Centinaia di milioni di persone nel mondo usano WhatsApp per comunicare ogni giorno, e molte di queste persone affidano a questa app confidenze e segreti contando sulla sua promessa di crittografia end-to-end: tutti i messaggi sono cifrati e non possono essere letti neppure dai dipendenti di Meta, la società che possiede WhatsApp.

È una promessa molto forte, dichiarata dall’avviso che compare nell’app ogni volta che si inizia una conversazione con un nuovo contatto: “I messaggi e le chiamate sono crittografati end-to-end. Nessuno al di fuori di questa chat, nemmeno WhatsApp, può leggerne o ascoltarne il contenuto.”

Ma allora come è possibile che oltre centomila messaggi WhatsApp privati siano stati resi estremamente pubblici in questi giorni? È quello che sta succedendo con i cosiddetti Lockdown files, una raccolta di messaggi WhatsApp risalenti al 2020 e 2021 e scambiati fra l’allora ministro della sanità britannico Matt Hancock e vari esponenti del governo del paese durante il lockdown legato alla pandemia.

Il giornale britannico Telegraph è entrato in possesso di tutti questi messaggi molto delicati e sta pubblicando man mano quelli più significativi, che rivelerebbero errori e manchevolezze della gestione governativa della crisi sanitaria. 

Ma quello che conta, dal punto di vista informatico, è capire come il Telegraph sia riuscito a scavalcare la crittografia end-to-end di WhatsApp: un dettaglio che non sempre viene raccontato dalle fonti giornalistiche che stanno pubblicando articoli sulla vicenda britannica.

Hacking supersofisticato? Intervento degli esperti crittografi militari? Una falla nelle sicurezze di WhatsApp? Niente di tutto questo. La crittografia end-to-end, che si chiama così appunto perché protegge la comunicazione da un capo all’altro, è stata sbaragliata semplicemente ottenendo accesso a uno di questi capi.

Il ministro Hancock aveva infatti affidato alla giornalista Isabel Oakeshott l’incarico di aiutarlo a scrivere la propria autobiografia del periodo pandemico, e per questo lavoro le aveva dato pieno accesso a tutti i suoi messaggi WhatsApp. La giornalista aveva firmato un accordo di riservatezza, ma ora lo ha violato sostenendo che la pubblicazione di questi messaggi è di interesse pubblico. E così la crittografia non è servita a nulla.

Questo è un principio spesso dimenticato nella sicurezza delle informazioni: il segreto non è soltanto questione di tecnologia, ma dipende anche dai fattori umani. Se uno dei partecipanti a una conversazione digitale cifrata rivela tutto, non c’è promessa crittografica che tenga. E questo vale in particolar modo per i gruppi, su WhatsApp o su qualunque altra piattaforma di messaggistica cifrata: più sono numerosi i partecipanti, più è facile che uno di loro si lasci sfuggire qualcosa o decida di violare il segreto. E ne basta uno solo. Anche se non siete ministri, pensateci la prossima volta che condividete un commento o un selfie discutibile fidandovi della crittografia.

Fonti: Washington Post, Sky News, Channel 4, BBC.

Ultimo aggiornamento: 2023/03/23 22:45.

È disponibile subito il podcast di oggi de Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto: lo trovate presso www.rsi.ch/ildisinformatico (link diretto) e qui sotto.

Le puntate del Disinformatico sono ascoltabili anche tramite feed RSS, iTunes, Google Podcasts e Spotify.

Buon ascolto, e se vi interessano il testo di accompagnamento e i link alle fonti di questa puntata, sono qui sotto.

---

[CLIP: dal trailer di Maria Regina di Scozia, diretto da Josie Rourke (2019)]

C’era una volta una bambina, di nome Maria, incoronata come regina quando aveva nove mesi, che da grande fu rinchiusa per anni in un castello dalla cugina, anche lei regina. Ma Maria riuscì a comunicare con i suoi amici, che cercavano di liberarla, nascondendo dei messaggi segreti dentro i turaccioli delle botti di birra che rifornivano il castello... e usando la crittografia end-to-end, come fa WhatsApp, ma fu tradita da un bug nel sistema crittografico.

Sì, avete sentito bene. Questa è la storia, tragicamente vera, di Maria Stuarda, o Mary Stuart per usare il suo nome originale, che fu regina di Scozia per più di vent’anni nel 1500 e trascorse gli ultimi due decenni della sua vita come prigioniera della cugina, la regina Elisabetta I d’Inghilterra, che temeva che Maria prendesse il suo posto e alla fine ne firmò la condanna a morte. E l’informatica ha un ruolo centrale in questa storia, perché Maria comunicò davvero con i suoi alleati usando la crittografia 500 anni fa, ovviamente senza usare computer, ed è grazie all’informatica che pochi giorni fa un gruppo internazionale di crittografi ha annunciato la scoperta e la decifrazione di alcune delle sue lettere più segrete, che si pensava fossero andate perdute per sempre.

Benvenuti alla puntata del 10 febbraio 2023 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

La storia complessa e tormentata di Maria Stuarda ha ispirato moltissimi romanzi e numerosi film. Colta e poliglotta, cresciuta alla corte di Francia e imparentata con i re francesi e con Caterina de’ Medici, Maria si sposò tre volte, diventando regina consorte di Francia, regina di Scozia e, per diritto di sangue Tudor, erede diretta del trono della cugina Elisabetta I, regina d’Inghilterra. Qualunque riassunto non può rendere giustizia alla sua vita intricata, piena di drammi politici, rivolte religiose, battaglie, rapimenti, tradimenti, complotti e assassinii.

Quello che conta, per la storia che vi sto raccontando, è che alla morte del terzo marito e alla sconfitta dei suoi sostenitori in Scozia, Maria Stuarda si rifugiò da Elisabetta I, che però la tenne prigioniera in vari castelli per ben 18 anni usando una serie di pretesti politici e di accuse più o meno inventate. I fedelissimi cattolici di Maria Stuarda continuarono a cospirare per liberarla, assassinare Elisabetta e così far salire al trono Maria, che secondo loro era la legittima erede del trono d’Inghilterra.

Durante la lunga prigionia Maria rimase comunque in contatto con il mondo esterno tramite i suoi ambasciatori, almeno inizialmente, ma poi anche quel canale di comunicazione fu chiuso. E così nel 1586 cominciò a inviare messaggi ai suoi alleati nascondendoli nei turaccioli delle botti di birra che periodicamente transitavano dal suo luogo di prigionia. Ma si trattava di una trappola.

Per sicurezza, questi messaggi erano crittografati in modo che chi li trasportava non potesse conoscerne il contenuto, un po’ come oggi WhatsApp e altri servizi di messaggistica usano la crittografia end-to-end. Chi trasporta questi messaggi sa da chi provengono e a chi sono destinati, ma non è in grado di leggerli.

