In questo post affronteremo la delicata questione dell’intercettazione del VoIP, che il governo italiano ha spinto sul tavolo della Commissione Europea dopo averla erroneamente identificata con un problema concernente la sola Skype.
L’analisi consisterà in una serie di domande rivolte da Alessio Di Domizio ad Alberto Trivero, esperto di sicurezza di Appunti Digitali.
AD: Quali sono gli ostacoli tecnici più evidenti per l’intercettazione del traffico VoIP?
Bisogna anzitutto fare una chiara distinzione tra i sistemi VoIP che utilizzano protocolli proprietari o cifrati (come Skype o SRTP) e quelli che utilizzano il più classico e condiviso SIP/RTP.
I primi hanno spesso comunicazioni di cui non si conoscono le specifiche e per giunta crittografate; non sono perciò intercettabili (o meglio, i dati li puoi intercettare ma sono poi indecifrabili). Skype, per esempio, usa una combinazione di RSA, per lo scambio delle chiavi, e AES, per la cifratura delle comunicazioni vera e propria tramite le chiavi scambiate. Dettagli tecnici sulle strategie di sicurezza adottate da Skype sono presenti in questa ricerca (vecchiotta ma ancora significativa).
I secondi trasmettono le comunicazioni vocali in chiaro, o al massimo compresse, con dei protocolli pubblici e standardizzati; risulta quindi molto facile intercettare il contenuto delle conversazioni.
AD: Con quali metodologie tecniche credi si potrà mettere in pratica l’intercettazione? Sarà necessario predisporre degli apparati dedicati presso gli ISP? Come potrebbero muoversi le autorità di fronte a software di comunicazione creati ad hoc?
Per quanto concerne Skype, sono ormai alcuni anni che le autorità di diversi paesi mostrano il desiderio di volerlo intercettare. Ufficialmente nessuno sembra esserci ancora riuscito, possiamo però fare delle ipotesi su come una simile impresa sia realizzabile. Per esempio qualche tempo fa si parlava dell’utilizzo di tecniche di manipolazione della memoria dei processi per intercettare la cifrazione/decifrazione delle conversazioni che Skype effettua.
Alla fine, comunque, il metodo più semplice e pratico per intercettare Skype sarebbe quello di chiedere la collaborazione della società medesima, che si è però sempre mostrata restia a dare retta ai vari stati che hanno fatto richieste in tal senso. Ancor meno fruttuosi saranno certamente gli appelli di un Ministro dell’Interno di uno stato in cui Skype non ha sede legale. L’unica via percorribile in questo senso sarebbe una cooperazione degli stati della UE per la stesura di una rogatoria internazionale accettata poi dal Lussemburgo (dove Skype ha sede) che obblighi la società acquistata da eBay a cooperare.
Per quanto riguarda invece il software VoIP che si basano su SIP/RTP (quasi tutti gli altri che non sono Skype), la questione è invece molto più semplice. E’ da parecchio tempo che esistono pubblicazioni che trattano le vulnerabilità di tali sistemi, le tecniche per intercettare le comunicazioni e i programmi (anche gratuiti) per realizzarle. Le autorità (o i criminali) potrebbero semplicemente ottenere accesso al computer dell’utente e utilizzare poi tali programmi. In alternativa si potrebbe chiedere la collaborazione dell’ISP per il raccoglimento di tutto il traffico VoIP da e verso l’utente. E’ solo una questione di regolamentazioni, non certo di problemi tecnici.
AD: Le metodologie di intercettazione ipotizzabili mettono secondo te a rischio la sicurezza dei client VoIP?
Nel caso di Skype molto probabilmente sì, vista la potenziale invasività, e non solo il client VoIP ma l’intero computer dell’utente. Nel caso degli altri classici client VoIP dipende dalla tecnica di intercettazione adottata. Se per esempio si chiede al Provider dell’utente sotto intercettazione di registrare tutto il traffico VoIP che arriva e parte dal suo computer, allora il client VoIP non verrà toccato. Viceversa, se si agisce direttamente sul computer dell’utente, l’invasività è massima.
AD: Dato il ruolo cruciale della crittografia nella secretazione delle comunicazioni online, e dato il libero accesso a tecnologie crittografiche forti, credi che in ultima analisi sarà sulla crittografia che verteranno i prossimi provvedimenti restrittivi diretti al crimine online?
Storicamente, negli ultimi decenni, siamo andati verso una liberazione dell’uso della crittografia in ambito domestico (prima limitato per via delle forti implicazioni che ha avuto da sempre nei conflitti bellici, non ultimo nella seconda guerra mondiale). Al giorno d’oggi i paesi dove l’uso della crittografia è ristretto non sono certo dei campioni dei diritti umani: pensiamo alla Cina, alla Bielorussia o al Pakistan. Tornare al passato sarebbe davvero un grosso passo indietro nei diritti civili di ciascuno! Si può ragionevolmente obiettare che però le autorità dovrebbero avere il diritto (ma cosa impedisce a qualcun altro di farlo senza averne diritto o che il diritto non si trasformi in abuso?) di accedere al contenuto cifrato di qualcosa ritenuto sensibile (ricordiamo il caso dell’agendina elettronica cifrata della brigatista Nadia Desdemona Lioce), quindi l’utilizzo di sistemi crittografici avanzati dovrebbe essere limitato. D’altro canto anche lo Stato, in qualsiasi nazione, è tutt’altro che affidabile (e noi italiani dovremmo ben saperlo ricordandoci la storia della Prima Repubblica, gli anni di piombo e la strategia stragista e della tensione), quindi neanche ad esso dovrebbe essere permesso l’uso di tali sistemi. Gli Stati dovrebbero quindi firmare una carta internazionale di non proliferazione di sistemi crittografici avanzati, come per le armi nucleari? Entriamo nel parodico… Il punto è che, personalmente, ritengo più importante la garanzia per ognuno di noi che i propri dati siano realmente al sicuro, anche se questo può avvantaggiare i criminali. Ma qui sta alla sensibilità di ognuno.. In tal senso vedo molto negativamente la legge che è passata un anno fa circa in Inghilterra che obbliga un cittadini indagato a fornire alle autorità la password di eventuali documenti cifrati.
