Filoweb.it
By Filippo Brunelli

Note dell’autore: Gli esempi riportati nell’articolo sono tutti esempi reali. Non ho messo i nomi degli autori per evitare fastidiose noie legali, ma sarò felice di comunicare in privato, a chi fosse interessato, i nomi degli autori dei corsi.

Una nuova forma di raggiro si è sviluppata negli ultimi anni online affianco alle classiche atte a sottrarre i dati personali o della carta di credito degli utenti: quella dei “Corsi online per diventare esperti in…”.
Di questo tipo di raggiri, perché non è corretto parlare di truffe, ce ne sono di vari tipi. Da quelle più o meno innocue che offrono corsi all’apparenza gratis, a quelle che i corsi li fanno veramente pagare sennonché scoprire, una volta pagati ed iniziati, che questi corsi sono fatti, come si suol dire, “un tanto al chilo ed in maniera troppo superficiale.
Certo non tutti i corsi sono delle truffe, anzi la maggior parte sono seri e fatti da veri professionisti, ma sarebbe bene fare attenzione a quello che viene proposto.
Vediamo alcuni esempi e alcune tecniche reali che vengono utilizzate per sfruttare la buona fede delle persone.
Come inizio possiamo dire che tutti questi tipi di corsi promettono di avere lauti guadagni senza dover spendere troppi soldi (a parte l’eventuale acquisto del corso ma quello, ovviamente, non conta perché è da considerarsi un investimento a detta di chi lo vende N.d.r.) e senza dover faticare troppo, oppure di diventare esperti in un campo (se non in molti) in brevissimo tempo.

Dropshipping.
Il primo esempio che voglio proporre al mio lettore è quello di un corso sul  Dropshipping.
Per chi non lo sapesse il dropshipping è un metodo di vendita applicabile all’e-commerce che consiste nel vendere un prodotto online senza averlo materialmente in un magazzino, ma che viene proposto agli acquirenti facendo da tramite tra il pubblico e il fornitore. Una specie di agente di commercio online. Questo è, ovviamente, possibile in quanto  esiste un accordo commerciale tra venditore chiamato dropshipper e fornitore primario.
Il corso in realtà era un Videocorso e, dopo aver visto i primi video, avevo già capito che era un lavoro molto poco professionale: l’autore ha utilizzato un programma freeware chiamato OBS Studio (che indipendentemente dal fatto che sia gratuito funziona molto bene!) per registrare lo schermo e la sua voce. Fino a qua non ci sarebbe nulla di male se non fosse che il ragazzo che ha realizzato questo video corso ha registrato tutto direttamente, senza alcun montaggio o taglio, tanto che all’inizio di ogni video si vedeva OBS Studio che partiva e registrava lo schermo e che, il lavoro era un lavoro raffazzonato e approssimativo. Lo si deduceva dal fatto che durante le “lezioni” l’autore faceva a volte degli sbagli e si correggeva, segno questo che non seguiva o una traccia e che, comunque, invece di fermare la registrazione e rifare il pezzo sbagliato o tagliarlo, andava avanti a registrare.
A mio avviso questa forma di sciatteria nel fare un videocorso che viene venduto a caro prezzo (parliamo di migliaia di euro) è, non solo una mancanza di professionalità ma, soprattutto, mancanza di rispetto nei confronti degli acquirenti.

Corso gratis ma…
Non tutti i corsi online sono a pagamento. C’è anche chi offre corsi gratuiti o, almeno, che sembrano gratuiti. È questo il caso di un corso che promette di: “iniziare a guadagnare online seriamente in 3 giorni, senza trucchi bizzarri né segreti deliranti”.
Anche in questo caso stiamo parlando di un videocorso che, sebbene sia fatto meglio del precedente con tanto di montaggio e spiegazione dei vari passaggi senza errori, ha una durata di meno di 3 ore con la lezione più lunga che dura 49” e la più corta 1”59. Già da questo punto si dovrebbe iniziare a pensare che il segreto della ricchezza racchiuso in così poco tempo di video sia una cosa su cui storcere il naso.
Ma proseguiamo analizzando il corso in alcuni punti salienti: dopo un introduzione nella quale il relatore parla di persone che si accontentano e persone che invece vogliono di più, inizia a parlare del corso e del suo Kit (che molto magnanimamente mette a disposizione gratuita), che anche un piccolo business può portare a grandi guadagni, che non serve essere esperti per parlare di un argomento ma basta condividere i contenuti che parlano di quell’ argomento, perché per creare un business online basta essere considerati esperti in quella cosa e non esserlo effettivamente (al massimo basta essere informati), e così via fino a parlare della necessità di creare un sito web e Lead generation¹.  
Seguono poi vari video che parlano di modelli di business e di come scegliere una “nicchia” di mercato per arrivare ad un video di soli 4 minuti e 13” dove ripete la necessità di creare un sito web.  Segue, finalmente, il video con il vero scopo del corso: la creazione di un sito web che porta a “lauti guadagni”!
A questo punto l’autore invita a creare un sito web e consiglia di utilizzare Wordpress² e, dato che ci siamo, meglio che utilizziamo l’hosting che consiglia lui attraverso il semplice click sul link che ci propone. Si perché lo starter kit che ha messo a disposizione gratis è un modello Wordpress che, assicura, è ottimizzato per questo scopo quindi è da utilizzare. Ovviamente niente impedisce di utilizzare altri CMS ma non saranno funzionali come il suo sito. C’è però un problema se si vuole usare il suo modello super testato: per utilizzarlo c’è bisogno di utilizzare un plug-in³ di wordpress (a pagamento chiaramente) e, per semplificare le cose, ecco bello e pronto il link da cliccare per acquistare il plug-in.
Così il nostro munifico autore ha già guadagnato la commissione sulle vendite che vengono fatte tramite il suo corso (come la barzelletta del carabiniere che vede l’uomo che mangia i semi delle mele).
Proseguendo con il corso troviamo un video che spiega, in maniera semplificata e superficiale, la creazione e la gestione SEO⁴ del sito.  Il video è tanto essenziale che, se non si seguono pedissequamente le sue istruzioni e/o non si conosce Wordpress, si rischia di fare danni. Anche per quanto riguarda la personalizzazione non offre molte spiegazioni particolareggiate ma, d'altronde, il suo scopo è stato ormai raggiunto, tutto il resto è di contorno, tanto che ci si chiede per quale motivo abbia voluto far installare il plug-in “Elementor” dato che quello che chiede di fare si può fare benissimo anche senza…
Per quanto riguarda la parte SEO, sempre tramite un plug-in (questa volta gratuito) la spiegazione è a livelli talmente elementari che non parla nemmeno di Microdata, Sitemap, Robots.txt, Heading Order, Slug SEO valido e molto altro. Insomma un corso molto approssimativo tanto che la creazione del banner cookie e del contenuto da mettere non è aggiornato alle ultime normative rischiando così di prendere multe salate.
Alla fine si scopre che tutto il presunto guadagno astronomico che si può fare, sì basa sul fatto di creare un sito web nel quale mettere le “pubblicità” di prodotti e servizi di aziende (come Amazon, Udemy, ecc.) in modo che, quando un utente faccia un acquisto tramite il sito, noi ne ricaviamo una percentuale. Peccato che per poter sperare di aver ricavi tramite questo metodo ci sia la necessità di un volume di visite mensile notevole e non certo le poche centinaia che un sito fatto (male) tramite il suo kit può avere.

