Il migliore dei fallimenti di backdoor nella storia recente.

Il meglio dei fallimenti delle backdoor

Microsoft database hack

L’hack del database di Microsoft nell’agosto 2021 è stato descritto come una delle “peggiori vulnerabilità cloud che si possano immaginare”. Gli esperti di sicurezza hanno scoperto una vulnerabilità (non una backdoor incorporata) nell’infrastruttura Microsoft Azure che ha permesso loro l’accesso backdoor per modificare e cancellare i dati di migliaia di clienti Azure. La società di sicurezza è stata in grado di ottenere l’accesso a qualsiasi database di clienti che volevano attraverso questa vulnerabilità.

Microsoft Exchange hack

All’inizio di quest’anno, è stata anche Microsoft che ha dovuto pubblicare cattive notizie ai propri clienti: Nel gennaio 2021 diversi exploit zero-day sono stati segnalati a Microsoft, che hanno permesso ad attaccanti malintenzionati di accedere in remoto ai server Microsoft Exchange. Tuttavia, i server Exchange senza patch sono ancora vulnerabili agli attacchi. Attraverso questa vulnerabilità i sistemi di posta elettronica delle aziende sono stati presi di mira per esfiltrare “informazioni da un certo numero di settori industriali, compresi i ricercatori di malattie infettive, studi legali, istituti di istruzione superiore, appaltatori della difesa, think tank politici e ONG”.

Backdoor intenzionalmente incorporate

Oltre a tali vulnerabilità che funzionano come backdoor per malintenzionati online, ci sono anche backdoor intenzionalmente incorporate. Queste sono le peggiori in quanto avrebbero potuto essere facilmente evitate se le aziende in questione non avessero costruito la backdoor.

Tuttavia, i servizi segreti usano volentieri queste backdoor per scopi di spionaggio e - come dimostreranno i casi seguenti - hanno fatto pressione attivamente sulle aziende per includere backdoor nei loro prodotti.

Probabilmente tutti ricordano ancora il caso di alto profilo della svizzera Crypto AG che era di proprietà della CIA (e prima anche del BND) per spiare le comunicazioni segrete di altri paesi. Questa società ha venduto con successo strumenti di comunicazione sicura, in particolare ai governi di tutto il mondo, promettendo che tutte le comunicazioni sarebbero state criptate in modo sicuro. In realtà, la CIA era in grado di ascoltare le comunicazioni segrete dei governi che utilizzavano i prodotti della Crypto AG.

Huawei è anche ripetutamente accusata di avere una backdoor installata in modo che il governo cinese possa spiare tutti i clienti Huawei. Questo è molto discusso in quanto Huawei è un giocatore importante nell’attuale progetto 5G in tutto il mondo.

Il più popolare, tuttavia, quando si tratta di backdoor intenzionalmente incorporate è la NSA. Sono stati responsabili di diversi fallimenti di backdoor di alto profilo - e continuano a fare pressione sulle aziende tecnologiche statunitensi per collaborare con loro.

Backdoor NSA

Il fallimento della backdoor di Juniper

Uno dei fallimenti di backdoor più noti è quello di Juniper Networks. Nel 2017, criptologi e ricercatori di sicurezza hanno documentato un cripto-crimine di alto profilo, che è stato possibile solo a causa di una backdoor incorporata da Juniper stessa. Nel 2008, Juniper hab costruito una backdoor nel proprio sistema operativo ScreenOS, che poteva essere utilizzato per leggere l’intero traffico VPN crittografato dei dispositivi se un parametro interno chiamato Q era noto. Questa era una cosiddetta backdoor “Nobody but us” (NOBUS).

Poi nel 2012, hacker sconosciuti hanno fatto irruzione nella rete di Juniper. Apparentemente sono riusciti a cambiare il codice sorgente di ScreenOS e il parametro Q lì. Hanno solo cambiato il blocco della backdoor esistente. Questo significava che qualcun altro era in grado di leggere i dati VPN crittografati in chiaro.

Ad oggi non si sa chi si sia impossessato di questa backdoor incorporata. Juniper stessa non ha notato l’imbarazzante espropriazione della backdoor NOBUS fino a tre anni dopo e ha risposto con frettolosi aggiornamenti di emergenza nel dicembre 2015.

RSA e il generatore di numeri casuali

La società di sicurezza RSA ha ricevuto 10 milioni di dollari USA dalla NSA per aver incluso il generatore di numeri casuali Dual Elliptic Curve (Dual_EC_DRBG) nella libreria crittografica BSafe. I 10 milioni sono stati ben investiti. Per anni, RSA (consapevolmente) ha venduto la sua libreria di crittografia con questa backdoor, che i loro clienti hanno poi a loro volta incorporato nei loro prodotti.

Inoltre, RSA ha fatto in modo che il Dual_EC_DRBG, che è effettivamente noto per essere rotto, fosse incluso negli standard aperti da NIST, ANSI e ISO. Il tutto è stato esposto da documenti interni della NSA pubblicati da Edward Snowden nel 2013.

Hacker cinesi a Google

Nel 2010, Google ha dovuto ammettere che gli hacker avevano violato il suo servizio di posta elettronica Gmail. È abbastanza certo che si trattava di hacker cinesi in missione politica. Ciò che è meno noto è che questi hacker hanno usato un metodo molto speciale per ottenere l’accesso agli account Gmail, che non è facilmente disponibile anche sulla rete di Google: Per farlo, hanno usato una backdoor che Google aveva costruito solo per l’accesso legittimato dal governo alle e-mail - la cosiddetta intercettazione legale - da parte delle forze dell’ordine.

Le backdoor di crittografia sono vulnerabilità

Questa breve compilazione del meglio delle backdoor fallite - sono sicuro che ci sono più backdoor sfruttate - mostra che abbiamo bisogno di strumenti di protezione forti per difendere noi stessi e i nostri dati sensibili sul web.

Questo riepilogo dei migliori fallimenti di backdoor dimostra il fatto che le backdoor per i “soli buoni” sono semplicemente impossibili.

Le backdoor, anche se pensate per essere usate solo dalle forze dell’ordine per catturare i criminali, aprono ampiamente le porte a qualsiasi attaccante criminale online e ci lasciano vulnerabili a molteplici minacce. Di conseguenza, le backdoor devono essere viste come qualsiasi altra vulnerabilità. Dobbiamo capire che qualsiasi backdoor di crittografia è un grave rischio per la sicurezza e non deve mai essere permesso.

Invece di chiedere più sorveglianza come viene spesso fatto nelle guerre crittografiche in corso, i politici devono difendere la sicurezza di tutti sul web - e facendo questo devono essere onesti: non è possibile ottenere più sicurezza indebolendo la sicurezza.