Seduti a bordo di un Frecciarossa, il treno ad alta velocità, con la giovane famiglia, in viaggio per visitare i nonni. Tutti sono felici ed emozionati di trascorrere i prossimi tre giorni al mare lontani dallo stress del lavoro e dalla scuola. State viaggiano a 250 chilometri all’ora nella Grande galleria dell’Appennino, il tunnel ferroviario della Direttissima Bologna-Firenze. Di colpo si attivano i freni d’emergenza. Il treno rallenta bruscamente e si ferma stridendo.
Il capotreno riesce ad annunciare ai passeggeri che trattasi di fermata tecnica conseguente a un allarme, probabilmente un falso positivo, riguardante una portiera aperta nel vagone cinque e che si ripartirà a breve. Non completa la comunicazione perché le luci del treno si spengono. Rimangono accese solo le luci d’emergenza. Il capotreno vede con preoccupazione che il sistema di gestione del convoglio rileva che il problema alla portiera del vagone cinque si è esteso a tutte le portiere, di tutti i vagoni.
Quello che il capotreno non sa è che il suo è il quarto convoglio a fermarsi per la stessa causa nei 18mila 507,38 metri della Grande galleria.
I minuti passano senza che vengano diramati altri annunci. Il personale inizia a spostarsi lungo il treno alla ricerca di ulteriori informazioni sulla situazione e per informare i viaggiatori sugli sviluppi, cercando di rassicurarli come possono. Vengono distribuite bottigliette d’acqua. Le portiere, segnalate aperte, sono tutte bloccate.
Passano le ore. L’ansia tra i passeggeri cresce, in particolare tra quelli più o meno claustrofobici. Arrivano i primi soccorsi e per entrare nei vagoni rompono i finestrini di emergenza. Alcuni passeggeri li imitano. L’aria condizionata non funziona. Voglia, bisogno di accedere all’aria fresca. Peccato che si sia in galleria. Si sente, in lontananza, nel buio quasi totale, altri vetri andare in frantumi. Ciò aumenta la tensione tra i passeggeri. Iniziano a manifestarsi attacchi di panico. Ci sono i primi feriti tra quelli che, cercando di uscire dai finestrini, si feriscono o cadono, da quasi quattro metri, sulla massicciata.
Dopo otto ore precise le portiere di tutti i treni si sbloccano e si riaccendono le luci. Dopo altre tre ore di controlli e ispezioni i treni ripartono verso Firenze e Bologna. L’incontro coi nonni avviene con un giorno di ritardo. Le autorità ferroviarie si profondono in scuse. Il fatto che il problema si sia manifestato a bordo di quattro treni simultaneamente e nello stesso nodo critico dimostra che sia stato un atto voluto. Il bilancio è di un morto per malore e ottantasette feriti.
Gli effetti dell’attacco non si limitano ai treni coinvolti. La Protezione Civile, in collaborazione con le altre forze pubbliche, ha dovuto reindirizzare il traffico ferroviario e veicolare per evitare la paralisi del sistema dei trasporti nazionale. Il Paese non poteva essere tagliato in due per undici ore. Comunque, la perdita di produttività nazionale viene stimata in centinaia di milioni di Euro.
Cos’è realmente accaduto? Nulla. Una semplice simulazione, ideata dagli scriventi, di un attacco cyber ad una delle infrastrutture critiche nazionali. Attacco che ha dimostrato il potere degli attaccanti e la vulnerabilità del sistema. I cyber-criminali hanno messo in ginocchio la nazione giocando con le porte dei treni ad alta velocità.
Abbiamo raccontato una storia plausibile e possibile, ma nel mondo reale, i treni polacchi della serie Impuls 45WE, prodotti dalla Newag, in servizio presso la Ferrovia della Bassa Slesia, aflitti da “guasti misteriosi”, si sono realmente fermati nel giugno 2022.
