La tua app di messaggistica è davvero sicura?

Le applicazioni di messaggistica sono tra le più se non il app più importanti che usiamo ogni giorno. Che si tratti di rimanere in contatto con familiari e amici in tutto il mondo, contattare i colleghi o eseguire operazioni di business, le applicazioni di messaggistica come WhatsApp, iMessage, Skype e Facebook Messenger svolgono un ruolo importante nelle nostre comunicazioni quotidiane.

Spesso condividiamo cose come immagini personali, segreti aziendali e documenti legali su app di messaggistica, informazioni che non vogliamo rendere disponibili alle persone sbagliate. Ma fino a che punto possiamo affidarci alle tue app di messaggistica per proteggere tutti i nostri messaggi riservati e le informazioni sensibili?

Di seguito sono riportate alcune linee guida che ti aiuteranno a valutare il livello di sicurezza che la tua app di messaggistica preferita fornirà.

Alcune parole sulla crittografia

Naturalmente, tutte le piattaforme di messaggistica professano di crittografare i tuoi dati. La crittografia utilizza equazioni matematiche per scramble i tuoi dati in transizione per impedire agli intercettatori di leggere i tuoi messaggi.

La corretta crittografia garantisce che solo il mittente e il destinatario di un messaggio siano a conoscenza del suo contenuto. Tuttavia, non tutti i tipi di crittografia vengono resi uguali.

Le app di messaggistica più sicure sono quelle che offrono la crittografia end-to-end (E2EE). Le app E2EE memorizzano le chiavi di decodifica solo sui dispositivi degli utenti. E2EE non solo protegge le tue comunicazioni dagli intercettatori, ma assicura anche che la società che ospita l'applicazione non sia in grado di leggere i tuoi messaggi. Ciò significa anche che i tuoi messaggi saranno protetti da violazioni dei dati e mandati intrusivi da parte di agenzie a tre lettere.

Sempre più applicazioni di messaggistica forniscono la crittografia end-to-end. Signal è stata una delle prime piattaforme a supportare E2EE. Negli ultimi anni, altre applicazioni hanno adottato il protocollo di crittografia di Signal o hanno sviluppato la propria tecnologia E2EE. Gli esempi includono WhatsApp, Wickr e iMessage.

Anche Facebook Messenger e Telegram supportano la messaggistica E2EE, sebbene non sia abilitata di default, il che la rende meno sicura. Skype ha aggiunto anche un'opzione "Conversazione privata" di recente che ti offre la crittografia end-to-end su una conversazione a tua scelta.

Gli Hangout di Google non supportano la crittografia end-to-end, ma la società fornisce Allo e Duo, applicazioni di messaggistica di testo e videoconferenza crittografate end-to-end.

Cancellazione del messaggio

C'è più sicurezza rispetto alla semplice crittografia dei messaggi. Cosa succede se il tuo dispositivo o il dispositivo della persona con cui stai chattando viene hackerato o cade nelle mani sbagliate? In tal caso, la crittografia sarà di scarsa utilità, perché l'attore malintenzionato sarà in grado di vedere i messaggi nel loro formato non criptato.

Il modo migliore per proteggere i tuoi messaggi è eliminarli quando non ne hai più bisogno. Ciò garantisce che anche se il tuo dispositivo viene compromesso, gli attori malintenzionati non avranno accesso ai tuoi messaggi riservati e sensibili.

Tutte le app di messaggistica forniscono una qualche forma di eliminazione dei messaggi, ma ancora una volta, non tutte le funzionalità di rimozione dei messaggi sono ugualmente sicure.

Ad esempio, Hangouts e iMessage ti consentono di cancellare la cronologia della chat. Ma mentre i messaggi verranno rimossi dal tuo dispositivo, rimarranno sui dispositivi delle persone con cui hai chattato.