Impariamo a programmare?
Infine l’ultimo esempio che voglio analizzare è una vera chicca: direttamente da uno dei siti di corsi online più blasonati ed il cui titolo è già di per sé un programma (scusare il giro di parole): “Programmazione - Il MEGA Corso Completo”. 
Ed a guardare i più di 40 capitoli (ognuno con vari video all’interno) il corso sembra veramente dare quello che promette sennonché si scopre che i video toccano in maniera superficiale il tema della programmazione o i vari linguaggi: per fare un esempio la programmazione in Java occupa in totale 2 ore e 21 minuti di video, mentre Python⁵ viene trattato sono come Ethical Hacking⁶ e, in 57 minuti, vengono proposti solamente dei listati senza insegnare la programmazione in questo fantastico linguaggio!
Una parte da leone la fanno i capitoli dedicati all’ HTML e al CSS che sono addirittura considerati “hard Skill” anche se, parlando con un programmatore, dirà certamente che non possono essere considerati linguaggi di programmazione ma piuttosto linguaggi di formattazione.
Infine da notare che, come sempre, non poteva mancare un capitolo (molto più corposo di quello su HTML e CSS) dedicato a Wordpress e, a questo punto, mi piacerebbe sapere che c’entra Wordpress con la programmazione!
Certo non mancano capitoli dedicati ad Ajax, Jquery e Java script o ai database ma tutto trattato senza approfondire molto i concetti. D'altronde un corso di programmazione serio richiede molto tempo e, questo, per imparare solamente un singolo linguaggio.

Non tutti sono così
Per fortuna non tutti i corsi online sono delle truffe, anzi ho avuto modo di vedere corsi su Media Marketing o sulla programmazione (ma dedicati ad un solo specifico linguaggio) molto esaustivi e completi.
Come distinguere i corsi seri da quelli meno allora?
Qua la cosa è più complicata rispetto alle classiche truffe in quanto, la maggior parte delle volte, ci si accorge di aver buttato via i soldi solo dopo averlo fatto.
Rimangono da tenere a mente alcuni avvertimenti dati dal buon senso:
1. Se una cosa è troppo bella per essere vera allora forse non lo è! A tutti piace fare i soldi facili ma, a parte casi particolari, per aver successo in qualsiasi attività è richiesto molto impegno, dedizione, sacrificio e, soprattutto, tempo: un ingegnere informatico o un programmatore studiano anni per arrivare ad avere le competenze necessarie a padroneggiare un settore.
2. Se possibile sentire il consiglio di qualche amico o persona esperta che conosca la materia o sa di cosa si parla. Non è sempre vero che un profilo virtuale corrisponda alla realtà e solo perché chi ci propone un corso è “famoso” online con vari profili social e skills di rilievo, non è detto che queste competenze siano vere. Creare un profilo e più facile che rubare le caramelle ad un bambino!
3. I buoni vecchi libri! Prima di seguire un corso online sarebbe meglio consultare un libro cartaceo (o e-book) sull’argomento per poter valutare quello che ci viene proposto.

A questo punto mi vien voglia di mettermi a fare un corso… Ma realmente gratis perché “la conoscenza deve sempre essere condivisa con tutti” e non tutti hanno i mezzi per poter comperare la conoscenza!

¹La lead generation è il processo che consiste nell'attrarre l'interesse di potenziali clienti, per trasformarlo in transazioni di vendita.
² WordPress è una piattaforma software per la creazione di "blog" e Content Management System (CMS) open source basato sul linguaggio di script PHP e database MySql,  che consente la creazione e distribuzione di un sito Internet facilmente aggiornabile.
³ I plug-in sono componenti di un software che aggiungono delle funzionalità a un programma esistente.
⁴ SEO è l'acronimo inglese della parola Search Engine Optimization, che tradotto significa ottimizzazione per i motori di ricerca. É una disciplina informatica che ha l'obiettivo incrementare la visibilità e il posizionamento di un sito web all'interno dei risultati organici dei motori di ricerca
⁵ Python è uno dei linguaggi di programmazione più usati al mondo. Grazie alla sua sintassi asciutta e potente, ed al supporto multipiattaforma, è utilizzato per moltissime tipologie di applicazioni, dal networking, al web, fino al machine learning
⁶ L'Ethical Hacker si occupa di testare la sicurezza dei sistemi informatici aziendali mediante simulazione e prevenzione di possibili attacchi informatici.

