TEDxMidAtlantic
Avi Rubin: All your devices can be hacked
Avi Rubin: Tutti gli apparecchi possono esser attaccati
Filmed:
Readability: 4.6
1,251,015 views
Qualcuno potrebbe attaccare il vostro pacemaker? A TEDxMidAtlantic Avi Rubin spiega come gli hacker compromettono auto, smartphone e apparecchi medici, e vi mette in guardia dai pericoli di un mondo sempre più attaccabile. (Filmato a TEDxMidAtlantic.)
Avi Rubin - Computer security expert
Avi Rubin is a professor of computer science and director of the Health and Medical Security Lab at Johns Hopkins University. His research is focused on the security of electronic records -- including medical and voting records. Full bio
Avi Rubin is a professor of computer science and director of the Health and Medical Security Lab at Johns Hopkins University. His research is focused on the security of electronic records -- including medical and voting records. Full bio
Double-click the English transcript below to play the video.
00:12
I'm a computer science professor,
0
588
3031
Sono professore di informatica,
00:15
and my area of expertise is
1
3619
2313
e la mia area di competenza è
00:17
computer and information security.
2
5932
2199
computer e sicurezza informatica.
00:20
When I was in graduate school,
3
8131
2320
Quand'ero all'università,
00:22
I had the opportunity to overhear my grandmother
4
10451
2601
ho avuto l'opportunità di sentire per caso mia nonna
00:25
describing to one of her fellow senior citizens
5
13052
4134
descrivere a uno dei cittadini della sua età
00:29
what I did for a living.
6
17186
2369
quello che facevo per vivere.
00:31
Apparently, I was in charge of making sure that
7
19555
3562
Apparentemente, avevo l'incarico di assicurarmi
00:35
no one stole the computers from the university. (Laughter)
8
23117
3900
che nessuno rubasse i computer dall'università.
(Risate)
(Risate)
00:39
And, you know, that's a perfectly reasonable thing
9
27017
2744
E sapete, è assolutamente ragionevole
00:41
for her to think, because I told her I was working
10
29761
1920
che lei pensasse ciò, perché le avevo detto che lavoravo
00:43
in computer security,
11
31681
1507
nella sicurezza informatica,
00:45
and it was interesting to get her perspective.
12
33188
3597
ed fu interessante vedere il suo punto di vista.
00:48
But that's not the most ridiculous thing I've ever heard
13
36785
2617
Ma non è la cosa più ridicola che io abbia
00:51
anyone say about my work.
14
39402
2017
sentito dire sul mio lavoro.
00:53
The most ridiculous thing I ever heard is,
15
41419
2284
La cosa più ridicola che io abbia mai sentito
00:55
I was at a dinner party, and a woman heard
16
43703
3134
è stata ad una serata in cui una donna ha sentito
00:58
that I work in computer security,
17
46837
1783
che lavoravo nella sicurezza informatica,
01:00
and she asked me if -- she said her computer had been
18
48620
3517
e mi chiese se -- disse che il suo computer era stato
01:04
infected by a virus, and she was very concerned that she
19
52137
3436
infettato da un virus, ed era molto preoccupata che
01:07
might get sick from it, that she could get this virus. (Laughter)
20
55573
3951
potesse ammalarsi anche lei, che potesse prendersi il virus.
(Risate)
(Risate)
01:11
And I'm not a doctor, but I reassured her
21
59524
2943
Io non sono un dottore, ma la rassicurai
01:14
that it was very, very unlikely that this would happen,
22
62467
3144
che era molto, molto improbabile che accadesse,
01:17
but if she felt more comfortable, she could be free to use
23
65611
2801
ma se si sentiva più sicura, poteva liberamente usare
01:20
latex gloves when she was on the computer,
24
68412
1848
guanti di gomma quand'era al computer,
01:22
and there would be no harm whatsoever in that.
25
70260
3392
e non ci sarebbe stato alcun pericolo.
01:25
I'm going to get back to this notion of being able to get
26
73652
2507
Tornerò su questo concetto di poter prendere
01:28
a virus from your computer, in a serious way.
27
76159
3508
un virus da un computer, in modo serio.
01:31
What I'm going to talk to you about today
28
79667
1640
Ciò di cui vi parlerò oggi
01:33
are some hacks, some real world cyberattacks that people
29
81307
4846
sono alcune violazioni, alcuni attacchi informatici del mondo reale che la gente
01:38
in my community, the academic research community,
30
86153
2554
nella mia comunità, la comunità della ricerca accademica,
01:40
have performed, which I don't think
31
88707
2794
ha realizzato, di cui non penso
01:43
most people know about,
32
91501
1208
molte persone siano a conoscenza,
01:44
and I think they're very interesting and scary,
33
92709
3028
e credo che sia molto interessante e spaventoso.
01:47
and this talk is kind of a greatest hits
34
95737
2441
Questo discorso è tra quelli di maggiore successo
01:50
of the academic security community's hacks.
35
98178
2991
tra gli attacchi della comunità accademica della sicurezza.
01:53
None of the work is my work. It's all work
36
101169
1987
Niente di tutto questo è lavoro mio.
È tutto lavoro
È tutto lavoro
01:55
that my colleagues have done, and I actually asked them
37
103156
2174
dei miei colleghi, e ho chiesto loro
01:57
for their slides and incorporated them into this talk.
38
105330
2557
le slide e le ho incluse nel mio discorso.
01:59
So the first one I'm going to talk about
39
107887
1742
La prima di cui parlerò
02:01
are implanted medical devices.
40
109629
2674
sono le apparecchiature mediche impiantate.
02:04
Now medical devices have come a long way technologically.
41
112303
3040
Le apparecchiature mediche hanno fatto grandi progressi tecnologici.
02:07
You can see in 1926 the first pacemaker was invented.
42
115343
3856
Il primo pacemaker è stato inventato nel 1926.
