Violare la sicurezza di un computer non è mai stato così economico. Se scrivere codice richiede tempo e sforzo, ciò che ogni appassionato di sicurezza cerca è una piattaforma efficace su cui distribuirlo, ed è qui che entra in gioco il Raspberry Pi Zero. I rischi di lasciare un computer incustodito acquisiscono nuove dimensioni con PoisonTap, un attacco capace di intercettare il traffico web anche su un sistema protetto da password e di installare un backdoor, che abilita l'accesso remoto.
Sono l'unico che tocca i computer in casa, e qualsiasi richiesta legata a Internet passa dalle mie mani, cosa che mi fa agire come una sorta di proxy. Non è una regola né niente del genere: sanno che i computer sono risorse di lavoro e che mi servono in condizioni ottimali. Alcuni si spengono o vanno in ibernazione dopo pochi minuti, e tutti sono protetti da password. Si suppone che questo dovrebbe bastare, ma ora trasferiamo questi parametri a computer pubblici, terminali d'ufficio e qualsiasi altro sistema che rimanga incustodito per un po'. Le possibilità di compromettere quel sistema sono già enormi se si ottiene accesso fisico, ma se non c'è molto tempo, l'idea è automatizzare al massimo l'attacco.
Come funziona PoisonTap
Ecco che arriviamo a PoisonTap, un nuovo progetto di Samy Kamkar, che conosciamo per vulnerabilità di geolocalizzazione, per lo SkyJack che attacca i droni in volo e per il suo accessorio RollJam che intercetta i segnali dei telecomandi per aprire le porte. La base di PoisonTap è un Raspberry Pi Zero che, al di là della sua scarsa disponibilità, costa ancora cinque dollari, e un po' di software, Node.js per essere precisi. In termini generali, una volta che PoisonTap viene collegato a una porta USB, inganna il computer in modo da non presentarsi come un dispositivo USB, ma come una connessione Ethernet che simula di essere Internet (in altre parole, diventa un gateway). Appena il computer invia una richiesta HTTP da un browser (sia telemetria, pubblicità di un sito web, ecc.), PoisonTap risponde con un bombardamento di iframe dannosi per un milione di siti, i più importanti secondo Alexa. A questo si aggiunge l'apertura di un backdoor e la raccolta di cookie e sessioni intere, che l'attaccante può gestire da un server remoto.
Gli amministratori di sistema possono annullare PoisonTap alla radice forzando HTTPS su tutto il traffico generato, ma la storia è un po' più complicata dal lato dei terminali. L'efficacia di PoisonTap dipende da molti fattori (un computer cifrato con ibernazione profonda potrebbe ignorare completamente la connessione fisica), ma la sua prima mossa mette in evidenza un dettaglio che aziende come Apple e Microsoft dovrebbero affrontare una volta per tutte. È inaccettabile che un sistema operativo risponda immediatamente e senza considerazioni di sicurezza a qualsiasi cosa collegata via USB. Una delle prime cose che il malware ha saputo sfruttare è stata la famosa riproduzione automatica (ricordate tutti quegli autorun.inf che eseguivano spazzatura?). Quanto dovremo aspettare perché venga implementata una sorta di «voto di sfiducia automatico» sui dispositivi sconosciuti appena collegati? All'epoca ci facevamo beffe del paranoico Controllo account utente, ma con qualcosa come PoisonTap in circolazione, nessuno sta ridendo...
