app
Oggigiorno non c’è persona al mondo che non utilizzi un servizio di messaggistica istantanea che funziona con connessione a Internet. Solo WhatsApp è presente in centinaia di milioni di dispositivi in tutto il mondo e gestisce centinaia di milioni di messaggi al giorno. Tuttavia, non bisogna dimenticare dell’esistenza di altri servizi come Skype, Viber, ICQ e molti altri, più o meno popolari, come la chat di Facebook e LinkedIn. Con la diffusione di questi servizi, il problema della privacy si fa sempre più forte, soprattutto quando scambiamo messaggi. Questa preoccupazione può risultare talvolta esagerata, soprattutto tenendo in considerazione tutte le informazioni che si condividono ogni giorno online. Tuttavia, in certi casi, abbiamo bisogno di mandare messaggi confidenziali, comunicazioni che nessuno dovrebbe leggerle. È possibile comunicare su Internet senza che qualcuno entri nelle nostre conversazioni di nasconsto, “alla Snowden”? Forse sì, vediamolo insieme.
Introduzione
In primo luogo, dobbiamo considerare in che modo una catena di messaggi o un messaggio vocale può essere esposto. Qualsiasi messaggio, indipendentemente dalla sua natura o dal fatto che includa una foto, un video o un messaggio vocale, viene in primo luogo registrato nella memoria locale del dispositivo, sia del mittente che del destinatario, poi viene inviato via Internet, attraverso cavo o reti wireless e, infine, viene processato dal server del gestore (sebbene questa fase non sia obbligatoria). Se qualcuno potesse intercettare in qualche modo le prime fasi, si perderebbe di conseguenza il controllo del resto della catena. La crittografia potrebbe certamente aiutare molto, ma non è un sistema perfetto. Chi può garantirci che il protocollo non contenga vulnerabilità, soprattutto se si utilizza un algoritmo di crittografia comune?
Prendiamo il caso per esempio di Skype. Fino a poco tempo fa, era considerato uno dei migliori sistemi per l’invio di messaggi privati, una sorta di roccaforte inespugnabile che non avrebbe mai ceduto ad un attacco, includendo anche quelli degli hacker e delle potenti entità governative. Tuttavia, da quando Skype Ltd ha perso la sua indipendenza in seguito all’acquisizione da parte di Microsoft, tutto è cambiato. Ora quando chattiamo o parliamo via skype, non possiamo più stare completamente tranquilli.
Nemmeno con Whatsupp, servizio che processa ogni giorno centinaia di milioni di messaggi, siamo al sicuro. Durante gli ultimi mesi sono apparse varie notizie su alcune vulnerabilità (sebbene solo nella versione Android e non in altre piattaforme) e i dettagli sono abbastanza allarmanti. Per esempio, un recente studio sull’app ha dimostrato che all’interno del dispositivo si può hackerare il file crittografato che contiene la cronologia dei messaggi, tutto in pochi secondi e con un semplice script. Inoltre, l’acquisizione di Whatsup da parte di Facebook non gioca a favore della sicurezza: il fatto che Mark Zuckerberg abbia pagato milioni e milioni di dollari solo per la tecnologia e il team di sviluppatori, e non per appropriarsi dei dati degli utenti, è abbastanza sorprendente.
Per l’esattezza, oltre ai servizi che abbiamo appena menzionato, bisogna dire che anche altre piattaforme di messaggistica gratuita, da Viber a iMessage, hanno problemi simili. In tutte queste piattaforme si può accedere senza grandi difficoltà alla corrispondenza privata degli utenti. In un certo senso, sarebbe meglio che questi servizi fossero di proprietà di grandi aziende perché queste in genere devono rispondere ai governi e, cosa ancora più importante, alle forze dell’ordine. Per fortuna, a ogni azione corrisponde una reazione: i problemi di sicurezza di questi servizi sono di dominio pubblico e sono sorte molte applicazioni simili, più attente alla protezione dei messaggi. Ma prima di tutto dobbiamo individuare il livello di sicurezza che più si adatti alle nostre necessità.
Oggigiorno i sistemi di messaggistica istantanea popolari non sono la scelta migliore in quanto a privacy. Esistono alternative più sicure? Saranno capaci di sostituire Skype o Whatsupp?
