Immaginate internet come una città gigantesca e frenetica dove ogni dispositivo ha un indirizzo unico, come il numero civico di una casa. Nella versione più vecchia di questa città (IPv4), le strade erano affollate ed era facile camminare lungo ogni isolato, bussando a ogni porta, per vedere chi fosse in casa. Ma nella nuova, massiccia espansione della città (IPv6), le strade sono così lunghe e i numeri civici così casuali e in costante mutamento che è quasi impossibile trovare qualcuno semplicemente tirando a indovinare. Avreste bisogno di una mappa che si aggiorni ogni secondo.

Per tenere sincronizzati i loro orologi, la maggior parte dei dispositivi in questa città non si limita a indovinare l'ora; chiedono l'ora a un coordinatore centrale chiamato NTP Pool. Pensate all'NTP Pool come a una massiccia torre dell'orologio gestita da volontari, dove chiunque può installare un orologio e offrire l'ora al quartiere. Poiché è molto popolare, milioni di dispositivi chiedono l'ora a questi orologi ogni giorno. Il problema è che, quando un dispositivo chiede l'ora, deve mostrare il proprio "numero civico" (il suo indirizzo IP) affinché l'orologio sappia dove inviare la risposta. Questo articolo esplora un trucco subdolo con cui alcune persone stanno usando questi orologi volontari non solo per dire l'ora, ma per scrivere segretamente i numeri civici di tutti quelli che passano di lì, e poi usare quell'elenco per andare a bussare a porte che altrimenti non avrebbero trovato.

Il furto alla Torre dell'Orologio

In questo studio, i ricercatori Erik Rye e Robert Beverly hanno deciso di investigare un fenomeno strano che hanno chiamato "back-scanning" (scansione a ritroso). Sospettavano che alcuni degli orologi volontari nell'NTP Pool stessero agendo come spie. Ecco come funziona il trucco: un dispositivo chiede l'ora a un orologio. L'orologio vede l'indirizzo del dispositivo, lo scrive e poi — invece di limitarsi a restituire l'ora — inizia a inviare sonde a quell'indirizzo per vedere quali servizi sono attivi. È come un panettiere gentile che, dopo che gli hai chiesto l'ora, inizia segretamente a controllare se la tua casa ha una porta chiusa, una telecamera di sicurezza o una cassaforte nascosta, tutto perché sei entrato nel suo negozio.

Per catturare queste spie, i ricercatori hanno preparato una trappola astuta. Hanno creato un computer "prober" (sondatore) speciale che inviava migliaia di richieste agli orologi dell'NTP Pool. Ma ecco la magia: ogni singola richiesta proveniva da un numero civico nuovo, falso e usa e getta (chiamato "nonce"). Questi numeri erano casuali e non venivano mai riutilizzati. I ricercatori hanno poi aspettato per vedere se qualcuno avrebbe bussato alla porta di queste case finte.

Se un orologio stava solo facendo il suo lavoro, avrebbe risposto con l'ora e si sarebbe dimenticato del numero civico falso. Ma se un orologio era una spia, avrebbe scritto quel numero falso e in seguito avrebbe inviato una sonda a quell'indirizzo. Poiché la casa finta non esisteva realmente, l'unico modo in cui una sonda poteva raggiungere quell'indirizzo era se l'orologio (o qualcuno collegato ad esso) avesse salvato il numero e stesse attivamente cercando di raggiungerlo.

Cosa hanno scoperto

Nel corso di un anno, i ricercatori hanno inviato circa 2,45 milioni di queste richieste false a 2.335 diversi server NTP. Hanno scoperto che 22 di quei server stavano effettivamente agendo come spie. Questi 22 server erano raggruppati in quattro distinti "cluster" di comportamento:

1. I Tocchi Leggeri: Un gruppo di server inviava principalmente un singolo "ping" (un controllo base per vedere se il dispositivo è attivo) agli indirizzi falsi. Erano curiosi, ma non scavavano a fondo.
2. I Grandi Protagonisti: Il gruppo più attivo, che i ricercatori hanno ribattezzato Cluster 2, era un'operazione massiccia. Utilizzavano 8 server NTP per raccogliere indirizzi, ma poi lanciavano una enorme campagna di scansione utilizzando oltre 3.000 diversi indirizzi IP per bussare alle porte. Non si limitavano a controllare se la porta fosse aperta; tentavano 572 tipi diversi di serrature (porte TCP) e 9 tipi diversi di chiavi (porte UDP). Cercavano cose specifiche come server web, strumenti di controllo remoto e database.
3. I Lupi Solitari: Altri due gruppi erano molto più piccoli, con un solo server ciascuno, ma stavano comunque effettuando scansioni. Uno inviava ping, e l'altro tentava di accedere a una specifica porta di debug per Android.

