di Matthew Green (*)

Questo blog è riservato a cose più serie, e normalmente non dedicherei tempo a domande come quella sopra. Ma per quanto mi piacerebbe passare il tempo a scrivere di argomenti interessanti, a volte il mondo richiede un po’ di quello che Brad Delong chiama “Raccolta della spazzatura intellettuale”, ovvero correggere le idee sbagliate, o per lo più sbagliate, che si diffondono senza controllo su Internet.

Questo post è ispirato dalla recente e preoccupante notizia che l’amministratore delegato di Telegram Pavel Durov è stato arrestato dalle autorità francesi per non aver moderato a sufficienza i contenuti. Pur non conoscendo i dettagli, l’uso di accuse penali per costringere le aziende di social media è un’escalation piuttosto preoccupante, e spero che ci sia dell’altro.

Ma non è di questo arresto che voglio parlare oggi.

Quello di cui voglio parlare è un dettaglio specifico della notizia. In particolare, il fatto che quasi tutte le notizie sull’arresto si riferiscono a Telegram come a una “app di messaggistica criptata”.

Ecco alcuni esempi:

Questa formulazione mi fa impazzire perché in un senso tecnico molto limitato non è sbagliata. Tuttavia, in tutti i sensi che contano, rappresenta in modo fondamentalmente errato ciò che Telegram è e come funziona in pratica. E questo travisamento è negativo sia per i giornalisti che, in particolare, per gli utenti di Telegram, molti dei quali potrebbero essere danneggiati.

Passiamo ora ai dettagli.

Telegram ha o non ha la crittografia?

Molti sistemi utilizzano la crittografia in un modo o nell’altro. Tuttavia, quando si parla di crittografia nel contesto dei moderni servizi di messaggistica privata, la parola ha un significato molto specifico: si riferisce all’uso della crittografia end-to-end predefinita per proteggere il contenuto dei messaggi degli utenti. Se utilizzata secondo gli standard del settore, questa funzione garantisce che ogni messaggio venga crittografato utilizzando chiavi di crittografia note solo alle parti che comunicano e non al fornitore del servizio.

Dal punto di vista dell’utente, un “messenger criptato” garantisce che ogni volta che si avvia una conversazione, i messaggi saranno leggibili solo dalle persone con cui si intende parlare. Se l’operatore di un servizio di messaggistica cerca di visualizzare il contenuto dei vostri messaggi, vedrà solo inutile spazzatura criptata. La stessa garanzia vale per chiunque possa introdursi nei server del provider e anche, nel bene e nel male, per le forze dell’ordine che inviano ai provider un mandato di comparizione.

Telegram non soddisfa chiaramente questa definizione più forte per un semplice motivo: non esegue la crittografia end-to-end delle conversazioni per impostazione predefinita. Se volete usare la crittografia end-to-end in Telegram, dovete attivare manualmente una funzione opzionale di crittografia end-to-end chiamata “Chat segrete” per ogni singola conversazione privata che volete avere. La funzione non è esplicitamente attivata per la stragrande maggioranza delle conversazioni ed è disponibile solo per le conversazioni uno a uno e mai per le chat di gruppo con più di due persone.

Come strano bonus, l’attivazione della crittografia end-to-end in Telegram è stranamente difficile da fare per gli utenti non esperti.

Per prima cosa, il pulsante che attiva la funzione di crittografia di Telegram non è visibile dal riquadro principale della conversazione o dalla schermata iniziale. Per trovarlo nell’app iOS, ho dovuto cliccare almeno quattro volte: una volta per accedere al profilo dell’utente, una volta per far apparire un menu nascosto che mi mostrasse le opzioni e un’ultima volta per “confermare” che volevo usare la crittografia. E anche dopo questa operazione non sono stato in grado di avere una conversazione criptata, poiché Chat segrete funziona solo se il vostro interlocutore è online quando lo fate.

