Nella terza settimana di aprile c’è stato una piccola guerra a suon di accuse tra la ditta che gestisce il messenger Signal e Cellebrite, ditta istaeliana specializzata nel fornire alle forze dell’ordine i kit per estrazione dati da IOS e Android. Molto spesso però Cellebrite esagera le proprie capacità di analisi ed estrazione dati; soprattutto quando lo smartphone è ormai già sbloccato e i dati sono già leggibili.
A fine 2020 Cellebrite ha scritto nel proprio blog di avere una nuova soluzione per decriptare le chat di Signal, non meglio specificando in che modo avessero avuto successo nell’attacco alla criptatura. Signal reagisce subito spiegando che in nessun modo è stata craccata la codifica end-to-end, che garantisce la riservatezza delle comunicazioni tra due utilizzatori del Messenger. Cellebrite in effetti si riferiva al poter leggere il database Signal avendo peró accesso al telefono già sbloccato.
Così gli ingegneri software di Signal si sono procurati il famigerato kit Cellebrite (poco fa era acquistabile su Ebay per oltre 2000€) al solo scopo di retroingegnerizzarlo e trovare bug nel software per controsputtanarli. Ovviamente essendo Cellebrite e il suo Physical Analyzer un software che deve raccogliere più dati possibili è intrinsecamente aperto a far entrare virus e a lasciarsi manipolare, soprattutto se per esempio sul telefono c’è già installato del codice anti Cellebrite. Questo riduce l’efficacia e l’utilizzabilità dei prodotti Cellebrite nelle aule di tribunale ma c’e’ di più.. Il software Cellebrite usa delle librerie FFmpeg del 2012 che sono note per avere una infinità di falle che possono essere sfruttate per alterare l’estrazione dati e la sicurezza dei software di Cellebrite.
Così il Team di esperti di Signal ha fatto pervenire agli israeliani un’offerta: avrebbero dato loro assistenza per correggere tutti gli errori trovati nel codice (https://signal.org/blog/cellebrite-vulnerabilities/) se si fossero impegnati in futuro a fornire tutte le falle di sicurezza che avrebbero trovato.
Ovviamente per Cellebrite questa proposta indecente è completamente inaccettabile essendo un’azienda che basa il proprio business sullo sfruttamento di conoscenze hardware e software esclusive.
Col sistema operativo Apple degli iPhone Cellebrite non ha mai avuto fortuna e con questo nuovo caso è certo che le soluzioni perderanno clienti, credibilità e potere nei tribunali di tutto il mondo.
Con questo nuovo scontro sicuramente le soluzioni Cellebrite perderanno clienti, credibilità e potere nei tribunali di tutto il mondo. Anche il titolo in borsa non starà certamente volando alto.
Benchè i Kit Cellebrite vengono ormai utilizzati da forza dell’ordine di tutto il mondo, e hanno sempre maggiore rilevanza nei tribunali, il caso Signal Vs. Cellebrite, ha consentito a degli avvocati di fare ricorso ad almeno due procedimenti penali.
Signal ad oggi rimane il messenger più sicuro per la riservatezza delle comunicazioni punto punto.
