Crea sito

Violazioni della sicurezza informatica e backdoor con cavalli di Troia

Wayne Madsen, SCF 19 febbraio 2021

Chi ha la colpa per la successione dei principali casi di hacking negli Stati Uniti? – “La colpa, caro Bruto, non è nelle nostre stelle, ma in noi stessi”
Il Congresso degli Stati Uniti vuole risposte su ciò che fu chiaramente evitato dall’US National Security Agency (NSA) nel rispondere alle domande del Congresso che costringono il National Institute of Standards and Technology (NIST) degli Stati Uniti a incorporare una porta di servizio progettata dalla NSA nello Standard dell’algoritmo crittografico Dual_EC_DRBG sviluppato per reti e sistemi informatici del governo federale. Il 28 gennaio, i senatori democratici Ron Wyden dell’Oregon e Cory Booker del New Jersey, insieme a otto colleghi democratici alla Camera dei rappresentanti: Tom Malinowski del New Jersey, Ted Lieu della California, Stephen Lynch del Massachusetts, Bill Foster dell’Illinois, Suzan DelBene di Washington, Yvette Clarke di New York,e Anna Eshoo della California, inviavano una lettera al direttore generale della NSA Paul Nakasone chiedendo informazioni sull’introduzione imposta dalla NSA dell’algoritmo Dual_EC_DRBG nei prodotti Juniper Networks che consentì una massiccia violazione dei sistemi dei clienti nel 2015, cinque anni prima che un una violazione simile si verificasse coi prodotti SolarWinds, altro fornitore che si affida allo stesso algoritmo crittografico manipolato dall’NSA.
L’essenza dell’indagine del Congresso sul ruolo che la NSA avrebbe giocato nel manipolare il processo di sviluppo e approvazione degli standard tecnici del governo civile statunitense, non era la prima volta che il ramo legislativo del governo fiutava qualcosa con la NSA che inserisce “cavalli di Troia” negli standard sviluppati per il governo e il commercio. Nel caso del Dual_EC_DRBG, lo zelo della NSA nel dotarsi di una backdoor nascosta per spiare computer e reti che si basano sullo standard NIST avrebbe subito un boom. Le porte posteriori di qualsiasi natura nei prodotti informatici sono un trucco in agguato. C’è anche il suggerimento che la fretta della comunità d’intelligence degli Stati Uniti nel biasimare hacker “russi”, “cinesi”, “nordcoreani”, “iraniani”, e altri per la violazione di SolarWinds. dovevano coprire le proprie tracce spingendo a un uso diffuso di uno standard crittografico al quale era impiantato un grave difetto di progettazione della sicurezza.
Nella lettera a Nakasone, i senatori e rappresentanti scrissero: “Il popolo nordamericano ha il diritto di sapere perché la NSA non agì dopo l’attacco a Juniper per proteggere il governo dalla grave minaccia rappresentata dagli attacchi alla catena di approvvigionamento. Un attacco simile alla catena di approvvigionamento fu utilizzato nella recente violazione di SolarWinds, in cui diverse agenzie governative, inclusi i dipartimenti di commercio, difesa, sicurezza interna, giustizia e tesoro, furono infettate da malware contenuti negli aggiornamenti del software SolarWinds che consentiva l’accesso da parte degli hacker. Un problema nella catena di fornitura del governo degli Stati Uniti suggerisce che i tradizionali controlli di gestione della configurazione furono abbandonati da NIST e NSA, nonché dagli utenti finali delle agenzie federali quando si trattò di approvare i contratti con Juniper e SolarWinds per i loro servizi. La storia della NSA e degli standard della crittografia civile e commerciale è piena di esempi di ciò che è oggetto dell’attuale indagine del Congresso sui casi Juniper Networks e SolarWinds. Negli anni ’90, la NSA, col sostegno del Federal Bureau of Investigation (FBI), sostenne una backdoor in un microcircuito di crittografia sviluppato dagli ingegneri della NSA. Commercializzato come “Clipper Chip”, la tecnologia backdoor che prevedeva che le forze dell’ordine tenessero, in garanzia, il meccanismo di decrittazione fu immediatamente attaccato dai sostenitori della privacy e delle libertà civili, nonché dalle società di computer e telecomunicazioni high-tech tra cui AT&T, Microsoft e Apple. La tecnologia backdoor Clipper Chip fu sviluppata in collaborazione con un appaltatore militare, Mykotronx.
