È un problema che ho seguito, nel senso che ho seguito la discussione, fin dall’inizio. Non ne ho postato nulla su Le Alternative perché mi sembrava troppo tecnico da spiegare ma è comunque interessante quanto successo. È interessante anche il fatto che Signal ha un po’ ignorato il tutto fino a che la cosa non è montata eccessivamente, il che non depone troppo a favore di Signal. Non tanto per quel che riguarda la sicurezza ma, come troppo spesso accade, su quanto poco seguano la comunità e le richieste della stessa.
Ci sono voluti diversi anni prima che Signal si attivasse per proteggere il database dei messaggi della versione desktop. Molti lo consideravano un problema non da poco perché la chiave di decodifica era salvata in chiaro sui sistemi Windows e macOS.
Fino ad oggi gli sviluppatori dell’apprezzata app di messaggistica Signal, in passato consigliata anche dalla Commissione Europea ai suoi dipendenti, hanno sempre gettato acqua sul fuoco su un problema che emerse addirittura nel 2018. Il client desktop per Windows e macOS si appoggia a un database SQLite, utilizzato per memorizzare i messaggi dell’utente.
Il contenuto di tale database è decodificabile soltanto con un’apposita chiave che però, ed è questo che ha fatto sobbalzare molti esperti, è conservata in un semplice file di testo, senza alcuna protezione. Si chiama %appdata%\Signal\config.json su Windows e ~/Library/Application Support/Signal/config.json su macOS.
Se Signal può accedere a questa chiave, può farlo anche qualsiasi altro utente o programma in esecuzione sul computer, rendendo il database cifrato praticamente inutile. Una soluzione proposta dal ricercatore Nathaniel Suchy era di cifrare il database locale con una password fornita dall’utente, che non sarebbe stata memorizzata da nessuna parte, come avviene con i software di backup cloud, i browser Web, i gestori di password e i portafogli di criptovalute.
Non lo so, su questa questione sono in parte d’accordo con Signal…proteggerre dati locali su una macchina compromessa è impossibile… chiaramente rendere il rubare i messaggi “banale” non è mai una buona idea, ma qualsiasi cosa facciano ( compresa l’ultima proposta) è facilmente aggirabile da codice malevolo…
Quello che trovavo più fastidioso, avendo appunto seguito la questione, è il post della Whittaker (CEO di Signal) che diceva:
There’s been some chatter about Signal desktop recently, so let’s clear the air. Three points:
-
The reported issues rely on an attacker already having full access to your device — either physically, through a malware compromise, or via a malicious application running on the same device. This is not something that Signal, or any other app, can fully protect against. Nor do we ever claim to.
-
We continue working to harden our desktop build across supported operating systems and take advantage of new platform capabilities as they emerge. Those of you following our repo can follow this work there.
-
The posters who raised this issue did so without contacting us directly. Instead, they went straight to social media, in some cases using inflammatory language. And they dropped these claims over a US holiday weekend. This is the opposite of responsible disclosure.
We ask those who are serious about security and privacy to please engage us directly in the future, instead of resorting first to online claims that can confuse non-experts and lead people to make unsafe choices and develop inaccurate mental models based on scary language. We monitor security@signal.org carefully and respond to all legitimate reports.
Insomma non è un bug, non è un problema nostro, non è colpa nostra etc etc e dopo due giorni risolvono il problema.
A livello di comunicazione, a mio parere, non è una bellissima mossa.
A livello di comunicazione, a mio parere, non è una bellissima mossa.
ahah non c’e’ dubbio, soprattutto il punto 3 se lo poteva risparmiare. Però dai, in linea di massima sono d’accordo con il punto 1… l’importante è che mantengano sicure le comunicazioni end-to-end
@mattreb
Il punto 3 sarebbe quello sul “responsible disclosure”?
Non vi piacerà, ma hanno pienamente ragione. Chi ha a cuore sicurezza e riservatezza non cerca la visibilità dello scandalo, ci sono prassi piuttosto ben consolidate in proposito.Chi punta sullo scandalo cerca visibilità per sé e basta, a scapito della comunità. Con l’effetto (magari voluto) di alimentare il qualunquismo di chi dice “ma sì, tanto è tutto lo stesso, usa quello che usano tutti che è più comodo”.
@skarikoMa il punto 3 secondo me sarebbe estremamente corretto se non stessimo parlando di una issue di GitHub del 2018.
Ma infatti non dico che non abbia ragione, ma che usarlo come scusa in quel contesto è un po’ imbarazzante…
-
Sono d’accordo con entrambe le affermazioni!
