Il Disinformatico: metadati

Visualizzazione post con etichetta metadati. Mostra tutti i post

2021/01/15

Il disastro tragicomico di Parler

È stato chiuso Parler, il social network in stile Twitter usato dai sostenitori di Donald Trump per organizzare l’insurrezione violenta al Campidoglio negli Stati Uniti il 6 gennaio scorso. Ma prima di chiudere ha regalato amare sorprese agli utenti che si sono fidati di questo servizio.

Un’informatica, nota come donk_enby, ha preso l’iniziativa di creare una copia di tutti i messaggi di Parler, pieni di dettagli incriminanti, sapendo che prima o poi gli utenti si sarebbero resi conto che quei messaggi erano prova dei loro reati e che Amazon, Apple e Google avrebbero presto chiuso Parler. È riuscita a copiare circa il 99% dei messaggi pubblicati, ossia 80 terabyte, compreso circa un milione di video.

here it is on a graph pic.twitter.com/FuAPZQTQzA
— crash override (@donk_enby) January 11, 2021

donk_enby ha scoperto con meraviglia che Parler era un disastro di sicurezza informatica: non c’era autenticazione nella sua API pubblica, e quando un utente cancellava un messaggio, Parler in realtà si limitava a segnarlo come cancellato, senza eliminarlo realmente. Ogni post aveva un numero identificativo progressivo.

Questi errori dilettanteschi hanno permesso all’informatica di lanciare uno script che ha raccattato praticamente tutti i dati pubblicamente accessibili e li ha messi a disposizione di giornalisti, ricercatori e forze dell’ordine.

Non è finita: Parler non toglieva la geolocalizzazione dalle immagini e dai video. Twitter, Google e altri siti lo fanno abitualmente per proteggere i propri utenti, ma Parler consegnava a chiunque i file video e le foto con tutti i loro metadati.

Morale della storia: chiedetevi sempre quali dati digitali state disseminando e soprattutto a chi li state affidando. Spesso chi si presenta come salvatore e difensore delle libertà è il primo che non le tutela.

Fonti: Ars Technica, Vice, Gizmodo.

2018/04/20

Allerta in Minecraft per skin infettate, ma niente panico

Le skin di Minecraft incriminate. Credit: Avast.

Kotaku segnala che oltre 50.000 giocatori di Minecraft sono alle prese con un allarme virus. Avast spiega che alcune skin caricate sul sito ufficiale di Minecraft contenevano malware. Se uno dei 74 milioni di giocatori di Minecraft le scarica, questo malware potrebbe in teoria riformattare i loro dischi rigidi e cancellare i dati di backup.

I giocatori, però, possono stare tranquilli: le skin sono state rimosse e il pericolo è passato. Secondo gli sviluppatori di Minecraft, anzi, il pericolo probabilmente era solo apparente, perché le skin sono immagini in formato PNG e, come tutte le immagini in questo formato, possono contenere metadati di vario genere, e qualcuno ha pensato di inserire in queste skin del codice ostile, che viene riconosciuto dagli antivirus come malware. Ma questo codice è confezionato in un modo che rende praticamente impossibile eseguirlo e quindi infettarsi.

Minecraft ha colto l’occasione per attivare dei filtri che rimuovono dalle skin eventuali metadati di qualunque genere.

Niente panico, quindi, e buon divertimento.

2018/02/23

Le parole di Internet: metadati (e cosa se ne fa WhatsApp)

I metadati sono le informazioni che descrivono dei dati. Per esempio, i metadati di un documento Word possono essere la data e l’ora di creazione, il nome dell’autore e così via. I metadati di una fotografia possono essere il tipo di fotocamera, i parametri di scatto (tempo e diaframma), la data e l’ora dello scatto e le coordinate geografiche del luogo nel quale è stata fatta la foto.

Di solito i metadati sono considerati poco importanti, specialmente quando c’è di mezzo la crittografia. Prendete per esempio WhatsApp, una delle più diffuse app che offre a tutti gli utenti la cosiddetta crittografia end-to-end: in altre parole, i messaggi di WhatsApp sono cifrati e indecifrabili dal momento in cui lasciano il vostro smartphone al momento in cui arrivano su quello del destinatario (o quelli dei destinatari), e neanche WhatsApp può leggerli.

