Oggi è andato in onda su RaiUno, al TG1 Mattina Estate, un servizio su Telegram, gli aspetti di sicurezza informatica della piattaforma di instant messaging e social network Telegram e sulla vicenda che ha riguardato il suo fondatore Pavel Durov.
All’interno del servizio del TG1 andato in onda su RaiUno è presente una mio piccolo intervento sulle questioni tecniche che differenziano Telegram dalle altre piattaforme come Whatsapp, Facebook, Instagram, TikTok, etc… e che hanno probabilmente contribuito alla vicende giudiziarie di cui il fondatore della piattaforma è stato protagonista qualche giorno fa in Francia.
Telegram risulta particolarmente interessante per chi cerca anonimato perché permette di slegare l’utenza dal proprio numero di telefono o indirizzo di posta elettronica, permette l’utilizzo tramite proxy/vpn/Tor e non risente di censura, richieste giudiziarie, sequestri e chiusure di utenze, gruppi e canali dato che la politica della piattaforma è quella di non interferire con la libertà di espressione degli utenti.
A questo si aggiunge il fatto che Telegram non abilita di default la cifratura end-to-end sulle chat, non ne permette l’attivazione sui gruppi e mantiene tutti i dati non cifrati end-to-end sui propri server. In informatica forense, questo aspetto implica una maggior difficoltà di accesso ai dati locali sui dispositivi durante la copia forense, dato che non esiste un database completo ma le chat Telegram sono localmente presenti in una sorta di “cache” che mantiene gli ultimi messaggi o quelli comunque visionati dall’utente.
Durante le perizie informatiche, la piattaforma Telegram è spesso protagonista di analisi forense dato che presenta questioni complesse legate alla cifratura delle comunicazioni, al cloud, all’accesso al database. Le indagini digitali tramite tecniche d’informatica forense su Telegram sono quindi particolarmente complesse perché si uniscono diverse problematiche, oltre alla cifratura e all’anonimato, rendendo quindi piuttosto complessa l’identificazione dei soggetti, la loro utenza, indirizzi IP e men che meno possibili elementi anagrafici.
Durante la breve intervista al TG1 ho presentato, in poche parole, le questioni relative alla cifratura e all’archiviazione che possono aver – a mio avviso – influito nella decisione della Francia di fermare il fondatore della piattaforma quantomeno per chiarimenti o richieste di collaborazione.
Il servizio del TG1 Mattina Estate su Telegram e Pavel Duro è visionabile, previo accesso a RaiPlay, al link Telegram, le insidie dei social al minuto 54:38,
Giovedì 18 novembre 2021 si terrà la prima delle due giornate del Cybersecurity & Data Protection Forum, organizzato dalla società Paradigma di Torino, durante il quale verranno presentati argomenti quali Rilevazione e governance dei cyber risks, Perimetro Nazionale di Sicurezza Cibernetica: obblighi di comunicazione e altri impatti operativi, Le più recenti Linee Guida EDPB e Garante Privacy in ambito Data Protection, Rapporti tra Cybersecurity e Data Protection.
Durante l’evento del Cybersecurity & Data Protection Forum di Paradigma avrò il privilegio di tenere un talk, in un panel con relatori d’eccellenza, sulle perizie informatiche sulla violazione dei sistemi informatici e l’accertamento delle responsabilità.
Durante il talk parlerò di come la digital forensics può essere utilizzata come strumento al servizio delle indagini, presenterò alcuni principi sui quali si basa la cristallizzazione delle prove informatiche, presentando alcune modalità di acquisizione forense di evidenze digitali da hard disk, pendrive, siti web, profili social network, fino ad arrivare a illustrare come le fonti di prova possono essere utilizzate per ricostruire le violazioni e la perizia informatica per l’accertamento delle responsabilità.
Durante la lezione verranno presentate alcune caratteristiche tipiche delle attività di perizia informatica su computer e smartphone, utili per comprendere i requisiti che legali, studi di commercialisti, investigatori privati, consulenti tecnici, CTU informatici e CTP devono rispettare per poter produrre prove digitali a valore legale in ambito giudiziario tramite l’applicazione di metodologie e strumenti d’informatica forense.
