di distanza dall’infezione oramai accade che le credenziali d’accesso alla posta siano usate per pompare spam attraverso il lecito account dell’utente, le credenziali d’accesso al sito personale dell’utente vengono usate per piazzare su siti “innocui” contenuti malevoli d’ogni sorta (spesso da usare per lo spam appena citato), le credenziali d’accesso ai servizi più svariati sono infine utilizzati per spennare l’utente inconsapevole in qualsiasi modo mente umana possa concepire.
E’ lecito aspettarsi per il futuro prossimo la necessità di implementare meccanismi di multi-factor authentication anche liddove fino a ieri sembrava assolutamente folle pensarne l’uso: dall’account mail in azienda all’amministrazione del blog.
Un buon 2011 a tutti!
Skull's blog 