Settembre, 2021

È disponibile il podcast di oggi de Il Disinformatico della Rete Tre della Radiotelevisione Svizzera, condotto da me insieme ad Alessio Arigoni. Questi sono gli argomenti trattati, con i link ai rispettivi articoli di approfondimento:

• Aggiornate immediatamente i vostri dispositivi Apple: sono usciti aggiornamenti d’emergenza
• Apple: non fissate l’iPhone alle moto
• Finalmente backup cifrati per WhatsApp
• ProtonMail non è così riservato come sembrava

Il podcast di oggi, insieme a quelli delle puntate precedenti, è a vostra disposizione presso www.rsi.ch/ildisinformatico (link diretto) ed è ascoltabile anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto!

Sviluppo dei piani di conformità 

Content ID per una gestione più efficace dei diritti legati alla creatività 

Copyright Match Tool 

Com’è la situazione in Italia? 

Sir Clive Sinclair è morto oggi a 81 anni.

Grazie ai suoi ZX81 e ZX Spectrum ho mosso i primi passi in informatica. Ricordo ancora la prima notte insonne passata a programmare sullo Spectrum, appena acquistato a Milano dando fondo ai pochi soldi che avevo messo da parte. Fu inebriante, e quell’amore non è mai scemato.

Come me, milioni di persone in tutto il mondo devono la propria passione e le proprie carriere alle idee di quest’uomo, capace di rendere economicamente abbordabile un prodotto che sembrava riservato soltanto a chi era pieno di soldi.

Thank you, sir.

(Per chi è troppo giovane per ricordarsi i comandi dello Spectrum, lo spiegone del titolo)

Protonmail è un servizio svizzero di e-mail molto conosciuto, che ha la fama di proteggere le identità dei suoi utenti e la segretezza delle loro comunicazioni. Forse avete notato un esempio di questa fama nel più recente Delirio del Giorno, in cui un mio hater ha pensato di rendersi anonimo usando appunto Protonmail. Ma un suo utente è stato identificato e poi arrestato dalla polizia francese. Come è possibile?

Le promesse di privacy di Protonmail sono molto forti: il servizio dichiara di non raccogliere dati degli utenti e di usare la crittografia end-to-end. O meglio, dichiarava. A gennaio 2021, infatti, Protonmail scriveva sulla propria pagina iniziale: “Non sono necessarie informazioni personali per creare il tuo account di mail sicuro. Per impostazione predefinita, non conserviamo log IP che possono essere collegati al tuo account di mail anonimo.” In originale: “No personal information is required to create your secure email account. By default, we do not keep any IP logs which can be linked to your anonymous email account.”

Ma oggi e da pochi giorni al posto di questa dichiarazione ce n‘è un’altra di tono ben più blando e vago: “Protonmail è mail che rispetta la privacy e mette al primo posto le persone (non i pubblicitari). I tuoi dati appartengono a te, e la nostra crittografia lo garantisce. Forniamo anche un gateway per la mail anonima.” In originale: “ProtonMail is email that respects privacy and puts people (not advertisers) first. Your data belongs to you, and our encryption ensures that. We also provide an anonymous email gateway.”

È infatti emerso che Protonmail ha risposto a una richiesta legale vincolante dei Dipartimento federale di giustizia e polizia di fornire alla polizia svizzera l’indirizzo IP di un utente e i dettagli dei dispositivi usati da quell’utente per accedere a quella casella di mail. Questi dati hanno consentito l’identificazione dell’utente e il suo successivo arresto.

La polizia svizzera ha eseguito un mandato ottenuto dalle autorità francesi, che tramite lnterpol l’hanno trasmesso ai colleghi svizzeri. La persona coinvolta è legata a un gruppo denominato Youth for Climate, secondo quanto segnalato da Secoursrouge.org e da Andy Yen di Protonmail. 

