211service.com
Trucchi statistici estraggono dati sensibili dalle comunicazioni crittografate
Punte dalle rivelazioni sulla sorveglianza governativa di massa, le aziende Web consumer stanno espandendo il loro uso della crittografia e rilasciando maggiori dettagli su tali protezioni per rassicurare i clienti diffidenti. All'inizio di quest'anno, ad esempio, Apple ha rilasciato dettagli su come vengono crittografate le comunicazioni inviate tramite il suo servizio iMessage.
Una nuova ricerca suggerisce che l'Agenzia per la sicurezza nazionale degli Stati Uniti, o qualsiasi altra organizzazione in grado di raccogliere grandi quantità di traffico Web, potrebbe estrarre informazioni private dalle comunicazioni crittografate cercando schemi in quel flusso di dati. Nei test, l'analisi del traffico Internet crittografato potrebbe rivelare le condizioni di salute che una persona stava effettuando ricerche online. Tecniche simili potrebbero raccogliere informazioni sull'uso di iMessage, ad esempio quando una persona inizia a digitare o in quale lingua ha scritto un messaggio. Tale ricerca si concentra su un approccio noto come analisi del traffico, che prevede l'utilizzo di tecniche statistiche per trovare modelli nelle comunicazioni crittografate.
I ricercatori dell'Università della California, Berkeley e Intel hanno sviluppato una versione particolarmente efficace contro HTTPS, la forma di crittografia utilizzata per proteggere i siti Web e visibile ai navigatori Web come un lucchetto nella barra degli indirizzi del browser. La tecnica prevede che il software visiti i siti Web di interesse e l'utilizzo di algoritmi di apprendimento automatico per apprendere i modelli di traffico associati alle diverse pagine. Questi modelli vengono quindi cercati nella traccia del traffico di una vittima.
L'approccio si è dimostrato in grado di identificare le pagine per condizioni mediche specifiche che una persona stava guardando sui siti Web di Planned Parenthood e Mayo Clinic anche se entrambi i siti crittografano le connessioni con HTTPS. Potrebbe anche identificare a quali servizi ha avuto accesso una persona quando ha effettuato l'accesso a siti finanziari tra cui Wells Fargo e Bank of America. In media, la tecnica era circa il 90% accurata nell'identificare le pagine Web. UN carta sulla ricerca di Berkeley sarà presentata al Simposio sulle tecnologie per il miglioramento della privacy ad Amsterdam il mese prossimo.
L'analisi del traffico sarebbe uno strumento utile per la sorveglianza da parte dei programmi governativi, come quelli utilizzati dalla NSA per raccogliere e analizzare il traffico Internet crittografato (vedi NSA Leak Leaves Crypto Math Intact but Highlights Known Workarounds). Anche le aziende con accesso al traffico Internet potrebbero essere motivate a utilizzarlo, afferma Brad Miller, il dottorando a Berkeley che ha guidato la ricerca.
Ci sono casi d'uso molto validi di questo tipo di analisi per le aziende, dice. Ad esempio, un ISP potrebbe voler ottenere informazioni sull'attività online dei suoi clienti che potrebbero essere utilizzate per indirizzare gli annunci, anche se tali clienti hanno crittografato la loro navigazione o le loro comunicazioni. Alcuni ISP, come Verizon Wireless, vendono già a terzi i dati sulla navigazione dei propri clienti per tali scopi.
Scott Coull , un ricercatore con la società di sicurezza RedJack , afferma che il lavoro di Berkeley è l'ultimo di una serie di documenti che mostrano come l'analisi del traffico potrebbe essere utilizzata contro i consumatori. Quando guardi al caso peggiore per questo tipo di attacco, le cose non sembrano molto buone, dice.
Di recente ho scoperto che l'analisi del traffico può essere molto efficace contro i messaggi inviati tramite iMessage di Apple , che sono crittografati dal momento in cui vengono inviati al momento in cui vengono ricevuti. iMessage è di gran lunga la cosa peggiore che abbia mai visto, dice. Coull è stato in grado di identificare quando gli utenti hanno iniziato o interrotto la digitazione, stavano inviando o aprendo un messaggio, la lingua in cui era scritto un messaggio e la sua lunghezza, con una precisione del 96% o superiore.
Ciò, combinato con il fatto che il protocollo iMessage trasmette un identificatore univoco per un dispositivo, si aggiunge a metadati simili a quelli che sono stati controversamente raccolti dalla NSA durante le telefonate negli Stati Uniti, afferma Coull. Se avessi la capacità di monitorare una grossa fetta di traffico da e verso i server iMessage, potrei trovare un social network di chi sta inviando messaggi a chi, e la lingua che stanno usando e la dimensione approssimativa dei messaggi, dice .
Coull ha scoperto che la sua tecnica era di solito efficace al 100% contro i messaggi inviati tramite i popolari servizi di messaggistica mobile WhatsApp e Viber.
Oggi, pochi fornitori di servizi online danno molta importanza all'analisi del traffico quando implementano la crittografia per proteggere la privacy, afferma Ashkan Soltani , un ricercatore di sicurezza indipendente che ha contribuito al Washington Post la copertura vincitrice del Pulitzer sulla sorveglianza della NSA. Tale preoccupazione tende a concentrarsi maggiormente sulla comunità della sicurezza rispetto agli operatori di siti Web effettivi che implementano la crittografia, afferma.
Un operatore che volesse difendersi dall'analisi del traffico probabilmente lo troverebbe costoso. I ricercatori, tra cui Coull e il team di Berkeley, hanno testato modi per riempire i dati crittografati per nascondere i modelli gratuiti dall'analisi del traffico, ma il trasferimento di dati extra non è gratuito. È incredibilmente costoso coprire le tue tracce, afferma Coull. Calcola che i server di Apple dovrebbero trasferire tre volte più dati per mitigare l'analisi del traffico contro iMessage.
Tuttavia, non è chiaro come un'agenzia o un'azienda governativa possa praticamente utilizzare l'analisi del traffico. Coull afferma che avrebbe bisogno di fare ricerche utilizzando dati sul traffico reale, ad esempio da un ISP, per far luce su questa domanda.