All’epoca di Maria Stuarda ovviamente non c’erano computer, per cui si usava un sistema manuale: un cosiddetto cifrario a sostituzione con omofoni e nomenclatura, in cui ogni lettera del messaggio originale veniva sostituita con un simbolo concordato e per rendere più difficili i tentativi di decifrazione la stessa lettera poteva essere rappresentata da simboli differenti e poi venivano inseriti simboli che non volevano dire nulla e altri che rappresentavano le lettere doppie, le date e i nomi delle persone, che sono appigli classici dei crittoanalisti, gli esperti incaricati di decifrare questi messaggi segreti.

Per gli standard della fine del 1500 questo cifrario era un sistema piuttosto sicuro, ma aveva un bug fondamentale: il fattore umano. Nella vicenda di Maria Stuarda, questo fattore umano ha un nome preciso: Gilbert Gifford, il fabbricante di birra che faceva da trasportatore dei messaggi. Gifford era stato consigliato a Maria da un amico fidatissimo, ma era in realtà un agente di Sir Francis Walsingham, quello che oggi chiameremmo grosso modo il direttore generale dei servizi segreti della regina Elisabetta I. Gifford, infatti, consegnò tutte le lettere cifrate a Walsingham, che disponeva di due super-crittoanalisti, Thomas Phelippes e John Sommers, che riuscirono a decifrare i codici usati da Maria Stuarda.

Il trucco dei turaccioli di birra era stato inventato da Walsingham con il preciso scopo di ottenere prove per incriminare Maria e scoprire i nomi dei suoi complici. Nel 1586, Maria ricevette una lettera cifrata da un gruppo di cospiratori che le dicevano esplicitamente che stavano tramando per liberarla e assassinare la regina Elisabetta, e commise la fatale imprudenza di rispondere, indicando così il suo consenso all’assassinio.

Ma la sua lettera di risposta, altrettanto cifrata, fu passata da Gifford, il fabbricante di birra, a Sir Walsingham, e fu decifrata da Phelippes, il crittoanalista, che per buona misura prima di rispedire le lettera intercettata la alterò aggiungendo un paragrafo, cifrato con lo stesso codice, in cui in apparenza Maria chiedeva di conoscere “i nomi e le qualifiche dei sei uomini che otterranno il risultato” (diceva così).

I cospiratori furono così identificati e torturati, e confessarono il complotto. Maria Stuarda fu incriminata e processata sulla base di quella crittografia ritenuta sicura; si dichiarò innocente, ma fu condannata a morte, e la pena fu inflitta per decapitazione a febbraio del 1587. Maria Stuarda aveva 44 anni.

[CLIP: dal trailer di Maria Regina di Scozia, diretto da Josie Rourke (2019)]

---

È passato mezzo millennio, e oggi la crittografia non è più riservata ai monarchi e ai governi ma è nei nostri smartphone. Però le regole di base sono rimaste le stesse. Non importa quanto sia potente e sofisticata la tua crittografia: se il canale di comunicazione che usi per trasmetterla ha una falla, i tuoi avversari la sfrutteranno per capire cosa c’è nel tuo messaggio.

WhatsApp, per esempio, cifra piuttosto robustamente tutti i nostri messaggi, e lo stesso fanno Signal, Wickr e tante altre app, per cui i loro gestori non possono leggere cosa scriviamo. Però possono leggere i cosiddetti metadati, ossia possono sapere chi è il mittente e chi è il destinatario, quanto è lungo il messaggio, quanti sono i messaggi scambiati, a che ora sono stati inviati e ricevuti, e con queste informazioni diventa possibile dedurre il contenuto dei messaggi.*

* Precisazione: la lettura dei metadati che cito è riferita a WhatsApp e tante altre app in generale. Signal legge solo il numero di telefono: Wickr può acquisire informazioni su date e orari, sul dispositivo, quanti indirizzi e numeri di telefono sono collegati a un account, le modifiche alle impostazioni di un account e i numeri totali dei messaggi.

C’è anche un’altra regola di base che non cambia: man mano che la tecnologia si evolve, diventa capace di decifrare sistemi di crittografia che prima erano considerati inespugnabili e diventa capace di trovare i messaggi anche se sono nascosti o messi nel posto sbagliato.

È quello che è successo in questi giorni: tre crittoanalisti moderni, l’informatico George Lasry, il pianista e docente musicale Norbert Biermann e l’astrofisico Satoshi Tomokiyo, hanno pubblicato sulla rivista specializzata Cryptologia un dettagliatissimo articolo tecnico nel quale annunciano di aver ritrovato oltre 50 documenti cifrati appartenenti a Maria Stuarda. Documenti che si ritenevano perduti e che gettano nuova luce sulla sua drammatica vita.

Questi documenti erano custoditi dalla Bibliothèque Nationale de France, che però non sapeva che fossero appartenuti a Maria Stuarda, visto che erano appunto cifrati e non avevano nessuna informazione in chiaro che li identificasse, e così la BNF li aveva invece classificati vagamente legandoli a documenti concernenti imprecisati “affari italiani”.

Quei documenti sarebbero probabilmente rimasti sepolti negli immensi archivi della BNF per sempre, senza che si venisse mai a sapere della loro importanza, ma George Lasry e colleghi li hanno notati grazie al fatto che sono accessibili a qualunque studioso via Internet. Incuriositi dall’aspetto evidentemente cifrato di questi antichi documenti, si sono messi all’opera senza avere la minima idea di cosa avessero trovato.

Quei documenti erano delle lettere, scritte usando ben 219 simboli speciali, non caratteri normali, per cui i ricercatori non hanno potuto usare sistemi di riconoscimento automatico dei caratteri e quindi hanno dovuto trascrivere manualmente i testi, convertendoli in un formato leggibile da un software, che ha analizzato i caratteri con un procedimento molto laborioso e ha scoperto che la lingua usata era il francese, non l’italiano, e ha iniziato a recuperare alcuni frammenti di testo.

Il software, guidato dagli esperti, ha poi recuperato gli omofoni, ossia i vari simboli che rappresentavano una stessa lettera dell’alfabeto, e ha recuperato anche i simboli speciali (per esempio quelli usati per indicare una ripetizione del simbolo precedente, allo scopo di non rivelare le lettere doppie, oppure sequenze di lettere molto frequenti), e a quel punto sono emersi prefissi, suffissi, preposizioni, parole comuni.

Con questa decrittazione parziale in mano, i ricercatori hanno capito con stupore di aver ritrovato gli originali delle lettere perdute di Maria Stuarda, scritte fra il 1578 e il 1584, e hanno usato le proprie conoscenze storiche per decifrare i simboli usati per indicare le persone citate dalla regina prigioniera.

