Oltre WhatsApp, tutta la crittografia nelle nostre chat

WHATSAPP è solo l'ultima arrivata. Adesso troveremo anche lei nella lista delle applicazioni che hanno adottato la crittografia end-to-end, cioè quella tecnica che oscura i nostri messaggi e le nostre chiamate dal mittente al destinatario, rendendoli visibili solo ai due che stanno parlando. E non ad altri o alla stessa compagnia che offre il servizio. Una presa di posizione a favore della cifratura che fa doppiamente rumore: non solo perché l'annuncio arriva dopo la querelle che ha visto schierarsi Apple contro l'Fbi che alla fine ha fatto sapere di esser riuscita sbloccare l'iPhone 5C dell'attentatore di San Bernardino, senza l'aiuto dell'azienda di Cupertino. Ma anche perché è di fatto la prima volta che questa forma di sicurezza diventa mainstream: raggiungendo di default il miliardo di utenti che utilizza l'ultima versione dell'applicazione di messaggistica disponibile per iOS e Android comprata da Mark Zuckerberg per 19 miliardi di dollari, di cui quattro in contanti e quindici in azioni. "La crittografia è un lusso", denunciava nei giorni scorsi sul sito della rivista statunitense The Atlantic il giornalista Kaveh WaddellEppure WhatsApp non è stata sicuramente la prima e non è di certo l'unica a proteggere la riservatezza dei propri utenti. Sono ormai molte le app per chattare che adottano la cifratura end-to-end. Un ecosistema che è diventato affollato soprattutto dopo lo scandalo Nsa: l'agenzia di sicurezza statunitense fautrice di una sorveglianza di massa e indiscriminata. Lo dimostra una tabella dell'Electronic Frontier Foundation, l'organizzazione internazionale impegnata nella tutela dei diritti digitali. Prima di tutto ci sono da menzionare i sistemi che sia la Mela sia Blackberry mettono a disposizione di chi possiede i loro telefonini intelligenti. Si tratta, rispettivamente, di iMessage e di BlackBerry Protected, utilizzata persino da Barack Obama nello smartphone di rappresentanza. Mentre una delle alternative più famose, disponibile su Google Play e Apple Store, è Signal: diventata celebre per via di Edward Snowden, whistleblower del datagate, che ne è stato testimonial di eccezione. Un'app facile da usare, che si basa sullo stesso protocollo ora implementato dalla costola di Facebook: TextSecure. A svilupparlo è Open Whisper Systems: un gruppo software no profit, fondato nel gennaio del 2013 dal ricercatore Moxie Marlinspike. Con l'obiettivo di "rendere le comunicazioni private semplici come una telefonata". Qual è la differenza rispetto all'app di proprietà di Zuckerberg? "Nel caso di WhatsApp, si tratta di un client closed source. E sua la sicurezza dipende dall'implementazione", spiega Luca Carettoni, esperto di sicurezza informatica. "Perciò anche se il protocollo é ritenuto sicuro, il modo in cui lo si utilizza è importante perché potrebbe rappresentare l'anello debole della catena". Tutto da verificare. Un paragrafo a parte spetta a Telegram. Perché fin dall'inizio della loro storia professionale i fratelli Nikolai e Pavel Durov hanno fatto della protezione della privacy il loro cavallo di battaglia, riuscendo così a scalare in fretta la classifica delle app di messaggistica più utilizzate. Anche se c'è da dire che in questo caso la crittografia end-to-end non è disponibile di default, ma va attivata manualmente selezionando l'opzione "chat segrete". E ancora: ci sono Silent Phone e Silent Text, due app per chiamate e messaggi che si possono scaricare gratuitamente seppur per sfruttarle bisogna pagare un abbonamento mensile, dietro cui c'è il creatore della crittografia PGP Philip Zimmerman; c'è Wickr dove per ogni messaggio è possibile selezionare il timer per l'autodistruzione; Bleep, il servizio di messaggistica (ma anche di chiamate VoIP) cifrato di BitTorrent; Surespot, dal codice aperto; e l'app web CryptoCat di Nadim Kobeissi, ricercatore di crittografia applicata all'Istituto francese di ricerca informatica e automazione (Inria). Una distinzione da fare all'interno di questa panoplia la segnala Stefano Zanero, professore associato al Dipartimento di Elettronica, Informazione e Bioingegneria del Politecnico di Milano. E cioè tra i sistemi chiusi e "quelli che invece permettono di vedere il codice sorgente, che sono preferibili perché in tal modo altre persone possono analizzarlo. Al momento, tra i più conosciuti, solo Signal e in parte Telegram lo fanno". Dopo la nuova scelta di WhatsApp, seppur tardiva, rimangono pochi i servizi di firme eccellenti che ancora non adottano la crittografia end-to-end: Facebook Messenger, Google Hangouts, Yahoo!, Snapchat, Viber e Skype. Certo, è un passo importante in direzione di una maggiore protezione degli utenti. Anche se non è la panacea di tutti i mali. "Bisogna ricordare che la protezione del dato 'in transito' è solo una delle componenti di una strategia complessiva di sicurezza, e che la cifratura dei messaggi di per sé non è in grado di garantire la sicurezza assoluta delle comunicazioni", dice Andrea Zapparoli Manzoni, membro del Clusit, l'associazione italiana per la sicurezza informatica. "Ci sono altri due elementi da considerare: la sicurezza del device (fisso o mobile) sul quale gira l'applicazione e la sicurezza dell'applicazione stessa. Verso di loro esistono minacce concrete, che non sono minimamente mitigate dall'adozione della crittografia sul canale di trasmissione". Si rischia una corsa agli armamenti digitali, da parte di cracker e spie governative, ed è bene iniziare già a pensarci.