Avi Rubin: All your devices can be hacked

Translator: Joseph Geni Reviewer: Morton Bast

Traduttore: Anna Cristiana Minoli Revisore: Alessandra Tadiotto

I'm a computer science professor,

Sono professore di informatica,

and my area of expertise is

e la mia area di competenza è

computer and information security.

computer e sicurezza informatica.

When I was in graduate school,

Quand'ero all'università,

I had the opportunity to overhear my grandmother

ho avuto l'opportunità di sentire per caso mia nonna

describing to one of her fellow senior citizens

descrivere a uno dei cittadini della sua età

what I did for a living.

quello che facevo per vivere.

Apparently, I was in charge of making sure that

Apparentemente, avevo l'incarico di assicurarmi

no one stole the computers from the university. (Laughter)

che nessuno rubasse i computer dall'università. (Risate)

And, you know, that's a perfectly reasonable thing

E sapete, è assolutamente ragionevole

for her to think, because I told her I was working

che lei pensasse ciò, perché le avevo detto che lavoravo

in computer security,

nella sicurezza informatica,

and it was interesting to get her perspective.

ed fu interessante vedere il suo punto di vista.

But that's not the most ridiculous thing I've ever heard

Ma non è la cosa più ridicola che io abbia

anyone say about my work.

sentito dire sul mio lavoro.

The most ridiculous thing I ever heard is,

La cosa più ridicola che io abbia mai sentito

I was at a dinner party, and a woman heard

è stata ad una serata in cui una donna ha sentito

that I work in computer security,

che lavoravo nella sicurezza informatica,

and she asked me if -- she said her computer had been

e mi chiese se -- disse che il suo computer era stato

infected by a virus, and she was very concerned that she

infettato da un virus, ed era molto preoccupata che

might get sick from it, that she could get this virus. (Laughter)

potesse ammalarsi anche lei, che potesse prendersi il virus. (Risate)

And I'm not a doctor, but I reassured her

Io non sono un dottore, ma la rassicurai

that it was very, very unlikely that this would happen,

che era molto, molto improbabile che accadesse,

but if she felt more comfortable, she could be free to use

ma se si sentiva più sicura, poteva liberamente usare

latex gloves when she was on the computer,

guanti di gomma quand'era al computer,

and there would be no harm whatsoever in that.

e non ci sarebbe stato alcun pericolo.

I'm going to get back to this notion of being able to get

Tornerò su questo concetto di poter prendere

a virus from your computer, in a serious way.

un virus da un computer, in modo serio.

What I'm going to talk to you about today

Ciò di cui vi parlerò oggi

are some hacks, some real world cyberattacks that people

sono alcune violazioni, alcuni attacchi informatici del mondo reale che la gente

in my community, the academic research community,

nella mia comunità, la comunità della ricerca accademica,

have performed, which I don't think

ha realizzato, di cui non penso

most people know about,

molte persone siano a conoscenza,

and I think they're very interesting and scary,

e credo che sia molto interessante e spaventoso.

and this talk is kind of a greatest hits

Questo discorso è tra quelli di maggiore successo

of the academic security community's hacks.

tra gli attacchi della comunità accademica della sicurezza.

None of the work is my work. It's all work

Niente di tutto questo è lavoro mio. È tutto lavoro

that my colleagues have done, and I actually asked them

dei miei colleghi, e ho chiesto loro

for their slides and incorporated them into this talk.

le slide e le ho incluse nel mio discorso.

So the first one I'm going to talk about

La prima di cui parlerò

are implanted medical devices.

sono le apparecchiature mediche impiantate.

Now medical devices have come a long way technologically.

Le apparecchiature mediche hanno fatto grandi progressi tecnologici.

You can see in 1926 the first pacemaker was invented.

Il primo pacemaker è stato inventato nel 1926.

1960, the first internal pacemaker was implanted,

Nel 1960 è stato impiantato il primo pacemaker,

hopefully a little smaller than that one that you see there,

per fortuna un po' più piccolo di quello che vedete qui,

and the technology has continued to move forward.

e la tecnologia ha continuato ad avanzare.

In 2006, we hit an important milestone from the perspective

Nel 2006, raggiungiamo un importante traguardo dal punto di vista

of computer security.

della sicurezza informatica.