I fatti in breve. La Serwis Pojazdów Szynowych (SPS), officina di riparazione ferroviaria, vince la gara per la manutenzione obbligatoria degli 11 treni in servizio dopo che hanno percorso 1.000.000 di chilometri. Anche il produttore dei treni, la Newag, ha partecipato alla gara, ma la sua offerta era di circa 750mila dollari più alta.
La manutenzione di un treno è una faccenda complicata: deve essere smontato, i pezzi inviati ai vari produttori, controllati, rispediti, il treno rimontato e testato. L’SPS esegue le procedure di manutenzione secondo il relativo manuale (circa 20.000 pagine) fornito dal produttore, ma il treno dopo essere stato correttamente riassemblato, non funziona. Il computer di bordo dice che va tutto bene, il treno è pronto per partire, ma non parte. Gli inverter non forniscono tensione ai motori e nessuno ha idea del perché ciò accada. I tecnici della manutenzione cercano, controllano, verificano, ma non trovano risposta.
Un secondo treno subisce la stessa manutenzione. Identica. Intanto il primo è ancora fermo in officina. Anche il secondo treno che prima della manutenzione andava alla grande non ne vuole più sapere di funzionare. Newag, il costruttore, debitamente interpellato, si rifiuta di aiutare. Due treni immobilizzati in officina. Il terzo non viene ispezionato a causa di un guasto alla batteria. Quando il quarto treno viene inviato alla manutenzione, volendo approfittare della sua presenza per trainare uno di quelli che non funzionano, lo si collega a uno di quelli fermi e anche il quarto si ferma. Inoltre, in altra officina in altra città polacca, a Stettino, un altro Impuls non si avvia dopo la manutenzione.
Una giornata di fermo dei treni in officina costa oltre 1.000 dollari di penalità contrattuale. Ci sono diversi treni bloccati. Il livello di tensione nella SPS aumenta. Poiché né i meccanici né gli elettricisti hanno una soluzione, qualcuno digita su Google “hacker polacchi” e trova un gruppo etico, chiamato Dragon Sector. La SPS li contatta. Hacking dei treni? Perché no. Le parti firmano un contratto.
Ci sono voluti mesi di analisi e di reverse engineering, ma alla fine DS scopre che il costruttore dei treni, la Newag, aveva inserito delle istruzioni nei sistemi di controllo dei treni Impuls capaci di causare il mal di treno improvviso.
Ad esempio, se il localizzatore GPS a bordo convoglio indicava che il treno era per diversi giorni fermo presso un’officina di riparazione indipendente, bloccava tutto.
Il che accadeva anche in caso di sostituzione di uno dei suoi componenti (verificato dal numero di serie). Su un altro treno è stato trovato un codice che gli ordinava di “guastarsi” dopo un milione di chilometri.
In sintesi, il produttore dei treni aveva corrotto il sistema con l’obbiettivo di garantirsi il contratto di manutenzione. Non solo. Il codice “taroccato” avrebbe anche bloccato il treno se alcuni componenti fossero stati sostituiti senza un numero di serie approvato dal produttore.
Il presidente della Newag ha affermato che l’azienda è stata vittima di cybercriminali e che non c’è stata azione intenzionale della Newag. Peccato però che un altro treno era “rotto” a Kolej Mazowieckie, due a Opole, 4 a Cracovia, uno a Zielona Góra, quattro a Szczecin e uno a Varsavia. Usando uno “strumento” che elimina le linee di codice indesiderate, messo a punto dagli hacker benefici di Dragon Sector, tutti sono tornati in vita. 29 treni sono stati verificati e 25 di essi hanno presentato “sorprese”.
