Hacker a bordo, per le compagnie nessun rischio dirottamento. Ma gli esperti: "I sistemi sono vulnerabili"

UN'ULTERIORE allerta dell'Fbi, ma pure della Transportation security administration statunitense, era arrivata un mese fa. Quando, fra l'altro, i federali statunitensi avevano già in mano l'indagine di cui oggi la Cnn rivela ulteriori dettagli sulla base di alcuni documenti giudiziari di cui è entrata in possesso. E cioè il complicato caso dell'esperto di cybersicurezza Chris Roberts, arrestato proprio in aprile all'aeroporto di Syracuse, Stato di New York, dopo alcuni tweet spediti mentre era su un volo United Airlines e in cui raccontava di poter per esempio sbloccare le maschere per l'ossigeno. Più in generale, la possibilità di penetrare i sistemi d'intrattenimento e tramite quelli conoscere e modificare informazioni delicatissime per la sicurezza del volo. Eventualità che, secondo quanto dichiarato nei successivi interrogatori, si sarebbe in effetti verificata una ventina di volte fra 2011 e 2015, senza contare un'altra situazione in cui avrebbe effettivamente assunto il controllo di un motore. Lo raccontano le informazioni contenute nella richiesta per un mandato di perquisizione depositato in una corte distrettuale newyorchese.

Era sempre la metà di aprile quando un rapporto del General accountability office, l'ufficio investigativo del Congresso statunitense, lanciava l'allarme sul rischio di attacco informatico ad alcuni dei modelli più recenti come il martoriato Boeing 787 Dreamliner, già al centro di diversi problemi di sicurezza, gli Airbus A380 e A350. In quegli approfondimenti, svolti fra il settembre 2013 e il marzo scorso, si parlava essenzialmente della connettività wi-fi e dell'uso di reti e tecnologie IP per la gestione dei vari sistemi di bordo destinati a cabine di pilotaggio e passeggeri. A studiare bene il caso Roberts, l'accesso sarebbe in realtà avvenuto grazie a un cavo Ethernet modificato che avrebbe collegato il suo laptop al Controller Area Network hackerando così le piattaforme Thales e Panasonic.

Sistemi di bordo a rischio, insomma, compresi quelli di allerta e navigazione. Questo racconta quel documento, prefigurando uno scenario inquietante dal quale, paradossalmente, rimarrebbero esclusi o comunque più al sicuro i modelli più vecchi, privi di alcuni meccanismi di comunicazione e gestione dei computer di bordo. Secondo le dichiarazioni di quattro esperti di cybersicurezza citati nel rapporto "i firewall a protezione di quei sistemi sono software che, come ogni programma, possono essere violati". Il Gao conclude raccomandando alla Federal aviation administration Usa di valutare l'introduzione di un sistema contro le minacce di questo genere, sviluppare un piano di standard tecnologici da verificare periodicamente e coinvolgere l'ufficio per la sicurezza, che si è mosso già da tempo, nel già esistente Comitato per la cybersicurezza. Insomma, più coordinamento fra le parti coinvolte.

I problemi riguardano anche intromissioni da remoto che potrebbero per esempio passare da un sito infettato da virus o malware in grado di prendere il controllo del laptop del passeggero trasformandolo in una macchina zombie con cui penetrare la rete di bordo. Un'altra indagine, stavolta risalente a un anno fa e firmata dall'europea Civil Air Navigation Services Organization, aveva già fatto il punto della situazione sulle minacce di questo genere, sottolineando la necessità di proteggere dati e informazioni di volo, dati sul tempo e sul traffico aereo, informazioni di posizione, navigazione e cronologia, dati meteorologici, comunicazioni vocali e automatiche, dati sullo stato del velivolo e dello scalo di partenza e arrivo. "La società si aspetta un elevato standard di sicurezza da parte del comparto dell'aviazione civile, questo livello determinerà la tendenza a utilizzare il trasporto aereo  -  si legge nel report, che tentava dunque di prefigurare scenari commerciali legati ai rischi  -  l'assenza di soglie elevate di sicurezza distruggerà la reputazione delle compagnie influenzando percezione e scelta dei clienti".
 
D'altronde, che queste minacce non siano da sottovalutare lo sanno benissimo anche i due principali concorrenti del mercato aeronautico, Airbus e Boeing. La seconda ha per esempio lanciato ben quattro anni fa in Maryland il Cyber Engagement Center, quartier generale dedicato alla ricerca di soluzioni innovative anche sulla base di alcune acquisizioni societarie degli ultimi anni negli ambiti di data analysis e sicurezza delle informazioni come eXMeritus e Kestrel. Airbus, che finora ha evitato ogni commento sulla vicenda Roberts  -  fra l'altro, l'esperto di Denver sostiene di sottoporre questioni del genere da anni tramite la sua società, la One World Lab, nel silenzio dei colossi dei cieli  -  aveva tuttavia risposto, insieme alla casa americana, di "rivedere e perfezionare costantemente" la propria architettura di rete sugli aerei. Boeing aveva ulteriormente precisato che i piloti possono fare affidamento su più di un sistema di navigazione: se anche un hacker riuscisse a comprometterne uno, al comandante rimarrebbero delle alternative. Ironia della sorte, l'Agenzia europea per la sicurezza aerea ha in programma un meeting sul tema proprio in settimana a Bruxelles.

Sempre lo scorso anno un altro ricercatore, Ruben Santamarta, aveva sostenuto esattamente le medesime tesi di Roberts. Cioè la possibilità di dirottare e prendere il controllo di un velivolo tramite i sistemi d'intrattenimento o la connettività Wi-Fi, specialmente quella via satellite o comunque mista con l'Air to ground, il sistema di antenne come quelle telefoniche di terra che porta la rete in volo. Molti di questi sistemi, sosteneva la scorsa estate Santamarta, sono "aperti" a ogni intromissione. Lo dimostrò, evidentemente solo in linea teorica, all'ultima convention Black Hat di Las Vegas lo scorso agosto illustrando i buchi individuati nei sistemi messia punto da produttori come Cobham, Harris Corp, Echostar Corp's Hughes Network Systems, Iridium Communications e Japan Radio. "Il nostro obiettivo  -  raccontò Santamarta  -  è aiutare a cambiare questa situazione". Prima di lui c'erano state diverse altre dimostrazioni di queste fragilità come quella di Hugh Teso, un altro esperto, anche pilota commerciale, alla conferenza Hack in the box di Amsterdam nel 2013.