Come funziona Signal, l'app di messaggistica che piace a Snowden

ANCHE Edward Snowden chatta. Ma non usa WhatsApp, il colosso inglobato da Facebook, che oggi conta più di 800milioni di utenti attivi al mese; né Telegram, il sistema inventato dai fratelli Durov con una particolare attenzione per la sicurezza; né tantomeno Firechat, l'app che consente di comunicare tramite i mesh network, persino quando si è privi di una connessione di rete. La sua applicazione di messaggistica preferita ha addosso pochi riflettori. E tanta sostanza. Si chiama Signal, il suo simbolo grafico è la classica nuvoletta che indica le conversazioni nei fumetti, colorata di blu, e con al centro disegnata una serratura. Un'app tra le tante, insomma, che avrebbe rischiato di cadere nell'anonimato. Se a parlarne non fosse stato lo stesso whistleblower che ha svelato al mondo la sorveglianza di massa, tanto indiscriminata quanto inutile, portata avanti dalla National Security Agency statunitense dal 2001 fino a oggi. Dove? Su Twitter. "La utilizzo tutti i giorni", ha scritto l'ex consulente informatico, poco dopo aver attivato il proprio account personale sulla piattaforma di Jack Dorsey, facendo seguire ironicamente l'hashtag #notesforFBI. Una pubblicità notevole. Ma che cosa rende Signal così speciale? A guardarla da fuori, non sembra molto diversa dalle centinaia di strumenti simili, a volte bizzarri come Beam, che affollano i negozi digitali dei nostri smartphone. Ha la loro stessa semplicità d'impiego: per cominciare a chattare, quindi, basta scaricarla gratuitamente su Google Play, o sull'Apple Store, a seconda del dispositivo che avete tra le mani; poi verificare con un messaggio il vostro numero di telefono; et voilà, il gioco è fatto. Però pecca in altre caratteristiche. Dimenticate, ad esempio, i fronzoli: almeno su Android, dove l'abbiamo testata, l'app è molto minimalista e non offre granché dal punto di vista grafico. Via anche l'opportunità di far sì che i messaggi si autodistruggano dopo un tot di tempo, concessa da Snapchat come da Telegram, e forse in arrivo pure su Facebook Messenger. Mentre funzionano bene i classici servizi base: le chiamate, l'invio di testi, immagini, e video. Stop, fin qui nulla di eccezionale, anzi: fin troppo sottotono. Perché è solo mettendo da parte le apparenze, e guardando gli ingranaggi, che si nota la differenza tra Signal e gli altri prodotti. L'applicazione, infatti, ha costruito il proprio punto di forza intorno a una qualità spesso carente tra i big del settore: la privacy. Tanto che nell'ottobre del 2014, l'Electronic Frontier Foundation - organizzazione internazionale impegnata nella tutela dei diritti digitali - l'ha inclusa nella guida aggiornata di auto difesa contro la sorveglianza. Una garanzia. Non a caso, alle spalle di quella nuvola blu che contraddistingue il logo dell'app amata da Snowden, c'è nientemeno che Open Whisper Systems: un gruppo software no profit, fondato nel gennaio del 2013 dal ricercatore Moxie Marlinspike. Con l'obiettivo di "rendere le comunicazioni private semplici come una telefonata". Si tratta di tecnologie che, sulla carta, potrebbero far gola ai terroristi, dato che permettono di scambiare informazioni in modo quasi del tutto sicuro. Eppure si sa poco riguardo al loro effettivo impiego da parte dei criminali: ad esempio, per coordinare gli attacchi di Parigi, gli attentatori non avrebbero usato la crittografia ma dei banali quanto trasparenti sms. Inoltre, c'è da considerare che "terroristi e pedofili avranno comunque sempre accesso a strumenti difficili per le comunicazioni cifrate", dice Marlinspike a Repubblica, schierandosi contro ogni legge anti crittografia (che viene ormai paventata dopo ogni attacco terroristico). "Solo la gente comune, come me e te, non è disposta a spendere del tempo per impiegare questi sistemi complicati nelle proprie comunicazioni quotidiane a basso rischio. Perciò siamo noi quelli colpiti dalla sorveglianza di massa, non loro". Da qui l'impegno che ha portato alla messa a punto di due protocolli di crittografia, completamente open source, facili da usare: TextSecure e RedPhone. Entrambi, ora, inglobati in un'unica soluzione: Signal, appunto. Che, come si legge sul sito di presentazione, "fonde in una singola app la possibilità di messaggiare privatamente in modo semplice all'opportunità di chiamare privatamente in modo semplice". In che cosa si traduce concretamente questa privacy? "Non possiamo sentire le tue conservazioni, o vedere i tuoi messaggi, e nessun altro può. Tutto in Signal è automaticamente protetto dalla crittografia end-to-end e accuratamente progettato per mantenere le tue conversazioni al sicuro". C'è dell'altro. L'app permette agli utenti anche di verificare la loro reciproca identità, così come di controllare che tutto funzioni correttamente. Per esempio, durante una chiamata compariranno sullo schermo sia di emittente che di ricevente due parole. Se combaciano, il meccanismo fila. Altrimenti c'è da preoccuparsi. "Signal combina una serie di qualità che mi piacerebbe avessero più applicazioni di crittografia", ci dice Nadim Kobeissi, ricercatore di crittografia applicata all'Istituto francese di ricerca informatica e automazione (Inria); e autore di Cryptocat: app web e mobile per chat sicure. "Usa di default (a differenza di Telegram dove non è attiva automaticamente ndr) una cifratura robusta e ben sviluppata. È semplice da usare e soprattutto è completamente open source: perciò altri sviluppatori ed esperti possono controllare il suo codice e assicurarsi che stia lavorando bene". Per capire cosa cambia, basti pensare che pure WhatsApp nel novembre del 2014 ha adottato il software di cifratura open source creato da Marlinspike, TextSecure. Eppure nel suo ultimo rapporto l'Electronic Frontier Foundation l'ha bocciata proprio nel campo della privacy. "Nel caso di WhatsApp, si tratta di un client closed source. E sua la sicurezza dipende dall'implementazione di Facebook", aggiunge Luca Carettoni, esperto di sicurezza informatica. "Perciò anche se il protocollo é ritenuto sicuro, il modo in cui lo si utilizza è importante perché potrebbe rappresentare l'anello debole della catena". In altri termini: la tecnologia da sola non basta, ma è necessario che venga usata bene. E solo l'open source permette totale trasparenza, riducendo il rischio backdoor, cioè gli strumenti di sorveglianza installati dall'Nsa nei computer. Certo, è importante tenere in mente che ogni strumento hi-tech non è mai sicuro al cento per cento. Quindi neanche Signal lo è. Ma, scrive il giornalista Micah Lee su The Intercept, installare l'app sui nostri smartphone ci fa compiere un altro passo avanti nella direzione di "rendere irrealizzabile la sorveglianza di massa di milioni di innocenti".