Aggiornamenti recenti Marzo 5th, 2026 3:01 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Cybercrime e AI: l’attribuzione degli attacchi diventa sempre più difficile
- Phishing OAuth: campagne contro enti pubblici sfruttano Microsoft
- Android: 129 vulnerabilità corrette, zero-day Qualcomm già sfruttata
- Una falla in Chrome sfrutta Gemini Live per scopi malevoli
- Paradosso ransomware, pagamenti in calo ma attacchi ai massimi storici
L’app desktop di Signal lascia la chiave crittografica in chiaro
Il bug consentirebbe a chiunque di decrittare con estrema facilità tutte le conversazioni attraverso il database memorizzato sul computer.
È diventata celebre quando si è scoperto che veniva usata nientemeno che da Edward Snowden, il protagonista del più grande leak sugli strumenti di sorveglianza globale Made in USA che di privacy e sicurezza ha fatto un’ossessione.
A quanto pare, però, Signal non è esattamente quella “cassaforte” per la privacy che tutti pensano sia. Per lo meno non lo è la sua nuova versione per desktop, lanciata un anno fa.
Come ha denunciato su Twitter Nathaniel Suchy, la versione per PC e Mac ha infatti una “piccola” falla di sicurezza: memorizza in chiaro la chiave crittografica con cui vengono codificati i messaggi.
.@signalapp stores your messages in an encrypted SQLite database on your local hard drive – luckily they don’t encrypt the key so messages are easily accessable 🙂 #pwned #bugbounty #fulldisclosure #infosec pic.twitter.com/ylsegJICJP
— Nathaniel Suchy (@nathanielrsuchy) 23 ottobre 2018
Suchy, infatti, si è accorto che le conversazioni vengono memorizzate sul disco fisso del computer in un database chiamato db.sqlite. Naturalmente, il file è protetto da crittografia per impedire che qualcuno possa accedervi e leggere i messaggi.
La chiave crittografica, però, viene generata automaticamente dal programma e memorizzata in chiaro all’interno di un file in %AppData%\Signal\config.json su PC e in ~/Library/Application Support/Signal/config.json su Mac.
Basta aprire il file in questione per accedere alla chiave e decrittare senza troppi problemi il database. Insomma: nel caso in cui qualcuno possa mettere le mani sul computer su cui è installato Signal (sia in caso di furto, ma anche in caso di sequestro da parte delle forze di polizia) tutta la segretezza di signal evapora.
Nei suoi tweet, Suchy sostiene di aver tentato di contattare gli sviluppatori di Signal ma di non essere riuscito a trovare un contatto adeguato. Al momento, quindi, la vulnerabilità è ancora presente e non si sa come e quando verrà corretta.
Condividi l'articolo
Un altro zero-day di Windows “rilasciato” su Twitter
Phishing in crescita. Microsoft. PayPal e Netflix tra i principali obiettivi
Articoli correlati
Altro in questa categoria
Approfondimenti
-
Cybercrime e AI: l’attribuzione degli attacchi diventa... L’adozione crescente dell’intelligenza artificiale... -
Paradosso ransomware, pagamenti in calo ma attacchi ai... Il ransomware continua a evolvere come una delle minacce... -
Google API Keys: le chiavi pubbliche diventano credenziali... L’introduzione di funzionalità di intelligenza... -
Finanza nel mirino, incidenti raddoppiati nel 2025 Il settore finanziario sta vivendo una fase di forte... -
Davvero si può fare “jailbreak” di un caccia F-35? Durante un’intervista in un podcast, il segretario di...
Minacce recenti
Off topic
-
L’IA generativa unifica le interfacce di gestione e... Con l’avvento dell’IA generativa... -
Cyberinsurance: misurare il rischio umano può... Negli ultimi anni sempre più aziende stanno sottoscrivendo... -
Il machine learning di Kaspersky aumenta la capacità di... Grazie al machine learning, il Global Research and Analysis... -
I vertici aziendali non sono del tutto pronti alle nuove... Il 2024 è l’anno delle nuove normative di sicurezza:... -
Più della meta delle aziende geo-distribuite ha problemi... Una delle sfide principali delle aziende distribuite sul...
Post recenti
-
Cybercrime e AI: l’attribuzione degli attacchi diventa... L’adozione crescente dell’intelligenza artificiale...
-
Phishing OAuth: campagne contro enti pubblici sfruttano... Nuove campagne di phishing stanno sfruttando in modo... -
Android: 129 vulnerabilità corrette, zero-day Qualcomm... Google ha rilasciato gli aggiornamenti di sicurezza Android... -
Una falla in Chrome sfrutta Gemini Live per scopi malevoli Palo Alto, azienda specializzata in sicurezza informatica,... -
Paradosso ransomware, pagamenti in calo ma attacchi ai... Il ransomware continua a evolvere come una delle minacce...
Ransomware: la serie
No posts found.