Sicurezza di base

Sappiamo che l'ICE e altre agenzie di polizia usano strumenti di tracciamento della posizione che si basano in parte sull'"ID pubblicitario" fornito dal tuo telefono. Spesso questi strumenti vengono usati per reprimere i movimenti sociali.

Gli ID pubblicitari sono stati anche usati per scegliere i bersagli di spyware diffusi tramite le pubblicità.

Gli iPhone hanno questa funzione disattivata di default. Su Android è attiva di default e va disattivata.

Queste app potrebbero davvero aver bisogno della posizione mentre le usi:

• Navigazione (Apple Maps, Magic Earth, CoMaps)
• Ride-sharing (ma solo mentre la stai usando)

Alcune app potrebbero aver bisogno di un permesso temporaneo:

• Le app di consegna di cibo hanno bisogno della posizione solo quando stai effettivamente ordinando

App che di sicuro NON hanno bisogno dell'accesso alla posizione:

• App per le foto
• App dei social media
• Giochi
• La maggior parte delle app per lo shopping
• App bancarie
• App di notizie
• La maggior parte delle app di produttività

Ricorda: ogni app con accesso alla posizione è una potenziale fuga di dati sulla tua privacy. Nel dubbio, disattiva la posizione e riattivala solo se ti accorgi che ti serve davvero.

La maggior parte dei normali messaggi e delle chiamate può essere osservata dal tuo operatore telefonico e dal governo. Telegram è incredibilmente poco sicuro. (Più sotto trovi cosa pensiamo di WhatsApp.)

Signal è l'opzione migliore per tenere al sicuro i tuoi messaggi e mantenere privato con chi stai parlando.

Quando usare Signal

Alcuni esempi di situazioni in cui è particolarmente importante usare Signal

• Discutere di una protesta/azione che non è pubblica
• Organizzare una protesta/azione pubblica in cui chi organizza vuole proteggere la propria privacy
• Criticare il governo o altri centri di potere

E WhatsApp? (Evitalo se puoi, usalo se devi)

I messaggi di WhatsApp sono protetti con il metodo di crittografia sviluppato da Signal, quindi il contenuto dei tuoi messaggi è al sicuro. Però Meta raccoglie un sacco di informazioni su con chi parli, quanto spesso e in quali gruppi sei. Solo nel 2024 hanno consegnato i dati nel 78% delle richieste del governo. I tuoi messaggi sono al sicuro, ma con chi stai comunicando no. È un'opzione da valutare se è difficile che la comunità con cui lavori passi a Signal. È più sicura dei normali messaggi di testo, di Telegram, ecc. Se usi WhatsApp, assicurati di attivare la nuova funzione Impostazioni account rigorose e di blindare le tue impostazioni della privacy

Il miglior passo avanti che tuttə possiamo fare nell'uso di Signal è assicurarci che i messaggi effimeri siano attivati di default. La maggior parte dellə attivistə con cui parliamo non li ha attivati di default. (E quasi tuttə si dimenticano di attivarli a mano per ogni nuova chat.)

Così proteggi te stessə e anche lə altrə. Non sappiamo di chi sarà il telefono che gli sbirri sequestreranno. Anche se pensiamo di parlare di cose perfettamente legali, il governo può trovare il modo di distorcere le nostre parole per cercare di montare un caso contro di noi per il nostro dissenso

Ci sono due cose da tenere d'occhio riguardo ai messaggi effimeri:

1. Primo, cambia l'impostazione predefinita così che ogni chat che crei abbia questa funzione attivata.
2. Secondo, assicurati che siano attivati nelle chat avviate da altrə: se qualcun altrə avvia la chat, potrebbe non avere i messaggi effimeri attivati. Potresti doverli attivare tu.

Scegliere la durata dei messaggi effimeri: quanto tempo impostare dipende da quanto sono delicati i tuoi messaggi. Una domanda che potresti farti è: "se il dispositivo di qualcunə venisse sequestrato o hackerato, quanto è importante che questi messaggi non siano accessibili?"

• Per chiacchierare di cose a basso rischio con amicə, potresti scegliere 4 settimane.
• Per il normale lavoro di organizzazione politica, potresti scegliere 1 settimana.
• Per le azioni più a rischio, potresti impostarlo su 1 giorno, 1 ora o 5 minuti, così i messaggi spariscono prima che l'azione inizi.

Consigliamo Brave perché offre la massima privacy senza bisogno di configurazioni aggiuntive, che è proprio l'obiettivo di questo sito.

Consigli extra per configurare Brave:

• Installa Privacy Badger per un po' di protezione in più.
• Puoi installare anche l'app di Brave per iPhone o Android.

Altri browser possibili:

• Firefox può offrire ancora più privacy se ti prendi il tempo di installare i plugin giusti e configurarlo bene.
• Usa Tor Browser per le navigazioni molto delicate che devono essere davvero anonime

• Brave Search di solito dà risultati migliori e ci fidiamo di loro, ma non a tutte le persone piace il loro modello di business
• I risultati di DuckDuckGo non sono altrettanto affidabili, ma ha un passato leggermente migliore sul fronte della privacy.