Questo crea in molti utenti una rischiosa illusione di sicurezza e anonimato che è meglio smontare, in modo da usare correttamente questi servizi di messaggistica tenendo conto dei loro limiti.

Il problema è spiegare come e quanto possono essere sfruttati i metadati: l’obiezione tipica è che se il contenuto di un messaggio o di una conversazione è segreto, non importa se qualcuno ha i suoi metadati. Per esempio, WhatsApp ha pieno accesso ai metadati dei messaggi degli utenti, ma cosa vuoi che se ne faccia? Sa che Mario e Rosa si sono parlati, ma non sa cosa si sono detti, no?

Un primo modo per spiegare meglio l’importanza dei metadati è chiamarli in maniera comprensibile. Come suggerisce Edward Snowden, provate a sostituire metadati con informazioni sulle attività.

Are your readers having trouble understanding the term "metadata"? Replace it with "activity records." That's what they are. #clarity
— Edward Snowden (@Snowden) 2 novembre 2015

Un altro modo è proporre degli esempi che facciano emergere il valore dei metadati, come fa la Electronic Frontier Foundation qui. Cito e traduco adattando al contesto italofono:

Loro sanno che hai chiamato una linea erotica alle 2:24 del mattino e hai parlato per 18 minuti. Ma non sanno di cosa hai parlato.

Loro sanno che hai chiamato il numero per la prevenzione dei suicidi mentre eri su un ponte. Ma l’argomento della conversazione resta segreto.

Loro sanno che hai parlato con un servizio che fa test per l’HIV, poi con il tuo medico e poi con il gestore della tua assicurazione sanitaria. Ma non sanno di cosa avete discusso.

Loro sanno che hai chiamato un ginecologo, gli hai parlato per mezz’ora, e poi hai chiamato il consultorio locale. Ma nessuno sa di cosa avete parlato.

In concreto, quali metadati (o meglio, quali informazioni sulle attività) raccoglie WhatsApp?

Secondo Romain Aubert (freeCodeCamp), WhatsApp accede a tutti i numeri della rubrica del vostro smartphone (vero: è nelle FAQ), e lo fa “in modo ricorrente” e includendo “sia quelli degli utenti dei nostri Servizi, sia quelli dei tuoi altri contatti” (fonte). WhatsApp inoltre raccoglie

il modello di hardware, informazioni sul sistema operativo, informazioni sul browser, l’indirizzo IP, informazioni sulle reti mobili compreso il numero di telefono, e gli identificatori del dispositivo. Se usi le nostre funzioni di localizzazione... raccogliamo informazioni sulla localizzazione del dispositivo [...]

(dalla privacy policy di WhatsApp)

Oltre a fare questa raccolta massiccia di metadati che riguarda circa un miliardo e mezzo di persone (dati Statista), per cui quello che non gli date voi se lo può sicuramente prendere dai vostri amici e contatti che usano l’app, WhatsApp ha un altro limite nell’uso della crittografia: il contenuto dei messaggi (testi, foto, conversazioni) viene conservato sul dispositivo senza protezioni, per cui se qualcuno ha accesso al vostro smartphone può leggere tutto, e questo è piuttosto ovvio: meno ovvio è che se qualcuno mette le mani sullo smartphone di uno qualsiasi dei vostri interlocutori può spiare la conversazione. Quindi la vostra riservatezza è determinata dal più sbadato dei vostri amici.

C’è anche la questione dei backup di WhatsApp, se li avete attivati: se il vostro smartphone è un Android, il backup (su Google Drive) non è cifrato e quindi è recuperabile. Se è un iPhone, invece, il backup (su iCloud) lo è.

Se preferite un’alternativa che raccolga molti meno metadati, c’è Signal: è open source, è gratuito (sostenuto dalle donazioni), è slegato dalle logiche di sorveglianza commerciale e raccoglie soltanto il vostro numero di telefonino e il giorno (non l’ora) della vostra ultima connessione ai loro server.

L’unico difetto di Signal è che tutti usano invece WhatsApp, ed è inutile avere un’app blindatissima se poi non la usa nessuno dei vostri amici. Però potreste provare a convincerli a usare entrambi.

2016/08/26

WhatsApp passerà dati a Facebook

L’articolo è stato aggiornato dopo la pubblicazione iniziale del 2016/08/26. Ultimo aggiornamento: 2016/10/13 23:45.

