Mancavano solo le fantasie sugli incendi causati dalla domotica personale violata

Ne abbiamo sentite tante, ma quest’ultima – che molti avranno forse letto negli ultimi giorni – impotizza addirittura una teoria per la quale, negli scenari di cyber-war paralleli a quelli militari in (triste) svoglimento nell’Est Europa, vedrebbe come ipotesi gli hacker di mezzo mondo impegnati a dare fuoco agli appartamenti russi violando la sicurezza dei termostati per riscaldamento autonomo.

Qualcosa di vero c’è, ma è necessario essere precisi. Facciamo quindi un breve passo indietro e ricostruiamo da cosa nasce tutto questo can-can e la conseguente (non)notizia riportata/rilanciata da alcune testate italiane e straniere.

Un mese fa circa (il 17 marzo 2022) un ricercatore pubblica un report piuttosto dettagliato nel quale illustra e denuncia una problematica legata ad alcuni componenti di Tekon, brand russo responsabile della produzione di componenti per il mercato per lo più interno, in particolare controller, HUB, dispositivi Modbus, tutti focalizzati per apparecchiature edili e ambienti basati su SCADA. SCADA, per chi non lo sapesse (importante saperlo per comprendere meglio la questione) è uno standard di automazione e gestione adottato prevalentemente in ambito industriale. Si immaginino impianti idroelettrici, centrali, distributivi, di trattamento materie prime, linee di produzione e molto altro: e lì che trovano proprio naturale ecosistema i componenti di questo tipo – di certo non le abitazioni private. 

La vulnerabilità degli apparati indicati nell’articolo nasce dalla pessima abitudine di alcuni produttori (in questo caso Tekon) di impostare di default password semplici e per lo più note, affiancata all’abitudine degli utilizzatori di non cambiarle: una volta connessi remotamete ad un apparato, il ricercatore ha dimostrato non solo di riuscire ad accedervi molto velocemente, ma di riuscire ad attivare anche SSH e, una volta collegatosi a tale interfaccia, a scalare ai massimi diritti operativi (root), portanto l’utente a poter far letteralmente ciò che meglio crede dell’apparato. Certo, non un problema di poco conto, specie se si immagina che alcuni di questi, come elencato sopra, supervisionano impianti industriali, anche critici. Non si tratta però di un problema nuovo: tantissimi sono gli esempi, per citarne uno su molti quello denunciato in questo articolo del blog Disinformatico.

Negli ultimi anni (e specialmente nel mondo occidentale) tanti sono stati i passi avanti per mitigare tali rischi: malgrado siano lontani i livelli di sicurezza assoluta (un concetto comunque puramente utopico), molte delle infrastrutture sono state fortemente irrobustite, banalmente anche solo non esponendole più direttamente su Internet e irrobustendo le password.

Quindi: la notizia passata in questi giorni è verosimile? 
La è, ma solo se affrontata in tutt’altro modo. Non la è, sostanzialmente, quando parliamo di impianti privati.

Ipotizziamo che un palazzo goda di riscaldamento centralizzato gestito da un sistema informatico SCADA (o di altra natura) il quale soffra, in un modo analogo al caso di cui sopra (o in altro) di una qualche vulnerabilità che consenta a malintenzionati di assumerne pieno controllo. Sarebbe possibile causare un incendio? Ipoteticamente sì, sebbene un impianto del genere preveda – specie in quelli più recenti – meccanismi fail-safe, i quali intervengano automaticamente in caso si presentino delle condizioni anomale. Un po’ come il nostro salvavita domestico: quando l’asciugacapelli cade nella vasca piena d’acqua, è lui a “scattare” e a salvare il malcapitato; oppure i freni d’emergenza di un ascensore, e così via. Analogamente, anche se un componente di cui si sia preso il controllo possa inviare comandi dagli effetti potenzialmente pericolosi a una centrale di produzione termica o altro, dovrebbe essere comunque la centrale stessa a fermarsi prima che avvenga l’irreparabile, a prescindere dai comandi ricevuti. Tornando però alla domanda iniziale, può succedere che dei malintenzionati diano vita a un incendio? Sì, è possibile. Improbabile, remoto quanto si vuole ma possibile.

La notizia che circola – legata al caso Tekon – è però un’altra. Quel che passa è che termostati di impianti domestici presi in ostaggio da hacker vengano utilizzati per causare incendi (vedi questo esempio).

Da lì il passo mentale potrebbe essere breve: “i termostati intelligenti – connessi e quindi vulnerabili – li abbiamo in casa anche noi – non solo i russi – quindi saremmo in pericolo anche noi”. Bene: non è così. A scanso di facili equivoci non siamo in pericolo né noi né i russi (almeno su questo), salvo utilizzare impianti centralizzati profondamente insicuri come sopra in breve spiegato.

Nel caso di termostati a uso civile utilizzati per gestire il riscaldamento autonomo, possiamo infatti stare sufficientemente sereni. La stragrande maggioranza dei termostati sul mercato (come alcuni in primis da noi testati) si basa per il proprio funzionamento su un concetto semplice: il contatto pulito. Quando i termosifoni si devono scaldare “perché fa freddo”, i termostati si limitano infatti a chiudere un banale contatto pulito il quale così “avvisa” la caldaia di accendersi, portare la temperatura dell’acqua del circuito a un certo valore (regolato, si noti, sulla caldaia stessa) e quindi di farla circolare. Fine. Nel caso di caldaie più evolute, ovvero basate su tecnologia OpenTherm, il termostato non solo indica alla caldaia quando accendersi, ma anche a che temperatura portare l’acqua (non solo dei termosifoni, ma spesso ache dell’acqua ad uso civile). Comunque sia, qualsiai caldaia prevede, “a livello basso”, dei meccanismi di fail-safe. Qualsiasi.

Che i termostati in questione siano gestiti via Cloud o tramite intergrazioni locali (vedi scheda), un malintenzionato che riuscisse a raggiungerli (più facilmente via Cloud, meno localmente) riuscirebbe al più a farci diventare matti, forzandoci al troppo freddo o al troppo caldo in base alle sue scelte. Di certo non riuscirebbe a fare dei danni come innescare un incendio.

Se avete un termostato intelligente in casa, o se ne state per acquistare uno, state sereni.

Ci si concentri semmai sull’irrobustire le proprie password, attivare l’autenticazione a due fattori (quando disponibile) su qualsiasi servizio Cloud, a sfruttare quando possibili componenti interni e HUB personali per il coordinamento delle funzioni e altre ottime pratiche di mitigazione del rischio.