In guardia contro il possibile Spettro in ogni macchina

Le vulnerabilità della sicurezza nella tecnologia si estendono ben oltre i problemi con il software. All'inizio di questo mese, ricercatori hanno rivelato che l'hardware al centro di quasi tutti i computer, smartphone, tablet e altri dispositivi elettronici sono difettosi in almeno due modi significativi, nomi in codice Spectre e Meltdown.

Indipendentemente dalla loro causa, la semplice esistenza di queste vulnerabilità significative è sintomo di un problema molto più ampio. Troppe poche aziende tecnologiche stanno prendendo le dovute precauzioni per proteggere ogni fase delle loro catene di approvvigionamento, dalle materie prime attraverso la produzione e la distribuzione nelle mani dei clienti. I prodotti potrebbero essere modificati in fabbrica o durante il viaggio verso un utente, girando, Per esempio, lo smartphone di un dirigente in un pratico dispositivo di sorveglianza.

Faccio parte di un team multidisciplinare di ricercatori con sede presso l'Università dell'Indiana che studia questo spinoso problema. Il nostro lavoro ha contribuito a evidenziare il semplice fatto che una migliore sicurezza della catena di approvvigionamento potrebbe sia prevenire che rendere più facile il recupero dagli incidenti, come sembrano essere i difetti del chip, e dall'ingerenza deliberata.

Backdoor e passaggi segreti

È risaputo che gli hacker possono attaccare il software inviando agli utenti e-mail infette da virus o collegamenti compromessi. Ma possono anche interferire con i computer alterando piccoli circuiti nei microchip che la maggior parte degli utenti non vedrà mai. Queste debolezze sono fisiche, e sono altrettanto difficili da identificare quanto gli errori nel codice del software.

Le complesse catene di approvvigionamento coinvolte nella maggior parte della produzione tecnologica sono molto difficili da garantire. l'iPhone di Apple, Per esempio, coinvolge centinaia di fornitori di tutto il mondo che producono chip e dischi rigidi, tutto da spedire, assemblato e immagazzinato prima di essere consegnato a un negozio Apple o alla tua porta. Tutti questi passaggi introducono numerose opportunità per l'insorgere di problemi di sicurezza; ricerche recenti hanno persino suggerito che gli hacker potrebbero utilizzare le app per smartphone per distruggere le apparecchiature di produzione o persino far saltare in aria intere fabbriche.

Sebbene non sia stato ancora identificato un simile disastro su larga scala, anche i rivenditori sofisticati come Amazon sono stati ingannati da facsimili contraffatti o mal fabbricati di prodotti reali. Alcune minacce alla catena di approvvigionamento possono essere più dannose:nel 2012, Microsoft ha avvertito i clienti che le fabbriche di computer cinesi stavano installando malware sui PC.

Entra in "Internet di tutto"

Poiché sempre più dispositivi, non solo computer e smartphone, ma anche termostati e baby monitor, orologi da polso, lampadine e persino campanelli, si connettono a Internet, la crescente portata della minaccia degli hacker può facilmente perdersi nell'eccitazione.

Nel 2009, il Dipartimento della Difesa degli Stati Uniti pensava di avere un ottimo modo per acquistare molta potenza di calcolo senza spendere troppi soldi dei contribuenti:ha acquistato 2, 200 console di gioco Sony PlayStation 3 da utilizzare come componenti in un supercomputer militare. Ma come io e altri abbiamo scritto in risposta, questi sistemi sono spesso prodotti all'estero, rendendo molto più difficile verificare che non siano stati manomessi.

La Marina, almeno, ha imparato da questo errore:il Naval Surface Warfare Center Crane Division ha aperto la strada alle ispezioni automatizzate, utilizzando l'intelligenza artificiale per esaminare le immagini digitali di nuovi circuiti stampati per rilevare alterazioni non autorizzate.

Gli americani sono giustamente preoccupati per le alterazioni invadenti durante i processi di produzione e spedizione, in parte perché le agenzie governative degli Stati Uniti le conducono. I documenti trapelati hanno mostrato come il team Tailored Access Operations della National Security Agency intercetta regolarmente nuovi computer e apparecchiature di rete spedite a persone o organizzazioni specifiche. Quindi i lavoratori della NSA modificano l'hardware per aggiungere vulnerabilità e accessi segreti che gli hacker della NSA possono utilizzare in seguito, e poi rimettere l'attrezzatura nelle scatole da consegnare come se nulla fosse.