Avvio una “chat segreta” con il mio amico Michael sull’ultima app Telegram per iOS. Da una normale schermata di chat questa opzione non è direttamente visibile. Per attivarla sono necessari quattro clic: (1) per arrivare al profilo di Michael (immagine a sinistra), (2) sul pulsante “…” per visualizzare una serie di opzioni nascoste (immagine al centro), (3) su “Avvia chat segreta” e (4) sulla finestra di conferma “Sei sicuro…”. Dopodiché non sono ancora in grado di inviare a Michael alcun messaggio, perché le Chat segrete di Telegram possono essere attivate solo se anche l’altro utente è online.

Nel complesso, si tratta di un’esperienza molto diversa da quella di avviare una nuova chat crittografata in un’applicazione di messaggistica moderna standard del settore, che richiede semplicemente l’apertura di una nuova finestra di chat.

Anche se può sembrare che io faccia lo schizzinoso, la differenza di adozione tra la crittografia end-to-end predefinita e questa esperienza è probabilmente molto significativa. L’impatto pratico è che la stragrande maggioranza delle conversazioni individuali su Telegram – e letteralmente ogni singola chat di gruppo – sono probabilmente visibili sui server di Telegram, che possono vedere e registrare il contenuto di tutti i messaggi inviati tra gli utenti. Questo può essere o meno un problema per ogni utente di Telegram, ma di certo non è qualcosa che pubblicizzeremmo come particolarmente ben criptato.

(Se siete interessati ai dettagli e a qualche ulteriore critica ai protocolli di crittografia di Telegram, vi spiegherò cosa sappiamo a riguardo più avanti).

Ma dunque, la crittografia predefinita è davvero importante?

Forse sì, forse no! Ci sono due modi diversi di pensarla.

Uno è che la mancanza di crittografia predefinita di Telegram va bene per molte persone. La realtà è che molti utenti non scelgono Telegram per la messaggistica privata criptata. Per molte persone, Telegram viene usato più come un social network che come un messenger privato.

Entrando più nello specifico, Telegram ha due caratteristiche popolari che lo rendono ideale per questo caso d’uso. Una di queste è la possibilità di creare e sottoscrivere “canali”, ognuno dei quali funziona come una rete di trasmissione in cui una persona (o un piccolo numero di persone) può inviare contenuti a milioni di lettori. Quando si trasmettono messaggi a migliaia di sconosciuti in pubblico, mantenere la segretezza del contenuto della chat non è così importante.

Telegram supporta anche grandi chat di gruppo pubbliche che possono includere migliaia di utenti. Questi gruppi possono essere aperti al pubblico in generale o possono essere impostati solo su invito. Anche se personalmente non ho mai voluto condividere una chat di gruppo con migliaia di persone, mi è stato detto che molti apprezzano questa funzione. Nell’istanza pubblica e di grandi dimensioni, non è importante che le chat di gruppo di Telegram non siano criptate: dopo tutto, a chi interessa la riservatezza se si sta parlando in pubblico?

Ma Telegram non si limita solo a queste funzioni, e molti utenti che si iscrivono per esse fanno anche altre cose.

Immaginate di trovarvi in una “piazza pubblica” per una conversazione di gruppo. In quell’ambiente non ci si aspetta una forte privacy e quindi la crittografia end-to-end non ha molta importanza. Ma supponiamo che voi e cinque amici usciate dalla piazza per avere una conversazione secondaria. Questa conversazione merita una forte privacy? Non ha molta importanza quello che volete, perché Telegram non ve lo fornirà, almeno non con una crittografia che vi protegga dalla condivisione dei vostri contenuti con i server di Telegram.