Di quasi tutte queste lettere perdute erano già disponibili nei musei le copie decifrate all’epoca dalle spie della regina Elisabetta I, che hanno confermato la validità del lavoro dei ricercatori di oggi e hanno documentato ulteriormente, con grande piacere degli storici, che nell’ambasciata francese all’epoca c’era chiaramente una talpa che intercettava le versioni decifrate delle lettere di Maria Stuarda e le passava agli inglesi [si potrebbe dire che era, letteralmente, un attacco man-in-the-middle].

E anche qui c’è una lezione di sicurezza che vale ancora oggi: puoi avere il sistema di crittografia più potente dell’universo, ma alla fine qualunque messaggio va decrittato per poterlo leggere, e se quella copia decrittata finisce nelle mani di qualcuno, la tua supercrittografia non vale niente.

Il paragone moderno è che WhatsApp, Signal, Threema e tutte le altre app fanno il possibile per proteggere i nostri messaggi da occhi inopportuni, ma non possono impedire che il legittimo destinatario prenda un messaggio o una foto che ha ricevuto in forma cifrata e lo mostri a chissà chi sullo schermo del proprio smartphone. E non possono impedire che qualcuno che ha accesso al nostro smartphone veda e legga le nostre conversazioni cifrate, se sono archiviate sul telefono e il telefono non è protetto almeno da un PIN robusto.

---

Se alla fine di questa storia vi state chiedendo cosa dicessero queste lettere così segrete, i ricercatori hanno pubblicato i loro testi integrali, interessantissimi per gli storici e per gli appassionati di intrighi: ci sono discussioni sul possibile matrimonio di Elisabetta I e il Duca di Anjou, nelle quali Maria Stuarda avvisa l’ambasciatore francese Castelnau che “gli inglesi non sono sinceri nelle loro trattative e il loro unico scopo è indebolire la Francia e contrastare la Spagna”, ci sono raccomandazioni di non fidarsi di Sir Francis Walsingham, il segretario personale e capo delle spie di Elisabetta I, perché è “una persona scaltra, che offre falsamente la propria amicizia mentre nasconde le proprie intenzioni reali”, e ci sono anche avvisi molto profetici, nei quali Maria Stuarda avvisa che alcuni di coloro che lavorano alle sue dipendenze potrebbero essere agenti di Walsingham.

Purtroppo questa consapevolezza non salvò la regina di Scozia. Ma forse può salvare qualcuno di noi dal lasciare in giro messaggi cifrati che crede sicuri per sempre e invece verranno decifrati da qualcuno in futuro -- o anche subito -- grazie alla tecnologia e al talento.

Chiusura

Anche questa puntata del Disinformatico è giunta al termine: grazie di averla seguita. Questo podcast è una produzione della RSI Radiotelevisione svizzera. Le nuove puntate del Disinformatico vengono messe online ogni venerdì mattina presso www.rsi.ch/ildisinformatico e su tutte le principali piattaforme podcast. I link e le fonti di riferimento che ho citato in questa puntata e nelle precedenti sono disponibili presso Disinformatico.info. Gli spezzoni audio sono tratti dal film Maria Regina di Scozia, diretto da Josie Rourke. Per segnalazioni, commenti o correzioni, scrivetemi una mail all’indirizzo paolo.attivissimo@rsi.ch. A presto.

Fonti

Cryptologia, Deciphering Mary Stuart’s lost letters from 1578-1584 (https://doi.org/10.1080/01611194.2022.2160677).

Britannica.com, Mary Queen of Scotland.

The National Archives, Ciphers used by Mary Queen of Scots.

BBC, Mary Queen of Scots: Deposed ruler's secret prison letters found and decoded.

Ars Technica, Lost and found: Codebreakers decipher 50+ letters of Mary, Queen of Scots.

Questo articolo è disponibile anche in versione podcast audio.

Le chiavi di cifratura e di protezione del software della Hyundai Ioniq SEL sono pubblicamente disponibili con una semplice ricerca in Google. Lo ha scoperto Daniel Feldman, un ingegnere informatico di Minneapolis, negli Stati Uniti, che con questa chiave è riuscito a hackerare il sistema di informazione e intrattenimento o infotainment della propria vettura.

Feldman racconta nel proprio blog che la sua auto, un’ibrida del 2021, è dotata di un sistema di infotainment, appunto, che funziona adeguatamente, ma lui voleva vedere se era possibile personalizzarlo, e così ha scoperto che esistono già vari modi non ufficiali, ovviamente ad alto rischio, per entrare nella modalità manutenzione e installare applicazioni. Il sistema, infatti, è basato su Android e quindi accetta quasi qualunque applicazione realizzata per questo sistema operativo. A quanto pare, la password di accesso a questa modalità manutenzione è definita usando una tecnica piuttosto originale: è semplicemente composta dalle quattro cifre dell’ora e del minuto indicati dall’orologio di bordo.

Ma Feldman voleva fare di più: voleva scoprire se era possibile creare degli aggiornamenti personalizzati del firmware, ossia del software di base del sistema di infotainment. Gli aggiornamenti ufficiali, diffusi da Hyundai Mobis, sono distribuiti all’interno di un file ZIP protetto da una password e sono cifrati e anche firmati digitalmente. Sembrerebbe una tripla protezione più che ragionevole, ma purtroppo qualcuno in Hyundai ha commesso una serie di errori davvero imbarazzante.

Per prima cosa, Feldman è riuscito a scavalcare la password del file ZIP e a estrarne i contenuti; i dettagli della tecnica che ha usato sono nel suo blog. Per la cifratura degli aggiornamenti, ha trovato la chiave di decrittazione direttamente nel file ZIP. Due ostacoli su tre erano quindi rimossi.

Ma c’era ancora la firma digitale, ossia la protezione che consente di installare soltanto software che sia stato firmato e garantito usando una chiave segreta in due parti, una pubblica e una privata, nota soltanto ai tecnici di Hyundai Mobis. Senza quella chiave, Feldman era a un punto morto. È qui che ha avuto un’ispirazione molto felice.

Per verificare che nessun altro avesse già ottenuto i suoi stessi risultati, ha provato a cercare in Google la chiave di cifratura che aveva scoperto. E Google gli ha fatto scoprire che la chiave usata da Hyundai era quella usata come esempio nei manuali pubblici di crittografia (come il documento NIST SP800-38A). Era insomma come scoprire che i tecnici di Hyundai Mobis avevano “protetto” (si fa per dire) il proprio software usando la password pippo che si usa sempre nei tutorial e che conoscono tutti.

Ma non è finita qui. Frugando all’interno del software originale, l’ingegnere informatico ha scoperto che quel software conteneva la parte pubblica della chiave di firma digitale. Ispirato dall’errore precedente dei tecnici Hyundai, ha provato a cercare su Google una porzione di questa chiave, e ha scoperto che anche stavolta i tecnici avevano usato una chiave di firma digitale che è presente negli esempi dei tutorial, quelli che spiegano come firmare digitalmente qualunque file. E quei tutorial, ovviamente, includono anche la chiave privata corrispondente.