La blockchain è una soluzione?

Un nuovo modo per proteggere le catene di approvvigionamento coinvolge la tecnologia blockchain - un sistema di database sicuro archiviato e mantenuto su molti computer su Internet - per tracciare e verificare tutti gli aspetti di una catena di approvvigionamento, anche uno complicato come quello di Apple.

IBM e il gigante delle spedizioni internazionali Maersk stanno sperimentando l'utilizzo di sistemi blockchain per proteggere meglio e tracciare in modo trasparente le spedizioni, ad esempio inserendo informazioni su cosa viene spedito da chi e da dove a chi e dove, e ogni passo lungo il percorso in mezzo, in un database blockchain.

Questo tipo di sistema è in grado di gestire molte delle attività esistenti eseguite dai database aziendali, con scanner che monitorano articoli e pacchi nelle fasi chiave, e umani che aggiungono dati come i dettagli di consegna. Ma le blockchain offrono almeno tre vantaggi chiave:sicurezza, trasparenza e automazione.

La sicurezza deriva da due caratteristiche delle blockchain:in primo luogo, i dati sono memorizzati in blocchi discreti, o "blocchi". E mentre ogni blocco viene creato, deve collegarsi in modo sicuro al blocco precedente nel database, creando una “catena” di blocchi e impedendo a chiunque di modificare dati precedentemente memorizzati. Le modifiche possono essere memorizzate solo come dati aggiuntivi nella catena.

Così, in effetti, una persona che ha portato un pacco all'ufficio postale non poteva entrare nel file del database ed eliminare la parola "Elaborazione" e digitare la parola "Spedito" al suo posto. Piuttosto, la persona aggiungeva dati che dicevano la data e l'ora in cui il pacco è stato lasciato all'ufficio postale. Ciò consente a tutti di tracciare il pacco in tempo reale, ma tieni anche d'occhio quanto tempo impiega ogni passaggio e aiuta a identificare dove si verificano eventuali problemi.

La trasparenza della blockchain deriva dal fatto che i suoi dati sono archiviati in forma crittografata, ma è altrimenti disponibile per i partecipanti. Insieme alle sue caratteristiche di sicurezza, un database della catena di approvvigionamento blockchain consentirebbe a qualsiasi entità coinvolta in una spedizione, Per esempio, monitorare l'avanzamento dell'ordine con la certezza che i dati siano accurati.

Il valore aggiunto ai sistemi blockchain è il fatto che sono record digitali, in modo che possano contenere codice software impostato per eseguire funzioni specifiche quando determinati dati sono memorizzati nel sistema. Questi sono spesso chiamati "contratti intelligenti, ” perché sono istruzioni inalterabili che possono automatizzare alcuni processi, come emettere un pagamento alla consegna. Questo aggiunge un altro livello di sicurezza, pure, perché la blockchain stessa può tenere d'occhio quanto tempo impiega ogni passaggio per ogni elemento, e poi avvisare i supervisori umani se qualcosa impiega troppo tempo - un segno di un'interruzione della produzione, o anche un segnale che qualcuno potrebbe manomettere la merce.

Né un proiettile magico, né una causa persa

Nessuna blockchain è immune all'hacking e nessuna di esse può eludere gli effetti di vulnerabilità hardware come Meltdown e Spectre. Ma potrebbe fornire un importante miglioramento rispetto ai metodi e alle pratiche odierne.

C'è ancora molta strada da fare, compresa la formazione delle persone all'uso delle blockchain e l'accordo sugli standard per la comunicazione dei dati, crittografia e archiviazione. E un tale sistema dovrebbe ancora affrontare il problema delle minacce interne, anche se la tecnologia blockchain sottostante renderebbe più difficili tali tentativi.

Attualmente, aziende e agenzie governative stanno esplorando modi per garantire che gli articoli siano fabbricati, assemblato, spedito e consegnato in modo affidabile e senza manomissioni. Continuando questi sforzi, e trovare nuovi modi per le aziende private e i governi di lavorare insieme e condividere le migliori pratiche, ad esempio sviluppando standard di collaborazione, farebbe molto per costruire robusti sistemi basati su blockchain che possono aiutare a tracciare e proteggere l'hardware attraverso la fiorente Internet of Everything.