Crittografia on Arpokrat

Messaggistica cifrata a confronto 2026: la crittografia non basta più

Thu, 10 Sep 2026 00:00:00 +0000

Aprite WhatsApp, Telegram, Signal, Messenger, Google Messages. Tutte queste applicazioni mostrano oggi la stessa promessa da qualche parte nella loro interfaccia: crittografia end-to-end. La formula è diventata un argomento commerciale standard, esattamente come il «senza vincoli» di un operatore telefonico. Non distingue più nulla, proprio perché è diventata vera quasi ovunque.

Eppure queste applicazioni non si somigliano affatto. Una esige il vostro numero di telefono e consegna alla giustizia l’elenco delle persone che vi hanno in rubrica. Un’altra non sa letteralmente nulla di voi, nemmeno che esiste un account. Tra le due, una quindicina di progetti compiono scelte molto diverse, e nessuno le spiega con chiarezza sulla propria pagina iniziale.

La crittografia end-to-end significa che il contenuto dei vostri messaggi è illeggibile per l’intermediario che li trasporta. È una conquista importante, e sarebbe assurdo sminuirla. Ma non dice nulla su ciò che quello stesso intermediario apprende al di fuori del contenuto: che avete scritto, a chi, a che ora, da quale indirizzo IP, con quale frequenza, in quali gruppi, con quale numero di telefono legato alla vostra identità anagrafica.

La crittografia protegge ciò che dite. Non protegge il fatto che lo abbiate detto, né a chi, né quando, né da dove.

Questo articolo non stila una classifica. Non esiste la migliore app di messaggistica in assoluto, perché non esiste un avversario generico. Ciò che questo dossier propone è anzitutto una griglia di sette criteri che permette di giudicare qualsiasi applicazione, comprese quelle che ancora non esistono, poi una scheda onesta per ciascuna delle quattordici applicazioni selezionate, e infine raccomandazioni in base al profilo di minaccia. Ogni scheda contiene una sezione dedicata a ciò che l’applicazione non protegge, senza eccezioni, compresa la nostra.

Indice

I sette criteri che sostituiscono la crittografia

Questa sezione è la più importante dell’articolo. Se ne leggete una sola, leggete questa: vi permetterà di giudicare da soli qualsiasi app di messaggistica, comprese quelle che usciranno dopo la pubblicazione di questo testo.

La crittografia end-to-end, una conquista che non distingue più

Il protocollo Signal, pubblicato nel 2013 e da allora analizzato formalmente da ricercatori di crittografia, è diventato lo standard di fatto. WhatsApp lo usa dal 2016, Google Messages lo usa, Messenger lo usa. Il dibattito crittografico è in larga parte chiuso per il contenuto delle conversazioni a due.

Le domande che restano utili non riguardano più la presenza della crittografia ma le sue modalità. È attiva per impostazione predefinita o bisogna chiederla? Copre i gruppi o solo gli scambi a due? Copre i backup, oppure questi finiscono in chiaro da Google e da Apple? Esiste una riservatezza persistente, ossia una rotazione regolare delle chiavi che garantisca che la compromissione di una chiave oggi non dia accesso ai messaggi di ieri?

Queste domande distinguono ancora. La presenza della parola «cifrato» su una pagina di marketing, no.

I metadati, ciò che il servizio sa senza leggere i vostri messaggi

Nel maggio 2014, durante un dibattito pubblico alla Johns Hopkins University davanti al giurista David Cole, l’ex direttore della NSA e della CIA Michael Hayden pronunciò una frase diventata celebre. Cole aveva appena citato l’ex consulente giuridico della NSA Stewart Baker, secondo cui «i metadati vi dicono assolutamente tutto della vita di qualcuno, e se ne avete abbastanza non vi serve davvero il contenuto». Hayden rispose, approvando: «Uccidiamo persone sulla base dei metadati.» Aggiunse subito che non era ciò che facevano i programmi statunitensi di raccolta interna, precisazione che va restituita per onestà. Non cambia l’essenziale: il più alto responsabile dell’intelligence statunitense ha confermato pubblicamente che i metadati bastano per decisioni letali.

Un metadato, in una app di messaggistica, è tutto ciò che non è il contenuto: chi scrive a chi, a che ora, da quale indirizzo IP, con quale frequenza, in quali gruppi, con quale dimensione di file. Ricostruire un legame tra un giornalista e una fonte non richiede di leggere i loro scambi. Basta constatare che hanno cominciato a scriversi tre giorni prima della pubblicazione di un’inchiesta. Lo stesso ragionamento vale per un avvocato e il suo cliente, un medico e il suo paziente, un dipendente e un sindacato, due persone che non desiderano che la loro relazione sia conosciuta.

Un servizio può dunque essere irreprensibile sulla crittografia del contenuto e perfettamente trasparente su tutto il resto. È anzi la situazione più diffusa. Abbiamo spiegato altrove come lo stesso ragionamento si applichi ad altri segnali passivi del quotidiano, in particolare nel nostro articolo sulla geolocalizzazione permanente del telefono e nella nostra analisi del sistema SignalTrace di Leonardo, che ricostruisce percorsi e relazioni a partire dai soli identificativi Bluetooth captati di passaggio.

Buona domanda da porre a qualsiasi editore: che cosa resta sui vostri server se un giudice ve li sequestra domani mattina?

L’identificativo richiesto, un numero, un indirizzo o nulla

È il criterio più concreto e il più sottovalutato. Coesistono tre modelli.

Il numero di telefono. Nella maggior parte dei paesi è collegato a un documento di identità. È unico, duraturo, ed è già presente nella rubrica di centinaia di persone. Esigere un numero significa legare ogni account a un’identità anagrafica e rendere banale la scoperta del grafo sociale: basta confrontare le rubriche. Il numero è anche il ben noto punto debole dell’autenticazione, come abbiamo mostrato nel nostro articolo sulla autenticazione a due fattori via SMS: un SIM swap riuscito non ruba solo un codice, ruba un’identità di messaggistica.

L’indirizzo e-mail o un identificativo casuale. Meglio, perché un indirizzo usa e getta costa qualche secondo e un identificativo casuale non dice nulla. Resta però un identificativo duraturo lato server, quindi un appiglio per correlare sessioni nel tempo.

Nessun identificativo. È il modello più recente e più raro. Non esiste alcun account, nessun elenco, nessun indirizzo permanente. Esistete come un insieme di chiavi crittografiche sul vostro dispositivo, e vi si raggiunge tramite un link di invito monouso. Nulla da inserire, nulla da far trapelare, nulla da correlare.

Open source e audit indipendente, due nozioni da smettere di confondere

Sono due cose diverse e bisogna smettere di presentarle insieme.

Open source significa che il codice è leggibile. È una condizione necessaria della fiducia, non una prova di sicurezza. Nessuno legge il codice, salvo per caso. Falle gravi sono sopravvissute per anni in progetti liberi molto osservati.

Audit indipendente significa che un terzo pagato per cercare falle le ha cercate e ha pubblicato ciò che ha trovato. È infinitamente più forte, ed è infinitamente più raro, perché costa caro.

Poi bisogna distinguere due nature di audit. Una revisione della progettazione crittografica esamina se il protocollo è ben concepito sulla carta. Un audit di implementazione esamina se il codice fa davvero ciò che il protocollo dichiara. Entrambi sono utili, non provano la stessa cosa, e un progetto può avere il primo senza il secondo.

Il caso Threema illustra alla perfezione l’utilità di questo approccio. Nel 2022, tre ricercatori del Politecnico di Zurigo hanno trovato sette attacchi contro il suo protocollo, su tre modelli di minaccia diversi, e li hanno comunicati all’editore. Threema ha risposto con un nuovo protocollo, Ibex, pubblicato a fine novembre 2022. Un’applicazione chiusa e non sottoposta ad audit non avrebbe mai conosciuto questo episodio, il che non avrebbe significato che fosse più sicura.

La giurisdizione e il CLOUD Act

Il luogo di stabilimento di un’impresa determina quali governi possono costringerla. È un criterio giuridico, non tecnico, ed è decisivo.

Il CLOUD Act, approvato negli Stati Uniti nel 2018, risolve una questione sollevata dal caso Microsoft Ireland: un’impresa statunitense può rifiutarsi di consegnare messaggi di posta conservati su un server irlandese? La risposta del legislatore è no. Il testo impone ai fornitori sotto giurisdizione statunitense di comunicare i dati che controllano, indipendentemente dal luogo di conservazione. Un server a Francoforte gestito da una società statunitense resta raggiungibile da una richiesta statunitense. Il fornitore può opporsi se la domanda confligge con il diritto straniero, ma l’opposizione è una procedura, non uno scudo.

La conseguenza pratica è semplice: ospitare in Europa non basta se l’hoster, la società madre o la holding rientrano nel diritto statunitense. La domanda da porre non è «dove sono i vostri server» ma «chi può obbligarvi legalmente, e su quale base».