02:11
1960, the first internal pacemaker was implanted,
43
119199
3552
Nel 1960 è stato impiantato il primo pacemaker,
02:14
hopefully a little smaller than that one that you see there,
44
122751
2552
per fortuna un po' più piccolo di quello che vedete qui,
02:17
and the technology has continued to move forward.
45
125303
2968
e la tecnologia ha continuato ad avanzare.
02:20
In 2006, we hit an important milestone from the perspective
46
128271
4633
Nel 2006, raggiungiamo un importante traguardo dal punto di vista
02:24
of computer security.
47
132904
3167
della sicurezza informatica.
02:28
And why do I say that?
48
136071
1341
E perché dico questo?
02:29
Because that's when implanted devices inside of people
49
137412
2890
Perché in quel momento gli apparecchi impiantati nelle persone
02:32
started to have networking capabilities.
50
140302
2745
hanno cominciato ad essere collegati in rete.
02:35
One thing that brings us close to home is we look
51
143047
1880
Una cosa che ci avvicina a ciò a cui voglio arrivare è guardare
02:36
at Dick Cheney's device, he had a device that
52
144927
2705
l'apparecchio di Dick Cheney, aveva un apparecchio
02:39
pumped blood from an aorta to another part of the heart,
53
147632
3869
che pompava sangue dall'aorta ad un'altra parte del cuore,
02:43
and as you can see at the bottom there,
54
151501
1183
e come potete vedere qui in basso
02:44
it was controlled by a computer controller,
55
152684
3009
era controllato da un computer,
02:47
and if you ever thought that software liability
56
155693
2517
e se avete mai pensato che l'affidabilità del software
02:50
was very important, get one of these inside of you.
57
158210
3589
è molto importante, provate uno di questi su di voi.
02:53
Now what a research team did was they got their hands
58
161799
3695
Un gruppo di ricercatori ha messo le mani
02:57
on what's called an ICD.
59
165494
1420
su quello che si chiama un ICD.
02:58
This is a defibrillator, and this is a device
60
166914
2070
È un defibrillatore ed è uno strumento
03:00
that goes into a person to control their heart rhythm,
61
168984
4336
che viene impiantato per controllare il ritmo cardiaco,
03:05
and these have saved many lives.
62
173320
2338
e ha salvato molte vite.
03:07
Well, in order to not have to open up the person
63
175658
2472
Per non dover aprire la persona
03:10
every time you want to reprogram their device
64
178130
2194
ogni volta che l'apparecchio va riprogrammato
03:12
or do some diagnostics on it, they made the thing be able
65
180324
2455
o per fare un esame diagnostico, hanno fatto in modo
03:14
to communicate wirelessly, and what this research team did
66
182779
3102
che potesse comunicare wireless e questo gruppo di ricercatori ha fatto in modo
03:17
is they reverse engineered the wireless protocol,
67
185881
2610
di ricorrere al reverse engineering del protocollo wireless,
03:20
and they built the device you see pictured here,
68
188491
1872
e ha costruito un apparecchio che vedete qui,
03:22
with a little antenna, that could talk the protocol
69
190363
2760
con una piccola antenna, che poteva parlare nel protocollo
03:25
to the device, and thus control it.
70
193123
4475
dell'apparecchio e quindi controllarlo.
03:29
In order to make their experience real -- they were unable
71
197598
2689
Per rendere reale la loro esperienza -- non sono stati in grado
03:32
to find any volunteers, and so they went
72
200287
2472
di trovare volontari, così sono andati
03:34
and they got some ground beef and some bacon
73
202759
2144
a prendere della carne e del bacon,
03:36
and they wrapped it all up to about the size
74
204903
1788
hanno avvolto tutto nelle dimensioni
03:38
of a human being's area where the device would go,
75
206691
2798
della parte del corpo umano in cui sarebbe andato l'apparecchio,
03:41
and they stuck the device inside it
76
209489
1454
e hanno messo dentro l'apparecchio
03:42
to perform their experiment somewhat realistically.
77
210943
3132
per realizzare l'esperimento in maniera realistica.
03:46
They launched many, many successful attacks.
78
214075
3020
Hanno lanciato tanti, tanti attacchi con successo.
03:49
One that I'll highlight here is changing the patient's name.
79
217095
3056
Tra questi ne evidenzio uno che è stato quello di cambiare il nome del paziente.
03:52
I don't know why you would want to do that,
80
220151
993
Non so perché uno vorrebbe fare una cosa del genere,
03:53
but I sure wouldn't want that done to me.
81
221144
2104
sono sicuro che non vorrei fosse fatto a me.
03:55
And they were able to change therapies,
82
223248
2331
E sono stati capaci di cambiare i trattamenti,
03:57
including disabling the device -- and this is with a real,
83
225579
2495
compresa la disabilitazione dell'apparecchio -- e questo
04:00
commercial, off-the-shelf device --
84
228074
1896
con un apparecchio vero --
04:01
simply by performing reverse engineering and sending
85
229970
2046
semplicemente applicando il reverse engineering e mandandogli
04:04
wireless signals to it.
86
232016
2989
segnali wireless.
04:07
There was a piece on NPR that some of these ICDs
87
235005
3580
Hanno fatto un servizio sulla radio nazionale secondo cui questi ICD
04:10
could actually have their performance disrupted
88
238585
2422
l'attività degli ICD potrebbe essere interrotta
04:13
simply by holding a pair of headphones onto them.
89
241007
3651
semplicemente mettendoci sopra un paio di auricolari.
04:16
Now, wireless and the Internet
90
244658
1409
Il wireless e Internet
04:18
can improve health care greatly.
91
246067
1652
possono migliorare significativamente le cure sanitarie.
