WhatsApp, Telegram e Signal: qual è la più sicura?

Link copiato negli appunti

Le nuove policy di WhatsApp, che riassumendo e semplificando all'estremo dovrebbero portare ad una maggiore condivisione dei dati di quest'ultimo con Facebook, hanno portato un buon numero di utenti a valutare la possibilità di migrare verso altre piattaforme considerate più sicure dal punto di vista della privacy. Ma le preoccupazioni nei confronti dell'applicazione di Menlo Park sono realmente giustificate? Soluzioni come Telegram o Signal possono essere considerate più affidabili?

Gli aggiornamenti della licenza d'uso di WhatsApp consentiranno agli utenti della formula WhatsApp Business di utilizzare i dati delle chat per finalità di marketing e advertising? Teoricamente questo potrebbe essere possibile ma occorre proporre una distinzione basata sulle diverse localizzazioni dell'App. In Italia come negli altri Paesi dell'Unione Europea è in vigore la GDPR (General Data Protection Regulation), una normativa molto severa per quanto riguarda il trattamento dei dati personali.

Secondo quanto previsto dalla GDPR le attività di distribuzione dei dati che permettono di associare direttamente un utente alle sue abitudini di acquisto e navigazione non sono consentite, così come non è possibile profilare un qualsiasi utilizzatore per scopi di marketing senza che questo presti il suo consenso. L'idea che un publisher possa sfruttare i dati acquisiti tramite le comunicazioni con i clienti per massimizzare le vendite sembrerebbe quindi da escludersi a priori, i comportamenti illeciti sono sempre possibili ma lo erano anche prima delle nuove policy.

In linea generale è comunque possibile affermare che le nuove policy di WhatsApp non riguarderanno gli utilizzatori che risiedono in area UE. Detto questo, si ricordi che l'applicazione è proprietà di una società, Facebook, che ha proprio nell'advertising e nella profilazione il suo modello di business.

Uno dei vantaggi di WhatsApp per quanto riguarda la privacy è relativo all'attivazione di default della crittografia End-to-End che nel caso specifico è basato sul lavoro degli Open Whisper Systems, gli stessi che hanno implementato il protocollo utilizzato da Signal. Essa riguarda le chat e i media che vengono condivisi, non cripta invece i backup e i metadati.

Da questo punto di vista Telegram e Signal sono dunque preferibili?

La crittografia End-to-End su Telegram non è attiva in modalità predefinita e quando abilitata riguarda unicamente le comunicazioni single user. La piattaforma sfrutta MTProto che è un protocollo di cifratura custom appositamente progettato per l'accesso ad una server API da applicazioni attive su device mobile.

Il supporto alla crittografia End-to-End è disponibile su Telegram sin dal lancio dell'applicazione ma in caso di utilizzo combinato sia su mobile che su Desktop, cioè attraverso un browser Web, andrebbe considerato che in quest'ultima modalità le chat non vengono cifrate e sono salvate in formato plain text, risultando quindi potenzialmente leggibili "in chiaro".

Tornando al protocollo di riferimento, è chiaro che quando si introduce la cifratura End-to-End lo si fa per evitare attività di tipo "man in the middle", volendo evitare che un terzo estraneo possa intercettare o alterare una comunicazione. Nel caso dei protocollo custom come MTProto, però, almeno in teoria la casa madre conserva sempre una possibilità di accedere alle comunicazioni.

A questo proposito Telegram avrebbe ammesso di monitorare in alcuni le chat casi per finalità anti-spam, elemento che potrebbe estendere i controlli anche per altri scopi come per esempio una verifica da parte delle autorità. Ciò non significa naturalmente che MTProto sia insicuro, a tal proposito è possibile consultare la documentazione dedicata, veramente molto completa, presente nella sezione core del sito di Telegram.

Signal

Il protocollo di criptazione di Signal è Open Source e questo garantisce la massima trasparenza, inoltre, così come avviene per WhatsApp, la cifratura viene applicata di default su tutte le comunicazioni e media condivisi. A ciò si aggiunga che anche i metadati così come i gruppi vengono criptati e che i backup locali sono criptabili.

Per estendere il confronto possiamo sottolineare che:

WhatsApp raccoglie dati come: gli identificatori degli utenti e dei dispositivi, i numeri di telefono, gli indirizzi email, le informazioni relative ai crash, i dati sulle performance, i contatti, gli storici di acquisto e altre informazioni utili per la diagnostica.
Telegram: raccoglie gli identificatori degli utenti, i contatti e le informazioni di contatto.
Signal non utilizza alcuna informazione tra quelle precedentemente elencate a parte il numero di telefono che è indispensabile per la registrazione.

Dalla lista è stato escluso Messenger perché soltanto per elencare i dati che potrebbero essere raccolti durante il suo funzionamento sarebbe necessario un articolo dedicato.

Il fatto che il codice di Signal sia accessibile a chiunque voglia verificarne le caratteristiche, la paternità da parte di un'entità no profit, l'assenza di pubblicità o di tracciamento della localizzazione e la quantità praticamente nulla di dati acquisiti, la rendono probabilmente un'alternativa preferibile alle altre 2. Rimane però il problema di un'utenza molto ridotta che scoraggia la migrazione verso questa soluzione.