I ricercatori hanno notato qualcosa di interessante riguardo alla tempistica. Per i "Tocchi Leggeri", occorrevano in media circa 14 ore per iniziare la scansione dopo aver visto un nuovo indirizzo. I "Grandi Protagonisti" impiegavano un po' più di tempo, circa 22 ore, ma una volta iniziati, non si fermavano. Alcune di queste scansioni continuavano per oltre un mese, controllando ripetutamente gli stessi indirizzi.

Il "Perché" e il "Chi"

I ricercatori hanno rintracciato il proprietario del gruppo di scansione più grande (Cluster 2). Si è scoperto che si trattava di una società di assicurazioni informatiche. Quando i ricercatori hanno chiesto informazioni, la società è stata schietta: hanno ammesso di utilizzare l'NTP Pool specificamente per apprendere gli indirizzi IPv6 attivi ai fini del back-scanning. Affermavano di farlo per "scopi difensivi", nello specifico per aiutare a calcolare il rischio per i loro clienti assicurativi. Sostenevano che sapere quali dispositivi siano in circolazione aiuti a comprendere il panorama delle minacce.

Tuttavia, i ricercatori hanno evidenziato un problema importante: le persone i cui dispositivi venivano scansionati non sapevano che stava accadendo. La maggior parte di questi dispositivi sono piccoli gadget integrati (come termostati intelligenti o sensori IoT) che chiedono automaticamente l'ora all'NTP Pool. Non avevano mai acconsentito alla scansione. Inoltre, la società di scansione utilizzava un mix di server cloud difficili da identificare. Sebbene la società abbia ammesso che circa il 40% della loro infrastruttura di scansione mancava di record di identificazione (rDNS) e abbia dichiarato di aver corretto quelle specifiche voci, non hanno aggiunto record di identificazione ai loro server NTP. Inoltre, né i loro server NTP né i loro server di scansione ospitano una pagina web che spieghi chi sono o come escludersi (opt-out), sebbene un reindirizzamento sul loro dominio fornisca alcune informazioni.

Le conseguenze

Questa scoperta ha messo in luce una "zona grigia" dell'etica informatica. Sebbene bussare a una porta per vedere se qualcuno è in casa non sia di solito un crimine, farlo segretamente usando un trucco per trovare indirizzi che dovevano essere nascosti è eticamente torbido. I ricercatori non si sono limitati a indicare il problema; hanno iniziato a lavorare con gli amministratori dell'NTP Pool per risolverlo.

Stanno attualmente costruendo un sistema per integrare il loro metodo di rilevamento direttamente nel sistema di punteggio dell'NTP Pool. In futuro, se un server orologio volontario viene colto a fare "back-scanning", il sistema abbasserà automaticamente il suo punteggio, il che significa che smetterà di ricevere traffico e verrà infine espulso dal pool. I ricercatori hanno anche condiviso una lista dei malintenzionati con l'NTP Pool, e la società assicurativa coinvolta ha accettato di rendere le proprie operazioni più trasparenti correggendo i record di identificazione mancanti sui propri server di scansione, sebbene i server NTP stessi rimangano non identificati.

Il punto fondamentale

Questo articolo dimostra che anche in un mondo dove trovare i dispositivi dovrebbe essere difficile, esistono modi astuti per imbrogliare il sistema. Usando la fiducia riposta in un servizio volontario di gestione del tempo, alcune entità sono state in grado di costruire una mappa dei dispositivi più elusivi di internet. Lo studio suggerisce che, sebbene queste scansioni possano essere intese per la sicurezza o l'assicurazione, esse aggirano il consenso dei proprietari dei dispositivi. La soluzione non è chiudere l'NTP Pool, ma renderlo più intelligente, assicurando che gli orologi volontari rimangano esattamente ciò che sono — orologi — e non spie segrete.