IsacaRoma (IR): Ciao Giuseppe e grazie per l'intervista. Vuoi presentarti per i nostri lettori?

Giuseppe Paternò (GP): Grazie a voi! Sono Giuseppe Paternò, conosciuto con il soprannome di "Gippa", lavoro per Red Hat nell'ambito dello sviluppo di soluzioni per i clienti e come referente EMEA per la sicurezza. Ricoprivo lo stesso ruolo in Sun Microsystems fino a qualche mese fa.
Nel mio tempo libero continuo ad occuparmi di informatica, in particolare di sicurezza, ma anche di aeronautica e qualche altro hobby "minore".

IR: Sul tuo sito internet scrivi che la tua missione è "innovare attraverso la ricerca". Ci spieghi meglio? Ti riferisci alla sicurezza, all'IT in generale o è un approccio di vita?

GP: Mi piace "la scoperta". Penso che sia un approccio di vita, esattamente come Leonardo Da Vinci voleva scoprire il volo o Marconi le onde radio. Non vorrei però paragonarmi a tali mostri sacri ... non sono certo ai loro livelli! Però mi piace capire "come funziona": attraverso la ricerca tento di capire come interagiscono i protocolli, come le applicazioni possono essere configurate ed adattate nella maniera più semplice possibile per raggiungere un determinato scopo.
Amo la sicurezza perché si presta molto alla ricerca. Si affrontano tutte le tematiche dell'informatica e bisogna saperne un po’ di tutto: dall'hardware al sistema operativo, dai directory server ai certificati digitali, dal Voice over IP alla propagazione delle onde radio per il wireless. C'è di tutto e tanto da scoprire.

IR: Dalla tua biografia emerge che hai vissuto negli anni "eroici" della nascita dell'informatica personale: Commodore 64, M24, BBS, Fidonet… Pensi che oggi per un ragazzo le cose siano diverse? È ancora possibile smanettare come vent'anni fa? Ed è stato importante questo background per la tua successiva professionalità?

GP: Se scrivi "eroici" mi fai sentire vecchio, eh eh eh... Sicuramente quegli anni mi hanno formato tantissimo, soprattutto l'era delle BBS. Mi hanno fatto capire come funzionava il mondo dei computer applicato alle telecomunicazioni. Fidonet poi mi ha "ammaliato": un network mondiale in grado di fare veicolare dei messaggi in tutto il mondo ai costi di un'urbana. Fantastico! Praticamente penso che fosse il precursore di Internet, se lo intendiamo e-mail e newsgroups. Forse grazie alla conoscenza del mondo delle BBS, di Fidonet e delle prime connessioni ad Internet ho avuto la possibilità di avere il mio primo lavoro.
Oggi le cose sono diverse, anche se credo che ci sia molto più spazio di prima per smanettare per un ragazzo volenteroso. Oggi reperire una informazione è molto più facile di prima: con un modem 2400 e dei messaggi fidonet ci volevano una o due settimane per avere informazioni! Con Google è un attimo! Certo prima aveva un certo fascino collegarsi alle BBS e riconoscere la velocità delcollegamento dal rumore dell'handshake del modem .... eh, comincio a scrivere come se avessi 80 anni! :-)
Penso che esistano due modi di vedere Internet o -più in generale- la tecnologia. Uno è usarla e basta, senza chiederti cosa ci sia sotto. Quanti dei ragazzi sanno come funzionano gli SMS o gli MMS? O meglio, quanti ragazzi *vogliono* sapere cosa ci sia sotto?
Secondo il mio parere, non voglio alzare polveroni, ci sono molti meno ragazzi di allora che vogliano capire fino in fondo le tecnologie.

IR: Lavori in Red Hat come solution architect e come referente EMEA per la sicurezza. In che consiste il tuo lavoro? Che consigli daresti a chi volesse intraprendere questo tipo di carriera (o mandare il suo CV in Red Hat)?

GP: Il mio lavoro è diviso in due parti. Come solution architect mi occupo di sviluppare soluzioni e architetture per i clienti basate -ovviamente- sui prodotti e servizi Red Hat. Come referente per la sicurezza sono il centro di contatto per tutti i miei colleghi europei sulle tematiche sicurezza. A mia volta mi interfaccio verso l'engineering dei vari prodotti, del security emergency response team e dei partner di sicurezza. È un lavoro molto interessante.
Per chi volesse intraprendere la carriera della sicurezza direi: "ripensateci e aprite un bel ristorante!" :-). Seriamente, è una vita dura e sacrificata, bisogna studiare un bel po’: per iniziare ci sono dei libri sulla sicurezza che sono un must, come "Building internet firewalls", "Practical unix & internet security" e "TCP/IP illustrated". Poi ci vuole tanta voglia di imparare, umiltà, frequentare i newsgroups e le mailing list apposite (sikurezza.org è forse la migliore) e ... un po’ di fortuna non guasta! A chi vuole iniziare direi: la strada è lunga e difficile, ma abbiate sempre tanta pazienza. Ci saranno tanti "no" e qualche porta in faccia, ma se avete vera passione, prima o poi ci riuscirete.

