TENET: Telegram Mini App (in)security

Nel mondo digitale, molte persone si affidano alle app di messaggistica non solo per parlare, ma anche per gestire il proprio denaro. Queste app si sono evolute in ecosistemi dove vivono piccoli programmi specializzati all'interno dell'applicazione principale, permettendo agli utenti di scambiare criptovalute, giocare o gestire investimenti senza mai lasciare l'interfaccia di chat. Questi programmi, noti come Mini App, funzionano come piccoli siti web che girano direttamente all'interno del software di messaggistica. Sebbene questa integrazione offra una grande comodità, crea anche una complessa sfida di sicurezza. Proprio come un portafoglio fisico ha bisogno di una serratura per mantenere al sicuro il contante, i portafogli digitali hanno bisogno di una forte crittografia per proteggere i codi segreti che garantiscono l'accesso ai fondi. Se questi codici vengono conservati in un modo che sia facile da leggere o copiare, la sicurezza dell'intero sistema viene compromessa. La domanda che i ricercatori si pongono è se questi strumenti integrati e convenienti stiano effettivamente mantenendo al sicuro il denaro degli utenti, o se stiano lasciando le chiavi della cassaforte sul portico di casa.

Un team di ricercatori della King Abdullah University of Science and Technology e di un'azienda svizzera chiamata Artificialy si è posto l'obiettivo di investigare esattamente questo problema all'interno della piattaforma di messaggistica Telegram. Telegram, che vanta oltre 450 milioni di utenti attivi giornalieri, è diventato un importante hub per queste Mini App. I ricercatori si sono concentrati su come queste applicazioni memorizzano le informazioni sensibili sul dispositivo di un utente. Erano particolarmente preoccupati per i dati finanziari, come le frasi segrete utilizzate per recuperare i portafogli di criptovalute e i token digitali che mantengono l'utente connesso. La loro indagine ha rivelato un modello diffuso e pericoloso: molte di queste applicazioni salvavano segreti critici di sicurezza in testo in chiaro, il che significa che i dati venivano memorizzati esattamente come erano stati scritti, senza alcuna crittografia protettiva. Questa pratica lascia le informazioni vulnerabili a chiunque possa accedere al dispositivo dell'utente, sia attraverso un laptop rubato, un programma software malevolo o anche una consegna temporanea del telefono.

Per scoprire l'entità di questo problema, i ricercatori hanno sviluppato uno strumento di audit specializzato chiamato TENET. Questo strumento è stato progettato per scansionare l'archiviazione locale di un dispositivo, cercando schemi specifici che indichino la presenza di segreti come password, chiavi digitali o token di sessione. Lo strumento è stato costruito con una profonda comprensione di come siano strutturati questi segreti, permettendogli di distinguere tra testo innocuo e dati pericolosi. I ricercatori hanno utilizzato TENET per esaminare un ampio campione di Mini App, selezionandole in base alla loro popolarità e al loro focus sulle attività finanziarie. Hanno esaminato 61 diverse applicazioni, che spaziavano dai giochi a complessi strumenti finanziari, e hanno analizzato con successo 37 di esse. I risultati sono stati netti: 30 delle 37 app analizzate contenevano gravi falle di sicurezza.

Le falle rientravano in tre distinte categorie di gravità. I problemi più critici riguardavano le app che memorizzavano frasi di recupero segrete o chiavi private in testo in chiaro. In questi casi, un attaccante che otteneva l'accesso al dispositivo poteva semplicemente copiare il file e avere immediatamente il pieno controllo dei beni in criptovaluta dell'utente. Una seconda categoria riguardava le app che utilizzavano la crittografia, ma memorizzavano le chiavi necessarie per sbloccare tale crittografia proprio accanto ai dati bloccati. Questo è simile a chiudere una cassaforte ma lasciare la combinazione scritta sulla porta; la protezione è un'illusione perché la chiave è facilmente disponibile. La terza categoria riguardava le app che memorizzavano token di sessione, che sono distintivi digitali che provano che un utente è connesso. Se un attaccante rubava questi token, poteva impersonare l'utente e prendere il controllo del suo account, anche senza conoscerne la password.

Forse la scoperta più allarmante è stata che anche l'applicazione ufficiale Wallet di Telegram, utilizzata da oltre 100 milioni di persone, è stata trovata a memorizzare una frase di recupero critica in testo in chiaro. Ciò significava che l'intera identità finanziaria di un utente poteva essere compromessa semplicemente accedendo ai file di archiviazione del proprio dispositivo. I ricercatori hanno dimostrato che questa vulnerabilità poteva essere sfruttata in scenari realistici. Ad esempio, i comuni malware che rubano dati dai computer possono facilmente prelevare questi file non criptati. Hanno anche mostrato come un documento malevolo, come un foglio di calcolo inviato via email, potesse ingannare un utente inducendolo a eseguire codice che copia silenziosamente l'intera cartella di archiviazione e la invia a un server remoto, il tutto senza che l'utente se ne accorgesse mai.

I ricercatori non si sono limitati a identificare i problemi; hanno anche dimostrato come potessero essere risolti. Dopo aver segnalato responsabilmente le loro scoperte a Telegram e agli sviluppatori delle app interessate, la piattaforma ha risposto introducendo due nuove funzioni di sicurezza. Questi nuovi strumenti consentono agli sviluppatori di memorizzare dati sensibili in un modo che sia criptato dal sistema operativo stesso, rendendoli inaccessibili a programmi non autorizzati. I ricercatori hanno verificato che il Wallet ufficiale di Telegram era stato aggiornato per utilizzare questi nuovi metodi sicuri, e la frase di recupero non veniva più memorizzata in un modo che potesse essere facilmente letto. Ciò ha confermato che la vulnerabilità era reale e che esisteva una soluzione pratica.

Lo studio evidenzia una lacuna critica nella sicurezza dei moderni ecosistemi di messaggistica. Sebbene la piattaforma di messaggistica stessa possa essere sicura, le applicazioni che vi girano all'interno spesso fanno affidamento sugli sviluppatori per implementare le proprie misure di sicurezza, e molti hanno fallito nel farlo. I ricercatori hanno scoperto che la maggior parte delle app vulnerabili testate era legata alle criptovalute, un settore in cui la perdita finanziaria è permanente e irreversibile. A differenza di un conto bancario dove una carta di credito rubata può essere cancellata, un portafoglio di criptovalute rubato significa spesso che i fondi sono persi per sempre. Il lavoro funge da chiaro avvertimento che la comodità non deve andare a scapito della sicurezza, e che gli strumenti utilizzati per gestire la ricchezza digitale devono essere sottoposti ai più alti standard di protezione. Esponendo queste debolezze e fornendo una strada per risolverle, i ricercatori hanno contribuito a mettere in sicurezza gli asset digitali di milioni di utenti che si affidano a queste applicazioni integrate ogni giorno.