Tutti sappiamo, quasi sempre per sentito dire, che la rete internet è nata come progetto militare per garantire la comunicazione sempre e comunque (anche in caso di olocausto nucleare) tra i vari centri di comando. Questa consapevolezza è talmente radicata che siamo convinti che l’infrastruttura internet sia sempre disponibile (escluso i guasti che possono capitare sulla linea ma questo è un altro discorso).
Come stanno realmente le cose?

Internet non è il web.
Per prima cosa dobbiamo chiarire la differenza che c’è tra la rete internet ed il “web”.
La rete internet è un infrastruttura dove viaggiano pacchetti di dati tra vari nodi di computer che si scambiano informazioni tramite delle regole che si chiamano protocolli. I pacchetti dati che vengono scambiati dai vari computer tramite dei “nodi” vengono interpretati da vari programmi (whatsapp, programmi di videoconferenza, programmi FTP, newsgroup, posta elettronica, ecc.) presenti sui singoli dispositivi che provvedono ad interpretarli ed elaborarli. Internet è, insomma, una specie di ferrovia che offre il trasporto di informazioni che attraverso delle stazioni (i server) distribuisce queste informazioni alle singole case presenti in una “citta”, ovvero i singoli computer collegati.
Il web è, invece, solamente uno dei servizi internet che permette il trasferimento e la visualizzazione dei dati, sotto forma di ipertesto. La prima pagina web è stata realizzata da Tim Berners-Lee nel 1991 presso il CERN. Il web ha permesso di trasformare quello che viaggiava su internet da una serie di informazioni statiche ad un insieme di documenti correlati e facilmente consultabili.

Come nasce Internet.
In piena guerra fredda, nel 1958 la difesa degli Usa fondò ARPA, acronimo di Advanced Research Projects Agency  e che oggi si chiama DARPA (D sta per Defence) con lo scopo di trovare soluzioni tecnologiche innovative ad un certo numero di problemi, principalmente militari. Tra i vari problemi che ARPA si trovò ad affrontare vi era quello creare un sistema di telecomunicazioni sicuro, pratico e robusto, in grado di garantire lo scambi di informazione tra i vari comandi e sistemi di risposta in caso di attacco nucleare sempre e comunque.
Lo scambio di dati tra i vari computer, fino ad allora, avveniva tramite un collegamento diretto tra i due, solitamente tramite linea telefonica. Questo tipo di scambio dati, oltre che essere poco sicuro, presentava delle debolezze intrinseche: la velocità era limitata e condizionata dal computer più lento e la connessione era limitata a due utenti che venivano collegati direttamente. Ad aumentare la criticità di questo modo di scambiare informazioni, inoltre, vi era il fatto che tutti i dati passavano da un nodo centrale, incaricato di questa operazione di switching, creando un punto critico in caso di guasto o di attacco.
La soluzione fu trovata “imbustando” i dati in una serie di pacchetti che, come in una busta postale, contengono l’indirizzo del mittente, del destinatario e l’informazione che si vuole trasmettere. In questo modo era possibile per più utenti utilizzare una stessa linea e, in caso di guasto o inoperatività di un nodo, le informazioni potevano essere deviate su di un’altra strada, dato che si sapeva “l’indirizzo” del destinatario. L’unico problema che esisteva (ma all’epoca non era considerato un problema visto il numero esiguo di computer presenti) era che bisognava, appunto, conoscere l’indirizzo del destinatario.
Il progetto prese ufficialmente vita nel 1958 quando  Steve Crocker, Steve Carr e Jeff Rulifson, in un documento del 7 aprile presentarono l’idea di una rete che prese il nome di ARPANET. Inizialmente furono solo quattro i computer collegati ma in breve tempo il loro numero aumentò includendo non solo enti della difesa USA ma anche università e centri di ricerca.
Per facilitare lo scambio di dati tra computer differenti venne implementato un protocollo apposito il TCP/IP che è tutt’ora utilizzato. A seguire vennero inventate nel 1971 le e-mail, mentre l’anno seguente vide la nascita di un metodo per controllare i computer in remoto che prese il nome di telnet e per finire un protocollo per il trasferimento dei file che si chiama FTP. Tutti questi protocolli che sono tutt’ora esistenti e sono una parte fondamentale di quello che chiamiamo “Internet”.
Anche se negli anni i protocolli si sono evoluti, ne sono nati di nuovi e altri si sono modificati il principio di funzionamento rimane lo stesso degli anni ’60 e oggi sono milioni i computer e i dispositivi interconnessi in tutto il mondo.

