Ricochet, se la conosci la ami. Specie se sei «malato per la privacy» e l’anonimato.
Ecco come verrebbe voglia di sintetizzare i motivi per cui utilizzare un’App come Ricochet, non ancora particolarmente diffusa tra noi ma che promette di stupire i suoi utenti per affidabilità e sicurezza. Tanto di più se paragonata ad App, invece, molto diffuse e che parrebbero offrire garanzie di privacy come WhatsApp – ma che, invece, come abbiamo visto qui, in realtà si comportano molto diversamente.
Che cos’è Ricochet? Cerchiamo di capirlo insieme, partendo proprio dal sito ufficiale.
Instant messaging anonimo per una vera privacy
Con Ricochet abbiamo a che fare con un servizio di comunicazione anonimo, cifrato, decentralizzato, che non lascia metadati e, nonostante le apparenze, facile da usare. Si tratta di un programma di messaggistica istantanea che unisce cifratura, anonimato e decentralizzazione, grazie alla risoluzione del problema della «scia di metadati». Il sistema – sviluppato da John Brooks, un programmatore americano, sostenuto da Invisible.im, una coalizione di attivisti ed esperti di sicurezza informatica di fama internazionale – esisteva sotto traccia già da tempo, ma fece il suo debutto ufficiale nel corso del Chaos Computer Congress, noto raduno hacker tenutosi a fine dicembre 2015 in Germania, ottenendo di fatto un primo riconoscimento pubblico.
Ricochet parte da un approccio diverso alla messaggistica istantanea: è pensato per chi non si fida di nessuno nella protezione della privacy. Quali in sintesi le sue caratteristiche principali?
- Eliminazione dei metadati. Nessuno sa chi sei, con chi parli o cosa dici;
- Mantenimento dell’anonimato. Condividi quello che vuoi, senza condividere la tua identità e posizione;
- «Nessuno nel mezzo». Non ci sono server da monitorare, censurare o hackerare;
- Sicurezza per impostazione predefinita. «La sicurezza», proclamano sul sito, «non è tale finché non è automatica e facile da usare».
Ricochet utilizza la rete Tor per raggiungere i tuoi contatti senza fare affidamento sui server di messaggistica. «Crea un servizio nascosto», si spiega sul sito, «utilizzato per il rendez-vous con i tuoi contatti senza rivelare la tua posizione o l’indirizzo IP».
Invece di un nome utente, ottieni un indirizzo univoco simile a «ricochet:rs7ce36jsj24ogfw». Che significa? Quando si scarica il client sul proprio PC, questo genera una chiave pubblica di 16 caratteri che corrisponde all’identità (ID) dell’utente. Quello è anche il suo indirizzo Ricochet. Altri utenti Ricochet possono utilizzare questo indirizzo per inviare una richiesta di contatto, chiedendo di essere aggiunti al tuo elenco di contatti. Puoi vedere quando i tuoi contatti sono online e inviare loro messaggi («e presto, file!», si affrettano ad aggiungere). L’elenco dei contatti è noto solo al tuo computer, mai esposto ai server o al monitoraggio del traffico di rete.
La crittografia utilizzata è, naturalmente, quella end-to-end: solo il destinatario previsto può decriptarlo e renderlo anonimo, quindi nessuno sa dove sta andando e da dove viene. «Per ulteriori informazioni», aggiungono, «puoi leggere su Tor e saperne di più sul design di Ricochet».
Occorre qui, infatti, capire bene che cosa sia la rete Tor. Prima, però cerchiamo di sintetizzare quanto sin qui esposto.
Eliminazione dei metadati – abbiamo detto riepilogando – anonimato, decentralizzazione senza ricorsi a server, rete Tor: che cosa comporta tutto ciò?
Il punto chiave sta proprio nell’eliminazione della scia di metadati. Dobbiamo ricordare che, infatti, ogni comunicazione digitale – email, messaggi, telefonate – lascia una serie di dati su mittente e destinatario, inclusi in genere dati della comunicazione, indirizzo IP e così via. Questo vale anche per comunicazioni cifrate. In Ricochet queste informazioni non esistono perché non esiste un server centralizzato che sia tramite della comunicazione. Ogni suo client si connette alla rete Tor e opera come un servizio nascosto della stessa. Cosa vuol dire? La rete Tor permette sia di navigare in modo anonimo sia di creare siti o servizi – ad esempio un server di instant messaging – mantenendo nascosta la propria localizzazione. Questi ultimi si chiamano servizi nascosti (hidden services). Ogni utente Ricochet, attraverso il software, crea un suo servizio nascosto. I vari «utenti-servizi nascosti» comunicano poi fra di loro in modo anonimo e cifrato usando ovviamente la rete Tor, attraverso dei luoghi intermedi di incontro (in gergo, come già abbiamo visto, rendezvous points). Ciò rende molto difficile per chiunque indovinare l’identità di qualcuno da un indirizzo o ID.
