15enne scopre come deanonimizzare gli utenti di Signal, X, Discord: cosa c’è di vero

Sta facendo discutere la pubblicazione di un’analisi tecnica condivisa da un 15enne, residente nello Stato della Virginia (USA). Lo studente liceale ha dichiarato di aver individuato un attacco 0-clic (che cioè non richiede alcuna collaborazione da parte delle vittime) in grado di deanonimizzare gli utenti di alcune tra le principali applicazioni di messaggistica. Precisiamo subito che parlare di deanonimizzazione è forse un po’ eccessivo: il metodo è comunque funzionante e permette di geolocalizzare gli utenti, con un’approssimazione abbastanza “generosa” (intorno ai 400 chilometri…).

Per deanonimizzare gli utenti, o meglio geolocalizzarli, è possibile usare i dati Cloudflare

Il volenteroso ricercatore si è accorto che molte delle principali applicazioni di messaggistica, tra cui Signal, X (ex Twitter) e Discord utilizzando l’infrastruttura Cloudflare per il caching delle immagini veicolate attraverso le rispettive reti. È quindi andato alla ricerca di un metodo che permettesse di far emergere qualche dato personale relativo agli utenti delle più famose app.

Cloudflare ha una vasta presenza globale, con centinaia di data center situati in 330 città in oltre 120 Paesi. Asset che nel loro complesso fanno segnare una presenza capillare, un +273% rispetto ad esempio ai data center di Google.

Daniel, questo il nome del 15enne, si è chiesto: “se Cloudflare memorizza i dati nella cache così vicino agli utenti, questa configurazione potrebbe essere sfruttata per sferrare attacchi di deanonimizzazione?” In tutte le risposte HTTP, infatti, Cloudflare restituisce due informazioni utili: cf-cache-status che indica la presenza o, viceversa, l’assenza di una risorsa nella cache (HIT/MISS) e cf-ray che include il codice aeroportuale dell’aeroporto più vicino al data center che gestisce la richiesta.

Poiché Cloudflare memorizza in cache qualsiasi risorsa nel data center fisicamente più vicino all’utente, è possibile risalire al sito che ha memorizzato l’informazione e, di conseguenza, ottenere una stima della posizione dell’utente stesso.

L’attacco funziona, anche dopo l’intervento di Cloudflare

Nella sua dettagliata disamina, il ricercatore snocciola tutte le modalità di aggressione via via utilizzate e spiega che con poco sforzo è possibile inviare al destinatario sul quale si stanno cercando di raccogliere informazioni, una “risorsa-esca” che permette appunto di approssimare la sua posizione fisica. Non appena essa sarà visualizzata dalla “vittima”, Cloudflare la porrà in cache nel data center a questi più vicino, memorizzando indicazioni preziose che restano a tutt’oggi recuperabili.

L’attacco funziona ancora dopo l’intervento di Cloudflare per diverse ragioni legate alla natura intrinseca del sistema di caching e al modo in cui Cloudflare gestisce il traffico attraverso la sua rete di datacenter. Sebbene Cloudflare abbia risolto la vulnerabilità che consentiva di indirizzare richieste a datacenter specifici, non ha affrontato completamente il problema principale: il meccanismo di caching geografico che espone indirettamente informazioni sulla posizione dell’utente.

La risposta di Signal

Lo studioso racconta che Signal ha immediatamente respinto la sua segnalazione, affermando che non vi sono responsabilità da parte della piattaforma. Spetterebbe infatti agli utenti nascondere la propria identità: “Signal non ha mai tentato di replicare completamente l’insieme di funzionalità di anonimato a livello di rete che progetti come Wireguard, Tor e altri software VPN open source possono fornire“.

Daniel esprime il suo dissenso: “non sono d’accordo. Signal si pubblicizza come una piattaforma di comunicazione che mette al primo posto la privacy. Sebbene non affermi di fornire anonimato a livello di rete come Tor, gli utenti si fidano di Signal per ridurre al minimo i rischi per la privacy“.

E l’attacco evidenzia quanto sia diventato complesso e interconnesso l’intero ecosistema digitale. Se da un lato le CDN migliorano le prestazioni e la scalabilità, possono introdurre nuovi rischi sfruttabili in nuovi ingegnosi modi. Aumentando la consapevolezza e promuovendo l’utilizzo di best practice, è possibile limitare qualunque tentativo di abuso.

Credit immagine in apertura: iStock.com – da-kuk