La fiducia si sposta dal cifrario al dispositivo collegato
Le dogane tedesche hanno collegato desktop controllati dalla polizia ad account WhatsApp e Signal di sospetti, usando codici di verifica intercettati o accesso fisico al telefono. Il punto non è rompere l’E2EE; è far entrare un secondo endpoint fidato nell’account.
Una volta che il dispositivo è stato agganciato, l’app tratta quel computer come uno dei client legittimi e consegna lì i messaggi. In pratica, la fiducia non si gioca più solo sul telefono o sul contenuto cifrato, ma sulla lista dei dispositivi collegati e sul modo in cui viene aggiunto un nuovo client.
Per chi usa WhatsApp o Signal, il rischio operativo resta questo: se il telefono o il codice di verifica vengono intercettati, l’accesso ai messaggi può continuare da un desktop esterno senza dover forzare la cifratura. La storia chiarisce che il punto debole è il controllo dell’endpoint, non l’algoritmo di cifratura.
Using Device Linking to Eavesdrop on WhatsApp and Signal - Schneier on Security
Eavesdroppers are taking advantage of this capability: Apps such as WhatsApp Web and Signal Desktop allow people to use their accounts on other devices, such as laptops or desktop computers.