Il fondatore di Signal, Moxie Marlinspike, ha bucato il software di Cellebrite, noto per essere utilizato dalla polizia e dall' fbi, per recuperare dati da smartphone bloccati.

Software Cellebrite

Fonte: Signal

Marlinspike dice: “ Siamo stati sorpresi di scoprire che pochissima cura sembra essere stata data alla sicurezza del software di Cellebrite. Mancano le difese di mitigazione degli exploit standard del settore e sono presenti molte opportunità per poterle sfruttare .”

Marlinspike ha anche segnalato una delle vulnerabilità più gravi che potrebbe permettere la riscrittura di tutti i dati raccolti dagli strumenti di Cellebrite.

Un file configurato in modo univoco che viene inserito in qualsiasi app consentirebbe l'alterazione di tutti i dati che sono stati o saranno raccolti dal software che utilizza appunto Cellebrite.

Tale file potrebbe alterare i dati " in qualsiasi modo arbitrario (inserendo o rimuovendo testo, e-mail, foto, contatti, file o qualsiasi altro dato), senza cambiamenti di timestamp rilevabili o errori di checksum ", dice Marlinspike.

Ma non finisce qui, perchè finisce nel mirino anche Apple, perchè cio' che hanno scoperto gli ingegneri di Signal è che uno dei software di Cellebrite ha dei pacchetti MSI estratti dall'installer Windows per la versione iTunes 12.9.0.167.

Fonte: Signal

Ed è sempre Marlinspike che aggiunge:“ Ci sembra improbabile che Apple abbia concesso a Cellebrite una licenza per ridistribuire e incorporare le DLL di Apple nel proprio prodotto, quindi questa evidenza potrebbe presentare un rischio legale per Cellebrite e i suoi utenti .”

Fonte: Signal

Infine, il Ceo di Signal, conclude la sua analisi con queste parole: “ Fino a quando Cellebrite non sarà in grado di riparare accuratamente tutte le vulnerabilità del suo software con una affidabilità estremamente elevata, l'unico rimedio che un utente Cellebrite ha, è quello di non scansionare i dispositivi .”