In altre parole: Hyundai ha usato una chiave privata di firma digitale presa da un tutorial e ha messo la chiave pubblica corrispondente nel proprio software. E così è emerso che tutto il suo castello di protezioni risulta essere fondato sull’argilla, e Feldman è riuscito a installare del software (più precisamente del firmware) scritto da lui sulla propria auto, come descrive in due altri articoli (primo, secondo). Missione compiuta, insomma.

Morale della storia: la sicurezza nel software non è cosa che si improvvisa. I protocolli e gli standard possono essere anche robustissimi e matematicamente inespugnabili, ma l’errore umano, o in questo caso la pigrizia di chi ha usato una chiave di firma digitale presa di peso da un tutorial, è sempre in agguato. Conviene ricordarlo quando qualche azienda, anche al di fuori del settore automobilistico, si vanta di usare i software di crittografia più sofisticati. Se li usa un pasticcione, sforneranno pasticci.

Fonte aggiuntiva: The Register.

English summary: Episode 2.05 of Star Trek: Picard conspicuously shows a calling card with an elaborate cutout pattern, which is also present in the credit sequence of the show. This pattern resembles a so-called “annular barcode” or “Shotcode” and may contain a message (the links lead to technical info describing the structure of these codes). We’re pooling our skills to see if we can reconstruct the exact pattern and then find out what it says (if anything). Help is welcome!

Ho il sospetto che questa immagine tratta dalla seconda stagione Star Trek: Picard contenga un messaggio in codice. Come ho scritto altrove, il numero di telefono è reale (risponde una segreteria molto particolare), e quindi è possibile che quello schema circolare di vuoti e pieni non sia casuale.

Oltretutto lo stesso tipo di schema compare anche nella sigla di testa, ed è identico perlomeno nella parte inquadrata:

Se qualcuno sa usare Photoshop o simili per “srotolare” lo schema o riesce pazientemente a ricostruire lo schema leggendo le immagini, possiamo provare a interpretarlo. Non si vince nulla, che io sappia, ma se per caso il codice rivela come vincere qualche ricompensa o avere qualche chicca nascosta, la condividerò volentieri con chi mi ha dato una mano!

Ho provato a elaborarla un pochino per vedere meglio i dettagli: io conto 10 righe e 57 o 58 colonne. Partendo dalla destra della riga diametrale e andando in senso antiorario, leggo per esempio (con 1 = pieno, 0 = vuoto) 10-10-10-10-10, 01-00-10-10-00-11... e poi mi perdo. Idee?

Ho trovato un file STL per stampa 3D del biglietto da visita. Se è attendibile, questa dovrebbe essere un’immagine più facilmente decodificabile, perché è vista frontalmente:

Primi risultati: @massimomusante segnala che somiglia moltissimo a un annular barcode, le cui specifiche tecniche sono descritte qui. Interessante: questi annular barcode ospitano 56 caratteri (e io ne ho contati 57 o 58, forse sbagliando) e il loro bordo esterno alterna vuoti e pieni per fornire una linea di riferimento per gli scanner. Il presunto codice sul biglietto da visita in effetti ha un anello esterno che è quasi tutto composto da un’alternanza di questo tipo.

La ricerca continua...

18:45. Ecco uno “srotolamento” fatto da Lorenzo Poderi:

Il mio contributo. Ho corretto la prospettiva dell'immagine cercando di farla tonda più possibile e poi ho tracciato a mano tutte le linee. Alcune rimangono ambigue ma si dovrebbe riuscire lo stesso ad interpretare gli 0 e 1. pic.twitter.com/RIWeP6wPJw

— Lorenzo Poderi (@lorenzopoderi) April 2, 2022

2022/04/03 00:15. @leoschumy nota che codici di questo genere sono stati chiamati anche shotcode e risalgono al 1999 (Wikipedia). Il sito originale, Shotcode.com, non esiste più ma è archiviato su Archive.org. Forse qualcuno riesce a recuperare un software di decodifica?

Nei commenti, Nico Chiavegato suggerisce che si tratti di una codifica UTF-8 e ci sono vari tentativi di “srotolamento” (questo di Word Smuggler è particolarmente promettente). C’è anche un thread su Twitter con alcuni spunti.

01:42. Alberto Franchi, nei commenti, segnala la sua decodifica:

1010101010 end char
0110101101 
1010101101
0010111110
1111000001
0111011111
1101011111
0001011111
1010001111
0000001111
1000101111
0000001111
1000010000
0110100001
1111110100
0100110100
1000100101
0000010000
1000010000
1001000011
0010000011
1111110011
0101111011
0101111011
1110000111
0110000001
1101001111
0000001001
1000000111
0001101000
1101111011
0101101011
1000001011
0001000001
1011101110

Buon divertimento!

9:45. Questa è la decodifica di Lorenzo Poderi:

Aggiungo anche la mia trascrizione cartacea pic.twitter.com/pwq11WO969

— Lorenzo Poderi (@lorenzopoderi) April 3, 2022

10:10. Questo è lo srotolamento grafico di Alberto Franchi:

ho srotolato i primi 35 bytes pic.twitter.com/B5wq3zyJXo

— Alberto M. Franchi (@AlbertoFranchi) April 3, 2022

Colgo l’occasione per segnalare un altro celebre messaggio circolare nascosto: quello sul paracadute marziano del rover Perseverance. Magari le tecniche usate per quella codifica possono ispirarvi per questa.

20:45. Alberto Franchi ha preparato anche questo grafico preliminare:

Grazie, ci sto lavorando sù pic.twitter.com/C1o7ogxiQy

— Alberto M. Franchi (@AlbertoFranchi) April 3, 2022

2022/04/04 9:40. Diego Cuoghi ha realizzato uno srotolamento molto chiaro:

23:50. Via Twitter, un altro ricercatore, @jaysenw, mi ha mandato queste informazioni, con il permesso di pubblicarle:

I have tried both circularly (outer rings) to inner rings, both with 1 for dark and 0 for light as well as in reverse (1 for light 0 for dark)

I have tried using the columns as well (outer to inner, inner to outer) with both with 1 for dark and 0 for light as well as in reverse.

I have attached my excel spreadsheet.  The raw data is on worksheet one.  I used an arbitrary starting point for the ring locations.

The inner ring is likely not a code as it is all dark, but I encoded it on my spreadsheet anyway.  I think there are 10 “data” rings and maybe 1 or two control rings (outer/inner).

I like the idea of a barcode.  I was trying:

1. 7 or 8 digit ASCII codes
2. 4 or 5 bit binary to decimal (like the perseverance code)
3. Looking for repeats between sets of digits (like the perseverance code)
4. Searching for vowels, www or periods (.) in the ASCII codes  (7/8) bit to see if any repeats.

