Signal introduce la verifica automatica delle chiavi per aiutare a rilevare gli attacchi di impersonificazione

Signal ha introdotto la verifica automatica delle chiavi (AKV), una funzione progettata per aiutare gli utenti a rilevare i tentativi di reindirizzare le conversazioni crittografate verso un impostore. L’aggiornamento rafforza l’attuale sistema dei numeri di sicurezza dell’app, che consente ai contatti di confrontare le impronte crittografiche associate alle chiavi delle conversazioni.

La crittografia end-to-end protegge i messaggi durante la trasmissione, ma da sola non dimostra che un utente stia comunicando con la persona desiderata. Un attaccante che manipolasse la directory degli account di un servizio potrebbe potenzialmente sostituire un’altra chiave pubblica e ricevere i messaggi senza violare la crittografia.

Come funziona la verifica automatica

Gli utenti possono aprire il profilo di un contatto, selezionare Visualizza numero di sicurezza e scegliere Verifica automaticamente. Signal verifica quindi se la chiave pubblica del contatto corrisponde alle informazioni registrate nel suo sistema di trasparenza delle chiavi. Un segno di spunta verde indica che la verifica è riuscita.

Signal afferma che la propria infrastruttura di trasparenza registra le modifiche agli account, come un nuovo numero di telefono, l’aggiornamento del nome utente o la ricreazione dell’account, in un albero di log a prova di manomissione. Le strutture di indicizzazione consentono all’app di individuare e confrontare le voci pertinenti per gli utenti e i loro contatti.

Il sistema utilizza anche una supervisione indipendente. Cloudflare e Trail of Bits sono indicati come auditor di terze parti che esaminano i dati di trasparenza alla ricerca di segnali di modifica non autorizzata. I loro controlli mirano a dimostrare che gli utenti ricevono le stesse informazioni dal servizio, contribuendo a individuare determinati scenari di attacco man-in-the-middle.

Gli utenti hanno ancora un ruolo

L’audit può identificare le modifiche ai record, ma non può stabilire che ogni record sia corretto. Signal combina quindi l’audit con il monitoraggio: l’app controlla periodicamente le voci relative all’utente, mentre la verifica dei contatti consente agli utenti di confrontare le informazioni associate a un’altra persona.

Esiste un’importante limitazione. La verifica automatica di un altro contatto richiede il numero di telefono di quella persona, ottenuto tramite Signal o tramite una voce corrispondente nella rubrica del dispositivo. Chi non dispone di queste informazioni non può utilizzare AKV per quel contatto.

Gli utenti possono disattivare la verifica automatica e continuare a controllare manualmente i numeri di sicurezza o i codici QR. La funzione aggiunge un ulteriore meccanismo di rilevamento, ma gli utenti devono comunque esaminare i risultati della verifica e confermare l’identità di un contatto attraverso un canale affidabile quando la situazione è delicata.