A metà novembre 2014 è uscito un articolo su Wired riguardante la nuova entusiasmante funzionalità di una nota applicazione di messaggistica: WhatsApp. Finalmente i messaggi sono inviati in modo criptato E2E (End to End, cioè solo il mittente e il destinatario sono in grado di leggere i messaggi). La funzionalità, dicono gli sviluppatori di WA, si basa su una collaborazione stretta con Open Whisper System (la creatrice di TextSecure [1]); quindi, dallo “stato dell’arte della migliore tecnologia crittografica” [2] un utente avrebbe la garanzia che i suoi messaggi non possano essere letti da nessuno. E nel caso qualcuno riuscisse 
a rubare in qualche modo le chiavi? Magari attraverso un’altra applicazione installata sul telefono? Sempre secondo Wired [2], non ci sarebbe alcun problema, in quanto il sistema di TextSecure implementa la forward secrecy [3], ciò significa che se viene violata una chiave, si potranno leggere solo i messaggi protetti da quella chiave, limitando dunque i danni che si potrebbero arrecare.
WhatsApp è stata acquistata da Facebook qualche tempo fa, alla cifra record di 19 miliardi di dollari [4]. Facebook è una multinazionale che offre servizi gratuiti a più di un miliardo di utenti su Internet. Come però abbiamo dichiarato più volte [5][6] [7], gli introiti di Facebook, ma anche di Twitter, Google e tutte le altre società di questo tipo, derivano dalle enormi moli di dati che ognuno di noi produce ogni giorno e invia su Internet mediante smartphone Android (di Google), tweetando le novità interessanti (via Twitter) o postando contenuti ritenuti interessanti su Facebook stesso. Loro raccolgono dati, costruiscono profili e li vendono al miglior offerente o all’azienda disposta a pagare campagne di marketing sui loro siti.
Dal momento dell’acquisto, gli utenti di WhatsApp inviavano ai server della compagnia e ai destinatari oltre 50 miliardi di messaggi al giorno [8]. Quanti dati e metadati esistono in 50 miliardi di messaggi al giorno? Abbastanza da pagare svariati miliardi di dollari una piccola azienda che sopravviveva solo grazie al pag
amento annuale dell’abbonamento (0,99$ o 0,79€), invece che vendendo pubblicità per propria scelta [9]. Quegli stessi dati sono ciò di cui Facebook ha bisogno per aumentare i propri profitti, per far vedere ai propri azionisti una percentuale positiva sugli utili a fine trimestre. Questi dati prodotti dalle persone in modo completamente gratuito passano tutti per i server di WhatsApp (leggasi Facebook) e sono analizzati, salvati e riuniti per il mero profitto di pochi.
Qual è quindi il vantaggio di Facebook nel porsi a difesa della tutela della privacy?
Questo improvviso interesse di Facebook per la privacy, cavalcando in pieno l’onda anti-NSA che sta girando il mondo, è solo fumo negli occhi, peraltro riuscito piuttosto male. Non è di molto tempo fa la notizia della nascita di un hidden service di Facebook sulla rete Tor [10], che si giustifica addirittura perché permetterebbe ai giornalisti di poter contattare delle fonti in paesi autoritari dove normalmente il traffico internet è filtrato o impedito grazie all’anonimato garantito dalla rete Tor. Ma di quale anonimato si parla? Certo non quello dell’utente nei confronti del servizio, data la “real name policy” che obbliga i profili ad avere un nome e un volto, permettendo di ricollegare alla persona una email e un profilo ben preciso, che contiene anche i dati sensibili, siano essi estratti dalle informazioni pubblicate in rete, inseriti intenzionalmente dall’utente o ricavati per analisi da dati caricati da altri. Si è dunque nudi di fronte a questa multinazionale: ogni strumento per la propria tutela digitale, come Tor, va in direzione contraria ai fini di Facebook ossia ottenere i vostri dati personali, la vostra rete di amicizie e gestire la vostra stessa privacy.
La sicurezza di WhatsApp e l’hidden service di Tor sono meramente una campagna di marketing: dopo l’acquisto del servizio di messaggistica, oltre 5 milioni di utenti sono passati ad altri client, come Telegram [11], probabilmente spaventati da quello che Facebook avrebbe potuto fare con i loro dati. Quelle persone sono una fetta di mercato importante che Facebook sta cercando di far tornare all’ovile, persone che probabilmente non usano Facebook o lo usano in modo consapevole, cercando di non postare contenuti sensibili come foto, video o chiacchierate tra amici. Ora la multinazionale cerca di strizzare loro l’occhio affermando che i loro messaggi saranno criptati E2E, ma è davvero così?
La finta sensazione di sicurezza, che riguardi la protezione delle proprie comunicazioni o la possibilità di avere nuovi dispositivi che vengono definiti sicuri , è una nuova arma di profitto per quelle grandi aziende che vivono grazie ai metadati che le persone producono continuamente. Tutti i messaggi di WhatsApp, e di tutti i sistemi di messaggistica simili, devono prima passare per i server della compagnia che gestisce il servizio, dunque ogni messaggio, anche se criptato, è inviato a loro. Forse a Facebook non interessa cosa si scrivono due persone sulle chat di WhatsApp, ma di certo gli interessano i mittenti e i destinatari, le foto e i video che si inviano (e, guarda caso, questi dati non sono criptati) [1], in modo da poter migliorare il profilo corrispondente a quel numero di cellulare, andando a prendere dati prodotti da persone che magari non vogliono avere nulla a che fare con Facebook.
