L’eterna rincorsa fra guardie e ladri si è sempre giocata sul filo della tecnologia, sfruttata ora dagli uni ora dagli altri per guadagnare un temporaneo vantaggio competitivo sull’avversario. Da qualche anno buona parte di questa battaglia si combatte in Rete, ed ha come obiettivo i canali di comunicazione digitale.
Passo indietro. È noto che una delle armi più potenti in mano alle forze dell’ordine è, da sempre, la capacità di intercettare (legittimamente) le comunicazioni dei “cattivi”; i quali, dal canto loro, non lesinano sforzi per evitare che ciò avvenga, e cercano sempre nuovi sistemi per comunicare senza essere ascoltati dagli investigatori. Per consentire alle forze dell’ordine di svolgere le loro indagini, quasi tutti i Paesi del mondo prevedono l’obbligo legale, per gli operatori telefonici, di fornire agli inquirenti dietro presentazione di regolare mandato dettagli sulle comunicazioni effettuate da un indagato (i cosiddetti “tabulati di traffico”) o il contenuto stesso delle comunicazioni (intercettazione vera e propria). Da quando tuttavia Internet e in generale le reti di comunicazione digitale si sono aperte al pubblico, consentendo a chiunque di accedere a canali di comunicazione protetti con crittografia forte e/o non veicolati tramite le normali compagnie telefoniche, il problema dell’intercettazione è diventato assai spinoso sia dal punto di vista tecnico che da quello legale.
Nei primi anni ’90 l’FBI, preoccupata dal diffondersi di sistemi di crittografia come PGP, indusse il governo statunitense a varare una normativa che prevedeva l’introduzione di un meccanismo obbligatorio di key escrow (un sistema in cui le chiavi della cifratura sono custodite da terzi per eventuali necessità di decrittazione, ndr) in tutte le comunicazioni private, vietando nel contempo l’utilizzo privato di ogni forma di crittografia non approvata dal governo; tentativo fortunatamente fallito e mai più riproposto in seguito. Più di recente tuttavia altre nazioni, tra cui l’India e gli Emirati Arabi Uniti, per motivi di sicurezza nazionale hanno imposto ad alcuni fornitori quali RIM (BlackBerry) di consegnare al locale governo le chiavi di decifrazione dei sistemi crittografici utilizzati dai loro prodotti, pena l’embargo commerciale totale. E la stessa FBI in tempi ancor più recenti sta ritornando alla carica sul problema costituito dalle comunicazioni cifrate o veicolate in modo protetto all’interno dei social network, invocando l’istituzione di apposite backdoor da parte dei rispettivi gestori.In questo panorama Skype gioca un ruolo cruciale. L’azienda omonima, fondata nel 2002 in Estonia ed acquistata prima da eBay (2005) e poi da Microsoft (2011), ha conquistato in pochi anni la posizione di leader mondiale nelle comunicazioni VoIP grazie al suo ben noto client gratuito disponibile su praticamente ogni piattaforma informatica esistente. Le ultime statistiche accreditano infatti a Skype oltre 600 milioni di utenti registrati nel mondo, di cui mediamente oltre 40 milioni contemporaneamente attivi sul sistema in ogni momento del giorno e della notte.
Sviluppato da Niklas Zennström e Janus Friis, già autori di Kazaa, il sistema Skype implementa una complessa architettura P2P, basata su algoritmi proprietari e non divulgati, la quale consente ai corrispondenti una comunicazione non solo efficace e gratuita ma anche estremamente sicura. In effetti Skype, grazie all’utilizzo combinato di crittografia forte e dell’architettura P2P, risulta del tutto immune all’intercettazione: cosa di cui le organizzazioni criminali internazionali si sono accorte ben presto.
Ma c’è di più: l’azienda Skype ha sempre sostenuto di non poter fornire alle forze dell’ordine supporto alle intercettazioni neppure volendo, e non solo perché legalmente non è tenuta a farlo in quanto non è una compagnia telefonica registrata, ma anche e soprattutto perché la natura stessa della comunicazione impedisce perfino agli stessi gestori di ricostruire i flussi di traffico tra i vari nodi. Il traffico Skype è infatti frammentato imprevedibilmente in una topologia distribuita, complessa e dinamicamente variabile, che impiega gli stessi client degli utenti finali per svolgere sia il ruolo di “nodi” che quello di “super-nodi” (i quali, oltre a veicolare traffico, tengono traccia della topologia della rete e della presenza dei client, un po’ come una sorta di DNS interni alla rete stessa). Non a caso nel 2009 l’agenzia europea per la cooperazione giudiziaria permanente Eurojust fece partire un’iniziativa ufficiale volta proprio ad approfondire il problema ed identificare un approccio che, nel rispetto dei principi e delle norme nazionali ed internazionali, consentisse tuttavia di superare gli ostacoli legali e tecnici dell’intercettazione del VoIP con particolare riferimento a Skype.
In questo scenario complesso e delicato sembra tuttavia che qualcosa stia silenziosamente cambiando. In un recente post sul suo blog il ricercatore Kostya Kortchinsky, uno dei più esperti reverse engineer di Skype, ha infatti annunciato di essersi accorto, analizzando la rete, che in meno di un mese il numero di supernodi era sceso da oltre 48.000 a circa 10.000, ma soprattutto che essi non venivano più selezionati dal protocollo in modo casuale tra i nodi terminali (client) bensì erano ospitati in modo permanente su server dedicati, attestati sull’infrastruttura centrale gestita da Microsoft. Secondo Kortchinsky tali macchine sono costituite da Linux-box particolarmente hardenizzate, in grado di gestire oltre 4.000 utenti ciascuna contro i circa 800 dei supernodi tradizionali (i quali venivano scelti dinamicamente dal sistema tra i client dotati di maggiore capacità di calcolo e banda passante).
Questa clamorosa scoperta, rapidamente rilanciata da un paio di blog tecnici molto seguiti dagli esperti, è stata successivamente confermata da Microsoft con un comunicato ufficiale rilasciato pochi giorni dopo. In esso si afferma che l’introduzione di nuovi supernodi dedicati, ospitati in datacenter sicuri, ha semplicemente lo scopo di migliorare le prestazioni e l’affidabilità complessiva del sistema Skype. Sarà, ma sono in molti a ritenere che potrebbe esserci anche dell’altro. Come infatti ha suggerito sul suo blog un altro ricercatore molto esperto nel reverse engineerig di Skype, il russo Efim Bushmanov, la nuova architettura di Skype potrebbe invece avere come reale scopo quello di fornire finalmente a Microsoft (e quindi al governo USA) la capacità di intercettare liberamente le comunicazioni fra gli utenti finali del sistema.
In questa nuova situazione infatti il gestore di Skype non solo ha la conoscenza tanto del protocollo di comunicazione quanto della master key di crittografia e autenticazione tra i nodi ma soprattutto, potendo ruotare a piacimento qualsiasi flusso di comunicazione su qualsiasi supernodo, ed essendo ora i supernodi tutti sotto il suo controllo centralizzato, può facilmente spillare da essi i singoli flussi di traffico e metterli in chiaro a proprio piacimento.
Se questa analisi è corretta, come in effetti sembra, allora il mito dell’impenetrabilità di Skype è silenziosamente caduto, ad esclusivo vantaggio però della sola FBI (e magari anche delle agenzie statunitensi di intelligence). E ciò magari spiegherebbe anche, ma qui stiamo certamente facendo dietrologia, perché Microsoft un anno fa abbia sborsato ben 8,5 miliardi di dollari per acquistare un’azienda ed un servizio così lontani dai propri core business.
Manuela Montella