And why do I say that?

E perché dico questo?

Because that's when implanted devices inside of people

Perché in quel momento gli apparecchi impiantati nelle persone

started to have networking capabilities.

hanno cominciato ad essere collegati in rete.

One thing that brings us close to home is we look

Una cosa che ci avvicina a ciò a cui voglio arrivare è guardare

at Dick Cheney's device, he had a device that

l'apparecchio di Dick Cheney, aveva un apparecchio

pumped blood from an aorta to another part of the heart,

che pompava sangue dall'aorta ad un'altra parte del cuore,

and as you can see at the bottom there,

e come potete vedere qui in basso

it was controlled by a computer controller,

era controllato da un computer,

and if you ever thought that software liability

e se avete mai pensato che l'affidabilità del software

was very important, get one of these inside of you.

è molto importante, provate uno di questi su di voi.

Now what a research team did was they got their hands

Un gruppo di ricercatori ha messo le mani

on what's called an ICD.

su quello che si chiama un ICD.

This is a defibrillator, and this is a device

È un defibrillatore ed è uno strumento

that goes into a person to control their heart rhythm,

che viene impiantato per controllare il ritmo cardiaco,

and these have saved many lives.

e ha salvato molte vite.

Well, in order to not have to open up the person

Per non dover aprire la persona

every time you want to reprogram their device

ogni volta che l'apparecchio va riprogrammato

or do some diagnostics on it, they made the thing be able

o per fare un esame diagnostico, hanno fatto in modo

to communicate wirelessly, and what this research team did

che potesse comunicare wireless e questo gruppo di ricercatori ha fatto in modo

is they reverse engineered the wireless protocol,

di ricorrere al reverse engineering del protocollo wireless,

and they built the device you see pictured here,

e ha costruito un apparecchio che vedete qui,

with a little antenna, that could talk the protocol

con una piccola antenna, che poteva parlare nel protocollo

to the device, and thus control it.

dell'apparecchio e quindi controllarlo.

In order to make their experience real -- they were unable

Per rendere reale la loro esperienza -- non sono stati in grado

to find any volunteers, and so they went

di trovare volontari, così sono andati

and they got some ground beef and some bacon

a prendere della carne e del bacon,

and they wrapped it all up to about the size

hanno avvolto tutto nelle dimensioni

of a human being's area where the device would go,

della parte del corpo umano in cui sarebbe andato l'apparecchio,

and they stuck the device inside it

e hanno messo dentro l'apparecchio

to perform their experiment somewhat realistically.

per realizzare l'esperimento in maniera realistica.

They launched many, many successful attacks.

Hanno lanciato tanti, tanti attacchi con successo.

One that I'll highlight here is changing the patient's name.

Tra questi ne evidenzio uno che è stato quello di cambiare il nome del paziente.

I don't know why you would want to do that,

Non so perché uno vorrebbe fare una cosa del genere,

but I sure wouldn't want that done to me.

sono sicuro che non vorrei fosse fatto a me.

And they were able to change therapies,

E sono stati capaci di cambiare i trattamenti,

including disabling the device -- and this is with a real,

compresa la disabilitazione dell'apparecchio -- e questo

commercial, off-the-shelf device --

con un apparecchio vero --

simply by performing reverse engineering and sending

semplicemente applicando il reverse engineering e mandandogli

wireless signals to it.

segnali wireless.

There was a piece on NPR that some of these ICDs

Hanno fatto un servizio sulla radio nazionale secondo cui questi ICD

could actually have their performance disrupted

l'attività degli ICD potrebbe essere interrotta

simply by holding a pair of headphones onto them.

semplicemente mettendoci sopra un paio di auricolari.

Now, wireless and the Internet

Il wireless e Internet

can improve health care greatly.

possono migliorare significativamente le cure sanitarie.