La sicurezza del nuovo sistema di messaggistica è solo propagandistica: nessuno sa cosa invii WA (WhatsApp) ai propri server quando compare la scritta “typing..” in una chat, o quali informazioni siano contenute in un messaggio, perché il sistema non è aperto bensì è una versione modificata di un protocollo open source chiamato XMPP, lo stesso che usò Google per il suo Talk. Non c’è la garanzia che WA non invii i tasti digitati al server insieme alle informazioni di “typing…” e la mancanza di garanzia vuol dire mancanza di sicurezza. Non esiste la garanzia che WA mantenga sicure le chiavi usate per criptare i messaggi ai propri server, come non sappiamo se queste vengano inviate ai server della compagnia americana.
Secondo molte testate online, anche quelle ritenute più prestigiose, WhatsApp diventa automaticamente sicuro perché utilizza un sistema di cifratura open source. Questo è uno degli errori in cui sovente gli utenti alle prime armi con la sicurezza informatica incappano. L’uso di una tecnologia sicura non è garanzia di sicurezza. Come è accaduto diverse volte, una implementazione scorretta di un crittosistema sicuro equivale ad un sistema completamente insicuro. La regola d’oro di un sistema che implementa metodi crittografici è richiedere che esso sia completamente aperto: se anche solo una piccola parte di codice è chiusa allora tutto perde di affidabilità. La sicurezza tramite l’offuscamento (Security through Obscurity [12]) non è mai una buona scelta come insegnano WEP e GSM che usavano “lo stato dell’arte della tecnologia crittografica” ma sono crollati dopo poco tempo [13].
Facebook non è l’unica grande compagnia che si è lanciata sul treno della “secure economy”. Anche Synaptics ha lanciato il SecurePad [14] che rende eclatante la nuova frontiera del profitto: il lettore di impronte digitali integrato nel touchpad. La criticità non sta nell’integrazione tecnologica presente nel dispositivo, quanto nella scelta del suo nome. Le impronte digitali sono una informazione biometrica pubblica quasi quanto il proprio volto; un lettore di impronte non deve mai essere l’unica chiave di ingresso per un sistema [15], sia perché esso si trova su un computer con una tastiera, dunque tutte le informazioni per un attaccante sono a portata di mano, sia perché lasciamo le nostre impronte digitali ovunque in ogni momento. Synaptics rivendica nella pagina dedicata a questo prodotto il fatto di essere “sicuro” [16] per poterlo vendere ai propri clienti, quali Dell, HP, e tutte le altre grosse compagnie del mondo IT.
Questa nuova moda di far passare ogni prodotto come sicuro, quando sicuro non lo è, sta portando molte persone a fidarsi di strumenti che potrebbero essere usati contro la loro volontà. Stiamo pensando a tutti gli attivisti politici, agli oppositori dei regimi e ai difensori dei diritti civili che affascinati da queste tecnologie sicure vengono poi incriminati per aver scritto un messaggio sensibile su WhatsApp o sull’hidden service di Facebook.
La sicurezza si basa sulla fiducia delle persone in un algoritmo, un protocollo o un dispositivo. Fidarsi di aziende che fanno profitto sulla non riservatezza delle informazioni personali è un errore che non deve essere commesso. Anzi, un simile comportamento può mettere seriamente a rischio la sicurezza di tutte le persone che si fidano di chi usa certi strumenti finalizzati al profitto.
Ad eigenLab promuoviamo [17] e usiamo strumenti completamente open source per poterci scambiare messaggi in modo sicuro con le persone di cui ci fidiamo. Per la chat sui computer utilizziamo RetroShare [18], o Pidgin con il plugin OTR (Off The Record). Quest’ ultimo è una implementazione sicura della stessa forward secrecy spiegata nelle prime righe di questo articolo: in pratica si stabilisce una chiave di sessione e si ha una chiave differente per ogni chat avviata, non importa con chi, così facendo si abbassa di molto la probabilità che un attaccante riesca a leggere tutte le nostre conversazioni private.
Il problema che abbiamo riscontrato con questa soluzione è la mancanza di cifratura dei file che si inviano. Per ovviare a questo problema usiamo RetroShare oppure cifriamo i file usando GPG (Gnu Privacy Guard) prima di inviarli al destinatario. L’uso di GPG non si limita solo alla cifratura dei file, difatti la Free Software Foundation ha scritto un ottimo documento [19] che aiuta a capire come si può utilizzare per la cifratura delle email, in modo che gli altri possano inviarvi posta elettronica criptata.
Anche noi, come tanti, possediamo degli smartphone, per riuscire a comunicare in modo sicuro con questi telefoni ci appoggiamo a ChatSecure, Conversations e TextSecure. Quest’ ultimo è più stabile e gli algoritmi di cifratura sono gli stessi che usa WhatsApp, con la differenza che sappiamo tutto quello che transita tra i nostri cellulari e i server di Open Whisper System (la casa produttrice di TextSecure) grazie al fatto che è software interamente opensource. TextSecure usa una cifratura end to end e richiede all’utente una password per criptare i messaggi (anche SMS) che arrivano sul telefono.
La Electronic Frountier Foundation (EFF) mette a disposizione una guida [20] completa che riunisce in poche righe gli strumenti che usiamo anche noi ad eigenLab. La guida può essere usata da chiunque sia interessato a capire come comunicare in modo sicuro con altre persone, e se avete bisogno di ulteriori informazioni non esitate a scrivere a info@eigenlab.org.
Pingback:Buon anno and happy new encryption! - Dinamopress