Pertanto, se i loro dispositivi vengono compromessi, perderai comunque i tuoi dati sensibili. Al suo attivo, Hangouts ha un'opzione per disabilitare la cronologia chat, che rimuoverà automaticamente i messaggi da tutti i dispositivi dopo ogni sessione.

In Telegram, Signal, Wickr e Skype, è possibile eliminare i messaggi per tutte le parti di una conversazione. Questo può garantire che le comunicazioni sensibili non rimangano in nessuno dei dispositivi coinvolti in una conversazione.

WhatsApp ha anche aggiunto un'opzione "Elimina per tutti" nel 2017, ma puoi usarla per eliminare solo quei messaggi che hai inviato nelle ultime 13 ore. Facebook Messenger ha aggiunto anche una funzionalità "non inviata" molto recentemente, sebbene funzioni solo per 10 minuti dopo aver inviato un messaggio.

Signal, Telegram e Wickr forniscono anche una funzione di messaggio autodistruggente, che rimuoverà immediatamente i messaggi da tutti i dispositivi dopo che è trascorso un periodo di tempo configurato. Questa funzione è particolarmente utile per le conversazioni sensibili e consente di risparmiare manualmente la cancellazione dei messaggi.

Metadati

Ogni messaggio viene fornito con una quantità di informazioni ausiliarie, note anche come metadati, come ID mittente e destinatario, l'ora in cui un messaggio è stato inviato, ricevuto e letto, indirizzi IP, numeri di telefono, ID dispositivo, ecc..

I server di messaggistica memorizzano ed elaborano questo tipo di informazioni per assicurarsi che i messaggi vengano consegnati ai destinatari giusti e in orario e per consentire agli utenti di navigare e organizzare i loro log di chat.

Sebbene i metadati non contengano testo del messaggio, nelle mani sbagliate, possono essere molto dannosi e rivelare molto sui modelli di comunicazione degli utenti come la loro posizione geografica, i tempi in cui usano le loro app, le persone con cui comunicano, ecc..

Nel caso in cui il servizio di messaggistica sia vittima di una violazione dei dati, questo tipo di informazioni può aprire la strada a attacchi informatici come il phishing e altri schemi di ingegneria sociale.

La maggior parte dei servizi di messaggistica raccoglie numerosi metadati e, sfortunatamente, non esiste un modo sicuro per sapere quale tipo di servizio di messaggistica di informazioni memorizza. Ma da quello che sappiamo, Signal ha il miglior track record. Secondo la compagnia, i suoi server registrano solo il numero di telefono con cui hai creato il tuo account e l'ultima data di accesso al tuo account.

Trasparenza

Ogni sviluppatore ti dirà che la loro app di messaggistica è sicura, ma come puoi essere sicuro? Come sai che l'app non nasconde una backdoor impiantata dal governo? Come sai che lo sviluppatore ha fatto un buon lavoro nel testare l'applicazione?

Le applicazioni rendono il codice sorgente della loro applicazione pubblicamente disponibile, noto anche come "open-source", sono più affidabili perché gli esperti di sicurezza indipendenti possono esaminare e confermare se sono sicuri o meno.

Signal, Wickr e Telegram sono app di messaggistica open source, il che significa che sono stati sottoposti a revisione paritaria da parte di esperti indipendenti. Signal in particolare ha il supporto di esperti di sicurezza come Bruce Schneier e Edward Snowden.

WhatsApp e Facebook Messenger sono closed-source, ma usano il protocollo del segnale open-source per crittografare i loro messaggi. Ciò significa che puoi essere certo che Facebook, che possiede entrambe le app, non esaminerà il contenuto dei tuoi messaggi.

Per applicazioni completamente closed-source come iMessage di Apple, è necessario fidarsi completamente dello sviluppatore per evitare di commettere errori di sicurezza disastrosi.

Per essere chiari, open-source non significa sicurezza assoluta. Ma almeno puoi fare in modo che l'app non nasconda nulla di brutto sotto il cofano.