Quanto è sicura l’archiviazione dei file criptati?

Nessuno può negare la praticità dei servizi di archiviazione file nel cloud, come Dropbox o OneDrive. L’unico inconveniente è che cybercriminali, agenzie di intelligence o lo stesso provider del servizio di hosting possono visualizzare i file basati sul cloud senza autorizzazione. Ma esiste un’alternativa più sicura: l’archiviazione di file criptati nel cloud. Talvolta, come nel caso di Signal e di WhatsApp, questa tecnologia viene definita criptaggio end-to-end (E2EE). Stando a quanto dichiarano questi servizi, i file vengono criptati nel dispositivo e inviati al cloud già in formato protetto: la chiave di criptaggio rimane in possesso del proprietario dei file e nessun altro può accedervi. Nemmeno il provider del servizio è in grado di ottenere queste informazioni. Ma è davvero così?

Criptaggio a buchi

L’Applied Cryptography Group dell’ETH di Zurigo ha smontato gli algoritmi di cinque popolari servizi di archiviazione criptati: Sync.com, pCloud, Icedrive, Seafile e Tresorit. In ognuno di essi, i ricercatori hanno riscontrato errori nell’implementazione del criptaggio che consente, a vari livelli, la manipolazione dei file e persino l’accesso a frammenti di dati non criptati. In precedenza avevano scoperto difetti in altri due noti servizi di hosting: MEGA e Nextcloud.

In tutti i casi, gli attacchi vengono eseguiti da un server dannoso. Lo scenario è il seguente: gli autori dell’attacco manomettono i server di hosting criptati oppure, manipolando i router lungo il percorso dal client al server, forzano il computer della vittima a connettersi a un altro server che imita il server di hosting criptato autentico. Se questa difficile manovra ha successo, gli autori degli attacchi possono teoricamente:

• Nel caso di com, inserire cartelle e file con informazioni incriminanti e modificare i nomi dei file e i metadati delle informazioni archiviate. Inoltre, il server compromesso può inviare nuove chiavi di criptaggio al client, quindi decriptare tutti i file scaricati in un secondo momento. Infine, la funzione di condivisione integrata consente al server dannoso di decriptare qualsiasi file condiviso dalla vittima, poiché la chiave di decriptaggio è contenuta nel collegamento inviato quando si accede al server.
• Nel caso di pCloud, gli autori degli attacchi possono spostare file e cartelle in modo arbitrario e scambiare i nomi dei file, eliminare i frammenti di file e decriptare i file scaricati dopo la modifica.
• Nel caso di Seafile, possono forzare il client a utilizzare una versione precedente del protocollo, in modo da semplificare l’applicazione di attacchi di forza bruta alle password, lo scambio o l’eliminazione di frammenti di file, l’inserimento di file e cartelle e la modifica dei metadati dei file.
• Nel caso di Icedrive, possono inserire file costituiti da frammenti di altri file già caricati nel cloud, modificare il nome e la posizione dei file archiviati e riordinare i frammenti di file.
• Nel caso di Tresorit, possono manipolare i metadati dei file archiviati, incluso l’autore.
• Nel caso di Nextcloud, possono manipolare le chiavi di criptaggio, consentendo il decriptaggio dei file scaricati.
• Nel caso di MEGA, possono ripristinare le chiavi di criptaggio e quindi decriptare tutti i file. È anche possibile inserire file incriminanti.

Il server dannoso in ogni caso è un componente dell’attacco difficile da implementare ma non creativo. Alla luce dei cyberattacchi contro Microsoft e Twilio, la possibilità che venga compromessa un’azienda importante è reale. Inoltre, naturalmente, E2EE per definizione deve essere resistente ad azioni dannose sul lato server.

Senza entrare nei dettagli tecnici, va osservato che gli sviluppatori di tutti i servizi sembrano aver implementato E2EE in piena regola e utilizzato algoritmi affidabili e riconosciuti come AES e RSA. Il criptaggio dei file, tuttavia, crea molte difficoltà tecniche nei casi di collaborazione e creazione condivisa di documenti. Le attività richieste per superare queste difficoltà e tenere conto di tutti i possibili attacchi che coinvolgono chiavi di criptaggio modificate rimangono irrisolte, ma Tresorit ha svolto un lavoro di gran lunga migliore di chiunque altro.