04:19
There's several examples up on the screen
92
247719
2087
Ci sono diversi esempi sullo schermo
04:21
of situations where doctors are looking to implant devices
93
249806
3107
di situazioni in cui i medici cercano di impiantare apparecchi
04:24
inside of people, and all of these devices now,
94
252913
2865
nelle persone, e tutti questi apparecchi
04:27
it's standard that they communicate wirelessly,
95
255778
3125
comunicano ormai regolarmente wireless,
04:30
and I think this is great,
96
258903
1412
e credo che sia fantastico,
04:32
but without a full understanding of trustworthy computing,
97
260315
3105
ma senza una piena comprensione di un'informatica affidabile,
04:35
and without understanding what attackers can do
98
263420
2407
e senza capire fin dall'inizio
04:37
and the security risks from the beginning,
99
265827
2147
quello che gli attacchi possono fare e i rischi alla sicurezza,
04:39
there's a lot of danger in this.
100
267974
2390
i pericoli sono elevati.
04:42
Okay, let me shift gears and show you another target.
101
270364
1477
Ok, andiamo avanti, vi mostro un'altra applicazione.
04:43
I'm going to show you a few different targets like this,
102
271841
2088
Vi mostrerò qualche obiettivo diverso, come questo,
04:45
and that's my talk. So we'll look at automobiles.
103
273929
2917
e questo è il mio discorso. Guardiamo le automobili.
04:48
This is a car, and it has a lot of components,
104
276846
2896
Questa è un'auto, ha tanti componenti
04:51
a lot of electronics in it today.
105
279742
1620
e c'è tanta elettronica nelle auto oggigiorno.
04:53
In fact, it's got many, many different computers inside of it,
106
281362
4377
Di fatto, contiene tanti computer diversi,
04:57
more Pentiums than my lab did when I was in college,
107
285739
3155
più Pentium di quanti ne avesse il mio laboratorio all'università.
05:00
and they're connected by a wired network.
108
288894
3639
e sono collegati da una rete via cavo.
05:04
There's also a wireless network in the car,
109
292533
3431
C'è anche una rete wireless nell'auto,
05:07
which can be reached from many different ways.
110
295964
3233
che si può raggiungere in diversi modi.
05:11
So there's Bluetooth, there's the FM and XM radio,
111
299197
3701
C'è il Bluetooth, c'è la radio FM e XM,
05:14
there's actually wi-fi, there's sensors in the wheels
112
302898
2820
c'è il wi-fi, ci sono i sensori sulle ruote
05:17
that wirelessly communicate the tire pressure
113
305718
2153
che comunicano wireless la pressione delle gomme
05:19
to a controller on board.
114
307871
1806
ad un dispositivo centrale.
05:21
The modern car is a sophisticated multi-computer device.
115
309677
4918
Le auto moderne sono un sofisticato apparecchio multi-computerizzato.
05:26
And what happens if somebody wanted to attack this?
116
314595
3322
E cosa succederebbe se qualcuno volesse attaccarlo?
05:29
Well, that's what the researchers
117
317917
1317
È quello che hanno fatto
05:31
that I'm going to talk about today did.
118
319234
1871
i ricercatori di cui vi parlerò oggi.
05:33
They basically stuck an attacker on the wired network
119
321105
2977
In sostanza hanno bloccato un attacco sulla rete via cavo
05:36
and on the wireless network.
120
324082
2322
e sulla rete wireless.
05:38
Now, they have two areas they can attack.
121
326404
2699
Ci sono due aree di attacco.
05:41
One is short-range wireless, where you can actually
122
329103
2038
Una è quella wireless a corto raggio, in cui si può
05:43
communicate with the device from nearby,
123
331141
1781
comunicare con l'apparecchio da una distanza ravvicinata,
05:44
either through Bluetooth or wi-fi,
124
332922
2137
tramite Bluetooth o wi-fi,
05:47
and the other is long-range, where you can communicate
125
335059
2174
e l'altro è a lungo raggio, in cui si può comunicare
05:49
with the car through the cellular network,
126
337233
1782
con l'auto attraverso la rete cellulare,
05:51
or through one of the radio stations.
127
339015
1960
o attraverso una stazione radio.
05:52
Think about it. When a car receives a radio signal,
128
340975
3049
Pensateci. Quando un'auto riceve un segnale radio,
05:56
it's processed by software.
129
344024
2201
viene elaborato da un software.
05:58
That software has to receive and decode the radio signal,
130
346225
3061
Quel software deve ricevere e decodificare il segnale radio,
06:01
and then figure out what to do with it,
131
349286
1119
e capire cosa farne,
06:02
even if it's just music that it needs to play on the radio,
132
350405
3024
anche se è solo musica che va trasmessa alla radio.
06:05
and that software that does that decoding,
133
353429
2268
E quel software che decodifica,
06:07
if it has any bugs in it, could create a vulnerability
134
355697
3093
se ha qualche falla, potrebbe creare una vulnerabilità
06:10
for somebody to hack the car.
135
358790
3035
e consentire a qualcuno di attaccare l'auto.
06:13
The way that the researchers did this work is,
136
361825
2952
I ricercatori hanno fatto in questo modo:
06:16
they read the software in the computer chips
137
364777
4223
hanno letto il software nei chip del computer
06:21
that were in the car, and then they used sophisticated
138
369000
3193
che sono nell'auto e hanno usato sofisticati strumenti
06:24
reverse engineering tools
139
372193
1414
di reverse engineering
06:25
to figure out what that software did,
140
373607
2055
per capire cosa ha fatto quel software,
06:27
and then they found vulnerabilities in that software,
141
375662
3041
e hanno trovato le vulnerabilità di quel software,
06:30
and then they built exploits to exploit those.
142
378703
3346
e le hanno sfruttate.
06:34
They actually carried out their attack in real life.
143
382049
2382
Hanno portato avanti l'attacco per davvero.
06:36
They bought two cars, and I guess
144
384431
1350
Hanno acquistato due auto, e mi sa
06:37
they have better budgets than I do.
