Ovvero: l’unica partita che vale la pena giocare è quella che hai già perso ¹
I personaggi e le situazioni di questo articolo sono immaginari. Qualsiasi riferimento a fatti realmente accaduti o a persone esistenti è da ritenersi puramente casuale.
Cronache dal sottosopra
A Roma d’estate, c’è un’ora precisa in cui la città decide di smettere di essere ostile, succede poco prima del crepuscolo, quando il sole è sceso abbastanza da non bruciare ma la luce è ancora quella dorata che si appresta alle sfumature del rosso e, mentre esci dalla sede, fa sembrare tutto leggermente più bello di quello che è. I sampietrini bagnati che riflettono i muri vecchi scrostati, il nasone all’angolo con la griglia di scolo otturata da almeno tre sindaci che li bagna e perfino i cassonetti con tutte le loro puzze. E mentre guardi un po’ perso pensando a quanto manca all’avvento dei replicanti il ponentino che arriva dal mare ti soffia in faccia con quella discrezione irriverente tutta romana di chi sa di fare un favore e non ha bisogno di essere ringraziato. I pannelli led che hanno ormai sostituito i neon si accendono uno alla volta, arancione e rosso sul travertino bagnato dalle insegne dei ristoranti, e per un momento, un istante, la città assomiglia a qualcosa di altro. Qualcosa di più cinematografico. Qualcosa che nella testa, nel subcoscio di tutta la generazione di Paolo e Francesco assomiglia alla Los Angeles di Ridley Scott e il desiderio è quello di sedersi ad un bancone per chiedere two two fourper sentirsi rispondere Futatsu de jubun desu yo ²
Il bar non aveva nome, o meglio aveva un nome scritto su una targa di plastica sbiadita che nessuno aveva mai letto. Dentro c’era il bancone di legno scuro, grafitato da generazioni con le bruciature di sigaretta di quando ancora c’era gente che fumava, il ventilatore a pale con la cadenza ipnotica e inutile di chi gira senza spostare aria, le beer tower che sembrano sporche ma che in realtà sono solo talmente usate da essere scrostate. Sui muri una collezione di locandine appiccicate con lo scotch, incredibilmente tutte dritte, ingiallite e invecchiate quel tanto che basta per diventare arte per sbaglio. Sopra la cassa, in tutta la sua bellezza, c’è Rachel subito dietro Rick Deckard con tutte le sfumature create da John Alvin che ha contribuito a farne un’icona del cinema cyberpunk e del genere noir. Un Harrison Ford con l’impermeabile bagnato sotto una pioggia che a Roma non sarebbe mai caduta così, a parte quella di qualche giorno fa (n.d.r.), ma che Paolo e Francesco guardavano ogni martedì sera come si guarda una promessa che non si è ancora deciso di smettere di credere possibile.
Paolo e Francesco erano lì dalle sette e trenta, come quasi ogni martedì d’estate da almeno dieci anni. Due vecchi responsabili, di quelli che oltre ad essere in grado di gestire e far crescere il personale erano capaci di mettere le mani dappertutto, di aiutare nei momenti di crisi, con la stessa visione laterale di un hacker navigato. Una specie in via di estinzione, in un mondo aziendale che aveva progressivamente sostituito la competenza tecnica con la capacità di inoltrare mail, preferibilmente senza contesto, preferibilmente a qualcuno che non aveva fatto la domanda originale. Sistemisti antichi, vecchi nel senso di chi ha visto abbastanza da non sorprendersi più facilmente ma non ha smesso di indignarsi.
Paolo aveva iniziato modificando schede grafiche in un garage di Centocelle negli anni Novanta, convinto che ogni limitazione hardware fosse un’opinione negoziabile. Francesco aveva cominciato prima ancora, con le BBS e i modem a 2400 baud e quella convinzione romantica che l’informazione dovesse essere libera, convinzione che aveva conservato intatta anche dopo aver capito che il mondo non la condivideva. Lavoravano entrambi nel settore da così tanto tempo che il settore aveva cambiato nome tre volte intorno a loro senza che loro si spostassero di un millimetro.
Andrea, il consulente di una nota ditta di consulenza, arrivò alle otto passate con la cravatta allentata e l’aria di chi ha finito una giornata importante e vuole che si sappia. Trent’anni forse, Paolo e Francesco non chiedevano mai l’età per evitare di dire la loro. Titoli a gogò, master e certificazioni che citava nell’ordine giusto a seconda dell’interlocutore. Tecnicamente capace, preciso, puntuale, nei tempi concordati, ma che non aveva mai toccato una tastiera per risolvere un problema. Il tipo di bravo che non lascia traccia, né nei sistemi né nelle persone.