C’è pericolo per l’infrastruttura mondiale?
Attualmente abbiamo un mondo sempre più interconnesso. Quando consultiamo un sito internet, mandiamo un messaggio tramite whatsapp  o messenger, pubblichiamo una nostra foto su Facebook piuttosto che una storia su Instagram o facciamo un bonifico bancario utilizziamo uno dei tanti servizi che la rete internet ci mette a disposizione.
Spesso i server che utiliziamo sono situati in altri continenti o altre nazioni: le webfarm (luoghi dove sono collocati una serie di Server a temperatura controllata e in sicurezza) che contengono i siti internet non sempre sono in Italia o in Europa anche se il dominio che consultiamo è di tipo .it o .eu ed appartiene ad una società italiana.
A collegare questi server a casa nostra provvede una fitta rete di cavi ottici sottomarini (la mappa è consultabile sul sito www.submarinecablemap.com) che trasportano il 97% del traffico internet mondiale. Sicuramente, a questo punto della lettura, viene da chiedersi perché si preferisca utilizzare i cavi marini anziché i satelliti, come nel caso della costellazione Starlink di Eolon Musk?
Il primo motivo è il costo della tecnologia della fibra ottica che è molto più vantaggiosa della messa in orbita e del mantenimento di una rete di satelliti.
Dobbiamo poi considerare la velocità: satelliti per la trasmissione dati sono, per la maggior parte, situati in orbite geostazionarie il che vuol dire che orbitano su un punto fisso sopra la terra (come i satelliti GPS) ad un’altezza di circa 36.000 km. Ad una tale distanza un bit, che viaggia alla velocità della luce, per percorrere una simile distanza impiega ¼ di secondo e questo tempo di latenza nella comunicazione può, in certi casi, diventare critico.
Dobbiamo,  infine, considerare che se tutte le comunicazioni della rete internet dovessero passare tramite satelliti probabilmente questi ultimi avrebbero difficoltà a gestire una mole di traffico eccessiva: un conto è dover gestire 10.000/30.000 utenti collegati contemporaneamente un altro doverne gestire 1.000.000.
Queste autostrade digitali prendono il nome di dorsali, e una delle più importanti passa al largo delle coste irlandesi dove transitano oltre 10 trilioni di dollari al giorno di transazioni finanziarie.
Non stupisce che, dopo il sabotaggio del gasdotto Nord Stream, stia nascendo la preoccupazione di un possibile attentato ai cavi sottomarini da parte dei Governi Europei e della Nato: gli alti funzionari della Marina degli Stati Uniti hanno avvertito per molti anni delle conseguenze catastrofiche di un possibile attacco da parte delle navi russe su cavi Internet.
In realtà, a parte un eventuale aumentare della tensione geopolitica, un reale pericolo non esiste, o meglio, le conseguenze non sarebbero così gravi come certi giornali annunciano: già adesso, ogni giorno, si verificano guasti lungo i cavi ma gli utenti non se ne accorgono.
Abbiamo visto all’inizio che la struttura internet è nata con lo scopo di evitare che un conflitto impedisca la possibilità di scambiare informazioni tra i vari posti di comando. Se un cavo viene tagliato, o anche la maggior parte dei cavi di una dorsale, semplicemente i pacchetti dati verrebbero reindirizzati tramite un’altra strada per raggiungere il destinatario a scapito, ovviamente, della velocità di interscambio dei dati. E se anche un eventuale stato belligerante riuscisse a tagliare tutti i cavi Atlantici si potrebbe sempre reindirizzare il traffico sulla dorsale dell’Oceano Pacifico o via satellite, anche se in quest’ultimo caso bisognerebbe dare la precedenza ai servizi di primaria importanza e si avrebbe un rallentamento generale.
In questo periodo di guerra i propagandisti russi (come Viktor Murakhovsky) hanno dichiarato che la Russia potrebbe danneggiare seriamente le comunicazioni in Europa e ciò avverrebbe tramite l’utilizzo di sottomarini speciali come il Belgorod ma, come abbiamo visto, tutto questo rimane accantonato nella pura propaganda di guerra.

Pwn2Own è una delle competizioni di hakeraggio più famose al mondo che quest’anno ha visto assegnare premi per 1.155.000 dollari su 25 vulnerabilità zero-day¹ che sono state trovate

Cos’è Pwn2Own
Pwn2Own è un concorso di pirateria informatica che si tiene ogni anno alla conferenza sulla sicurezza di CanSecWest. La prima edizione è avvenuta nel 2007 a Vancuver e da allora, con l’eccezione del periodo della pandemia di Covid-19, ha aiutato le aziende del settore IT che vi partecipano a scoprire e correggere gravi falle nei loro software.
La competizione nasce su iniziativa di Dragos Ruiu frustrato dalla mancanza di disposte da parte di Apple alle sue domande sulla sicurezza nel mese dei bug di Apple e dei bug del kernel, nonché sulla banalizzazione che quest’ultima faceva della sicurezza integrata sui sistemi Windows in alcuni spot pubblicitari televisivi (andati in onda negli Stati Uniti e in Canada). All’epoca tra gli utenti Mac era  in diffusa (e tra molti utenti lo è ancora) che la sicurezza i prodotti Apple e OSX fossero più sicuri della controparte Microsoft.
Così circa tre settimane prima di CanSecWest ( la più importante conferenza al mondo incentrata sulla sicurezza digitale applicata) Ruiu annunciò il concorso Pwn2Own ai ricercatori sulla sicurezza della mailing list DailyDave. All’epoca non c’era un premio in denaro ma il vincitore poteva portarsi via il dispositivo che riusciva ad Hackerare (in quel caso si trattava di 2 MacBook Pro) e da qua il nome che è la combinazione delle parole "pwn", che vuol dire Hackerare, 2 che in inglese si legge Tow (due) ma si intende anche come la parola “to” nei messaggi delle chat, che davanti al verbo “Own” vuol dire possedere.
In effetti la tradizione di diventare i proprietari del dispositivo che viene hackerato è rimasta ancora adesso nella competizione affianco ai premi in denaro.
Negli anni la competizione si è ampliata sia per quanti riguarda i premi in denaro che per quanto riguarda le regole e gli obbiettivi. Già l’anno successivo si invitava gli utenti a leggere un file di testo contenuto computer con diversi sistemi operativi (Windows, Mac OSX, Lunux Ubuntu), prima cercando di hakerare solamente il computer e successivamente potendo passare anche attraverso i Browser. Anche in questo caso il primo a cadere fu il Mac attraverso un bug di Safari.

