Come l'incontro con Jeff Goldblum a Roma mi ha portato a inviare migliaia di campioni di malware nello spazio

My viaggio con la famiglia a Roma è stato fantastico; allontanarmi dall’ufficio per una settimana, esplorare la città, passeggiare tra i luoghi storici, gustare il cibo e semplicemente godermi il tempo con la mia famiglia era proprio ciò di cui avevo bisogno.

Un giorno, mentre passeggiavamo in un vicolo fresco e tranquillo, ci siamo imbattuti in un corso di cucina dedicato alla pasta e al tiramisù. Sembrava divertente e, come si suol dire, “quando sei a Roma, fai come i romani”. Per qualche ora, ho sostituito malware, sicurezza informatica e infrastrutture critiche con farina, uova, acqua, tempismo, pressione e pazienza.

Man mano che mi ambientavo nel corso, mi rendevo sempre più conto che anche preparare la pasta è un processo ben preciso. Da fuori sembra semplice, ma se ci si tiene al risultato, i piccoli dettagli contano. Troppa acqua altera l’impasto. Troppa pressione ne modifica la consistenza. Se si affretta il processo, il risultato non sarà proprio quello giusto.

Questo vale per l'alimentazione, per il mondo degli affari e per la sicurezza informatica.

Alla fine della lezione è successo qualcosa di assolutamente inaspettato: ho incontrato Jeff Goldblum.

Era cordiale, spiritoso, elegante e molto umano. Come la maggior parte delle persone che lo incontrano, ho pensato ai suoi ruoli cinematografici iconici, al pianoforte jazz e alla sua capacità unica di essere famoso pur rimanendo alla mano. Questo prima che la mia mente da esperto di sicurezza informatica prendesse il sopravvento.

Continuavo a pensare a una scena del film *Independence Day* del 1996, in cui il suo personaggio, David Levinson, infetta la nave madre aliena con un malware.

In questo caso, la tempistica è fondamentale. Il settore spaziale sembra entrare in un nuovo ciclo di espansione, andando oltre i razzi, la NASA e la quotazione in borsa di SpaceX.

Il quadro più ampio è globale. Amazon Kuiper sta entrando nella corsa alla banda larga satellitare. L’Europa sta realizzando IRIS² come costellazione di connettività sicura e sovrana per le comunicazioni governative, la risposta alle crisi, le infrastrutture critiche e i servizi crittografati. La Cina sta procedendo in modo aggressivo con grandi programmi di costellazioni come Thousand Sails e Guowang. L’India sta espandendo le proprie ambizioni nel settore spaziale e dei satelliti per la difesa. Il Giappone sta investendo maggiormente nella sicurezza spaziale. Operatori come Viasat, OneWeb, Planet, Maxar, Intelsat, Iridium, Eutelsat, SKY Perfect JSAT e altri stanno sviluppando servizi di comunicazione, imaging, navigazione, difesa e dati in orbita.

Il dibattito si sta inoltre estendendo oltre il concetto di satelliti come infrastruttura di comunicazione. Elon Musk ha parlato della possibilità di mettere in orbita dei data center per l’intelligenza artificiale, sostenendo che la Terra presenta limiti di alimentazione mentre lo spazio gode di luce solare costante. L’anno scorso, Starcloud ha lanciato un veicolo spaziale dotato di un chip Nvidia H100 e ha dimostrato di poter eseguire una versione del modello di IA Gemini di Google dallo spazio. Inoltre, Google ha svelato il Progetto Suncatcher per esplorare cluster di satelliti dotati di TPU e collegamenti ottici, oltre a piani per il lancio di prototipi di satelliti nel 2027.

Si tratta di un tipo di economia spaziale molto diverso.

Il settore spaziale si sta evolvendo dai trasporti alla comunicazione, dalla comunicazione ai dati, dai dati all’elaborazione e dall’elaborazione all’intelligenza artificiale. Il settore spaziale sta diventando un livello di infrastruttura digitale globale che coinvolge Stati nazionali, operatori commerciali, agenzie di difesa e catene di approvvigionamento multinazionali.

...e ogni livello dell'infrastruttura digitale finisce per diventare un bersaglio informatico.

Molti di questi incidenti hanno inoltre messo in luce i limiti di un approccio che si affida principalmente ai firewall tradizionali e a sistemi di sicurezza basati sul rilevamento.