Vanno aggiunte due sfumature. Anzitutto, una giurisdizione protettiva non serve a nulla se il servizio detiene comunque dati sfruttabili: la migliore difesa resta non avere nulla da consegnare. Poi, una giurisdizione ostile non condanna un servizio che, strutturalmente, non sa nulla. Signal è statunitense e non ha mai potuto consegnare altro che due marcature temporali.

La continuità del progetto, il criterio che nessuno guarda

Una app di messaggistica ottimamente concepita che sparisce in diciotto mesi vi lascia con una rubrica inutilizzabile e, spesso, uno storico perduto. Questo criterio non compare mai nei confronti. Il 2026 lo ha reso ineludibile.

Nell aprile 2026 la Session Technology Foundation ha annunciato pubblicamente di aver raccolto solo circa 65 000 dollari di donazioni, di aver bisogno di circa un milione di dollari all’anno per funzionare, e che la sua liquidità non sarebbe durata oltre luglio. Tutto il personale è stato licenziato e lo sviluppo si è fermato. Session conta più di un milione di utenti attivi mensili. A giugno la fondazione ha annunciato che il progetto era stato salvato da donazioni di migliaia di utenti, per lo più di piccolo importo, e che ripartiva con una squadra di tre sviluppatori guidata dall’architetto software Jason Rhinelander.

Tre settimane dopo, il 9 luglio 2026, il progetto Briar pubblicava un messaggio analogo: dopo aver valutato la chiusura, passa in modalità manutenzione, ossia solo correzioni di sicurezza e di bug, senza sviluppo di nuove funzionalità, per mancanza di finanziamento stabile.

Due progetti emblematici, due modelli economici diversi, lo stesso anno, lo stesso vicolo cieco. La domanda da porsi prima di adottare una app di messaggistica è dunque diventata: chi paga, quanto e per quanto tempo? Una fondazione che vive di donazioni, un’impresa che vende licenze, un progetto universitario sovvenzionato e un software comunitario volontario non hanno la stessa aspettativa di vita, e questo non ha nulla a che vedere con la qualità della loro crittografia.

La praticità, un criterio di sicurezza a pieno titolo

Quest’ultimo criterio è spesso trattato con disprezzo dai puristi. È un errore.

Una app di messaggistica che i vostri interlocutori si rifiutano di installare non protegge nessuno, perché la conversazione avverrà altrove, in chiaro. Una app le cui notifiche non arrivano spinge i suoi utenti a tornare su WhatsApp per gli scambi urgenti. Una app che esige che entrambe le persone siano connesse nello stesso istante non è adatta a una corrispondenza ordinaria tra due fusi orari.

La sicurezza reale di un sistema è quella del suo uso reale, non quella della sua scheda tecnica. Un modello un po’ meno puro che i vostri contatti usano davvero protegge più di un modello perfetto che siete i soli a usare.

Le app di messaggistica di massa

WhatsApp è la app di messaggistica più usata al mondo. Appartiene a Meta, è gratuita, e il suo modello economico poggia sull’ecosistema pubblicitario del gruppo e sui servizi alle imprese.

Che cosa protegge davvero. Il contenuto dei messaggi, con il protocollo Signal, dal 2016. Questa implementazione è seria e va detto chiaramente: il contenuto delle vostre conversazioni WhatsApp non è leggibile da Meta. I backup cifrati end-to-end esistono e meritano di essere attivati, perché non lo sono per impostazione predefinita. L’applicazione è estremamente affidabile, disponibile ovunque, e i vostri contatti ce l’hanno già.

Che cosa non protegge. Tutto il resto. Su semplice richiesta, Meta comunica i dati dell’abbonato: nome dell’account, data di creazione, ultima connessione, indirizzo IP, indirizzo e-mail. Su mandato di perquisizione, l’azienda fornisce la rubrica della persona presa di mira, e anche l’elenco degli altri utenti WhatsApp che hanno quella persona nei propri contatti. In altre parole, il grafo sociale è consegnabile nei due sensi. I metadati conservati includono le marcature temporali, gli identificativi di mittente e destinatario, gli stati di consegna, la composizione dei gruppi e le sue modifiche. Secondo un documento dell’FBI reso pubblico, WhatsApp è in grado di produrre determinati metadati di un utente preso di mira ogni quindici minuti nell’ambito di una sorveglianza in tempo reale. Infine, il numero di telefono è obbligatorio, e Meta rientra nel CLOUD Act.

Per chi è fatta. Per tutti, come canale di comunicazione ordinario di cui si accetta che il grafo relazionale sia noto a Meta e comunicabile a un’autorità giudiziaria.

Telegram viene spesso collocata tra le app di messaggistica sicure. È un equivoco da chiarire senza aggressività, perché Telegram è eccellente in ciò che fa davvero.

Che cosa protegge davvero. Nulla più di un servizio online classico, per l’uso corrente. Le conversazioni ordinarie, dette chat cloud, sono cifrate tra il client e il server, poi conservate cifrate lato Telegram, che detiene i mezzi per leggerle. La crittografia end-to-end è disponibile solo nelle chat segrete, che non sono attive per impostazione predefinita, sono limitate agli scambi a due, restano legate al dispositivo di origine e non si sincronizzano. Ciò che Telegram fa in modo eccellente, invece, è il gruppo di massa, il canale di diffusione, la condivisione di file voluminosi e la presenza multi-dispositivo. È una formidabile rete di pubblicazione, ed è così che va giudicata.

Che cosa non protegge. Il contenuto delle conversazioni ordinarie di fronte all’editore, il numero di telefono, l’indirizzo IP. La posizione dell’azienda è cambiata nel settembre 2024, dopo l’arresto di Pavel Durov in Francia: Telegram comunica ormai i numeri e gli indirizzi IP degli utenti segnalati, in risposta a richieste legali valide, mentre l’impegno precedente limitava queste trasmissioni ai casi di terrorismo. Le cifre pubblicate per il 2024 traducono il cambio di scala: circa 900 richieste soddisfatte negli Stati Uniti per 2253 utenti, 14 641 in India per 23 535 utenti, 142 nel Regno Unito. Il gruppo è inoltre registrato nelle Isole Vergini Britanniche e diretto da Dubai, una struttura la cui opacità è di per sé un dato di analisi.

Per chi è fatta. Per la diffusione pubblica, le comunità ampie, il monitoraggio. Non per una conversazione che debba restare riservata di fronte all’editore.

Lo standard di fatto

Signal

Signal è il riferimento, e questo articolo la tratta come tale. È edita dalla Signal Foundation, un’organizzazione senza scopo di lucro statunitense finanziata da donazioni e da una dotazione iniziale di Brian Acton.

Che cosa protegge davvero. Il contenuto, con il protocollo che ha inventato e che serve da riferimento al settore. Ma soprattutto, ed è ciò che la distingue, il resto: scoperta riservata dei contatti, mittente sigillato, minimizzazione sistematica dei dati conservati. La prova non è dichiarativa, è giudiziaria. Signal pubblica le sue risposte alle richieste su una pagina dedicata, e queste risposte si somigliano tutte: l’organizzazione può fornire soltanto la marcatura temporale di creazione dell’account e la data dell’ultima connessione. In un procedimento davanti al tribunale del Distretto di Columbia, la giustizia ha chiesto le informazioni sull’abbonato per trentasette numeri di telefono. La risposta è stata la stessa. È l’unico storico pubblico di resistenza alle richieste di questa qualità in tutto il confronto, e vale più di qualsiasi promessa di marketing.

Che cosa non protegge. Il numero di telefono resta obbligatorio all’iscrizione nel 2026. I nomi utente, introdotti nel 2024, permettono di non comunicare più il proprio numero ai contatti, il che è un progresso reale, ma non eliminano il requisito alla creazione dell’account. Lavori pubblici indicano che Signal sta studiando un’iscrizione senza numero, forse abbinata a un pagamento una tantum per limitare gli abusi, ma al momento in cui scriviamo non è disponibile. Signal rientra inoltre nel diritto statunitense, quindi nel CLOUD Act: la protezione non viene dalla giurisdizione, viene dal fatto che non c’è nulla da consegnare. Infine, l’infrastruttura è centralizzata e l’ecosistema è chiuso ai client di terze parti, punto sul quale torniamo più avanti.

Per chi è fatta. Per praticamente tutti. È il miglior rapporto tra protezione e adozione reale sul mercato, ed è la raccomandazione predefinita quando il numero di telefono non è un problema nel vostro modello di minaccia.

Molly

Molly è un fork irrobustito di Signal per Android. Non cambia né il protocollo, né la rete, né il modello di identificativo: irrobustisce il client.

Che cosa protegge davvero. Ciò che Signal non protegge lato dispositivo. Molly cifra la base dati locale dietro una frase segreta, il che blocca l’intera applicazione, e cancella la memoria viva con dati casuali al blocco, per resistere a un’analisi forense dopo un sequestro. Permette anche di instradare il traffico attraverso un proxy SOCKS o Tor. Una variante Molly-FOSS elimina i componenti proprietari di Google. Tutte cose che il client ufficiale non fa.