Allo stesso modo, immaginate di utilizzare Telegram per le sue funzioni simili a quelle dei social media, ovvero di consumare principalmente contenuti piuttosto che produrli. Ma un giorno la vostra amica, che usa Telegram per motivi simili, si accorge che siete sulla piattaforma e decide di inviarvi un messaggio privato. Ora vi preoccupate della privacy? E avete intenzione di attivare manualmente la funzione “Chat segreta”, anche se richiede quattro clic espliciti attraverso menu nascosti, e anche se vi impedirà di comunicare immediatamente se uno di voi è offline?

Il mio forte sospetto è che molte persone che si iscrivono a Telegram per le sue funzioni di social media finiscano per usarlo anche per comunicare privatamente. Credo che Telegram lo sappia e tenda a pubblicizzarsi come “messenger sicuro” e a parlare delle funzioni di crittografia della piattaforma proprio perché sa che questo fa sentire le persone più a loro agio. Ma in pratica, sospetto anche che pochissimi di questi utenti stiano effettivamente utilizzando la crittografia di Telegram. Molti di loro potrebbero non rendersi conto di dover attivare manualmente la crittografia e pensare di usarla già.

Il che mi porta al prossimo punto.

Telegram sa che la sua crittografia è difficile da attivare e continua a promuovere il suo prodotto come messaggeria sicura.

La crittografia di Telegram è stata oggetto di pesanti critiche almeno dal 2016 (e forse anche da prima) per molti dei motivi che ho illustrato in questo post. In effetti, molte di queste critiche sono state mosse da esperti, me compreso, in conversazioni di anni fa con Pavel Durov su Twitter. (1)

Sebbene l’interazione con Durov potesse essere a volte dura, a quei tempi presumevo ancora la buona fede di Telegram. Credevo che Telegram fosse impegnata a far crescere la propria rete e che, col tempo, avrebbe migliorato la qualità e l’usabilità della crittografia end-to-end della piattaforma: ad esempio, attivandola di default, fornendo il supporto per le chat di gruppo e rendendo possibile l’avvio di chat crittografate con utenti offline. Ho ipotizzato che, sebbene Telegram possa essere un seguace piuttosto che un leader, alla fine avrebbe raggiunto la parità di funzionalità con i protocolli di crittografia offerti da Signal e WhatsApp. Naturalmente, una seconda possibilità era che Telegram abbandonasse del tutto la crittografia e si concentrasse solo su una piattaforma di social media.

Quello che è successo in realtà mi confonde molto di più.

Invece di migliorare l’usabilità della crittografia end-to-end di Telegram, i proprietari di Telegram hanno più o meno mantenuto invariata la loro UX di crittografia dal 2016. Sebbene siano stati apportati alcuni aggiornamenti agli algoritmi di crittografia sottostanti utilizzati dalla piattaforma, l’esperienza d’uso delle Chat segrete nel 2024 è quasi identica a quella di otto anni fa. Questo, nonostante il fatto che il numero di utenti di Telegram sia cresciuto di 7-9 volte nello stesso periodo di tempo.

Allo stesso tempo, l’amministratore delegato di Telegram Pavel Durov ha continuato a commercializzare in modo aggressivo Telegram come “messenger sicuro”. Di recente, sul suo canale personale di Telegram, ha lanciato una critica severa nei confronti di Signal e WhatsApp, insinuando che questi sistemi sono stati oscurati dal governo statunitense e che solo i protocolli di crittografia indipendenti di Telegram sono davvero affidabili.

Sebbene questa potrebbe essere una ragionevole discussione da nerd se si svolgesse tra due piattaforme che supportano entrambe la crittografia end-to-end predefinita, Telegram non ha davvero le gambe per stare in piedi in questa particolare discussione. In effetti, non è più divertente vedere l’organizzazione di Telegram che esorta le persone ad abbandonare i messenger con crittografia predefinita, rifiutandosi di implementare funzioni essenziali che cripterebbero ampiamente i messaggi dei propri utenti. Anzi, comincia a sembrare un po’ maligno.

E i noiosi dettagli della crittografia?

