Cosa rende sicura un’app di messaggistica?

Abbiamo pubblicato diversi articoli in cui mettiamo a confronto app di messaggistica sicure con crittografia end-to-end, forniamo le impostazioni consigliate condivise e descriviamo i rispettivi difetti di queste app. Ma cosa possono fare le persone non particolarmente esperte di tecnologia che desiderano un’applicazione di messaggistica sicura? Basato su un’approfondita ricerca e sul rapporto intitolato What Is Secure?, pubblicato da un gruppo di esperti delle agenzie Tech Policy Press e Convocation Research and Design, questo post del nostro blog è specificamente rivolto a queste persone.

Il rapporto contiene consigli sia per gli utenti che per gli sviluppatori. Per chi non pensa di leggere tutte le 86 pagine dello studio, di seguito ne riassumiamo le conclusioni principali.

Oggetto dello studio

I ricercatori hanno intervistato alcuni gruppi di utenti in Louisiana (Stati Uniti) e a Delhi (India) per individuare i principali punti di forza e le debolezze delle app di messaggistica attualmente disponibili. Sono state prese in esame le seguenti app:

• Apple iMessage
• Meta Messenger (Facebook).
• Messaggi di Google
• Signal
• Telegram
• WhatsApp

Lo studio si è concentrato sulla risposta degli utenti ai suggerimenti in-app e sulla loro comprensione del significato di ciascuna funzionalità. Cosa ancora più importante, agli intervistati è stato chiesto cosa li preoccupa in particolare e il modo in cui pensano che le app di messaggistica sicure siano o potrebbero essere utili nella loro vita. Alcuni intervistati hanno affermato di essere preoccupati per la potenziale violenza fisica, come la violenza domestica, in relazione ai messaggi, mentre altri temono la persecuzione da parte delle autorità. Questi elementi influiscono in modo significativo sulla loro percezione di “sicurezza”.

Risultato principale

La crittografia end-to-end è solo un aspetto della sicurezza. I sistemi di messaggistica con crittografia non risolvono tutti i problemi riscontrati da un utente minacciato. È pertanto necessario adottare una strategia adeguata per far fronte ad avversari così motivati. C’è il rischio che il tuo telefono ti venga sottratto? C’è il rischio che qualcuno possa costringerti a sbloccarlo? Temi che qualche malintenzionato possa tentare di ottenere i tuoi dati dalla società proprietaria dell’app a seguito di un contenzioso o di un’ordinanza legale? O di infettare il tuo telefono con uno spyware? Sarebbe più facile cercare di ottenere quei dati dalla persona con cui stai chattando? Per molti di noi la risposta a ognuna di queste domande è no, quindi il livello di sicurezza fornito da un’app di messaggistica crittografata è sufficiente. Anche in caso di risposta affermativa, tuttavia, non è necessario rinunciare alla crittografia e alla messaggistica sicura: è meglio impiegarle nell’ambito di una difesa multilivello.

A quei gruppi di utenti che si sentono vulnerabili, i ricercatori raccomandano di adottare diversi passaggi tecnici (altre informazioni di seguito) ma, soprattutto, di non portare il proprio telefono in luoghi in cui potrebbero essere sequestrati fisicamente o sbloccati con la forza. Suggeriscono, inoltre, di procurarsi un secondo telefono da utilizzare nei luoghi così pericolosi e di affidare il dispositivo principale a una persona di cui ci si fida.

Suggerimenti generali sulla messaggistica sicura

È meglio rivelare di persona i segreti più importanti. Nessun sistema di comunicazione digitale è completamente sicuro. Le informazioni più rischiose (soprattutto quelle che possono rappresentare una minaccia per l’incolumità o addirittura per la vita di qualcuno) dovrebbero essere discusse di persona, anziché in una chat.

Evitare di prendere decisioni alla cieca. Gli utenti si impegnano molto per proteggere la propria privacy, ma per quanto riguarda la sicurezza spesso si affidano all’opinione popolare e a fonti non verificate. Non molte persone leggono la documentazione che accompagna le app di messaggistica, come le condizioni d’uso, le informative sulla trasparenza e i rapporti ufficiali sulla condivisione dei dati. È consigliabile verificare quali dati vengono effettivamente conservati dal proprio servizio di messaggistica, il luogo in cui vengono conservati e le parti con cui vengono condivisi e sono stati condivisi in passato. Queste informazioni sono disponibili sulla stampa e nei rapporti sulla trasparenza.

