Il contesto legale: le richieste di dati negli Stati Uniti

Nel 2016, un tribunale federale ha emesso una subpoena (citazione in giudizio) nei confronti di Signal, chiedendo informazioni su due numeri di telefono associati a un unico account. La richiesta mirava a ottenere dati di registrazione, data di creazione dell’account e l’ultimo accesso al servizio. Questo episodio ha evidenziato la vulnerabilità potenziale di molte piattaforme di messaggistica, le quali conservano metadati sufficienti da poter compromettere l’identità di una fonte.

Le autorità statunitensi, in particolare l’FBI e il Dipartimento di Giustizia, hanno una lunga storia di utilizzo di citazioni in giudizio per accedere a informazioni custodite da fornitori di servizi internet. Anche se la normativa prevede delle salvaguardie, come il Fourth Amendment, nella pratica le richieste vengono spesso accolte se la società ha conservato i dati richiesti.

Perché Signal si distingue

Signal è stato progettato con un principio fondamentale: minimizzazione dei dati. A differenza di altre app, Signal non conserva log di messaggi, né registra informazioni sui contatti o sui gruppi. L’unica informazione che può essere fornita in risposta a una subpoena è la data di registrazione dell’account e l’ultimo accesso al servizio, come dimostrato dal caso del 2016.

Questa limitazione deriva da una architettura tecnica basata su:

    • Crittografia end‑to‑end per tutti i messaggi, chiamate vocali e video.
    • Perfect Forward Secrecy (PFS), che genera nuove chiavi di sessione per ogni messaggio, rendendo impossibile decrittare comunicazioni passate anche se una chiave venisse compromessa.
    • Assenza di server di backup: i messaggi non sono archiviati sui server di Signal, ma solo sui dispositivi dei partecipanti.

Confronto con altre piattaforme

WhatsApp, pur offrendo crittografia end‑to‑end, conserva metadati estesi, tra cui data e ora dell'ultimo accesso, numeri di telefono associati e informazioni sui gruppi. Telegram, sebbene offra chat “secret” con crittografia, memorizza i messaggi nella cloud per le chat standard, rendendo possibile una richiesta di dati più completa.

Signal, al contrario, non registra i metadati di messaggi inviati o ricevuti, riducendo al minimo le informazioni che una autorità potrebbe ricavare da una subpoena.

Implicazioni per i giornalisti d'inchiesta

La protezione delle fonti è un principio etico e legale fondamentale per il giornalismo. In molti paesi, la legge prevede il diritto dei giornalisti a rifiutare di rivelare le identità delle fonti. Tuttavia, le pressioni legali possono spingere i giornalisti a utilizzare strumenti di comunicazione più sicuri.

Signal offre:

    • Anonimato quasi totale: l'uso di numeri temporanei o di servizi di telefonia virtuale riduce il rischio di tracciamento.
    • Verifica di sicurezza: il codice di sicurezza a 60 cifre consente di confermare che la conversazione non sia stata intercettata.
    • Facilità d'uso: interfaccia intuitiva e disponibilità su Android, iOS, desktop e web, senza richiedere configurazioni complesse.

Strategie pratiche per i giornalisti

Per massimizzare la protezione delle fonti, i giornalisti dovrebbero adottare le seguenti pratiche:

    • Creare un nuovo account Signal per ogni fonte, usando un numero di telefono temporaneo.
    • Abilitare le notifiche di verifica di sicurezza e confrontare i codici di sicurezza con la fonte in un incontro di persona.
    • Evitarе l’invio di documenti sensibili come allegati non crittografati; preferire l’invio di file tramite link temporanei con cifratura end‑to‑end.
    • Conservare i backup dei messaggi solo localmente, in forma crittografata, e cancellare regolarmente le conversazioni dopo la verifica dell’avvenuta ricezione.

Limitazioni e scenari di rischio

Nonostante le eccellenti caratteristiche di sicurezza, Signal non è immune a tutte le minacce. Il dispositivo dell’utente può essere compromesso da malware, spyware o attacchi fisici. Inoltre, la protezione dei dati dipende anche dalla buona prassi dell’utente nella gestione delle impostazioni di privacy e nella protezione del dispositivo con PIN o biometrici.

In scenari ad alta pericolosità, i giornalisti dovrebbero combinare Signal con ulteriori misure, come l’uso di VPN affidabili, sistemi operativi hardenizzati (ad esempio Qubes OS) e la cifratura di file sensibili prima della trasmissione.

Conclusioni

La citazione in giudizio di Signal nel 2016 ha dimostrato che, anche quando le autorità richiedono dati, la piattaforma può fornire solo informazioni marginali. Per i giornalisti che dipendono dalla riservatezza delle fonti, Signal rappresenta oggi lo strumento più affidabile, grazie alla sua architettura di minimizzazione dei dati e alla crittografia avanzata. Tuttavia, la sicurezza assoluta richiede un approccio multilivello: oltre a scegliere la piattaforma giusta, è fondamentale adottare pratiche di sicurezza digitale rigorose per proteggere sia le fonti sia il lavoro giornalistico.