Questo è un blog di crittografia e quindi sarei negligente se non dedicassi almeno un po’ di tempo ai noiosi protocolli di crittografia. Perderei anche una buona occasione per rimanere a bocca aperta per lo stupore, cosa che accade praticamente ogni volta che guardo l’interno della crittografia di Telegram.

Per ridurre il dolore, lo affronterò in un unico paragrafo, e potete sentirvi liberi di saltarlo se non siete interessati.

Secondo quelle che credo siano le ultime specifiche di crittografia, la funzione Chat segrete di Telegram si basa su un protocollo personalizzato chiamato MTProto 2.0. Questo sistema utilizza 2048-bit*. Questo sistema utilizza un accordo di chiavi Diffie-Hellman a campo finito a 2048 bit*, con parametri di gruppo (credo) scelti dal server (poiché il protocollo Diffie-Hellman viene eseguito solo in modo interattivo, questo è il motivo per cui le chat segrete non possono essere impostate quando un utente è offline)*. La protezione MITM è gestita dagli utenti finali, che devono confrontare le impronte digitali delle chiavi. Ci sono alcuni strani nonces casuali forniti dal server, di cui non capisco bene lo scopo* – e che in passato rendevano lo scambio di chiavi totalmente insicuro nei confronti di un server malintenzionato (ma questo è stato risolto da tempo)*). Le chiavi risultanti vengono poi utilizzate per alimentare la più sorprendente modalità di crittografia autenticata non standard mai inventata, una cosa chiamata “Infinite Garble Extension” (IGE) basata su AES e con SHA2 che gestisce l’autenticazione*.

NB: Ogni punto in cui ho messo un “*” nel paragrafo precedente è un punto in cui esperti crittografi, nel contesto di qualcosa come un audit di sicurezza professionale, alzerebbero le mani e farebbero un sacco di domande. Non andrò oltre. È sufficiente dire che la crittografia di Telegram è insolita.

Se mi chiedete di indovinare se il protocollo e l’implementazione delle chat segrete di Telegram sono sicuri, direi che è abbastanza probabile. Ad essere onesti, però, non importa quanto sia sicuro qualcosa se le persone non lo usano davvero.

C’è qualcos’altro che dovrei sapere?

Sì, purtroppo. Anche se la crittografia end-to-end è uno dei migliori strumenti che abbiamo sviluppato per prevenire la compromissione dei dati, non è certo la fine della storia. Uno dei maggiori problemi di privacy nella messaggistica è la disponibilità di molti metadati, ossia di dati su chi utilizza il servizio, con chi parla e quando parla.

Questi dati non sono in genere protetti dalla crittografia end-to-end. Anche nelle applicazioni di sola trasmissione, come i canali di Telegram, sono disponibili molti metadati utili su chi sta ascoltando una trasmissione. Queste informazioni sono preziose per le persone, come dimostrano le enormi quantità di denaro che le emittenti tradizionali spendono per raccoglierle. In questo momento tutte queste informazioni sono probabilmente presenti sui server di Telegram, dove sono a disposizione di chiunque voglia raccoglierle.

Non sto citando specificamente Telegram per questo, poiché lo stesso problema esiste praticamente con ogni altra rete di social media e messaggeria privata. Ma è bene menzionarlo, per evitare di farvi concludere che la crittografia è tutto ciò di cui abbiamo bisogno.

Note:

(1) Non riuscirò mai più a trovare tutte queste conversazioni, grazie alla ricerca di Twitter che non funziona. Se qualcuno è in grado di recuperarle, gliene sarei grato.

FONTE: https://blog.cryptographyengineering.com/2024/08/25/telegram-is-not-really-an-encrypted-messaging-app/

(*) Matthew Green

I’m a cryptographer and professor at Johns Hopkins University. I’ve designed and analyzed cryptographic systems used in wireless networks, payment systems and digital content protection platforms. In my research I look at the various ways cryptography can be used to promote user privacy.