Che uso fanno le app della lista dei contatti? Signal offrirà certezze: ecco come

Signal è l’applicazione di messaggistica che viene utilizzata da coloro che sono più attenti agli aspetti legati a sicurezza e privacy. Edward Snowden, ad esempio, ha più volte fatto presente di affidarsi proprio a Signal per le sue comunicazioni.

L’algoritmo per lo scambio di dati con crittografia end-to-end è stato poi adottato – in tempi più recenti – anche da WhatsApp: Crittografia end to end su WhatsApp, come funziona.

Adesso Moxie Marlinspike, noto ed apprezzato crittografo, autore di Signal e fondatore della società sviluppatrice Open Whisper Systems, ha estratto un nuovo coniglio dal cappello.

Signal sta per arricchirsi di un meccanismo che permetterà di dimostrare agli utenti dell’applicazione che il servizio non memorizza e non riutilizza la lista dei contatti reperita sul dispositivo mobile.

Quando un’app chiede il permesso di accedere alla nostra rubrica storciamo sempre il naso. Anche perché l’autorizzazione viene spesso sfruttata per fare un uso ben poco trasparente dei dati degli utenti.
Alcuni esempi recenti: Antivirus per Android, nella bufera i prodotti DU: ecco perché e Sarahah ha sottratto la lista dei contatti sui dispositivi mobili.

Nel nostro articolo App Android pericolose per la sicurezza e la privacy abbiamo spiegato quanto sia importante verificare con attenzione i permessi richiesti dalle applicazioni che s’installano sul dispositivo mobile.

Alcune app, però, per la loro stessa natura necessitano dell’accesso alla rubrica dei contatti.
Open Whisper propone una soluzione che in futuro potrà essere utilizzata da tutte le app benigne per certificare agli utenti la rimozione dei loro dati personali lato server e, in particolare, che la lista dei contatti non viene in alcun modo riutilizzata per altre finalità.

Nel suo intervento pubblicato sul blog dell’azienda, Marlinspike spiega che utilizzando la secure enclave attivabile sui processori Intel di nuova generazione (quelli che supportano la caratteristica chiamata Software Guard Extensions, SGX), è possibile abilitare quella che è stata battezzata remote attestation.

Semplificando, il meccanismo di remote attestation consente di fornire una garanzia inoppugnabile perché abbinata all’utilizzo di una soluzione crittografica che il codice in esecuzione sul server remoto è esattamente quello dichiarato.
Chiunque può quindi verificare che il codice eseguito sui server dello sviluppatore dell’app non trasferisce altrove le informazioni sui contatti personali (ma le usa solamente per comporre la rete dei contatti dell’utente) e che quindi non vi sono “secondi fini”.

La soluzione di sicurezza basata su Intel SGX può quindi essere implementata anche da tutti quegli sviluppatori che abbiano massimo interesse a mantenere alta la reputazione delle proprie applicazioni.