Si discute molto dell’arresto del fondatore di Telegram avvenuto nel week end del 24 agosto 2024 a Parigi. Uno dei punti sottolineati dalla stampa e’ la natura “cirttata” o crittografata delle comunicazioni che avvengono all’interno del social. Ma e’ tutto vero?

Al fine di fare un po’ di reality check vi riportiamo la traduzione dell’articolo in merito di uno dei massimi esperti di queste questioni,Matthew Green, Crittografo e professore alla Johns Hopkins University,

Telegram ha la crittografia o no?

Molti sistemi usano la crittografia in un modo o nell’altro. Tuttavia, quando parliamo di crittografia nel contesto dei moderni servizi di messaggistica privata, la parola ha in genere un significato molto specifico: si riferisce all’uso della crittografia end-to-end predefinita per proteggere il contenuto dei messaggi degli utenti. Quando usata in modo standard del settore, questa funzionalità garantisce che ogni messaggio venga crittografato utilizzando chiavi di crittografia note solo alle parti comunicanti e non al fornitore del servizio.

Dal tuo punto di vista di utente, un “messaggero crittografato” garantisce che ogni volta che inizi una conversazione, i tuoi messaggi saranno leggibili solo dalle persone con cui intendi parlare. Se l’operatore di un servizio di messaggistica cerca di visualizzare il contenuto dei tuoi messaggi, tutto ciò che vedrà sarà spazzatura crittografata inutile. La stessa garanzia vale per chiunque possa hackerare i server del fornitore e anche, nel bene e nel male, per le forze dell’ordine che inviano ai fornitori una citazione in giudizio.

Telegram chiaramente non riesce a soddisfare questa definizione più forte per un semplice motivo: non crittografa end-to-end le conversazioni di default. Se vuoi usare la crittografia end-to-end in Telegram, devi attivare manualmente una funzione di crittografia end-to-end facoltativa chiamata “Chat segrete” per ogni singola conversazione privata che vuoi avere. La funzione non è esplicitamente attivata per la stragrande maggioranza delle conversazioni ed è disponibile solo per conversazioni individuali e mai per chat di gruppo con più di due persone.

Come una specie di strano bonus, attivare la crittografia end-to-end in Telegram è stranamente difficile per gli utenti non esperti.

Per prima cosa, il pulsante che attiva la funzione di crittografia di Telegram non è visibile dal riquadro principale della conversazione o dalla schermata iniziale. Per trovarlo nell’app iOS, ho dovuto cliccare almeno quattro volte: una volta per accedere al profilo dell’utente, una volta per far apparire un menu nascosto che mi mostrava le opzioni e un’ultima volta per “confermare” che volevo usare la crittografia. E anche dopo questo non sono riuscito ad avere una conversazione criptata, poiché le chat segrete funzionano solo se il tuo interlocutore è online quando lo fai.

Avviare una “chat segreta” con il mio amico Michael sull’ultima app iOS di Telegram. Da una normale schermata di chat questa opzione non è direttamente visibile. Per attivarla sono necessari quattro clic: (1) per accedere al profilo di Michael (immagine a sinistra), (2) sul pulsante “…” per visualizzare un set nascosto di opzioni (immagine al centro), (3) su “Avvia chat segreta” e (4) sulla finestra di dialogo di conferma “Sei sicuro…”. Dopodiché non sono ancora riuscito a inviare messaggi a Michael, perché le chat segrete di Telegram possono essere attivate solo se anche l’altro utente è online.

Nel complesso, questo è molto diverso dall’esperienza di avvio di una nuova chat criptata in un’applicazione di messaggistica moderna standard del settore, che richiede semplicemente di aprire una nuova finestra di chat.

Anche se potrebbe sembrare che io sia pignolo, la differenza nell’adozione tra la crittografia end-to-end predefinita e questa esperienza è probabilmente molto significativa. L’impatto pratico è che la stragrande maggioranza delle conversazioni individuali di Telegram, e letteralmente ogni singola chat di gruppo, sono probabilmente visibili sui server di Telegram, che possono vedere e registrare il contenuto di tutti i messaggi inviati tra gli utenti. Questo potrebbe o meno essere un problema per ogni utente di Telegram, ma non è certamente qualcosa che pubblicizzeremmo come particolarmente ben crittografato.

(Se sei interessato ai dettagli, così come a un po’ di ulteriori critiche sui protocolli di crittografia effettivi di Telegram, approfondirò ciò che sappiamo al riguardo più avanti.)

Ma aspetta, la crittografia predefinita è davvero importante?
Forse sì, forse no! Ci sono due modi diversi di pensare a questo.