Che cosa non protegge. Tutto ciò che riguarda il server. Molly usa i server di Signal, esige quindi un numero di telefono ed eredita esattamente lo stesso profilo di metadati e la stessa giurisdizione. Esiste solo su Android. E funziona sulla rete di Signal con la tolleranza della fondazione, non con la sua autorizzazione formale, cosa rimasta senza incidenti da anni.

Per chi è fatto. Per un utente di Signal su Android il cui modello di minaccia include il sequestro fisico del telefono: giornalista in viaggio, attivista, avvocato che attraversa una frontiera.

Le app senza numero di telefono

Session

Session ha fatto una scommessa radicale: eliminare il numero e l’e-mail. All iscrizione, l’applicazione genera un identificativo di account casuale, e non viene chiesto nient altro. Il progetto è portato avanti dalla Session Technology Foundation, una fondazione di diritto svizzero.

Che cosa protegge davvero. L’identità all’iscrizione, e l’indirizzo IP. I messaggi transitano per una rete decentralizzata di nodi con instradamento a cipolla, in modo che nessun server conosca insieme origine e destinazione. Il codice dei client Android, iOS e desktop è stato oggetto di un audit pubblicato dalla società francese Quarkslab, che ha rilevato sette problemi su Android, sette su iOS e due sul client desktop, in gran parte poi corretti. L’applicazione è disponibile su tutte le piattaforme e somiglia a una app di messaggistica ordinaria, il che non è poco in questa categoria.

Che cosa non protegge. Session ha rimosso la riservatezza persistente nel 2021, invocando problemi di stabilità con la sua architettura decentralizzata. In concreto, la compromissione di una chiave di lunga durata espone i messaggi passati. La fondazione ha annunciato nel dicembre 2025 un protocollo V2 che reintroduce la riservatezza persistente e aggiunge uno scambio di chiavi post-quantistico basato su ML-KEM, ma quel protocollo non era finalizzato al momento in cui scriviamo. E soprattutto, il criterio della continuità pesa molto qui: il progetto è passato a qualche settimana dalla chiusura nel 2026 e funziona ormai con tre sviluppatori per più di un milione di utenti.

Per chi è fatta. Per chi vuole fare a meno del numero di telefono senza cambiare le proprie abitudini di utilizzo, e accetta l’assenza attuale di riservatezza persistente.

Threema

Threema è un’impresa svizzera che vende la propria applicazione. È il solo attore a pagamento di questo confronto, ed è precisamente ciò che rende leggibile il suo modello.

Che cosa protegge davvero. L’identità e la giurisdizione. All installazione, l’applicazione genera un Threema ID casuale. Il numero di telefono e l’indirizzo e-mail sono facoltativi e servono solo per essere ritrovati dai propri contatti, cosa che nulla obbliga ad attivare. I server appartengono all’azienda e si trovano in un centro dati certificato ISO 27001 a Zurigo, sotto diritto svizzero, fuori dal CLOUD Act. Il codice sorgente è pubblicato e le compilazioni riproducibili sono disponibili su Android, il che permette di verificare che l’applicazione distribuita corrisponda al codice. Threema ha fatto sottoporre ad audit le proprie applicazioni mobili da Cure53 nell’ottobre 2020, poi la propria applicazione desktop nel gennaio 2024. Il protocollo Ibex, adottato a fine 2022, è stato oggetto di una prova di sicurezza formale pubblicata da ricercatori tedeschi nel 2023.

Che cosa non protegge. Il prezzo, circa sei euro in acquisto unico, è un ostacolo reale all’adozione da parte dei vostri cari, ed è il principale freno pratico. L’episodio del Politecnico di Zurigo del 2022 ricorda inoltre che anche un attore serio può avere un protocollo vulnerabile per anni: sette attacchi trovati, un protocollo interamente rifatto. Infine, l’identificativo Threema resta un identificativo duraturo lato server, il che non è il modello senza alcun identificativo.

Per chi è fatta. Per un’impresa europea, uno studio professionale, un’amministrazione, o un privato che preferisce pagare un prodotto piuttosto che dipendere da donazioni, e che vuole una giurisdizione svizzera chiara.

Wire

Wire ha molto cambiato natura. Nata come app di messaggistica di massa, si è riposizionata sulle organizzazioni, le imprese e il settore pubblico.

Che cosa protegge davvero. Il contenuto, con il protocollo Proteus e poi con MLS, lo standard di messaggistica di gruppo dell’IETF di cui Wire è stata una delle prime implementatrici serie. L’iscrizione avviene via e-mail, il che evita il numero di telefono. Gli audit sono pubblici: Kudelski Security e X41 D-Sec hanno pubblicato una revisione dell’implementazione del protocollo nel 2017, poi audit applicativi dei client iOS, Android e web nel 2018.

Che cosa non protegge. I metadati, che Wire conserva in chiaro lato server, un punto che l’editore non ha mai nascosto e che è stato regolarmente criticato. Anche la struttura giuridica è complessa: le operazioni fanno capo a Wire Swiss GmbH in Svizzera, la holding del gruppo ha sede a Berlino e l’editore afferma che oltre il 90 % del capitale è detenuto da investitori istituzionali europei, ma un’entità statunitense è stata creata nel Delaware nel 2019. Questa complessità merita di essere compresa prima di scegliere Wire per un uso sensibile.

Per chi è fatta. Per un’organizzazione che ha bisogno di collaborazione cifrata conforme, con supporto commerciale e amministrazione centralizzata, più che per un individuo in cerca di anonimato.

Element e il protocollo Matrix

Element è il client principale di Matrix, un protocollo aperto e federato. Il modello è diverso da tutti gli altri di questo confronto: chiunque può ospitare il proprio server, e i server comunicano tra loro come fanno i server di posta elettronica.

Che cosa protegge davvero. L’autonomia. Un’organizzazione può ospitare il proprio server, controllare la propria infrastruttura, non dipendere da alcun editore e restare raggiungibile dal resto della rete. È il solo modello di questo confronto che offre questa combinazione, ed è la ragione per cui diverse amministrazioni europee lo hanno scelto. La crittografia end-to-end dei messaggi è presente.

Che cosa non protegge. I metadati, ed è strutturale. L’amministratore del vostro server vede chi parla con chi, quando, e in quali stanze. I metadati di stanza, nome, argomento e altri eventi di stato, sono conservati in chiaro sul server. Element lavora alla cifratura di questi eventi di stato, ma la funzionalità era ancora sperimentale e riservata alle opzioni di laboratorio nel settembre 2025. La federazione aggrava il problema: lo storico di una stanza è replicato presso i server partecipanti, che lo conservano. L’editore commercializza peraltro un gateway destinato a filtrare la federazione per limitare queste fughe, il che è un’ammissione utile.

Per chi è fatto. Per un’organizzazione che vuole la sovranità sulla propria infrastruttura e il cui avversario non è il proprio amministratore di sistema. Non per un individuo che cerca di nascondere le proprie relazioni.

Le app senza alcun identificativo

È la categoria più recente. Il principio non è nascondere un identificativo ma non crearne alcuno.

SimpleX Chat

SimpleX Chat è la prima rete di messaggistica senza identificativo di utente, nemmeno casuale. È un avanzamento concettuale reale e va presentato come tale.

Che cosa protegge davvero. Il grafo sociale, per costruzione. Non c’è account, non c’è elenco, non c’è indirizzo permanente. Ogni conversazione poggia su code unidirezionali ospitate su relay diversi: ciò che inviate passa da una coda su un relay, le risposte tornano da un’altra coda su un altro relay, in modo che nessun relay veda le due estremità. I relay sono ciechi, non conoscono né chi deposita né il destinatario. Il progetto ha pubblicato due audit indipendenti realizzati da Trail of Bits: una valutazione di sicurezza dell’implementazione nel novembre 2022, poi una revisione della progettazione crittografica dei protocolli nell’ottobre 2024, comprensiva di una verifica formale del protocollo di negoziazione delle code e conclusasi con tre problemi di gravità media e uno di gravità bassa, tutti di difficile sfruttamento. Il protocollo aggiunge uno strato post-quantistico al doppio cricchetto. I relay sono auto-ospitabili, esistono client su Android, iOS e desktop, e l’editore, SimpleX Chat Ltd, è una società britannica registrata dall’ottobre 2021.