L’elenco completo degli interventi relativi alla cybersecurity della giornata di giovedì 18 novembre 2021 per la conferenza Paradigma sono i seguenti:
Le perizie sulla violazione dei sistemi informatici e l’accertamento delle responsabilità, Dott. Paolo Dal Checco
Governance del sistema informatico, deleghe, ruoli e responsabilità, Avv. Anna Cataleta (P4I)
Data center in outosourcing: clausole contrattuali e gestione dei rischi informatici, Avv. Giuseppe Vaciago (42 Law Firm)
Gli elementi necessari di una adeguata Security Architecture e le procedure di contingency, fallback e di gestione degli incidenti, Dott. Pierguido Iezzi (Swascan)
Il Perimetro di Sicurezza Nazionale Cibernetica, Prof. Avv. Pierluigi Perri (Università di Milano “La Statale”)
Durante la giornata del 19 novembre 2019, si parlerà invece di privacy, con i seguenti interventi:
L’uso dei dati personali per finalità di marketing: le Linee Guida del Garante Privacy su cookies e altri strumenti di tracciamento del 10 giugno 2021 e le Linee Guida EDPB sul targeting degli utenti dei social network, Avv. Nadia Martini (Rödl & Partner)
Le Linee Guida EDPB n. 4/2021 sui codici di condotta quali strumento per i trasferimenti di dati personali nel quadro della regolazione complessiva del fenomeno del trasferimento di dati extra UE, Avv. Rocco Panetta (Panetta & Associati)
Le Linee Guida EDPB definitive su titolare e responsabile del trattamento dei dati (Plenaria 7 luglio 2021), Prof. Avv. Alessandro Del Ninno (LUISS Guido Carli di Roma, Studio Legale Tonucci & Partners)
Il punto su normativa e indirizzi interpretativi delle autorità in materia di trattamento di dati biometrici; il dato biometrico come misura di sicurezza, Avv. Mauro Alovisio (Università di Torino)
Controllo a distanza del lavoratore in remote/smart working e utilizzo di tool per il monitoraggio: possibilità e limiti, Avv. Davide Boffi (Dentons)
Giovedì 28 gennaio 2021 si è tenuta l’ultima giornata del Forensic Virtual Summit organizzato da ForensicNews e StopSecret, durante la quale ho tenuto un’ora e mezza di seminario su OSINT e ricerche online a fini investigativi e forensi. Per quanto il seminario sia stato poco più che una introduzione a un tradizionale corso su OSINT, la lezione è stata una bella occasione per parlare di alcune metodologie di ricerca online e raccontare alcuni aneddoti su alcune situazioni nelle quali mi sono imbattuto negli anni.
L’OSINT – acronimo di “Open Source Intelligence” – è una disciplina che negli ultimi anni sta assumendo sempre più importanza per le implicazioni che riveste in diversi campi, dall’informatica forense alla network security, dalla due diligence alla giornalismo investigativo.
Durante il breve corso su OSINT tenuto per StopSecret e ForensicNews durante Forensic Virtual Summit sono stati presentati alcuni esempi di utilizzo dell’Intelligence sulle Fonti Aperte e descritti in maniera introduttiva alcuni strumenti utili per realizzare ricerche online su siti web, indirizzi di posta elettronica, numeri di cellulare, profili social network.
Attraverso semplici strumenti e servizi è stato mostrato come, utilizzando alcune nozioni di base, è possibile in diverse situazioni ricavare tramite OSINT informazioni di rilievo, verificarle, classificarle e ottenere un risultato utilizzabile per fini privati, aziendali, giudiziari o investigativi. Nel corso della redazione di perizie informatiche si rende spesso necessario validare le risultanze ottenute tramite ricerche OSINT e analisi delle fonti aperte, per questo motivo si ritiene che una base di conoscenza su OSINT, anche costruita partendo da corsi, seminari, incontri o lezioni su OSINT, possa essere un elemento strategico per il digital forenser.
Venerdì 15 gennaio 2021 ha avuto luogo il primo webinar sulla Forensic Readiness come risorsa strategica per la gestione del Data Breach, durante il quale vi è stata ampia adesione e partecipazione attiva che ha permesso utili e costruttivi confronti sugli argomenti trattati.
