Un altro caso che fa scuola per tutti. L'arresto di Peter Stokes.
Peter Stokes è un ragazzo di 19 anni che fa parte del gruppo hacker Scattered Spider, gruppo molto attivo in attacchi ramsonware e attacchi di psicologia sociale ("pronto, buongiorno sono un tecnico ledger..."), arrestato in Aprile ed estradato negli Stati Uniti per affrontare un processo federale per truffe ai danni di cittadini americani in ambito cryptovalute. Ci sono statistiche che affermano il fatto che gli americani sono molto vunerabili a questo tipo di attacchi perchè poco avezzi a comprendere di trovarsi di fronte ad una truffa.
Stokes usava sistemi di connessione sofisticati, come una VPN associata ad un rotating in continuo di tre indirizzi IP che a turno apparivano e scomparivano tra Estonia, Thailandia e Stati Uniti, mentre lui si trovava in Finlandia; inoltre utilizzava ngrok per crittografare ulteriormente il suo traffico.
Quindi come è stato identificato? Con il sistema windows di Global Device identifier (GDID), perchè questo hacker usava sistemi...windows. Anche ngrok non è opensource ma software proprietario molto legato a windows.
Ma cos'è GDID? è un codice univoco che la casa madre windows assegna ad ogni sistema windows installato su macchine. Quindi non solo macchine con windows nativo ma anche macchine su cui windows viene installato in un secondo momento, una sorta di IP nativo del sistema che trasmette ai server di windows telemetria completa, report di crash e non, verifiche di licenze, traffico, software, hardware. Un fingerprint tout court a vostra insaputa.
Cosa rende GDID pericoloso per la privacy? La sua persistenza, questo sistema è estremamente persistente e profondo nel vosto OS e nel vostro pc, la sua disattivazione rischia di compromettere il funzionamento del OS stesso. Tutte le misure prese da Stokes proteggono l'utente lato traffico di rete ma il OS resta esposto e proprio per questo GDID ha confezionato un bel pacchetto di dati con le specifiche del PC, timestamp, idirizzo IP reale e spedito ai server Microsoft. Di conseguenza usando ngrok via OS Windows si ha avuto il momento esatto in cui un dispositivo con un preciso codice GDID ha effettuato il login su ngrok e triangolando facilmente tre dati l'FBI gli ha suonato il campanello. ATTENZIONE: disinstallando Windows il sistema GDID non perde la sua persistenza, Microsoft dichiara che alla disinstallazione del sistema GDID smette di funzionare; invece, specialisti hanno dimostrato che anche formattando un sistema ed installando altri OS, tra i rimasugli di Windows resta traccia del sistema GDID che potenzialmente può ancora comunicare con i server. Cosa peggiore, se in un secondo momento venisse re-installato un qualsiasi sistema Windows questo riporterebbe "ufficialmente" in vita GDID e questo spedirebbe dati e timestamp storici ai server Microsoft.
Ora potremmo discutere per ore sul fatto che un hacker malevolo utilizzi un OS windows e non un sistema linux, questo la dice lunga sulla qualità di alcuni hacker di oggi che forse conoscono poco o ignorano certi rischi. Anche Satoshi Nakamoto utilizzava Windows, ma erano altri tempi.
Questo apre un dibattito fortissimo su quella che è la reale privacy per un utente windows, da una parte il sistema GDID ha permesso di identificare un criminale (un pesce piccolo, sia chiaro) dall'altra apre praterie di dubbi sul lato morale che pare non riguardare queste aziende-nazione.
Siamo certi che windows tramite GDID si limiti a quanto dichiarato? (ovviamente no) e che non sia in atto l'ennesimo sistema di controlla di massa per determinare chi fa cosa, chi fa come, chi guarda dove? Un utente con wallet installato su sistema windows può stare tranquillo? (secondo me no), potranno un giorno comunicare ad agenzie per i tributi chi ha wallet per criptovalute per trovare somme non dichiarate al fisco?...
Inutile sottolineare che tutto ciò con un sistema Linux non sarebbe successo. Linux ha un sistema di identificazione macchina ma resta locale
non viene comunicato e può essere rigenerato o modificato manualmente. Linux non ha telemetria in background ma solo attivabile dall'utente. In versione live qualsiasi Linux è in una sandbox che alla chiusura elimina tutto perchè tutto gira solo su memoria temporanea.