Che cosa non protegge. Due cose meritano di essere dette. Anzitutto l’hosting predefinito: i relay gestiti dal progetto girano presso un unico fornitore, Linode, controllata della statunitense Akamai, nei suoi centri europei di Londra, Francoforte e Stoccolma. Un utente che non attiva Tor e non cambia relay dipende dunque da un’infrastruttura gestita da una società statunitense, il che rimette il CLOUD Act nel quadro. L’argomento è documentato pubblicamente nel repository del progetto. Poi, l’esperienza d’uso resta esigente: stabilire una connessione richiede uno scambio di link o di codice QR, l’affidabilità delle notifiche su iOS è stata a lungo un punto debole e la scalabilità dei grandi gruppi è ancora un cantiere. Il finanziamento, infine, poggia ormai su un finanziamento partecipativo in capitale lanciato nell’agosto 2026.

Per chi è fatto. Per chi vuole il modello senza identificativo con il miglior livello di verifica esterna oggi disponibile, e accetta un uso più tecnico.

Arpokrat Messenger

Arpokrat Messenger è il nostro prodotto, e questa scheda segue la stessa griglia delle altre. Bisogna cominciare col dirlo senza giri di parole: Arpokrat Messenger è un fork di SimpleX. L’architettura descritta sopra, assenza di identificativi, code unidirezionali, relay ciechi, non è nostra, è quella di SimpleX. Non pretendiamo di averla migliorata sul piano crittografico, le diamo credito, esattamente come la nostra pagina protocollo fa esplicitamente. È la stessa posizione che teniamo per ArpokratOS nei confronti di GrapheneOS.

Che cosa protegge davvero. Ciò che protegge SimpleX, più una serie di scelte di gestione e di prodotto. I relay che gestiamo sono distribuiti in cinque giurisdizioni scelte per il loro diritto, la Svizzera, l’Islanda, Panama, la Malesia e Mauritius, nessuna statunitense, e l’infrastruttura non poggia su alcun hyperscaler statunitense, né Amazon Web Services, né Google Cloud, né Microsoft Azure, né Cloudflare. I messaggi in attesa vivono solo in memoria viva, lo swap è disattivato, un’interruzione di corrente cancella tutto, e i manifesti di pubblicazione sono firmati su una macchina Qubes OS isolata dalla rete. Tor si attiva con un solo pulsante, senza applicazione di terze parti, e resta disattivato per impostazione predefinita. La modalità incognito assegna un profilo diverso per contatto, nome visualizzato e relay compresi, il che impedisce di collegare una vita professionale e una vita privata. I relay sono auto-ospitabili da chiunque, essendo il software aperto. I client sono pubblicati con licenza AGPLv3. Il portafoglio non custodiale gestisce Bitcoin, Ethereum, Monero, Polygon, Solana e Tron, senza che le chiavi lascino mai il dispositivo, e il supporto di Zcash è annunciato senza essere disponibile a oggi. Lo Swap integrato è un aggregatore che confronta le offerte di fornitori indipendenti assegnando a ciascuno un voto da A a D secondo il livello di verifica di identità richiesto, da A per nessun KYC a D per KYC obbligatorio, con i fondi che transitano direttamente tra l’utente e il fornitore scelto. A nostra conoscenza, nessun’altra app di messaggistica propone questa valutazione. L’editore è infine un’entità commerciale identificabile, Arpokrat GmbH, con sede a Zugo in Svizzera, con un indirizzo postale pubblico, un warrant canary firmato in PGP, rinnovato secondo una finestra di validità di sessanta giorni, e un impegno di risposta dell’assistenza entro 24 ore. L’applicazione è gratuita, senza pubblicità.

Che cosa non protegge. Ed è qui che bisogna essere precisi, perché è il solo modo di essere credibili sul resto.

Arpokrat Messenger non dispone a oggi di alcun audit crittografico indipendente pubblicato a suo nome. SimpleX ne ha due. Il protocollo sottostante è dunque sottoposto ad audit, la nostra implementazione e la nostra gestione no, e non è la stessa cosa, come spiegato più sopra in questo articolo.

Arpokrat non ha alcuno storico pubblico di resistenza a richieste giudiziarie. Signal ne ha uno, verificabile, esteso su anni. Un warrant canary è un impegno serio, non è un precedente giudiziario.

L’applicazione oggi esiste solo su Android. Le versioni iOS, Linux, macOS e Windows sono annunciate, non disponibili. Per chi scambia messaggi con utenti di iPhone, è un ostacolo immediato e non c’è modo di aggirarlo.

La rete è infine giovane e piccola. Il numero di utenti non fa la sicurezza, ma fa la disponibilità dei vostri corrispondenti, ed è un criterio legittimo che noi stessi abbiamo difeso più sopra.

Per chi è fatto. Per chi vuole un’architettura senza identificativo senza rinunciare all’uso corrente, e preferisce un’entità commerciale identificabile a un progetto comunitario il cui finanziamento può interrompersi. Il posizionamento che difendiamo non è «la più privata», è più stretto e più onesto: la più utilizzabile tra le architetture senza identificativo, con un modello asincrono che le architetture peer-to-peer non offrono, un ecosistema e un supporto commerciale.

Briar

Briar è probabilmente il progetto più intransigente di questo elenco. Non c’è alcun server: i messaggi passano direttamente da un dispositivo all’altro attraverso Tor, e in mancanza di connessione, via Wi-Fi o Bluetooth tra dispositivi vicini.

Che cosa protegge davvero. Tutto ciò che dipende da un’infrastruttura, dato che non ce n’è. Nulla da sequestrare, nulla da richiedere, nessun operatore da costringere. La modalità mesh offline funziona davvero in caso di interruzione di Internet, il che fa di Briar lo strumento di riferimento per i blackout e le manifestazioni. Il codice è stato sottoposto ad audit da Cure53 nel marzo 2017, con dodici problemi rilevati e corretti. Il progetto è libero e la sua progettazione fa scuola. Briar Mailbox, un’applicazione distinta da installare su un dispositivo Android di scorta lasciato acceso, permette di ricevere messaggi mentre il telefono principale è offline, il che risponde parzialmente al limite principale del modello peer-to-peer.

Che cosa non protegge. La comodità d’uso, e ormai la traiettoria del progetto. Il consumo di batteria è elevato, il funzionamento in secondo piano su Android è irregolare, mancano il backup dell’account e gli allegati, e aggiungere un contatto è laborioso. Non esiste versione iOS. La versione desktop resta in beta, l’ultima essendo la 0.6.5-beta pubblicata il 20 febbraio 2026. E soprattutto, l’annuncio del 9 luglio 2026 pone il progetto in modalità manutenzione: correzioni di sicurezza e di bug, senza sviluppo di funzionalità. Il progetto precisa che le voci di chiusura completa sono superate, ma l’ambizione è chiaramente sospesa.

Per chi è fatto. Per una zona di interruzione di Internet, una manifestazione, un contesto di censura, o un gruppo ristretto che accetta il vincolo in cambio dell’assenza totale di infrastruttura.

Cwtch

Cwtch è sviluppato dalla Open Privacy Research Society, un’associazione senza scopo di lucro canadese con sede a Vancouver. Il progetto punta esplicitamente alla messaggistica di gruppo resistente ai metadati.

Che cosa protegge davvero. I metadati, anche in gruppo, che è il problema difficile. Le connessioni passano da servizi onion Tor v3, e i server che ritrasmettono le conversazioni di gruppo sono progettati per non essere affidabili per principio: non devono apprendere nulla. La versione 1.13, pubblicata nel settembre 2023, ha segnato l’uscita dalla lunga fase alfa e beta, e il progetto è proseguito fino alla 1.15.

Che cosa non protegge. La continuità, ancora una volta. L’organizzazione vive essenzialmente di donazioni individuali e lo ha ripetuto pubblicamente più volte. Non esiste versione iOS. Il ritmo di sviluppo è quello di una piccola squadra, e l’ecosistema di utenti è molto ristretto. Non abbiamo trovato un audit esterno pubblicato equivalente a quelli di SimpleX o di Briar.

Per chi è fatto. Per un gruppo di attivisti o di ricerca che ha bisogno di conversazioni collettive resistenti ai metadati e i cui membri sono tecnicamente a proprio agio.

La convergenza del 2026, la messaggistica diventa un portafoglio

Ecco l’osservazione più interessante di quest’anno, e a nostra conoscenza nessuno l’ha ancora formulata così.

Nel 2026, tre fork di tre protocolli diversi, sviluppati da tre squadre senza legami tra loro, hanno avuto la stessa intuizione nello stesso momento: integrare un portafoglio non custodiale in una app di messaggistica cifrata. Radar è un fork di Signal con Bitcoin su Lightning. Zerion è un derivato di Briar con Bitcoin e Monero. Arpokrat Messenger è un fork di SimpleX con un portafoglio multi-catena e un aggregatore di swap.

Tre basi tecniche opposte, una stessa conclusione. Non è un caso, è il segno che due bisogni trattati finora separatamente si stanno congiungendo. Inviare denaro e inviare un messaggio pongono lo stesso problema: un intermediario che conosce le due estremità. La risposta costruita per i messaggi, cifratura del contenuto e minimizzazione dei metadati, è esattamente quella che cercano gli utenti di criptovalute. E la messaggistica è il solo luogo dove si conosce già il proprio destinatario.