Esaminare con attenzione le impostazioni dell’app. È importante comprendere il senso di ciascuna impostazione e attivare tutte le opzioni più sicure. Tieni presente che alcune impostazioni per la privacy possono trovarsi nelle impostazioni generali del telefono (come nel caso delle app iMessage nei dispositivi iOS e Messaggi di Google nei dispositivi Android) o nelle sezioni delle impostazioni dell’app (tipiche di Telegram).

Evitare le modalità ibride. Diverse app di messaggistica supportano la messaggistica sia crittografata che non crittografata. In iMessage e Messaggi di Google è possibile inviare testi aperti e messaggi crittografati nella stessa chat. Sarebbe, tuttavia, meglio evitarlo, perché questi tipi di messaggi sono sempre confusi. Sia Messenger che Telegram offrono sia chat crittografate che non crittografate separate e utilizzano la modalità non crittografata per impostazione predefinita. Lo studio consiglia di utilizzare le app di messaggistica basate su una crittografia completa: Signal o WhatsApp.

Quanto più numerose sono le funzionalità disponibili, tanto maggiore è il rischio. Funzionalità extra, come storie, bot o collegamenti a servizi di social network, possono essere sfruttate come canali di sorveglianza e per trafugare dati. È meglio disattivare questo tipo di funzionalità o evitare del tutto di utilizzare l’app.

Disabilitare le anteprime dei collegamenti, la condivisione dei dati di geolocalizzazione e le GIF. Queste funzionalità sono talvolta utili, ma possono consentire a diversi interessati (tra cui i siti Web collegati) di rintracciarti. Un altro potenziale canale di fuga dei dati è la ricerca e la condivisione di immagini GIF nelle chat.

Le app di messaggistica che funzionano senza un numero di telefono sono utili. Telegram, Messenger e iMessage rientrano in questa categoria, ma è necessario un notevole impegno per configurare ognuna di queste app in modo da utilizzare il tuo indirizzo e-mail o nome utente interno come identificatore in una chat. Secondo il rapporto, anche WhatsApp e Signal hanno in programma di aggiungere una funzionalità di questo tipo.

Utilizzare i messaggi effimeri. I più scrupolosi possono abilitare l’eliminazione automatica delle chat dopo un breve periodo di tempo, ad esempio un minuto. Sfortunatamente, non tutte le app di messaggistica dispongono di opzioni come queste e in alcune il periodo di visibilità più breve è di 24 ore. I messaggi effimeri, comunque, non sono molto utili se si vuole evitare che il contenuto della chat venga salvata tramite la cattura di screenshot o in altri modi. L’eliminazione automatica dei messaggi è utile se si ritiene che a breve il telefono potrebbe finire nelle mani di un estraneo.

Crittografare i backup delle chat. I backup nel cloud preconfigurati di frequente rappresentano un canale di fuga. È quindi fondamentale che siano sottoposti a crittografia (questa funzionalità deve essere abilitata in modo manuale sia in WhatsApp che in iMessage), salvati in locale (ad esempio su una scheda SD, se si utilizza un telefono Android) o disattivati del tutto. È importante crittografare anche tutti i backup eseguiti in locale.

Confrontare le chiavi di crittografia con le persone con cui si parla in chat. Denominata Verifica della chiave di contatto (in iMessage), Numeri di sicurezza (in Signal), Codice di sicurezza (in WhatsApp) e Chiave di crittografia (in Telegram), questa procedura permette di assicurarsi che l’utente con sui si sta chattando sia la persona giusta, sul dispositivo giusto. Le chiavi di crittografia possono essere verificate per ogni chat confrontando i codici o incontrandosi di persona.

Attivare l’autenticazione a due fattori per prevenire il dirottamento degli account. Nonostante le svariate denominazioni con cui è nota (come Verifica in due passaggi, PIN di registrazione e così via), di fatto si tratta sempre della stessa funzionalità: per accedere a un account su un nuovo dispositivo è necessario un ulteriore passaggio di verifica.

Formare le persone con cui si parla in chat. Questo punto è fondamentale per le chat di gruppo in cui vengono trattati argomenti sensibili: tutti i membri devono condividere e osservare i seguenti principi e norme di sicurezza:

• Non si inoltrano le informazioni riservate
• Non si eseguono screenshot o copie di altro tipo delle informazioni scambiate nella chat
• Supporto di una cultura della privacy all’interno della community
• Utilizzo responsabile delle impostazioni dell’app
• Disabilitazione delle funzionalità della chat potenzialmente rischiose

Qual è l’app di messaggistica più sicura?

Secondo lo studio Signal è il leader indiscusso, ma l’obbligo di esporre il numero di telefono rende la situazione piuttosto complicata. In questa tabella vengono messe a confronto le principali funzionalità di sicurezza delle app di messaggistica, con l’opzione più sicura in ogni riga evidenziata in verde.