None of these methods have yielded any fruitful results.

Il file Excel di cui parla è qui a vostra disposizione.

2022/04/05 00:20. Da @Elis4b arriva un’idea molto originale: e se fossero istruzioni per un carillon?

Voi rudi informatici non avete considerato l'ipotesi più romantica: che possa essere una traccia musicale, un disco inciso tipo carillon circolare che suona "Fly me to the Moon..." 🎶 pic.twitter.com/j1ewcCt18T

— Elisa (@Elis4b) April 4, 2022

Ultimo aggiornamento: 2022/03/14 13:05.

Telegram, la popolare app di messaggistica, ha un problema: viene vista come un’app “russa”, e quindi molti la considerano particolarmente a rischio, perché il suo creatore e fondatore, Pavel Durov, è nato in Russia. La questione è particolarmente delicata in Ucraina, dove Telegram è da tempo l’app più diffusa nella sua categoria. Se i russi fossero in grado di spiare la messaggistica del paese che hanno invaso, il rischio sarebbe altissimo.

Ma Pavel Durov non è in buoni rapporti con la Russia. Nel 2012, durante le proteste contro Putin, si rifiutò di chiudere i gruppi Telegram che organizzavano le marce di protesta su VKontakte, il popolarissimo social network da lui creato [Nota: nel podcast e nelle versioni precedenti di questo articolo ho detto e scritto che i gruppi erano su Telegram; ho sbagliato, scusatemi]. Il paese bandì Telegram nel 2018, quando Durov si rifiutò di fornire alle autorità i dati degli utenti. Questo blocco si rivelò inutile e facilmente aggirabile e quindi la Russia si arrese, togliendo il divieto nel 2020. Durov ora vive a Dubai e il ramo materno della sua famiglia proviene da Kyiv.

Il vero problema della sicurezza di Telegram, in realtà, è un altro ed è slegato dall’attuale crisi russa: moltissimi utenti dell’app credono che tutti i messaggi e contenuti che scambiano attraverso Telegram siano criptati end-to-end, quindi impossibili da leggere per Durov e la sua azienda, così come lo sono i messaggi di WhatsApp o Signal, che sono criptati in modo che i rispettivi gestori non possano leggerli. Ma non è così.

Infatti soltanto le cosiddette chat segrete di Telegram sono realmente cifrate end-to-end; tutti gli altri messaggi sono salvati in copia sui server di Telegram, dove sono protetti tramite cifratura ma in teoria sono accessibili all’azienda. Le chat di gruppo su Telegram non sono cifrate, nemmeno se il gruppo è privato.

Le chat segrete di Telegram, per chi non le conoscesse, sono quelle che si attivano toccando il nome della persona con la quale si vuole chattare e poi toccando i tre puntini in alto a destra per scegliere la voce Inizia chat segreta. Il contenuto di queste chat viene cancellato automaticamente dopo un periodo di tempo che si può impostare a piacimento.

Moxie Marlinspike, creatore dell’app alternativa Signal, ha pubblicato su Twitter un’analisi impietosa, nella quale ha messo bene in chiaro i limiti di Telegram, soprattutto per gli utenti in Ucraina: “Telegram ha molte funzioni estremamente desiderabili, ma in termini di privacy e di raccolta dati non esiste scelta peggiore... Telegram conserva tutti i vostri contatti, gruppi, media e ogni messaggio che avete mai mandato, e li conserva in chiaro sui suoi server... Praticamente tutto quello che vedete nell’app è visibile anche a Telegram.”

It's amazing to me that after all this time, almost all media coverage of Telegram still refers to it as an "encrypted messenger."

Telegram has a lot of compelling features, but in terms of privacy and data collection, there is no worse choice. Here's how it actually works:

1/

— Moxie Marlinspike (@moxie) December 23, 2021

La sua obiezione principale è che Telegram viene presentata spesso come un’app di messaggistica cifrata, quando in realtà è cifrata soltanto in minima parte. Anche se non vi trovate in zone di guerra, è importante conoscere questa differenza e agire di conseguenza.

Da parte sua, Pavel Durov ha scritto su Twitter pochi giorni fa che “nove anni fa ho difeso i dati privati degli ucraini dal governo russo e per questo ho perso la mia azienda e la mia casa. Lo rifarei senza esitazioni”.

9 years ago I defended the private data of Ukrainians from the Russian government — and lost my company and my home. I would do it again without hesitation. https://t.co/GUFCjbqDc5

— Pavel Durov (@durov) March 7, 2022

Parole forti e vicende personali che ispirano fiducia. Ma uno dei princìpi basilari in informatica è che un sistema sicuro non deve basarsi sulla fiducia negli intermediari, ma sul fatto che gli intermediari non possano leggere i dati degli utenti, neanche volendo.

Fonti aggiuntive: Forbes, Mashable, The Guardian, BBC.

Ultimo aggiornamento: 2022/01/20 18:30.

Di recente l’esercito svizzero ha bandito l’uso di WhatsApp, Signal, Telegram e di qualunque altra applicazione di messaggistica diversa da Threema per le comunicazioni legate al servizio.

Il portavoce dell’esercito, Daniel Reist, ha spiegato che la decisione è stata presa per questioni di sicurezza e di protezione dei dati. I militari potranno continuare a utilizzare WhatsApp e altre applicazioni per le comunicazioni private.

La decisione dell’esercito ha comprensibilmente spinto molte persone a farsi tre domande: 

• cosa c’è di così pericoloso in WhatsApp, Signal, Telegram eccetera da indurre l’esercito svizzero a compiere questo passo?
• perché Threema invece non è pericolosa?
• se lo fa l’esercito, dovremmo farlo anche noi?
  

Alcuni si saranno anche fatti una quarta domanda: Threema chi? In effetti Threema non è molto popolare: i suoi circa dieci milioni di utenti sono trascurabili rispetto ai due miliardi di utenti di WhatsApp. Molte persone non l’hanno mai sentita nominare e vengono a sapere della sua esistenza soltanto a causa della risonanza della notizia di questa decisione militare svizzera.

---

Cominciamo dalla prima domanda: le app di messaggistica non svizzere, come appunto WhatsApp, Signal e Telegram, non rispettano le norme svizzere sulla riservatezza. WhatsApp, in particolare, è soggetta alle leggi statunitensi e in particolare al cosiddetto CLOUD Act (acronimo di Clarifying Lawful Overseas Use of Data Act), una legge del 2018 che consente alle autorità statunitensi di acquisire informazioni sul traffico di dati da tutti i gestori di servizi di telecomunicazioni sottoposti alla giurisdizione degli Stati Uniti e lo consente anche se questi dati si trovano fuori dal territorio americano e anche se sono gestiti per esempio da società europee che hanno una filiale negli Stati Uniti, come spiega in dettaglio la legal specialist e data protection officer Barbara Calderini su Agenda Digitale.

