Cos’è e cosa non è una cyber-weapon?
Thomas Rid e Peter McBurney ne discutono sull’ultimo numero del RUSI Journal in un articolo che merita di essere letto, raro esempio di serietà in un campo dove spesso si parla a vanvera*.
Definire correttamente un’arma cyber**, meglio: tentare di farlo – scrivono i due ricercatori inglesi – ha rilevanti conseguenze politiche e legali oltre che sulla sicurezza stessa.

The line between what is a cyber-weapon and what is not a cyber-weapon is subtle.
But drawing this line is important. For one, it has security consequences: if a tool has no potential to be used as a weapon and to do harm to one or many, it is simply less dangerous.
Secondly, drawing this line has political consequences: an unarmed intrusion is politically less explosive than an armed one. Thirdly, the line has legal consequences: identifying something as a weapon means, at least in principle, that it may be outlawed and its development, possession, or use may be punishable.
It follows that the line between weapon and non-weapon is conceptually significant: identifying something as not a weapon is an important first step towards properly understanding the problem at hand and to developing appropriate responses. The most common and probably the most costly form of cyber-attack aims to spy.

Ridd e McBurney definiscono le “cyber weapon” come “a computer code that is used, or designed to be used, with the aim of threatening or causing physical, functional, or mental harm to structures, systems, or living beings“. Stuxnet, ad esempio, rientrerebbe in tale definizione ma non altrettanto Duqu, un malware scoperto nell’ottobre dello scorso anno e con caratteristiche tecniche simili a quelle di Stuxnet.
La differenza fondamentale tra i due consisterebbe nel fatto che il primo è stato progettato/usato per danneggiare, il secondo per raccogliere/carpire informazioni. Stuxnet, quindi, sarebbe un’arma cyber, Duqu no. Questo nonostante le similitudini tecniche tra i due abbiamo spinto gli esperti a parlare di medesima paternità.

Le conclusioni che ne derivano sono abbastanza chiare. Scrivono infatti i due esperti:

A thorough conceptual analysis and a detailed examination of the empirical record corroborates our hypothesis: developing and deploying potentially destructive cyber-weapons against hardened targets will require significant resources, hard-to-get and highly specific target intelligence, and time to prepare, launch and execute an attack. Attacking secured targets would probably require the resources or the support of a state actor; terrorists are unlikely culprits of an equally unlikely cyber-9/11. The scant empirical record also suggests that the greatest benefit of cyber-weapons may be using them in conjunction with conventional or covert military strikes, as Israel did when it blinded the Syrian air defence in 2007.
This leads to a second conclusion: the cost-benefit payoff of weaponised instruments of cyber-conflict may be far more questionable than generally assumed: target configurations are likely to be so specific that a powerful cyber-weapon may only be capable of hitting and acting on one single target, or very few targets at best.

Un argomento, quest’ultimo, che rimetterebbe in discussione due delle certezze più diffuse (anche per il sottoscritto) in materia di cyber-warfare ovvero 1) la superiorità dell’attacco sulle difesa e 2) la pericolosità, per la sicurezza nazionale, del know-how posseduto da gruppi di c.d. “cyber-criminali”.

Riassumendo il pensiero di Rid e McBurney: le vere cyber weapons sono strumenti altamente complessi e necessitano di risorse statali per essere progettati ed impiegati (si veda, ad esempio, l’attività di intelligence preliminare necessaria per veicolare efficamente Stuxnet). Inoltre, proprio la natura di tali strumenti li rende efficaci, e quindi utilizzabili, per attacchi puntuali e non diffusi. Molte risorse con risultati limitati.

 

* a tal proposito, chi scrive deve ancora riprendersi dallo choc dopo aver letto alcune “analisi”, chiamiamole così, di noti “esperti”, chiamiamoli così,  italiani in una nota rivista italiana di politica internazionale. Ci sarebbe da ridere se non ci fosse da piangere…

** Gio’, perdonami…