There's several examples up on the screen

Ci sono diversi esempi sullo schermo

of situations where doctors are looking to implant devices

di situazioni in cui i medici cercano di impiantare apparecchi

inside of people, and all of these devices now,

nelle persone, e tutti questi apparecchi

it's standard that they communicate wirelessly,

comunicano ormai regolarmente wireless,

and I think this is great,

e credo che sia fantastico,

but without a full understanding of trustworthy computing,

ma senza una piena comprensione di un'informatica affidabile,

and without understanding what attackers can do

e senza capire fin dall'inizio

and the security risks from the beginning,

quello che gli attacchi possono fare e i rischi alla sicurezza,

there's a lot of danger in this.

i pericoli sono elevati.

Okay, let me shift gears and show you another target.

Ok, andiamo avanti, vi mostro un'altra applicazione.

I'm going to show you a few different targets like this,

Vi mostrerò qualche obiettivo diverso, come questo,

and that's my talk. So we'll look at automobiles.

e questo è il mio discorso. Guardiamo le automobili.

This is a car, and it has a lot of components,

Questa è un'auto, ha tanti componenti

a lot of electronics in it today.

e c'è tanta elettronica nelle auto oggigiorno.

In fact, it's got many, many different computers inside of it,

Di fatto, contiene tanti computer diversi,

more Pentiums than my lab did when I was in college,

più Pentium di quanti ne avesse il mio laboratorio all'università.

and they're connected by a wired network.

e sono collegati da una rete via cavo.

There's also a wireless network in the car,

C'è anche una rete wireless nell'auto,

which can be reached from many different ways.

che si può raggiungere in diversi modi.

So there's Bluetooth, there's the FM and XM radio,

C'è il Bluetooth, c'è la radio FM e XM,

there's actually wi-fi, there's sensors in the wheels

c'è il wi-fi, ci sono i sensori sulle ruote

that wirelessly communicate the tire pressure

che comunicano wireless la pressione delle gomme

to a controller on board.

ad un dispositivo centrale.

The modern car is a sophisticated multi-computer device.

Le auto moderne sono un sofisticato apparecchio multi-computerizzato.

And what happens if somebody wanted to attack this?

E cosa succederebbe se qualcuno volesse attaccarlo?

Well, that's what the researchers

È quello che hanno fatto

that I'm going to talk about today did.

i ricercatori di cui vi parlerò oggi.

They basically stuck an attacker on the wired network

In sostanza hanno bloccato un attacco sulla rete via cavo

and on the wireless network.

e sulla rete wireless.

Now, they have two areas they can attack.

Ci sono due aree di attacco.

One is short-range wireless, where you can actually

Una è quella wireless a corto raggio, in cui si può

communicate with the device from nearby,

comunicare con l'apparecchio da una distanza ravvicinata,

either through Bluetooth or wi-fi,

tramite Bluetooth o wi-fi,

and the other is long-range, where you can communicate

e l'altro è a lungo raggio, in cui si può comunicare

with the car through the cellular network,

con l'auto attraverso la rete cellulare,

or through one of the radio stations.

o attraverso una stazione radio.

Think about it. When a car receives a radio signal,

Pensateci. Quando un'auto riceve un segnale radio,

it's processed by software.

viene elaborato da un software.

That software has to receive and decode the radio signal,

Quel software deve ricevere e decodificare il segnale radio,

and then figure out what to do with it,

e capire cosa farne,

even if it's just music that it needs to play on the radio,

anche se è solo musica che va trasmessa alla radio.

and that software that does that decoding,

E quel software che decodifica,

if it has any bugs in it, could create a vulnerability

se ha qualche falla, potrebbe creare una vulnerabilità

for somebody to hack the car.

e consentire a qualcuno di attaccare l'auto.

The way that the researchers did this work is,

I ricercatori hanno fatto in questo modo:

they read the software in the computer chips

hanno letto il software nei chip del computer

that were in the car, and then they used sophisticated

che sono nell'auto e hanno usato sofisticati strumenti

reverse engineering tools

di reverse engineering

to figure out what that software did,

per capire cosa ha fatto quel software,

and then they found vulnerabilities in that software,

e hanno trovato le vulnerabilità di quel software,

and then they built exploits to exploit those.

e le hanno sfruttate.

They actually carried out their attack in real life.

Hanno portato avanti l'attacco per davvero.

They bought two cars, and I guess

Hanno acquistato due auto, e mi sa

they have better budgets than I do.

che hanno budget più elevati dei miei.

