Molti pensano "se WhatsApp cifra, sono al sicuro". Non e' cosi': i metadati (chi ti scrive, a che ora, per quanto, la tua posizione, i tuoi gruppi) rivelano piu' del contenuto dei messaggi. Signal e Session cambiano proprio questo aspetto.
1. Cosa cifra WhatsApp e cosa no
| Dato | Signal | Session | |
|---|---|---|---|
| Contenuto messaggio | ✅ E2EE | ✅ E2EE | ✅ E2EE |
| Chi scrive a chi | ❌ Meta lo sa | ✅ nascosto | ✅ nascosto |
| Numero di telefono | Richiesto | Richiesto | Non richiesto |
| Rubrica caricata | Si' | Solo hash | Non caricata |
| Backup cloud | Non cifrato di default | Locale cifrato | Solo locale |
| Server centralizzato | Meta | Signal Foundation | Rete decentralizzata |
2. Signal: la scelta ragionevole per chiunque
- Open source (auditato)
- Protocollo Double Ratchet - gold standard (usato ANCHE da WhatsApp che l'ha licenziato)
- Sparizione messaggi (timer da 5 sec a settimane)
- Chiamate audio/video cifrate
- Stickers, GIF, allegati fino a 100 MB
- App desktop (Win/Mac/Linux)
- Sponsorizzata da Signal Foundation, non profit, finanziata da Brian Acton (ex-WhatsApp)
3. Setup Signal in 3 minuti
- Play/App Store: cerca "Signal Private Messenger"
- Inserisci numero, ricevi SMS con codice, conferma
- Backup di ripristino (24 parole): SCRIVILE su carta, non foto
- Chi hai in rubrica che gia' usa Signal appare automaticamente
4. Impostazioni consigliate
Privacy > Blocca schermata: PIN o biometria
Privacy > Numero di telefono: chi lo puo' vedere > "Nessuno"
Privacy > Nome utente: crea uno (@tuo_nickname) per farsi trovare senza dare il numero
Privacy > Screenshot: blocca (nemmeno tu puoi screenshottare le tue chat)
Chat > Messaggi che si eliminano di default: 1 settimana5. Sealed sender: Signal non sa nemmeno chi ti scrive
Feature attiva di default. Il server di Signal riceve messaggi cifrati con destinatario e mittente cifrati (con la chiave del destinatario). Il server "consegna al bidone", non sa a chi. Solo il destinatario, decifrando, scopre chi glielo ha mandato.
6. Session: quando anche il numero e' troppo
Se non vuoi dare il tuo numero (giornalista, dissidente, testimone, o solo paranoico), Session e' il passo successivo:
- Nessun numero: identita' = 66 caratteri random (Session ID)
- Routing multi-hop tipo Tor (Lokinet)
- Nessun server centrale: rete decentralizzata di ~1500 nodi
- Nessuna raccolta metadati (nemmeno IP)
7. Setup Session
- Scarica da getsession.org o F-Droid
- "Create Account" > scrive un Session ID (66 caratteri random)
- Salva la Recovery Phrase (13 parole): l'UNICA cosa che ti permette di riprendere l'identita' su un altro device
- Condividi il Session ID con chi vuoi (via SMS/email/carta/QR)
8. Confronto pratico d'uso
- Signal: veloce come WhatsApp, notifiche pushed via Google/Apple (piccola dipendenza). Ideale per uso quotidiano.
- Session: piu' lento (routing multi-hop), no chiamate video (solo audio recentemente aggiunte), no rubrica automatica. Ideale se hai bisogno di NON far sapere chi sei.
9. Errori da evitare
- Backup su cloud non protetto: Signal fa backup locale con passphrase. Non attivare backup Google Drive/iCloud se cambi telefono senza cifratura extra
- Non verificare la safety number: due utenti Signal dovrebbero (una volta) confrontare i 60 caratteri di safety number nella chat. Se combaciano, la conversazione e' garantita end-to-end (no man-in-the-middle possibile)
- Screenshot delle chat sensibili: metti timer di sparizione E disattiva backup fotografico che finisce automaticamente su cloud
10. Metadata analysis: perche' conta
Se qualcuno sa che tu chiami tutte le sere alle 22:30 per 20 minuti un numero associato a una linea telefonica di crisi psicologica, la storia si racconta da sola. Il contenuto della telefonata e' irrilevante. Signal minimizza; WhatsApp raccoglie tutto e lo condivide con Meta.