La cronologia delle tue posizioni rivela tantissimo sui tuoi interessi, sulle persone che frequenti e sulla tua attività politica. E può anche essere usata contro di te in tribunale.

Il tuo telefono rivela sempre la tua posizione approssimativa al tuo operatore, perché sa a quale cella sei connessə. Ma qualsiasi app a cui dai la tua posizione GPS esatta ha molti più dettagli.

Puoi proteggerti usando un'app di mappe che rispetta di più la privacy.

Apple Maps (solo iPhone) offre protezioni della privacy più solide di quanto potresti pensare ed è molto più riservata di Google. Però, visto che è di una big tech, è meglio usarla per la vita di tutti i giorni e non per l'organizzazione di attività sensibili. La consigliamo perché offre il traffico in tempo reale e le info sui mezzi pubblici, che mancano nelle alternative più attente alla privacy.

Magic Earth (iPhone o Android; gratuita) offre una forte protezione della privacy. È molto più facile da usare rispetto all'altra app multipiattaforma che consigliamo (CoMaps). Alcune funzioni, però, sono disponibili solo nella versione a pagamento.

CoMaps (iPhone o Android; gratuita) è meno intuitiva di Magic Earth o Apple Maps, ma offre le garanzie di privacy più forti. Puoi usarla completamente offline, il che è particolarmente utile per chi fa attivismo su questioni sensibili. Detto questo, non ha i dati sul traffico in tempo reale né i percorsi dei mezzi pubblici, quindi è difficile usarla come app di navigazione principale.

Ogni volta che esce un nuovo aggiornamento del sistema operativo, chiude delle falle di sicurezza. Ogni aggiornamento che non hai installato significa una lista più lunga di modi in cui gli sbirri possono entrare nel tuo dispositivo. Immaginalo come un grande edificio con sempre più porte lasciate aperte.

Se il tuo sistema operativo non è aggiornato, molti degli altri consigli di questa guida non proteggeranno i tuoi dati.

Inizia dal telefono. Se stai facendo qualcosa di più rischioso, assicurati di aggiornare tutti i tuoi dispositivi.

I siti di "ricerca persone" raccolgono e pubblicano profili su ognunə di noi, con nome, indirizzi, numeri di telefono, foto profilo, indirizzi email e account social. La checklist linkata qui sotto ti spiega come cancellarti

Il doxxing è una tattica sempre più usata contro chi fa attivismo: qualcuno con cattive intenzioni pubblica la tua email, il tuo telefono, il tuo indirizzo, ecc. per spingere altre persone a molestarti online e, a volte, anche di persona.

Se hai tempo, usare un password manager è l'opzione migliore, perché ti aiuta a generare automaticamente password forti, casuali e uniche per ogni sito/app/account.

Se devi scegliere tra password forti (lunghe, casuali) e password uniche (senza riutilizzare la stessa password su più siti), meglio scegliere password uniche. Così, se ti rubano la password di un sito, non saranno compromessi anche tutti gli altri.

Gli strumenti che consigliamo sono:

• 1Password: molto facile da usare. Un po' più sicuro. Costa 3 $ al mese.
• Bitwarden: gratuito. Comunque molto sicuro.

Bonus: ecco una buona introduzione su come sfruttare al meglio 1Password.

Alternative:

• Proton Pass: ha un piano gratuito
• KeePassXC: open source, ti permette di salvare le password solo sul tuo dispositivo invece che nel cloud, ma l'interfaccia è parecchio scomoda.

Dopo aver inserito la password, dovrai inserire un codice dal tuo telefono per dimostrare che sei davvero tu. Pensala come avere sia una chiave sia il codice dell'allarme per entrare in casa: per entrare servono entrambi.

L'email è l'account più importante da proteggere con l'autenticazione a due fattori. Se qualcuno riesce ad accedere alla tua email, può reimpostare tutte le altre tue password.

Nota: quando un servizio ti fa scegliere tra un'app di autenticazione e i codici di verifica via SMS, scegli sempre l'app di autenticazione. Chi ti attacca può intercettare i tuoi SMS.

Quanto ci vuole per craccare un codice?

Nota: questi tempi valgono solo per i telefoni. I computer si possono craccare molto più in fretta e hanno bisogno di password molto più robuste.

Fonti: le stime nella tabella qui sopra si basano sul numero di tentativi al secondo effettivamente osservati con gli strumenti di hacking forense usati dagli sbirri. Se ti serve più sicurezza, usa un codice di 10 cifre: ti protegge anche negli scenari di cracking più estremi. Trovi le fonti nelle FAQ sui codici di sblocco qui.

Le aziende tech (come Google) ricevono spesso richieste dal governo di consegnare tutti i dati dell'account di un'attivista o di un attivista. Spesso includono un "gag order", cioè un obbligo di silenzio: l'azienda non può dirlo a chi usa l'account se non mesi o anni dopo.