The first threat model was to see what someone could do

Il primo modello di minaccia serviva per vedere cosa si poteva fare

if an attacker actually got access

se con un attacco si riusciva ad accedere

to the internal network on the car.

alla rete interna dell'auto.

Okay, so think of that as, someone gets to go to your car,

Ok, pensate a qualcuno che sale nella vostra auto,

they get to mess around with it, and then they leave,

fa un po' di disastri e poi se ne va,

and now, what kind of trouble are you in?

e ora in che pasticcio siete?

The other threat model is that they contact you

L'altro modello di minaccia è quando vi contattano

in real time over one of the wireless networks

in tempo reale su una delle reti wireless

like the cellular, or something like that,

come il cellulare, o qualcosa di simile,

never having actually gotten physical access to your car.

senza mai accedere fisicamente alla vostra auto.

This is what their setup looks like for the first model,

Questo è lo schema del primo modello,

where you get to have access to the car.

in cui dovete accedere all'auto.

They put a laptop, and they connected to the diagnostic unit

Mettono un portatile, e lo collegano all'unità diagnostica

on the in-car network, and they did all kinds of silly things,

sulla rete interna all'auto, e fanno cose stupide di qualunque tipo:

like here's a picture of the speedometer

questa è l'immagine del tachimetro

showing 140 miles an hour when the car's in park.

che mostra 230 km all'ora mentre l'auto è parcheggiata.

Once you have control of the car's computers,

Una volta preso il controllo del computer dell'auto,

you can do anything.

si può fare di tutto.

Now you might say, "Okay, that's silly."

Potreste dire, "Ok, è ridicolo."

Well, what if you make the car always say

Beh, ma se facciamo in modo che l'auto

it's going 20 miles an hour slower than it's actually going?

segnali sempre 30 km all'ora meno della velocità effettiva?

You might produce a lot of speeding tickets.

Si potrebbero generare un sacco di multe per eccesso di velocità.

Then they went out to an abandoned airstrip with two cars,

Poi sono andati su una pista d'atterraggio abbandonata con due auto,

the target victim car and the chase car,

l'auto vittima come obiettivo e l'auto che insegue,

and they launched a bunch of other attacks.

e hanno lanciato tutta una serie di attacchi.

One of the things they were able to do from the chase car

Una delle cose che sono stati in grado di fare dall'auto che inseguiva

is apply the brakes on the other car,

è attivare i freni dell'altra auto,

simply by hacking the computer.

semplicemente attaccando il computer.

They were able to disable the brakes.

Sono stati in grado di disattivare i freni.

They also were able to install malware that wouldn't kick in

Sono stati anche in grado di installare un malware che non sarebbe

and wouldn't trigger until the car was doing something like

entrato in funzione fino a che la macchina non avesse fatto qualcosa come

going over 20 miles an hour, or something like that.

superare i 30 km all'ora, o una cosa simile.

The results are astonishing, and when they gave this talk,

I risultati sono sbalorditivi, e quando hanno fatto questo discorso

even though they gave this talk at a conference

anche se lo hanno fatto ad una conferenza

to a bunch of computer security researchers,

a una schiera di ricercatori sulla sicurezza informatica,

everybody was gasping.

tutti sono rimasti a bocca aperta.

They were able to take over a bunch of critical computers

Sono stati in grado di prendere il controllo di una serie di computer essenziali

inside the car: the brakes computer, the lighting computer,

all'interno dell'auto: il computer dei freni, il computer del sistema di illuminazione,

the engine, the dash, the radio, etc.,

il motore, il cruscotto, la radio, ecc...

and they were able to perform these on real commercial

e sono stati in grado di farlo solo tramite il sistema radio

cars that they purchased using the radio network.

su auto in commercio e regolarmente acquistate.

They were able to compromise every single one of the

Sono stati capaci di compromettere ogni singolo software

pieces of software that controlled every single one

che controllava ogni singola

of the wireless capabilities of the car.

funzione wireless dell'auto.

All of these were implemented successfully.

Sono state tutte realizzate con successo.

How would you steal a car in this model?

Come si può rubare un'auto in questo modello?

Well, you compromise the car by a buffer overflow

Beh, si compromette l'auto con un sovraccarico di vulnerabilità

of vulnerability in the software, something like that.

del buffer nel software, una cosa del genere.

