Quali dati degli utenti possono essere ottenuti dalle forze dell'ordine federali statunitensi dai fornitori di servizi di messaggistica criptata?
Un documento del Federal Bureau of Investigation (FBI) del gennaio 2021, reso noto di recente, fornisce un riepilogo sintetico relativo a nove diverse app di "messaggistica sicura". Dimostra che, con un procedimento legale, l'FBI può ottenere vari tipi di metadati e, in alcuni casi, anche il contenuto dei messaggi memorizzati. Tuttavia, i dati disponibili variano notevolmente da un'applicazione all'altra. Il documento di una pagina dovrebbe fornire indicazioni utili alle persone attente alla privacy - tra cui giornalisti, informatori e attivisti - contribuendo anche a dissipare le idee sbagliate sulle capacità di sorveglianza dell'FBI (o sulla loro mancanza) nel contesto della messaggistica criptata. Complimenti all'organizzazione no-profit Property of the People (POTP), gestita dal "guru del FOIA" Ryan Shapiro e dall'instancabile avvocato Jeffrey Light, per aver ottenuto questo documento in base al Freedom of Information Act.
Datato 7 gennaio 2021, il documento afferma di riflettere le capacità dell'FBI a novembre 2020. Le app incluse nel grafico sono iMessage, LINE, Signal, Telegram, Threema, Viber, WeChat, WhatsApp (di proprietà di Meta, alias Facebook) e Wickr ( acquisita da AWS a giugno). La maggior parte di queste app - iMessage, Signal, Threema, Viber, WhatsApp e Wickr -crittografano i messaggi in modopredefinito. Per il resto, Telegram utilizza la crittografia end-to-end (E2EE) di default in alcuni contesti, ma non in altri. L'E2EE è attivo per impostazione predefinita nelle nuove versioni di LINE, ma potrebbe non essere attivato nei client più vecchi. E WeChat, di proprietà del gigante cinese Tencent, non supporta affatto la crittografia end-to-end (solo quella client-to-server). Questa differenza potrebbe spiegare perché il documento si riferisce alle app come "sicure" invece che come "E2EE".
Quali dati utente può ottenere l'FBI?
Il grafico illustra le variazioni nella quantità di dati che i diversi servizi raccolgono e conservano sugli utenti e sulle loro comunicazioni e, di conseguenza, quali dati sono disposti a fornire alle forze dell'ordine in presenza di un mandato valido, di una citazione in giudizio o di un ordine del tribunale. (Si pensi, ad esempio, a un mandato che richieda "tutti i dati" in possesso di un provider relativi a un utente: più informazioni conserva sui suoi utenti, più può essere obbligato a fornire alle forze dell'ordine). Si va dalle informazioni minime disponibili per Signal e Telegram, alle informazioni di base sugli abbonati e altri metadati che diversi servizi rivelano all'FBI, fino al contenuto "limitato" dei messaggi memorizzati da tre delle nove app: LINE (che, come detto, supporta ancora le chat non-E2EE), iMessage e WhatsApp.
Quest'ultima parte potrebbe sorprendere alcuni utenti di iMessage e WhatsApp, dato che stiamo parlando di messaggistica E2EE. È vero che E2EE rende i messaggi degli utenti inaccessibili alle forze dell'ordine durante il transito, ma per l'archiviazione su cloud la storia è diversa. Se un utente di iMessage ha attivato i backup di iCloud, una copia della chiave di crittografia viene salvata insieme ai messaggi (a scopo di recupero) e sarà divulgata come parte della restituzione del mandato di Apple, consentendo la lettura dei messaggi. I messaggi di WhatsApp possono essere sottoposti a backup su iCloud o Google Drive, quindi un mandato di perquisizione su uno di questi servizi cloud potrebbe restituire i dati di WhatsApp, compreso il contenuto dei messaggi (anche se un mandato di perquisizione su WhatsApp non restituirà il contenuto dei messaggi). (WhatsApp ha recentemente iniziato a introdurre l'opzione di backup dei messaggi E2EE nel cloud, rendendo il grafico dell'FBI leggermente obsoleto).
Sebbene sia possibile ricostruire alcune delle informazioni contenute nel diagramma consultando la documentazione pubblica dei produttori di app e i registri penali dei tribunali, l'FBI le ha opportunamente raccolte in un'unica pagina. Potrebbe essere una notizia vecchia per voi, se avete familiarità sia con la legge che regola la privacy delle comunicazioni elettroniche sia con le sfumature tecniche della vostra app di messaggistica criptata. Questo potrebbe descrivere molti lettori di Just Security e giornalisti che si occupano di sorveglianza governativa, ma probabilmente non riflette il modello mentale dell'utente medio su come funziona un servizio di messaggistica E2EE.
