MAP - Magazine Alumni Politecnico di Milano #13

54 DIDATTICA
Come Ruba bandiera,
ma al computer
Le competizioni di sicurezza
informatica CTF, o captur the flag,
prevedono che i partecipanti si
sfidino a squadre per identificare
problemi di sicurezza realistici
in applicazioni complesse create
ad hoc dagli organizzatori. Lo
scopo è sfruttare questi problemi
per leggere dati sensibili (le
cosiddette flag) e al contempo
difendersi dagli attacchi dei team
avversari. Il Poli ha una squadra
che ogni sabato si allena proprio
per questo: è Tower of Hanoi, che
partecipa a queste competizioni
dal 2001. « Le competizioni di
sicurezza informatica capture the
flag sono iniziate 20 anni fa, ma
poter operare su un vero satellite
apre scenari che non avremmo
neanche potuto immaginare »
spiega Stefano Zanero, docente
di Computer Security e referente
dell’attività per il Politecnico, che
mette in evidenza la doppia sfida
affrontata dalla squadra: « non
solo eseguire le operazioni per
raggiungere gli obiettivi richiesti,
ma farlo sfruttando le finestre in
cui il satellite era raggiungibile e
poteva captare i comandi inviati
dalla Terra ».
rato un satellite. Un vero satellite,
non una simulazione: il Moonlighter
ha raggiunto l’orbita designata lo
scorso 5 luglio, dopo una breve visita
alla Stazione Spaziale Internazionale,
proprio con la missione inaugurale
di ospitare la sfida di sicurezza
informatica, rendendola la prima
CTF nello spazio. Realizzato da Aerospace
Corporation con la collaborazione
dello US Space Systems
Command e dell’Air Force Research
Laboratory, ospita una piattaforma
di test per lo studio e la prevenzione
di attacchi reali contro i satelliti.
Al Politecnico di Milano, Polino
insegna come hackerare un sistema
informatico. È un corso magistrale
e s’intitola Offensive and Defensive
Cyber Security. « Dieci anni fa era tutto
molto più facile – ci racconta – le
vulnerabilità dei sistemi informatici
erano molto più ovvie. L’industria ha
capito che è un problema e ha lavorato
per rendere i computer più sicuri.
Gli studenti di Cyber Security di oggi
partono quindi da un livello molto
più complesso, rispetto a quello che
ho studiato ai miei tempi, parlo del
2009. D’altro canto però ci sono anche
molti più strumenti. Cose che
prima richiedevano ore di lavoro ora
sono gestite da un tool in pochi secondi.
Cambia proprio il livello di
difficoltà di ciò che si può fare ».
Polino sta raccontando come
se l’insegnamento fosse attaccare,
non difendere. « Sì, la cosa che dico
sempre a lezione è che difendere è
difficile: per difendere un sistema,
non devi avere un punto debole. Al
minimo dettaglio che trascuri, il tuo
sistema diventa vulnerabile. Quindi
l’approccio è quello di imparare
quali sono gli attacchi, perché gli attacchi
svelano le vulnerabilità, per
poi difendersi. Inoltre, se noi insegniamo
come attaccare, gli studenti
apprendono anche una corretta
percezione del rischio ». ●