Quando si parla di cyber security ai meno preparati vengono in mente film in cui si utilizzano tecniche di spionaggio ultra-tecnologiche o catastrofici (e peraltro non impossibili) incidenti con molteplici vittime o furti multi-milionari.
Se poi nell’equazione aggiungiamo anche lo Spazio, il risultato – nell’immaginario collettivo – sarà probabilmente un James Bond in tuta spaziale su Marte che sventa un attacco cibernetico di una moderna quanto improbabile S.P.E.C.T.R.E.
In realtà il tutto non si discosta troppo dalla realtà seppur, certo, senza James Bond e senza il cattivo Numero Uno.
Il settore aerospazio: rischi e opportunità
La verità è che sabotaggi a strutture e infrastrutture di interesse nazionale, il furto di proprietà intellettuali inerenti tecnologie spaziali, l’aggressione a segreti industriali e militari, sono fatti di estrema attualità come peraltro reso evidente anche dalle recenti cronache. A maggior ragione, a dimostrare la consistenza e la criticità di questo scenario, è il documento pubblicato nel febbraio 2021 dalla Presidenza del Consiglio dei ministri e dal Sistema di Informazione per la Sicurezza della Repubblica che illustra un’analisi delle minacce geopolitiche e geostrategiche del Paese, con particolare riferimento alla cybersecurity e alla sicurezza dell’informazione.
In generale, le attività ostili attraverso il dominio cibernetico durante il 2020 per quanto riguarda l’Italia sono aumentate del 20% secondo l’Intelligence e hanno riguardato principalmente sistemi IT di soggetti pubblici, in particolare nelle amministrazioni locali. Nei confronti invece dei soggetti privati gli attacchi hanno interessato prevalentemente il settore bancario e quello farmaceutico-sanitario. Secondo i dati, espressi invece dal rapporto Clusit 2021, a livello globale sono stati 1.871 gli attacchi gravi a domini pubblici nel 2020, con un incremento del 12% rispetto all’anno precedente.
Nel 2020 la raccolta informativa a riguardo si è focalizzata su diversi settori strategici per l’economia nazionale: tra quelli considerati di attenzione prioritaria è emerso il settore aerospazio. Al fine di tutelare i grandi player nazionali e il know-how made in Italy, la ricerca informativa ha evidenziato come attori esteri hanno tentato di insediare le possibilità della filiera spaziale italiana. Secondo il documento i rischi per l’aerospazio comprendono attività di marginalizzazione e di influenza sugli attori nazionali.
Nonostante ciò, nel 2020 si sono riconfermate le enormi potenzialità del settore Spazio in Italia, sia a livello europeo sia a livello mondiale con la partecipazione al programma Artemis per l’esplorazione lunare e ai programmi europei. Il settore Spazio in Italia, con gli effetti della Space Economy, individuati dal rapporto sullo stato dell’industria spaziale in Italia 2020 del Ministero dello Sviluppo Economico, ha generato nell’ultimo anno un giro d’affari di oltre 2 miliardi di euro, ha visto coinvolte circa duecento aziende tra start-up, big player e PMI (che rappresentano l’80% della filiera), di cui circa centocinquanta collaborano a stretto contatto con l’Agenzia Spaziale Italiana.
La Space Economy globalmente ha un valore di ritorno sugli investimenti molto alto, per ogni euro speso ne vengono creati dai nove agli undici. Perciò per l’Italia, che vede nella sua industria spaziale compiersi il ciclo completo della filiera, le strutture e le infrastrutture spaziali, pubbliche e private, rappresentano non solo un trend in rapida crescita, ma anche un comparto strategico da difendere.
Le minacce al settore spaziale
Nel nostro quotidiano siamo completamente dipendenti dalle tecnologie spaziali, per questo motivo, ancora più a rischio ed esposti ad azioni criminali in campo cyber.
Le minacce al settore spaziale riguardano ambiti essenziali e fondamentali per alcune delle infrastrutture critiche dello Stato come comunicazione, servizi finanziari, meteo, difesa, localizzazione. Il rischio parte però dalle strutture satellitari che, in quanto fortemente digitalizzate, sono vulnerabili ad attacchi informatici.
Ciò non colpisce solo il satellite in orbita, ma anche tutte le applicazioni e le strutture a terra ad esso collegate.
Si tratta sia di un rischio fisico per il satellite in sé, che, se manipolato, rischia la distruzione (con conseguente creazione e moltiplicazione di debris spaziali) sia di un rischio che coinvolge la perdita dei dati della missione, nonché della disponibilità e riservatezza dei servizi che gli stessi satelliti contribuiscono ad erogare.
Ulteriori rischi possono comportare modifiche al funzionamento del satellite mediante alterazione o intercettazione dei dati di controllo, blocco dei collegamenti di comando e controllo, introduzione di codice dannoso in un flusso di dati e conduzione di attacchi DoS (Denial of Service).