I ricercatori sottolineano che gli sviluppatori dei vari servizi hanno commesso errori molto simili in modo indipendente. Questo significa che l’implementazione dell’archiviazione criptata nel cloud comporta sfumature non banali in termini di crittografia. È necessario un protocollo ben sviluppato e testato a fondo dalla comunità crittografica, come TLS per i siti Web o Signal Protocol per la messaggistica istantanea.

Correzioni costose

Il problema principale con la correzione dei bug identificati è che non solo le applicazioni e il software del server devono essere aggiornati, ma anche, in molti casi, i file salvati dall’utente devono essere nuovamente criptati. Non tutti i provider di hosting possono permettersi queste enormi spese di elaborazione. Inoltre, eseguire nuovamente il criptaggio è possibile solo in collaborazione con ciascun utente, non unilateralmente. Questo è forse il motivo per cui le correzioni tardano ad arrivare:

• com ha risposto ai ricercatori dopo sei mesi e solo dopo la comparsa di resoconti sulla stampa. Dopo essersi finalmente svegliata, l’azienda ha annunciato una correzione per il problema della divulgazione delle chiavi durante la condivisione dei collegamenti e ha dichiarato che correggerà anche gli altri difetti, ma senza fornire tempistiche.
• Tresorit ha promesso di risolvere il problema nel 2025 (ma il problema è meno grave in questo caso).
• Seafile ha corretto il problema del downgrade della versione del protocollo senza commentare gli altri difetti.
• Icedrive ha deciso di non affrontare i problemi identificati.
• pCloud non ha risposto ai ricercatori fino alla comparsa di resoconti sulla stampa, quindi ha annunciato che gli attacchi sono teorici e non richiedono un’azione immediata.
• Nextcloud ha risolto il problema e sostanzialmente rielaborato l’approccio generale a E2EE nella versione 3.12. Lo schema di criptaggio aggiornato deve ancora essere esaminato a fondo.
• MEGA ha ridotto significativamente la probabilità di un attacco introducendo controlli lato client.

Cosa devono fare gli utenti

Sebbene le problematiche individuate dall’Applied Cryptography Group non possano essere definite puramente teoriche, non rappresentano una minaccia di massa prontamente sfruttabile dai cybercriminali. Pertanto, non è necessario agire in modo affrettato. È piuttosto necessaria una valutazione approfondita della situazione:

• Quanto sono sensibili i dati nello spazio di archiviazione e quanto sono allettanti per degli estranei?
• Quanti dati vengono archiviati nel servizio criptato e possono essere facilmente spostati in un altro?
• Quanto sono importanti le funzionalità di collaborazione e condivisione file?

Se la collaborazione non è importante, mentre i dati archiviati sono critici, l’opzione migliore consiste nel passare al criptaggio dei file in locale. È possibile eseguire questa operazione in vari modi, ad esempio archiviando i dati in un file contenitore criptato o in un archivio con una password complessa. Se è necessario trasferire i dati a un altro dispositivo, è possibile caricare un archivio già criptato nel servizio di hosting cloud.

Se si desidera combinare collaborazione e praticità con adeguate garanzie di sicurezza e la quantità di dati archiviati non è eccezionale, vale la pena spostare i dati in uno dei servizi che ha resistito meglio ai test di ETH Zurich. Questo significa innanzitutto Tresorit, anche MEGA e Nextcloud.

Se nessuna di queste soluzioni soddisfa le aspettative, è possibile optare per altri servizi di hosting criptato, ma con ulteriori precauzioni: evitare di memorizzare dati altamente sensibili, aggiornare tempestivamente le applicazioni client, controllare periodicamente le unità cloud ed eliminare le informazioni obsolete o estranee.

In ogni caso, è importante ricordare che l’attacco ai dati molto probabilmente assumerà la forma di un infostealer, che tenta semplicemente di compromettere il computer o lo smartphone della vittima. Pertanto, l’hosting criptato deve andare di pari passo con una protezione anti-malware completa per tutti gli smartphone e i computer