Nell'attacco del 2018 al JPL della NASA, gli hacker hanno compromesso un account esterno e si sono mossi lateralmente attraverso reti scarsamente segmentate. Le difese perimetrali non sono state sufficienti una volta che era stata stabilita la fiducia. Nell'attacco del 2022 a Viasat KA-SAT, gli hacker hanno raggiunto una rete di gestione affidabile attraverso un percorso VPN/firewall compromesso e hanno impartito comandi di gestione legittimi.

Ancora una volta, il problema non era semplicemente individuare il traffico dannoso, ma la mancata adozione di un gateway unidirezionale, che avrebbe garantito un flusso di dati unidirezionale per impostazione predefinita anziché tramite policy, impedendo fin dall’inizio agli aggressori di raggiungere i sistemi critici.

Una volta individuati il rischio e le cause alla base degli incidenti segnalati, come interveniamo?

La sicurezza informatica nel settore spaziale presenta molte delle stesse cause alla base della sicurezza informatica tradizionale, ma aggiunge due dimensioni che cambiano tutto: il tempo e l’ambiente.

Sulla Terra, se qualcosa va storto, diamo per scontato di poter stabilire una connessione, effettuare un controllo, applicare una patch, ripristinare il sistema o inviare qualcuno sul posto. Nello spazio, molte di queste certezze vengono meno. La comunicazione è più lenta, più costosa, più limitata e diventa più difficile man mano che ci si allontana dalla Terra.

La Luna è abbastanza vicina da far sì che i segnali impieghino poco più di un secondo per arrivare e tornare, ma anche questo comporta un ritardo di andata e ritorno di oltre due secondi. Per Marte, il tempo di percorrenza può variare da circa 4 a 24 minuti in una sola direzione, a seconda della posizione della Terra e di Marte nelle loro orbite. Per le missioni nello spazio profondo, il problema diventa ancora più grave. La sonda Voyager è così lontana che la comunicazione può richiedere quasi un’intera giornata in una sola direzione.

Questo cambia il modello di sicurezza informatica.

Gli strumenti di sicurezza moderni dipendono sempre più dall’interazione costante con il cloud: verifiche della reputazione, controlli degli hash, aggiornamenti delle firme, aggiornamenti dei modelli di intelligenza artificiale (una dipendenza in crescita man mano che i sistemi basati sull’intelligenza artificiale entrano in orbita), invii alla sandbox, caricamenti di dati telemetrici e verdetti centralizzati. Sulla Terra, questo funziona perché la connettività è veloce e affidabile. Nello spazio, diventa pericoloso dare per scontato che lo stesso modello funzioni.

Sulla Luna, alcune di queste operazioni sono ancora tecnicamente possibili, ma non è qualcosa su cui si dovrebbe fare affidamento. Ogni consultazione del cloud comporta un ritardo. Ogni invio alla sandbox deve viaggiare fino alla Terra e tornare indietro. Ogni sessione di desktop remoto diventa più lenta. Ogni caricamento forense di grandi dimensioni entra in competizione con la larghezza di banda della missione. Se il collegamento con la Terra è congestionato, compromesso, intasato o non disponibile, la sicurezza basata sul cloud diventa inaffidabile.

Se ciò risulta già difficile sulla Luna, diventa notevolmente più arduo su Marte e impossibile da realizzare in tempo reale nello spazio profondo.

Lo stesso vale per l’applicazione delle patch. Se si gestisce una missione spaziale per molti anni, non si può dare per scontato di poter applicare patch all’infrastruttura come si farebbe con un laptop, un server o un carico di lavoro nel cloud. Un veicolo spaziale potrebbe funzionare con hardware obsoleto, memoria limitata, processori resistenti alle radiazioni, larghezza di banda limitata, potenza limitata e una finestra di comunicazione molto ristretta.

Se l'aggiornamento è errato, se il comando è malformato o se il software si comporta in modo diverso durante il volo rispetto a quanto avveniva in simulazione, il ripristino potrebbe risultare difficile o, peggio ancora, diventare impossibile.

Voyager ne è un esempio perfetto. La NASA ha lanciato Voyager 1 e Voyager 2 nel 1977, e il team continua a occuparsene anche a distanza di quasi cinque decenni. Aggiornare o correggere il software su un veicolo spaziale così vecchio e così lontano richiede competenze ingegneristiche straordinarie. Ma ciò dimostra anche che l’applicazione di patch a un veicolo spaziale è un processo lento, rischioso e ben diverso dall’applicazione di patch ai sistemi sulla Terra.

