Il 12 gennaio scorso viene arrestato il leader e fondatore del gruppo estremista della destra americana Oath Keepers, con l’accusa di responsabilità nell’assalto del 6 gennaio 2021 a Capitol Hill, sede del Congresso degli Stati Uniti: nel documento d’accusa pubblicato dall’FBI viene menzionato pubblicamente l’utilizzo di chat Signal ai fini dell’indagine, nelle quali Stewart Rhodes sarebbe stato identificato come ordinante dell’operazione.
Proviamo ad analizzare cosa e come possa essere accaduto e, soprattutto, a valutare il reale livello di sicurezza di Signal, considerata (a ragion veduta, come vedremo) una delle migliori app anti-intercettazione.
Indice degli argomenti
Signal, l’FBI e la crittografia end-to-end
L’app di messaggistica istantanea Signal, cresciuta in parallelo alla più longeva WhatsApp e a Telegram, si è da sempre distinta per la sicurezza offerta ai propri utenti.
In effetti, Signal offre una crittografia end-to-end nelle conversazioni (testuali e vocali), il che significa che i messaggi sono cifrati e solo il destinatario è in grado di leggerne il contenuto, neanche la società che gestisce la app ha tecnicamente la facoltà di poterlo decifrare.
Durante il 2021 Signal ha incrementato notevolmente il numero dei propri utenti attivi, cavalcando l’onda del malcontento generale che è stato provocato da un cambio di privacy policy di WhatsApp sulla gestione condivisa dei dati con il gruppo Facebook (ora Meta), tanto da subire dei veri e propri momenti di down della propria infrastruttura causati proprio dall’inaspettato sovraffollamento.
Davvero l’FBI ha violato la crittografia di Signal?
La motivazione più accreditata per spiegare la rivelazione fatta dagli investigatori federali americani (questo il documento ufficiale presentato in tribunale) è da ricercare, presumibilmente, nella decisione di collaborare con la giustizia da parte di un pentito appartenente al gruppo Oath Keepers, che quindi aveva regolare accesso alle conversazioni su Signal altrimenti criptate alla vista di terzi, ma ben leggibili per sé.
Questo stesso pentito avrebbe, quindi, deciso di consegnare spontaneamente ai federali i log di queste chat al fine di offrire loro un supporto per la conclusione dell’indagine.
Indizi a favore della sicurezza di Signal
Un altro indizio a favore della sicurezza dell’app Signal arriva da un’importante rivelazione di Property of the People, un’associazione no-profit statunitense che opera nel settore dell’attivismo a favore della trasparenza governativa.
Siamo alla fine di novembre 2021, quando gli attivisti di Property of the People diffondono un documento acquisito tramite richiesta FOIA, non classificato ma designato come “ad uso esclusivamente interno”, nel quale l’ufficio della Divisione Scienza e Tecnologia dell’FBI indica chiaramente quali sono le caratteristiche e i limiti delle richieste ufficiali di accesso ai dati utente che possono fare, esponendo regolare mandato, alle aziende tech durante le loro indagini.
Signal appariva, anche in quel caso, la meno “invasiva” per la privacy degli utenti: nonostante le richieste ufficiali avanzate dagli investigatori, infatti, l’app è risultata essere quella che fornisce meno materiale rispetto a tutte le altre concorrenti.
L’accesso diretto ai dati fornito dalla società dietro l’app Signal è limitato a:
- data e ora di registrazione di un utente;
- ultima data di connessione di un utente al servizio.
Tanto per fare un rapido confronto, quello che invece WhatsApp si ritiene possa fornire comprende:
- contenuto del messaggio limitato;
- il rendering dei record di abbonati di base;
- informazioni come utenti bloccati;
- i contatti della rubrica;
- gli utenti che hanno l’obiettivo tra i contatti della propria rubrica;
- origine e destinazione di ogni messaggio;
- se il target utilizza un iPhone e i backup iCloud sono abilitati.
Oath Keepers: un caso che fa scuola in ambito cyber
Va ricordato che il caso Oath Keepers sui disordini nel Campidoglio a Washington è attenzionato da tempo su tutti i fronti, compreso quello della sicurezza informatica in cui gruppi di attivisti si sono offerti di tracciarne le operazioni in maniera del tutto indipendente.
Dalla fine di settembre 2021, infatti, è presente online un archivio di 5 GB contenente materiale collezionato dai server dell’organizzazione Oath Keepers e da fonti a loro vicine. L’archivio comprende una grande quantità di e-mail e log di chat private (comprese chiavi di decrittazione) scambiate tra i membri della milizia tra il 2020 e il 2021, suddivisi per Stato di appartenenza del collettivo target.
Nell’autunno 2020, invece, emergeva l’importante documento del Dipartimento di Giustizia che rivelava nuove modalità d’indagine forense da parte dell’FBI, stavolta investigando sulle chat di Signal di criminali avendo a disposizione il dispositivo telefonico dell’accusato.
Queste rivelazioni portarono alla luce l’utilizzo da parte della polizia di tecnologie volte ad analizzare un dispositivo in maniera estremamente invasiva come GrayKey o Cellebrite.
È noto alla stampa internazionale, infatti, che gli inquirenti stessero “girando intorno” alla figura di Rhodes da parecchio tempo, prima di quest’ultimo recente arresto, riuscendo tramite mandato federale a sequestrare il suo cellulare all’inizio dell’estate 2021.
La crittografia di Signal non è stata violata
Alla luce di questa analisi, possiamo desumere che Signal rimanga sempre tra le app di messaggistica istantanea più sicure, in termini di affidabilità tecnica, ma anche di trasparenza, in quanto gestita da un’organizzazione no-profit che ne supporta lo sviluppo: la Open Whisper Systems fondata nel 2013 e che, dal 2018, in seguito a un cambio di vertici diventa Signal Foundation.
L’analisi forense fattibile con le tecnologie sopra citate, è resa possibile con dispositivi con schermo in modalità sbloccata, caratteristica che, come ricorda la stessa Signal nel proprio blog ufficiale, non è altro che un’analisi programmatica dell’azione manuale di aprire la app e leggerne i messaggi all’interno.
Insomma, la crittografia end-to-end di Signal rimane, per il momento, inviolabile.