Uno è che la mancanza di crittografia predefinita di Telegram va bene per molte persone. La realtà è che molti utenti non scelgono affatto Telegram per la messaggistica privata crittografata. Per molte persone, Telegram è utilizzato più come un social network che come un messenger privato.

Entrando più nello specifico, Telegram ha due funzionalità popolari che lo rendono ideale per questo caso d’uso. Una di queste è la possibilità di creare e iscriversi a “canali”, ognuno dei quali funziona come una rete di trasmissione in cui una persona (o un piccolo numero di persone) può inviare contenuti a milioni di lettori. Quando trasmetti messaggi a migliaia di sconosciuti in pubblico, mantenere la segretezza del contenuto della tua chat non è così importante.

Telegram supporta anche grandi chat di gruppo pubbliche che possono includere migliaia di utenti. Questi gruppi possono essere resi aperti al pubblico in generale o possono essere impostati come solo su invito. Sebbene non abbia mai voluto condividere una chat di gruppo con migliaia di persone, mi è stato detto che molte persone apprezzano questa funzionalità. Nella grande e pubblica istanziazione, non importa nemmeno che le chat di gruppo di Telegram non siano crittografate: dopotutto, a chi importa della riservatezza se stai parlando in pubblico

Ma Telegram non si limita solo a queste funzionalità e molti utenti che vi aderiscono faranno anche altre cose.

Immagina di essere in una “piazza pubblica” e di avere una grande conversazione di gruppo. In tale contesto potrebbe non esserci alcuna aspettativa di una forte privacy, quindi la crittografia end-to-end non ti interessa davvero. Ma diciamo che tu e cinque amici uscite dalla piazza per avere una conversazione laterale. Quella conversazione merita una forte privacy? Non importa davvero cosa vuoi, perché Telegram non lo fornirà, almeno non con una crittografia che ti protegga dalla condivisione dei tuoi contenuti con i server di Telegram.

Allo stesso modo, immagina di usare Telegram per le sue funzionalità simili ai social media, il che significa che consumi principalmente contenuti piuttosto che produrli. Ma un giorno il tuo amico, che usa anche Telegram per motivi simili, nota che sei sulla piattaforma e decide che vuole inviarti un messaggio privato. Ora sei preoccupato per la privacy? E voi due attiverete manualmente la funzione “Chat segreta”, anche se richiede quattro clic espliciti attraverso menu nascosti e anche se vi impedirà di comunicare immediatamente se uno di voi è offline?

Il mio forte sospetto è che molte persone che si iscrivono a Telegram per le sue funzionalità di social media finiscano anche per usarlo per comunicare in privato. E penso che Telegram lo sappia e tenda a pubblicizzarsi come un “messaggero sicuro” e a parlare delle funzionalità di crittografia della piattaforma proprio perché sa che fa sentire le persone più a loro agio. Ma in pratica, sospetto anche che pochissimi di quegli utenti stiano effettivamente utilizzando la crittografia di Telegram. Molti di quegli utenti potrebbero non rendersi nemmeno conto di dover attivare manualmente la crittografia e pensare di usarla già.

Il che mi porta al mio prossimo punto.

Telegram sa che la sua crittografia è difficile da attivare e continua a promuovere il suo prodotto come un messaggero sicuro
La crittografia di Telegram è stata oggetto di pesanti critiche almeno dal 2016 (e forse anche prima) per molte delle ragioni che ho delineato in questo post. In effetti, molte di queste critiche sono state mosse da esperti, me compreso, in conversazioni con Pavel Durov su Twitter risalenti ad anni fa.1

Sebbene l’interazione con Durov potesse a volte essere dura, a quei tempi davo per scontato che Telegram fosse in buona fede. Credevo che Telegram fosse impegnata a far crescere la propria rete e che, col tempo, avrebbe migliorato la qualità e l’usabilità della crittografia end-to-end della piattaforma: ad esempio, attivandola come predefinita, fornendo supporto per le chat di gruppo e rendendo possibile l’avvio di chat crittografate con utenti offline. Supponevo che, sebbene Telegram potesse essere un follower piuttosto che un leader, alla fine avrebbe raggiunto la parità di funzionalità con i protocolli di crittografia offerti da Signal e WhatsApp. Naturalmente, una seconda possibilità era che Telegram avrebbe abbandonato completamente la crittografia e si sarebbe concentrata solo sull’essere una piattaforma di social media.

Quello che è successo in realtà è molto più confuso per me.

Invece di migliorare l’usabilità della crittografia end-to-end di Telegram, i proprietari di Telegram hanno più o meno mantenuto invariata la loro UX di crittografia dal 2016. Sebbene siano stati apportati alcuni aggiornamenti agli algoritmi di crittografia di base utilizzati dalla piattaforma, l’esperienza utente di Secret Chats nel 2024 è quasi identica a quella che avresti visto otto anni fa. Questo, nonostante il fatto che il numero di utenti di Telegram sia cresciuto di 7-9 volte nello stesso periodo di tempo.

