Signal è sicuro? (Sì!)
In breve: Signal è sicuro da usare. Se usi già Signal per il tuo attivismo, stai tranquillə: le tue comunicazioni sono private e sicure.
Usare Signal in modo sicuro: questo articolo parla di quanto Signal sia affidabile. Per i passaggi concreti su come configurare l'app, usa la nostra Checklist di sicurezza per Signal.
Signal è una piattaforma di messaggistica sicura e crittografata, molto usata da attivistə, giornalistə, avvocatə per i diritti umani e perfino da funzionari di governo, per comunicare uno a uno o in gruppo tramite testo, voce e video.
Signal è gestito da un'organizzazione non profit
L'app Signal è di proprietà della Signal Technology Foundation, un'organizzazione non profit con sede negli Stati Uniti, che si finanzia con donazioni individuali e sovvenzioni.
Puoi consultare le dichiarazioni fiscali della Signal Technology Foundation, con il dettaglio di entrate e spese, qui.
Le comunicazioni su Signal sono private
Quando comunichi su Signal, i messaggi restano privati. Questa privacy è possibile grazie alla crittografia end-to-end: mentre le tue conversazioni viaggiano su internet, sono indecifrabili, cioè solo tu e la persona (o le persone) con cui comunichi potete leggere o ascoltare il contenuto delle vostre comunicazioni.
Se un'agenzia governativa chiede a Signal, con un ordine legale, i dati di un account Signal legato al tuo numero di telefono, Signal può fornire solo queste informazioni: l'ID dell'account, un hash crittografico del tuo nome utente, quando è stato creato l'account e quando è stato usato l'ultima volta. Se la richiesta parte dal tuo nome utente, Signal è in grado di collegare un nome utente a un numero di telefono e fornire una risposta che include il numero di telefono. Questo è uno dei motivi per cui Signal ha reso i nomi utente temporanei, dando la possibilità di cambiarli a seconda delle necessità. A parte questo, Signal non sa nient'altro di te.
L'app Signal è open source
Se le app fossero torte, open source vorrebbe dire avere accesso all'intera ricetta: sai come viene fatta la torta e quali ingredienti vengono usati. Puoi perfino suggerire modifiche che secondo te potrebbero migliorare la torta. Allo stesso modo, il codice di Signal è pubblico: chiunque può vederlo, esaminarlo e suggerire modifiche. Anzi, puoi vedere il codice di Signal qui. Anche il modo in cui Signal protegge i milioni di messaggi che passano per l'app è pubblico.
Questo livello di trasparenza ci permette di fidarci di Signal, perché possiamo verificare con i nostri occhi che funziona come dice, senza doverci fidare sulla parola.
Nota a margine: nel 2021 Signal ha introdotto un sistema anti-spam dopo che le persone che lo usano avevano segnalato un'ondata di spam da contatti sconosciuti. Per evitare che chi fa spam studi il codice e trovi il modo di aggirarlo, questo singolo componente è stato reso closed source. Tutto il resto rimane open source. (Vedi: il post sul blog di Signal)
Il mito
Attenzione: Sui social gira spesso la voce che Signal sia finanziato dal governo USA o dalla Central Intelligence Agency (CIA), come a dire che Signal è in pratica un'operazione governativa e quindi non ci si può fidare.
Questa voce si basa sul fatto che Signal ha ricevuto finanziamenti dall'Open Technology Fund (OTF) tra il 2012 e il 2016. Signal non ha mai nascosto questi finanziamenti. L'OTF è un'organizzazione non profit che riceve la maggior parte dei suoi fondi dalla US Agency for Global Media (USAGM), un'agenzia governativa indipendente degli Stati Uniti che si occupa di supervisionare emittenti di notizie internazionali come Voice of America. L'OTF ha finanziato tantissimi progetti open source per aiutare le persone a contrastare la sorveglianza e la censura. L'USAGM non è un'agenzia di intelligence, anche se opera nell'ambito della politica estera statunitense più in generale.
Mettere in discussione le fonti di finanziamento è sempre una buona idea, soprattutto negli spazi attivisti e quando si analizzano le strutture di governance di un'organizzazione per capire quanto fidarsi. Però passare da "Signal ha ricevuto un finanziamento da una non profit finanziata dall'USAGM" a "Signal è un'operazione della CIA" è un bel salto logico. Con lo stesso ragionamento, si potrebbe accusare qualsiasi giornalista o ONG che riceve un finanziamento legato all'USAGM di essere una risorsa della CIA.
A parte questo, i finanziamenti possono influenzare molti aspetti di un'organizzazione, ma non determinano di per sé la sicurezza di un'app di messaggistica. Per valutare la sicurezza di un'app bisogna guardare a come è progettata la crittografia, se il codice è pubblico e chiunque può esaminarlo, e se ricercatori e ricercatrici di sicurezza indipendenti l'hanno testata e l'hanno trovata solida. Signal va bene su tutti e tre i fronti, e alla fine sono questi i fattori che contano davvero per la sicurezza.
Devi proteggere il tuo dispositivo
Signal è considerata da molte persone una delle piattaforme di messaggistica più sicure in circolazione, perché è sviluppata in modo trasparente e la sua sicurezza è verificata pubblicamente.
Detto questo, Signal è sicuro solo quanto il modo in cui gestisci il tuo dispositivo. Se il tuo dispositivo viene sequestrato, ha un codice di sblocco debole, ha lo sblocco con volto/impronta attivo, oppure per sbaglio aggiungi al tuo gruppo Signal qualcuno di cui non ti fidi, le tue comunicazioni saranno comunque compromesse, anche se l'app in sé funziona esattamente come dovrebbe.
Sugli iPhone più recenti, Apple Intelligence (e i riepiloghi delle notifiche) è una questione diversa rispetto alla solidità della crittografia di Signal. Vedi Apple Intelligence legge i miei messaggi Signal?.
Ti consigliamo di seguire la nostra Checklist di sicurezza per Signal e la Checklist essenziale per proteggere i tuoi messaggi Signal una volta arrivati sul tuo dispositivo.