In parole povere, gli Stati Uniti possono ottenere, aggregare e analizzare tutti i dati trasmessi su WhatsApp da qualunque militare svizzero o di qualunque altro paese. Il rischio non è ipotetico: è già capitato che messaggi o post di militari russi abbiano rivelato la loro presenza in Ucraìna e in Siria, a volte smentendo le dichiarazioni ufficiali. La Russia ha vietato completamente l’uso degli smartphone durante il servizio militare nel 2019.

È vero che WhatsApp ha la cosiddetta crittografia end-to-end, per cui Meta (la società che possiede WhatsApp insieme a Facebook e Instagram) non può cedere a nessuno il contenuto delle conversazioni fatte tramite WhatsApp semplicemente perché non le ha a disposizione. 

Ma la crittografia non copre i dati di contorno di queste conversazioni, ossia i cosiddetti metadati: con chi avete parlato, a che ora di quale giorno l’avete fatto, per quanto tempo avete conversato e quante volte avete scambiato messaggi con ciascuna delle persone con le quali avete comunicato tramite WhatsApp. Usare WhatsApp significa quindi dare a Meta, e quindi alle autorità statunitensi, l’elenco completo dei propri amici, contatti di lavoro e commilitoni. Messi insieme, tutti questi metadati hanno un valore strategico enorme.

Faccio un esempio concreto: qualche anno fa, nel 2017, sono stato invitato a parlare a Locarno a una conferenza organizzata dall’esercito svizzero e dedicata alla digitalizzazione legata alla sicurezza nazionale. Il pubblico era composto quasi esclusivamente da militari. Ho chiesto quanti di loro avessero uno smartphone acceso in tasca con la geolocalizzazione attiva e WhatsApp installato: hanno risposto affermativamente quasi tutti. Ma allora, ho proseguito, Google o Apple, e sicuramente Facebook, sanno che buona parte degli ufficiali dell’esercito svizzero, provenienti da tutti i cantoni, si trovano radunati in questo preciso luogo in questo preciso momento. E lo possono sapere in tante altre circostanze e passare questi dati al proprio governo. In sostanza, un paese straniero può monitorare i movimenti dei nostri militari, e può farlo oltretutto in modo perfettamente legale. La mia osservazione è stata accolta, come dire, con consapevole disagio.

Per chi è nelle forze armate elvetiche, insomma, usare WhatsApp (e, in misura minore, Signal o Telegram) o in generale applicazioni di messaggistica gestite da operatori situati al di fuori della Svizzera ha delle implicazioni reali di sicurezza militare.

---

Tutto questo spiega perché Threema, invece, non è considerata a rischio: si tratta di un’app creata da una società che ha sede in Svizzera, a Pfäffikon, nel canton Svitto, e che custodisce i dati in modo conforme alle leggi nazionali e lo fa su server situati in Svizzera. Quindi non è soggetta al CLOUD Act statunitense. Allo stesso tempo offre, come le app rivali, le stesse protezioni di crittografia end-to-end ed è open source, quindi liberamente ispezionabile. E a differenza delle altre app (in particolare di WhatsApp), non richiede di dare al gestore un numero di telefono o altre informazioni personali e non si mantiene offrendo queste informazioni ai pubblicitari (in questo senso Signal è più virtuosa rispetto a Telegram e WhatsApp). Threema è infatti un’app a pagamento: costa quattro franchi, che si pagano una volta sola. L’esercito svizzero pagherà questo abbonamento agli utenti militari.

La scelta dell’esercito di bandire le altre app dalle comunicazioni di servizio ma consentire l’uso di WhatsApp e simili per comunicazioni private non offre sicurezza assoluta: è un compromesso pragmatico, perché il semplice fatto di usare queste app invia comunque dati preziosi e sensibili alle società estere che le gestiscono. Ma è un passo nella direzione giusta.

---

Alla luce di tutto questo, noi utenti comuni cosa dobbiamo fare? Dipende tutto dalla situazione personale, ma l’esempio dato dall’esercito svizzero è valido, anche per chi vive al di fuori dei confini elvetici, ed è un buon promemoria del fatto che per molte categorie professionali, come per esempio medici, consulenti legali, giornalisti o fornitori di servizi bancari, usare WhatsApp e simili per comunicazioni legate alla propria attività è già ora una violazione delle norme nazionali sulla riservatezza dei propri pazienti, clienti o interlocutori. Usarle per la sfera personale, invece, è meno problematico, ma va comunque valutato con attenzione.

Allo stesso tempo, è inutile avere un’app ipersicura che però non viene usata dalle persone con le quali si vuole comunicare, per cui è necessario valutare la situazione caso per caso. Possiamo provare a chiedere ai nostri interlocutori se accettano di installare e usare app come Threema accanto a WhatsApp: anche questo è un passo nella direzione giusta.

Fonti: RSI, La Regione, Swissinfo, La Regione, Start Magazine, TvSvizzera.it.

WhatsApp sta chiudendo una lacuna di sicurezza importante e spesso trascurata: le comunicazioni fatte con questo sistema di messaggistica, che è di proprietà di Facebook, sono protette contro le intercettazioni abusive dalla crittografia end-to-end, ma i backup di queste comunicazioni non lo sono affatto.

Questo consente di recuperare le comunicazioni se si riesce a mettere le mani su uno di questi backup, salvati per esempio su Google Drive per i dispositivi Android o su iCloud per i dispositivi Apple. Se qualcuno vi ruba le password dell’account Google o iCloud, ha accesso a tutto quello che avete scritto su WhatsApp, se l’avete salvato in questi backup in cloud, come WhatsApp chiede insistentemente di fare.

La settimana scorsa Mark Zuckerberg ha annunciato su Facebook che gli utenti prossimamente potranno scegliere di crittografare anche questi backup. Ha anche precisato che Facebook ha pubblicato un white paper, un documento tecnico intitolato Security of End-To-End Encrypted Backups, che descrive dettagliatamente come è stata realizzata questa funzione.

Cybersecurity360 spiega (in italiano) il funzionamento di questi backup cifrati: WhatsApp chiederà di “salvare una chiave di crittografia a 64 bit o di creare una password associata alla chiave”. La chiave verrà memorizzata “in un modulo fisico di sicurezza hardware (HSM, Hardware Security Module) che agisce come una cassetta di sicurezza e può essere sbloccato solo utilizzando la password corretta. WhatsApp sa solo che esiste una chiave in un HSM, non la chiave stessa o la password associata per sbloccarla.”

The Register nota che non è la prima volta che WhatsApp offre crittografia dei backup: lo aveva già fatto anni fa per i backup su iCloud, ma il metodo usato aveva un difetto che lo rendeva attaccabile usando una SIM avente lo stesso numero di quella della vittima.