Allo stesso tempo, il CEO di Telegram Pavel Durov ha continuato a commercializzare aggressivamente Telegram come un “messaggero sicuro”. Più di recente ha rilasciato una feroce critica a Signal e WhatsApp sul suo canale Telegram personale, insinuando che quei sistemi erano stati violati dal governo degli Stati Uniti e che solo i protocolli di crittografia indipendenti di Telegram erano davvero affidabili.

Sebbene questo potrebbe essere un ragionevole argomento da nerd se si svolgesse tra due piattaforme che supportano entrambe la crittografia end-to-end predefinita, Telegram non ha davvero gambe su cui stare in piedi in questa particolare discussione. In effetti, non è più divertente vedere l’organizzazione di Telegram spingere le persone ad abbandonare i messenger con crittografia predefinita, mentre si rifiuta di implementare funzionalità essenziali che crittograferebbero ampiamente i messaggi dei propri utenti. In effetti, sta iniziando a sembrare un po’ malizioso.

E i noiosi dettagli sulla crittografia?
Questo è un blog di crittografia e quindi sarei negligente se non dedicassi almeno un po’ di tempo ai noiosi protocolli di crittografia. Perderei anche una buona opportunità per restare a bocca aperta per lo stupore, che è più o meno ciò che accade ogni volta che guardo gli interni della crittografia di Telegram.

Lo tratterò in un paragrafo per ridurre il dolore e puoi tranquillamente saltarlo se non sei interessato.

Secondo quella che penso sia l’ultima specifica di crittografia, la funzionalità delle chat segrete di Telegram si basa su un protocollo personalizzato chiamato MTProto 2.0. Questo sistema utilizza un accordo di chiave Diffie-Hellman a campo finito a 2048 bit*, con gruppo

accordo di chiave Diffie-Hellman a campo finito, con parametri di gruppo (credo) scelti dal server.* (Dato che il protocollo Diffie-Hellman viene eseguito solo in modo interattivo, ecco perché le chat segrete non possono essere impostate quando un utente è offline.*) La protezione MITM è gestita dagli utenti finali, che devono confrontare le impronte digitali delle chiavi. Ci sono alcuni strani nonce casuali forniti dal server, di cui non capisco appieno lo scopo* — e che in passato venivano utilizzati per rendere attivamente lo scambio di chiavi totalmente insicuro contro un server dannoso (ma questo è stato risolto da tempo.*) Le chiavi risultanti vengono quindi utilizzate per alimentare la modalità di crittografia autenticata più sorprendente e non standard mai inventata, qualcosa chiamata “Infinite Garble Extension” (IGE) basata su AES e con SHA2 che gestisce l’autenticazione.*

NB: Ogni punto in cui metto un “*” nel paragrafo sopra è un punto in cui i crittografi esperti, nel contesto di qualcosa come un audit di sicurezza professionale, alzerebbero la mano e farebbero un sacco di domande. Non andrò oltre. Basti dire che la crittografia di Telegram è insolita.

Se mi chiedessi di indovinare se il protocollo e l’implementazione delle chat segrete di Telegram sono sicuri, direi molto probabilmente. A essere onesti, però, non importa quanto sia sicuro qualcosa se le persone non lo stanno effettivamente utilizzando.

C’è qualcos’altro che dovrei sapere?
Sì, purtroppo. Anche se la crittografia end-to-end è uno dei migliori strumenti che abbiamo sviluppato per prevenire la compromissione dei dati, non è certo la fine della storia. Uno dei maggiori problemi di privacy nella messaggistica è la disponibilità di un sacco di metadati, essenzialmente dati su chi utilizza il servizio, con chi parla e quando lo fa.

Questi dati non sono in genere protetti dalla crittografia end-to-end. Anche nelle applicazioni che sono solo di trasmissione, come i canali di Telegram, ci sono molti metadati utili disponibili su chi sta ascoltando una trasmissione. Queste informazioni da sole sono preziose per le persone, come dimostrato dalle enormi quantità di denaro che le emittenti tradizionali spendono per raccoglierle. Al momento tutte queste informazioni probabilmente si trovano sui server di Telegram, dove sono disponibili a chiunque voglia raccoglierle.

Non sto specificatamente accusando Telegram per questo, poiché lo stesso problema esiste praticamente con ogni altro social network e messenger privato. Ma va menzionato, giusto per evitare di lasciarvi con la conclusione che la crittografia è tutto ciò di cui abbiamo bisogno (Matthew Green, John Hopkins University)