Abbiamo spesso parlato di hacking, sottolineando anche e comunque che tutti i metodi utilizzabili eticamente possano essere messi in atto da black hat. Questo perché non è tanto la pratica dell’hacking a renderlo “buono” o “cattivo” ma la persona che si trova dietro al terminale. Questo post, come di prassi, presenta la materia in questione a scopo prettamente educativo e per aiutare l’utente a comprendere maggiormente l’importanza della sicurezza e della protezione dei propri dati.
Tendenzialmente ed erroneamente, l’hacking viene visto come qualcosa di veloce ed immediato: secondo l’immaginazione collettiva, un individuo, possibilmente malintenzionato, entra in un computer e magicamente ruba tutti i suoi dati, ma in realtà non è così semplice come sembra. Hackerare significa inserirsi in un sistema fatto di regole e passaggi logici e non acquistare in qualche sito nel Deep Web un malware (o virus) già preimpostato inviandolo randomicamente a vari indirizzi ed attendendo che qualcuno lo scarichi sul proprio pc. Nel mondo reale, e non virtuale, diremmo che tra un ladro di gioielli ed un topo da appartamento c’è una bella differenza o, se vogliamo, tra un esperto di sicurezza ed un rappresentante che vende impianti per la stessa. Paradossalmente da quanto si pensa, quindi, l’hacking fatto in modo serio richiede tempo e una particolare dose di pazienza.
Il primo passo che, generalmente, un hacker accorto o un esperto di sicurezza informatica mette in atto è il data gathering, ovvero la collezione dei dati, tra cui uno dei primi passi è il footprinting (che deriva dalla parola inglese footprint che significa orma), ovvero la collezione attiva e passiva d’informazioni relativa al proprio target o obiettivo. Le altre due fasi di cui ci occuperemo in un altro post futuro sono lo scanning e l’enumerazione. Durante il footprinting passivo verranno recuperate informazioni da fonti pubbliche e di facile accesso, mentre nel caso del footprinting attivo si ricorrerà, per esempio, all’ingegneria sociale (o social engineering – per una definizione più approfondita clicca qui).
Di norma queste specifiche riguardano la raccolta di vari indirizzi IP, nomi di entità, informazioni degli impiegati, nonché della struttura e del lavoro, se si tratta di un’azienda, numeri di telefono, sistema operativo utilizzato, web server, applicazioni, presenza di possibili vulnerabilità. Questi, come possiamo notare, sono dati che di norma vengono rilasciati facilmente e senza troppi problemi sia da privati che da altri tipi di enti ma che, in alcuni casi, possono risultare utili, soprattutto, per quanto riguarda l’ingegneria sociale; essi possono persino essere recuperati con delle ricerche mirate su motori di ricerca come google.com. Questo è anche uno dei motivi per cui è stata creata la normativa europea 2016/679 (consultabile qui) relativa alla protezione dei dati personali e che dal 25 maggio 2018 sarà applicata anche in Italia nella sua totalità: essa infatti tenta di indirizzare in qualche modo le aziende verso una protezione, archiviazione ed utilizzo dei dati sensibili più consapevole, invitandole così ad osservare la propria realtà, individuare i responsabili dei suddetti e i movimenti che tali dati subiscono.
Il footprinting aiuta, quindi, a farsi un’idea del proprio target e crearne un profilo della rete sociale e virtuale che lo circonda; esso si potrebbe paragonare ai giri di ricognizione che un ladro fa per capire chi sono e come le persone all’interno di una casa si muovono, le loro abitudini, gli orari che seguono, come è sviluppata la struttura all’interno dell’edificio, quali e dove sono i sistemi di allarme, etc. oppure, nel caso contrario, lo studio del perimetro da parte di un’azienda per individuare i punti migliori per installare dei sistemi di sicurezza e quali tipologie scegliere nello specifico contesto.
Ricordiamoci, però, che il footprinting non viene messo in atto solo come pratica per l’hacking etico o meno ma anche in altri contesti ed in forme differenti come, per esempio, nel caso delle campagne di marketing mirato le quali registrano le tracce lasciate dagli utenti per risalire ai loro interessi e fargli visualizzare contenuti a questi inerenti.
Vediamo quindi in linea generale quali sono i passi che vengono seguiti nel footprinting ricordandoci che persino l’informazione più inutile e sciocca potrebbe comunque servirci come pezzo per arricchire il nostro puzzle.
- Internet footprinting: il momento in cui il target è stato selezionato ci si approccia nel modo più semplice, ovvero cercando informazioni a cui chiunque può accedere come il link del suo sito web, contatti, indirizzi e-mail, sedi, clienti, et similia. Oggigiorno molte persone utilizzano, per avere informazioni oppure per impicciarsi degli affari altrui, i social network: Facebook, Twitter, Google+, LinkedIn, Instagram e simili, che possono rendersi utili anche nel processo per ottenere dati durante il footprinting. In altre parole, da un certo punto di vista, si stalkerizza il target facendo particolare attenzione perché non se ne accorga: è un po’ come mettersi nei panni di uno psicopatico o di un/una fidanzato/a geloso/a.
- Una piccola ricerca su google.com fatta propriamente potrebbe persino rivelare il tipo di antivirus utilizzato dal nostro target, magari risalendo a qualche messaggio lasciato nei forum dedicati alla sicurezza e/o alla risoluzione dei problemi. Se vogliamo andare un tantino più a fondo faremo anche un po’ di quello che viene denominato Google Hacking di cui parliamo qui sotto, in un paragrafo, a parte sempre in questo post.
