RSS

Archivi tag: crittografia

Green Pass tutti da rifare?

27 Ott

Risulta valido – agli occhi della app VerificaC19 – il QR Code corrispondente al Green Pass legato al nome di Adolf Hitler con data di nascita 01/01/1930, diffuso in rete nelle scorse ore. Al netto delle palesi incongruenze che questa “certificazione” può presentare – fra le quali quella di minore importanza è la data di nascita non attendibile – questa “validità” dimostra che qualcuno ha preso possesso delle chiavi private utili a generare Green Pass formalmente validi, portando alla luce un rilevante problema di sicurezza.

Raid Forums è la fonte in cui è comparso il primo QR Code “intestato” al Führer, con i dati di una vaccinazione somministrata in Francia in data 11/07/2021 con una dose del vaccino Janssen (Johnson & Johnson). E’ fuori discussione che si tratti di una contraffazione e nel forum un utente che si presenta come przedsiebiorca dichiara di poter realizzare – per 300 dollari – Green Pass rilevati come validi dalle app autorizzate a leggerne i QR Code.

Assodato che un normale cittadino europeo non può aver accesso al sistema in grado di generare i Green Pass, non è affatto detto che il pittoresco caso del certificato intestato ad Adolf Hitler sia un esempio isolato di un’iniziativa dimostrativa, tant’è che ne esistono varie versioni (anche con data di nascita 01/01/1900 ad esempio). E se la possibilità di emettere un Green Pass è in mani sbagliate – eventualità che nessuno ora può escludere – è verosimile pensare che esistano molti certificati fasulli, ma formalmente ritenuti validi dai sistemi abilitati a verificarli. Questo renderebbe necessario:

  • annullare la validità di tutti i certificati emessi con le chiavi finora utilizzate
  • cambiare le chiavi
  • riemettere con tali chiavi nuovi certificati per i cittadini già in legittimo possesso di un Green Pass (che in tal caso se lo vedranno revocare e sostituire)

Ovviamente, in parallelo a quel “cambiare le chiavi” è assolutamente necessario capire in che modo sia avvenuto l’utilizzo abusivo delle chiavi e adottare tutte le soluzioni per risolvere il problema e fare in modo che l’eventualità non si ripresenti.

Aggiornamento (28/10/2021): il QR Code legato al nome di Adolf Hitler ora non risulta più “valido”

 
Commenti disabilitati su Green Pass tutti da rifare?

Pubblicato da su 27 ottobre 2021 in news

 

Tag: , , , , , , , , , , , ,

WhatsApp, utenti in fuga? Qualche “numero”

25 Gen

Alcuni effetti del discusso aggiornamento dei termini di servizio di WhatsApp sono visibili nei numeri registrati dalla concorrenza a cui si sono rivolti gli utenti più preoccupati per la propria privacy: l’impennata riguarda soprattutto Signal, che nelle prime settimane ha acquisito 7,5 milioni di nuovi utenti, e Telegram che ne ha raccolti e accolti 25 milioni, secondo i numeri resi noti dal Guardian e basati sui dati degli analisti di App Annie. Cifre interessanti, ma ancora piuttosto basse di fronte al numero di utenti che WhatsApp ha nel mondo, circa 2 miliardi.

E’ necessaria inoltre una considerazione: questi milioni non corrispondono a una perdita definitiva di utenti da parte di WhatsApp. Si tratta, più semplicemente, del numero di utenti che hanno scaricato app concorrenti e attivanto un account. Operazione che può essere stata effettuata per convinzione, per curiosità, o semplicemente per avere a disposizione ulteriori canali di comunicazione.

D’altro canto, se una migrazione completa è possibilissima, può non essere semplice per tutti: per una persona che lo utilizza da anni, abbandonare definitivamente WhatsApp significa perdere il contatto con gli utenti e i gruppi con cui si hanno chat attive. Il primo step da compiere, quindi, è convincere tutti i contatti a spostarsi sulla stessa piattaforma, un’operazione forse agevole per i contatti individuali, soprattutto se “ristretti”. Tuttavia le cose si complicano se all’utente interessa mantenere il rapporto con i vari gruppi di cui fa parte, che possono essere amministrati da amici, conoscenti, colleghi, ma anche da istituzioni: non sono pochi gli enti che fanno uso di gruppi e broadcast per trasmettere informazioni di interesse collettivo, coinvolgendo utenti che non si conoscono tra loro, e che potrebbero banalmente non condividere l’obiettivo di fuggire da WhatsApp.

Comunque, come ho già avuto modo di scrivere, non esistono solo Signal e Telegram: oltre alle alternative che ho già citato – come Threema e Wire – volevo ricordarvi che esiste ancora ICQ 😉

 
2 commenti

Pubblicato da su 25 gennaio 2021 in news

 

Tag: , , , , , , , ,

Non solo Signal

14 Gen

Elon Musk qualche giorno fa ha twittato “Use Signal“, indicando questa app come alternativa a WhatsApp che, con le nuove condizioni di utilizzo, sta preoccupando molti utenti. Stabilito che per Unione Europea e Regno Unito le modalità di condivisione di informazioni con Facebook non cambieranno rispetto a quelle già in uso da qualche anno, è comunque legittimo guardarsi in giro, possibilmente nella direzione di servizi più rispettosi dei dati personali degli utenti. Ma in questo scenario esiste più di una soluzione.

