Il contesto legale: la subpoena del 2016 contro Signal
Nel 2016, le autorità federali degli Stati Uniti hanno emesso una subpoena (ordinanza di comparizione) a Signal, chiedendo informazioni su due numeri di telefono associati a un singolo account. La richiesta mirava a ottenere dati che potessero identificare le comunicazioni tra giornalisti e le loro fonti.
Signal, gestito da una organizzazione no‑profit, ha risposto che per quell’account poteva fornire soltanto la data di registrazione e l’ultimo accesso al servizio. Non disponeva di metadati dettagliati né di copie dei messaggi, poiché la sua architettura è progettata per non conservare tali informazioni sui server.
Questa risposta ha dimostrato la robustezza della privacy di Signal: anche di fronte a una richiesta giudiziaria, l’app non è in grado di consegnare contenuti o informazioni di tracciamento che non ha mai memorizzato.
Come Signal protegge le comunicazioni dei giornalisti
Signal utilizza la crittografia end‑to‑end basata sul protocollo Signal, considerato lo standard più sicuro per le app di messaggistica. Questo significa che i messaggi sono cifrati sul dispositivo del mittente e decifrati solo sul dispositivo del destinatario, senza che nessun server intermedio possa accedervi.
Assenza di metadati
- Numero di telefono: è l’unico identificatore richiesto per la registrazione, ma non è collegato a un profilo pubblico.
- Timestamp dei messaggi: non viene salvato sui server; solo il mittente e il destinatario hanno la cronologia.
- Informazioni di rete: non vengono registrate informazioni su IP o localizzazione.
Questa “politica di non‑log” rende estremamente difficile per le autorità ricostruire la rete di contatti di un giornalista.
Esperienze reali di giornalisti che usano Signal
Molti reporter di testate internazionali hanno adottato Signal come canale principale per interviste sensibili. Ad esempio, un giornalista del New York Times ha raccontato di aver ricevuto da un informatore in una zona di conflitto un video incriminante via Signal, senza che le autorità locali riuscissero a intercettarlo.
In Italia, la redazione di Il Fatto Quotidiano ha istituito un protocollo interno: tutti i contatti con le fonti devono avvenire tramite Signal, con l’obbligo di attivare la verifica a due fattori e di cancellare le conversazioni dopo la lettura.
Questi casi dimostrano che, oltre alla sicurezza tecnica, la cultura della privacy è fondamentale per proteggere le fonti.
Passi pratici per i giornalisti: come configurare Signal al meglio
Per massimizzare la protezione, è consigliato seguire una serie di operazioni:
- Attivare la verifica a due fattori (2FA) tramite PIN o impronta digitale.
- Impostare i messaggi su “disappearing messages” con un timer adeguato (es. 24 ore).
- Utilizzare la registrazione con numero temporaneo, evitando di associare l’account al proprio numero personale.
- Regolarmente esportare e crittografare le conversazioni importanti su un dispositivo offline, per archiviarle in modo sicuro.
- Disattivare le notifiche di anteprima sullo schermo per evitare che informazioni sensibili compaiano in pubblico.
Limiti e precauzioni da considerare
Nonostante la sua forza, Signal non è immune da tutti i rischi. Il dispositivo dell’utente può essere compromesso da malware, e la sicurezza dipende dalla buona pratica dell’utente stesso. Inoltre, la semplice registrazione con un numero di telefono può rivelare l’esistenza di una comunicazione, anche se il contenuto rimane cifrato.
Per mitigare questi rischi, i giornalisti dovrebbero:
- Utilizzare dispositivi dedicati esclusivamente al lavoro.
- Mantenere il sistema operativo aggiornato e installare solo app verificate.
- Considerare l’uso di VPN o Tor per nascondere il proprio indirizzo IP.
Il futuro della sicurezza delle fonti: oltre Signal
Signal rappresenta oggi il punto di riferimento, ma la tecnologia evolve rapidamente. Progetti come Wire, Threema e le soluzioni di messaggistica basate su reti decentralizzate stanno emergendo con nuove funzionalità, come la crittografia post‑quantistica.
Per i giornalisti, è essenziale monitorare questi sviluppi, partecipare a workshop di sicurezza digitale e collaborare con esperti di crittografia per aggiornare costantemente le proprie pratiche.
In conclusione, la subpoena del 2016 ha evidenziato come Signal, grazie alla sua architettura “no‑log” e alla crittografia end‑to‑end, possa resistere alle pressioni legali, offrendo ai reporter uno strumento affidabile per proteggere le fonti. Tuttavia, la sicurezza completa dipende dall’adozione di buone abitudini digitali e da una costante vigilanza sulle nuove minacce.