L’I-Forensics Team svela i segreti della crittografia end-to-end del più famoso servizio di messaggistica istantanea
Le informazioni possono essere tranquillamente considerate l’oro del futuro. Un domani, servizi e beni saranno acquistati non con il denaro, ma con quantitativi di dati. In realtà, questo nuovo baratto sta già avvenendo: le aziende scambiano i loro prodotti in cambio di informazioni sulle abitudini d’acquisto dei consumatori; paghiamo Facebook con i dati che condividiamo e le stesse monete cosiddette ‘virtuali’, come il Bitcoin, non sono altro che dati inviati in modo protetto. Per i ‘data broker’ (o ‘cacciatori di dati’), ogni informazione costituisce la ‘preda’ da cacciare e rivendere al miglior offerente. Ogni ricerca condotta online, ogni posizione geolocalizzata, perfino le condizioni di salute di un individuo, sono dati che qualcuno prende la briga di aggregare e trasformare in beni rivendibili sul mercato.
Molte di queste informazioni, oggi, ‘viaggiano’ in chat: video, foto e comunicazioni di ogni tipo, vengono scambiate, miliardi di volte al giorno, su circuiti sempre più smart e aggreganti come WhatsApp. Dal lontano 2009, anno della sua comparsa sulla scena delle comunicazioni mobili, l’applicazione ha registrato un continuo crescendo di utilizzatori. Una crescita dovuta soprattutto alla facilità d’uso che l’ha sempre contraddistinta. Tuttavia, per mantenere questo primato, la ‘Facebook Inc.’ (l’azienda che è la proprietaria di WhatsApp da febbraio 2014), ha intuito che occorreva dare agli utenti nuove garanzie di privacy; qualcosa che permettesse di proteggerne le comunicazioni. Ad aprile 2016 si pensò, quindi, di aggiornare l’applicazione implementandone la sicurezza. Fu, così, introdotta la famosa ‘crittografia end-to-end’, che permette solo al mittente e al legittimo destinatario di un messaggio, di leggerlo e di gestirlo.
Il sistema rende le conversazioni degli utenti talmente sicure e confidenziali che lo stesso WhatsApp (afferma) non sarebbe in grado di interferire nelle comunicazioni. Successivamente, insieme ai messaggi, sono stati crittografati (quindi codificati con una ‘chiave di sicurezza’) anche i loro ‘backup’, cioè le ‘copie di sicurezza’ delle conversazioni che, prima, potevano essere consultate in chiaro e aperte con un normale editor di testo. I sistemi crittografici utilizzati da WhatsApp per blindare i backup hanno subito rapide e continue evoluzioni, diventando sempre più particolari e complessi.
‘Crypt12’, il cui indicativo è riportato anche alla fine del nome di ogni file di backup, è l’algoritmo crittografico che WhatsApp utilizza, oggi, come ‘cassaforte’ in cui riporre i messaggi inviati e ricevuti dall’utente. Crypt12 è basato su una delle librerie crittografiche open source più utilizzate nell’universo ‘Android’: ‘Spongy Castle’. Il sistema utilizza un algoritmo di cifratura di tipo ‘AES’ con chiave a 256 bit. Questo significa che per decriptare un suo database codificato, occorre utilizzare necessariamente la relativa chiave. La chiave è contenuta in un file che ha nome ‘whatsapp.cryptkey’. È memorizzata, all’interno del device, in una directory precisa (‘/data/data/com.whatsapp/files/key’) ma protetta dall’algoritmo crittografico, che rende complessa la sua estrapolazione. Secondo numerosi tutorial, presenti in rete, il recupero richiede che l’utente possa disporre di tutti i permessi amministrativi del sistema operativo mobile. In altri termini, per poter ottenere la chiave crittografica in grado di ‘aprire’ i backup dei messaggi di WhatsApp, l’utente deve prima eseguire un procedimento (conosciuto nel mondo Android come ‘Rooting’) che gli permette di accedere, senza limite alcuno, al sistema operativo e di modificarlo a proprio piacimento. Senza questo procedimento, il recupero diventa particolarmente macchinoso e sperimentale.
Anche se, al momento, Crypt12 sembra non avere punti deboli e assicurare, a chi utilizza WhatsApp, un elevato grado di privacy, è bene non riporre troppe speranze in un simile sistema di difesa, poiché ciò che, oggi, è difficile – se non impossibile – da vincere, nell’immediato domani risulterà facilmente superabile e gestibile.
I-Forensics Team
