Integrità dei messaggi: il server può alterare una chat cifrata?

Un messenger può consentire modifiche o eliminazioni; ma, in un sistema con cifratura autenticata, il server non dovrebbe poter alterare silenziosamente il testo cifrato e consegnare comunque un messaggio valido. L’integrità dei messaggi in un messenger permette al destinatario di rilevare modifiche ai dati successive alla cifratura; non equivale a conservare una cronologia completa né a provare legalmente una conversazione.

Punti chiave

• La cifratura autenticata rileva le manomissioni del testo cifrato, ma non conserva necessariamente la cronologia di modifiche ed eliminazioni.
• Secondo i documenti tecnici di Livara, AES-256-GCM protegge i messaggi privati con un tag di autenticazione; un pacchetto manomesso non dovrebbe essere decifrato come valido.
• Una modifica autorizzata deve essere un nuovo evento cifrato end-to-end, non una riscrittura segreta del pacchetto precedente da parte del server.
• I numeri di sicurezza aiutano a verificare la chiave dell’interlocutore, non la sua onestà o la validità legale di uno screenshot.
• Nelle controversie delicate, conservate anche fuori dalla conversazione file originali, orari, stato delle modifiche e prove indipendenti.

Che cos’è esattamente l’integrità dei messaggi?

L’integrità permette al destinatario di rilevare modifiche non autorizzate ai dati cifrati. La riservatezza chiede «Chi può leggere il testo?»; l’integrità chiede «Sono arrivati gli stessi dati cifrati dal mittente?». La spiegazione della cifratura end-to-end e dei suoi limiti approfondisce la distinzione.

È un’illustrazione concettuale con etichette dimostrative, non l’interfaccia reale di Livara né il risultato di un test di rifiuto di messaggi manomessi.

Secondo i documenti tecnici di Livara, i messaggi diretti usano LVR1 e i gruppi privati compatibili LGS1 per la cifratura end-to-end. La pagina sulla sicurezza di Livara indica che i vecchi gruppi incompatibili restano esplicitamente fuori dall’E2EE e che un nuovo gruppo non viene creato con l’etichetta di cifratura finché tutti i membri non sono pronti. Controllate lo stato della conversazione specifica. Questi documenti indicano che LVR1 usa ECDH P-256 e ML-KEM-768 per derivare le chiavi dei messaggi. Un componente standardizzato non è un’approvazione indipendente dell’intera combinazione o del prodotto. Livara utilizza poi AES-256-GCM per proteggere i contenuti.

Secondo la documentazione del prodotto, questa protezione comprende testi, modifiche e allegati delle conversazioni private. I canali Livara, invece, non sono cifrati end-to-end: il server può deliberatamente leggerne i contenuti per rimuovere, tra l’altro, quelli abusivi. Anche l’appartenenza ai gruppi è controllata dal server. La sicurezza delle chiamate e la modalità di registrazione vanno valutate separatamente dai messaggi di testo.

Rilevare manomissioni e cifratura AES-256-GCM nei messenger

Oltre a cifrare il contenuto, AES-GCM genera un tag di autenticazione. Se il testo cifrato o i dati autenticati cambiano, la verifica del tag deve fallire. NIST SP 800-38D definisce GCM e avverte che riutilizzare un nonce con la stessa chiave può indebolire gravemente la sicurezza.

Secondo le specifiche tecniche di Livara, i messaggi privati usano AES-256-GCM. Se il server cambia parte del pacchetto protetto, non può generare un nuovo tag senza la chiave del messaggio; il destinatario non dovrebbe quindi accettare il pacchetto come integro. La risposta breve a «Il server può cambiare un messaggio?» è: può eliminare, trattenere, bloccare o ritardare dati, ma non dovrebbe poter far apparire valido un contenuto manomesso.

Questa garanzia non è illimitata. La crittografia non neutralizza malware sul dispositivo, l’accesso di un aggressore a uno schermo sbloccato o una modifica autorizzata dell’utente. L’integrità dei contenuti non nasconde necessariamente i metadati. La guida ai metadati dei messenger e a ciò che rivelano spiega questo limite.

Il server può cambiare un messaggio, oppure la modifica è un’altra cosa?

Il server non dovrebbe poter riscrivere segretamente il precedente pacchetto cifrato, ma può consegnare un evento di modifica creato dal mittente. La sicurezza delle modifiche ai messaggi dipende dall’autenticazione e dalla cifratura end-to-end della modifica, come per il messaggio originale, anziché dal cambiamento diretto del testo archiviato da parte del server.

Secondo Livara, le modifiche sono protette da LVR1 nelle chat dirette e da LGS1 nei gruppi privati compatibili. Per valutare l’interfaccia, controllate se l’app mostra lo stato «modificato»; la sola crittografia, però, non conserva per sempre la versione precedente su tutti i dispositivi.

Anche «Elimina per tutti» è una richiesta di scartare il contenuto, non la prova che tutte le copie siano state distrutte. Il destinatario può aver visto il messaggio, letto la notifica, salvato il file o fatto uno screenshot. I messaggi effimeri riducono la permanenza, ma non garantiscono l’eliminazione di tutte le copie.

