Quello smacco alla privacy chiamato Cellebrite

Ieri Cellebrite ha annunciato una nuova versione del suo Universal Forensic Extraction Device, o UFED, in versione Premium. Si tratta del pacchetto, software e hardware, creato per aiutare le forze dell’ordine nel violare ed estrarre dati dai dispositivi iOS e Android bloccati. UFED sarà venduto in modalità “on-premises”, così la polizia potrà usarlo da sola, per hackerare qualsiasi terminale abbia tra le mani. E questo è un problema.

Non lo è solo in termini etici. A prescindere dal fatto che, grazie a Cellebrite, tutti camminiamo con in tasca un ipotetico libro aperto, la novità della piattaforma della compagnia di Israele crea un’enorme voragine di sicurezza. Quante volte in passato abbiamo letto di perdite di dati sensibili da parte delle autorità di controllo, polizia, NSA o FBI. Dare a ognuna di loro la possibilità di accrescere il database con quello che è conservato nei dispositivi personali di criminali e presunti tali, soprattutto i presunti tali, innalza decisamente il valore delle intrusioni da parte di terzi.

Immaginate quello che un hacker o, peggio, un cracker può ottenere frugando negli archivi delle forze dell’ordine o investigatori. E non solo: Cellebrite non chiede mica chi sia o cosa rappresenti un suo cliente: basta sborsare una certa cifra per scaricare, su macOS e Windows, il suo UFED Premium. Dunque, in teoria, potrei prendere qualsiasi telefono mi circondi, scannerizzarlo ed estrarre i pacchetti che mi interessano.

Cellebrite afferma di soddisfare le policy legali per l’uso del sistema ma è evidente che non può garantire un utilizzo corretto da parte di chi lo acquista. Ed è particolarmente problematico per quei soggetti che non implementano forme di sicurezza per ciò che hanno nei computer, ad esempio i privati cittadini, estranei a norme come il Gdpr.

Quello che sappiamo è che Cellebrite gioca al gatto e al topo con i produttori di OS per smartphone, che corrono con il rattoppare i buchi che le società forensi e gli hacker sfruttano per aggirare le misure di protezione. È probabile che Apple e Google distribuiranno aggiornamenti che colmeranno quelle falle ma l’annuncio di Cellebrite è più un vanto; la prova che c’è qualcuno capace di andare oltre, per individuare sempre una nuova backdoor.

E allora…#buongiornounCaffo