I tre approcci sono però molto diversi, e il confronto è istruttivo.

Radar

Radar è stato lanciato il 7 luglio 2026 dalla squadra di Cake Wallet, sotto un’entità distinta, Radar Chat, Inc., guidata dal suo fondatore Vikrant Sharma. È un fork di Signal, gratuito, open source, disponibile su iOS e Android. Il portafoglio è non custodiale, con una frase di recupero di dodici parole e backup cifrati. Lo strato di pagamento merita una precisazione, perché le fonti non dicono la stessa cosa. Il sito di Radar descrive un portafoglio Bitcoin appoggiato alla rete Lightning, attribuisce un indirizzo Lightning a ogni account, e non menziona altro. Diversi articoli usciti nel luglio 2026 indicano invece che il meccanismo sottostante poggia su Spark, una rete Bitcoin di livello 2 integrata tramite l’SDK Breez, con un trasferimento tra due utenti di Radar che si regola allora da Spark a Spark in meno di un secondo. Le due versioni non si escludono, poiché la documentazione di Breez descrive un SDK che supporta Spark e Lightning insieme, indirizzi Lightning e fatture bolt11 compresi. In mancanza di conferma pubblica da parte dell’editore stesso, ci atteniamo a ciò che è verificabile sul suo stesso sito: pagamenti Bitcoin non custodiali raggiungibili tramite la rete Lightning.

La scelta più rilevante è altrove. Radar non è una rete separata: ci si connette con il proprio account Signal esistente, e contatti, conversazioni, gruppi e nome utente seguono. È il vantaggio competitivo di Radar, ed è anche la sua principale questione aperta.

Questa interoperabilità implica infatti che Radar erediti integralmente il modello di Signal: il numero di telefono resta l’identificativo, il codice PIN Signal comanda il recupero dell’account e quindi, per impostazione predefinita, l’accesso alle chiavi del portafoglio che Radar cifra nell’account Signal, e l’infrastruttura sollecitata è quella della Signal Foundation, sotto giurisdizione statunitense.

Va poi posta la questione della continuità di questo assetto, senza affermarla come un fatto. Signal ha storicamente rifiutato che client di terze parti usino i suoi server: nel 2016 il progetto LibreSignal è stato abbandonato dopo che Moxie Marlinspike ha fatto sapere di non volere né il nome né i server di Signal usati da un fork, ed ha peraltro escluso ogni federazione futura. La fondazione mantiene la capacità tecnica di bloccare un client di terze parti tramite la sua firma. A oggi non lo ha fatto, e Molly usa la rete da anni senza incidenti, precedente che la squadra di Radar invoca esplicitamente. Radar versa peraltro un contributo mensile alla Signal Foundation e prevede di aumentarlo con la propria crescita. Nulla indica dunque che Radar sarà bloccato. Ma un prodotto il cui accesso alla rete dipende dalla tolleranza continuata di un terzo porta un rischio strutturale che né SimpleX né Briar portano, e l’utente merita di saperlo prima di collocarvi dei fondi.

Zerion

Zerion è un derivato di Briar, costruito sul protocollo di trasporto Bramble, pubblicato sotto GPL v3, e il progetto indica chiaramente di non essere né affiliato né approvato dal progetto Briar. Esiste solo su Android.

Bisogna rendergli giustizia, perché fa diverse cose notevolmente bene. Tutto il traffico passa da Tor, senza eccezioni: il vostro dispositivo costruisce un circuito a tre salti, quello del vostro corrispondente ne costruisce un altro, e i due si incontrano a un relay di appuntamento, ossia sei salti in totale e nessuna esposizione di indirizzo IP. Ogni messaggio è protetto da uno scambio di chiavi post-quantistico basato su ML-KEM-768. La versione 3.0 ha aggiunto una mesh offline via Bluetooth che ritrasmette messaggi individuali e di gruppo attraverso i telefoni vicini, con ogni relay che trasporta solo materiale cifrato, oltre a un trasporto I2P opzionale. Una modalità irrobustita rifiuta di avviarsi su un dispositivo compromesso, sotto debugger o con framework di aggancio. Dalla versione 3.0.4, una cassaforte cifrata può contenere portafogli Bitcoin e Monero non custodiali, le cui chiavi sono generate sul dispositivo, protette da una propria password, con compilazioni riproducibili a partire da sorgenti congelate e impronte pubblicate.

Il limite è strutturale e il progetto non lo nasconde: la sua documentazione indica nero su bianco che un messaggio è consegnato solo quando entrambi i dispositivi sono online e connessi a Tor, e che nessun server lo conserva nel frattempo per lunghi periodi offline. In altre parole, non esiste un equivalente di Briar Mailbox. È il punto tecnico decisivo, ed è ciò che separa un modello peer-to-peer da un modello store and forward nel quale un relay cieco conserva il messaggio cifrato finché il destinatario non viene a prenderlo. Per una corrispondenza ordinaria tra due persone che non sono connesse nello stesso momento, la differenza non è teorica, decide l’uso.

Una seconda questione resta aperta, e la formuliamo come domanda dato che non abbiamo trovato alcuna misurazione pubblica: qual è la qualità reale delle chiamate audio e video peer-to-peer su un’architettura a sei salti Tor? Le scelte tecniche annunciate sono serie, Opus, H.264, cifratura AES-256-GCM e trame riempite, e le chiamate sono disattivate per impostazione predefinita. Ma Tor non è progettato per la bassa latenza, e in assenza di misurazioni pubblicate, né l’editore né noi possiamo affermare che l’esperienza sia paragonabile a una chiamata classica.

Infine, non abbiamo trovato audit indipendente pubblicato per Zerion.

Messi a confronto, i tre approcci disegnano tre compromessi netti. Radar sceglie l’adozione immediata al prezzo di una dipendenza da un terzo e del mantenimento del numero di telefono. Zerion sceglie il massimo di resistenza di rete al prezzo della recapitabilità e della disponibilità su iPhone. Arpokrat sceglie il modello asincrono e la ripartizione giurisdizionale al prezzo di uno storico e di un audit che ancora non esistono. Nessuno di questi tre compromessi è assurdo, e nessuno è gratuito.

Tabella di sintesi

Applicazione	Identificativo richiesto	Giurisdizione e hosting	Metadati lato server	Audit esterno pubblicato	Consegna offline	Codice
WhatsApp	Numero di telefono	Stati Uniti (Meta), CLOUD Act	Estesi, grafo dei contatti consegnabile su mandato	No per il servizio	Sì	Client chiuso
Telegram	Numero di telefono	Isole Vergini Britanniche, direzione a Dubai	Estesi, chat cloud leggibili dall’editore	No	Sì	Client aperto, server chiuso
Signal	Numero di telefono	Stati Uniti, CLOUD Act	Due marcature temporali, storico giudiziario pubblico	Protocollo analizzato formalmente	Sì	Aperto
Molly	Numero (account Signal)	Server Signal, Stati Uniti	Identici a Signal	Ereditato da Signal	Sì	Aperto
Session	Nessuno, identificativo casuale	Svizzera, rete di nodi decentralizzata	Minimi, nessuna riservatezza persistente a oggi	Sì, Quarkslab	Sì	Aperto
Threema	Nessuno, Threema ID	Svizzera, server a Zurigo	Minimi	Sì, Cure53 e Politecnico di Zurigo	Sì	Aperto, a pagamento
Wire	E-mail o numero	Svizzera e Germania, entità statunitense nel Delaware	Conservati in chiaro	Sì, Kudelski e X41	Sì	Aperto
Element / Matrix	Secondo il server, spesso e-mail	Quella del vostro hoster	Visibili al server, stato delle stanze in chiaro	Audit pubblicati sul protocollo	Sì	Aperto
SimpleX Chat	Nessuno, nessun identificativo	Regno Unito, relay predefiniti presso Linode e Akamai	Nessuna correlazione possibile da un relay singolo	Sì, due audit Trail of Bits	Sì	Aperto
Arpokrat Messenger	Nessuno, nessun identificativo	Svizzera (Zugo), relay in cinque giurisdizioni fuori dagli Stati Uniti	Relay ciechi, sola memoria viva	No a oggi	Sì	Aperto, AGPLv3
Briar	Nessuno, nessun identificativo	Nessuna, nessun server	Nessuno, nulla da sequestrare	Sì, Cure53 nel 2017	Tramite Briar Mailbox	Aperto
Cwtch	Nessuno, nessun identificativo	Canada per l’associazione, server non affidabili per progettazione	Resistenza ai metadati di gruppo	Non identificato	Parziale	Aperto
Radar	Numero (account Signal)	Server Signal, Stati Uniti	Identici a Signal	Non identificato	Sì	Aperto
Zerion	Nessuno, nessun identificativo	Nessuna, nessun server	Nessuno, tutto passa da Tor	Non identificato	No, entrambi i dispositivi devono essere online	Aperto, GPL v3

Quale app per quale profilo

Non c’è un vincitore, ci sono situazioni.

