La disabilitazione della sicurezza dei trasporti delle app (ATS) nell'app DeepSeek aumenta significativamente i rischi associati al suo utilizzo, in particolare per quanto riguarda la privacy e la sicurezza dei dati. Ecco una spiegazione dettagliata di questi rischi:
1. Trasmissione di dati non crittografata: disabilitando ATS, DeepSeek consente la trasmissione di dati sensibili per utenti e dispositivi su canali non crittografati. Ciò significa che i dati come le informazioni di registrazione e i dettagli del dispositivo vengono inviati senza alcuna crittografia, rendendolo facilmente intercettabile dai criminali informatici. Questa vulnerabilità espone gli utenti ad attacchi sia passivi che attivi, in cui gli aggressori possono non solo intercettare, ma anche manipolare i dati trasmessi [3] [6] [9].
2. Attacchi di man-in-the-middle (MITM): la mancanza di crittografia dovuta alla disabilitazione di ATS crea un semplice punto di ingresso per gli attacchi man-in-the-middle. In tali attacchi, un utente malintenzionato può intercettare e alterare la comunicazione tra l'app e i suoi server, portando potenzialmente al furto di dati o all'iniezione di contenuti dannosi [3].
3. Aumento del rischio di attacchi informatici: DeepSeek ha già affrontato attacchi informatici significativi e disabilitare l'ATS aggrava questa vulnerabilità. Consentendo il traffico HTTP non crittografato, l'app diventa più suscettibile agli attacchi futuri, poiché gli aggressori possono sfruttare la mancanza di misure di sicurezza per ottenere un accesso non autorizzato ai dati degli utenti [2] [3].
4. PROBLEMI DI Privacy dei dati: DeepSeek raccoglie ampi dati per utenti e dispositivi, che vengono quindi trasmessi ai server gestiti da Bytedance, una società cinese. L'assenza di ATS significa che questi dati vengono inviati senza crittografia, sollevando serie preoccupazioni sulla privacy dei dati e sul potenziale uso improprio da parte di terzi, comprese le entità sponsorizzate dallo stato [2] [5] [9].
5. Pratiche di crittografia deboli: oltre la questione dell'ATS, i metodi di crittografia di Deepseek sono anche imperfetti. L'app utilizza un algoritmo di crittografia simmetrica insicuro (3DE) con chiavi codificate e vettori di inizializzazione riutilizzati, indebolendo ulteriormente la protezione dei dati dell'utente. Questa scarsa pratica di crittografia, combinata con la mancanza di ATS, rende più facile per gli aggressori decrittografare e sfruttare informazioni sensibili [6] [9].
In sintesi, la disabilitazione di AT in DeepSeek aumenta il rischio di intercettazione, manipolazione e sfruttamento dei dati da parte dei criminali informatici. Evidenzia inoltre preoccupazioni più ampie sulla privacy e sulla sicurezza dei dati, in particolare date le ampie pratiche di raccolta dei dati dell'app e la trasmissione dei dati ai server collegati a entità cinesi.
Citazioni:
[1] https://cocoacasts.com/the-definitive-guide-to-app-transport-security
[2] https://sbscyber.com/blog/deepseek-angers
[3] https://approov.io/blog/deepseek-apps-security-failures-how-approov-could-have-prevent-the-damage
[4] https://www.infosecinstitute.com/resources/application-security/ios-application-security-part-46-app-transport-security/
[5] https://securityscorecard.com/blog/a-deep-peek-at-deepseek/
[6] https://www.connectyourplatform.com/blogs/deepseek-ios
[7] https://sdks.support.brightcove.com/ios/framework/working-app-transport-security-ats.html
[8] https://www.csis.org/analysis/delving dangers-deepseek
[9] https://thehackernews.com/2025/02/deepseek-app-transmits-sensitive-user.html