Da qualche tempo mi arrivano segnalazioni in merito al correttezza dell’uso del termine hacker che, a detta di molti avrebbe un’accezione positiva. Cerchiamo di affrontare l’argomento assieme e vediamo cosa possiamo scoprire.
Hacker: chi era e chi è diventato
Hacker è un termine che deriva dal verbo inglese to hack che significa essenzialmente tagliare, fare a pezzi ma è un termine che nel tempo ha assunto gradualmente un significato diverso e più specifico nel settore informatico. Prima di arrivare a questo ultimo significato è necessario comprendere un po’ meglio chi sia l’hacker.
Il termine si è diffuso intorno alla metà del XX secolo e identificava informatici con particolari abilità in grado di riconoscere e rilevare falle nella sicurezza di infrastrutture, servizi e sistemi. Queste falle venivano poi pubblicamente comunicate al fine di migliorare la condizione complessiva del panorama informatico ed erano, di base, azioni etiche. La figura dell’hacker quindi era legata ad un’etica, ad una professionalità che non prevedeva il dolo.
C’è un bellissimo articolo sul sito Help Net Security chiamato “The History of Hacking” in cui si spiega che:
It all began in the 1960s at MIT, origin of the term “hacker”, where extremely skilled individuals practiced hardcore programming in FORTRAN and other older languages. Some may ignorantly dub them “nerds” or “geeks” but these individuals were, by far, the most intelligent, individual, and intellectually advanced people who happen to be the pioneers and forefathers of the talented individuals that are today the true hackers.
Tutto ebbe inizio negli anni ’60 al MIT, all’origine del termine “hacker”, dove individui estremamente qualificati praticavano la programmazione hardcore in FORTRAN e altri linguaggi più vecchi. Alcuni potrebbero soprannominarli ignorantemente “nerd” o “smanettoni”, ma questi individui erano, di gran lunga, le persone più intelligenti, individuali e intellettualmente avanzate che capita di essere i pionieri e gli antenati degli individui di talento che sono oggi i veri hacker.
Fonte: “The History of Hacking”, Help Net Security (LINK) – Trazione Google Translator
Lo sviluppo dell’informatica ha prodotto un radicale cambiamento nel panorama dell’hacking modificando il significato del termine fino a quello odierno; il Cambridge Dictionary oggi definisce il termine hacker come segue:
A person who illegally gains access to information stored in other people’s computers.
Fonte: Cambridge Dictionary (LINK)
La Treccani propone una storia in linea con quella sopra raccontata dal portale Help Net Security:
In informatica, in particolare con riferimento alla rete Internet, esperto di programmazione e di reti telematiche che, perseguendo l’obiettivo di democratizzare l’accesso all’informazione e animato da princìpi etici, opera per aumentare i gradi di libertà di un sistema chiuso e insegnare ad altri come mantenerlo libero ed efficiente. Il termine, originatosi a cavallo degli anni 1960 al MIT di Boston, è passato nei decenni successivi a designare una vera e propria cultura, il cui percorso fu coevo a quello di internet che gli h. stessi contribuirono a sviluppare, e tra i cui esponenti di spicco vanno citati i padri fondatori del movimento del software libero e dell’open source R. Stallman e B. Perens. Sebbene generalmente si tenda a confondere gli h. con i pirati informatici, o crackers, il cui scopo è danneggiare un sistema informatico, quest’ultimo termine, dal valore fortemente spregiativo, è stato invece coniato dagli h. stessi per definire chi non abbia rispetto delle proprie abilità informatiche. In relazione agli scopi perseguiti, si distinguono tre differenti categorie di h.: white hat hacker, il cui operato corrisponde a un rigoroso rispetto dell’etica h.; black hat hacker, chi violi illegalmente sistemi informatici con o senza vantaggi personali; grey hat hacker, l’h. cui non siano applicabili queste distinzioni o che passi facilmente dall’una all’altra categoria.
Fonte: Treccani (LINK)
L’Hacker oggi
L’hacker è un termine contenitore che, al suo interno, raccoglie tantissime sotto-culture: dai pericolosissimi cracker (che corrompono l’integrità dei sistemi informatici), ai security researcher che non hanno finalità dolose ma di analisi e studio delle potenziali falle di sicurezza. La CISA (Cybersecurity & Infrastructure Security Agency), l’agenzia governativa americana, ha elencato le tipologie di sotto-culture associate al termine hacker e per ciascuna ha provato a dare una descrizione:
- Script kiddies are unskilled attackers who do NOT have the ability to discover new vulnerabilities or write exploit code, and are dependent on the research and tools from others. Their goal is achievement. Their sub-goals are to gain access and deface web pages.
- Worm and virus writers are attackers who write the propagation code used in the worms and viruses but not typically the exploit code used to penetrate the systems infected. Their goal is notoriety. Their sub-goals are to cause disruption of networks and attached computer systems.
- Security researcher and white hat have two sub-categories; bug hunters and exploit coders. Their goal is profit. Their sub-goals are to improve security, earn money, and achieve recognition with an exploit.