Yen ha anche pubblicato su Reddit una dichiarazione sulla vicenda che fornisce ulteriori dettagli, e Protonmail ha anche diffuso un lungo approfondimento specifico sul proprio sito, dal quale cito questa precisazione: “… secondo la legge svizzera, Proton può essere obbligata a raccogliere informazioni su account appartenenti a utenti che sono oggetto di un’indagine penale svizzera. Questo ovviamente non viene fatto di default, ma soltanto se Proton riceve un ordine legale per un account specifico.”

Dal punto di vista tecnico generale, va ricordato che la cifratura end-to-end protegge il contenuto dei messaggi, ma non nasconde la loro origine. In condizioni normali, l’indirizzo IP dal quale l’utente si collega a Protonmail, per esempio, è sufficiente a rintracciarlo e identificarlo. Anche il tipo di browser usato per l’accesso lascia tracce usabili per fare fingerprinting: marca, versione, lingua utilizzata e altro ancora. Chi ha queste esigenze deve ricorrere a soluzioni che mascherino questi dati.

L’informativa sulla privacy di Protonmail, aggiornata pochi giorni fa, dice ora chiaramente che in caso di violazione della legge svizzera Protonmail può essere obbligata a monitorare o registrare l’indirizzo IP di una persona coinvolta in un’indagine penale svizzera.

In altre parole: se per caso pensavate di poter usare Protonmail in modo assolutamente anonimo semplicemente aprendo un account, tenete presente che non è affatto così semplice.

Fonte aggiuntiva: The Register.

WhatsApp sta chiudendo una lacuna di sicurezza importante e spesso trascurata: le comunicazioni fatte con questo sistema di messaggistica, che è di proprietà di Facebook, sono protette contro le intercettazioni abusive dalla crittografia end-to-end, ma i backup di queste comunicazioni non lo sono affatto.

Questo consente di recuperare le comunicazioni se si riesce a mettere le mani su uno di questi backup, salvati per esempio su Google Drive per i dispositivi Android o su iCloud per i dispositivi Apple. Se qualcuno vi ruba le password dell’account Google o iCloud, ha accesso a tutto quello che avete scritto su WhatsApp, se l’avete salvato in questi backup in cloud, come WhatsApp chiede insistentemente di fare.

La settimana scorsa Mark Zuckerberg ha annunciato su Facebook che gli utenti prossimamente potranno scegliere di crittografare anche questi backup. Ha anche precisato che Facebook ha pubblicato un white paper, un documento tecnico intitolato Security of End-To-End Encrypted Backups, che descrive dettagliatamente come è stata realizzata questa funzione.

Cybersecurity360 spiega (in italiano) il funzionamento di questi backup cifrati: WhatsApp chiederà di “salvare una chiave di crittografia a 64 bit o di creare una password associata alla chiave”. La chiave verrà memorizzata “in un modulo fisico di sicurezza hardware (HSM, Hardware Security Module) che agisce come una cassetta di sicurezza e può essere sbloccato solo utilizzando la password corretta. WhatsApp sa solo che esiste una chiave in un HSM, non la chiave stessa o la password associata per sbloccarla.”

The Register nota che non è la prima volta che WhatsApp offre crittografia dei backup: lo aveva già fatto anni fa per i backup su iCloud, ma il metodo usato aveva un difetto che lo rendeva attaccabile usando una SIM avente lo stesso numero di quella della vittima.

Vedremo come andranno le cose questa volta, ma bisogna ricordare che ogni comunicazione ha almeno due partecipanti, e questo vuol dire che voi potete essere diligentissimi nella protezione dei vostri messaggi, ma se uno solo dei vostri interlocutori non è altrettanto diligente, è tutto inutile e i messaggi saranno comunque accessibili a un aggressore sufficientemente deciso. La cosa più semplice, in molti, casi, è semplicemente non avere backup di messaggi. Meglio ancora, non usare queste applicazioni per comunicazioni riservate.