Come ampiamente già discusso, la rivoluzionaria(?) applicazione di instant messaging CiaoIM presenta numerosissimi problemi di sicurezza che mettono a dura prova la privacy degli utilizzatori. Purtroppo il CEO Davide Erba, non ha accettato la disclosure policy proposta dai ragazzi di Voidsec snobbando tutte le evidenze finora mostrate in questo blog e su altri canali.
Ieri il primo dei bug da me segnalato e dimostrato è stato silentemente risolto ieri 6 Aprile. Come mai nessuna comunicazione? Probabilmente perché l’azienda non vuole ammettere il banale errore, non rendendosi conto che l’umiltà e la trasparenza seguita da un “noi teniamo alla privacy dei nostri utenti” sarebbe stato quel sintomo di serietà che tutti cercano. Purtroppo invece sembra che l’unica preoccupazione avuta sia quella dell’apparire come super azienda infallibile.
Il Presidente Erba, dimostrando assoluta inadeguatezza nella gestione di un prodotto tecnologico, si rifiuta di prendere in considerazione le mie segnalazioni perchè “non c’è nessun riferimento tecnico” e pensa (scrive) che il mio unico scopo è diffamare.
È ovvio che oltre a non avere idea di cosa sia la diffamazione, sta dimostrando che non ha nessuna cultura digitale e non ha idea di come si gestiscano delle security notice .
Per togliere qualsiasi dubbio, pubblico un video dove dimostro una delle vulnerabilità elencate nel mio precedente articolo:
Sia per lavoro, ma soprattutto per la mia appartenenza al Debian Security Team, mi capita spesso di analizzare software vulnerabili e poco attenti alla sicurezza dell’utente, ma devo dire che su CiaoIM ho trovato una situazione molto particolare. Non è stata rispettata praticamente nessuna regola base di sicurezza informatica.