A parole WhatsApp difende la privacy degli utenti offrendo automaticamente la crittografia end-to-end del contenuto dei messaggi, ma in realtà sta iniziando a condividere le informazioni degli utenti con Facebook, che ha acquistato WhatsApp nel 2014 per circa 22 miliardi di dollari.

Secondo il suo recente annuncio, le informazioni che verranno raccolte e condivise sono il tipo di sistema operativo, la risoluzione dello schermo, l’operatore telefonico usato, un identificativo del dispositivo, il numero di telefonino e il prefisso internazionale dell’utente e la frequenza con la quale l’utente apre WhatsApp: informazioni più che sufficienti a profilare con precisione ciascun utente.

Lo scopo, dice WhatsApp, è consentire a Facebook di offrire agli utenti del social network delle pubblicità più mirate (e viceversa offrire agli inserzionisti ancora più dettagli personali delle vite degli utenti).

Chi vuole negare almeno in parte questa condivisione dei suoi dati fra WhatsApp e Facebook può seguire le istruzioni apposite: in sintesi, quando compare nell’app la proposta di accettare le nuove condizioni d’uso (circa settemila parole), bisogna toccare Leggi per leggere il loro testo completo e poi toccare la casella accanto alle parole Condividi le informazioni del mio account per togliere il segno di spunta sulla condivisione dei dati con Facebook. La proposta non compare immediatamente a tutti gli utenti: può volerci un po’ di tempo, ma alla fine arriva, come ho documentato personalmente qui.

Fonte: WhatsApp

Chi ha già accettato ha 30 giorni di tempo per andare in Impostazioni - Account e disattivare la voce Condividi info account.

Fonte: WhatsApp

WhatsApp aveva promesso di restare indipendente da Facebook nonostante l’acquisizione, ma la promessa è durata poco (non è stata violata formalmente, ma nella sostanza sì). Vale, come sempre, la solita regola: chi usa un’app fornita gratuitamente da un’azienda che invece l’ha pagata miliardi di dollari deve aspettarsi prima o poi di essere trattato non come cliente, ma come prodotto.

Negli Stati Uniti è già partita un’azione di opposizione formale a livello federale a questa condivisione di dati. L’iniziativa è dell’Electronic Privacy Information Center, una delle principali associazioni per la difesa dei diritti digitali del paese.

Fonti aggiuntive: Gizmodo, Bloomberg, Gizmodo, Fortune, Sophos, BBC, Ars Technica, Gizmodo.

2016/08/05

Telegram “violato”, le precauzioni da prendere

Ha fatto scalpore la notizia, pubblicata da Reuters, che dei ricercatori informatici (Collin Anderson e Claudio Guarnieri) hanno denunciato la violazione di alcuni account della popolare app di messaggistica cifrata Telegram appartenenti ad attivisti politici iraniani e sono riusciti a identificare i numeri di telefono di circa 15 milioni di utenti Telegram del paese. L’annuncio ha creato dubbi sull’effettiva riservatezza delle comunicazioni effettuate con quest’app.

Le violazioni sono avvenute sfruttando il fatto che Telegram utilizza gli SMS per abilitare nuovi dispositivi all’uso di un account. Se questi SMS vengono intercettati, per esempio tramite l’operatore della rete cellulare, un intruso può aggiungere un nuovo dispositivo a un account e quindi ricevere i messaggi scambiati dall’utente di quell’account e leggere le cronologie delle chat. Questo significa che Telegram è vulnerabile nei paesi nei quali gli operatori telefonici collaborano strettamente con i governi.

Secondo i responsabili di Telegram, tuttavia, la vulnerabilità è risolvibile evitando di usare gli SMS di verifica e usando al loro posto una password robusta e una casella di mail ben protetta, ossia la verifica in due passaggi introdotta da Telegram l’anno scorso.

L’identificazione di massa degli utenti, invece, è stata liquidata da Telegram come un non problema, perché “sono stati raccolti soltanto dati pubblicamente disponibili” e non sono stati violati gli account. Ma in realtà sapere chi usa Telegram, e saperlo in modo massiccio come in questo caso, è comunque un problema di sicurezza per gli utenti.