Ragazzi, disse, appoggiandosi al bancone, abbiamo appena consegnato un vulnerability assessment completo. Abbiamo detto al cliente che deve patchare tutto entro quarantotto ore dalla release dei CVE critici.
Paolo e Francesco si scambiarono uno sguardo. Era uno di quegli sguardi costruiti in anni di martedì sera al bancone di Giggetto, che contenevano interi paragrafi in un secondo e mezzo. In quel secondo e mezzo c’era il tutto, da ma come si permette di darci dei Ragazzi al ma che sta a di’.
Francesco fu il primo a parlare. Mortacci, disse, che a Roma è una parola sola e vale un’enciclopedia.
Quante macchine ha il cliente ? chiese Paolo, con il tono di chi conosce già la risposta e sta solo scegliendo il momento giusto per usarla.
Tremila circa. Ambiente misto, un po’ di legacy.
Tremila. E lui deve patchare tutto in quarantotto ore. Paolo girò il bicchiere sul bancone. Tu dici che riesce a testare le patch in staging prima di mandarle in produzione ?
Andrea aprì la bocca, poi la richiuse.
Francesco posò il bicchiere con una delicatezza che era l’esatto opposto di quello che stava per dire. Andrea, te vojo bene, me fai tenerezza, lo sai vero che tu hai consegnato a quel cliente una bomba a orologeria con un fiocco sopra. Indicò la locandina di Blade Runner sulla parete. Vedi quel tizio lì ? Deckard ? Lui almeno sapeva che stava inseguendo qualcosa che non capiva fino in fondo. Tu hai detto al cliente che il problema è risolto. E il problema non è mai risolto.
Come direbbe Obi-Wan, aggiunse Paolo, che citava i film degli anni Ottanta come altri citano la Bibbia, con la stessa convinzione e la stessa selettività: quello che ti hanno detto è vero, da un certo punto di vista. E’ vero che le patch vanno fatte ma quarantotto ore su ambienti legacy critici senza test è un suicidio. Sono due cose vere contemporaneamente, e il tuo report, se abbiamo capito bene, ne dice solo una.
Il ponentino entrava dalla porta con quella puntualità quasi educata che aveva, spostando la locandina di Alien appiccicata vicino all’ingresso. Giggetto portò tre birre senza che nessuno le avesse chieste, il che era il modo in cui comunicava che la conversazione stava diventando interessante.
Il problema vero, disse Francesco, ruotando il bicchiere tra le mani come faceva sempre quando stava per dire una cosa importante, è che stiamo ragionando come se esistesse uno stato chiamato sicuro. Come se ci fosse un traguardo. Patcha tutto, metti il firewall, e sei a posto. Come se la città là fuori, indicò la porta, a un certo punto smettesse di avere i cassonetti per strada perché qualcuno ha fatto il piano di raccolta rifiuti.
A sti ragazzi mancano le basi, disse Paolo a Francesco, quasi sottovoce, prima di alzarsi leggermente dallo sgabello con quella gestualità romana che prepara il terreno alle metafore importanti. Vatti a vedere La rivincita dei Nerds del 1984, dove crolla la casa dei fighissimi Alpha Beta infestata dalle termiti. Poi si girò verso Andrea. Pensa a una di quelle grandi case di legno. Non puoi dichiarare una casa di legno al sicuro dalle termiti. Puoi costruirla in materiali meno appetibili, puoi mettere le barriere giuste, puoi rilevare l’infestazione presto… ma il concetto stesso di legno al sicuro dalle termiti è una contraddizione in termini. Il legno esiste, le termiti esistono, il tempo esiste. Si fermò. Il software moderno funziona esattamente così, solo che il palazzo è molto più grande di qualsiasi cosa abbia mai costruito l’umanità. Miliardi di righe di codice, dipendenze su dipendenze, librerie scritte da qualcuno che adesso fa altro e mantenute, nella migliore delle ipotesi, da uno come terzo hobby. Ogni giorno qualcuno mette le mani sull’impianto elettrico del ’74, l’impianto idraulico è stato aggiustato nel ’92 da uno che non c’è più, il riscaldamento è stato rappezzato tre volte da tre ditte diverse. Funziona tutto. Finché non funziona più. E quando smette, non sai mai da dove iniziare a cercare perché nessuno ha la mappa completa. Deve essere chiaro, almeno a noi, che la complessità genera superficie, la superficie genera vulnerabilità, e non c’è patch che risolva la fisica.