Cos’è successo quest’anno?
Quest’anno il premio per chi superava le “sfide” è arrivato a superare il 1.000.000 di dollari suddiviso in 25 differenti vulnerabilità in un periodo di 3 giorni. Il primo giorno, ha visto cadere Microsoft Teams, Oracle VirtualBox, Mozilla Firefox, Microsoft Windows 11, Apple Safari (unico prodotto della casa di Cupertino ad essere presente alla competizione), e Ubuntu Desktop.
Il secondo giorno, invece, è toccato a Tesla cadere: i ricercatori della compagnia francese Synaktiv sfruttando un bug del sistema di Tesla hanno avuto accesso ad alcuni comandi della macchina prodotta da Eolon Musk. Sempre nel secondo giorno sono invece falliti altri tentativi di avere accesso al sistema operativo Windows 11 e altri due tentativi di accedere al sistema di Tesla. Il terzo giorno, invece, i ricercatori sono riusciti a penetrare per ben tre volte nel sistema operativo Windows 11, senza fallire.
Ma superare le prove non è sufficiente: per acquisire i punti bisogna non è sufficiente l’hackerare il dispositivo o il programma interessato ma anche il modo nel quale lo si fa considerando la capacità operativa e il bug utilizzato nonché la possibilità di poter mostrare il metodo utilizzato.
Alla fine dei tre giorni l’azienda e che è stata proclamata Master of PWN dagli organizzatori del torneo, per aver totalizzato il maggior numero di punti, è la "Star Labs" di Singapore.

Cosa abbiamo imparato?
La prima cosa da notare è che quest’anno non solo erano presenti programmi di “comunication” e collaborazione online come Teams e Zoom ma attaccare questo tipo di programmi aveva un maggior peso nella competizione e portava i contendenti ad avere premi più sostanziosi.
Nulla da stupirsi visto che negli ultimi due anni queste applicazioni hanno avuto uno sviluppo ed un utilizzo sempre più rilevante nella nostra società, ma una riflessione si rende necessaria: se fino a qualche anno fa quando si pensava a vulnerabilità si pensava a debolezze del sistema operativo piuttosto che a come si utilizzava internet e veniva spesso consigliato di prestare attenzione ai siti che si visitano, ai programmi che si usano o i scaricano (che avessero delle fonti attendibili e non fossero copiati o piratatti), eccetera, quest’anno ci si accorge che queste precauzioni possono non essere più sufficienti.
Quando ci si unisce ad una conversazione in Teams piuttosto che su Zoom si pensa che a questo punto si sia al sicuro in quanto siamo collegati con persone che conosciamo. Nulla di più sbagliato. Le falle riscontrate hanno dimostrato che non è più sufficiente stare attenti ma è anche necessario disporre di protezioni quali antivirus e antimalware nonché, se si è utenti particolarmente avventurosi, dotarsi anche di una VPN².
Sempre riguardo il fatto che bisogna sempre essere protetti è da considerare, inoltre, che i bug rilevati sui Browser a volte permettevano l’accesso a livello di Super User³ alla macchina senza necessità di nessuna conferma da parte dell’utente; questo privilege escalation⁴ porta alla possibilità del malintenzionato di poter eseguire codici RCE⁵ (Remote Code Execution) sulla macchina attaccata.
Concludendo possiamo dire che ben vengano concorsi dove si scontrano Hacker etici che permettono alle aziende di migliorare i loro prodotti e a noi di essere più sicuri. Per questo lascia sorpresi che l’unico prodotto Apple che era da “forzare” fosse stato il browser Safari la scoperta del cui bug ha portato a Paul Mandred la cifra di 50.000 dollari.
Rimane poi un ultimo punto oscuro da considerare ovvero che magari alcuni dei Bug siano già stati scoperti dai concorrenti ma che aspettino il Pwn2Own o un concorso simile per renderli pubblici e incassare così più soldi di quanti ne riceverebbero se li comunicassero direttamente alle aziende interessate.
Speriamo che così non sia!

¹ Una vulnerabilità zero-day è una qualunque vulnerabilità di un software non nota ai suoi sviluppatori o da essi conosciuta ma non gestita.
² VPN è l'acronimo di Virtual Private Network, ossia “rete privata virtuale”, un servizio che protegge la connessione internet e la privacy online. Crea un percorso cifrato per i dati, nasconde l’indirizzo IP e consente di utilizzare gli hotspot Wi-Fi pubblici in modo sicuro.
³ Con il termine Superuser si indica un account utente speciale utilizzato per l'amministrazione del sistema. A seconda del sistema operativo (OS), il nome effettivo di questo account potrebbe essere root, amministratore, amministratore o supervisore.
⁴ Privilege escalation è un tipo di attacco di rete utilizzato per ottenere l'accesso non autorizzato ai sistemi all'interno di un perimetro di sicurezza.
⁵ RCE è un attacco informatico in base al quale un utente malintenzionato può eseguire comandi in remoto sul dispositivo informatico di qualcun altro. Le esecuzioni di codice remoto (RCE) di solito si verificano a causa di malware dannoso scaricato dall'host e possono verificarsi indipendentemente dalla posizione geografica del dispositivo.

È dagli anni ’90 che negli appassionati di computer è nata la voglia di retrò computer e retrò games. All’inizio erano solamente degli emulatori, prima il mitico MAME e poi di vari sistemi operativi che davano (e danno ancora) la possibilità di provare i computer a 8 o 16 bit come il Commodore64, l’MSX, il mitico ZX Spectrum di Sir Clive Marles Sinclair, il Mac Os, l’Amiga e molti altri. Oggi stanno uscendo anche emulazioni hardware come il C64 mini o l’Amiga 500 mini e presto un PC stile C64 con software nuovo e doppio sistema operativo.