145
385781
2918
che hanno budget più elevati dei miei.
06:40
The first threat model was to see what someone could do
146
388699
2590
Il primo modello di minaccia serviva per vedere cosa si poteva fare
06:43
if an attacker actually got access
147
391289
2144
se con un attacco si riusciva ad accedere
06:45
to the internal network on the car.
148
393433
2053
alla rete interna dell'auto.
06:47
Okay, so think of that as, someone gets to go to your car,
149
395486
2603
Ok, pensate a qualcuno che sale nella vostra auto,
06:50
they get to mess around with it, and then they leave,
150
398089
2904
fa un po' di disastri e poi se ne va,
06:52
and now, what kind of trouble are you in?
151
400993
2368
e ora in che pasticcio siete?
06:55
The other threat model is that they contact you
152
403361
2792
L'altro modello di minaccia è quando vi contattano
06:58
in real time over one of the wireless networks
153
406153
2457
in tempo reale su una delle reti wireless
07:00
like the cellular, or something like that,
154
408610
2055
come il cellulare, o qualcosa di simile,
07:02
never having actually gotten physical access to your car.
155
410665
4000
senza mai accedere fisicamente alla vostra auto.
07:06
This is what their setup looks like for the first model,
156
414665
2824
Questo è lo schema del primo modello,
07:09
where you get to have access to the car.
157
417489
1683
in cui dovete accedere all'auto.
07:11
They put a laptop, and they connected to the diagnostic unit
158
419172
3387
Mettono un portatile, e lo collegano all'unità diagnostica
07:14
on the in-car network, and they did all kinds of silly things,
159
422559
2939
sulla rete interna all'auto, e fanno cose stupide di qualunque tipo:
07:17
like here's a picture of the speedometer
160
425498
2783
questa è l'immagine del tachimetro
07:20
showing 140 miles an hour when the car's in park.
161
428281
2816
che mostra 230 km all'ora mentre l'auto è parcheggiata.
07:23
Once you have control of the car's computers,
162
431097
2373
Una volta preso il controllo del computer dell'auto,
07:25
you can do anything.
163
433470
919
si può fare di tutto.
07:26
Now you might say, "Okay, that's silly."
164
434389
1616
Potreste dire, "Ok, è ridicolo."
07:28
Well, what if you make the car always say
165
436005
1659
Beh, ma se facciamo in modo che l'auto
07:29
it's going 20 miles an hour slower than it's actually going?
166
437664
2741
segnali sempre 30 km all'ora meno della velocità effettiva?
07:32
You might produce a lot of speeding tickets.
167
440405
2542
Si potrebbero generare un sacco di multe per eccesso di velocità.
07:34
Then they went out to an abandoned airstrip with two cars,
168
442947
3856
Poi sono andati su una pista d'atterraggio abbandonata con due auto,
07:38
the target victim car and the chase car,
169
446803
2745
l'auto vittima come obiettivo e l'auto che insegue,
07:41
and they launched a bunch of other attacks.
170
449548
2746
e hanno lanciato tutta una serie di attacchi.
07:44
One of the things they were able to do from the chase car
171
452294
2766
Una delle cose che sono stati in grado di fare dall'auto che inseguiva
07:47
is apply the brakes on the other car,
172
455060
1974
è attivare i freni dell'altra auto,
07:49
simply by hacking the computer.
173
457034
1560
semplicemente attaccando il computer.
07:50
They were able to disable the brakes.
174
458594
2431
Sono stati in grado di disattivare i freni.
07:53
They also were able to install malware that wouldn't kick in
175
461025
3178
Sono stati anche in grado di installare un malware che non sarebbe
07:56
and wouldn't trigger until the car was doing something like
176
464203
2425
entrato in funzione fino a che la macchina non avesse fatto qualcosa come
07:58
going over 20 miles an hour, or something like that.
177
466628
3746
superare i 30 km all'ora, o una cosa simile.
08:02
The results are astonishing, and when they gave this talk,
178
470374
2758
I risultati sono sbalorditivi, e quando hanno fatto questo discorso
08:05
even though they gave this talk at a conference
179
473132
1716
anche se lo hanno fatto ad una conferenza
08:06
to a bunch of computer security researchers,
180
474848
1726
a una schiera di ricercatori sulla sicurezza informatica,
08:08
everybody was gasping.
181
476574
1700
tutti sono rimasti a bocca aperta.
08:10
They were able to take over a bunch of critical computers
182
478274
3699
Sono stati in grado di prendere il controllo di una serie di computer essenziali
08:13
inside the car: the brakes computer, the lighting computer,
183
481973
3761
all'interno dell'auto: il computer dei freni, il computer del sistema di illuminazione,
08:17
the engine, the dash, the radio, etc.,
184
485734
2827
il motore, il cruscotto, la radio, ecc...
08:20
and they were able to perform these on real commercial
185
488561
2293
e sono stati in grado di farlo solo tramite il sistema radio
08:22
cars that they purchased using the radio network.
186
490854
3027
su auto in commercio e regolarmente acquistate.
08:25
They were able to compromise every single one of the
187
493881
3003
Sono stati capaci di compromettere ogni singolo software
08:28
pieces of software that controlled every single one
188
496884
2466
che controllava ogni singola
08:31
of the wireless capabilities of the car.
189
499350
3015
funzione wireless dell'auto.
08:34
All of these were implemented successfully.
190
502365
2513
Sono state tutte realizzate con successo.
08:36
How would you steal a car in this model?
191
504878
2352
Come si può rubare un'auto in questo modello?
08:39
Well, you compromise the car by a buffer overflow
192
507230
3680
Beh, si compromette l'auto con un sovraccarico di vulnerabilità
08:42
of vulnerability in the software, something like that.
193
510910
2527
del buffer nel software, una cosa del genere.
08:45
You use the GPS in the car to locate it.
194
513437
2203
Si usa il GPS dell'auto per localizzarla.