You use the GPS in the car to locate it.

Si usa il GPS dell'auto per localizzarla.

You remotely unlock the doors through the computer

Si aprono le porte in remoto attraverso il computer

that controls that, start the engine, bypass anti-theft,

che lo controlla, si accende il motore, si supera l'antifurto,

and you've got yourself a car.

e vi siete fatti una macchina.

Surveillance was really interesting.

La sorveglianza era molto interessante.

The authors of the study have a video where they show

Gli autori dell studio hanno un video che li mostra

themselves taking over a car and then turning on

mentre prendono il controllo dell'auto e poi accendono

the microphone in the car, and listening in on the car

il microfono dell'auto e ascoltano quello che succede nell'auto

while tracking it via GPS on a map,

mentre la tracciano su una mappa tramite il GPS,

and so that's something that the drivers of the car

ed è una cosa che il conducente dell'auto

would never know was happening.

non verrà mai a sapere.

Am I scaring you yet?

Vi sto già spaventando?

I've got a few more of these interesting ones.

Ho ancora qualcosa di interessante.

These are ones where I went to a conference,

Queste risalgono ad una conferenza

and my mind was just blown, and I said,

in cui ero piuttosto fuori di testa e ho detto,

"I have to share this with other people."

"Devo condividere questa cosa con altre persone."

This was Fabian Monrose's lab

Questo era il laboratorio di Fabian Monroe

at the University of North Carolina, and what they did was

all'Università del Nord Carolina e quello che hanno fatto è stato

something intuitive once you see it,

una cosa intuitiva una volta che la vedete,

but kind of surprising.

ma abbastanza sorprendente.

They videotaped people on a bus,

Hanno registrato la gente su un autobus,

and then they post-processed the video.

e poi hanno rielaborato il video.

What you see here in number one is a

Quello che vedete qui nel numero uno è

reflection in somebody's glasses of the smartphone

il riflesso dello smartphone negli occhiali di una persona

that they're typing in.

che sta digitando.

They wrote software to stabilize --

Hanno scritto un software per stabilizzare --

even though they were on a bus

anche se erano su un autobus

and maybe someone's holding their phone at an angle --

e magari qualcuno sta tenendo il telefono con una certa angolatura --

to stabilize the phone, process it, and

per stabilizzare il telefono, elaborare e --

you may know on your smartphone, when you type

sapete, sul vostro smartphone, quando digitate

a password, the keys pop out a little bit, and they were able

una password, le lettere vengono un po' fuori -- e sono stati capaci

to use that to reconstruct what the person was typing,

di usare questa cosa per ricostruire quello che la persona stava digitando,

and had a language model for detecting typing.

con un modello linguistico per rilevare la digitazione.

What was interesting is, by videotaping on a bus,

Quel che è interessante è che registrando su un autobus,

they were able to produce exactly what people

sono stati in grado di produrre esattamente quello che la gente

on their smartphones were typing,

stava digitando sullo smartphone,

and then they had a surprising result, which is that

e hanno ottenuto un risultato sorprendente, ossia

their software had not only done it for their target,

che il software non l'ha fatto unicamente per i loro obiettivi,

but other people who accidentally happened

ma su altre persone che accidentalmente

to be in the picture, they were able to produce

erano in quell'immagine. Sono stati in grado di riprodurre

what those people had been typing, and that was kind of

quello che la gente digitava ed è stato un artefatto accidentale

an accidental artifact of what their software was doing.

di quello che faceva il software.

I'll show you two more. One is P25 radios.

Ve ne mostro altre due. Uno sono le radio P25.

P25 radios are used by law enforcement

Le radio P25 vengono usate dalle forze dell'ordine,

and all kinds of government agencies

da qualsiasi tipo di agenzia governativa

and people in combat to communicate,

e in situazioni di combattimento per comunicare.

and there's an encryption option on these phones.

C'è un'opzione di criptaggio su questi telefoni.

This is what the phone looks like. It's not really a phone.

Ecco come appare il telefono. Non è proprio un telefono.

It's more of a two-way radio.

È più una radio a due vie.