Per la famiglia e le persone care. Signal, senza esitazione. È la sola scelta che unisce una protezione seria e una possibilità reale che i vostri interlocutori la installino. Se il numero di telefono vi disturba, attivate un nome utente per non comunicarlo. Se i vostri cari si rifiutano categoricamente di muoversi, attivate almeno i backup cifrati end-to-end su WhatsApp: non è la stessa protezione, ma è un progresso reale e gratuito.

Per un giornalista con delle fonti. Il problema non è il contenuto, è il legame. Un’architettura senza identificativo è qui la sola risposta coerente: SimpleX Chat o Arpokrat Messenger, con Tor attivato e un profilo diverso per fonte. Se la vostra fonte usa già Signal e rifiuta di installare altro, usate Signal piuttosto che nulla, con un numero dedicato che non vi identifichi, e Molly su Android per proteggere il dispositivo stesso in caso di sequestro.

Per un dirigente o un consulente legale. Il criterio dominante è la giurisdizione, non l’anonimato. Threema per uno studio o una struttura piccola, con una fatturazione chiara e server svizzeri. Element auto-ospitato per un’organizzazione che ha una squadra tecnica e vuole la sovranità sulla propria infrastruttura, tenendo presente che l’amministratore del server vede i metadati. Wire per un’organizzazione che vuole un prodotto commerciale di collaborazione, dopo averne esaminato la struttura azionaria.

Per una zona di interruzione di Internet o di censura. Briar, perché la modalità mesh Bluetooth e Wi-Fi funziona senza alcuna infrastruttura, e Zerion per le stesse ragioni con una mesh offline più recente. Sono le due sole risposte reali quando la rete stessa è l’avversario. Prevedete Briar Mailbox se la vostra corrispondenza deve sopravvivere a periodi offline prolungati.

Per chi maneggia cripto ogni giorno. È il solo profilo in cui la convergenza del 2026 cambia qualcosa. Radar se il vostro uso è il Bitcoin e la vostra rete è già su Signal, accettando la dipendenza dall’infrastruttura Signal e il numero di telefono. Zerion se volete Bitcoin e Monero con il massimo di resistenza di rete, e i vostri corrispondenti sono su Android e spesso online. Arpokrat Messenger se volete più catene, la disponibilità asincrona e la possibilità di confrontare i fornitori di swap secondo la loro esigenza di KYC.

Per chi vuole il massimo senza compromessi d’uso. Questa categoria non esiste, ed è la conclusione onesta di questo confronto. Il massimo teorico è Briar o Zerion, e si paga in recapitabilità, in batteria e in assenza di iPhone. Il compromesso più favorevole oggi, se i vostri corrispondenti sono su Android, è un’architettura senza identificativo in modalità store and forward, SimpleX Chat o Arpokrat Messenger, con Tor attivato. Se dovete includere utenti di iPhone, SimpleX Chat è oggi il solo di questa famiglia a coprire entrambe le piattaforme. Arpokrat Messenger, disponibile su Android, è in fase di sviluppo per iOS e per le piattaforme desktop, senza data di disponibilità annunciata.

Che cosa abbiamo scelto in Arpokrat e perché

Questa sezione non è un argomentario, è una spiegazione di compromessi, compresi quelli che non abbiamo fatto.

Siamo partiti da SimpleX invece di scrivere un protocollo. La ragione è semplice: un protocollo di messaggistica sicura ha valore solo quando è stato ispezionato, e un protocollo nuovo non ha per definizione alcuna ispezione alle spalle. SimpleX ha una specifica pubblica, un codice pubblico e due audit di Trail of Bits. Inventare la nostra crittografia ci avrebbe permesso di fare una migliore pagina di marketing e una peggiore app di messaggistica.

Abbiamo scelto il modello store and forward invece del peer-to-peer. È un compromesso esplicito contro il massimo teorico. Un relay cieco che conserva un messaggio cifrato fino al ritiro è un pezzo di infrastruttura in più, quindi una superficie in più. In cambio, un messaggio parte quando lo scrivete e arriva quando il vostro corrispondente si connette, che è la condizione di una corrispondenza normale. Il criterio della praticità, difeso all’inizio di questo articolo, non è una clausola di stile: lo abbiamo applicato a noi stessi.

Abbiamo distribuito i relay in cinque giurisdizioni fuori dagli Stati Uniti ed escluso gli hyperscaler statunitensi, non per posa ma perché il CLOUD Act funziona costringendo un fornitore statunitense sui dati che controlla. Un relay cieco che non conserva nulla su disco ha poco da consegnare; un relay cieco che nessuna ingiunzione statunitense può raggiungere ne ha ancora meno. Le due misure si sommano, nessuna sostituisce l’altra.

Abbiamo integrato un portafoglio e un aggregatore di swap perché la stessa persona che rifiuta che un intermediario conosca i suoi interlocutori rifiuta generalmente che un intermediario conosca le sue transazioni. La valutazione da A a D dei fornitori di swap secondo la loro esigenza di verifica di identità nasce dalla stessa logica: non decidiamo al posto dell’utente il livello di riservatezza che vuole pagare, gli diamo l’informazione per scegliere.

Ciò che non abbiamo ancora fatto merita infine di essere detto nella stessa sezione. Non abbiamo audit indipendente pubblicato a nostro nome. Non abbiamo storico di richieste giudiziarie pubblicate, solo un warrant canary. Non siamo ancora su iOS. Queste tre lacune sono reali, sono documentate nella nostra scheda più sopra, e nessuna si colma con un comunicato.

Conclusione

La buona domanda non è «qual è la migliore app di messaggistica». Non ha risposta, perché è mal posta. La buona domanda è: contro chi vi state proteggendo?

Contro un inserzionista che vuole profilare i vostri interessi, vanno bene praticamente tutte le applicazioni di questo confronto. Contro un partner violento che ha accesso al vostro telefono, la questione è il blocco locale e la cancellazione della memoria, e Molly risponde meglio di Threema. Contro una richiesta giudiziaria nel vostro paese, la questione è la giurisdizione e ciò che il servizio detiene. Contro un avversario che cerca di stabilire che avete parlato con qualcuno, la sola risposta è un’architettura che non crea questa informazione. E contro un avversario capace di interrompere la rete, la sola risposta è non dipenderne.

Nessuna applicazione risponde a tutte queste minacce insieme, e quelle che lo pretendono meritano per prime la vostra diffidenza. Ciò che il 2026 ha dimostrato è che la crittografia è diventata la parte facile. Ciò che resta difficile sono i metadati, la giurisdizione, e la capacità di un progetto di esistere ancora tra due anni. Session è passata a qualche settimana dalla scomparsa, Briar ha ridotto le proprie ambizioni, e questi due eventi dicono molto di più sullo stato reale del settore di qualsiasi confronto di primitive crittografiche.

Scegliete dunque in funzione del vostro avversario, non in funzione di una classifica. E tenete a mente che il miglior strumento del mondo non vale nulla se la conversazione finisce altrove perché il vostro interlocutore non ha voluto installarlo.

Fonti

La fine della privacy? Backdoor, Online Safety Act e la risposta degli ecosistemi sovrani

Wed, 10 Jun 2026 00:00:00 +0000

Londra è diventata l’epicentro di una battaglia globale per il futuro della privacy digitale. Con l’adozione dell’Online Safety Act 2023 (OSA) e le recenti proposte di revisione dell’Investigatory Powers Act (IPA) — soprannominato dai suoi detrattori la “Carta delle spie” —, il governo britannico rivendica il diritto di imporre obblighi di sorveglianza nel cuore stesso delle comunicazioni private. Il punto di rottura è il potere conferito al regolatore OFCOM di esigere che le piattaforme implementino una “tecnologia accreditata” per rilevare contenuti di abusi sessuali su minori (CSEA) o terrorismo, anche all’interno delle comunicazioni crittografate end-to-end.

Per le grandi piattaforme digitali, il messaggio di Westminster è inequivocabile: o facilitano l’accesso statale alle loro infrastrutture, o affrontano multe fino al 10% delle loro entrate globali. La risposta è stata immediata: servizi come Signal e WhatsApp hanno pubblicamente minacciato di ritirarsi dal mercato britannico, rifiutandosi di compromettere la sicurezza dei propri utenti per soddisfare una singola giurisdizione. L’argomento tecnico è difficile da contestare: non esiste una chiave master (master key) riservata esclusivamente agli attori legittimi. Una porta aperta per le forze dell’ordine è, per progettazione, una porta aperta per i criminali informatici e i servizi segreti stranieri.

