XChat: la crittografia non c'è, Musk può ancora spiare i messaggi

Elon Musk è solito fare annunci roboanti, che poi alla prova dei fatti si rivelano molto meno impressionanti di quello sembrano. E stavolta tocca a XChat, la nuova funzione di messaggistica “privata” di X che dovrebbe essere super sicura e crittografata. Ma un esperto di sicurezza informatica l’ha definita senza mezzi termini “solo marketing“.

XChat non è davvero crittografato

Musk ha descritto XChat come costruito con crittografia “stile Bitcoin” e una “architettura completamente nuova“. Il guaio è che questa frase non ha molto senso. Bitcoin non crittografa i dati, anzi, tutte le transazioni sono pubbliche e chiunque può vederle. La crittografia in Bitcoin serve solo a verificare che le transazioni siano autentiche, non a nasconderle. Forse Musk voleva dire che XChat funziona in modo decentralizzato come Bitcoin, ma l’ha spiegato così male da far pensare che stesse inventando un nuovo tipo di crittografia… Non è la prima volta che le sue spiegazioni tecniche lasciano perplessi gli esperti.

Per capire perché gli esperti sono scettici, basta guardare la storia recente di X. A maggio 2023, allora ancora Twitter, aveva lanciato una funzione di messaggi crittografati limitata solo agli utenti verificati. Già allora mancavano protezioni contro gli attacchi man-in-the-middle, e X ammetteva di poter accedere ai messaggi se obbligata legalmente. Lo stesso Musk aveva detto “Provatela, ma non fidatevi ancora“. La settimana scorsa, quella funzione è stata sospesa per “miglioramenti“, e ora arriva XChat con promesse simili e, a quanto pare, gli stessi problemi fondamentali.

Cosa dice davvero la pagina di aiuto di X?

Se si vuole capire quanto sia davvero sicuro XChat, basta leggere la pagina di aiuto ufficiale di X. Lì si trovano ancora gli stessi avvertimenti di sempre: “al momento non offriamo protezioni contro gli attacchi man-in-the-middle” e che X potrebbe compromettere i messaggi a causa di “un processo legale obbligatorio“.

Se una piattaforma può decrittare i messaggi, non è davvero crittografata end-to-end come la maggior parte delle persone si aspetta. Con Signal o WhatsApp, solo mittente e destinatario possono leggere il contenuto. Con XChat, anche Musk può dare una sbirciatina, volendo.

X dice che in futuro introdurrà “controlli delle firme” per prevenire gli attacchi man-in-the-middle e “numeri di sicurezza” per permettere agli utenti di confermare quali dispositivi hanno accesso alle loro chat crittografate. L’azienda promette anche di rilasciare un whitepaper e rendere open source l’implementazione entro fine anno. Ma sono tutte cose che dovrebbero esserci dall’inizio in un sistema di messaggistica davvero sicuro. È come vendere un’auto promettendo che i freni arriveranno con un aggiornamento futuro…

Matthew Hodgson, co-fondatore e CEO di Element (una piattaforma di messaggistica crittografata), è stato brutalmente diretto nel suo giudizio. Ha definito XChat “solo un’altra piattaforma centralizzata dove gli utenti hanno zero controllo sui loro dati” e senza “trasparenza tecnica, audit o codice open source” è “solo marketing“.