Motorola makes the most widely used one, and you can see

Motorola fabbrica quella più utilizzata, e vedete

that they're used by Secret Service, they're used in combat,

che vengono usate dai servizi segreti, vengono usate in combattimento.

it's a very, very common standard in the U.S. and elsewhere.

È uno standard molto, molto comune negli Stati Uniti e altrove.

So one question the researchers asked themselves is,

Allora una domanda che si pongono i ricercatori è,

could you block this thing, right?

questo apparecchio si può bloccare?

Could you run a denial-of-service,

Si può bloccare il servizio,

because these are first responders?

perché questi sono ricevitori?

So, would a terrorist organization want to black out the

Un'organizzazione terroristica vorrebbe oscurare

ability of police and fire to communicate at an emergency?

la capacità della polizia e dei pompieri di comunicare in caso di emergenza?

They found that there's this GirlTech device used for texting

Hanno scoperto che c'è un apparecchio tecnologico per le bambine utilizzato per i messaggi

that happens to operate at the same exact frequency

che guarda caso opera esattamente sulla stessa frequenza

as the P25, and they built what they called

del P25, e hanno costruito una cosa chiamata

My First Jammer. (Laughter)

Il Mio Primo Jammer. (Risate)

If you look closely at this device,

Se osservate attentamente questo apparecchio,

it's got a switch for encryption or cleartext.

ha un interruttore per criptare o lasciare in chiaro il messaggio.

Let me advance the slide, and now I'll go back.

Vado avanti con la slide, e ora torno indietro.

You see the difference?

Vedete la differenza?

This is plain text. This is encrypted.

Questo è il testo normale. Questo è criptato.

There's one little dot that shows up on the screen,

Viene mostrato un puntino sullo schermo,

and one little tiny turn of the switch.

e basta girare l'interruttore.

And so the researchers asked themselves, "I wonder how

Così i ricercatori si sono chiesti, "Mi domando

many times very secure, important, sensitive conversations

quante volte conversazioni molto sicure, importanti e sensibili

are happening on these two-way radios where they forget

si svolgono su queste radio a due vie in cui si dimentica

to encrypt and they don't notice that they didn't encrypt?"

di criptare e senza rendersi conto di non aver criptato."

So they bought a scanner. These are perfectly legal

Quindi hanno comprato uno scanner. Questi sono perfettamente legali

and they run at the frequency of the P25,

e girano sulla frequenza del P25,

and what they did is they hopped around frequencies

e quello che hanno fatto è saltare da una frequenza all'altra

and they wrote software to listen in.

e hanno scritto un software per ascoltare.

If they found encrypted communication, they stayed

Se trovavano comunicazioni criptate, rimanevano

on that channel and they wrote down, that's a channel

su quella frequenza e scrivevano, è un canale

that these people communicate in,

su cui la gente comunica,

these law enforcement agencies,

queste forze dell'ordine,

and they went to 20 metropolitan areas and listened in

e sono andati in 20 aree metropolitane e hanno ascoltato

on conversations that were happening at those frequencies.

le conversazioni su quelle frequenze.

They found that in every metropolitan area,

Hanno scoperto che in ogni area metropolitana,

they would capture over 20 minutes a day

riuscivano a catturare più di 20 minuti al giorno

of cleartext communication.

di comunicazioni in chiaro.

And what kind of things were people talking about?

E che tipo di discorsi faceva la gente?

Well, they found the names and information

Hanno scoperto nomi e informazioni

about confidential informants. They found information

su informatori confidenziali. Hanno scoperto informazioni

that was being recorded in wiretaps,

che venivano registrate da microspie,

a bunch of crimes that were being discussed,

una serie di crimini di cui si discuteva,

sensitive information.

informazioni sensibili.

It was mostly law enforcement and criminal.

Erano perlopiù forze dell'ordine e criminali.

They went and reported this to the law enforcement

Sono andati a segnalarlo alle forze dell'ordine,

agencies, after anonymizing it,

dopo averle rese anonime,

and the vulnerability here is simply the user interface

e la vulnerabilità qui è semplicemente dovuta ad un'interfaccia utente

wasn't good enough. If you're talking

mal progettata. Se parlate

about something really secure and sensitive, it should

di qualcosa di veramente sicuro e sensibile,

be really clear to you that this conversation is encrypted.

dovrebbe essere assolutamente chiaro che la conversazione è criptata.