Durante il workshop è stata illustrata la problematica della gestione dei data breach, concentrandosi in particolare sulla compilazione della segnalazione al Garante e agli interessati, mostrando come una corretta conoscenza delle metodologie e strumenti d’informatica forense può aiutare a rispondere compiutamente e velocemente alle domande contenute nel modello fornito dal Garante, che da un paio di settimane è stato integrato anche da un questionario utile per valutare se un evento ha rilievo per la data protection e quindi deve essere segnalato a Garante e interessati.
Il segreto per arrivare preparati all’eventualità di un data breach è conoscere in anticipo quali saranno le incombenze che verranno chiamati a gestire coloro che si occuperanno dell’analisi forense delle evidenze digitali. Analizzando l’esperienza di numerosi casi vissuti e perizie informatiche redatte in ambito d’incidenti informatici, quindi, è possibile inquadrare cosa è bene fare e cosa non fare per farsi trovare pronti e ben strutturati in caso di data breach, consolidando in sostanza una buona pratica di forensic readiness.
Il webinar ha incluso anche una breve esercitazione pratica durante la quale si è simulata la compilazione del modulo di segnalazione data breach al Garante nella quale, per ogni voce tecnica, ci si è concentrati sulle fonti da cui andrebbero attinti i dati richiesti e su come prepararsi ad averle a disposizione nel caso in cui, in futuro, dovessero servire.
Ciò che ci auspichiamo, insieme all’organizzazione del GDPR Day Masterclass 2021, è che i partecipanti possano aver beneficiato dei contenuti facendoli diventare un bagaglio che si dimostrerà utile se non essenziale durante la gestione d’incidenti informatici e data breach.
Vista la quantità di richieste d’iscrizione al GDPR Masterclass, ma la limitatezza dei posti per ogni sessione dovuti al fatto che si cerca di agevolare il confronto diretto tra partecipanti e relatore, a breve verranno pubblicate ulteriori date, così da permettere a chi è rimasto fuori da questo primo incontro di partecipare ai prossimi.
Una brutta notizia per chi esegue attività di OSINT su protocollo Telegram: in risposta alla richiesta di aiuto lanciata su Twitter degli attivisti di Hong Kong, Telegram ha rafforzato ulteriormente il livello di privacy permettendo di nascondere il proprio numero di cellulare a tutti, non soltanto agli sconosciuti o a chi non ha tale numero in rubrica.
A maggio di quest’anno Telegram aveva già rafforzato la privacy delle impostazioni relative ai numeri di telefono dei propri utenti permettendo di scegliere chi potesse visionare il proprio numero con l’opzione “Chi può vedere il mio numero?”. Questa impostazione, descritta in modo poco chiaro nel blog di Telegram, seppur certamente utile aveva lasciato delusi molti esperti di sicurezza dato che permetteva (e permette ancora, essendo tutt’ora attivabile) semplicemente di mostrare il nostro numero anche a chi non ci ha inserito nella sua rubrica e magari condivide con noi un gruppo. Non permette, cioè, di nascondere il proprio numero a tutti: al contrario, aggiunge la possibilità di mostrarlo anche a chi senza quella impostazione non lo avrebbe potuto visionare, proprio a causa di recenti modifiche alla sicurezza di Telegram che avevano modificato il comportamento dei gruppi.
La funzione di ricerca a partire dal numero di telefono è sempre rimasta attiva e anzi, proprio questo – che gli attivisti di Hong Kong hanno definito “bug” – ha permesso per parecchio tempo a organizzazioni ed esperti OSINT di poter identificare utenze Telegram. Era infatti sufficiente inserire in rubrica parecchi numeri telefonici, anche a caso, per poter verificare chi tra quelli aveva un utenza Telegram e persino appurare se ci fossero gruppi in comune, cosa appunto piuttosto rischiosa per chi ha motivo di temere di essere identificato personalmente a seguito dell’appartenenza a un gruppo Telegram. Dal punto di vista investigativo, indagini OSINT e perizie informatiche, allo stesso modo era possibile – una volta identificata una rosa di sospetti – verificarne l’appartenenza a gruppi Telegram o risalire in ogni caso al nome utente, spesso con risultati di rilievo.
Con la modifica di settembre, anche questo limite viene rimosso ed è ora possibile nascondere il proprio telefono a chiunque, potendo quindi contare su un livello di privacy che si può definire elevato. Con disappunto di chi utilizzava tecniche OSINT su Telegram per trovare utenze a fini investigativi, infatti, compare ora una nuova voce “Chi può trovare il mio numero” che permette a chiunque di scegliere chi può verificare l’appartenenza a Telegram e i dettagli di un’utenza telefonica.
In sostanza, con la funzione di Telegram “Chi può trovarmi con il mio numero”, si può decidere cosa far vedere a chi il nostro numero lo ha, ovviamente non necessariamente perché glie lo abbiamo dato noi. Non andiamo infatti a impattare sugli sconosciuti che possono essere all’interno di un gruppo Telegram insieme a noi e non sanno chi siamo né hanno la nostra utenza telefonica. Andiamo invece a modificare ciò che vedrà chi il nostro numero lo possiede all’interno della sua rubrica, in particolare se anche noi lo abbiamo inserito nella nostra.
Le due voci disponibili per l’opzione “Chi può trovarmi con il mio numero” sono infatti le seguenti:
“Tutti“, che Telegram spiega precisando che: “Gli utenti che hanno il tuo numero salvato in rubrica lo vedranno anche su Telegram“;
“I miei contatti“, che Telegram spiega precisando che “Gli utenti che aggiungono il tuo numero ai loro contatti lo vedranno su Telegram solo se sono tuoi contatti“.
Questa scelta condiziona anche ciò che gli utenti vedranno quando, nella propria rubrica, accederanno al contatto telefonico dove è memorizzato un numero di telefono con il quale è stato registrato un account Telegram. Se l’impostazione è su “Tutti”, che siano nella nostra rubrica o meno, vedranno che abbiamo un account Telegram e potranno accedervi. Se l’impostazione è su “I miei contatti”, vedranno il nostro account Telegram solamente se sono stati inseriti esplicitamente, da noi, nei nostri contatti.
Selezionando “Tutti” alla voce “Chi può trovarmi con il mio numero” il comportamento rimane quello precedente di Telegram, cioè chiunque abbia a disposizione il nostro numero di telefono può scoprire il nostro account Telegram e sapere se ci sono gruppi in comune.
Da precisare che l’opzione “Condividi con”, presente nelle “Eccezioni” riguarda la scelta di “Chi può vedere il mio numero” e non “Chi può trovarmi con il mio numero”.
La scelta su chi può visionare il nostro profilo Telegram a partire dal numero di telefono, quindi, si fa in fin dei conti sia impostando correttamente le nuove opzioni fornite da Telegram, sia selezionando opportunamente chi inserire o meno nella propria rubrica dello Smartphone o di Telegram.
Il menù di Telegram che permette di operare la scelta sulla privacy e sicurezza del proprio numero cellulare o di telefono è raggiungibile tramite l’opzione “Impostazioni -> Privacy e Sicurezza -> Numero di Telefono” e soltanto chi ha aggiornato l’App per smartphone o Desktop la può utilizzare: se non la vedete, significa che non avete ancora aggiornato il software.
Telegram ha fatto questa scelta certamente “sofferta” (perché se tutti gli utenti la applicassero, l’utilizzo di Telegram come Instant Messenger da integrare alla propria rubrica diventerebbe più complesso almeno per la maggior parte degli utenti. Scelta “sofferta” ma debitamente pesata e limitata, perché come si vede, non è stata inserita l’opzione “Nessuno” nella scelta su “Chi può trovarmi con il mio numero”, cosa che invece è presente nella scelta su “Chi può vedere il mio numero”: in pratica, anche rafforzando al massimo le opzioni di sicurezza di Telegram, possiamo nasconderci da tutti ma non da chi ha il nostro numero in rubrica.
Le altre App di messaggistica non hanno ancora avuto tanto coraggio e per fortuna (per gli investigatori ed esperti di OSINT) o per sfortuna (per gli amanti della privacy) applicazioni come Whatsapp e Signal forniscono ancora la possibilità di ottenere informazioni dagli account a partire dai numeri di telefono.
Per chi ha Telegram configurato in inglese, le stesse voci si trovano nel menù “Settings -> Privacy and Security -> Phone Number” e le scelte del menù “Who can see my phone number” sono “Everybody”, “My Contacts” o “Nobody” mentre nella voce “Who can find me by my number” possiamo scegliere tra “Everybody” (“Users who have your number saved in their contacts will also see it on Telegram“) e “My Contacts” (“Users who add your number to their contacts will see it on Telegram only if they are your contacts.“).