Una catalogazione di massa degli utenti Telegram di un paese consente infatti ai governanti di sapere chi sente il bisogno di comunicare in modo segreto. Come mai lo fa? Cos’ha da nascondere? In molti paesi il solo fatto di usare app che fanno cifratura è considerato sospetto. Avendo i numeri di telefonino degli utenti Telegram, un governo può non solo identificare gli utenti, ma sapere dove abitano, chi chiamano e dove si trovano. In caso di manifestazione in piazza, per esempio, un governo può usare la rete cellulare per sapere chi ha partecipato e quali dei partecipanti usano Telegram e quindi sono più sospetti.

Come sempre, insomma, si può sapere molto di una persona anche senza intercettare il contenuto delle sue comunicazioni ma sfruttando soltanto i metadati che le descrivono: con chi ha comunicato, a che ora, per quanto tempo, e dove si trovavano gli interlocutori. È meglio tenerlo ben presente prima di fidarsi ciecamente delle promesse di sicurezza offerte dalle app di messaggistica.

Fonti: Sophos, @pwnallthethings.

2016/06/26

Meglio Telegram, Signal o WhatsApp?

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2016/06/26 18:30.

L’illusione della sicurezza è uno dei maggiori pericoli per la sicurezza (non solo in informatica). La recente introduzione della crittografia in app molto popolari come WhatsApp e Viber è stata interpretata da molti come una protezione assoluta, ma non lo è: conviene conoscerne i limiti in modo da capire con precisione cosa comportano.

The Intercept ha pubblicato un ottimo articolo che fa il punto della situazione sulle principali app di messaggistica che offrono cifratura, e anche Gizmodo ha messo online una serie di mini-recensioni. Riassumo entrambi e faccio un’allerta spoiler: si salva solo Signal.

WhatsApp. Facebook, proprietaria di WhatsApp, non può leggere i contenuti dei messaggi e delle altre comunicazioni che transitano dall’app, ma sa chi ha comunicato con chi e quando lo ha fatto e si riserva il diritto di registrare queste informazioni (i cosiddetti metadati), insieme alle rubriche telefoniche degli utenti, e di passarle ai governi e quindi agli inquirenti. In altre parole, se avete mai Whatsappato con qualcuno che finisce nei guai con la giustizia, non potete far finta di non conoscerlo contando sulla segretezza delle comunicazioni di WhatsApp. Inoltre una copia dei messaggi viene conservata sul telefonino del mittente e dei destinatari, e chi ha attivato il backup dei dati del telefonino su cloud ha depositato su Google o su iCloud un’altra copia delle comunicazioni fatte con WhatsApp. L’app consente di disattivare quest’opzione, ma spetta all’utente sapere che esiste e intervenire per disattivarla.

Signal. È open source (quindi liberamente ispezionabile nel funzionamento), disponibile per iOS e Android, privo di legami commerciali (è sostenuto dalle donazioni degli utenti e non ha pubblicità), offre cifratura completa (end-to-end), non raccoglie metadati (a parte l'orario dell'ultima connessione dell’utente al server, che comunque viene arrotondato al giorno). La rubrica dei contatti viene letta da Signal, ma viene cifrata prima di mandarla ai server di Signal in modo che i dati della rubrica non siano collezionabili (viene usata una funzione di hashing). Le conversazioni non vengono archiviate su cloud Google/Apple. Unico limite: lo usano pochissimi utenti (qualche milione contro i 900 e passa di WhatsApp), per cui o convincete il vostro interlocutore a installarlo, oppure potrete solo mandargli SMS non protetti (l’app indica chiaramente quale tipo di messaggio verrà inviato).

Telegram. Quest’app viene spesso citata come se fosse sicura, ma i fatti sono un po’ diversi. Per impostazione predefinita, i messaggi vengono conservati sui server di Telegram in forma non cifrata. Se usate la modalità privata potete attivare la cifratura, che però è considerata debole e difettosa.

Allo/Duo. The Intercept segnala che Google sta per lanciare un’app di messaggistica, chiamata Allo, e sottolinea che la sua impostazione predefinita sarà che Google può leggere tutto. La crittografia si attiva soltanto se scegliete la modalità privata, che però limita alcune funzioni. Google motiva questa scelta con il fatto che Allo userà il testo dei messaggi per fornire all’utente servizi basati sul contesto. Sempre da Google è in arrivo Duo, app di videochiamata, che sarà cifrata automaticamente e da un capo all’altro della conversazione (end-to-end): non si sa se raccoglierà metadati.

Cerca nel blog