That one's pretty easy to fix.

Questo è abbastanza facile da sistemare.

The last one I thought was really, really cool,

L'ultimo che penso sia veramente fantastico,

and I just had to show it to you, it's probably not something

e dovevo assolutamente mostrarvelo, probabilmente non è una cosa

that you're going to lose sleep over

su cui perderete il sonno

like the cars or the defibrillators,

come le auto o i defibrillatori.

but it's stealing keystrokes.

ll furto della digitazione.

Now, we've all looked at smartphones upside down.

Abbiamo tutti guardato i telefoni a rovescio.

Every security expert wants to hack a smartphone,

Qualunque esperto di sicurezza vorrebbe violare uno smartphone,

and we tend to look at the USB port, the GPS for tracking,

e tendiamo a guardare la porta USB, il GPS per il tracciamento,

the camera, the microphone, but no one up till this point

la telecamera, il microfono, ma nessuno fino ad ora

had looked at the accelerometer.

aveva guardato l'accelerometro.

The accelerometer is the thing that determines

L'accelerometro è quella cosa che determina

the vertical orientation of the smartphone.

l'orientamento verticale dello smartphone.

And so they had a simple setup.

Quindi hanno fatto un semplice intervento.

They put a smartphone next to a keyboard,

Hanno messo uno smartphone vicino a una tastiera,

and they had people type, and then their goal was

e la gente digitava. L'obiettivo era

to use the vibrations that were created by typing

usare le vibrazioni che si creavano dalla digitazione

to measure the change in the accelerometer reading

per misurare i cambiamenti nella lettura dell'accelerometro

to determine what the person had been typing.

per determinare quello che la persona stava digitando.

Now, when they tried this on an iPhone 3GS,

Quando lo hanno provato su un iPhone 3GS,

this is a graph of the perturbations that were created

questo è un grafico dei disturbi creati

by the typing, and you can see that it's very difficult

dalla digitazione, e potete vedere che è molto difficile

to tell when somebody was typing or what they were typing,

dire se qualcuno sta digitando o cosa sta digitando,

but the iPhone 4 greatly improved the accelerometer,

ma l'iPhone 4 ha migliorato decisamente l'accelerometro,

and so the same measurement

e quindi la stessa misura

produced this graph.

produce questo grafico.

Now that gave you a lot of information while someone

Vi fornisce un sacco di informazioni quando qualcuno

was typing, and what they did then is used advanced

sta digitando, e quello che hanno fatto poi è usare

artificial intelligence techniques called machine learning

una tecnica di intelligenza artificiale avanzata chiamata apprendimento automatico

to have a training phase,

per creare una fase di apprendimento,

and so they got most likely grad students

e hanno fatto digitare

to type in a whole lot of things, and to learn,

a studenti tutta una serie di cose,

to have the system use the machine learning tools that

e hanno fatto utilizzare l'apprendimento automatico al sistema

were available to learn what it is that the people were typing

per capire cosa stavano digitando le persone

and to match that up

e abbinarlo

with the measurements in the accelerometer.

alle misure dell'acceleromentro.

And then there's the attack phase, where you get

Poi c'è la fase di attacco, in cui si fa digitare qualcosa

somebody to type something in, you don't know what it was,

a qualcuno, senza sapere cosa,

but you use your model that you created

ma si usa il modello creato

in the training phase to figure out what they were typing.

in fase di apprendimento per scoprire cosa stanno digitando.

They had pretty good success. This is an article from the USA Today.

Ci sono riusciti abbastanza bene. Questo è un articolo da USA Today.

They typed in, "The Illinois Supreme Court has ruled

Hanno digitato, "La Corte Suprema dell'Illinois ha determinato

that Rahm Emanuel is eligible to run for Mayor of Chicago"

che Rahm Emanuel è eleggibile per la corsa a sindaco di Chicago."

— see, I tied it in to the last talk —

-- vedete, l'ho collegato all'ultimo discorso --

"and ordered him to stay on the ballot."

"e gli ho ordinato di rimanere per la votazione."

