Messaggistica: che cosa protegge davvero la cifratura, e che cosa no

Quando si chiede quale app di messaggistica sia «la più sicura» manca la domanda che viene prima: da chi vuoi proteggerti? Da un criminale che ruba un account? Da una persona che ha accesso al tuo telefono? Da un fornitore che risponde a una richiesta dell’autorità? Da un sequestro del dispositivo? Da un software spia installato di nascosto? Le risposte sono diverse, e nessuna app le copre tutte.

Che cosa significa «cifratura end-to-end»

Significa che il messaggio viene cifrato sul telefono di chi scrive e decifrato solo su quello di chi riceve. Il fornitore del servizio, che fa passare i dati, non li può leggere. È la protezione giusta contro chi intercetta la rete e contro un fornitore che subisce una violazione dei propri server.

Non è una protezione contro quasi tutto il resto:

• Chi riceve il messaggio lo vede in chiaro, può fare uno schermo, inoltrarlo, mostrarlo ad altri.
• Il telefono sbloccato, o con le notifiche leggibili dalla schermata di blocco, mostra i messaggi a chi ha il telefono in mano.
• Il backup: una copia salvata nel cloud non cifrata in quel modo è un’altra porta d’ingresso.
• I dispositivi collegati: ogni computer, tablet o sessione web collegata è un altro punto in cui i messaggi arrivano in chiaro.
• I metadati: chi parla con chi, quando, da quale rete, con quale numero. Il contenuto cifrato non nasconde che stai usando il servizio.
• Un software spia sul telefono, che legge ciò che l’app mostra, prima o dopo la cifratura. Ne parla la guida su spyware e telefono.

Le tre app, in modo onesto

Alcune precisazioni, tutte dalle pagine ufficiali dei servizi:

• WhatsApp scrive di aver reso la cifratura end-to-end predefinita da anni. Il backup cifrato è presentato come un livello di sicurezza opzionale: puoi proteggerlo con una password o con una chiave di 64 cifre che conosci solo tu, e né WhatsApp né il fornitore del cloud possono leggerlo. Senza questo passaggio, la copia nel cloud di Google o Apple non gode della stessa protezione.
• Signal dichiara la cifratura end-to-end su ogni messaggio e ogni chiamata. Dal 2024 permette di condividere un nome utente al posto del numero di telefono, che di base resta nascosto a chi non lo ha già in rubrica.
• Telegram spiega nelle sue FAQ che le chat normali, private e di gruppo, usano una cifratura tra client e server, mentre le chat segrete aggiungono la cifratura end-to-end, non passano dal cloud e si possono aprire solo sul dispositivo in cui sono nate. Il servizio dichiara anche di non aver mai fornito a terzi il contenuto dei messaggi. Dal settembre 2024 la sua informativa sulla privacy prevede però che, davanti a un ordine valido dell’autorità giudiziaria che lo indichi come sospettato in un procedimento penale, Telegram possa comunicare l’indirizzo IP e il numero di telefono dell’utente. Non è una questione di contenuto, ma di chi sei e da dove ti colleghi.

Nessuna app, quindi, è migliore in assoluto. Per conversazioni che vuoi riservate, la scelta di default più solida è un servizio con cifratura predefinita e un’impostazione dei backup che controlli tu.

Dove si perdono davvero i messaggi

1. Il backup. Su iPhone e su Android le chat vengono copiate di solito nel cloud del fornitore del sistema operativo. Se quella copia non è cifrata in modo che solo tu possa aprirla, chi ottiene l’accesso a quell’account può leggerla senza che l’app c’entri. Attiva, dove esiste, il backup cifrato, e proteggi l’account come spiegato nella guida su password e recupero.

2. I dispositivi collegati. WhatsApp, Signal e Telegram permettono di usare l’account anche da computer e da web. Il collegamento passa per un codice QR o un codice. Se qualcuno ti convince a scansionare un codice «per verificare l’account» o «per ricevere un premio», il codice autorizza un nuovo dispositivo sul tuo account: da quel momento riceve i messaggi. Una volta al mese apri l’elenco dei dispositivi collegati e scollega quelli che non riconosci.