08:47
You remotely unlock the doors through the computer
195
515640
2195
Si aprono le porte in remoto attraverso il computer
08:49
that controls that, start the engine, bypass anti-theft,
196
517835
3138
che lo controlla, si accende il motore, si supera l'antifurto,
08:52
and you've got yourself a car.
197
520973
1668
e vi siete fatti una macchina.
08:54
Surveillance was really interesting.
198
522641
2487
La sorveglianza era molto interessante.
08:57
The authors of the study have a video where they show
199
525128
3209
Gli autori dell studio hanno un video che li mostra
09:00
themselves taking over a car and then turning on
200
528337
2549
mentre prendono il controllo dell'auto e poi accendono
09:02
the microphone in the car, and listening in on the car
201
530886
2761
il microfono dell'auto e ascoltano quello che succede nell'auto
09:05
while tracking it via GPS on a map,
202
533647
3351
mentre la tracciano su una mappa tramite il GPS,
09:08
and so that's something that the drivers of the car
203
536998
1713
ed è una cosa che il conducente dell'auto
09:10
would never know was happening.
204
538711
2168
non verrà mai a sapere.
09:12
Am I scaring you yet?
205
540879
2134
Vi sto già spaventando?
09:15
I've got a few more of these interesting ones.
206
543013
1943
Ho ancora qualcosa di interessante.
09:16
These are ones where I went to a conference,
207
544956
1833
Queste risalgono ad una conferenza
09:18
and my mind was just blown, and I said,
208
546789
1933
in cui ero piuttosto fuori di testa e ho detto,
09:20
"I have to share this with other people."
209
548722
1826
"Devo condividere questa cosa con altre persone."
09:22
This was Fabian Monrose's lab
210
550548
1623
Questo era il laboratorio di Fabian Monroe
09:24
at the University of North Carolina, and what they did was
211
552171
3456
all'Università del Nord Carolina e quello che hanno fatto è stato
09:27
something intuitive once you see it,
212
555627
2075
una cosa intuitiva una volta che la vedete,
09:29
but kind of surprising.
213
557702
1714
ma abbastanza sorprendente.
09:31
They videotaped people on a bus,
214
559416
2259
Hanno registrato la gente su un autobus,
09:33
and then they post-processed the video.
215
561675
2840
e poi hanno rielaborato il video.
09:36
What you see here in number one is a
216
564515
2463
Quello che vedete qui nel numero uno è
09:38
reflection in somebody's glasses of the smartphone
217
566978
4383
il riflesso dello smartphone negli occhiali di una persona
09:43
that they're typing in.
218
571361
1425
che sta digitando.
09:44
They wrote software to stabilize --
219
572786
1975
Hanno scritto un software per stabilizzare --
09:46
even though they were on a bus
220
574761
1365
anche se erano su un autobus
09:48
and maybe someone's holding their phone at an angle --
221
576126
3211
e magari qualcuno sta tenendo il telefono con una certa angolatura --
09:51
to stabilize the phone, process it, and
222
579337
2370
per stabilizzare il telefono, elaborare e --
09:53
you may know on your smartphone, when you type
223
581707
1885
sapete, sul vostro smartphone, quando digitate
09:55
a password, the keys pop out a little bit, and they were able
224
583592
2939
una password, le lettere vengono un po' fuori --
e sono stati capaci
e sono stati capaci
09:58
to use that to reconstruct what the person was typing,
225
586531
2840
di usare questa cosa per ricostruire quello che la persona stava digitando,
10:01
and had a language model for detecting typing.
226
589371
4321
con un modello linguistico per rilevare la digitazione.
10:05
What was interesting is, by videotaping on a bus,
227
593692
2335
Quel che è interessante è che registrando su un autobus,
10:08
they were able to produce exactly what people
228
596027
2129
sono stati in grado di produrre esattamente quello che la gente
10:10
on their smartphones were typing,
229
598156
2151
stava digitando sullo smartphone,
10:12
and then they had a surprising result, which is that
230
600307
2260
e hanno ottenuto un risultato sorprendente, ossia
10:14
their software had not only done it for their target,
231
602567
2764
che il software non l'ha fatto unicamente per i loro obiettivi,
10:17
but other people who accidentally happened
232
605331
1403
ma su altre persone che accidentalmente
10:18
to be in the picture, they were able to produce
233
606734
2086
erano in quell'immagine.
Sono stati in grado di riprodurre
Sono stati in grado di riprodurre
10:20
what those people had been typing, and that was kind of
234
608820
2727
quello che la gente digitava ed è stato un artefatto accidentale
10:23
an accidental artifact of what their software was doing.
235
611547
3617
di quello che faceva il software.
10:27
I'll show you two more. One is P25 radios.
236
615164
4303
Ve ne mostro altre due.
Uno sono le radio P25.
Uno sono le radio P25.
10:31
P25 radios are used by law enforcement
237
619467
2800
Le radio P25 vengono usate dalle forze dell'ordine,
10:34
and all kinds of government agencies
238
622267
3407
da qualsiasi tipo di agenzia governativa
10:37
and people in combat to communicate,
239
625674
1736
e in situazioni di combattimento per comunicare.
10:39
and there's an encryption option on these phones.
240
627410
2833
C'è un'opzione di criptaggio su questi telefoni.
10:42
This is what the phone looks like. It's not really a phone.
241
630243
2728
Ecco come appare il telefono.
Non è proprio un telefono.
Non è proprio un telefono.
10:44
It's more of a two-way radio.
242
632971
1206
È più una radio a due vie.
10:46
Motorola makes the most widely used one, and you can see
243
634177
3322
Motorola fabbrica quella più utilizzata,
e vedete
e vedete
10:49
that they're used by Secret Service, they're used in combat,
244
637499
2649
che vengono usate dai servizi segreti,
vengono usate in combattimento.
vengono usate in combattimento.