Il modello di business delle grandi piattaforme: un ostacolo strutturale alla Zero-Knowledge

La resistenza delle grandi piattaforme all’adozione della crittografia di tipo Zero-Knowledge non è spiegata da un’incapacità tecnica, ma da una fondamentale incompatibilità economica. Aziende come Alphabet e Meta si basano su modelli di monetizzazione fondati sulla raccolta sistematica di dati comportamentali. Questo modello è, peraltro, implicitamente riconosciuto dal Digital Markets Act (DMA) dell’Unione Europea, che classifica questi “guardiani” (gatekeepers) come entità la cui posizione dominante è alimentata proprio dall’accumulo di dati su scala ineguagliabile. Per questi attori, adottare un’architettura Zero-Knowledge significherebbe privare i propri sistemi pubblicitari della continua identificazione degli utenti che ne costituisce il carburante. Non si tratta quindi di una scelta tecnica, ma di un compromesso tra la privacy degli utenti e la redditività del loro modello di business.

Il rischio strategico: la minaccia “Harvest Now, Decrypt Later”

Al di là del dibattito sulla privacy, l’indebolimento della crittografia solleva una questione di sicurezza nazionale di tutt’altra portata. La strategia nota come Harvest Now, Decrypt Later (HNDL) prevede che avversari statali intercettino e memorizzino oggi enormi volumi di comunicazioni crittografate, in previsione di future capacità di decrittazione quantistica. Indebolendo gli attuali standard di crittografia, il quadro legislativo britannico facilita oggettivamente questo tipo di operazioni contro comunicazioni governative, diplomatiche o industriali.

È proprio in questo contesto di deficit di fiducia che ecosistemi come quello di Arpokrat acquisiscono rilevanza operativa. Operando sotto il regime della Legge federale svizzera sulla protezione dei dati (LPD/FADP), con un’architettura che non raccoglie alcun identificatore civile, Arpokrat offre una rottura tecnica rispetto alle infrastrutture soggette alla giurisdizione britannica — garantendo che il sistema rimanga sordo alle ingiunzioni previste dall’OSA.

Il conflitto di norme: OSA e IPA contro il diritto europeo

L’analisi giuridica delle nuove prerogative statali britanniche rivela una collisione diretta con i fondamenti del diritto europeo in materia di protezione dei dati e riservatezza delle comunicazioni.

OSA contro il divieto di sorveglianza generalizzata

L’articolo 121 dell’OSA introduce la possibilità per l’OFCOM di emettere ingiunzioni che costringono le piattaforme a implementare la scansione lato client (client-side scanning). Questa misura contravviene frontalmente al principio, derivato dal diritto europeo e incluso nella giurisprudenza della CGUE, che vieta obblighi generali di sorveglianza. Imponendo una “vulnerabilità by design”, pone inoltre le aziende in una situazione di doppio vincolo: indebolendo la loro sicurezza per conformarsi a un mandato statale, vengono meno al loro obbligo di garantire un livello di sicurezza adeguato al trattamento, sancito dall’articolo 32 del GDPR.

La Direttiva ePrivacy e la riservatezza delle comunicazioni

La scansione dei messaggi privati è in diretta contraddizione con l’articolo 5, paragrafo 1, della Direttiva 2002/58/CE (ePrivacy), che obbliga gli Stati membri a garantire la riservatezza delle comunicazioni elettroniche e vieta qualsiasi forma di intercettazione o sorveglianza senza il consenso esplicito degli utenti interessati.

I Technical Capability Notices e il blocco degli aggiornamenti di sicurezza

Sotto il regime dell’IPA 2016, il governo britannico intende ora utilizzare i Technical Capability Notices (TCN) per opporsi agli aggiornamenti di sicurezza prima della loro implementazione. Questo meccanismo crea un conflitto irrisolvibile con l’obbligo, stabilito dall’articolo 32 del GDPR, di garantire la sicurezza continua dei sistemi di elaborazione — un obbligo che richiede proprio la capacità di applicare patch senza ritardi o interferenze esterne.

Rischi di conformità per le aziende che operano in Europa

Le revisioni dell’IPA mirano a costringere le aziende a notificare al governo britannico qualsiasi modifica tecnica che influisca sulla sicurezza, prima della sua implementazione, concedendogli così un diritto di veto sullo sviluppo del prodotto. Questa ingerenza crea una notevole insicurezza giuridica per i fornitori che operano nel mercato europeo: l’adeguatezza britannica al diritto europeo — già fragile — potrebbe essere messa in discussione se il Regno Unito non garantisse più una protezione sostanzialmente equivalente a quella del GDPR. Di conseguenza, i trasferimenti di dati verso il Regno Unito in questo nuovo quadro normativo esporrebbero verosimilmente le aziende a sanzioni ai sensi del GDPR.

La difesa attraverso l’impossibilità tecnica: il principio Zero-Knowledge come scudo legale

La giurisprudenza internazionale, consolidata dalle sentenze Schrems I e Schrems II della CGUE, ha stabilito un principio determinante: l’unica salvaguardia solida contro una sorveglianza sproporzionata è l’impossibilità tecnica di accedervi. Le architetture Zero-Knowledge declinano questo principio in tre livelli di protezione:

Assenza di custodia: non detenendo la piattaforma le chiavi di decrittazione, qualsiasi ingiunzione di scansionare i messaggi è tecnicamente inoperante;
Sovranità del sistema operativo: il controllo di ArpokratOS elimina la telemetria che alimenta la raccolta di intelligence a livello di dispositivo;
Ancoraggio giurisdizionale svizzero: ospitando la propria infrastruttura in Svizzera, Arpokrat opera in un regime legale che richiede richieste individualizzate e motivate di assistenza giudiziaria, neutralizzando l’esecuzione automatizzata delle scansioni di massa previste dall’OSA.

Conclusione

Le disposizioni dell’OSA e le revisioni dell’IPA non costituiscono solo una minaccia per la privacy degli individui: rappresentano una rottura della certezza del diritto per tutti i dati europei che transitano attraverso infrastrutture soggette alla giurisdizione britannica. Legittimando l’indebolimento della crittografia in nome della sicurezza pubblica, Londra espone paradossalmente i suoi alleati e partner commerciali a rischi di spionaggio industriale e statale che le architetture Zero-Knowledge sono progettate proprio per prevenire.

L’integrità delle comunicazioni professionali e istituzionali richiede ora una risposta strutturale: la migrazione verso ecosistemi decentralizzati che garantiscano la sovranità digitale, dal livello del codice fino all’ancoraggio giurisdizionale.

Password ed Entropia: La scienza dietro la tua sicurezza

Wed, 03 Jun 2026 00:00:00 +0000

« La tua password deve contenere 8 caratteri, una lettera maiuscola, una minuscola, un numero e un carattere speciale. »

Tutti conosciamo questa regola. Eppure, nella sicurezza informatica, questo è ciò che chiamiamo “teatro della sicurezza”. Una password come P@ssw0rd1! rispetta tutte queste regole. Ma è una parola comune con sostituzioni prevedibili, esattamente ciò che gli strumenti di cracking provano per primo.

La vera sicurezza non si basa su regole visive arbitrarie, ma su una spietata realtà matematica: l’entropia.

L’Entropia secondo Claude Shannon

Per comprendere la forza di una password, dobbiamo guardare a Claude Shannon, il padre della teoria dell’informazione. L’entropia misura il grado di incertezza o imprevedibilità dell’informazione.

Applicata alle password, l’entropia è calcolata in bit. Maggiore è il numero di bit, più imprevedibile è la password per un computer. La formula semplificata per l’entropia (E) di una password generata casualmente è:

E = L × log2(R)

L è la lunghezza della password.
R è la dimensione del pool (26 per le minuscole, 62 con maiuscole e numeri, 94 con tutti i simboli stampabili). I quattro insiemi di caratteri del nostro generatore ne danno 91, perché il suo insieme di simboli ha 29 caratteri.

Aumentare la dimensione del pool (aggiungendo simboli) aumenta l’entropia, ma aumentare la lunghezza (aggiungendo caratteri) la aumenta in modo molto più drastico. Tuttavia, la lunghezza batte la complessità solo a una condizione: la password deve essere generata in modo completamente casuale.

Forza Bruta vs. Attacco a Dizionario

Se usi parole o strutture prevedibili, la regola della pura lunghezza crolla.

I software di hacking non provano tutte le combinazioni di lettere una per una (questo si chiama Forza Bruta / Brute Force). Usano enormi elenchi di password reali provenienti da passate fughe di dati, insieme a parole e frasi comuni. Questo è l’Attacco a Dizionario (Dictionary Attack).

Se la tua password è lunga, ma composta da parole del dizionario o sostituzioni prevedibili, la sua vera entropia è drammaticamente inferiore alla sua entropia matematica teorica.