Vedremo come andranno le cose questa volta, ma bisogna ricordare che ogni comunicazione ha almeno due partecipanti, e questo vuol dire che voi potete essere diligentissimi nella protezione dei vostri messaggi, ma se uno solo dei vostri interlocutori non è altrettanto diligente, è tutto inutile e i messaggi saranno comunque accessibili a un aggressore sufficientemente deciso. La cosa più semplice, in molti, casi, è semplicemente non avere backup di messaggi. Meglio ancora, non usare queste applicazioni per comunicazioni riservate.

Ultimo aggiornamento: 2021/03/24 9:40.

Questa chiavetta USB che ho ricevuto in eredità fra i tanti supporti digitali lasciatimi da mio padre a settembre scorso ha un piccolo mistero. Mi aiutate a risolverlo?

È una normale chiavetta USB marchiata Maxell, di quelle con il connettore retrattile (il pulsante in centro serve a questo). Non ha alcuna etichettatura: è semplicemente una delle varie chiavette presenti nei cassetti della sua scrivania.

Ma esaminandola con i miei computer risulta avere soltanto due megabyte di spazio complessivo (non libero: proprio complessivo). La cosa mi ha sorpreso parecchio.

La chiavetta contiene apparentemente due soli file che praticamente la riempiono: LOCKv100 (mode 7).pdf e LOCKv223.exe.

Il primo file è un manuale di istruzioni di un software di crittografia per la chiavetta, che si intitola Security application program - LOCK user manual v1.00 ed è in formato PDF. Non riporta alcun indirizzo o riferimento del produttore del software. 

Il secondo file è un eseguibile che, se lanciato su un PC Windows, mi dice quello che vedete qui sotto: una password è presente e il dispositivo è bloccato dalla password. Ho pubblicato il manuale e il software qui, se li volete esaminare.

Purtroppo mio padre non ha lasciato informazioni riguardanti la password di questa chiavetta, mentre ha lasciato istruzioni per tutte le altre sue password. Sulla chiavetta non c’è neppure un suggerimento per la password:

Il manuale dice che dopo sei tentativi sbagliati di immissione della password i dati protetti verranno cancellati (“You have six chances to enter the password correctly, before your device gets formatted.”).

Non so neanche quale sia il software usato: l’unico indizio che ho trovato è questo sito russo che mostra lo stesso tipo di interfaccia grafica e lo chiama Phison LOCK v2.45.00 [Oct 25 2012] – USB DISK Pro Security App. Il sito include il manuale della versione 1.00, datati 2008.

Un fdisk-l sotto Linux mi dice questo della chiavetta:

Disk /dev/sde: 2 MiB, 2097152 bytes, 4096 sectors
Disk model:                 
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x00000000

Device     Boot Start   End Sectors Size Id Type
/dev/sde1          32  4095    4064   2M  1 FAT12

Anche l’utility Linux testdisk non rivela nulla:

Disk /dev/sde - 2097 KB / 2048 KiB - CHS 64 2 32 (RO)
Current partition structure:
     Partition                  Start        End    Size in sectors

check_FAT: Unusual number of reserved sectors 8 (FAT), should be 1.
check_FAT: Unusual media descriptor (0xf8!=0xf0)
 1 P FAT12                    0   1  1    63   1 32       4064 [SECURE]
No partition is bootable
 

Invece un hdparm - I /dev/sde dice:

SG_IO: bad/missing sense data, sb[]:  70 00 05 00 00 00 00 0a 00 00 00 00 20 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00

ATA device, with non-removable media
Standards:
    Likely used: 1
Configuration:
    Logical        max    current
    cylinders    0    0
    heads        0    0
    sectors/track    0    0
    --
    Logical/Physical Sector size:           512 bytes
    device size with M = 1024*1024:           0 MBytes
    device size with M = 1000*1000:           0 MBytes
    cache/buffer size  = unknown
Capabilities:
    IORDY not likely
    Cannot perform double-word IO
    R/W multiple sector transfer: not supported
    DMA: not supported
    PIO: pio0
 

Un dd fornisce questo risultato:

sudo dd if=/dev/sde of=image_file_sde.img #

4096+0 records in
4096+0 records out
2097152 bytes (2.1 MB, 2.0 MiB) copied, 0.14167 s, 14.8 MB/s
 

Invece parted risponde così:

Model:   (scsi)
Disk /dev/sde: 4096s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number  Start  End    Size   Type     File system  Flags
 1      32s    4095s  4064s  primary
 

Un lsusb -v fornisce questo:

Bus 010 Device 006: ID 19b6:4096 Infotech Logistic, LLC                 
Couldn't open device, some information will be missing
Device Descriptor:
  bLength                18
  bDescriptorType         1
  bcdUSB               2.00
  bDeviceClass            0
  bDeviceSubClass         0
  bDeviceProtocol         0
  bMaxPacketSize0        64
  idVendor           0x19b6 Infotech Logistic, LLC
  idProduct          0x4096
  bcdDevice            1.10
  iManufacturer           1
  iProduct                2
  iSerial                 3
  bNumConfigurations      1
  Configuration Descriptor:
    bLength                 9
    bDescriptorType         2
    wTotalLength       0x0020
    bNumInterfaces          1
    bConfigurationValue     1
    iConfiguration          0
    bmAttributes         0x80
      (Bus Powered)
    MaxPower              200mA
    Interface Descriptor:
      bLength                 9
      bDescriptorType         4
      bInterfaceNumber        0
      bAlternateSetting       0
      bNumEndpoints           2
      bInterfaceClass         8 Mass Storage
      bInterfaceSubClass      6 SCSI
      bInterfaceProtocol     80 Bulk-Only
      iInterface              0
      Endpoint Descriptor:
        bLength                 7
        bDescriptorType         5
        bEndpointAddress     0x81  EP 1 IN
        bmAttributes            2
          Transfer Type            Bulk
          Synch Type               None
          Usage Type               Data
        wMaxPacketSize     0x0200  1x 512 bytes
        bInterval               0
      Endpoint Descriptor:
        bLength                 7
        bDescriptorType         5
        bEndpointAddress     0x02  EP 2 OUT
        bmAttributes            2
          Transfer Type            Bulk
          Synch Type               None
          Usage Type               Data
        wMaxPacketSize     0x0200  1x 512 bytes
        bInterval               0

Non ci sono partizioni visibili a parte quella da 2 megabyte. Però le dimensioni incredibilmente esigue dichiarate dalla chiavetta mi fanno pensare che ci siano dei dati nascosti che occupano posto. 