10:52
it's a very, very common standard in the U.S. and elsewhere.
245
640148
3102
È uno standard molto, molto comune negli Stati Uniti e altrove.
10:55
So one question the researchers asked themselves is,
246
643250
2305
Allora una domanda che si pongono i ricercatori è,
10:57
could you block this thing, right?
247
645555
2704
questo apparecchio si può bloccare?
11:00
Could you run a denial-of-service,
248
648259
1583
Si può bloccare il servizio,
11:01
because these are first responders?
249
649842
1824
perché questi sono ricevitori?
11:03
So, would a terrorist organization want to black out the
250
651666
1801
Un'organizzazione terroristica vorrebbe oscurare
11:05
ability of police and fire to communicate at an emergency?
251
653467
4488
la capacità della polizia e dei pompieri di comunicare in caso di emergenza?
11:09
They found that there's this GirlTech device used for texting
252
657955
3072
Hanno scoperto che c'è un apparecchio tecnologico per le bambine utilizzato per i messaggi
11:13
that happens to operate at the same exact frequency
253
661027
2718
che guarda caso opera esattamente sulla stessa frequenza
11:15
as the P25, and they built what they called
254
663745
2271
del P25, e hanno costruito una cosa chiamata
11:18
My First Jammer. (Laughter)
255
666016
4334
Il Mio Primo Jammer.
(Risate)
(Risate)
11:22
If you look closely at this device,
256
670350
2378
Se osservate attentamente questo apparecchio,
11:24
it's got a switch for encryption or cleartext.
257
672728
3630
ha un interruttore per criptare o lasciare in chiaro il messaggio.
11:28
Let me advance the slide, and now I'll go back.
258
676358
3050
Vado avanti con la slide, e ora torno indietro.
11:31
You see the difference?
259
679408
2547
Vedete la differenza?
11:33
This is plain text. This is encrypted.
260
681955
2557
Questo è il testo normale. Questo è criptato.
11:36
There's one little dot that shows up on the screen,
261
684512
2557
Viene mostrato un puntino sullo schermo,
11:39
and one little tiny turn of the switch.
262
687069
2085
e basta girare l'interruttore.
11:41
And so the researchers asked themselves, "I wonder how
263
689154
1904
Così i ricercatori si sono chiesti,
"Mi domando
"Mi domando
11:43
many times very secure, important, sensitive conversations
264
691058
4257
quante volte conversazioni molto sicure, importanti e sensibili
11:47
are happening on these two-way radios where they forget
265
695315
1623
si svolgono su queste radio a due vie in cui si dimentica
11:48
to encrypt and they don't notice that they didn't encrypt?"
266
696938
2910
di criptare e senza rendersi conto di non aver criptato."
11:51
So they bought a scanner. These are perfectly legal
267
699848
3339
Quindi hanno comprato uno scanner.
Questi sono perfettamente legali
Questi sono perfettamente legali
11:55
and they run at the frequency of the P25,
268
703187
3458
e girano sulla frequenza del P25,
11:58
and what they did is they hopped around frequencies
269
706645
1767
e quello che hanno fatto è saltare da una frequenza all'altra
12:00
and they wrote software to listen in.
270
708412
2510
e hanno scritto un software per ascoltare.
12:02
If they found encrypted communication, they stayed
271
710922
2634
Se trovavano comunicazioni criptate, rimanevano
12:05
on that channel and they wrote down, that's a channel
272
713556
1686
su quella frequenza e scrivevano, è un canale
12:07
that these people communicate in,
273
715242
1788
su cui la gente comunica,
12:09
these law enforcement agencies,
274
717030
1622
queste forze dell'ordine,
12:10
and they went to 20 metropolitan areas and listened in
275
718652
3391
e sono andati in 20 aree metropolitane e hanno ascoltato
12:14
on conversations that were happening at those frequencies.
276
722043
3475
le conversazioni su quelle frequenze.
12:17
They found that in every metropolitan area,
277
725518
3239
Hanno scoperto che in ogni area metropolitana,
12:20
they would capture over 20 minutes a day
278
728757
2154
riuscivano a catturare più di 20 minuti al giorno
12:22
of cleartext communication.
279
730911
2375
di comunicazioni in chiaro.
12:25
And what kind of things were people talking about?
280
733286
2000
E che tipo di discorsi faceva la gente?
12:27
Well, they found the names and information
281
735286
1484
Hanno scoperto nomi e informazioni
12:28
about confidential informants. They found information
282
736770
2852
su informatori confidenziali.
Hanno scoperto informazioni
Hanno scoperto informazioni
12:31
that was being recorded in wiretaps,
283
739622
2202
che venivano registrate da microspie,
12:33
a bunch of crimes that were being discussed,
284
741824
2710
una serie di crimini di cui si discuteva,
12:36
sensitive information.
285
744534
1162
informazioni sensibili.
12:37
It was mostly law enforcement and criminal.
286
745696
3363
Erano perlopiù forze dell'ordine e criminali.
12:41
They went and reported this to the law enforcement
287
749059
1834
Sono andati a segnalarlo alle forze dell'ordine,
12:42
agencies, after anonymizing it,
288
750893
2023
dopo averle rese anonime,
12:44
and the vulnerability here is simply the user interface
289
752916
3000
e la vulnerabilità qui è semplicemente dovuta ad un'interfaccia utente
12:47
wasn't good enough. If you're talking
290
755916
1394
mal progettata.
Se parlate
Se parlate
12:49
about something really secure and sensitive, it should
291
757310
2816
di qualcosa di veramente sicuro e sensibile,
12:52
be really clear to you that this conversation is encrypted.
292
760126
3293
dovrebbe essere assolutamente chiaro che la conversazione è criptata.
12:55
That one's pretty easy to fix.
293
763419
1886
Questo è abbastanza facile da sistemare.