Andrea stava ascoltando con un’attenzione diversa da quella di prima. Prima ascoltava per trovare il punto in cui obiettare. Adesso ascoltava e basta, il che per Paolo e Francesco era il segnale che la serata stava andando nel verso giusto.
Il paradigma è cambiato, disse Francesco. E il problema è che nessuno vuole ammetterlo nelle riunioni perché suona come arrendersi. La domanda non è più come mi difendo dall’attacco. La domanda è cosa succede quando entrano, perché entrano, ed è solo questione di quando.
Nel Sottosopra lo chiamiamo Assume Breach, disse Paolo. Assumi la violazione come premessa, non come sconfitta. Smetti di costruire le mura più alte e inizia a costruire le stanze interne più resistenti. Smetti di chiederti come impedire l’ingresso e inizia a chiederti quanto velocemente te ne accorgi, quanto lentamente si muovono dentro, quanto poco trovano quando arrivano dove volevano arrivare. Si voltò verso la locandina di Blade Runner con quella familiarità di chi guarda un vecchio amico. Come in WarGames: l’unica mossa vincente è non giocare. Tranne che qui non puoi smettere di giocare. Quindi devi cambiare il gioco.
Il gap tra patch release e exploit in the wild era di 250 giorni nel 2017, disse Francesco. Nel 2023 era sceso a 12. Alcune vulnerabilità critiche vengono sfruttate in meno di 24 ore dalla pubblicazione del CVE. Guardò Andrea. Dimmi quanto ci mette il tuo cliente ad applicare le patch in produzione.
Andrea sapeva la risposta. Non la disse.
Fuori, la luce era diventata quella viola e arancione dei vicoli romani quando i pannelli led prendono il sopravvento sulla luce naturale quella luce che Paolo, nelle serate giuste, chiamava la sua ora di Los Angeles e che Francesco sopportava con l’affetto bonario di chi conosce le ossessioni di un amico da abbastanza tempo da non cercare più di correggerle.
La domanda che faccio sempre quando inizio a lavorare con un cliente nuovo, disse Paolo, più piano, con quel tono che arriva quando la birra è giusta e l’ora è giusta, è questa: se domani mattina ti svegli e scopri che qualcuno è dentro da sei mesi, cosa fai nelle prime due ore ?
Andrea ci pensò davvero, questa volta. Isolo i sistemi compromessi. Chiamo il team. Attivo il piano di incident response.
Hai un piano di incident response ? chiese Francesco.
Il cliente ce l’ha ?
Pausa.
Ecco, disse Paolo. Non era una critica. Era quasi una tenerezza.
Il ventilatore continuava a oscillare. Dalla porta entrava il rumore lontano della città motorini, voci, il clacson di qualcuno che aveva torto ma lo avrebbe scoperto dopo.
Il tempo medio tra una violazione e la scoperta era ancora sopra i 200 giorni nel 2023,disse Francesco. Duecento giorni. Sei mesi e mezzo. Qualcuno dentro casa tua per sei mesi e mezzo mentre tu dormi tranquillo perché hai fatto le patch. Si fermò, poi guardò la locandina di Blade Runner con un’espressione che non era nostalgia ma era qualcosa di adiacente. Sai qual è la scena che è rimasta più impressa a tutti quelli che hanno visto quel film ?
Andrea scosse la testa.
Roy Batty sul tetto, alla fine. La pioggia, il piccione bianco, il monologo. Francesco abbassò un po’ la voce, come si fa quando si dice una cosa a cui si tiene davvero. Non stava piangendo perché moriva. Stava piangendo perché in quell’ultimo momento aveva capito esattamente cosa stava perdendo e quanto tempo aveva avuto per capirlo. Tutti quei momenti perduti nel tempo, come lacrime nella pioggia. Girò il bicchiere. Questo è quello che succede dopo un incidente grave. Non il danno tecnico, quello si ripara. È la realizzazione di quanto tempo avevi avuto per prepararti e non lo hai fatto. Tutti quei log che non hai letto. Tutti quegli alert che hai chiuso perché erano fastidiosi. Tutto il tempo che avevi e che hai speso a fare slide con le frecce verdi.
Il silenzio che seguì era il tipo di silenzio che non ha bisogno di essere riempito.
Andrea rimase più del previsto, ordinò una seconda birra senza accorgersene, e stava guardando il bancone con quell’espressione di chi sta riorganizzando mentalmente qualcosa di abbastanza fondamentale.
Nel report devo aggiungere una sezione, disse infine.
