Signal svela una nuova funzionalità per proteggere le chat

Tutte le chat su Signal sono protette dalla crittografia end-to-end, quindi solo mittente e destinatario possono accedere ai contenuti. Potrebbero tuttavia essere intercettate tramite un attacco man-in-the-middle. La software house californiana ha quindi annunciato la nuova funzionalità Automatic Key Verification che utilizza terze parti per verificare l’integrità delle conversazioni.

Estensione dei codici di sicurezza

I codici di sicurezza permettono di verificare se la conversazione è protetta dalla crittografia. I 12 gruppi da 5 numeri devono essere gli stessi per mittente e destinatario. Il confronto può essere fatto visivamente o tramite scansione del codice QR. La funzionalità Automatic Key Verification permette la verifica automatica tramite terze parti (Cloudflare e Trail of Bits). Se la crittografia end-to-end è attiva viene mostrato un segno di spunta verde.

Questo sistema di verifica garantisce che l’associazione tra un numero di telefono o un nome utente e la relativa chiave di crittografia pubblica sia coerente a livello globale. Ciò protegge da scenari in cui una chiave viene sostituita all’insaputa del proprietario, ad esempio se un malintenzionato compromette Signal e associa una chiave diversa al numero di telefono del contatto, come può avvenire durante un attacco man-in-the-middle.

In pratica, se un cybercriminale riesce ad accedere al database delle chiavi pubbliche potrebbe intercettare le conversazioni e modificare i messaggi. La funzionalità è disponibile solo se l’utente ha creato un account con il numero di telefono. Non è disponibile se è stata avviata una chat con il nome utente, se il contatto non è rintracciabile tramite numero di telefono o se il contatto ha cambiato numero di telefono. In questi casi, la verifica deve essere effettuata tramite i codici di sicurezza.