Inoltre il manuale (a pagina 4) dice che se non c’è password, si possono usare entrambe le partizioni (You can use both partitions freely if no password exists). Ma in Esplora Risorse e anche sotto Linux ne vedo una sola. Il manuale dice anche che quando si inserisce la chiavetta si dovrebbero vedere due unità (When you plug in your device to a USB port, your operating system should recognised the device and showed two “Removable Disk” icons), ma io ne vedo una sola, e questo mi fa venire il dubbio che la seconda partizione non ci sia proprio.

---

Per acquisire informazioni sull’hardware ho smontato con cautela la chiavetta. Queste sono due foto dei suoi componenti interni: l’adesivo bianco reca la scritta 168-890003 e il chip al centro della foto ha la dicitura PHISON PS2231 0749 AJGJ6-000FE.

A questo punto dell’indagine ho due domande fondamentali:

1. Come faccio a sapere se ci sono o no dei dati cifrati (o almeno a sapere se la chiavetta ha davvero solo 2 megabyte di capienza)? Se si dimostra che è da 2 MB effettivi, mi metto il cuore in pace, perhé non c’è nulla da recuperare. Questa è la prima cosa da scoprire: è inutile investire tempo in cracking o bruteforcing o altre analisi se non c’è nessuna conferma che ci sia davvero qualcosa da decrittare.

2. Se ci sono dati cifrati, avete idea di come recuperarli? O almeno elencare i metadati dei file presenti?

I commenti sono a vostra disposizione. Grazie a tutti per l’aiuto, e anche per le condoglianze; scusatemi se non riesco a rispondervi uno per uno.

---

Su suggerimento di un lettore (grazie Andrea) ho installato questo programma di analisi apposito per unità Phison, che ha dato questi risultati: riconosco un Flash ID 45 c7 95 ba f8 13 43 00 della SanDisk, una data di firmware del 2008 e una di fabbricazione del 2010, un numero di serie 0789170000AA, e soprattutto una capienza totale di 3700 MB:

Ruggio81 ha trovato che l’ID 19b6:4096 di Infotech Logistic, LLC rivelato dal comando lsusb corrisponde a una chiavetta da circa 4 GB, secondo questa pagina. Sempre Ruggio81 ha trovato questa pagina con del software sperimentale che forse potrebbe rivelare la partizione nascosta e fare altre cose utili.

---

La risposta alla mia prima domanda sembra insomma abbastanza certa: sì, la chiavetta ha una capienza reale ben superiore a quella apparente. Ma la partizione locked ha una capienza di 0 MB.

Questo software di analisi dice che la chiavetta è in MODE 12. I vari MODE sono descritti in questa pagina in russo, ma manca il 12 (che però è mostrato in alcuni screenshot). Quest’altra pagina dello stesso sito mostra come fare ponte fra due piedini per fare...qualcosa ma non ho ben capito cosa (forse una modalità di test).

Ho anche provato a immettere una delle password di mio padre e sacrificare uno dei sei tentativi possibili per vedere se compariva qualche informazione diagnostica o di altro genere: niente da fare. La chiavetta ha lampeggiato per vari secondi e poi ha restituito semplicemente Password error, please try again. Error times: 1/6.

Adesso resta il dubbio se investire altro tempo e risorse per capire se in quella partizione nascosta c’è scritto qualcosa. Mio padre non era un esperto informatico e non era il tipo da usare chiavette securizzate: il suo approccio alla security informatica non era paranoico come il mio. Per cui è perfettamente possibile che qualcuno gli abbia regalato la chiavetta preconfigurata e lui non l’abbia mai usata.

---

Sempre Ruggio81 e altri hanno trovato un manuale Phison che sembra indicare che la password di default di queste chiavette sia 1234. Se la chiavetta non fosse mai stata usata, questa potrebbe essere la sua password corrente. Ho provato: non lo è.

Però durante il tentativo ho notato una cosa potenzialmente interessante: anche se la password è sbagliata, nel file manager di Windows compare temporaneamente una unità aggiuntiva etichettata USB Drive (D:). Scusate la pessima qualità, ho fatto un video di corsa con il telefonino.

Hmmm.....

---

Andrea ha invece trovato un documento cinese che parla del MODE 12 e cita questo software di manutenzione/gestione della Phison (specificamente questa versione). Domani ci provo.

----

Ho dovuto rinviare gli esperimenti per mancanza di tempo (urgenze di lavoro incombono) e perché sto cercando di verificare se mio padre ha lasciato istruzioni da qualche altra parte. Vi aggiorno se ci sono novità. Intanto grazie a tutti, siete stati preziosissimi.

Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi è piaciuto, potete incoraggiarmi a scrivere ancora facendo una donazione anche voi, tramite Paypal (paypal.me/disinformatico), Bitcoin (3AN7DscEZN1x6CLR57e1fSA1LC3yQ387Pv) o altri metodi.

Wickr in Mr. Robot.

Ultimo aggiornamento: 2021/01/13 18:15.

Se siete tentati di lasciare WhatsApp, o almeno affiancargli un’alternativa, a causa dei recenti e confusionari cambiamenti delle sue regole di privacy, ci sono varie opzioni.

La prima è Telegram: l’app è gratuita, anche se sarà presto sostenuta dalla pubblicità nei canali pubblici e nei servizi business e premium (ma le funzioni di base resteranno gratuite e senza pubblicità, dice il fondatore, Pavel Durov). Telegram consente non solo di scambiare messaggi ma anche di fare videochiamate, ed esiste anche una versione Web che consente di usare Telegram sul computer (c’è anche un client per Windows, Mac e Linux). La cifratura (end-to-end) si ha però solo quando si usano le cosiddette chat segrete: le chat normali e le chat di gruppo non sono cifrate, e i messaggi non cifrati vengono custoditi sui server di Telegram. È insomma una buona soluzione per chi non vuole farsi tracciare pubblicitariamente dall’impero di Facebook/WhatsApp/Instagram, ma non è l’ideale per chi vuole proteggere le proprie conversazioni.

La seconda è Signal, che offre la stessa crittografia di WhatsApp, anche sulle chiamate audio e video, ed è disponibile anche in versione desktop. Soprattutto ha una normativa di privacy e delle condizioni di servizio ben più semplici di quelle chilometriche di WhatsApp, che ammontano a oltre 8000 parole in legalese stretto.

Segnalo anche Threema, che non richiede di associarvi un numero di telefono, è open source e offre crittografia end-to-end e una versione web. In più è un’app svizzera, conforme al GDPR, che non raccoglie dati personali perché si mantiene con un piccolo costo iniziale e con i servizi alla clientela business.

Infine cito Wickr, crittografatissimo e gratuito in versione personale ma a pagamento in versione business. Molti lo conosceranno per le sue apparizioni nella serie TV hacking-centrica Mr. Robot.

La scelta non manca, insomma: il vero problema è convincere gli altri a usare la stessa app che usiamo noi. In questo senso WhatsApp è assolutamente dominante, ma nulla vieta di usare più di una app di messaggistica.