Tra gli “addetti ai lavori” è nata un’espressione bastante curiosa: “theater of security” (teatro della sicurezza o sicurezza effimera). Con questa espressione si indica quelle misure di sicurezza apparentemente efficaci, ma che in realtà non lo sono affatto. Per capirci meglio, prendiamo come esempio le misure di sicurezza anti-terrorismo applicate ai mezzi di trasporto pubblici (metropolitana, aeroporti, ecc…): gli oggetti e le persone pericolose vengono controllate solo in alcune zone determinate. Lo stesso succede, per esempio, ai sistemi di vigilanza degli edifici, altro esempio di “theater of security”. Questa definizione si può applicare anche al campo del software, soprattutto in riferimento alle app di messaggistica istantanea. Questo non significa necessariamente che alcuni di questi servizi siano completamente inutili: alcuni possono costituire una valida alternativa, soprattutto per coloro che non sono completamente soddisfatti del livello di privacy e sicurezza offerto loro dalle app più comuni. Tornando alle comparazioni precedenti, assumere agenti di sicurezza o programmare un’ispezione su di un mezzo di trasporto pubblico è sempre utile in fin de conti. Rispetto alle app, si possono ancora utilizzare i servizi di messaggistica, ma è necessario sapere quale tipo di protezione si necessita per comunicare e quali sono i rischi che si vogliono evitare: dal fidanzato o fidanzata gelosa che leggono i messaggi, a persone che vogliono intercettare il traffico tra mittente e destinatario. Per non parlare delle situazioni in cui è l’altro interlocutore a voler violare la nostra privacy: in questi casi, non c’è software di sicurezza che tenga. Dunque, il primo consiglio è: se non vi fidate della persona a cui dovete inviare il messaggio via chat, non inviateglielo.
Ora vi proponiamo alcune app utili, divise in 3 categorie.
L’illusione della sicurezza
In questa lista si trovano le app di messagistica che non rispettano i requisiti di sicurezza desiderati o non garantiscono una protezione adeguata in caso di attacchi, come nel caso dei man-in-the-middle.
In un certo senso, si tratta di un’app unica: tutti i messaggi di Confide si trovano in un rettangolo senza testo, visibile solo quando si clicca nei rettangoli. Inoltre, l’app non permette immagazzinare i messaggi per molto tempo e in questo modo nessuno potrà scoprire la vostra corrispondenza. Se si prova a realizzare una screenshot del messaggio, il programma re-invierà all’utente la lista dei contatti e l’interlocutore riceverà la rispettiva notifica. Queste funzionalità molto evidenti per gli esperti del settore fanno in modo che si possa leggere un messaggio, ma non lo si possa salvare. Ma c’è dell’altro: se l’utente vuole salvare un messaggio, al posto di scattare una screenshot, potrebbe utilizzare una webcam per registrare la comunicazione, parola per parola. Per questa ragione, si tratta di un programma parte del denominato “theatre of security”; in altre parole, attraverso varie funzionalità si crea una illusione di sicurezza. Tutto questo può far comodo a coloro a cui piace giocare agli agenti segreti.
Non così elegante in termini di design, ma rimane sempre un’app ambiziosa. Questa app non lascia traccia dei messaggi nei dispositivi: cancella (in alcuni casi in forma permanente) la cronologia dei messaggi dalla memoria del dispositivi e del server, protegge i messaggi con complessi algoritmi di sicurezza, dispone di strumenti che vi aiuteranno a gestire il tempo in cui il messaggio rimarrà nel dispositivo del destinatario e disabilita la possibilità di copiare i messaggi. Come anche nel caso dell’app precedente, esistono alcune limitazioni tecniche dovute alle funzionalità degli smartphone: questo sistema non può far molto di fronte alle webcam integrate ormai su qualsiasi dispositivo mobile.
Quando parliamo di servizi di messaggistica istantanea sicuri non possiamo non menzionare Telegram, una delle app più popolari del settore. Quindi anche Telegram è incluso nella lista dei servizi del così detto “Theatre of security”. Beh, bisogna dire che non c’è mai stata una dimostrazione oggettiva della sua sicurezza e vale la pena essere un po’ scettici.
Molto di voi ricorderanno che i creatori dell’app avevano offerto una ricompensa di 200 mila dollari per coloro che sarebbero riusciti a hackerare il protocollo di sicurezza MTProto di Telegram. Per alcuni, questa “sfida” rappresentava una prova dell’affidabilità del prodotto. Ciononostante, bisogna dire che questo concorso, nel quale bisognava decifrare un messaggio trasferito da una emittente a un destinatario, metteva in evidenza il fatto che hackerare il sistema non era il modo più efficace per mettere alla prova il sistema e verificare la sua sicurezza. Un giornalista di cryptofails.com ha sottolineato che l’algoritmo MTProto era molto insicuro e non era affidabile dato che “ignora tutti gli studi di crittografia più importanti pubblicati durante gli ultimi 20 anni”. Il giornalista ha suggerito agli sviluppatori di Telegram di contattare dei veri esperti di crittografia.
