La Nato nello spazio

I primi passi dell’Alleanza nella costruzione di un sistema di difesa organizzato del cyberspazio. Ma gli Stati vogliono mantenere segrete le loro operazioni cibernetiche

Al vertice Nato del 2018 a Bruxelles i 29 membri dell’Alleanza hanno deciso di istituire un Cyberspace Operations Center (CyOC, Centro per le operazioni nel cyberspazio) in Belgio al fine di fornire il quadro della situazione e coordinare le attività operative della Nato nel cyberspazio. Il 31 agosto 2018 il centro è stato allestito in una struttura di prova presso il Comando supremo delle Potenze alleate in Europa (SHAPE) a Mons, in Belgio. Sei mesi dopo Laura Brent, addetta alla difesa cibernetica presso il quartier generale della Nato, ha riassunto con queste parole la funzione del centro: “il CyOC funge da centro operativo della Nato per il cyberspazio e ha il compito di fornire il quadro della situazione, una pianificazione centralizzata degli aspetti delle operazioni e delle missioni dell’Alleanza relative al cyberspazio e il coordinamento delle questioni operative in questo dominio”. Il centro è destinato a diventare pienamente operativo entro il 2023, con un organico previsto di 70 persone.

Nel corso dell’anno sono trapelate diverse informazioni sul futuro funzionamento del CyOC e su come l’alleanza prevede di sfruttarlo. Tuttavia la possibilità che un avversario si serva di questa struttura al fine di creare attrito all’interno dell’Alleanza non è stata ancora ampiamente trattata. Vediamo quindi quali effetti devastanti potrebbe provocare un simile intervento.

Il CyOC sostiene l’alleanza in due settori: in primo luogo il centro permetterà al Comandante Supremo delle Forze Alleate in Europa (SACEUR) di condurre le operazioni militari della Nato nel cyberspazio. In altre parole, mentre l’Allied Command Operations (ACO) supporta il SACEUR nella pianificazione strategica complessiva delle operazioni militari, il CyOC dovrà integrare e coordinare le operazioni cibernetiche dei singoli Stati. Il CyOC deve colmare questa lacuna perché, a differenza di quanto avviene per la cooperazione militare nello spazio reale, gli alleati non sono disposti a condividere informazioni tattiche sulle loro operazioni segrete in questo dominio. Dato che la cooperazione a livello tattico risulta impossibile, l’unica soluzione per l’Alleanza è quella di istituire un centro che coordini strategicamente le capacità cibernetiche offerte volontariamente dai singoli Stati membri a sostegno delle operazioni militari della Nato. Il Colonnello Donald Lewis, vice direttore del CyOC, l’ha spiegato bene osservando che “la Nato non conduce operazioni offensive nel cyberspazio, ma integrerà le iniziative di Stati sovrani che sono in grado e disposti a fornirle, seppur mantenendole sotto la propria responsabilità nazionale”. 

Il secondo compito del CyOC è quello di fornire all’ACO e al SACEUR un quadro generale del panorama delle minacce nel cyberspazio che comprenda non solo aspetti delle minacce quali l’analisi forense dei malware, l’open source intelligence (OSINT) e la raccolta di indicatori di compromissione (IOC) per il rilevamento dei malware, ma anche i sistemi di comunicazione e informazione (CIS) della Nato. Come ha spiegato concisamente Ian West, capo della sicurezza informatica presso l’Agenzia per le comunicazioni e l’informazione della Nato, “il nostro obiettivo finale è quello di essere pienamente consapevoli del nostro cyberspazio, in modo tale da capire minuto per minuto lo stato delle nostre reti affinché i comandanti possano fare affidamento su di esse”. Il quadro generale fornito dal CyOC dovrebbe includere anche aspetti delle missioni rilevanti per i responsabili, come la raccolta di informazioni sulle vulnerabilità dei sistemi di comunicazione e informazione degli avversari e l’identificazione dei limiti politici e operativi (ad esempio le azioni che i responsabili della missione non dovrebbero intraprendere). In sostanza, il CyOC funziona come una cella di fusione per questa grande varietà di informazioni e deve quindi costruire e mantenere relazioni con numerose agenzie, organizzazioni e aziende per adempiere al proprio compito.  

Ora, dato che il CyOC è ancora in fase embrionale e, come ha spiegato il Maggior generale Wolfgang Renner, vice capo di stato maggiore dei CIS e della difesa cibernetica dello SHAPE, “non è nemmeno pronto ad annunciare la data prevista per il raggiungimento della capacità operativa iniziale”, qualsiasi critica generale mossa al CyOC sarebbe pedante e prematura. Ciononostante possiamo ipotizzare alcuni scenari in cui un avversario tenti di sfruttare il CyOC a proprio vantaggio.