La tabella seguente usa una sola regola: 100 miliardi di tentativi al secondo, il ritmo che la pagina del nostro generatore presuppone per un attacco offline contro un hash rapido. I tempi sono medie (metà di tutte le possibilità), arrotondate verso il basso con la stessa formula di quella pagina. Il percorso più veloce per ogni password è in grassetto:

Password	Entropia se ogni carattere fosse casuale	Forza bruta (media)	Attacco a dizionario (nostra stima)
`password123`	56 bit (11 caratteri, minuscole e numeri)	7 giorni	Meno di un secondo
`S3cr3t!99`	58 bit (9 caratteri, tutti e quattro gli insiemi)	24 giorni	Meno di un secondo
`correct horse battery staple`	133 bit (28 caratteri, minuscole e spazio)	Più di 1 mille miliardi di anni	1 minuto
`gL7!pQ9z#vX2`	78 bit (12 caratteri, tutti e quattro gli insiemi)	51 mila anni	Nessuna scorciatoia

La colonna del dizionario è una stima. Presuppone che i tentativi dell’attaccante seguano la struttura di ogni password e che ogni parola di base sia tra le 1.000 più comuni:

password123: una parola comune e tre cifre. Sono 1.000 × 1.000, circa un milione di tentativi.
S3cr3t!99: una parola comune, con o senza maiuscola, ogni “e” sostituita o no da “3”, poi un qualsiasi suffisso di tre caratteri. Sono circa 7 miliardi di tentativi.
correct horse battery staple: quattro parole comuni. Il fumetto xkcd che l’ha resa famosa conta 44 bit per quattro parole da una lista di 2.048. Allo stesso ritmo sono 88 secondi in media, arrotondati verso il basso a 1 minuto.
gL7!pQ9z#vX2: nessuna parola e nessuno schema, quindi la forza bruta è il percorso più veloce.

Queste stime trattano ogni password come sconosciuta all’attaccante. Ogni password di questo articolo ora è pubblica, quindi ognuna appartiene a un dizionario. Una password pubblicata è una password bruciata.

L’illusione del Leetspeak e le regole di mutazione

Prendiamo l’esempio S3cr3t!99. Visivamente, sembra complessa e robusta. Eppure, è semplicemente la parola del dizionario “secret”, dove le ’e’ sono state sostituite da ‘3’, a cui è stato aggiunto un suffisso molto comune (!99). Questo si chiama leetspeak.

Contro un attacco a dizionario, questa password resiste meno di un secondo, non i 24 giorni che la sua lunghezza farebbe pensare. I moderni software di cracking (come Hashcat) non si limitano a testare elenchi di parole statici; applicano automaticamente regole di mutazione. Prenderanno ogni parola nel loro dizionario, testeranno tutte le possibili combinazioni leetspeak, scambieranno le maiuscole e aggiungeranno anni o simboli. Il leetspeak fornisce un falso senso di sicurezza.

Il trucco dello spostamento della tastiera (Keyboard Shift)

Per complicare una frase memorizzabile, alcuni usano il trucco dello spostamento del layout della tastiera. Ad esempio, memorizzi una frase come my-cat. Ma quando la digiti, posizioni le dita su una tastiera fisica QWERTY mentre il tuo sistema operativo è configurato in AZERTY (francese).

La parola pensata: my-cat
Il risultato digitato: ,y)cqt (Il tasto ’m’ diventa ‘,’; il ‘-’ diventa ‘)’; la ‘a’ diventa ‘q’).

È una buona idea in OPSEC? No, questo metodo non è sufficiente se usato da solo. Proprio come il leetspeak, uno spostamento di layout è una sostituzione fissa: un attaccante che lo sospetta applica la stessa corrispondenza a ogni tentativo. In OPSEC, questa è sicurezza tramite segretezza (security by obscurity): ritarda un attaccante amatoriale, ma non fermerà un attacco mirato ed equipaggiato.

Abbinata a una password già forte (come una lunga passphrase casuale), aggiunge poco. Anche se un attaccante prova mille coppie di layout, si aggiungono meno di 10 bit, perché log2(1.000) ≈ 9,97. La forza viene sempre dalla passphrase sottostante.

Costruire una Master Password (~250 bit)

Se gli elenchi di parole, il leetspeak e i trucchi di digitazione hanno i loro limiti, come costruiamo una master password che duri? Il nostro generatore classifica già 80 bit come “Forte” e 100 bit come “Molto Forte”. Per una master password destinata a durare decenni, questo articolo punta molto più in alto: circa 250 bit di entropia. La sezione quantistica qui sotto spiega perché, e cosa quel margine non garantisce.

Ci sono due modi per raggiungere questo obiettivo a seconda delle tue esigenze:

1. Caratteri Casuali (per un password manager)

Una stringa di caratteri generata del tutto a caso, senza schemi che una macchina possa sfruttare: 8}8,_$-p)M&n,XvUCT0o+.5hDE6P^w6b@U-evS0 39 caratteri estratti a caso tra i 91 del nostro generatore: ≈ 253 bit. È stata estratta per questo articolo, quindi ora è pubblica. Non usarla mai.

2. Una Passphrase Casuale (per una password da ricordare)

Le parole casuali sono più facili da ricordare dei caratteri casuali. Ogni parola estratta dalla lista EFF di 7.776 parole aggiunge circa 12,9 bit, quindi è il numero di parole a dare l’entropia. Dodici parole danno ≈ 155 bit, molto oltre la soglia “Molto Forte” del nostro generatore. Le sole parole superano i 250 bit solo a partire da 20 parole.

Il nostro generatore si ferma a 12 parole. Per superare i 250 bit con meno parole, spunta “Cifra casuale dopo ogni parola” e scegli “Cifra + Simbolo” come separatore. Undici parole danno allora ≈ 260 bit: depletion78$sporting14~overlap11>macaw86>paced95,paramedic41}blot41$flagstone07;uncanny92/broadways77#say2 Estratta a caso per questo articolo, esattamente con queste impostazioni. Una password pubblicata è una password bruciata: non usare mai questa, né alcun esempio che leggi. Conta solo ciò che è estratto a caso. Mettere la maiuscola a ogni parola non aggiunge nulla, e le parole scelte da te sono molto più deboli di quelle casuali.

La Minaccia Quantistica: L’Algoritmo di Grover

Perché puntare a 250 bit quando 128 bit bloccano già i supercomputer di oggi? La risposta risiede nella prospettiva di grandi computer quantistici.

In crittografia, l’algoritmo di Grover consente a un computer quantistico di cercare in un database non ordinato molto più velocemente di un computer classico. Concretamente, Grover dimezza efficacemente il livello di sicurezza di una chiave simmetrica o di una password.

Contro un computer quantistico che esegue l’algoritmo di Grover, una password con un’entropia di 128 bit offrirebbe, in teoria, una resistenza equivalente a soli 64 bit. È un margine molto più sottile.

Raddoppiare l’entropia mantiene il margine: circa 256 bit lascerebbero ancora circa 128 bit contro Grover. Da qui nasce l’obiettivo di 250 bit di questo articolo. È una precauzione scelta da questo articolo, non una cifra presa da uno standard.

Il margine ha dei limiti. L’accelerazione di Grover è quadratica, non illimitata. Ognuno dei suoi passi deve comunque calcolare l’hash della password del sito, su un computer quantistico abbastanza grande da eseguirlo. Per confronto, ai 100 miliardi di tentativi al secondo che la pagina del nostro generatore presuppone, una ricerca media su 100 bit richiede già almeno 200 miliardi di anni.

La logica ricorda Harvest Now, Decrypt Later (HNDL): un database rubato di hash di password può essere conservato oggi e attaccato in seguito, con macchine migliori. Un margine più ampio alza l’asticella contro questo rischio. Non è una garanzia permanente.

Arpokrat Password Generator: Crea la tua

Non lasciare la sicurezza dei tuoi accessi al caso. Il nostro generatore gratuito crea password e passphrase casuali. Per ognuna mostra l’entropia in bit e il tempo medio che richiederebbe una ricerca.

Si limita a generare: non valuta una password che usi già. Per l’obiettivo di 250 bit indicato sopra, scegli una password di 39 caratteri con tutti e quattro gli insiemi di caratteri. Il generatore la mostra come “≈ 253 bit”.

👉 Arpokrat Password Generator

Funziona nel tuo browser. Ciò che genera non viene mai inviato né salvato.

L’Ultimo Anello Debole: Riciclo e Gestione degli Accessi

L’entropia matematica non protegge dall’errore umano. Una password a 250 bit perde il suo valore non appena viene violata, se viene riutilizzata su più siti (un attacco chiamato Credential Stuffing) o se non è protetta da un secondo fattore di autenticazione (2FA).

La regola d’oro dell’igiene digitale è di dover ricordare una sola password: la tua master password a 250 bit (una passphrase casuale, come sopra). Tutti i tuoi altri accessi (banca, social network, server) devono utilizzare password casuali uniche, generate specificamente per loro.

Per archiviare tutte queste password che non puoi ricordare, usa un password manager. Scegline uno che cifri il tuo caveau sul tuo dispositivo prima di sincronizzarlo (ciò che spesso si chiama zero-knowledge), idealmente open source e verificato in modo indipendente.