Le sfide per la difesa
I diversi satelliti in orbita lanciati negli anni passati, non possiedono sistemi di sicurezza interna così validi da non poter essere aggirati con la tecnologia attuale, ma si proteggono, nella maggior parte dei casi, solamente dall’intrusione. È un approccio che non può sopravvivere alla rapida evoluzione delle tecniche di attacco, considerando che le tecnologie spaziali impiegano periodi molto lunghi – dalla progettazione alla realizzazione – per essere rese operative: le difese integrate oggi nei nuovi sistemi diventeranno operative tra anni, e per molti a seguire dovranno essere capaci di adeguarsi alle minacce sempre nuove, anche grazie a tecniche DiD (Defence in Depth) e con supplementi tecnologici che possano salvaguardare anche l’archiviazione di dati ed immagini.
Sembra fantascienza, ma lo stiamo già sperimentando. Di recente, “i sistemi di controllo a terra per un certo numero di satelliti della NASA sono stati infiltrati e violati”, mentre l’ESA ha avuto esperienza di attacchi di denial of service, come racconta l’ESA stessa nel suo sito pubblico.
Il trend in continuo sviluppo e aumento degli Small Satellites in orbita bassa inoltre rende esplicito almeno due problemi aggiuntivi; in primo luogo, la strumentazione minima di bordo dovrà prevedere, anche in caso di satelliti molto ridimensionati e con una massa molto piccola, strumenti per garantire la protezione da attacchi cyber. Tali satelliti, in aggiunta, prevedono o implementano essi stessi estensioni geografiche della rete internet (si pensi alle costellazioni Iridium, Starlink, OneWeb per citarne alcune) o di telecomunicazione, disponendo pertanto di elementi, canali e protocolli di connettività aggiuntivi rispetto a quello previsto per il comando e controllo, e quindi con potenziali punti di vulnerabilità aggiuntivi benché ancora limitatamente bersaglio di attacchi sotto il profilo della sicurezza delle informazioni.
Infine, non dobbiamo dimenticare che i primi rischi nascono “a terra”, ancora prima che la tecnologia sia resa operativa, e sono rischi particolarmente elevati per tutti i soggetti appartenenti alla filiera. Sono quelli forse più “tradizionali” (non per questo altrettanto disattesi, stando ad esempio ai dati precedentemente citati del Rapporto Clusit) e riguardano la proprietà intellettuale, il know how, i sistemi produttivi che supportano l’economia spaziale italiana pubblica e privata. L’impatto di una mancata difesa puntuale potrebbe interferire a livello nazionale con la crescita del settore e con il mantenimento della posizione dell’Italia nella sfera globale. L’innovazione tecnologica in campo spaziale va di pari passo con la vulnerabilità dei dati e delle strutture prodotte se non protette adeguatamente.
Quali soluzioni
Tutto questo rende ancora più stupefacente il fatto che nonostante i report sulla sicurezza e la vulnerabilità del settore, non vengono adottate politiche spaziali o politiche per la cybersecurity che possano fronteggiare queste sfide e queste minacce. In mancanza di una normativa e per mitigare i rischi, la filiera industriale è necessariamente costretta ad agire indipendentemente con sistemi di sicurezza studiati e posti ad hoc per la protezione dei propri prodotti.
Un esempio a riguardo è stato prodotto come direttiva negli Stati Uniti il 4 settembre 2020: la direttiva sulla politica spaziale 5 (SPD 5) in cui viene richiesto alle agenzie governative di collaborare con privati del settore commerciale spaziale per poter sviluppare sistemi di sicurezza integrati e migliorati. Questo documento prevede un’azione politica per quanto concerne la sicurezza informatica dei satelliti e dei sistemi correlati. Il documento individua una serie di best practices al fine di implementare la sicurezza dei sistemi spaziali. La direttiva però al momento non dà costrizioni in merito. Questa disposizione rientra nell’insieme della strategia nazionale in materia di Spazio e della documentazione relativa alla National Cyber Strategy statunitense.
Ricordiamo inoltre come il settore aerospaziale sia esso stesso un campo in cui le sfide innovative a cui devono far fronte gli attori della filiera determinano poi ricadute tecnologiche di ampia e (temporalmente) lunga portata su tutta una serie di ambiti, ivi compresa la cybersecurity. È in questo ambito che si sperimentano le nuove tecniche di quantum cryptography che prenderanno il posto delle tecnologie attuali quando saranno rese obsolete dal quantum computing, ed è ancora in questo contesto che si gioca la sfida delle tecnologie di localizzazione e comunicazione sicure a supporto delle smart cities e smart grids, per citare solo alcuni esempi.
Lo sviluppo di nuovi presidi di sicurezza in grado di fornire risposte a lungo termine al settore aerospaziale è pertanto una strada non solo necessaria, ma un’opportunità che può e deve essere colta.
Seguendo questa direzione, sarebbe importante, viste le minacce individuate dal documento sulla strategia di sicurezza dell’informazione e cybersecurity, implementare le direttive in Italia o creare un documento condiviso con la filiera spaziale europea all’interno di una strategia di sviluppo che includa la stessa cybersecurity, che già oggi costituisce uno dei principali pillar di innovazione e sviluppo della stessa Agenzia Spaziale Europea. Questo garantirebbe una maggiore sicurezza in ambiti e settori critici space-related e di conseguenza un’affermazione maggiore a livello globale del comparto italiano, sia pubblico sia privato.
