MerGeN - Comunicazione sicuraMerGeN - Comunicazione sicura

MERGEN è un ecosistema di comunicazione sicura che affronta la comunicazione aziendale critica integrando dispositivo, applicazione e livello di trasmissione in un unico approccio alla sicurezza. Anziché un telefono generico, offre un ambiente dispositivo controllato: si basa su una struttura Android semplificata, con telemetria, GMS e componenti pubblicitari rimossi, trasferimento dati GSM/Bluetooth/NFC e USB limitato e connessione controllata esclusivamente tramite Wi-Fi/hotspot. L’ecosistema è costituito da tre componenti: Android potenziato con servizi e interfacce dispositivo limitati, un client mobile sicuro basato su Dart che garantisce la crittografia locale e la protezione durante l’esecuzione, e un livello di trasmissione crittografato basato su Go che inoltra i messaggi senza leggerne il contenuto.

Quando viene inviato un messaggio, il contenuto viene prima crittografato sul dispositivo del mittente con AES-256-GCM; l’autenticazione specifica per l’operazione viene eseguita tramite RSA-4096 e mTLS; il server Go inoltra il contenuto crittografato senza leggerlo; il dispositivo del destinatario lo verifica e lo decrittografa localmente. La coda dei messaggi non si basa sulla registrazione permanente su disco: se il destinatario è online, il messaggio crittografato viene trasmesso direttamente; se è offline, viene conservato in una coda RAM temporanea e crittografata, che viene eliminata dopo la consegna. Gli utenti comunicano tramite messaggi individuali, chat di gruppo e bas-konuş della durata di 30 secondi (la funzionalità di chiamata vocale non è disponibile); quando un messaggio viene eliminato da una parte, viene eliminato anche dall’altra. Nelle chat di gruppo non vi è alcun limite al numero di partecipanti; solo la persona che ha creato il gruppo può vedere i nomi utente dei partecipanti; quando un partecipante elimina il gruppo, il gruppo viene rimosso completamente.

I periodi di conservazione dei dati sono definiti separatamente in base al tipo di contenuto: i messaggi vocali vengono eliminati automaticamente da entrambi i dispositivi dopo essere stati ascoltati, tutti i messaggi vengono eliminati automaticamente dopo 12 ore, mentre i messaggi che si desidera conservare possono essere mantenuti nella sezione dei messaggi salvati per un massimo di 45 giorni. La protezione lato client prosegue non solo durante la connessione, ma anche durante l’utilizzo: con RASP vengono monitorati i segnali di debug, degli strumenti di hooking e di manomissione dell’applicazione; in presenza di minacce definite, l’applicazione viene bloccata oppure viene attivato un flusso di protezione; il client Dart AOT e i binari offuscati rendono più difficile l’analisi del codice. All’interno dell’applicazione è impedita l’acquisizione di screenshot e registrazioni dello schermo; dopo tre inserimenti errati della password, tutti i dati dell’applicazione vengono eliminati automaticamente; quando la password viene inserita al contrario, i dati vengono eliminati e l’applicazione appare normalmente utilizzabile. Quando viene rilevata una manomissione del database dell’applicazione da parte di spyware o vengono tentate modalità avanzate di ripristino accessibili tramite i tasti laterali, i dati vengono eliminati immediatamente. I team di gestione eseguono dal telefono admin le operazioni di eliminazione remota, distruzione remota e invio di comunicazioni collettive agli utenti.

MERGEN ha superato test ripetuti durante un processo di sviluppo durato cinque anni; nei test di recupero forense dei dati eseguiti con Cellebrite UFED non è stato possibile recuperare alcun dato e il prodotto è nuovamente disponibile per i test. Il prodotto supporta Google Pixel 4 e versioni successive, dispositivi Samsung con Android 10 e versioni successive e i dispositivi aggiornati di Xiaomi; offre un’interfaccia ordinaria e discreta. I risultati dei test condivisi nella presentazione riflettono i risultati effettivi dei test del prodotto; la struttura del server può essere esaminata direttamente, mentre bas-konuş, chat di gruppo e operazioni admin possono essere valutati dal cliente attraverso i propri test.

Sunucu tarafında veri bulunmaz. Go sunucusu mesaj içeriğini göremeyen kör bir aktarıcıdır: yalnızca şifreli ikili veri görür, kayıt tutmaz ve diske hiçbir şey yazmaz. Alıcı çevrimdışıysa mesaj geçici olarak şifreli RAM önbelleğinde bekler, teslimattan hemen sonra silinip üzerine yazılır; sunucunun elektriği kesilirse bekleyen veriler anında yok olur. Sesli iletişim şifreli P2P bağlantı (UDP/SRTP) ile doğrudan cihazlar arasında iletilir ve ses verisi sunucudan hiç geçmez. Böylece sunucu ele geçirilse bile elde edilebilecek hiçbir veri yoktur. Sunucu, dış bağımlılığı olmayan tek bir statik Go ikilisidir; harici veritabanı gerektirmez ve kurumun kendi altyapısına saniyeler içinde kurulabilir.

Uygulama kendini aktif olarak savunur. Çalışma anı uygulama koruması (RASP), hata ayıklayıcıları, Frida gibi kanca araçlarını ve kurcalama girişimlerini sürekli tarar; casus yazılımların uygulamalara sızmak için kullandığı bu yöntemlerden biri algılandığında MERGEN kendini kilitler veya verilerini imha eder. Uygulamanın veritabanına müdahale edildiği ya da telefonun ileri kurtarma modlarıyla erişilmeye çalışıldığı algılandığında da veriler anında silinir. Uygulama içinde ekran görüntüsü ve ekran kaydı engellenir. Dart istemci doğrudan yerel ARM koduna derlenir, şifreleme gecikmesi yaklaşık 5 milisaniyedir ve kod tersine mühendisliğe karşı yoğun biçimde gizlenmiştir; Go sunucusu da kontrol akışı düzleştirme ve sembol temizleme ile sertleştirilmiştir, çalınsa bile içinden mantık ya da gizli bilgi çıkarılamaz.

Telefon ele geçirilse bile MERGEN verisi kurtarılamaz. Telefonun güvenli bölgesinde (TEE) tutulan ana anahtarları bir saniyenin altında yok ederek tüm uygulama verilerini geri döndürülemez hale getirir. Baskı altında girilen ters parola uygulamayı normal şekilde açarken arka planda verileri sessizce siler; üç yanlış parola girişinde de tüm uygulama verileri otomatik silinir. Okunduktan sonra yok olan mesajlar, otomatik eski veri temizliği ve yönetici telefonundan uzaktan silme ile adli iz bırakılmaz; uygulamanın şifreli verisi ham hâlde boş alandan ayırt edilemeyen rastgele gürültü olarak görünür. Cellebrite UFED ile yapılan adli veri kurtarma testlerinde MERGEN verisinden hiçbir şey kurtarılamamıştır. MERGEN; kurumların kritik iletişimini yabancı istihbarata ve veri sızıntısına karşı koruyan, siber egemenlik stratejileriyle uyumlu, bağımsız ve sunucusunda veri tutmayan bir iletişim altyapısı sunar.