3. La schermata di blocco. Le notifiche con il testo leggibile mostrano i messaggi, e i codici di verifica, a chi ha il telefono davanti. Disattiva l’anteprima del contenuto sul telefono bloccato.

4. I gruppi. Più il gruppo è largo, più è facile che qualcuno inoltri, faccia uno schermo o venga aggiunto un numero che non dovrebbe esserci. Non mandare in un gruppo dati che non daresti a tutti i membri.

5. Il codice di verifica. Quando installi l’app su un telefono nuovo, ti arriva un codice per SMS. Chi riesce a farselo dare, con un inganno o con il trasferimento della SIM, può registrare l’account su un altro dispositivo. Attiva il PIN o la verifica in due passaggi che tutte e tre le app offrono, e non comunicare mai il codice a nessuno. La guida sul furto di sessione spiega perché gli SMS sono il metodo più debole.

6. Il metodo di recupero dell’account. Vale anche qui: chi controlla il tuo numero di telefono controlla l’app.

I messaggi a scomparsa: utili, con limiti

Tutte e tre le app offrono messaggi che si cancellano dopo un tempo scelto. Servono come igiene: se perdi il telefono, se te lo rubano o se qualcuno lo guarda, c’è meno materiale da leggere. È lo stesso principio di minimizzazione dei dati: non conservare ciò che non ti serve.

Limiti da conoscere:

• Non cancellano ciò che è già stato copiato. Chi riceve può fare uno schermo, inoltrare o salvare prima della scomparsa.
• Non sono una procedura di conservazione. Se per l’azienda alcune comunicazioni vanno conservate per obblighi di legge, contratti o tutela, quei messaggi non vanno lasciati alla cancellazione automatica: vanno trasferiti nel sistema previsto.
• Non vanno usati per eliminare dati quando c’è un provvedimento o quando sai che è in corso una contestazione. Cancellare dopo un sequestro o per ostacolare un accertamento può avere conseguenze gravi. In quel caso la regola è non toccare nulla e rivolgersi a un avvocato: ne parla la guida su perquisizione e sequestro informatico.

Impostazioni da fare oggi

• Attiva la verifica in due passaggi o il PIN dell’app (tutte e tre li hanno).
• Backup: su WhatsApp attiva il backup cifrato o disattiva quello nel cloud; verifica come sono salvate le chat sul tuo telefono.
• Dispositivi collegati: apri l’elenco e rimuovi quelli che non riconosci o non usi.
• Anteprime: disattiva il contenuto dei messaggi sulla schermata di blocco.
• Chi può aggiungerti ai gruppi e chi vede il tuo numero: restringi a chi hai in rubrica.
• Telegram: usa le chat segrete per le conversazioni riservate, e ricorda che i gruppi non sono cifrati end-to-end.
• Un timer di scomparsa adatto: per le conversazioni informali e non rilevanti per obblighi di conservazione.

Per le aziende

• Scrivi quale canale va usato per quale dato. Credenziali, dati dei clienti, documenti d’identità e contratti non viaggiano su chat personali di cui l’azienda non ha il controllo.
• Gestisci chi c’è nei gruppi di lavoro e rimuovi chi lascia l’azienda lo stesso giorno.
• Decidi la conservazione: quali comunicazioni vanno archiviate, quali possono scadere, e chi lo stabilisce.
• Usa strumenti con controllo amministrativo per ciò che deve restare nell’azienda, e spiega alle persone la differenza con la chat personale.
• Backup e dispositivi: i telefoni con accesso a posta e dati vanno protetti con blocco, cifratura e possibilità di cancellazione da remoto.

Domande frequenti

Fonti

• WhatsApp, End-to-end encrypted backups on WhatsApp
• Telegram, FAQ
• Help Net Security, Telegram will share IP addresses, phone numbers of criminal suspects with cops (24 settembre 2024)
• Signal
• Signal, Phone number privacy and usernames (20 febbraio 2024)
• CISA, Implementing Phishing-Resistant MFA (ottobre 2022)
• Racconti di chi lavora o ha lavorato in questi ambienti: testimonianze, riportate come tali.