Hacker e Università colabrodo: eppure c’è il GARR!

E pensare che le Università sono (dovrebbero essere?) la culla della cultura informatica nazionale! LulzStorm le ha messe a nudo, con l’attacco di ieri. Ha umiliato atenei blasonati e di provincia, ha costretto tutti a non prendere più sottogamba la sicurezza delle reti. Eppure le Università italiane fanno parte del Consortium GARR, il cui “principale obiettivo è fornire connettività ad altissime prestazioni e servizi avanzati alla comunità scientifica e accademica italiana”. Eppure il GARR si mette a disposizione delle Università per offrire strumenti di sicurezza, come GARR-CERT e GARR-SCARR. Evidentemente il GARR è stato snobbato, e i consigli inascoltati.

LulzStorm ha avuto gioco facile con le Università italiane...

Così, proprio oggi, il GARR ha spedito centinaia di lettere come questa, a tutti gli atenei:

Cari Colleghi,

vi scrivo in merito alle compromissioni di siti universitari che sono state largamente pubblicizzate nelle ultime 24 ore. La maggior parte delle compromissioni sono avvenute utilizzando le seguenti applicazioni (probabilmente non aggiornate all’ultima versione):

– Joomla

– phpBB

– WordPress

Nel caso che utilizziate applicazioni di questo tipo, o simili, vorrei invitarvi tutti a verificare che siano aggiornate all’ultima revisione e a controllare che non esistano segni di intrusione (ovviamente non è detto che la lista delle università compromesse sia esaustiva).

Vi ricordo che il servizio GARR-CERT è a vostra disposizione per ogni eventuale aiuto e vi invito a considerare l’uso del servizio SCARR

(http://www.scarr.garr.it/) per verificare lo stato dei vostri server critici.

Insomma – si evince dalla lettera che questo blog ha ricevuto da buona fonte – l’attacco hacker sarebbe riuscito perché le piattaforme Joomla, phpBB e WordPress installate sui server delle Università violate non erano aggiornate. Sciatteria o scarsa manutenzione, si potrebbe dire.

Eppure GARR-CERT serve proprio a questo:

• assistere gli utenti nella gestione degli incidenti di sicurezza;
• rispondere alle segnalazioni di incidenti, avvertendo gli utenti coinvolti e seguendone gli sviluppi;
• diffondere informazioni sulle vulnerabilità più comuni e sugli strumenti di sicurezza da adottare;
• assistere gli utenti nel realizzare le misure preventive ritenute necessarie per ridurre a livelli accettabili il rischio di incidenti;
• emanare direttive sui requisiti minimi di sicurezza per le macchine con accesso alla rete, verificandone il rispetto;
• gestire corsi di aggiornamento tecnico, a tutti i livelli, e in particolare per utenti finali;
• mantenersi aggiornato allo stato dell’arte degli strumenti e metodologie per la sicurezza;
• provare strumenti esistenti, e svilupparne di nuovi per esigenze specifiche.

Mentre il compito di GARR-SCARR è questo:

“SCARR e’ un servizio per effettuare test di vulnerabilità sulle macchine della rete GARR. Il servizio consente a ogni APM di prenotare delle scansioni Nessus su IP o sottoreti della propria rete, ricevendo per posta elettronica un report dettagliato sui problemi riscontrati e suggerimenti per la loro risoluzione”.

Se si fosse tenuto conto di questi consigli e di questi strumenti, gli hacker LulzStorm avrebbero dovuto faticare molto di più, per penetrare le reti. E non è detto che ci sarebbero riusciti. D’altronde, lo hanno detto loro, nella (presunta) rivendicazione: “…Loro pensano di essere al sicuro, ma i loro siti sono pieni di debolezze. Italiani, come potete affidare i vostri dati a tali idioti? E’ uno scherzo? Cambiate password ragazzi; cambiate concetto di sicurezza, università”.

Per dirla con Alexander Moiseev, Amministratore Delegato di Kaspersky Lab Italia, “La sicurezza non è un optional. Risparmiare sulla sicurezza in rete è come risparmiare sui freni dell’auto, alla prima frenata improvvisa nascono i problemi”.