In alcuni momenti della vita – e particolarmente nei contesti lavorativi – la discrezione, se non sicurezza delle comunicazioni, è d’obbligo. Per questo motivo, garantire la riservatezza delle informazioni scambiate durante la comunicazione negli ambienti digitali è ancora più importante, specialmente se si considera il numero totale degli attaccanti singoli, o gruppi, interessati ad intercettarli per la rivendita e il profitto.
Eppure, i dati di diverse ricerche e report evidenziano comportamenti poco attenti nella condivisione di dati sensibili, sia personali che di lavoro ed evidenziano come alcune app di messaggistica siano preferite anche nella comunicazione di business solo perché più diffuse e popolari. Ma non sempre “più diffuso e popolare” significa “più sicuro”. In effetti nonostante la presenza di alcuni accorgimenti di sicurezza nelle app di messaggistica più note, i criminali digitali hanno trovato “modalità di bypass” per accedere ai dati e sottrarli. Esistono invece misure di sicurezza e accorgimenti di progettazione che possono garantire una sicurezza a prova di “workaround malevolo”.
L’uso delle app di messaggistica nel business
L’ambito business è il cuore del problema delle comunicazioni gestite senza la dovuta attenzione alla riservatezza e discrezione. Una ricerca Veritas Technologies condotta su dati aggregati da 10 Paesi UAE, ha evidenziato i pericoli dell’uso improprio degli strumenti di messaggistica istantanea (Instant Messaging -IM) e di collaborazione aziendale. L’87% degli impiegati ha ammesso di aver condiviso dati aziendali sensibili e-business-critical utilizzando questi strumenti. Il 62% ha salvato copie delle informazioni aziendali condividendole tramite IM, mentre, al contrario, il 47% degli intervistati le elimina completamente con rischi di sanzioni. La tendenza a sostituire il PC con il dispositivo mobile è ormai una realtà dal 2019 con dati di advertising sul mobile usati come cartina tornasole che evidenziano cifre di investimento in crescita costante (Fonte: Osservatori Digital Innovation del Politecnico di Milano).
Luca Feletti, Project manager di Crypty spiega quella pericolosa tendenza per cui “si fa affidamento sul telefono cellulare in modo totale, preferendolo anche come strumento di comunicazione nell’attività professionale. Il Sondaggio di Veritas technology condotto su 12500 impiegati evidenzia come oltre il 70% dei dipendenti condivide dati sensibili informazioni critiche utilizzando WhatsApp, mentre uno studio Federprivacy su circa 1000 manager fa scoprire come la metà degli intervistati, il 52%, utilizzi il proprio smartphone per fotografare documenti di lavoro riservati e spedirli tramite WhatsApp o un’altra app simile. Ipotizzo che questi usi siano dettati dalla “spunta blu”, dalla velocità e maneggevolezza dell’app. In generale la comunicazione asincrona disturba meno e fornisce subito feedback. Di fatto i device mobili sono piccoli PC e sono perennemente in mano alle persone; sono comodi e costituiscono a tutti gli effetti una espressione di noi stessi ed una finestra sul mondo virtuale”.
Non è del tutto chiaro il motivo per cui la maggior parte delle persone diffidi del prossimo a titolo istintivo, ma si affidi a occhi chiusi ad ogni nuova tecnologia dando per scontato che sia sicura. Certo il tamburo battente delle notizie di cronaca sugli attacchi informatici ha assunto toni e frequenze puntuali e giornalieri tali, che inizia ad esserci un barlume di coscienza sul problema sicurezza dei dati trasmessi. Luca Feletti aggiunge che “uno dei motivi di questo comportamento può essere l’ingenuità: spesso si è così presi dal lavoro, che non si presta attenzione alla sicurezza. Certo a volte ancora non si conosce bene il problema, oppure si conosce per sentito dire o superficialmente e si sottostima. Un esempio è costituito da coloro che usano i Personal Computer con la connessione attivata fruendo di connessioni Wi-Fi improvvisate, prese da dove capita, spesso gratuite, senza pensare che qualcuno malfidato possa sfruttarle per acquisire i dati in transito e le abbia lasciate lì libere e gratuite e non protette proprio come una trappola”.
Caratteristiche della crittografia end-to-end
Si potrebbe pensare di obiettare che i problemi di sicurezza nella app di messaggistica più diffuse siano risolti dalla crittografia end-to-end. Formalmente si parla di “crittografia end-to-end” quando è applicato il processo di crittografia nelle comunicazioni fra due punti ed i dati sono crittografati quando vengono passati attraverso una rete, ma le informazioni di instradamento rimangono visibili (Fonte Glossario del NIST). Per completezza si specifica che con il termine crittografia si fa riferimento alla trasformazione dei dati (denominato “testo in chiaro”) in una forma (denominata “testo cifrato”) che nasconde il significato originale dei dati per impedirne la conoscenza o l’utilizzo.