Il primo emulatore, un hardware con una rom di 256Kb e non software, inizia il suo sviluppo il 12 dicembre del  1990 e prende il nome di Family Computer Emulator: una macchina ad opera di Haruhisa Udagawa che uguagliava il NES¹ e che, nella sua semplicità e limitatezza (non poteva ad esempio riprodurre suoni, non supportava il microfono della Nintendo,  la CPU risultava molto lenta ed i file delle ROM Cartrige dovevano essere scaricati attraverso un processo complicato), permetteva di far girare alcuni storici giochi tipici della console Nintendo come  Donkey Kong, Space Invaders, Mario Bros. Il primo emulatore software di un computer, invece, fu quello - neanche a dirlo- del mitico Commodore 64, che iniziò ad apparire nelle BBS intorno al 1990; anche questo, che girava su macchine intel  permetteva soprattutto di far girare i videogiochi.
A metà degli anni ’90 esattamente tra il 1994 ed il 1995 iniziarono ad uscire anche i primi emulatori di giochi arcade² autonomi, cioè in grado di emulare solo un singolo gioco o un solo tipo di console, via software. All’inizio giochi come, Ghosts'n Goblins, Bombjack, Asteroids, Mr. Do! Pac-Man, Lady Bug, iniziarono a tornare sui monitor dei computer girando ognuno su un suo software.
Nel 1995, quando l’Activision rilasciò "Atari 2600 Action Pack" per Windows 3.1, comparve il primo emulatore conosciuto di una console. Un paio d’anni dopo, nel 1997, uscì il progetto MAME (acronimo di Multiple Arcade Machine Emulator): un emulatore in grado di far funzionare pressoché tutti i vecchi tipi di giochi arcade tramite le proprie Rom³. Il suo funzionamento è molto semplice, basta copiare il file in formato zip contenente il gioco che si vuole nella directory denominata “ROMS” presente nella root del progamma e questo viene riconosciuto ed eseguito. Indipendentemente dal produttore che poteva essere Acclaim, Namco, Atari, Sega, Konami, o qualunque altro, il gioco funziona. Il progetto nasceva con l’intenzione di documentare il funzionamento dei videogiochi Coin-Up3 e preservare la storia e la memoria delle rarità.
Sebbene questi software fossero diventati diletto principale di soli Nerd, negli ultimi anni si è assistito ad un mercato di retrò computer sempre più in espansione dato che a molti utenti non era più sufficiente un semplice emulatore software ma erano alla ricerca dell’esperienza che avevano vissuto quando, da bambini, muovevano i primi passi nel mondo dei computer, aspettando anche 10 minuti (che sembravano ore!) il caricamento di un gioco o di un programma da un’unità a nastro. Vengono così tirati fuori dalle cantine i vecchi computer a 8bit o a 16bit che hanno fatto la storia, che non sono i vecchi pc IBM compatibili o i Mac II, ma soprattutto MSX, ZX Spectrum, e tanti, tantissimi Commodore che vengono riesumati, restaurati e usati o rivenduti.

Ad oggi un Commodor 64 “Biscottone” funzionante e in buone condizioni ha un prezzo base di 120€ che possono salire in base al fatto che abbia o meno la scatola originale, gli accessori o il Case non usurato dal tempo.
Ed è proprio l’azienda fondata da Jack Tramiel nel 1954 e chiusa nel 1994 a rappresentare (più dei prodotti di Apple o altre blasonate industrie) l’oggetto di rimpianto di tanti appassionati di informatica. Approfittando della nascente nostalgia di tanti ultraquarantenni per i computer della loro infanzia nel 2018 un’azienda londinese, la Retro Games Ltd, mette in commercio il Commodore 64 mini: una console che riproduce in scala (le dimensioni sono 20 x 10 x 3,5 cm contro i 40.4 x 21.6 x 7.5 cm dell’originale) la forma del mitico computer degli anni 80 e ne emula via hardware i videogiochi. A corredo della piccola console veniva fornito un joystick simile a quelli a microswitch utilizzati sui computer a 8 bit, che permette di far rivivere l’esperienza di un vecchio C64 ad prezzo sotto i 100€.
A seguito del successo del Commodore64 mini la stessa azienda nel marzo di quest’anno decide di far usciere una nuova console che emula, sempre via hardware, un altro dei computer storici di Tremiel: il 25 marzo 2022 esce l’Amiga 500 Mini, versione sempre in scala dell’omonimo computer a 16/32 bit (per approfondire la storia dell’Amiga invito a rileggere l’articolo: 30 Anni Fa Una Piccola Rivoluzione) accompagnata da un mouse che è la ricostruzione, per fortuna non in scala, dell’originale a due bottoni e da 25 videogiochi preinstallati. Anche in questo caso stiamo parlando solamente di una console di emulazione di videogiochi.
Ma la sorpresa più bella, per chi ha nostalgia dei vecchi computer e non può rinunciare alla modernità è in arrivo - anche questa - quest’anno. Dopo il fallimento del 1994 e dopo che la Commodore venne messa in liquidazione i suoi marchi ebbero tutto un susseguirsi di cambi di proprietà fino ad essere acquistati nel 2015 da una piccola holding italiana, con sede a Londra, che iniziò a produrre una serie di smartphone denominati Pet, Leo e Nus con il logo Commodore. L'azienda chiamata Commodore Business Machines Ltd. dopo una battaglia legale riuscì ad avere il diritto di utilizzare il logo originale e quest’anno ha annunciato l’uscita di un computer chiamato Commodore64GK.
La macchina, da quello che si è saputo fino ad ora, avrà un cabinet che ricorda per colori e forma dei tasti il mitico computer denominato “Biscottone” a causa della forma rotondeggiante ed il colore marrone; la tastiera, che conterrà tutta la circuiteria, sarà meccanica come l’originale ma non mancheranno Wi-fi, Usb e e Bluethoot per rendere il computer moderno. Allo stesso modo nuovo sarà il sistema operativo, anzi i sistemi operativi, visto che ne avrà ben due distinti: Windows11 e Chrome OS e l’utente potrà decidere in avvio quale dei due far partire.
Attenzione non si parla di dual boot ma di due sistemi separati che hanno due diverse CPU e diverso hardware mentre solo parte dei componenti saranno condivisi, un po’ come succedeva con l’Amiga 2000 e la scheda Bridgeboard.