Una ?, Almeno una, disse Francesco.
La sezione che dice: patchare è necessario ma non è una strategia. È igiene.
Paolo indicò Andrea con il bicchiere il gesto romano universale che significa esatto, finalmente, benvenuto. E aggiungi che la freccia verde sulla slide non esiste. O meglio — esiste, ma indica la direzione sbagliata.
Una cosa, disse Andrea, prima di alzarsi. Voi come avete imparato tutto questo ?
Paolo e Francesco si scambiarono di nuovo quello sguardo. Stavolta aveva una sfumatura diversa non ironia, qualcosa di più simile ad affetto.
Sbagliando, sbagliando in prima persona senza girare le mail, disse Francesco.
E leggendo, studiando i manuali e provando, disse Paolo.
Rimanendo curiosi, disse Francesco. Che è la parte più difficile. Perché il mestiere ti premia se sai le cose, non se vuoi capirle. E dopo un po’ smetti di chiederti il perché e inizi solo a sapere il come. E lì finisce la sicurezza e inizia la burocrazia. Ti allontani sempre più dalla verità facendoti portare in giro da chi propone soluzioni per il proprio interesse.
Questo lavoro non si può fare senza essere appassionati.
Andrea annuì, rimise la giacca, lasciò sul bancone più di quello che avrebbe dovuto. Fuori il ponentino era ancora lì, paziente, romano. I pannelli led del vicolo rifrangevano sui sampietrini bagnati in quella luce arancione e viola che Paolo amava e che, se chiudevi gli occhi un momento e li riaprivi, poteva sembrare — solo per un istante — la pioggia di un’altra città, di un altro anno, di un film che aveva detto cose vere nel solo modo in cui certi film riescono a farlo.
Come dovrebbe essere chi fa questo lavoro.
¹ Heartbleed (2014). Una vulnerabilità in OpenSSL, la libreria crittografica che reggeva due terzi di Internet. Rimasta nascosta per due anni nel codice di un progetto open source mantenuto da un numero insufficiente di volontari. Quando fu scoperta, era già ovunque. La cosa più inquietante: era stata introdotta con una patch.
² La scena del bancone: https://youtu.be/UtnCvunxvTU?si=AAQV6vKkRXrEvhKR&t=74
Citazioni per chi vuole i titoli di coda
“Quello che ti hanno detto è vero, da un certo punto di vista” — Obi-Wan Kenobi, Star Wars: Return of the Jedi (1983). La frase più onesta mai detta su come funziona la comunicazione della sicurezza al management.
“The only winning move is not to play” — Joshua, WarGames (1983). Il film in cui un computer quasi scatena la terza guerra mondiale per curiosità. Ancora attuale, forse più di allora.
“I’ve seen things you people wouldn’t believe… All those moments will be lost in time, like tears in rain” — Roy Batty, Blade Runner (1982). Non è una citazione sulla sicurezza informatica. È una citazione sulla sicurezza informatica.
“They’re in the building… they’re in the building!” — Lewis Skolnick, Revenge of the Nerds (1984). Sì, anche questa vale.
Bibliografia Essenziale
- Anderson, R. (2020). Security Engineering: A Guide to Building Dependable Distributed Systems. Wiley. Il testo fondamentale su come i sistemi complessi falliscono — e perché la complessità è essa stessa una superficie di attacco. Disponibile parzialmente online: https://www.cl.cam.ac.uk/~rja14/book.html
- Shostack, A. (2014). Threat Modeling: Designing for Security. Wiley. Il manuale pratico per smettere di pensare alla sicurezza come stato e iniziare a pensarla come processo di analisi continua.
- Verizon (2024). Data Breach Investigations Report. La fonte annuale più affidabile sui tempi reali tra vulnerabilità e sfruttamento, con dati su migliaia di incidenti documentati. https://www.verizon.com/business/resources/reports/dbir/
- CISA (2023). Known Exploited Vulnerabilities Catalog. Il catalogo delle vulnerabilità attivamente sfruttate in the wild — il documento che meglio illustra il gap tra patch release e exploit attivo. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Gartner (2022). Continuous Threat Exposure Management. Il framework che ha formalizzato il cambio di paradigma da gestione delle patch a gestione continua dell’esposizione. https://www.gartner.com/en/documents/4015000
- IBM / Ponemon Institute (2024). Cost of a Data Breach Report. I numeri reali del costo di un incidente — incluso il tempo medio di rilevamento, che nel 2023 era ancora superiore ai 200 giorni. https://www.ibm.com/reports/data-breach