Come si vede, dunque, torniamo a parlare della rete Tor: questo è il vero punto centrale, per comprendere i plus di un’App come Ricochet. Non a caso, il modello cui ci s’ispira è TorChat,un analogo sistema di messaggistica decentralizzato che però non è più mantenuto e ormai è poco usato. Si tratta poi di un’App più facile a usarsi di quanto possa sembrare dagli apparenti tecnicismi: rispetto ad altri sistemi d’instant messaging, Ricochet colpisce, infatti, per l’usabilità. Data la centralità della rete Tor nel caso presente, però, vale la pena cercare di capire insieme che cosa questa sia nello specifico, per comprendere sino in fondo le potenzialità dell’App.
Che cos’è Tor
La rete Tor, come si legge sul sito ufficiale, è composto da un gruppo di server operativi volontari che consente alle persone di migliorare la propria privacy e sicurezza su Internet. Gli utenti di Tor utilizzano questa rete collegandosi attraverso una serie di tunnel virtuali anziché effettuare una connessione diretta, consentendo così sia alle organizzazioni che agli individui di condividere le informazioni sulle reti pubbliche senza compromettere la loro privacy. Sulla stessa linea, «Tor è un efficace strumento di elusione della censura, che consente agli utenti di raggiungere destinazioni o contenuti altrimenti bloccati», spiegano. «Tor può anche essere utilizzato come elemento di base per gli sviluppatori di software per creare nuovi strumenti di comunicazione con funzionalità di privacy incorporate».
Perché il successo di Tor? Gli individui lo usano per impedire ai siti Web di rintracciare loro e i loro familiari, o di connettersi a siti di notizie, servizi di messaggistica istantanea o simili quando questi vengono bloccati dai loro provider Internet locali. I servizi Onion di Tor – «Servizi nascosti», servizi cioè come i siti web cui è possibile accedere solo attraverso la rete Tor – consentono agli utenti di pubblicare siti Web e altri servizi senza dover rivelare la posizione del sito. Gli individui usano anche Tor per le comunicazioni socialmente sensibili, come chat room e forum web per sopravvissuti a stupri e abusi o persone con malattie.
Largo uso ne fanno anche i giornalisti, che utilizzano Tor per comunicare in modo più sicuro con gli informatori e i dissidenti. Anche le organizzazioni non governative (ONG) vi ricorrono per consentire ai propri dipendenti di connettersi al proprio sito Web di residenza mentre si trovano in un Paese straniero, senza informare le persone vicine che lavorano con tale organizzazione.
«Gruppi come Indymedia», continuano, «raccomandano a Tor di salvaguardare la privacy e la sicurezza online dei propri membri. Gruppi di attivisti come Electronic Frontier Foundation (EFF) raccomandano Tor come meccanismo per mantenere le libertà civili online. Le società usano Tor come un modo sicuro per condurre analisi competitive e per proteggere i modelli di acquisizione sensibili dagli intercettatori. Lo usano anche per sostituire le VPN tradizionali, che rivelano l’esatta quantità e i tempi della comunicazione».
Altro esempio è quello della Marina USA: un ramo di questa utilizza Tor per raccogliere informazioni sull’intelligence open source. Uno dei suoi team ha usato Tor mentre era schierato in Medio Oriente. Le forze dell’ordine utilizzano Tor per visitare o sorvegliare siti Web senza lasciare indirizzi IP governativi nei loro log web.
La varietà di persone che usano Tor è in realtà parte di ciò che lo rende così sicuro. Tor ti nasconde tra gli altri utenti della rete, quindi più è popolata e diversificata la base utenti di Tor, più il tuo anonimato sarà protetto.
«Perché abbiamo bisogno di Tor»
Perché dovremmo utilizzare Tor? Sempre secondo il sito ufficiale, l’utilizzo di Tor ti protegge da quella forma di sorveglianza su Internet nota come «analisi del traffico», che può essere utilizzata per dedurre chi sta connettendosi con chi su una rete pubblica. Conoscere la fonte e la destinazione del tuo traffico Internet consente ad altri di tenere traccia del tuo comportamento e dei tuoi interessi. «Ciò può persino minacciare il tuo lavoro e la sicurezza fisica rivelando chi sei e dove sei», aggiungono. «Ad esempio, se viaggi all’estero e ti colleghi ai computer del tuo datore di lavoro per controllare o inviare posta, puoi inavvertitamente rivelare la tua origine nazionale e la tua affiliazione professionale a chiunque osservi la rete, anche se la connessione è crittografata».