Signal ha l’etichetta di app sicura perché non acquisisce la mole di dati che altre app raccolgono, oltre che per il suo sistema crittografico. L’organizzazione alle sue spalle, la Signal Foundation, è guidata da Matthew Rosenfeld, in arte Moxie Marlinspike, fra gli autori del Signal Protocol, un sistema di crittografia end-to-end che ha il vantaggio di essere open source e che è alla base dei sistemi di cifratura utilizzati da Skype, Messenger… e WhatsApp.

Un fattore che richiede attenzione sono i metadati: si tratta di informazioni relative agli interlocutori di una conversazione (con chi), ai dati temporali (a che ora e quanto tempo, quanto rimani al telefono, quanto sei online). Signal non li acquisisce, mentre WhatsApp sì. In verità li raccoglie anche Telegram che inoltre, al pari di Messenger, non applica la crittografia end-to-end in modalità predefinita (deve essere l’utente ad attivarla; Signal invece non permette neppure di disattivarla). Altro plus di Signal: la possibilità di avere messaggi che si autodistruggono.

Ma tra le app sicure disponibili ci sono anche Threema e Wire. L’utente che inizia ad utilizzare Threema rimarrà colpito dal fatto che questa app non utilizza il numero telefonico come identificatore, prassi invece seguita da WhatsApp e Signal, ad esempio. L’ID utente è una sequenza alfanumerica frutto dello scorrimento del dito della mano mentre sul display compare una matrice di lettere e numeri che cambiano continuamente. Contatti e gruppi rimangono memorizzati solo sul telefono (non nell’applicazione e quindi non vengono trasmessi al cloud). Un minus di Threema è che non è gratuita, è quindi da valutare l’investimento di Eur 3,99.

Anche Wire assicura la crittografia end-to-end (a chat e chiamate vocali e video, anche di gruppo), consente la condivisione del proprio schermo con un utente e un gruppo, e può essere utilizzata da otto dispositivi differenti (sincronizzati). Fra i suoi plus, chiamate di gruppo fino a 300 interlocutori e la possibilità – a pagamento – di invitare un non-utente (privo di account) in una room protetta, accessibile da browser. Minus: raccoglie i metadati.

 
2 commenti

Pubblicato da su 14 gennaio 2021 in news

 

Tag: , , , , , , , , , , , , , , , , , , , ,

Protetti e spiati

11 Feb

Qual è il mestiere di chi lavora per un’agenzia di intelligence? Raccogliere ed elaborare informazioni, senza limiti sugli strumenti utilizzabili, e parte integrante di questa attività è ovviamente lo spionaggio. Per cui non troveremmo nulla di stupefacente nell’apprendere che i servizi segreti USA (cioè la CIA) e quelli tedeschi (cioè la BND) hanno spiato le comunicazioni di oltre un centinaio di Stati per mezzo secolo. Ma il problema è nel “come” hanno condotto per decenni quell’attività di spionaggio, cioè utilizzando i dispositivi di crittografia prodotti da un’azienda svizzera, la Crypto AG. I Paesi adottavano quei dispositivi allo scopo di mettere in sicurezza le proprie comunicazioni, ignorando un’informazione fondamentale: la Crypto era “controllata” – dal punto di vista azionario, quindi a livello di proprietà – proprio da CIA e BND.

L’azienda ha iniziato questa attività durante la seconda guerra mondiale, trovando nell’esercito USA il suo primo cliente. Cavalcando l’evoluzione tecnologica, è cresciuta fino ai giorni nostri, fornendo a vari Paesi nel mondo i propri dispositivi in grado di criptare le comunicazioni più riservate e protette, che però servizi segreti americani e tedeschi erano perfettamente in grado di decodificare. CIA e BND avrebbero acquisito la proprietà della Crypto nel 1970, mediante una fondazione con sede nel Liechtenstein.

Secondo quanto ricostruito dall’inchiesta congiunta dal Washington Post e dalle redazioni giornalistiche della ZDF (emittente tedesca) e della SRF (emittente svizzera), l’agenzia di intelligence avrebbe ceduto le proprie azioni nel 1994, mentre la CIA sarebbe rimasta azionista fino al 2018, quando la proprietà è passata all’azienda svedese Crypto International, che in un comunicato pubblicato in questi giorni (addirittura sulla propria homepage) prende le distanze da tutta la vicenda, definendola “molto angosciante”.

Questa partnership sembrerebbe, a tutti gli effetti, uno dei segreti meglio custoditi durante la Guerra Fredda, che emerge ora proprio da questa inchiesta, che rivela un’enorme operazione di controllo, indicata prima con il nome in codice “Thesaurus” e poi “Rubicon”, e che l’inchiesta definisce “il colpo di stato dell’intelligence del secolo”.

In pratica, i governi clienti di Crypto pagavano inconsapevolmente miliardi di dollari a USA e Germania Occidentale perché potessero leggere le loro comunicazioni più riservate e la “maschera” di azienda operativa in un Paese neutrale come la Svizzera conferiva alla stessa Crypto un’etichetta di affidabilità che le permetteva di entrare sia in mercati alleati che in Paesi “ostili” (ad esempio Libia, Iraq, Iran). Nel portafoglio di Crypto c’erano anche l’Italia e lo Stato Vaticano (che nel frattempo, però, non avrebbero più rinnovato i contratti di fornitura). Assenti Russia e Cina, dato che induce a pensare che i due Paesi non riponessero fiducia nel produttore svizzero.

Sicuramente la vicenda non si chiude qui e avremo modo di parlarne di nuovo, molto probabilmente con nuovi dettagli!

 

 
1 Commento

Pubblicato da su 11 febbraio 2020 in news

 

Tag: , , , , , , , , , , ,

 
%d blogger hanno fatto clic su Mi Piace per questo: