L’entità dell’esposizione dipende dal tipo di chiave e dalla durata dell’accesso dell’attaccante; un ratchet non garantisce che sia a rischio un solo messaggio.
Una crittografia robusta richiede anche un’esecuzione corretta sul dispositivo. Una vulnerabilità del sistema operativo, dell’implementazione crittografica o dell’hardware può aprire un accesso ai dati sensibili; tuttavia, la ricerca sugli attacchi ai processori non dimostra che ogni telefono o servizio di messaggistica sia compromettibile allo stesso modo.
Le domande utili sono: quale accesso ha l’attaccante, quale chiave o testo in chiaro può vedere, e il suo accesso è temporaneo o continuativo? Le risposte contano più del nome dell’algoritmo.
Qual è la differenza fra canale laterale ed estrazione della memoria?
Nell’estrazione diretta della memoria, l’attaccante potrebbe riuscire a leggere parti della memoria di un processo o del dispositivo. In un attacco a canale laterale, si usano indizi come i tempi di esecuzione delle operazioni o il comportamento della cache per dedurre informazioni. I due casi non hanno necessariamente gli stessi prerequisiti o risultati.
La ricerca originale su FLUSH+RELOAD ha esaminato il comportamento della cache e le pagine di memoria condivise in uno specifico ambiente sperimentale, dimostrando l’estrazione di una chiave da una versione di GnuPG. Questo risultato non è un test di sicurezza di Livara né una prova della vulnerabilità di tutti i processori dei telefoni.
| Tipo di accesso | Domanda necessaria per la valutazione |
|---|---|
| Esecuzione di un’app normale sullo stesso dispositivo | L’isolamento dei processi e i prerequisiti dell’attacco consentono l’osservazione? |
| Accesso privilegiato al sistema operativo | Quali dati o operazioni sulle chiavi diventano disponibili all’attaccante? |
| Accesso fisico o in laboratorio | Quali sono lo stato di blocco, il modello hardware e le protezioni delle chiavi? |
| Accesso continuativo all’app | L’attaccante può raccogliere nuovamente testi in chiaro o chiavi nuovi? |
Senza questi dettagli, l’espressione generica «hacking della RAM» non è una spiegazione tecnica sufficiente.
In che modo aiutano Keystore e l’hardware sicuro?
Android Keystore può limitare l’uso delle chiavi e, sui dispositivi adatti, eseguire operazioni con supporto hardware. In questo modello, una chiave non estraibile non è necessariamente inutilizzabile dall’attaccante: in alcune circostanze, un’app compromessa può abusare delle operazioni consentite con la chiave anche senza estrarne i byte. Guida ad Android Keystore.
Inoltre, non tutte le chiavi e tutti gli algoritmi vengono collocati automaticamente in hardware sicuro. Devono essere specificati il tipo di chiave, il supporto del dispositivo e il modo in cui l’app la usa. Dire che «la chiave è sul dispositivo» non dimostra di per sé né dove si trovi né il suo livello di protezione.
Una chiave esposta rivela soltanto un messaggio?
A volte l’esposizione di una chiave di messaggio indipendente ha una portata limitata. Ma se l’attaccante ottiene una chiave di catena, lo stato della sessione, una chiave d’identità, una cronologia leggibile o più buffer, il risultato cambia. Senza identificare i dati esposti, non si può quindi affermare che sia a rischio «al massimo un messaggio».
Cambiare chiave a ogni messaggio non interrompe necessariamente l’accesso dell’attaccante. Se le chiavi successive derivano da uno stato che l’attaccante possiede, oppure se rimane presente sul dispositivo, potrebbe accedere anche ai messaggi successivi. La protezione del passato e il recupero della sicurezza futura sono proprietà distinte, ciascuna con presupposti specifici.
Quali limiti hanno i ratchet e la pulizia della memoria?
Un ratchet può far evolvere le chiavi nel corso della conversazione. Il recupero dopo un’esposizione richiede nuove informazioni alle quali l’attaccante non abbia accesso; il semplice invio di un messaggio non dimostra che questa condizione sia soddisfatta. La specifica Double Ratchet illustra il recupero, ma anche i rischi dell’accesso persistente e del recupero di dati eliminati.
Ridurre la durata dei dati sensibili e pulire i buffer è utile, ma non consente di affermare in generale che tutte le copie nella RAM siano state cancellate. Occorre esaminare le librerie, il linguaggio di programmazione e i percorsi di visualizzazione.
Che cosa si può dire di Livara?
La pagina di sicurezza di Livara descrive la struttura ibrida e l’evoluzione delle chiavi in LVR1. Questo articolo non è un test dei canali laterali, un audit della memoria o una conferma che tutte le chiavi usino Keystore. In particolare, la documentazione pubblica del modello di minaccia non garantisce la protezione di un dispositivo compromesso.
Non si devono quindi attribuire al prodotto promesse come «il messaggio successivo neutralizza una compromissione hardware» o «viene esposto al massimo un messaggio», se mancano prove specifiche per quella versione e quello scenario.
Decisioni pratiche per l’utente
Mantieni aggiornati il sistema operativo e l’app, scegli un dispositivo con supporto di sicurezza attivo, evita installazioni non affidabili e permessi superflui, e usa un blocco adeguato. Se si sospetta una compromissione grave, cambiare servizio di messaggistica o inviare un nuovo messaggio non sostituisce l’analisi e la bonifica del dispositivo.
Quando leggi un’affermazione di sicurezza, chiedi quattro elementi: la versione testata, l’accesso dell’attaccante, i dati esposti e i limiti del risultato. Il nome di un processore o di uno standard di cifratura, da solo, non risponde a queste quattro domande.