- Professional hacker-black hat who gets paid to write exploits or actually penetrate networks; also falls into the two sub-categories-bug hunters and exploit coders. Their goal is profit.
La stessa CISA ha provato a fornire una descrizione del termine hacker dimostrando come, nonostante possa includere numerosi professionisti del settore, solo una piccola parte possa essere ritenuta realmente “dannosa” per le infrastrutture a livello nazionale:
Although the most numerous and publicized cyber intrusions and other incidents are ascribed to lone computer-hacking hobbyists, such hackers pose a negligible threat of widespread, long-duration damage to national-level infrastructures. The large majority of hackers do not have the requisite tradecraft to threaten difficult targets such as critical U.S. networks and even fewer would have a motive to do so. Nevertheless, the large worldwide population of hackers poses a relatively high threat of an isolated or brief disruption causing serious damage, including extensive property damage or loss of life. As the hacker population grows, so does the likelihood of an exceptionally skilled and malicious hacker attempting and succeeding in such an attack
Sebbene le intrusioni informatiche e gli altri incidenti più numerosi e pubblicizzati siano attribuiti a solitari appassionati di hacker di computer, tali hacker rappresentano una minaccia trascurabile di danni diffusi e di lunga durata alle infrastrutture a livello nazionale. La grande maggioranza degli hacker non ha le abilità commerciali necessarie per minacciare obiettivi difficili come le reti critiche degli Stati Uniti e ancora meno avrebbero un motivo per farlo. Tuttavia, la vasta popolazione mondiale di hacker rappresenta una minaccia relativamente alta di un’interruzione isolata o breve che causa gravi danni, inclusi ingenti danni alla proprietà o morte. Con l’aumentare della popolazione degli hacker, aumenta anche la probabilità che un hacker eccezionalmente qualificato e malintenzionato tenti e riesca a portare a termine un tale attacco.
Fonte: CISA (link) – Traduzione Google Translator
Oggi, quindi, il significato della parola hacker ha cambiato radicalmente il suo significato assumendo prevalentemente un valore più negativo che positivo e questo non dovrebbe sorprendere perché “la lingua non deve essere un museo” come afferma la linguista Vera Gheno.
Nel frattempo la giurisprudenza e le istituzioni hanno scelto
La CISA adotta il termine hacker con valenza “negativa” come dimostrato precedentemente, il CSIRT descrive l’hacker come segue:
Il termine hacker si riferisce a qualunque individuo particolarmente capace ed esperto di informatica che utilizza le sue conoscenze tecniche al fine di risolvere un problema. In tempi più recenti, il termine è stato associato al “security hacker”, che sfrutta le sue competenze per compiere azioni illecite in danno o attraverso sistemi informatici. Di solito vengono suddivisi in black e white hat, a seconda che siano hacker “cattivi” o “buoni”.
Fonte: CSIRT (LINK)
Lo stesso fa l’EPDB (il Garante Europeo), che nelle sue “Guidelines 01/2021 on Examples regarding Data Breach Notification” descrive numerose modalità per tutelarsi dagli attacchi hacker (ad es.:”Organizational and technical measures for preventing / mitigating the impacts of hacker attacks”)
Ma è la stessa CISA a riorganizzare alcune informazioni contenute nella NIST 800-82 “Guide to Supervisory Control and Data Acquisition (SCADA) and Industrial Control System Security (SME draft)” riportando in una tabella le principali criticità.
La traduzione automatica della minaccia “Hackers” descritta all’interno della tabella è:
Gli hacker irrompono nelle reti per il brivido della sfida o per vantarsi nella comunità degli hacker. Mentre il cracking remoto una volta richiedeva una buona dose di abilità o conoscenza del computer, gli hacker ora possono scaricare script e protocolli di attacco da Internet e lanciarli contro i siti delle vittime. Pertanto, mentre gli strumenti di attacco sono diventati più sofisticati, sono anche diventati più facili da usare. Secondo la Central Intelligence Agency, la grande maggioranza degli hacker non ha le competenze necessarie per minacciare obiettivi difficili come le reti statunitensi critiche. Tuttavia, la popolazione mondiale di hacker rappresenta una minaccia relativamente alta di un’interruzione isolata o breve che causa gravi danni.
Fonte: CISA (LINK), Traduzione: Google Translator
Conclusioni
La diatriba sulla valenza positiva o negativa del termine hacker rischia di essere poco interessanti: le condizioni che richiedono una fraseologia più specifica (perizie, documenti tecnici, etc…) possono fare utilizzo di termini più accurati (spammers, crackers, ingegneri sociali, etc…). Il termine hacker va quindi contestualizzato ma è comunque idoneo ad essere usato sia in contesti dolosi, che in contesti etici. La nascita di sottoculture, raggruppamenti e categorizzazioni verrà quindi in ausilio tutte le volte che ci sarà la necessità di chiarire meglio la tipologia di azione compiuta.
