Kevin Mitnick è stato un mito nella scena dell'hacking mondiale negli ultimi 20 anni: qual è il motivo di questo successo?
I motivi sono più di uno e non sono banali come si potrebbe, erroneamente, pensare. Un primo fattore è la connotazione storica del personaggio Kevin David Mitnick: siamo nei primi anni ’80 e parliamo degli USA, la terra che insieme ai cow-boy ha di fatto creato gli hacker. E siamo nel periodo di Wargames, il primo film a trattare il fenomeno dell’hacking e delle intrusioni non autorizzate. Tutto ciò ha contribuito all’affermarsi di Mitnick come uno dei primi hacker al mondo, presupponendo quindi una sua sorta di "superpotere", grazie al quale nessun sistema informatico era per lui inviolabile. Tutto ciò è vero, ma è anche vero che, negli anni ’80, tutti i sistemi informatici erano violabili con estrema semplicità.
Il secondo fattore è costituito dai mass-media e dall’amplificazione (e distorsione) del termine hacker. Per tutti gli anni ’80 e per gran parte degli anni ’90 una notizia di "hacking", di intrusione, di frode informatica era una big news. John Markoff del "New York Times" è responsabile della notorietà – e dei conseguenti problemi – di Kevin Mitnick: i suoi articoli da prima pagina hanno costruito, volutamente o meno, l’icona del Condor, il concetto del "più pericoloso hacker del mondo". L’ultimo fattore è la genialità di Kevin. Parliamo di un hacker con enormi capacità di Social Engineering, dotato di una faccia di bronzo che rasenta l’incredibile e di un’intelligenza estremamente particolare. Kevin ha realizzato azioni che costituiscono, ancora oggi, il "sogno segreto" di ogni adolescente che sogna di fare l’hacker (ma anche di molti Security Manager).
Grazie a tutti questi elementi Kevin Mitnick è diventato un fenomeno sociale, il simbolo dell’hacking estremo, la rappresentazione di quello che viene chiamato hacking addiction, ovverosia la dipendenza da hacking, esattamente come c’è la dipendenza dalle droghe.

Il "Condor" è stato anche molto odiato: quali sono i motivi?
Credo che quelli che lo odiano di più siano bene o male le realtà indicate su http://www.freekevin.com/indictment.html. Si tratta dell’indictment ufficiale a Kevin David Mitnick e parliamo di aziende del calibro di Motorola, Nokia Mobile Phones, Fujitsu, Digital Equipment Corporation, Novell, NEC, Sun Microsystems, CNS, NetCom, la University of Southern California… Kevin era visto malissimo dall’ambiente security di quel tempo, dato il suo "non avere limiti" nel raggiungimento dei suoi obiettivi: per un lunghissimo periodo intrattenne rapporti telefonici con il superconsulente di sicurezza inglese della DEC (Digital Equipment) spacciandosi per un collega americano, riuscendo così a conoscere in anteprima i problemi di sicurezza del mitico sistema operativo VMS. Tutto questo è stato generato dal principale problema di Kevin (e di ogni hacker, come espresse già nel 1986 The Mentor in "The Hacker’s Manifest"), il crime of curiosity¸quella curiosità irrefrenabile che lo portava a superare la linea di confine tra oggettiva curiosità e sete di cultura tecnica e la criminalità tecnologica. Tra l’altro Kevin è probabilmente uno dei primissimi esempi di Computer Crime di cui si abbiano riscontri effettivi e documentati.

Ma secondo te Kevin Mitnick è veramente stato così pericoloso?
Come accennavo prima, l’incredibile campagna stampa iniziata negli anni ’90 su Kevin ha contribuito alla creazione di un mito. Un mito è, per definizione, una persona che la massa ha mitizzato, esagerandone gli aspetti come nelle più classiche "leggende popolari".
Kevin Mitnick non ha mai violato la Pacific Bank quando vi lavorava come addetto informatico, anche se si dice e si legge l’esatto contrario. Allo stesso modo il Condor non ha ispirato il film Wargames, ma la "leggenda" racconta così, i ragazzini ci credono e si crea il mito di un personaggio che, ripeto, ha effettivamente delle grandissime qualità e capacità tecniche.

