In questo articolo Indice dei contenuti 2 sezioni
Una falla scoperta in Signal può lasciare il microfono attivo anche dopo che la chiamata è stata chiusa. Il difetto non riguarda la cifratura dei messaggi ma il modo in cui l’app gestisce la fine delle conversazioni vocali e video. Ed è una notizia che pesa parecchio, perché si parla di un servizio di messaggistica che ha costruito la propria reputazione proprio sull’attenzione alla riservatezza.
Il problema si annida in RingRTC, la libreria open source su cui poggiano le comunicazioni audio e video dell’applicazione. Anche un software progettato con cura può avere punti deboli nei componenti che si occupano delle chiamate, e questo ne è un esempio piuttosto chiaro. In determinate circostanze chi preme il pulsante per riagganciare potrebbe credere che il collegamento sia interrotto, mentre il flusso audio resta aperto. E forse anche quello video.
Serve però una distinzione importante. Una possibilità tecnica non equivale alla prova che qualcuno sia stato davvero spiato. Il punto critico è la terminazione della chiamata, non la protezione dei contenuti. La cifratura continua a fare il suo lavoro durante la trasmissione, solo che non può rimediare a un comando di chiusura che il programma non riesce a portare a termine.
Perché la chiamata su Signal potrebbe non chiudersi
La vulnerabilità ha ricevuto un punteggio CVSS di 9,3, quindi molto elevato, e interessa tutte le versioni di RingRTC precedenti alla 2.72.0. Il meccanismo è abbastanza sottile. Un partecipante malintenzionato può saturare la coda di eventi della cosiddetta macchina a stati finiti, cioè il componente che coordina le varie operazioni durante una sessione. Quando quella coda è intasata la richiesta di chiusura rischia di non essere elaborata e le procedure che dovrebbero spegnere la comunicazione restano bloccate.
Tradotto in pratica, l’interlocutore potrebbe continuare a ricevere l’audio ambientale anche dopo che l’utente ha chiuso la telefonata. La segnalazione prende in considerazione pure l’ipotesi di un video rimasto acceso, anche se le informazioni pubbliche non spiegano in quali condizioni possa succedere.
C’è comunque un limite preciso allo sfruttamento della falla. L’aggressore deve far parte della conversazione, quindi stando a quanto è noto finora non si tratta di un accesso indiscriminato a chiamate prese a caso. Il pericolo esiste lo stesso, soprattutto quando si comunica con interlocutori non fidati o con persone conosciute da poco.
La correzione e gli aggiornamenti da installare
Il difetto è stato sistemato nel codice di RingRTC con una modifica che permette ai componenti di accorgersi della richiesta di chiusura senza dipendere esclusivamente dalla coda degli eventi. In più è stato introdotto un limite di tempo, pensato per evitare che un’elaborazione inceppata impedisca all’infinito di chiudere la chiamata. La patch era stata distribuita prima che la falla venisse resa pubblica, ma non sono stati precisati con esattezza i tempi con cui è arrivata nelle app per Android, iOS e desktop.
La scelta più prudente è installare l’ultima versione di Signal su ogni dispositivo in uso. Aggiornare lo smartphone non significa aver messo automaticamente al riparo anche il computer, perché ogni installazione va controllata a parte. Lo stesso discorso vale per tablet e altri apparecchi collegati allo stesso account.
Per chi gestisce comunicazioni delicate, insomma, contano anche il comportamento concreto delle applicazioni e non soltanto le garanzie dichiarate dagli sviluppatori. Al momento la vulnerabilità non figura nel catalogo CISA delle falle sfruttate attivamente e non risultano casi confermati di abuso, anche se l’assenza di segnalazioni non basta a escludere del tutto il rischio.
Fonte: TecnoAndroid