Citiverse

Per chi va di fretta: a marzo i ricercatori di Zero Day Initiative segnalano a Telegram una falla critica legata agli sticker animati, l’azienda nega pubblicamente che esista. Il 23 luglio, un giorno prima della scadenza fissata per rendere pubblici i dettagli, Telegram rilascia una beta Android che sostituisce in via sperimentale proprio il renderer degli sticker, senza però confermare alcun collegamento con la falla segnalata. A oggi, una settimana dopo la scadenza, ZDI non ha ancora pubblicato l’avviso né assegnato una CVE.

Il 24 luglio doveva essere il giorno della verità per una delle vulnerabilità più critiche mai assegnate a Telegram. Sono passati sette giorni, e di quella verità non c’è ancora traccia.

Una falla nata a marzo, negata pubblicamente

Tutto comincia il 26 marzo, quando il ricercatore Michael DePlante di Zero Day Initiative (ZDI, il programma di Trend Micro che coordina la divulgazione responsabile di vulnerabilità) segnala a Telegram una falla catalogata come ZDI-CAN-30207. Il problema riguarderebbe la gestione degli sticker animati su Android e Linux, con un meccanismo di esecuzione di codice da remoto che non richiederebbe alcuna interazione da parte della vittima: basterebbe ricevere lo sticker sbagliato. Il punteggio iniziale, un CVSS di 9,8 su 10, la colloca tra le vulnerabilità potenzialmente più gravi mai assegnate a un’app di messaggistica con oltre un miliardo di utenti.

Telegram reagisce quasi subito su X, negando che la falla esista e sostenendo che ogni sticker caricato sulla piattaforma viene già validato lato server. Pochi giorni dopo ZDI abbassa comunque il punteggio a 7,0, spiegando la revisione con alcune mitigazioni lato server che l’azienda avrebbe descritto durante il processo di divulgazione.

Nel frattempo anche l’Agenzia per la Cybersicurezza Nazionale italiana, tramite il CSIRT, diffonde un proprio avviso sulla vicenda. La scadenza per la divulgazione completa viene fissata al 24 luglio, secondo la prassi standard di ZDI di dare centoventi giorni al vendor prima di pubblicare i dettagli tecnici.

La coincidenza il giorno prima della scadenza

Il 23 luglio, con ventiquattro ore di anticipo sulla scadenza, Telegram rilascia la beta Android 12.9.1. Tra le voci minori del changelog ne compare una che passerebbe inosservata a chiunque non stia seguendo la vicenda: la sostituzione sperimentale del renderer rlottie con uno nuovo, chiamato tlottie. rlottie è la libreria che Telegram usa per il rendering degli sticker animati in formato Lottie, lo stesso tipo di contenuto citato nel vettore d’attacco descritto da ZDI, anche se l’ente non ha reso pubblici dettagli tecnici che confermino questo componente come il responsabile specifico della falla. Non è comunque nuova a problemi di sicurezza: nel 2021 il team Shielder aveva già individuato più vulnerabilità nello stesso genere di fork, sempre legate agli sticker animati.

Non esiste alcuna conferma ufficiale che questa sostituzione sia la correzione della falla ZDI-CAN-30207. È un cambiamento etichettato come sperimentale e per ora limitato alla beta. Ma la coincidenza tra il tipo di componente coinvolto e la tempistica, esattamente un giorno prima della scadenza, resta quantomeno curioso e da segnalare.

Una scadenza passata senza CVE

Nel frattempo nella pagina delle Upcoming Advisories di ZDI, a oggi 31 luglio, la voce ZDI-CAN-30207 relativa a Telegram compare ancora tra le vulnerabilità non divulgate, con CVSS fermo a 7,0 e scadenza segnata al 24 luglio. Non figura tra gli avvisi pubblicati, e nessun numero CVE risulta assegnato pubblicamente.

Va detto per onestà che quello di Telegram non sarebbe un caso isolato: la stessa coda di ZDI contiene decine di voci con scadenza scaduta da mesi, alcune persino da fine 2025, segno che la pubblicazione automatica ai centoventi giorni non scatterebbe sempre con puntualità meccanica. La policy di divulgazione di ZDI, del resto, prevede proprio questo margine: l’ente si impegna a pubblicare un avviso alla scadenza solo se il vendor resta in silenzio o non fornisce una spiegazione ritenuta ragionevole sul perché la falla non sia ancora sistemata, mentre le estensioni formali, precisa ZDI stessa, restano concesse “solo in rare circostanze”.

Se Telegram fosse quindi in dialogo con l’ente e avesse offerto una giustificazione plausibile, magari proprio il lavoro sul nuovo renderer, il ritardo rientrerebbe nel processo previsto dalla policy, non in un’anomalia. Non abbiamo modo di verificarlo dall’esterno, così come resta un’ipotesi altrettanto valida che il ritardo dipenda semplicemente dalla gestione di una coda che conta centinaia di advisory in attesa. Quello che resta comunque valido, in ogni caso, è lo schema visto finora da parte di Telegram: negare pubblicamente, poi muoversi in silenzio senza mai confermare nulla.

In assenza di una CVE ufficiale e di una posizione chiara da parte di Telegram, l’unica misura sensata resta tenere l’app sempre aggiornata, incluse le versioni beta dove compaiono per prime le correzioni sperimentali come questa, oppure usare ovunque la versione web che non ha questa presunta vulnerabilità.