Il grafico rivela anche dettagli di cui i produttori di app non parlano apertamente, se non in minima parte, nelle loro linee guida pubbliche sulle richieste delle forze dell'ordine. Con un mandato, WhatsApp rivelerà quali utenti WhatsApp hanno l'utente bersaglio nelle loro rubriche, cosa che non viene menzionata nella pagina delle informazioni sulle forze dell'ordine di WhatsApp. Apple fornirà 25 giorni di ricerche su iMessage da e verso il numero in questione, indipendentemente dal fatto che vi sia stata o meno una conversazione, come descritto nelle linee guida di Apple sulle forze dell'ordine, ma è necessario scavare un po' per capire, dato che né l'FBI né Apple spiegano cosa significhi in parole povere. In ogni caso, l'azienda sta rivelando un elenco di altri utenti che hanno i dati di contatto dell'utente bersaglio, indipendentemente dal fatto che quest'ultimo abbia comunicato o meno con loro. (Se altri servizi di messaggistica utilizzano la pratica di divulgare informazioni simili, ciò non è riportato nel grafico). Questi dettagli sottolineano l'ampia portata della legge statunitense sulla sorveglianza elettronica, che consente agli investigatori di richiedere qualsiasi "registrazione o altra informazione relativa a un abbonato [obiettivo]" in risposta a un ordine 2703(d) o a un mandato di perquisizione. Sebbene Apple e Meta si siano battute per la tutela della privacy degli utenti contro le richieste eccessive del governo, la legge rende comunque disponibili molti dati degli utenti.
Le percezioni errate più diffuse sulla privacy della messaggistica
In breve, non è facile per una persona comune capire con precisione quali informazioni provenienti dalle proprie app di messaggistica potrebbero finire nelle mani degli investigatori federali. Non solo le diverse app hanno proprietà diverse, ma i produttori di app non sono molto incentivati a essere chiari su questi dettagli. Come dimostra il grafico dell'FBI, il mercato delle app di messaggistica sicure e gratuite è un campo molto affollato e competitivo. I fornitori vogliono dare agli utenti attuali e potenziali l'impressione che la loro app sia al top per quanto riguarda la sicurezza e la privacy dell'utente, sia che l'utente sia preoccupato da hacker malintenzionati, dai governi o dal fornitore stesso. I provider hanno imparato a non esagerare con le proprietà di sicurezza dei loro servizi, ma scommettono che i testi di marketing otterranno più attenzione dei whitepaper tecnici o delle relazioni sulla trasparenza.
A questo proposito, gli incentivi dei produttori di app sono allineati a quelli dell'FBI. Data la campagna che l'FBI conduce da anni contro la crittografia, è uno strano compagno di letto per i fornitori di servizi crittografati che ha condannato per nome in discorsi pubblici. Tuttavia, sia i fornitori di servizi che l'FBI traggono vantaggio da un'idea erronea diffusa che sottovaluta i dati degli utenti disponibili per gli investigatori da alcuni servizi E2EE. Questo equivoco mantiene contemporaneamente l'immagine dei provider agli occhi degli utenti attenti alla privacy e sostiene la tesi dell'FBI secondo cui le indagini criminali si stanno "oscurando" a causa della crittografia.
Sebbene questo equivoco possa aiutare gli investigatori delle forze dell'ordine, può avere conseguenze significative per i loro obiettivi. Non solo i criminali comuni, ma anche i giornalisti e le loro fonti, gli informatori e gli attivisti dipendono molto dalla scelta del loro servizio di comunicazione.
Come si legge nell'articolo di Rolling Stonesul grafico dell'FBI, i metadati di WhatsApp sono stati fondamentali per l'arresto e la condanna di Natalie Edwards, un'ex funzionaria del Dipartimento del Tesoro degli Stati Uniti che ha divulgato documenti interni a un giornalista con il quale ha scambiato centinaia di messaggi su WhatsApp. La Edwards (e presumibilmente anche il giornalista, che doveva alla Edwards un dovere etico di protezione della fonte) credeva che WhatsApp fosse sicuro per le comunicazioni tra giornalista e fonte. Questo equivoco è costato alla Edwards la libertà.
La realtà dietro il mito
Grazie al FOIA e ai suoi zelanti discepoli di POTP, il pubblico può ora vedere il documento interno dell'FBI che riassume in modo chiaro la realtà dietro il mito. Dimostra che, nonostante le sue affermazioni di "oscurità", l'FBI può ottenere una notevole quantità di dati dagli utenti di app di messaggistica che hanno collettivamente diversi miliardi di utenti in tutto il mondo. (La possibilità di verificare le affermazioni pubbliche del governo rispetto alle sue dichiarazioni interne è uno dei motivi per cui l'accesso pubblico ai documenti governativi, la ragion d'essere di POTP, è così fondamentale). Mostra il ruolo che l'archiviazione nel cloud e i metadati svolgono nel mitigare l'impatto della crittografia end-to-end sulla sorveglianza delle comunicazioni in tempo reale. E mostra quali sono i servizi di messaggistica E2EE più diffusi che non sanno quasi nulla dei loro utenti.
Se gli utenti pensano che le app crittografate che utilizzano non conservino molte informazioni su di loro, il grafico dell'FBI dimostra che questa convinzione è in gran parte falsa. Con alcune eccezioni, molti dei principali servizi di messaggistica E2EE forniscono tutti i tipi di dati alle forze dell'ordine federali, e i backup nel cloud possono persino consentire la divulgazione dei messaggi memorizzati inviati su due delle principali app di messaggistica E2EE. Anche se poco o nulla di ciò che è contenuto nel documento è veramente nuovo, è comunque utile vederlo esposto in modo così sintetico in una sola pagina. Se siete preoccupati per la privacy della messaggistica, utilizzate questa tabella (insieme alle guide sulla privacy e sulla sicurezza specifiche per la vostra situazione, ad esempio per il giornalismo o le proteste) per aiutarvi a decidere quale app è più adatta a voi e condividetela anche con le persone con cui chattate. In questo modo potrete decidere con maggiore cognizione di causa quali app tenere (e quali abbandonare).