Difficilmente chi non ha vissuto quegli anni potrà capire l’emozione che hanno dato i vecchi computer e per un appassionato, quando si ha la possibilità di poter usarne uno, è come guidare un’auto d’epoca. Non deve sorprendere quindi che il 2022 sia un anno che due distinte aziende hanno deciso di utilizzare per lanciare due diverse macchine che ricordano la stessa ditta storica; in particolare, con la scusa di voler celebrale i 40 anni dall’uscita del primo C64 “biscottone”, l’azienda Commodore International Ltd. ha deciso di fare un’operazione commerciale azzardata ma anche mirata. Il C64GK non sarà certo un computer per tutti visto che per giocare ci sono computer migliori e per l’uso in ufficio potrebbe rivelarsi scomodo, ma di certo il target di nostalgici non mancherà certo. Il prezzo sarà sicuramente impegnativo ma conosco già molte persone che attendono di poter mettere le dita sulla tastiera meccanica marrone.

¹ Il Nintendo Entertainment System (NES), noto in Giappone con il nome di Famicom è stata una console per videogiochi a 8-bit prodotta da Nintendo tra il 1983 e il 1995.
²Un videogioco arcade (anche coin-op, abbreviazione di coin-operated, in italiano macchina a gettoni, sebbene il termine si possa riferire anche a giochi non necessariamente video, come i flipper) è un videogioco che si gioca in una postazione pubblica apposita a gettoni o a monete, costituita fisicamente da una macchina posta all'interno di un cabinato. Questo tipo di macchina si diffuse nella seconda metà del XX secolo  nelle sale giochi, nei bar o in altri luoghi pubblici analoghi; le sale giochi spesso raccoglievano solo, o soprattutto, videogiochi arcade. Gli arcade rappresentarono la prima generazione di videogiochi di largo consumo, e il primo contatto del pubblico con questa nuova forma di intrattenimento.
³ ROM Sigla di read only memory, particolare memoria non volatile (cioè capace di conservare i dati presenti anche in assenza di alimentazione) presente nei calcolatori elettronici; i dati sono inseriti durante la sua realizzazione, non potendo più essere modificati

NOTE BIBLIOGRAFICHE
8-BIT GENERATION: THE COMMODORE WARS. Film documentario del 2016 di Tomaso Walliser con Chuck Peddle, Jack Tramiel, Steve Wozniak

Anche se da un punto di vista puramente strategico il recente conflitto scoppiato in Ucraina sembra riportare indietro la storia militare di quasi 80 anni dove è la fanteria ad avere il peso maggiore, abbiamo visto in questo conflitto per la prima volta l’utilizzo della “Cyberwar” come arma; come un bombardamento può mettere fuori uso le infrastrutture di un paese allo stesso modo un cyber-attacco può paralizzare aeroporti, treni e comunicazioni.

Il 24 febbraio l’aggressione della Russia all’Ucraina era stato anticipato da un attacco tramite un malware che aveva cancellato i computer di una banca ucraina e di un'agenzia governativa. Ma gli attacchi informatici alle strutture amministrative ed economiche ucraine erano iniziati già prima dell'invasione militare: il governo di Zelensky aveva segnalato un cyber-attacco il 14 gennaio che aveva preso di mira i siti web del ministero degli esteri del paese, il gabinetto dei ministri e i consigli della difesa. Un mese dopo i responsabili della cybersecurity ucraine hanno segnalato un attacco DDoS¹ contro due delle maggiori banche del paese, PrivatBank e Oschadbank.

Affianco agli attacchi “ufficiali” portati avanti da entrambi i contendenti (anche l’Ucraina tramite una trentina di  gruppi di Hacker porta avanti una sua guerra informatica alla Russia) si sono schierati gruppi di hacktivisti² come Anonymous che, il 26 febbraio ha dichiarato di essere sceso in guerra contro la Russia, creano danni e disservizi come l’Hackeraggio della TV russa con la trasmissione di immagini della guerra o il furto di 35 mila file della banca centrale russa  contenente anche contratti segreti; un'azione che ha bloccato il traffico ferroviario in Bielorussia, nazione che appoggia esplicitamente la Russia sia logisticamente che militarmente, è stata rivendicata dai un gruppo hacker.
Affianco a questi attacchi che creano disservizi gli attacchi informatici hanno anche una funzione più diretta nel conflitto: a quanto si è appreso le truppe russe in territorio ucraino non hanno sistemi di comunicazione radio criptati e sono state divulgate le frequenze e le istruzioni necessarie a intercettare gli ordini provenienti dalla catena di comando e le comunicazioni tra le truppe sul campo.

Ma in Italia siamo pronti ad affrontare una guerra informatica?
Il 23 marzo un attacco ransomware ha colpito Trenitalia bloccando la vendita dei biglietti nelle stazioni, nelle biglietterie e self service. Anche se l'attacco hacker sembra essere opera della gang di hacker russo-bulgaro Hive non si sa ancora se sia collegato alla guerra Russo-Ucraina, ma ci mostra la fragilità delle nostre strutture.
Questa fragilità era già stata notata nel luglio del 2021 quando il CED e i servizi informatici della Regione Lazio hanno subito un attacco ransomware³ anche se in quel caso non si è trattato di un attacco informatico mirato (a differenza di quanto ha più volte dichiarato il presidente della Regione Lazio Zingaretti) ma di un ransomware che è entrato nel sistema a causa della “svista” di un dipendente della regione in Smart working.
A tal riguardo risulta interessante e preoccupante al tempo stesso il rapporto Cert-Agid sulla sicurezza dei siti pubblici del dicembre 2020 che dice quanto i nostri dati affidati alle PA locali siano a rischio. Da questa ricerca risulta che 445 (2%) portali istituzionali risultano senza HTTPS abilitato; 13.297 (67%) di questi portali hanno gravi problemi di sicurezza; 4.510 (22%) hanno un canale HTTPS mal configurato; mentre solo 1.766 (9%) utilizzano un canale HTTPS sicuro. Quasi il 50% dei siti monitorati anziché utilizzare soluzioni ad hoc si affidano a dei CSM che non sempre sono aggiornati all’ultima versione.
Se affianco a questi problemi strutturali mettiamo anche il fatto che molti dei dipendenti pubblici non hanno alcuna conoscenza sulla sicurezza informatica e si comportano con superficialità come nel caso sopra citato dell’attacco ramsomware alla Regione Lazio il quadro generale che si presenta è quello di un possibile colabrodo.