Che cosa dimostra l’autenticazione di un messaggio di chat?

L’autenticazione del messaggio di chat indica che è stato creato con le chiavi di sessione e non è stato manomesso durante il transito. Non dimostra che il titolare dell’account tenesse personalmente il dispositivo, che il testo sia vero o che il destinatario possa in seguito provarlo in modo conclusivo a terzi.

Livara presenta i numeri di sicurezza come un modo per rilevare cambiamenti di chiave. Due persone possono confrontare le impronte delle chiavi attraverso un canale indipendente; la guida alla verifica delle chat con i numeri di sicurezza descrive i passaggi pratici. Questa verifica riduce il rischio che la chiave del contatto venga sostituita da quella di un aggressore, ma non rende sicuro un dispositivo infetto.

Anche l’autenticazione dell’account è una questione separata. Nessun meccanismo di accesso, per quanto robusto, sostituisce l’integrità dei messaggi, la verifica della chiave del contatto o la sicurezza del dispositivo.

L’integrità dei contenuti non è ordine o freschezza dei messaggi

Un vecchio pacchetto può avere un tag di autenticazione valido. Impedirne una nuova accettazione richiede progettazione del protocollo, contatori, identificatori di sessione e conservazione dello stato del destinatario; AES-GCM da solo non è un registro dell’ordine dell’intera conversazione. La distinzione conta per valutare replay, messaggi in ritardo e sincronizzazione tra dispositivi.

Va inoltre chiarito quali dati siano effettivamente coperti dal tag. Se l’identificatore della conversazione o il tipo di evento è fuori dal contesto autenticato, proteggere soltanto il corpo non risolve l’intero problema. La revisione del codice e i test di quella precisa versione devono chiarire questo legame.

Se il testo o lo stato di un messaggio sono inattesi

Registrate versione dell’app, ora dell’osservazione, dispositivi coinvolti e presenza dell’etichetta di modifica. Verificate con il contatto attraverso un canale indipendente se abbia effettuato una modifica autorizzata. Non attribuite senza prove una discrepanza di sincronizzazione a manomissioni del server, ma non ignorate senza motivo errori di autenticazione o cambiamenti di chiave.

Per le segnalazioni tecniche usate messaggi di prova non sensibili e non pubblicate dati privati del contatto. Se la conversazione deve essere utilizzata in una questione legale, la crittografia o uno screenshot da soli non ne determinano la validità giuridica; consultate un professionista qualificato prima di modificare le prove.

Come valutare le affermazioni sull’integrità di un messenger?

Non accontentatevi di «cifrato». Chiedete:

• Quali conversazioni e file sono cifrati end-to-end?
• Quale algoritmo AEAD usa il servizio?
• Come vengono registrate e mostrate modifiche ed eliminazioni?
• Come può l’utente rilevare un cambiamento della chiave del contatto?
• Quali metadati, contenuti o appartenenze controlla il server?
• Le chiamate offrono le stesse garanzie dei messaggi?
• Il protocollo è stato sottoposto ad audit indipendente?

Livara pubblica specifiche e strumenti per verificare alcune proprie affermazioni e gli utenti Android possono confrontare il checksum del file APK con SHA-256 nel Proof Lab per verificare l’app offline. Questo articolo, tuttavia, non fornisce prove di un audit indipendente della versione attuale. Pubblicare specifiche e vettori di test facilita l’esame, ma non sostituisce un audit indipendente.

Per le conversazioni private, l’affermazione principale di Livara è limitata e chiara: AES-256-GCM deve rilevare la manomissione del pacchetto e anche le modifiche devono essere cifrate. Non implica un registro immutabile, l’eliminazione garantita di tutte le copie o una prova legale automatica.

Domande frequenti

L’amministratore del server può cambiare il testo di un messaggio cifrato?

Con una corretta progettazione AES-256-GCM, l’amministratore senza la chiave del messaggio non può modificare il testo cifrato e produrre un tag valido. Può comunque eliminare, bloccare o ritardare il pacchetto. La garanzia non copre un dispositivo infetto né una modifica autorizzata del mittente.

L’etichetta «modificato» dimostra che cosa conteneva la versione precedente?

No. Indica soltanto che il contenuto visualizzato è cambiato dopo l’invio, salvo che l’app conservi anche una cronologia delle versioni. La cifratura può autenticare l’evento di modifica, ma non preserva automaticamente il vecchio testo.

Un numero di sicurezza garantisce l’autenticità di tutti i messaggi?

No. Aiuta a verificare che la chiave di cifratura appartenga al contatto e a rilevarne i cambiamenti. Non indica chi tenesse il dispositivo durante l’invio, se il messaggio sia vero o se il dispositivo sia privo di malware.

Eliminare per tutti cancella il messaggio ovunque?

No. La funzione può scartare la copia nell’app, ma non recupera file salvati, notifiche, screenshot o registrazioni precedenti. Eliminare per tutti riduce la permanenza; non garantisce la cancellazione dal dispositivo del destinatario o da altri sistemi.