Interessante notare che su uno di questi treni è stato trovato un dispositivo che consentiva la comunicazione da remoto con il sistema operativo del treno. Se invece di un treno fosse una nave che attraversa lo stretto di Suez a ricevere da remoto un comando indesiderato, ad esempio per modificare l’angolo del timone, cosa potrebbe accadere? La risposta è presto data. La nave si incaglia su una delle sponde del canale che rimane bloccato per sei giorni. Le perdite economiche sono di circa 7,5 miliardi di euro al giorno. Ovvio che si tratta solo di un’ipotesi. Oppure no, visto che è accaduto alle 7:40 del 23 marzo 2021 alla nave portacontainer Ever Given. Ufficialmente la causa dell’incidente è stata una tempesta di sabbia con venti fino a 74 chilometri all’ora.
Treni, navi, automobili, aerei, migliaia di dispositivi, più o meno complessi, hanno a bordo un sistema di controllo e gestione che fa uso di un’ampia gamma di sensori e di dispositivi di calcolo dedicati, i microprocessori. Si tratta di piccolissimi computer che svolgono compiti specifici: rilevare se le temperature delle ruote siano entro limiti prefissati, se vi sia sufficiente acqua a bordo, se porte o portelli sono chiusi, se le cinture di sicurezza sono allacciate, se fare andare il tergicristallo perché sono state rilevate gocce di pioggia.
Questi microprocessori fanno parte delle nostre vite, sono embedded nelle nostre vite.
Tornando alla nostra simulazione, i microprocessori che si sono attivati sono quelli relativi alle porte dei vagoni. A seguito di un hackeraggio maligno, hanno informato erroneamente il complesso sistema di gestione del treno che le porte erano aperte, attivando il sistema di sicurezza che impone, se le portiere sono aperte, che il treno si debba fermare.
I microprocessori si possono immaginare come delle finestre sul mondo che, in funzione di quello che rilevano, mandano messaggi che il sistema interpreta attivando comandi e controlli predeterminati. Essendo finestre sul mondo possono vedere cose che non ci sono, oppure cose che qualcuno modifica per ingannare.
I microprocessori sono una delle strade di penetrazione più semplici da percorrere. Le loro vulnerabilità sono tali da richiedere una progettazione dei sistemi del tutto innovativa. Occorre avvalersi di microprocessori protetti alla nascita.
Le grandi aziende cyber come Leonardo SpA riconoscono la necessità e urgenza di mettere in sicurezza, in modo organico, la combinazione nativa di hardware e software dei sistemi digitali.
Roberto Cingolani, l’AD di Leonardo SpA, già Ministro per la Transizione ecologica nel governo Draghi, ha recentemente espresso la sfida nei seguenti termini nell’ambito della Conferenza Expo 2023 “Next Generation” tenutasi il 6 ottobre scorso a Cernobbio: “Noi non abbiamo nulla che sia disegnato per essere cyber-sicuro in fase progettuale. Siamo ancora abituati a comprare il computer per poi scaricare l’antivirus, o nel telefonino il software del caso. È un errore in partenza. Io devo disegnare gli oggetti del futuro in modo che siano cyber-sicuri, altrimenti non sarò mai competitivo. Devo introdurre il servizio della cyber sicurezza sin dall’inizio quando progetto qualcosa di nuovo”.
“I dati critici devono essere protetti.
Non abbiamo nulla che sia progettato per essere Cyber-safe fin dalla fase di progetto….
… Devo progettare oggetti del futuro che siano cyber-sicuri, altrimenti non sarò mai competitivo. Devo introdurre da zero un servizio di sicurezza informatica ogni volta che progetto qualcosa di nuovo.
Questa è la rivoluzione dell’High Tech. Questa è la rivoluzione della produzione.
Chi non adotta questa tendenza adesso, resta indietro. Lo Stato, il Governo e le aziende private devono capire che su questo devono collaborare. Non saremo una nazione forte se non saremo una nazione sicura”.
“…Introdurre da zero un servizio di sicurezza informatica ogni volta che progetto qualcosa di nuovo”. Cingolani fa riferimento alla richiesta che proviene dal mercato chiamata “Cyber Protection by Design” ossia la protezione cyber incorporata nel disegno intrinseco, integrata al sistema e non aggiunta a posteriori con lo scopo di rammendare, tappare le falle di sicurezza esistenti.