Non fermiamoci mai alle prime 2-3 pagine mostrate ma osserviamole tutte senza scartare dettagli apparentemente insignificanti! - Nel caso di un’azienda potremmo ricercare non solo i nomi dei contatti e di coloro che vi operano ma anche le offerte di lavoro presenti andando a controllare alcuni dettagli come il tipo di esperienza informatica richiesta così da comprendere che sistema operativo, browser, software vengono utilizzati.
- Una volta ottenuto, per esempio, il link al sito web controlleremo il suo indirizzo IP come spiegheremo più avanti in questo post.
LISTA DEI POSSIBILI STRUMENTI UTILIZZABILI
Ci sono quindi una marea di potenziali programmi che possiamo utilizzare, diversi percorsi che è possibile scegliere e varie alternative dove un pizzico di creatività non fa mai male: spesso software utilizzati per scopi diversi possono rivelarsi utili anche in questo tipo di investigazione. Logicamente questo implica non solo pazienza ma anche la curiosità e la voglia di imparare ad utilizzare e conoscerne i diversi strumenti. In questo post, purtroppo, non sarà possibile approfondire ognuno di essi ma abbiamo intenzione di farlo nel tempo in articoli dedicati. Ricordiamoci anche che, l’ideale, in questa fase, ma anche nelle successive, sarà cercare di proteggere la nostra stessa privacy con l’uso di VPN e TOR oppure semplicemente accedere al computer, per esempio, di una biblioteca in città o di un internet point dove non venga richiesto il rilascio della nostra identità: non vorremmo infatti lasciare in giro le tracce del nostro passaggio.
Le informazioni vengono recuperate però in un generale disordine che richiede sia una particolare metodicità che la ricerca di più conferme relative ai dati raccolti.
Da parte dell’hacker è così non solo richiesta ma è necessario creare un ordine e dare una struttura alle informazioni trovate sia per non perdere tempo, che per il grosso rischio in cui si corre nella potenzialità di attrarre l’attenzione del target su di sé.
- Motori di ricerca, ricordiamoci di ampliare la nostra ricerca su altri motori e di non limitarci a google.com questo perché, sicuramente, essi ci presenteranno diversi risultati che potrebbero tornarci utili; alcuni nomi di motori di ricerca alternativi sono: DuckDuckGo, WolframAlpha, Bing, Yippy, Qwant, Xquick, Hotbot, Ecosia, Mojeek, etc.
- Ricerche sui social network
- Google Earth
- Google Maps con Street View, per la geolocazione del target
- Maltego e/o Echosec, utilizzati per connettere e recuperare info sui social network
- Shodan, strumento per accedere a webcam online (purtroppo a pagamento)
- Archive.org, per risalire a vecchie copie oramai archiviate di un sito web
- Netcraft, per controllare IP, DNS, sistema operativo ed altre info utili che dovremo però confermare
- Google Hacking, comandi avanzati di ricerca su Google
- theHarvester, uno strumento che ci aiuta sempre a recuperare e riconfermare informazioni sul target
- IP info, indirizzo IP di un sito, ci permette di individuare la località geografica, la compagnia hosting a cui il target si appoggia ed eventuali informazioni relative alla relazione intrattenuta tra i due, se esistono più indirizzi IP dello stesso blocco (molte compagnie, infatti, utilizzano spesso diversi indirizzi IP che possono essere utilizzati come base per un attacco informatico: uno o più servizi esterni possono presentare diverse porte aperte che verranno probate durante la fase successiva, ovvero lo scanning)
- Tracert, invia un segnale, individua l’IP e la possibile perdita di pacchetti relativi al suddetto segnale
- Whois, altro stumento per individuare informazioni sul dominio prescelto ed averne ulteriore conferma
- NSlookup, anch’esso interroga il server DNS per riconfermare le nostre informazioni
- Ping, per sapere se il server è on-line o meno
- Social engineering (ingegneria sociale), ovvero sapere come presentarsi e comunicare per carpire informazioni
Questi sono solo alcuni dei possibili strumenti utilizzabili e da cui partire per portare a termine un footprinting. Personalmente siamo dell’idea che conoscere prima, in modo approfondito, le varie tipologie di attacco aiuti l’utente a proteggere se stesso dandogli maggiore coscienza degli eventuali pericoli diretti ed indiretti in cui incorre navigando su internet e rendendosi così noto. Allo stesso tempo, mantenere sotto controllo tutte le potenzialità di un attacco per una persona singola è impossibile ma potrà comunque mitigare la situazione; per un’azienda, che logicamente si troverà maggiormente esposta, vale lo stesso: studiare e ricercare le proprie falle di sistema, comprendendo il fattore umano che spesso e volentieri è anche la vulnerabilità più semplice da sfruttare per un malintenzionato, potrà portare una compagnia a trovare delle possibili soluzioni come, per esempio, corsi di formazione mirata per i dipendenti che trattano dati personali, ulteriori protezioni per il proprio sistema, divieto di utilizzo di download o blocco diretto di alcuni siti, etc.
Vedremo in futuro ed in specifico alcuni degli strumenti qui sopra elencati e le loro modalità d’utilizzo con una particolare attenzione al loro uso nell’ambito della collezione dei dati.