Now, the system is interesting, because it produced

Il sistema è interessante perché ha prodotto

"Illinois Supreme" and then it wasn't sure.

"Suprema dell'Illinois e poi non era sicuro.

The model produced a bunch of options,

Il modello ha prodotto una serie di opzioni,

and this is the beauty of some of the A.I. techniques,

e questa è la bellezza di alcune delle tecniche di Intelligenza Artificiale,

is that computers are good at some things,

cioè che i computer sono bravi in certe cose,

humans are good at other things,

gli esseri umani sono bravi in altre,

take the best of both and let the humans solve this one.

prendete il meglio di entrambi e lasciate che gli umani risolvano questo.

Don't waste computer cycles.

Non sprecate cicli di computer.

A human's not going to think it's the Supreme might.

Un umano non penserà mai che Supreme sia un'altra opzione.

It's the Supreme Court, right?

È la "Corte Suprema", giusto?

And so, together we're able to reproduce typing

Così, insieme siamo in grado di riprodurre la digitazione

simply by measuring the accelerometer.

semplicemente con le misure dell'accelerometro.

Why does this matter? Well, in the Android platform,

Perché ha importanza? Sulla piattaforma Android,

for example, the developers have a manifest

per esempio, gli sviluppatori hanno una regola

where every device on there, the microphone, etc.,

per cui ogni apparecchio, il microfono, ecc.,

has to register if you're going to use it

deve registrare se lo state usando

so that hackers can't take over it,

in modo che gli hacker non possano inserirsi,

but nobody controls the accelerometer.

ma nessuno controlla l'accelerometro.

So what's the point? You can leave your iPhone next to

Qual è il punto? Potete lasciare l'iPhone vicino

someone's keyboard, and just leave the room,

alla tastiera di qualcuno, e uscire dalla stanza,

and then later recover what they did,

e tornare e scoprire cosa ha fatto,

even without using the microphone.

anche senza usare il microfono.

If someone is able to put malware on your iPhone,

Se qualcuno è in grado di mettere un malware sul vostro iPhone

they could then maybe get the typing that you do

potrebbe forse scoprire cosa digitate

whenever you put your iPhone next to your keyboard.

ogni volta che mettete il vostro iPhone vicino alla tastiera,

There's several other notable attacks that unfortunately

Ci sono diversi altri attacchi degni di nota che sfortunatamente

I don't have time to go into, but the one that I wanted

non ho tempo di approfondire, ma quello che volevo

to point out was a group from the University of Michigan

sottolineare è un gruppo dell'Università del Michigan

which was able to take voting machines,

che è stato in grado di prendere le macchine per le votazioni

the Sequoia AVC Edge DREs that

le Sequoia AVC Edge DRE che

were going to be used in New Jersey in the election

che sarebbero state usate per le elezioni in New Jersey

that were left in a hallway, and put Pac-Man on it.

abbandonate in un corridoio, e metterci su Pac Man.

So they ran the Pac-Man game.

Ci hanno fatto girare sopra Pac Man.

What does this all mean?

Cosa significa?

Well, I think that society tends to adopt technology

Credo che la società tenda ad adottare la tecnologia

really quickly. I love the next coolest gadget.

molto rapidamente. Adoro i nuovi gadget.

But it's very important, and these researchers are showing,

Ma è molto importante, e questi ricercatori lo mostrano,

that the developers of these things

che gli sviluppatori di queste cose

need to take security into account from the very beginning,

prendano in considerazione la sicurezza fin dall'inizio,

and need to realize that they may have a threat model,

e devono rendersi conto che potrebbero avere uno schema delle minacce possibili,

but the attackers may not be nice enough

ma chi attacca potrebbe non essere tanto gentile

to limit themselves to that threat model,

da limitarsi a quello schema,

and so you need to think outside of the box.

quindi è necessario pensare fuori dagli schemi.

What we can do is be aware

Quello che possiamo fare è sapere

that devices can be compromised,

che gli apparecchi possono essere compromessi,

and anything that has software in it

e qualunque cosa abbia un software

is going to be vulnerable. It's going to have bugs.

sarà vulnerabile. Avrà delle falle.

Thank you very much. (Applause)

Grazie infinite. (Applausi)