L’ Agenzia per l'Italia digitale (AGID) ha emanato una serie di misure minime di sicurezza per le pubbliche amministrazioni che andrebbero attuate. A seconda della complessità del sistema informativo a cui si riferiscono e della realtà organizzativa dell’Amministrazione, le misure minime possono essere implementate in modo graduale seguendo tre livelli di attuazione: minimo, standard, avanzato.
Il livello minimo è quello al quale ogni Pubblica Amministrazione, indipendentemente dalla sua natura e dimensione, deve necessariamente essere o rendersi conforme; quello standard è il livello che ogni amministrazione deve considerare come base di riferimento in termini di sicurezza e rappresenta la maggior parte delle realtà della PA italiana; infine il livello avanzato deve essere adottato dalle organizzazioni maggiormente esposte a rischi in base alla criticità delle informazioni trattate o dei servizi erogati, ma deve anche essere visto come l’obiettivo di miglioramento da parte di tutte le altre organizzazioni. È importante sottolineare che sebbene queste linee guida risalgono al 2017 il rapporto Cert-Agid sulla sicurezza dei siti pubblici è del 2020 e mostra quindi quanto sia ancora molto il lavoro da fare.
Per ultimo bisogna inserire nelle nostre considerazioni sulla sicurezza informatica italiana anche il recente dibattito sull’aumento delle spese militari in Italia: da quanto riportato da Adolfo Urso, presidente del Copasir, "Più spese per la difesa servono anche alla cybersecurity".
In diverse Relazioni il Comitato parlamentare per la sicurezza della Repubblica ha documentato al Parlamento come la Russia fosse diventata un Paese molto attrezzato nella sfera cibernetica e quanto fosse importante la difesa cyber, indicando la necessità di estendere il “golden power”⁴ al sistema delle telecomunicazioni e la necessità di realizzare un perimetro nazionale sulla sicurezza cibernetica. Questi due obiettivi sono stati raggiunti mentre a giugno 2021 è stata realizzata l’Agenzia nazionale cibernetica (un risultato purtroppo arrivato con dieci anni di ritardo rispetto a Paesi come la Francia e la Germania).
Una parte dell’aumento delle spese previste per la difesa andrebbero quindi a finanziare l’Agenzia nazionale cibernetica dato che, come abbiamo visto, la Cyberwar è pericolosa come una guerra normale.

Se nelle aziende private il problema della sicurezza informatica è sentita da tempo, tanto che gli investimenti sono sempre più sostanziosi e riguardano anche la formazione del personale, lo stesso non vale per la pubblica amministrazione dove spesso mancano le competenze e la reale percezione del pericolo che rappresenta. Affianco a questo stiamo assistendo a prese di posizione ideologiche che impediscono l’attuazione di un vero piano di sicurezza a livello nazionale.
Anche se non si potrà mai avere una sicurezza informatica al 100% ma cercare di limitare i danni è diventato oggi non più un opzione ma un obbligo.

¹ Un attacco DDoS (Distributed Denial of Service) è un'arma di sicurezza informatica mirata a interrompere le operazioni di servizio o ad estorcere denaro da organizzazioni mirate. Gli attacchi possono essere guidati da politica, religione, competizione o profitto. Un attacco DDoS è una versione distribuita di un attacco Denial of Service (DoS) con lo scopo di interrompere le operazioni aziendali. Questo attacco utilizza un grande volume di traffico per sovraccaricare le normali operazioni di interconnessione di servizio, server o rete, rendendole non disponibili. Gli attacchi DoS interrompono un servizio mentre gli attacchi distribuiti (DDoS) sono eseguiti su scala molto più ampia, con la conseguente chiusura di intere infrastrutture e servizi scalabili (servizi Cloud).

² L’hacktivismo è una forma di attivismo digitale non violento, il cui scopo principale non è legato a interessi economici personali. Gli Hacktivisti con le loro campagne mirano a obiettivi politici, sociali o anche religiosi in linea con la causa propugnata da ciascun gruppo di appartenenza.

³ I ransomware sono virus informatici che rendono inaccessibili i file dei computer infettati e chiedono il pagamento di un riscatto per ripristinarli.

⁴ Il golden power è uno strumento normativo, previsto in alcuni ordinamenti giuridici, che permette al Governo di un Paese sovrano di bloccare o apporre particolari condizioni a specifiche operazioni finanziarie, che ricadano nell'interesse nazionale

BIBLIOGRAFIA:

https://cert-agid.gov.it/news/monitoraggio-sul-corretto-utilizzo-del-protocollo-https-e-dei-livelli-di-aggiornamento-delle-versioni-dei-cms-nei-portali-istituzionali-della-pa/
https://sog.luiss.it/sites/sog.luiss.it/files/Policy_paper_print.pdf
https://www.agid.gov.it/it/sicurezza/misure-minime-sicurezza-ict
https://www.gazzettaufficiale.it/eli/id/2017/05/05/17A03060/sg