Galileo è un altro esempio significativo. Dopo il lancio, l’antenna ad alto guadagno di Galileo non si è dispiegata completamente, il che ha impedito al veicolo spaziale di utilizzare il collegamento di comunicazione ad alta velocità previsto. La NASA e il JPL sono comunque riusciti a ottenere importanti risultati scientifici grazie alla compressione dei dati, a modifiche al software e a un’attenta pianificazione della missione. Ciò ha dimostrato un punto fondamentale: nello spazio, sono i limiti di comunicazione a definire le missioni.

La questione della sicurezza informatica è semplice: cosa fare quando non è possibile contare su comunicazioni rapide, visibilità costante, risposte basate sul cloud o l’invio di personale in loco? Suggerisco tre strategie.

Il rilevamento rimane comunque utile, soprattutto nei sistemi di terra, nei terminali e negli ambienti aziendali legati alla missione, ma presuppone che sia possibile individuare l’attacco e quindi analizzarlo, reagire e ripristinare rapidamente la situazione. Nello spazio, tale presupposto è poco attendibile poiché la visibilità può essere limitata, le comunicazioni possono subire ritardi, la potenza di calcolo può essere limitata e il ripristino può risultare lento o impossibile. Quando si individua il problema, la missione potrebbe già essere a rischio.

Ecco perché la strategia deve essere prevenzioneprima della fiducia.

Ogni file, aggiornamento software, modello di intelligenza artificiale, pacchetto di payload, pacchetto di comandi e supporto rimovibile deve essere considerato non attendibile fino a quando non sia stato ispezionato, convalidato, ripulito e approvato. È necessario ricorrere a scansioni multiple, sandboxing, disinnesco e ricostruzione dei contenuti (CDR), convalida dello schema, aggiornamenti firmati, elenchi di autorizzazione, convalida dei comandi e tracciati di audit prima che qualsiasi elemento raggiunga l’ambiente operativo.

Non considerare il centro di controllo come un normale reparto IT aziendale, né consentire ai sistemi di ingegneria di interagire liberamente con i sistemi operativi. Assicurati che l’accesso dei fornitori sia limitato, temporaneo, registrato e isolato, e separa rigorosamente le stazioni di terra, i percorsi di comando, i sistemi di aggiornamento software, gli ambienti di test e gli strumenti di collaborazione.

Nessun laptop compromesso, nessuna credenziale rubata, nessun file infetto, nessun aggiornamento difettoso né alcuna violazione da parte di un fornitore dovrebbe poter influire sulle operazioni operative.

I firewall sono importanti, ma nei percorsi di missione più sensibili non mi affiderei solo a un firewall. I firewall sono controllati da software, il che significa che possono essere configurati in modo errato, aggirati o compromessi. Un diodo di dati o un gateway unidirezionale rappresenta la soluzione migliore perché garantisce il flusso unidirezionale dei dati per sua stessa natura, non solo in base alle politiche.

Il lancio di un MetaDefender Kiosk è stata la nostra prima missione spaziale, non una trovata pubblicitaria. Per me, la missione Kiosk incarna ciò che ritengo essere il fondamento della sicurezza informatica nello spazio: elaborazione indipendente, prevenzione prima della fiducia, sicurezza deterministica dei file e hardware in grado di continuare a funzionare in ambienti ostili.

Innanzitutto, si tratta di un sistema indipendente. Sebbene lo abbiamo inviato a un’altitudine estrema, durante la missione non era connesso al cloud. Ha utilizzato l’elaborazione locale e ha operato secondo un modello “air-gapped”. Abbiamo in programma di includere un gateway dati unidirezionale o un diodo dati in una missione futura.

In secondo luogo, il Kiosk la tecnologia Deep CDR™ per elaborare migliaia di campioni di malware provenienti da USB durante la missione, in un ambiente di test controllato e isolato. La tecnologia Deep CDR™ è deterministica, il che significa che non deve indovinare se un file sia dannoso. Parte dal presupposto che il file possa essere dannoso, rimuove i contenuti attivi a rischio e ne rigenera una versione pulita. Se il processo viene bloccato correttamente, non sono necessari frequenti aggiornamenti delle firme per prevenire molte minacce sconosciute basate su file, poiché il Kiosk il file prima di considerarlo affidabile.

Infine, abbiamo testato l’hardware in un ambiente ostile. Il Kiosk ha dovuto affrontare temperature estreme, bassa pressione, movimenti violenti, lo scoppio del pallone, elevate forze G durante la discesa, rotazioni, cadute e persino l’atterraggio in un fiume. Dopo tutto ciò, ha continuato a funzionare per un po’. Questo è importante perché la sicurezza informatica spaziale è un problema sia software che hardware.