Raoul, perché una parte della scena hacker internazionale decise di difendere Kevin durante gli anni del processo?
Vedo almeno due fattori decisivi. In primo luogo i personaggi che giravano con lui sono nel frattempo diventati famosi, facevano (e fanno) opinione: Emmanuel Goldstein di 2600 magazine, lo staff di Phrack e quello di Security Focus, lo stesso Kevin Poulsen e così via.
In seconda istanza le le accuse rivolte a Kevin erano davvero esagerate, le procedure utilizzate nei suoi confronti non rispettavano le stesse leggi americane sul diritto di difesa ed il principio di innocenza sino a prova contraria.
Infine, come naturale conseguenza di quanto sopra, il "caso Mitnick" è divenuto un fatto nazionale, dove la popolazione della nazione indignata sono però gli abitanti del cyberspace.
Il mito di KDM è arrivato al suo massimo apice proprio quando qualcuno aprì il sito FREE KEVIN (http://www.freekevin.com), arrivando a rendere disponibili immagini da utilizzare con adesivi recanti la scritta "Liberate Kevin!" da attaccare sulla macchina o sul PC (http://www.freekevin.com/stick.html). E la spiegazione di questo successo è abbastanza chiara: un hacker, quella figura che i giornalisti tanto amano paragonare a Robin Hood, imprigionato senza possibilità di difesa, senza soldi, dopo anni passati come fuggitivo, vinto ed arrestato da quello Shimomura il quale, su questa storia, ci ha fatto un libro ed un film con la complicità del già citato John Markoff del NYT. Anni di galera per che cosa ? Per avere violato, senza mai fare danni, senza mai rubare, senza mai abusare delle migliaia di carte di credito prelevate dai maggiori ISP americani (insicuri ma, secondo il sistema legale USA, non colpevoli a loro volta di negligenza…), dei sistemi informatici. Colpevole per avere passato ore, mesi, anni davanti alla tastiera. Per aver voluto capire qual era il limite all’inviolabile. Per aver dimostrato la possibilità pratica dell’IP Spoofing, quando tutta la comunità scientifica mondiale affermava il contrario.
Gli esempi e gli aneddoti che si potrebbero fare e raccontare sono molteplici, ma il senso di tutto ciò è con questi presupposti era assolutamente ovvio che la comunità mondiale, underground e non, si sarebbe mossa nei confronti di Kevin. In ultimo, le astronomiche richieste di danni fatte dalle aziende violate, multinazionali dell’IT che, anche singolarmente, hanno un fatturato che è probabilmente maggiore del PIL di molti paesi del mondo. Tutto questo ha in qualche senso indignato la scena dell’hacking, la quale si è messa al lavoro per aiutare un amico, uno che la pensava uguale a loro.

Ci sono relazioni tra Mitnick ed il mondo della sicurezza informatica nel 2003?
Il mondo della security research è piccolo anche se internazionale, le persone sono bene o male sempre le stesse da una decina di anni a questa parte e spesso vedo Kevin in mailing list o board esclusive.
L’accettazione del suo ingresso in questi gruppi ristretti ed elitari è stata, a quanto ho visto, quasi una noblesse oblige, un diritto all’ingresso nel club esclusivo. Il rispetto che c’è nei suoi confronti è ampio e sincero, non si tratta solo di avere un nome altisonante come il suo nel gruppo: oggigiorno gli hacker "maturi" si frequentano esattamente come una volta, ma con lo scopo di scambiare know-how, esperienze tecniche e professionali, oltre che mantenere alto il proprio livello di conoscenze ed aggiornamento. E’ anche per questo motivo che ci sono i vari Black Hat Briefing, Access Denied 2004, DefCon, Hackers at Large, CCC e così via (http://www.blackhat.com, http://www.newleafproductions.com/ad04/index.html, http://www.defcon.org, http://www.hal2001.org, http://www.ccc.de/congress).
Mitnick è iscritto ad un mailing list particolare, uno "0dd" statunitense (0day, come si dice in gergo) dove per prime arrivano le ultime informazioni sui security bug scoperti da sviluppatori e ricercatori indipendenti, quell’underground che continua a pulsare ed a spiegare ai grandi vendor perché e dove hanno sbagliato. Su questo mailing list Kevin non interviene mai, osserva molto ma si "sente" la sua presenza, o quantomeno io ho questa sensazione.
Non dimentichiamoci anche che parliamo di quello che oggi è IL personaggio dell’hacking mondiale, di una persona che è entrato di fatto nello show-business dell’ICT Security internazionale, un hacker che oggi ha un’azienda e per contattarlo si deve passare dal suo agente….un po’ come per Miss Italia… ;)
Nonostante ciò Mitnick è stato disponibilissimo con me non più di poche settimane fa, quando l’ho contattato per un aiuto ed alcune proposte: è bastato presentarmi e menzionare un paio di sistemi che entrambi frequentavamo nel ’90 per ottenere un trattamento da tecnico a tecnico…era così quando eravamo entrambi in Rete e penso (e spero) che sia ancora così oggi.

Secondo te che cosa penserebbe Kevin David Mitnick della scena hacker di oggi?
Forse quello che tutti coloro che hanno iniziato negli anni ’80 pensano e segnalano da tempo, senza purtroppo essere ascoltati…ovvero che la sicurezza sta diventando un punto cruciale e nevralgico della sicurezza nazionale di tanti, troppi paesi, industrializzati e non. Di conseguenza, le esperienze e le capacità hacker possono essere messe a disposizione di aziende e governi, per evitare problemi maggiori rispetto a quelli attuali, già enormi di per sè.
L’opinione sulla scena hacker è una seconda conseguenza a quanto sopra: l’esplosione delle reti informatiche e dei servizi end-to-end ha portato ad una dipendenza dall’informatica che va ben oltre la normale "diffusione" di una tecnologia, qui si parla di dipendenza unilaterale assoluta e presto totale.
La stessa rapidissima evoluzione c’è stata nelle scoperte di falle di sicurezza in tutti quei sistemi e quelle applicazioni che utilizziamo ogni giorno, consapevolmente (come Internet) o meno (il 3G); a ruota è quindi arrivata la diffusione di queste informazioni, alla quale si è sommata la disponibilità di tecnologia e connettività per la massa. Il il risultato finale è che oggi i ragazzi non fumano più di nascosto ma bucano siti per fare web defacement o, nei casi più fortunati e meno lamah, passano la domenica pomeriggio a fare wardialing su numeri verdi 800. E da questo punto in poi, da un parcheggio pubblico dove qualche ragazzo riceverà il segnale di un Access Point wireless non ben protetto, ci si ritroverà davanti la porta di una rete WAN immensa e la storia di un ragazzino troppo curioso ricomincerà….come, dopotutto, è sempre stato per il "battesimo" di ogni hacker che si rispetti.