La problematica non è limitata a specifici settori industriali o produttivi. La “Cyber Protection by Design”, spazia dal ferroviario all’aeronautico, all’automotive, al navale, ai giochi online, alle banche, alle telecomunicazioni, alle infrastrutture critiche in generale e agli infiniti altri settori della nostra quotidianità, ovunque siano utilizzati microprocessori.
C’è già chi è attivo e con lunga esperienza nel fornire microprocessori protetti in modo personalizzato da penetrazioni indesiderate. Anche in Italia. Vedi Clevery Next di Udine, giovane azienda di esperti di grande esperienza, leader nell’assicurare protezione cyber ai sistemi digitali complessi dei suoi tanti clienti. Così valida che ci abbiamo investito personalmente.
L’approccio adottato da CleveryNext è quello di personalizzare, nella fase di progettazione dei sistemi, i microprocessori utilizzati, avvalendosi di mezzi e strumenti forniti e garantiti dai produttori dei microprocessori stessi , ottimizzandoli in funzione delle specifiche richieste.
Tornando alla metafora precedente, non solo si riduce la dimensione delle finestre sul mondo, ma anche il loro numero, rendendo così molto più difficile la penetrazione attraverso di esse. Ogni tentativo di modificare il funzionamento del microprocessore risulterà nell’arresto repentino del sottosistema a cui il microprocessore appartiene.
Si tratta di una soluzione hardware/software proprietaria che gli esperti di CleveryNext hanno sviluppato in decenni di attività nel settore della protezione dei sistemi digitali embedded.
La società di Udine offre, a chi vuole la “Cyber Protection by Design” dei propri sistemi, oltre ai microprocessori personalizzati a specifiche applicazioni, anche la consulenza nella loro progettazione e l’assistenza per gestire in modo ottimo il sistema complesso.
I clienti ottengono così innegabili vantaggi che aumentano sia il valore delle loro soluzioni, sia la loro posizione competitiva: sicurezza del sistema by design, drastica riduzione nelle probabilità di penetrazione, minimizzazione dei consumi energetici.
Invece di seguire la tendenza a ricercare sistemi che adottino soluzioni più robuste e complicate, CleveryNext persegue l’eleganza della semplificazione dei sistemi: riduce le porte di accesso secondarie e quindi la vulnerabilità, facendo suo l’insegnamento del grande designer Bruno Munari nelle sue “Lezioni di Creatività”:
“Complicare è facile,”semplificare” é difficile.
Per complicare basta aggiungere, tutto quello che si vuole: colori, forme, azioni, decorazioni, personaggi, ambienti pieni di cose.
Tutti sono capaci di complicare. Pochi sono capaci di semplificare. Per semplificare bisogna togliere e per togliere bisogna sapere che cosa togliere, come fa lo scultore quando a colpi di scalpello toglie dal masso di pietra tutto quel materiale che c’é in più della scultura che vuol fare.
Teoricamente ogni masso di pietra può avere al suo interno una scultura bellissima, come si fa a sapere dove ci si deve fermare nel togliere, senza rovinare la scultura?
Togliere invece che aggiungere vuol dire riconoscere l’essenza delle cose e comunicarle nella loro essenzialità. Eppure quando la gente si trova di fronte a certe espressioni di semplicità o di essenzialità dice inevitabilmente: “questo lo so fare anche io”, intendendo di non dare valore alle cose semplici perché a quel punto diventano quasi ovvie.
In realtà quando la gente dice quella frase intende dire che lo può rifare, altrimenti lo avrebbe già fatto prima.
La semplificazione è il segno dell’intelligenza, un antico detto cinese dice: quello che non si può dire in poche parole non si può dirlo neanche in molte.”
Grazie Munari.
Vale sempre la pena investire in intelligenza.