Nel primo scenario ci concentreremo sul modo in cui il CyOC condivide e raccoglie le informazioni. Secondo l’open   il CyOC dovrebbe mantenere tre collegamenti, regolati dai requisiti Nato per lo scambio di informazioni (IER), al fine di ricevere e fornire OSINT, IOC, best practices, analisi dei malware e un quinto elemento il cui codice IER è sconosciuto. Nello specifico i tre collegamenti sono: quello tra il CyOC e i 29 Stati membri della Nato, quello tra il CyOC e le nazioni non Nato (probabilmente membri selezionati del Dialogo Mediterraneo, del Partenariato per la pace, dell’Iniziativa di Istanbul per la cooperazione e altri partner della Nato) e infine quello tra il CyOC e “altre nazioni” non meglio specificate.

La prima vulnerabilità che possiamo identificare è legata al fatto che il CyOC non si limita all’area di competenza della Nato, ma raccoglie informazioni a livello globale, in linea con l’interconnessione del cyberspazio, la globalizzazione delle catene logistiche e la diffusione di prodotti software e hardware identici o comunque simili in tutto il mondo. Ipoteticamente un avversario potrebbe sfruttare questo flusso di informazioni fornendo a una delle nazioni non-Nato indicatori di compromissione e persino analisi dei malware degli strumenti offensivi di uno dei 29 alleati. In altri termini, quando queste informazioni giungono al CyOC e vengono poi diffuse internamente, in conformità con la missione di difesa dagli attacchi informatici della Nato, il CyOC rischia di compromettere gli strumenti degli alleati dall’interno e quindi di creare un conflitto istituzionale in seno all’alleanza. In un certo senso sarebbe una mossa analoga, benché più mirata e non pubblica, alla pubblicazione di campioni di malware avversari sul sito di analisi di crowdsourcing e archiviazione di malware Virus Total, praticata ufficialmente dal Cyber Command statunitense dall’inizio di novembre 2018.

Il secondo scenario verte sulla possibilità che singoli Stati mettano a disposizione le loro capacità informatiche offensive a sostegno di un’operazione militare della Nato. In questo caso il SACEUR si trova in una posizione molto difficile, in quanto deve riporre la sua cieca fiducia nella capacità cibernetica di uno Stato membro. In altre parole, da un punto di vista legale, l’approvazione e l’impiego di tale capacità rende il SACEUR responsabile di eventuali incidenti sul campo di battaglia. Non tutti potrebbero essere disposti a correre questo rischio. Il fatto che lo Stato che esegue volontariamente l’operazione cibernetica offensiva abbia una propria struttura di comando e sia pertanto responsabile a sua volta di qualsiasi sgarro contribuisce a complicare il quadro giuridico: se un avversario riuscisse a dipingere l’operazione offensiva come una violazione del diritto umanitario internazionale, prenderebbe due piccioni con una fava.

Mettiamo che la Nato stia conducendo un’operazione militare contro un ipotetico Paese X. Due membri della Nato – Danimarca e Stati Uniti – offrono volontariamente le loro capacità informatiche offensive al CyOC. Il Cyber Command esegue la sua missione senza intoppi, mentre i danesi incontrano alcuni problemi, ma alla fine riescono a colpire l’obiettivo assegnato. Il Paese X valuta i due casi e stabilisce che l’attacco al suo sistema di difesa missilistica è stato altamente sofisticato e preciso, mentre l’attacco subito da un produttore di armi è stato approssimativo e avrebbe potuto potenzialmente colpire altri obiettivi. Poiché il SACEUR è ed è sempre stato un ufficiale americano, il Paese X parte dal presupposto logico che l’attacco sofisticato debba essere stato eseguito dal Cyber Command statunitense. Il secondo attacco è stato troppo maldestro per essere attribuito agli Stati Uniti, allora il Paese X decide di condurre una campagna di guerra dell’informazione per individuare il responsabile. Dopo un paio di giorni i media del Paese X riferiscono che il produttore di armi è stato preso di mira da un attacco informatico approssimativo e che il malware utilizzato ha colpito anche i sistemi di supporto vitale di un ospedale improvvisato, provocando la morte di 21 bambini. A questo punto sia i danesi che il SACEUR hanno un problema. Come minimo ci sarebbe da aspettarsi che i danesi si ritirino immediatamente dal CyOC e che il SACEUR interrompa qualsiasi futura operazione informatica offensiva sotto il proprio comando. Nella peggiore delle ipotesi si scatenerebbe un’accesa discussione all’interno della Nato, che potrebbe culminare con Copenaghen che vieta al proprio Ministero della Difesa di condurre operazioni cibernetiche offensive e con un SACEUR che non si non fida delle capacità di nessun alleato – ad eccezione che degli Stati Uniti – in questo dominio. In entrambi i casi il Paese X potrebbe semplicemente mettersi comodo e lasciare che la politica danese e quella della Nato facciano ciò che un avversario non sarebbe mai riuscito a ottenere con metodi convenzionali.

Questo articolo è pubblicato anche sul numero di gennaio/febbraio di eastwest.

Puoi acquistare la rivista in edicola o abbonarti.