Se la trasformazione è reversibile, il processo di inversione corrispondente viene chiamato “decrittografia“, che è una trasformazione che ripristina i dati crittografati al loro stato originale. Un esempio può chiarire meglio il concetto di Crittografia end-to-end. Si può supporre che Alice e Bob (A e B) vogliano comunicare mediante scambi di messaggi di testo video foto etc. I messaggi sono costituiti da pacchetti di dati. I pacchetti sono criptati e protetti dall’inizio alla fine del percorso. Infatti, ogni pacchetto è codificato a livello di Alice e decodificato da Bob. Per codificare i dati si usano gli strumenti di chiave pubblica/privata grazie ai quali Alice cripta i dati e Bob invece la usa per decriptare. Nessuno dovrebbe poter decriptare nel percorso, né provider del servizio, né i singoli nodi nel percorso di mezzo ai due estremi A e B. Si usa il condizionale perché oggi non basta avere la chiave pubblico/privata.
Spiega infatti, Luca Feletti che: “se il nemico sta in mezzo al canale di comunicazione e può registrare i messaggi, può successivamente dotarsi di un PC abbastanza potente da tentare di decriptare avendo abbastanza tempo a disposizione. In effetti nonostante la crittografia end-to-end l’attaccante può ancora “ascoltare” i messaggi fra Alice e Bob. Per impedire anche questa possibilità si dovrebbero introdurre delle Key Derivation Function (KDF) ovvero dei cricchetti sincronizzati fra A e B, grazie ai quali l’attaccante è inibito. Certo un ladro sofisticato potrebbe rompere un cricchetto per ascoltare i messaggi da quel momento in poi, ma anche qui la tecnica per impedirlo è quella denominata a doppio cricchetto che richiede di introdurre una macro-funzione [come un cricchetto più grande ndr] a monte del messaggio e a sua volta questa funziona cambia e RI-inizializza tutto il sistema delle chiavi KDF durante la trasmissione. L’utente per rendersene conto dovrebbe notare i lucchetti nelle conversazioni per alcune app, o le diciture “da questo momento in poi la conversazione è criptata”. In altri casi sono presenti delle frasi di controllo o icone associate al canale di comunicazione che, se uguali per entrambe gli utenti A e B, denotano come il canale sia sicuro, mentre se sono diverse significa che la sicurezza del canale è stata violata”.
Quali attacchi inficiano la crittografia e come rimediare
Nonostante tutti gli accorgimenti per rendere sicuro il canale di comunicazione, il problema di sicurezza informatica si sposta sui due estremi, punto di ingresso e punto di uscita, che, se non adeguatamente protetti, possono essere corrotti e rivelarsi punti deboli dell’architettura di comunicazione.
Sono molte le attività incaute che possono causare problemi: connessioni mediante Wi-Fi non protetti o di proprietà altrui che favoriscono lo sniffing dei dati in transito, i problemi che derivano dal phishing come mezzo per introdurre il malware sul telefono o sul device mobile dove è elaborata l’app di messaggistica, ma basta anche che l’utente scarichi un programmino da uno store non ufficiale e trovi un wrapper ovvero un livello software che nasconde l’implementazione effettiva delle funzionalità di un malware e da quel momento in poi il telefono risulta compromesso insieme ai dati e alle utenze account per tutti i siti personali e aziendali che da quel momento sono alla merce degli attaccanti.
Si consiglia per questo motivo di prestare particolare attenzione per non scaricare nulla da store non ufficiali, a non cadere in trappole da phishing (mail ingannatorie), vishing (inganni che avvengono per a mezzo telefono), smishing (messaggi ingannatori e fraudolenti per indurre a cliccare su un link malevolo), evitare di usare social media e app commerciali per lavoro perché si possono lasciare tracce informative in rete che un malintenzionato può intercettare e usare contro la vittima designata. Pe non rischiare poi in ambito lavorativo e aziendale Luca Feletti consiglia di usare sempre strumenti e dotazioni professionali affinché la comunicazione possa avvenire in modo privato e sicuro garantendo in ogni momento la RID dei dati (Riservatezza, Integrità, disponibilità).
Lato progettazione delle app di messaggistica Luca Feletti ricorda alcune buone prassi: “proteggere l’app che fa comunicazione; assicurare la correttezza nella crittografia end to end; garantire la protezione del canale; intervenire per la protezione del dispositivo mobile in relazione all’app di messaggistica per blindarla rispetto al resto del dispositivo; mantenere crittografati tutti i media dell’app; introdurre mezzi di verifica delle attività sospette sul dispositivo o del traffico aggiuntivo durante la comunicazione; controlli sul networking”.
Contributo editoriale sviluppato in collaborazione con Crypty