Bitchat non mi aveva mai conquistato granché. Un’app di messaggistica Bluetooth nata dal weekend hobby di un miliardario non è esattamente il tipo di progetto che mi fa entusiasmare a prescindere. Ma quando un governo prova a cancellare un’app, quell’app acquisisce d’un colpo un fascino che nessuna strategia di marketing potrebbe comprare!

Per chi non la conoscesse: Bitchat è un’app di messaggistica che funziona anche senza internet. Sfrutta il Bluetooth dei telefoni per creare una specie di staffetta tra i dispositivi vicini: se il destinatario è troppo lontano per il Bluetooth, il messaggio passa comunque di telefono in telefono finché non arriva, un po’ come un tam-tam digitale. Non servono server, account, numero di telefono o email: basta avere l’app installata e il Bluetooth acceso. Quando c’è connessione internet, può appoggiarsi anche a Nostr, un protocollo decentralizzato che Dorsey finanzia da tempo, per far arrivare i messaggi anche a chi è troppo lontano perché funzioni solo il Bluetooth. È nata circa un anno fa come progetto open source, e proprio questa capacità di reggere anche senza rete né controllo centrale è quello che ha attirato l’attenzione, poco gradita, del governo indiano.

// affiliato ▸ Infomaniak Hosting · Hosting web svizzero per chi tiene alla privacy · Inizia ora →

Un progetto che non mi aveva mai conquistato

Il progetto porta la firma di un solo uomo, Jack Dorsey: miliardario secondo Forbes (circa 5-6 miliardi di dollari), già finanziatore di tasca propria di protocolli aperti come Nostr, sul quale ha costruito anche Buzz, l’ultima piattaforma lanciata per far lavorare insieme team umani e agenti IA. Il fatto che Bitchat sia software libero non toglie un dubbio di fondo: un progetto donato al mondo da un singolo benefattore, per quanto ricco e bendisposto, non ha automaticamente dietro di sé una comunità che lo sostiene e decide insieme dove andrà. Se domani Dorsey perdesse interesse, chi si prenderebbe cura di Bitchat? Non è detto che sia un problema. Ma non è nemmeno un dettaglio da liquidare solo perché la licenza è quella giusta.

Le censure da parte dei governi

Il 23 luglio l’Indian Cyber Crime Coordination Centre, la cellula del ministero dell’Interno indiano che si occupa di reati informatici, ha notificato a GitHub un ordine di rimozione per tre repository legati a Bitchat, concedendo appena tre ore per adeguarsi. Le autorità sostengono che l’architettura decentralizzata dell’app, capace di funzionare anche durante i blackout della rete, renda troppo facile comunicare eludendo la sorveglianza.

La richiesta arriva nel pieno delle proteste del cosiddetto movimento “cockroach”: nate come parodia dopo un commento, poi derubricato a fraintendimento, del presidente della Corte Suprema indiana sui giovani disoccupati paragonati a scarafaggi, le manifestazioni si sono presto concentrate sulla cancellazione del NEET, l’esame nazionale di ammissione a medicina, annullato a maggio dopo una fuga di notizie confermata dalle autorità. Proprio oggi, dopo settimane di proteste, il ministro dell’Istruzione Dharmendra Pradhan si è dimesso.

Nella zona di Jantar Mantar, punto di ritrovo dei manifestanti, la connessione mobile era stata sospesa in un raggio di un chilometro e mezzo: ed è lì che in tanti hanno iniziato a scaricare Bitchat per continuare a coordinarsi.

Una base legale piuttosto fragile

Il problema, come fa notare TechCrunch, è che la base giuridica dell’ordine indiano è tutt’altro che scontata. Secondo Mishi Choudhary, fondatrice dell’associazione per i diritti digitali SFLC.in, prima del 2021 il governo si affidava all’articolo 69A dell’IT Act per bloccare contenuti su scala nazionale; questa volta ha invocato invece l’articolo 79(3)(b), insieme alla regola 3(1)(d) delle IT Rules del 2021, pensati per rimuovere contenuti illeciti specifici, non per cancellare un intero progetto software per come funziona tecnicamente.

La Internet Freedom Foundation ha definito l’ordine incostituzionale, facendo notare che rimuovere un repository da GitHub non cancella l’app dai telefoni che la hanno già installata, né interrompe la rete mesh, che continua a funzionare senza server. Essendo un progetto open source, il codice resta comunque disponibile anche altrove: l’effetto pratico dell’ordine rischia quindi di essere più simbolico che risolutivo.

Va detto, per onestà: il boom di download che Bitchat ha registrato in India, la stragrande maggioranza del traffico globale dell’app secondo dati di Sensor Tower citati da TechCrunch, era già partito prima che l’ordine diventasse pubblico il 24 luglio. I manifestanti scaricavano l’app per i blackout, non per protestare contro la censura: è troppo presto per dire se il tentativo di rimozione darà ulteriore spinta ai numeri. Resta pure incerto se GitHub abbia davvero eseguito l’ordine: alcune fonti indiane parlano di rimozione avvenuta, ma un controllo indipendente da una connessione di Delhi il 25 luglio mostrava i repository ancora pienamente accessibili.

Detto questo, è comunque molto probabile che tra non molto verrà inserita una nuova utile categoria su lealternative.net dedicata proprio alle applicazioni che permettono di scriversi senza internet.