Scoperta una backdoor su WhatsApp

Da uno studio approfondito condotto all’università di Berkeley, in California, Tobias Boelter ha scoperto una backdoor su WhatsApp, l’app di messaggistica più usata al mondo che, proprio con l’introduzione della crittografia end-to-end prometteva più sicurezza e privacy.
Ma un dettaglio nel modo in cui è stata integrata tale funzione permetterebbe all’azienda di intercettare i messaggi, esattamente l’opposto di quanto promesso. Dopo aver introdotto il protocollo di Open Whispers System, il team di Facebook, lo stesso poi di quello di WhatsApp, aveva assicurato che nessuno, nemmeno loro, avrebbe potuto accedere ai file inviati, sia messaggi di testo che foto.
La falla scopera da Boelter, che sembra appositamente pensata, permette a una terza parte di intercettare i contenuti condivisi, sfruttando il modo in cui viene gestito lo scambio delle chiavi di sicurezza fra due utenti, essenziale affinché i messaggi inviati siano protetti da qualsiasi curiosone.
Proprio questa vulnerabilità era stata notificata a Facebook ad aprile 2016: ma ad oggi, però, non è stata ancora risolta.

Come funziona la crittografia End-to-End

Per capire come funziona la crittografia end-to-end puoi leggere questo nostro articolo (Novità di WhatsApp di fine Agosto: privacy su tutte) ma, in breve: quando due utenti si scambiano un messaggio o una foto o un file tramite WhatsApp, viene automaticamente generata una coppia di chiavi di sicurezza, che dovrebbe essere nota solamente ai due utenti.
Nessun altro dovrebbe conoscerla, quindi, nemmeno WhatsApp stessa, e di conseguenza nessuno può accedere ai contenuti protetto da questo lucchetto digitale.
Quando un utente è offline, però, Boelter ha notato che WhatsApp ha la possibilità di forzare la generazione di una nuova chiave, senza notificarlo né al mittente né al destinantario, e reinviare uno o più messaggi con la nuova chiave, nota a lei o a una terza parte, che non siano già stati consegnati (le doppie spunte).
Nel caso in cui l’utente abbia attivato la notifica dalle impostazioni dell’applicazione (Account > Sicurezza > Mostra notifiche di sicurezza), questa sarà inviata solamente dopo il secondo invio del messaggio, effettuato con la seconda chiave imposta da WhatsApp.
Questo sistema, diversamente da quanto promesso, permette di intercettare i messaggi e di fatto WhatsApp avrebbe la facoltà pratica di condividerli con il governo o le forze dell’ordine sotto richiesta. Come spiega il responsabile per la sicurezza presso la European-Bahraini Organisation for Human Rights, “WhatsApp può realmente sostituire le chiavi di sicurezza quando i dispositivi sono offline e reinviare il messaggio senza che gli utenti sappiano della modifica fino a dopo che è stata effettuata, di fatto fornendo una piattaforma estremamente insicura”.
Gli fa eco Kirstie Ball, co-direttrice e fondatrice del Centre for Research into Information, Surveillance and Privacy: “È una grave minaccia alla libertà di espressione perché [WhatsApp] può controllare ciò che state scrivendo quando vuole. I consumatori penseranno ‘non ho nulla da nascondere’, ma non potete sapere quali informazioni stanno cercando e quali collegamenti vengono fatti”.
Non si tratta di un difetto del protocollo open-source di Signal, l’omonima applicazione che persino l’ex-NSA Edward Snowden garantisce come sicura. Di fatto, WhatsApp ha appositamente tenuto da parte la totale crittografia end to end perché ritiene che avrebbe compromesso l’usabilità dell’app.

Perché il team di WhatsApp avrebbe reso meno sicura la propria app?

Specialmente nei mercati emergenti, le persone cambiano spesso numero di telefono (sim) o il dispositivo stesso. Quando ciò accade, viene generata automaticamente una nuova chiave di sicurezza una volta reinstallata l’applicazione. Con il protocollo di Signal, i messaggi inviati con la precedente chiave di sicurezza (ma non consegnati al destinatario perché ha generato una nuova chiave di sicurezza) verrebbero persi; nel caso di WhatsApp, invece, la società ha preferito che venissero reinviati con una nuova chiave di sicurezza, in modo da impedire, come spiegato al The Guardian, “di perdere i messaggi strada facendo”.
Di fatto, però, questa vulnerabilità nella sicurezza dell’applicazione può essere sfruttata dalla società per intercettare messaggi solo apparentemente criptati senza che mittente e destinatario, informati invece della crittografia end to end di WhatsApp e della sicurezza e della privacy che dovrebbe offrire, ne siano a conoscenza.

Vai alla barra degli strumenti