12:57
The last one I thought was really, really cool,
294
765305
1669
L'ultimo che penso sia veramente fantastico,
12:58
and I just had to show it to you, it's probably not something
295
766974
2813
e dovevo assolutamente mostrarvelo,
probabilmente non è una cosa
probabilmente non è una cosa
13:01
that you're going to lose sleep over
296
769787
1005
su cui perderete il sonno
13:02
like the cars or the defibrillators,
297
770792
1791
come le auto o i defibrillatori.
13:04
but it's stealing keystrokes.
298
772583
3023
ll furto della digitazione.
13:07
Now, we've all looked at smartphones upside down.
299
775606
2747
Abbiamo tutti guardato i telefoni a rovescio.
13:10
Every security expert wants to hack a smartphone,
300
778353
2190
Qualunque esperto di sicurezza vorrebbe violare uno smartphone,
13:12
and we tend to look at the USB port, the GPS for tracking,
301
780543
4612
e tendiamo a guardare la porta USB, il GPS per il tracciamento,
13:17
the camera, the microphone, but no one up till this point
302
785155
3208
la telecamera, il microfono, ma nessuno fino ad ora
13:20
had looked at the accelerometer.
303
788363
1580
aveva guardato l'accelerometro.
13:21
The accelerometer is the thing that determines
304
789943
1647
L'accelerometro è quella cosa che determina
13:23
the vertical orientation of the smartphone.
305
791590
3494
l'orientamento verticale dello smartphone.
13:27
And so they had a simple setup.
306
795084
1417
Quindi hanno fatto un semplice intervento.
13:28
They put a smartphone next to a keyboard,
307
796501
2758
Hanno messo uno smartphone vicino a una tastiera,
13:31
and they had people type, and then their goal was
308
799259
2712
e la gente digitava.
L'obiettivo era
L'obiettivo era
13:33
to use the vibrations that were created by typing
309
801971
2856
usare le vibrazioni che si creavano dalla digitazione
13:36
to measure the change in the accelerometer reading
310
804827
4240
per misurare i cambiamenti nella lettura dell'accelerometro
13:41
to determine what the person had been typing.
311
809067
3176
per determinare quello che la persona stava digitando.
13:44
Now, when they tried this on an iPhone 3GS,
312
812243
2576
Quando lo hanno provato su un iPhone 3GS,
13:46
this is a graph of the perturbations that were created
313
814819
2769
questo è un grafico dei disturbi creati
13:49
by the typing, and you can see that it's very difficult
314
817588
3241
dalla digitazione, e potete vedere che è molto difficile
13:52
to tell when somebody was typing or what they were typing,
315
820829
3078
dire se qualcuno sta digitando o cosa sta digitando,
13:55
but the iPhone 4 greatly improved the accelerometer,
316
823907
3090
ma l'iPhone 4 ha migliorato decisamente l'accelerometro,
13:58
and so the same measurement
317
826997
3480
e quindi la stessa misura
14:02
produced this graph.
318
830477
1832
produce questo grafico.
14:04
Now that gave you a lot of information while someone
319
832309
2486
Vi fornisce un sacco di informazioni quando qualcuno
14:06
was typing, and what they did then is used advanced
320
834795
3241
sta digitando, e quello che hanno fatto poi è usare
14:10
artificial intelligence techniques called machine learning
321
838036
3007
una tecnica di intelligenza artificiale avanzata chiamata apprendimento automatico
14:13
to have a training phase,
322
841043
1431
per creare una fase di apprendimento,
14:14
and so they got most likely grad students
323
842474
2236
e hanno fatto digitare
14:16
to type in a whole lot of things, and to learn,
324
844710
3789
a studenti tutta una serie di cose,
14:20
to have the system use the machine learning tools that
325
848499
2768
e hanno fatto utilizzare l'apprendimento automatico al sistema
14:23
were available to learn what it is that the people were typing
326
851267
2863
per capire cosa stavano digitando le persone
14:26
and to match that up
327
854130
2827
e abbinarlo
14:28
with the measurements in the accelerometer.
328
856957
2477
alle misure dell'acceleromentro.
14:31
And then there's the attack phase, where you get
329
859434
1635
Poi c'è la fase di attacco, in cui si fa digitare qualcosa
14:33
somebody to type something in, you don't know what it was,
330
861069
2811
a qualcuno, senza sapere cosa,
14:35
but you use your model that you created
331
863880
1297
ma si usa il modello creato
14:37
in the training phase to figure out what they were typing.
332
865177
3442
in fase di apprendimento per scoprire cosa stanno digitando.
14:40
They had pretty good success. This is an article from the USA Today.
333
868619
3484
Ci sono riusciti abbastanza bene.
Questo è un articolo da USA Today.
Questo è un articolo da USA Today.
14:44
They typed in, "The Illinois Supreme Court has ruled
334
872103
2609
Hanno digitato, "La Corte Suprema dell'Illinois ha determinato
14:46
that Rahm Emanuel is eligible to run for Mayor of Chicago"
335
874712
2962
che Rahm Emanuel è eleggibile per la corsa a sindaco di Chicago."
14:49
— see, I tied it in to the last talk —
336
877674
1354
-- vedete, l'ho collegato all'ultimo discorso --
14:51
"and ordered him to stay on the ballot."
337
879028
2118
"e gli ho ordinato di rimanere per la votazione."
14:53
Now, the system is interesting, because it produced
338
881146
2771
Il sistema è interessante perché ha prodotto
14:55
"Illinois Supreme" and then it wasn't sure.
339
883917
2886
"Suprema dell'Illinois e poi non era sicuro.
14:58
The model produced a bunch of options,
340
886803
1950
Il modello ha prodotto una serie di opzioni,
15:00
and this is the beauty of some of the A.I. techniques,
341
888753
2709
e questa è la bellezza di alcune delle tecniche di Intelligenza Artificiale,
15:03
is that computers are good at some things,
342
891462
2250
cioè che i computer sono bravi in certe cose,
15:05
humans are good at other things,
343
893712
1534
gli esseri umani sono bravi in altre,
15:07
take the best of both and let the humans solve this one.
