La mentalità della sicurezza
La Uncle Milton Industries vende formicai ai bambini dal 1956. Ricordo che alcuni anni fa ne aprii uno insieme a un amico. Nella scatola non c’erano formiche vere e proprie. C’era invece un cartoncino da compilare con il proprio indirizzo, dopo di che l’azienda avrebbe spedito le formiche. Il mio amico si mostrò sorpreso dal fatto che fosse possibile ricevere delle formiche per posta.
Risposi: «La cosa davvero interessante è che queste persone spediranno un tubo di formiche vive a chiunque tu chieda loro di spedirle».
La sicurezza richiede una mentalità particolare. I professionisti della sicurezza — almeno quelli bravi — vedono il mondo in modo diverso. Non riescono a entrare in un negozio senza notare come potrebbero taccheggiare. Non riescono a usare un computer senza domandarsi quali siano le vulnerabilità di sicurezza. Non riescono a votare senza cercare di capire come votare due volte. Non riescono proprio a farne a meno.
SmartWater è un liquido dotato di un identificativo univoco collegato a un determinato proprietario. «L’idea è quella di applicare questa sostanza sui miei oggetti di valore come prova di proprietà», ho scritto quando ne ho sentito parlare per la prima volta. «Penso che un’idea migliore sarebbe quella di applicarla sui tuoi oggetti di valore, per poi chiamare la polizia.»
Davvero, non riusciamo a farne a meno.
Questo modo di pensare non è naturale per la maggior parte delle persone. Non lo è per gli ingegneri. Una buona ingegneria implica pensare a come far funzionare le cose; la mentalità della sicurezza implica pensare a come farle fallire. Implica pensare come un aggressore, un avversario o un criminale. Non è necessario sfruttare le vulnerabilità che si individuano, ma se non si guarda il mondo in questo modo, non si noterà mai la maggior parte dei problemi di sicurezza.
Mi sono spesso chiesto quanto di tutto ciò sia innato e quanto invece sia insegnabile. In generale, penso che si tratti di un modo particolare di guardare il mondo, e che sia molto più facile insegnare a qualcuno le competenze specifiche di un settore — crittografia, sicurezza del software, scassinamento di casseforti o falsificazione di documenti — piuttosto che insegnargli la mentalità della sicurezza.
Ecco perché CSE 484, un corso universitario di sicurezza informatica tenuto questo trimestre all’Università di Washington, è così interessante da seguire. Il professor Tadayoshi Kohno sta cercando di insegnare una mentalità della sicurezza.
Potete vedere i risultati nel blog curato dagli studenti. Sono incoraggiati a pubblicare valutazioni sulla sicurezza di oggetti a caso: portapillole intelligenti, monitor Quiet Care per l’assistenza agli anziani, Time Capsule di Apple, OnStar di GM, semafori, cassette di sicurezza e sicurezza dei dormitori.
Una valutazione recente riguarda una concessionaria di automobili. L’autrice del post ha descritto come sia riuscita a ritirare la propria auto dopo un intervento di manutenzione semplicemente fornendo all’addetto il proprio cognome. Ora, un qualunque proprietario d’auto sarebbe contento di averla recuperata con tanta facilità, ma chi possiede una mentalità della sicurezza pensa immediatamente: «Posso davvero prendere un’auto semplicemente conoscendo il cognome di qualcuno la cui vettura è in manutenzione?»
Il resto del blog post ipotizza come si potrebbe rubare un’auto sfruttando questa vulnerabilità e se abbia senso che la concessionaria adotti misure di sicurezza così permissive. Si può discutere sull’analisi — sono curioso di sapere quale sia la responsabilità della concessionaria e se la sua assicurazione coprirebbe eventuali perdite — ma si tratta di competenze specifiche del settore. Il punto importante è innanzitutto accorgersi della questione della sicurezza, e poi metterla in discussione.
La mancanza di una mentalità della sicurezza spiega gran parte della scarsa sicurezza in circolazione: macchine per il voto, carte di pagamento elettroniche, dispositivi medici, carte d’identità, protocolli Internet. I progettisti sono così impegnati a far funzionare questi sistemi che non si fermano a considerare come potrebbero guastarsi o essere manomessi, e di conseguenza come tali falle potrebbero essere sfruttate. Insegnare ai progettisti una mentalità della sicurezza contribuirà enormemente a rendere più sicuri i futuri sistemi tecnologici.
Questa parte è ovvia, ma penso che la mentalità della sicurezza sia vantaggiosa in molti altri modi. Se le persone impareranno a pensare al di fuori dei propri schemi ristretti e a vedere il quadro generale, che sia nella tecnologia, nella politica o nella vita di tutti i giorni, saranno consumatori più consapevoli, cittadini più scettici e persone meno credulone.
Se più persone avessero una mentalità della sicurezza, i servizi che compromettono la privacy non avrebbero una quota di mercato così consistente, e Facebook sarebbe completamente diverso. Non si perderebbero computer portatili contenenti milioni di numeri di previdenza sociale non crittografati, e tutti noi impareremmo molte meno lezioni sulla sicurezza a nostre spese. La rete elettrica sarebbe più sicura. I furti d’identità calerebbero drasticamente. Le cartelle cliniche sarebbero più riservate. Se le persone avessero la mentalità della sicurezza, non avrebbero cercato di curiosare nelle cartelle cliniche di Britney Spears, poiché si sarebbero rese conto di poter essere scoperte.
Non c’è nulla di magico in questo particolare corso universitario; chiunque può esercitare la propria mentalità della sicurezza semplicemente provando a guardare il mondo dalla prospettiva di un aggressore. Se volessi eludere questo particolare dispositivo di sicurezza, come farei? Potrei rispettare formalmente questa legge, ma eluderne lo spirito? Se la persona che ha scritto questo annuncio, saggio, articolo o documentario televisivo fosse senza scrupoli, cosa avrebbe potuto fare? E infine, come posso proteggermi da questi attacchi?
La mentalità della sicurezza è una competenza preziosa da cui tutti possono trarre beneficio, indipendentemente dal percorso di carriera.