Un dato curioso: sebbene alla base di Telegram ci sia un protocollo di sicurezza abbastanza complicato, l’app è vulnerabile agli attacchi diretti. Non stiamo parlando di azioni complicate, ma di qualcosa che si trova a livello base. L’utente quando si registra, riceve un SMS e deve introdurre un codice di sicurezza ricevuto per attivare l’applicazione. Ma se un hacker si appropria del messaggio che ha ricevuto l’utente, può attivare la sua copia dell’app con il codice di un’altra persona e, di conseguenza, riceverà tutti i messaggi inviati alla vittima. Considerando, inoltre, che l’opzione “chat sicura” non è attiva di default, la privacy durante lo scambio di messaggi è sicuramente in pericolo.
L’aspetto positivo di Telegram è la sua velocità: i messaggi arrivano praticamente all’istante, essendo molto più veloce di altri servizi. Quindi si tratta di un sistema rapido? Sì. È sicuro? Beh, in parte.
Sicurezza reale
Questa categoria comprende applicazioni e servizi che garantiscono un buon livello di protezione; rispettano, infatti, gli standard di sicurezza ormai comunemente accettati che impediscono l’accesso ai dati da parte di persone non autorizzate.
Si tratta di un progetto svizzero divenuto molto popolare subito dopo l’acquisizione di Whatsapp da parte di Facebook. Gli sviluppatori propongono un ottimo livello di protezione per i messaggi: innanzitutto, il software cifra i dati in modo affidabile; inoltre, quando si aggiunge un nuovo contatto, la privacy dell’utente viene protetta dal metodo di conferma “faccia a faccia”. In altri termini, i due utenti deve incontrarsi di persona per scambiarsi e scannerizzare i rispettivi codici QR. Si tratta di un sistema efficace dal punto di vista della sicurezza ma meno da quello della praticità.
Ovviamente è possibile aggiungere un nuovo contatto utilizzando metodi più tradizionali (ad esempio, inserendo l’ID dell’utente), ma in questo modo inevitabilmente si perde qualcosa in termini di protezione. L’aspetto interessante è che gli sviluppatori non creano false illusioni sull’applicazione o millantano prestazioni eccezionali che poi non si dimostrano tali, il che è un punto a loro favore. Un altro piccolo dettaglio: la app costa due dollari, e si pagano una volta sola.
Uno dei pochi progetti sviluppati da uno dei guru della crittografia. Il team di sviluppatori comprende Phil Zimmermann, il creatore della tecnologia PGP. Simile a Telegram, il servizio Silent Circle si basa sull’algoritmo SCIMP, creato appositamente per l’applicazione. L’aspetto positivo è che si possono cancellare completamente i messaggi senza lasciare traccia: né il mittente, né il destinatario possono recuperare i messaggi sul proprio dispositivo. Questa funzionalità si può attivare manualmente o in automatico: dopo un certo tempo, i messaggi si eliminano automaticamente dall’account. Tuttavia, il merito principale è l’uso di un ottimo sistema di cifratura, che rende inutile qualsiasi tentativo dei cybercriminali di accedere ai messaggi. L’app non cifra solo messaggi, ma anche video e file audio. Per il resto, ci sono molti aspetti da migliorare, come una procedura di registrazione piuttosto confusa e un prezzo abbastanza proibitivo: l’abbonamento annuale a Silent Circle è di 100 dollari (circa 73 euro)
La versione gratuita di TextSecure ha ricevuto una buona accoglienza tra gli utenti e la casa sviluppatrice, WhisperSystems, è stata raccomandata da Edward Snowden. Si tratta di un semplice software per lo scambio di messaggi, senza fronzoli o complicate funzioni, offre un buon livello di crittografia sia per i messaggi che vengono inviati che per quelli che si salvano sulla memoria del telefono. Se proprio vogliamo parlare di difetti, non sono disponibili molte funzionalità e, soprattutto, la più grande pecca è che l’applicazione non è compatibile con i dispositivi Android. Ricordiamo, comunque, che la compagnia che ha sviluppato l’app è di proprietà di Twitter e uno dei fondatori dell’azienda è Moxy Marlinspike, un vero specialista della crittografia.
SJ è una delle applicazioni più care di messaggistica istantanea (costa 50 dollari) , ma bisogna dire che è affidabile e compatibile con i dispositivi iOS. Il vantaggio principale è che utilizza chiavi complementari individuali per l’invio di messaggi. Guardandolo da un altro punto di vista, però, ciò costituisce anche uno svantaggio, dipende più che altro dalle conoscenze tecniche dell’utente. Coloro che sono abituati ad applicazioni come Skype o Whatsapp, questa applicazione forse può sembrare difficile da usare ma, si sa, è sempre una questione di scelte: in questo caso, bisogna optare o per un ottimo livello di sicurezza o per una grande facilità d’uso.