Gli strumenti cloud crittografati come Proton Mail, Drive, Docs e Sheets fanno sì che l'azienda non abbia copie leggibili dei tuoi dati da consegnare. Se il governo li vuole, deve chiederli direttamente a te: così lo sai in anticipo e puoi contestare la richiesta con un supporto legale.

CryptPad è un'altra opzione popolare per documenti cifrati, ma è molto difficile da usare. Se ha le funzioni che ti servono, il risultato è lo stesso.

Se hai una password robusta, disattivi lo sblocco con volto/impronta digitale e attivi la crittografia del disco, sarà molto difficile accedere al tuo portatile e agli altri tuoi dispositivi. La crittografia è una parte essenziale di queste difese. Senza crittografia, la tua password e le altre misure servono a poco se lo Stato ti sequestra il dispositivo.

Lo spyware è un tipo di attacco avanzato, che sfrutta vulnerabilità sofisticate dei nostri dispositivi. Per questo, Apple e Google hanno introdotto una modalità di sicurezza avanzata che offre una protezione più forte contro lo spyware.

Su iPhone si chiama Lockdown Mode, mentre su Android si chiama Advanced Protection Program. (Puoi attivare il Programma di protezione avanzata anche solo sul tuo account Google, pure se non hai un telefono Android.)

Non ci risulta nessun caso di persone infettate da spyware che avessero attiva la Modalità di isolamento di Apple. La Protezione avanzata di Android è più recente e la sua efficacia deve ancora essere messa alla prova.

Se sei in una categoria più a rischio, fai attenzione ogni volta che parli di attività politica vicino a un microfono. Questo include laptop, telefoni, smartwatch e smart speaker.

Rischi: questi dispositivi hanno microfoni sempre in ascolto.

Come proteggerti: togliere gli smart speaker da casa tua è un passo semplice per ridurre il rischio di sorveglianza.

La maggior parte di noi non è sotto sorveglianza attiva per la maggior parte del tempo, ma è più sicuro prendere l'abitudine di dare per scontato che potresti esserlo. Una volta che ti abitui, non richiede molto sforzo.

Se devi sostituire un prodotto, prova a comprarlo usato per ridurre i rifiuti elettronici e l'estrazione di risorse.

Contesto:

• Nel 2017 abbiamo scoperto che la CIA aveva sviluppato un hack per far sì che alcune smart TV fossero sempre in ascolto, anche quando sembravano spente.
• Inoltre Amazon riceve spesso richieste legali dagli sbirri per le registrazioni degli smart speaker.

Se gli sbirri ti sequestrano il telefono, uno dei rischi più grandi è esporre tutta la tua rete. Anche se le persone non usano il loro vero nome sull'account Signal, dietro ogni nome utente Signal c'è comunque un ID univoco. E gli sbirri possono usarlo per collegare l'identità di qualcuno attraverso tanti dispositivi sequestrati.

Devi sia uscire dal gruppo SIA eliminarlo:

• Se esci soltanto dal gruppo, sul tuo telefono restano i vecchi messaggi e la cronologia di chi faceva parte del gruppo.
• Se elimini soltanto il gruppo, continueranno ad arrivare nuovi messaggi e la chat ricomparirà.

Consigli di igiene digitale:

• Imposta un promemoria ricorrente per fare pulizia nelle tue chat Signal ogni 3 mesi.
• Assicurati di segnarti da quali gruppi esci e a chi puoi chiedere di riaggiungerti dopo l'azione.

Nota: se trovi questo procedimento parecchio fastidioso e macchinoso (perché lo è!), è un altro buon motivo per usare un telefono secondario durante le azioni. Quel telefono starebbe solo nell'uno o due gruppi necessari per portare a termine l'azione di quel giorno.

Lo spyware spesso arriva tramite un messaggio di testo o un'email con un link creato su misura per te, pensato apposta per essere impossibile da ignorare. Non è il solito spam a caso: sono attacchi personalizzati che sfruttano le cose a cui tieni di più.

I messaggi con spyware possono essere molto mirati. Ecco alcuni esempi reali di come è stato usato lo spyware Pegasus:

"Cara Carmen, mio fratello è morto in un incidente, sono distrutto, ti mando le informazioni sul funerale, spero che tu possa venire: [link spyware]" (fonte)

USEMBASSY.GOV/ ABBIAMO RILEVATO UN PROBLEMA CON IL SUO VISTO, LA PREGHIAMO DI RECARSI AL PIÙ PRESTO ALL'AMBASCIATA. VEDI DETTAGLI [link spyware] (fonte)

LX 1955 BCN-ZRH 26Jun2020 - Clicca sul link per ricevere la tua carta d'imbarco sul cellulare [link spyware] (fonte)

Attenzione: Alcuni spyware vengono installati tramite exploit che non richiedono affatto di cliccare su un link ("exploit zero-click"). Per esempio, potrebbero presentarsi come chiamate perse su WhatsApp.

Ogni volta che usi "Accedi con Google" (o opzioni simili), permetti a Google di tracciare quali servizi usi e di collegarli alla tua vera identità. Creare account separati con password uniche (usando il tuo password manager) rende più difficile per le aziende e le autorità farsi un quadro completo delle tue attività online.