Vale la pena ricordare come funziona l’analisi del traffico, anche se ormai non si parla d’altro. I pacchetti di dati Internet, infatti, hanno due parti: un carico utile dati e un’intestazione utilizzata per il routing. «Il carico utile dei dati è qualsiasi cosa venga inviata, sia che si tratti di un messaggio di posta elettronica, di una pagina Web o di un file audio. Anche se i dati sono crittografati», attenzione, «l’analisi del traffico rivela ancora molto su ciò che state facendo e, eventualmente, su ciò che state dicendo. Questo perché si concentra sull’intestazione, che rivela origine, destinazione, dimensione, tempistica e così via».
Ci sono, però, anche tipi più potenti di analisi del traffico. Alcuni malintenzionati spiano su più parti di Internet e utilizzano sofisticate tecniche statistiche per tracciare i modelli di comunicazione di molte organizzazioni e individui diversi. La crittografia non aiuta contro questi aggressori, poiché nasconde solo il contenuto del traffico Internet, non le intestazioni.
La soluzione: un network anonimo, distribuito, decentralizzato
Tor aiuta a ridurre i rischi di analisi del traffico sia semplici sia sofisticate, distribuendo le transazioni su più punti su Internet: nessun singolo punto può collegarti alla tua destinazione. L’idea è simile all’utilizzo di un percorso tortuoso, difficile da seguire per «depistare chi ti pedina – e quindi cancellare periodicamente le tue impronte». Con una metafora, potremmo dire che, anziché prendere una rotta diretta dalla sorgente alla destinazione, i pacchetti di dati sulla rete Tor prendono un percorso casuale attraverso diversi sentieri random che coprono le tracce, in modo che nessun osservatore in un singolo punto possa dire da dove provengono i dati o dove si sta andando.
Per creare un percorso di rete privata con Tor, il software o il client dell’utente realizza in modo incrementale un circuito di connessioni crittografate tramite i punti di passaggio informazioni sulla rete. Il circuito è esteso volta per volta e ciascun punto lungo il percorso conosce solo quello che ha fornito i dati e il punto cui sta dando i dati. Nessun singolo punto conosce mai il percorso completo che un pacchetto di dati ha preso. Una volta stabilito un circuito, possono essere scambiati molti tipi di dati e diverse tipologie di applicazioni software possono essere distribuiti sulla rete Tor.
Per efficienza, il software Tor utilizza lo stesso circuito per le connessioni che avvengono entro gli stessi dieci minuti circa. Più tardi le richieste ricevono un nuovo circuito, per impedire alle persone di collegare le azioni precedenti a quelle nuove.
Tor, naturalmente, non può risolvere tutti i problemi di anonimato. Si concentra solo sulla protezione del trasporto dei dati. È necessario utilizzare un software di supporto specifico del protocollo se non si desidera che i siti visitati visualizzino le informazioni d’identificazione. Ad esempio, puoi utilizzare Tor Browser mentre navighi sul Web per nascondere alcune informazioni sulla configurazione del tuo computer.
Ricochet e Tor
Ecco perché la parola chiave per capire le potenzialità dell’App si riassumono nelle due parole «rete Tor» e si fa un passo avanti rispetto alla «semplice» crittografia end-to-end, che da sola non basta a garantire il massimo della sicurezza e della privacy, proteggendo il carico di dati ma non la questione intestazioni. Le quattro caratteristiche sopra richiamate in sintesi per comprendere l’efficacia di Ricochet – anonimato, decentralizzazione, cifratura e, soprattutto, risoluzione del problema della «scia di metadati» – trovano tutte le loro radici nel sistema della rete Tor, usata da Ricochet senza bisogno di far riferimento a nessun server.
Tuttavia neppure Ricochet è la panacea di ogni male o pericolo. Anche sul sito, infatti, avvisano: «Stai attento. Ricochet è un esperimento. La sicurezza e l’anonimato sono argomenti difficili, e dovresti valutare attentamente i rischi e l’esposizione con qualsiasi software». Concludono rassicurando: «Stiamo lavorando per l’auditing, la revisione e il miglioramento continuo di Ricochet (e ci piacerebbe avere più aiuto)». Ancora però, data la loro vera mission della privacy, ricordano: «Speriamo di fare meglio della maggior parte, ma per favore, non rischiare la tua sicurezza più del necessario».