IR: Prima di lasciare Sun sei stato coinvolto dal Chief Technology Officer di Sun Italia per quanto riguarda le tematiche di sicurezza, networking ed opensource. Di che tipo di progetto si tratta? Open source e sicurezza… È sempre un binomio vincente?

GP: Praticamente ero il consigliere del CTO sulle tematiche di sicurezza, networking e open source. Quando non sapeva qualcosa o voleva saperne di più ci incontravamo e spiegavo il mio punto di vista sulla tematica in questione. In Red Hat ho un ruolo un po’ differente, ma non meno attivo...
Per quanto riguarda open source e sicurezza, secondo il mio modesto parere è un binomio vincente. Se è vero che le falle di sicurezza in un codice vengono scoperte quasi subito, è anche vero che quasi subito vengono risolte. L'hacker etico, oltre a dare un exploit di esempio, molto spesso da anche una patch al codice. Il che significa patch a tempo zero. Qualcuno si ricorda di quanto tempo è passato prima di avere una patch per Internet Explorer?
Ritengo molto valida la soluzione open source con uno o più vendor a supporto del progetto: praticamente quello che succede con Red Hat e Novell su Linux, Digium con Asterisk, Endian con Endian Firewall, giusto per fare qualche nome. I vendor servono a dare da un lato continuità ai progetti open source, dall'altra SLA alle aziende. Anche se una persona con amore e nel proprio tempo libero partecipa aiprogetti OSS, è sempre un tempo limitato: devi pure vivere con un lavoro normale e devi dare il giusto spazio alla tua famiglia. Finanziare un progetto open source è un'ottima cosa: da una parte aiuti la comunità e dall'altra garantisci che il tuo prodotto sia mantenuto e rispecchi le caratteristiche che i tuoi clienti chiedono.
Se mi permetti il paragone azzardato, è un po’ come il commercio equo e solidale in campo informatico. Di contro, i clienti chiedono SLA, supporto e soluzioni: ci vuole un'azienda che aiuti i clienti a fornire soluzioni basati sui progetti open source e supporto. Non mi aspetto che tutti i miei clienti sappiano farsi una patch a OpenLDAP oppure al kernel. Ma è bello che anche i clienti, quelli in grado di farlo, possano fare parte della comunità. È un rapporto non convenzionale, almeno non come siamo abituati a pensare ad un rapporto cliente/fornitore, ma funziona egregiamente. È bello anche che ci siano più aziende a fornire supporto/servizi sullo stesso progetto open source: è una scelta per il cliente ed è una spinta per l'azienda a migliorarsi.

IR: Hai scritto due libri "Sicurezza nelle Wireless LAN" e "Single Sign-On con Kerberos e LDAP": entrambi possono essere acquistati o scaricati in formato pdf. È una formula che economicamente funziona? Che tipo di risposte hai avuto? Stai scrivendo qualcos'altro?

GP: Ci tengo a premettere che dai libri venduti io non prendo neanche un centesimo. La gente non ci crede o mi da del pazzo, ma è la pura verità. La storia è presto detta: io stavo cercando un editore per il mio primo libro "Sicurezza nelle Wireless LAN", non volevo guadagnarci, ma mi sarebbe piaciuto vederlo in formato cartaceo e in libreria. Ho bussato tante porte, ma quelle che mi hanno risposto volevano, ad esempio, la garanzia di un aggiornamento del libro per almeno tre anni oppure mi davano il 15% del loro guadagno (non del prezzo di copertina). Dopo che ho atteso quasi un anno dalla fine della scrittura del libro mi sono detto: o lo tiro fuori o non sarà più utile a nessuno. A quel punto l'ho pubblicato in PDF sul mio sito Internet.
Poi è arrivata Duke Italia che si è proposta di pubblicarlo in formato cartaceo e abbiamo raggiunto un accordo: rinuncio ai mieiguadagni e in cambio non ritiro la copia in PDF on-line, che ormai aveva raggiunto un numero di download da capogiro, in più che venga fatto uno sconto a quelli che comprano via Internet. Anche il secondo libro ha seguito il primo. Ringrazio Enrico Ortensi, l'editore di Duke Italia, per avermi dato questa opportunità. Non ho i numeri, ma so che molti che hanno scaricato hanno anche acquistato la copia cartacea. Se vuoi, questa modalità segue quella
dei progetti open source. Ho qualcos'altro in cantiere, ma non voglio anticipare nulla. Stay tuned .... vorrei solo avere più tempo, ma purtroppo in una giornata ci sono solo 24 ore.