È un popolare servizio di messaggistica open-standard che offre diverse opzioni di sicurezza. È gratuito e compatibile con Windows, Linux e Mac (in ogni caso, gli sviluppatori consigliano agli utenti Apple di utilizzare Adium, che arriva fino a 4096 bit di cifratura, che è più che sufficiente). Il software utilizza il protocollo OTR (Off-The Record Messaging) che garantisce un buon livello di privacy durante lo scambio dei messaggi; inoltre, vengono messi a disposizione diversi plugin. Un aspetto positivo è che il servizio supporta anche XMPP/Jabber, un sistema d’invio flessibile, decentralizzato e sicuro.
Simile ad altre applicazioni di cui abbiamo già parlato, Cryptocat è un’applicazione per l’invio di messaggi che comprende anche funzionalità di cifratura; tuttavia, a differenza di altri servizi, mette a disposizione i plugin per i browser Chrome, Firefox, Safari e Opera. Per gli utenti Mac, OS X e iPhone, è stata creata un’applicazione apposita. Un po’di tempo fa, dei cybercriminali sono riusciti a compromettere i dati d’entrata e d’uscita della app; in seguito a questo incidente, gli sviluppatori si sono sforzati molto per aumentare la sicurezza del programma. Ad esempio, adesso l’aggiornamento di Cryptocat è molto frequente (l’ultima versione risale proprio a questo mese). Una curiosità: il creatore del progetto, sul sito Internet del programma, ha dichiarato che, nonostante Cryptocat offra delle funzionalità di crittografia importanti, è comunque un programma che gestisce dati personali e, per tale motivo, gli utenti non devono fidarsi al 100%. L’onestà prima di tutto.
Le app “coming soon”
In questa categoria si trovano alcune app non ancora disponibili sul mercato, ma delle quali già si conoscono alcune caratteristiche interessanti. Vedremo se questi servizi riusciranno a soddisfare le aspettative create dai loro sviluppatori.
Anche se ancora in fase di sviluppo, l’app Heml.is si è già fatta notare. Non è una sorpresa, dal momento che al progetto ha preso parte Peter Sunde, uno dei fondatori di The Pirate Bay, la piattaforma tracker di file torrent. Tra le varie opzioni a disposizione vanno segnalate il protocollo XMPP e la libreria PGO come elementi di base di crittografia. Tra gli aspetti positivi segnaliamo un design gradevole (almeno è quello che ci è sembrato dalle presentazioni che abbiamo visto) e la compatibilità con varie piattaforme. Un servizio di messaggistica piuttosto promettente ma non ancora disponibile.
Tor Instant Messaging Bundle (TIMB)
È del febbraio scorso la notizia che il team di sviluppatori di Tor si sia messo a lavorare su un’applicazione di messaggistica. Inizialmente si pensava che il prodotto si sarebbe basato sull’applicazione Pidgin, ma poi la scelta è caduta su Instantbird. TIMB, almeno in teoria, funzionerà con il protocollo OTR (di cui abbiamo già parlato) e gli sviluppatori avranno la consulenza di esperti indipendenti sulla sicurezza. Molto probabilmente, TIMB farà parte del Tor Launcher, ma non sono ancora disponibili informazioni dettagliate circa quando sarà disponibile l’applicazione. In ogni caso, l’attesa varrà la pena: quale altro sistema di messaggistica istantanea potrà non solo cifrare i messaggi in entrata e in uscita ma anche salvaguardare l’anonimato degli utenti?
Conclusioni
Ovviamente nessuna applicazione è perfetta. L’ideale sarebbe trovare il giusto compromesso tra prezzo, facilità d’uso e livello di sicurezza. In ogni caso, non si può ottenere la protezione completa delle nostre comunicazioni online attraverso un unico programma, la sicurezza a tutto tondo si ottiene con la combinazione di diversi strumenti. Va anche detto che qualsiasi tipo di programma serve a poco se non ci fidiamo al 100% dei nostri interlocutori, se la rete è controllata dall’esterno o se nel nostro dispositivo è stato installato un keylogger a nostra insaputa. Per quanto riguarda la fiducia, non è facile trovare una soluzione; negli altri due casi invece sì: la prima cosa da fare è avvalersi di un accesso VPN (con meno di 5 euro al mese sarete protetti dalle minacce derivanti dalle reti Wi-Fi pubbliche). Per quanto riguarda keylogger e malware, esistono alcune soluzioni di sicurezza (come la nostra) che possono essere molto utili. Con questi strumenti e un programma di messaggistica istantanea basato su XMPP/Jabber, avrete costruito un buon sistema di protezione per le vostre comunicazioni.
Consigli