344
895246
1931
prendete il meglio di entrambi e lasciate che gli umani risolvano questo.
15:09
Don't waste computer cycles.
345
897177
1382
Non sprecate cicli di computer.
15:10
A human's not going to think it's the Supreme might.
346
898559
2136
Un umano non penserà mai che Supreme sia un'altra opzione.
15:12
It's the Supreme Court, right?
347
900695
1740
È la "Corte Suprema", giusto?
15:14
And so, together we're able to reproduce typing
348
902435
2530
Così, insieme siamo in grado di riprodurre la digitazione
15:16
simply by measuring the accelerometer.
349
904965
2949
semplicemente con le misure dell'accelerometro.
15:19
Why does this matter? Well, in the Android platform,
350
907914
3502
Perché ha importanza?
Sulla piattaforma Android,
Sulla piattaforma Android,
15:23
for example, the developers have a manifest
351
911416
4133
per esempio, gli sviluppatori hanno una regola
15:27
where every device on there, the microphone, etc.,
352
915564
2584
per cui ogni apparecchio, il microfono, ecc.,
15:30
has to register if you're going to use it
353
918148
1956
deve registrare se lo state usando
15:32
so that hackers can't take over it,
354
920104
2316
in modo che gli hacker non possano inserirsi,
15:34
but nobody controls the accelerometer.
355
922420
3108
ma nessuno controlla l'accelerometro.
15:37
So what's the point? You can leave your iPhone next to
356
925528
2216
Qual è il punto?
Potete lasciare l'iPhone vicino
Potete lasciare l'iPhone vicino
15:39
someone's keyboard, and just leave the room,
357
927744
2106
alla tastiera di qualcuno, e uscire dalla stanza,
15:41
and then later recover what they did,
358
929850
1639
e tornare e scoprire cosa ha fatto,
15:43
even without using the microphone.
359
931489
1711
anche senza usare il microfono.
15:45
If someone is able to put malware on your iPhone,
360
933200
2174
Se qualcuno è in grado di mettere un malware sul vostro iPhone
15:47
they could then maybe get the typing that you do
361
935374
2848
potrebbe forse scoprire cosa digitate
15:50
whenever you put your iPhone next to your keyboard.
362
938222
2321
ogni volta che mettete il vostro iPhone vicino alla tastiera,
15:52
There's several other notable attacks that unfortunately
363
940543
2271
Ci sono diversi altri attacchi degni di nota che sfortunatamente
15:54
I don't have time to go into, but the one that I wanted
364
942814
2131
non ho tempo di approfondire, ma quello che volevo
15:56
to point out was a group from the University of Michigan
365
944945
2277
sottolineare è un gruppo dell'Università del Michigan
15:59
which was able to take voting machines,
366
947222
2441
che è stato in grado di prendere le macchine per le votazioni
16:01
the Sequoia AVC Edge DREs that
367
949663
2498
le Sequoia AVC Edge DRE che
16:04
were going to be used in New Jersey in the election
368
952161
1555
che sarebbero state usate per le elezioni in New Jersey
16:05
that were left in a hallway, and put Pac-Man on it.
369
953716
2161
abbandonate in un corridoio, e metterci su Pac Man.
16:07
So they ran the Pac-Man game.
370
955877
3623
Ci hanno fatto girare sopra Pac Man.
16:11
What does this all mean?
371
959500
1747
Cosa significa?
16:13
Well, I think that society tends to adopt technology
372
961247
3647
Credo che la società tenda ad adottare la tecnologia
16:16
really quickly. I love the next coolest gadget.
373
964894
2824
molto rapidamente. Adoro i nuovi gadget.
16:19
But it's very important, and these researchers are showing,
374
967718
2614
Ma è molto importante, e questi ricercatori lo mostrano,
16:22
that the developers of these things
375
970332
1360
che gli sviluppatori di queste cose
16:23
need to take security into account from the very beginning,
376
971692
2865
prendano in considerazione la sicurezza fin dall'inizio,
16:26
and need to realize that they may have a threat model,
377
974557
2785
e devono rendersi conto che potrebbero avere uno schema delle minacce possibili,
16:29
but the attackers may not be nice enough
378
977342
2462
ma chi attacca potrebbe non essere tanto gentile
16:31
to limit themselves to that threat model,
379
979804
1777
da limitarsi a quello schema,
16:33
and so you need to think outside of the box.
380
981581
2537
quindi è necessario pensare fuori dagli schemi.
16:36
What we can do is be aware
381
984118
1578
Quello che possiamo fare è sapere
16:37
that devices can be compromised,
382
985696
2479
che gli apparecchi possono essere compromessi,
16:40
and anything that has software in it
383
988175
1699
e qualunque cosa abbia un software
16:41
is going to be vulnerable. It's going to have bugs.
384
989874
2649
sarà vulnerabile. Avrà delle falle.
16:44
Thank you very much. (Applause)
385
992523
3497
Grazie infinite.
(Applausi)
(Applausi)
ABOUT THE SPEAKER
Avi Rubin - Computer security expertAvi Rubin is a professor of computer science and director of the Health and Medical Security Lab at Johns Hopkins University. His research is focused on the security of electronic records -- including medical and voting records.
Why you should listen
Along with running the Health and Medical Security Lab, Avi Rubin is also the technical director of the JHU Information Security Institute. From 1997 to 2002, Avi was a researcher in AT&T’s Secure Systems Department, where he focused on cryptography and network security. He is also the founder of Harbor Labs, which provides expert testimony and review in legal cases related to high tech security. Avi has authored several books related to electronic security, including Brave New Ballot, published in 2006.
Avi Rubin | Speaker | TED.com