IR: Ti occupi anche di digitale terrestre; quali sono gli aspetti di sicurezza coinvolti? A che punto siamo? Quando usiamo il decoder dobbiamo prendere delle precauzioni? Servirà l'antivirus sull'antenna?

GP: Magari se copriamo l'antenna con un cellophane prendiamo meno virus .... :-) Scherzi a parte, il decoder ha dentro di se un sistema operativo e una Java Virtual Machine (MHP, Multimedia Home Platform). Quando vediamo una trasmissione in digitale terrestre, vengono scaricate trasparentemente delle applet java (xlets) sul nostro decoder che vengono avviate automaticamente. Avete mai visto la scritta "premere il pulsante rosso per avviare l'interattività"? Quella è un'applet java che fa da "menù" per l'avvio di altre xlets. Una volta scaricato l'applet, al 90% le xlets sono locali, ovvero eseguite solo sul decoder. Altre richiedono un canale di ritorno, ad esempio via modem o via ethernet (ho provato dei decoder MHP con l'ethernet). In questo canale di ritorno viaggiano dei protocolli Internet, più spesso sono HTTP POST/GET. Le problematiche sono simili alle applicazioni java MIDP sui telefonini. Un potenziale attaccante potrebbe mettersi sotto casa di una persona che vuole attaccare e coprire il segnale radio del multiplexer(l'oggetto che mischia più canali e applicazioni java sulla stessa frequenza), per poi ritrasmettere i canali video più gli applet modificati. Esattamente un man-in-the-middle attack. Poi ovviamente può intercettare e modificare quello che passa nel canale di ritorno. Per questo si sta pensando di segnare digitalmente le xlets e "blindare" il decoder ad eseguire soltanto le xlets con certification authority valida. Esattamente come avviene nei telefonini con il MIDP. Diciamo che lo sforzo deve essere dei produttori delle tecnologie (decoder/object carousel) e dei broadcaster che producono le xlets, non degli utilizzatori.

IR: Gippa Tv: cos'è?

GP: È stato un gioco. Sempre nell'ottica di capire e sperimentare, quando lavoravo in Sun ho ricostruito una catena di broadcasting: dall'editing fino alla messa in onda in frequenza e ricezione del segnale. In realtà non ho mai collegato il trasmettitore ad una antenna vera e propria (sarebbe stata una TV pirata!), ma l'ho simulata attraverso un cavo, come nelle Cable TV. Questo mi ha permesso di studiare in piccolo tutto il funzionamento di una emittente televisiva dal lato infrastrutturale e capirne anche le implicazioni di sicurezza. Il risultato? Lo potete vedere sul mio sitoInternet nella sezione "Chi sono->Gippa TV".

IR: Nel tuo sito si parla anche di radio, fermomodellismo ed aeronautica; ci sono contaminazioni con l'IT e la security?

GP: Per la radio sì. Da piccolo avevo un CB e parlavo in frequenza, poi ho smesso. Questo però mi ha aiutato a capire la propagazione delle onde radio nelle wireless LAN e ho capito che era impossibile confinare un segnale radio. Con questo proposito, la sicurezza delle reti wireless è stato il giusto mix di informatica e radio. Comunque, sia nella radio che nel fermodellismo c'è la voglia di capire "come funziona", esattamente nel mio stile di vita. Per gli aerei, invece, è una cosa diversa: quando sei su in aria è bellissimo, ti scordi tutti i problemi della vita quotidiana e pensi solo al volo ed al paesaggio.

IR: Che leggi in questo periodo? Qualche consiglio per i nostri lettori?

GP: Sono un pessimo lettore di libri di narrativa. Non leggo un "vero libro" da tanto tempo, alla fine leggo solo libri di informatica o comunque tecnici. In questo momento sto leggendo "Asterisk, the future of telephony" e "Pytho n cookbook", entrambi della ÒReilly. Il primo lo suggerisco: in questo momento sto facendo esperimenti sulla telefonia IP e ovviamente implicazioni di sicurezza.

IR: Ciao e grazie

GP: Grazie a voi! Un saluto a tutti i lettori.

IsacaRoma link

• Intervista a Giampaolo Scafuro, vicepresidente di IISFA, musicista, organizzatore di "SecurPizza"
• OWASP: la sicurezza di AJAX, a colloquio con Stefano Di Paola e Giorgio Fedon
• Intervista a Matteo G.P. Flora, autore di Lastknight.com e direttore tecnico dell’Osservatorio Permanente Privacy e Sicurezza
• Intervista Alberto Revelli Technical Director di OWASP Italy ed autore di sqlninja
• Codice sicuro: intervista a Paolo Perego, thesp0nge, ideatore di OWASP Orizon
• Application security: intervista ad Antonio Parata di OWASP
• OWASP: i vincitori dell'Autumn of Code 2006
• Intervista a Matteo Meucci di Owasp Italia