Il governo e gli utenti commerciali dell’algoritmo DES (Data Encryption Standard) a 56 bit, sviluppato da IBM e pubblicato come standard federale nel 1977 dal National Bureau of Standards, precursore del NIST, erano soddisfatti della sicurezza e prestazioni. Successivamente si scoprì che un algoritmo DES originale a 128 bit sviluppato da IBM fu ridimensionato a 56 bit su pressione della NSA. Al tempo, la capacità di rompere il codice della NSA di decifrare un DES a 128 bit avrebbe imposto altre priorità per la rottura del codice, ad esempio quelle impiegate contro i codici crittografici diplomatici e militari sovietici, cinesi, israeliani e francesi. La NSA credeva di aver imparato a rompere la crittografia diplomatica, militare, bancaria e industriale internazionale da quando poteva installare funzionalità di decrittazione backdoor in molti prodotti di crittografia commerciale occidentale, comprese le macchine cifratrici Hagelin prodotte dalla Crypto AG svizzera. I progressi nella tecnologia di crittografia costrinsero la NSA ad essere più aggressiva nella richiesta di un vantaggio backdoor nel cracking dei prodotti crittografici, come l’algoritmo RSA a 250 bit degli utenti commerciali e il prodotto di crittografia freeware “Pretty Good Privacy” (PGP). La lettera del Senato alla NSA contiene un paragrafo che fornisce alcune informazioni sull’algoritmo del cavallo di Troia della NSA Dual_EC_DRBG impiantato nei prodotti Juniper Network. Il paragrafo afferma: “Tra il 2008 e il 2009 Juniper aggiunse l’algoritmo a molti suoi prodotti. Juniper apportò segretamente tale modifica che nascose al pubblico fino al 2013. In risposta a un’indagine del Congresso, la società confermò di aver aggiunto il supporto per l’algoritmo “su richiesta di un cliente”, ma rifiutò di identificarlo o addirittura confermare se il cliente fosse un’agenzia governativa degli Stati Uniti. Secondo Juniper, nessuno coinvolto nella decisione di utilizzare questo algoritmo lavora ancora per l’azienda “. Sulla base di sforzi simili della NSA in passato, è possibile accertare due fatti. Il “cliente” che fece la richiesta era infatti la NSA, e i dipendenti dell’azienda coinvolti nella decisione di utilizzare l’algoritmo erano dipendenti temporanei spediti dalla NSA. L’FBI vide sofisticati sistemi di crittografia nel pubblico come ostacolo al suo accesso di lunga data ai sistemi di comunicazione, con o senza un ordine del tribunale. Per molti anni, l’FBI godeva di accesso senza ostacoli a Washington, il sistema telefonico analogico di Washington DC, dalla sala d’intercettazione remota snell’Old Post Office in Pennsylvania Avenue, ora Trump International Hotel.
Coll’attuale inchiesta del Congresso sulla NSA che accusa vari attori statali per l’hacking Juniper/Solar Winds, sembra che il cerchio si chida. Circa trent’anni fa, la porta di servizio della NSA in questione era il Clipper Chip. Oggi è Dual_EC_DRBG. All’inizio degli anni ’90, il principale critico delle azioni della NSA era il rappresentante democratico Jack Brooks del Texas, il presidente del potente comitato giudiziario della Camera e protetto del masticatore di sigari presidente della Camera Sam Rayburn e del presidente Lyndon Johnson. La NSA poté resistere alle richieste inflitte da gente come Brooks. Ovviamente crede che potrà nascondere la questione della backdoor della crittografia coi congressisti Wyden, Booker e della Casa Bianca democratica. È molto probabile che gli attacchi “dannosi” da parte di attori anonimi esteri a reti e sistemi informatici del governo federale, statale e locale degli Stati Uniti, nonché privati, eseguiti dal personale del Cyber ??Command statunitense che testò il proprio trojan backdoor. Per ogni attacco hacker ben pubblicizzato attribuito ad attori stranieri, NSA e Cyber Command ricevono enormi aumenti del budget. Anche le vittime della pirateria informatica sono responsabili dei loro dilemmi. La fretta di esternalizzare le capacità di elaborazione e archiviazione dati delle operazioni “cloud” comporta vulnerabilità alla sicurezza intrinseca. Chi iniziò a preoccuparsi dei rischi per la sicurezza informatica alla fine degli anni ’60, compreso chi lavorava per la Central Intelligence Agency, sarebbero impazziti se avessero vissuto abbastanza a lungo da vedere la CIA esternalizzare i propri requisiti di cloud computing all’Amazon. Quindi, di chi è in ultima analisi la colpa della successione dei principali casi di hacking negli Stati Uniti? La citazione di Cassio nel “Giulio Cesare” di William Shakespeare è pertinente: “La colpa, caro Bruto, non è nelle nostre stelle, ma in noi stessi”.

Traduzione di Alessandro Lattanzio