La crittografia non è privacy

Il lucchetto che non protegge tutto

Gran parte degli attuali servizi di messaggistica annuncia la cifratura end-to-end. Ed è vero: il contenuto dei messaggi viaggia cifrato, in modo tale che nessuno nel percorso, nemmeno il fornitore del servizio, possa leggere il testo mentre è in transito. Fin qui, l'affermazione è esatta.

Il problema è che il contenuto è solo una parte della storia. Anche se nessuno può leggere ciò che dici, il servizio conosce altre cose con altissima precisione: con chi parli, a che ora, con quale frequenza, da quale posizione approssimativa, su quale dispositivo, quanti messaggi invii e quanti ne ricevi, quale numero di file condividi. Tutto questo si chiama metadati. E i metadati raccontano, in molti casi, quasi quanto il messaggio stesso.

Ciò che i metadati rivelano

Non serve leggere un messaggio per sapere molte cose. Se una persona chiama o scrive a un oncologo ogni martedì alle nove del mattino per sei mesi, non è necessario ascoltare la conversazione per intuire cosa stia succedendo. Se due persone si scambiano cento messaggi al giorno e improvvisamente smettono di farlo, non serve leggerne nessuno per capire cosa sia accaduto. Se un consulente fiscale riceve venti messaggi consecutivi dallo stesso cliente la sera prima di una chiusura trimestrale, il pattern parla da sé.

I metadati rivelano pattern di comportamento: chi si relaziona con chi, quali orari ha ogni persona, quando è sveglia, quando dorme, quando viaggia, quali clienti sono più attivi, quali relazioni professionali sono più intense. Un server che raccoglie metadati può costruire un profilo dettagliato della vita personale e professionale di qualsiasi utente senza aver mai letto una sola parola di ciò che scrive.

C'è un esempio storico che illustra questo con durezza. L'ex direttore della NSA, Michael Hayden, lo formulò senza mezzi termini nel 2014: "We kill people based on metadata". L'affermazione si riferiva a operazioni militari statunitensi contro obiettivi identificati unicamente dai loro pattern di comunicazione. Nemmeno un messaggio letto. Solo il grafo dei contatti e gli orari.

Il fatto che un servizio raccolga metadati significa che ha la capacità di usarli contro i suoi utenti, e che una terza parte con accesso a tali dati — per ordine del tribunale, per violazione della sicurezza o per vendita a terzi se i termini di servizio lo consentono — ha anch'essa tale capacità.

L'accesso alla rubrica

Un altro vettore che passa quasi inosservato: la lista dei contatti. Gran parte dei servizi di messaggistica richiedono l'accesso alla rubrica del telefono al momento della registrazione. Caricano tutti i numeri sul proprio server per mostrare chi altro usa il servizio. Da quel momento in poi, l'azienda ha una mappa completa delle relazioni dell'utente, anche se quest'ultimo non ha mai scritto un solo messaggio a nessuno.

Per un professionista con segreto professionale — avvocato, medico, psicologo, consulente — quella mappa contiene clienti. Se la rubrica è stata caricata su un server di terzi, i nomi dei clienti si trovano in un'infrastruttura la cui giurisdizione e le cui politiche non sono controllate dal professionista. Il segreto professionale non si rompe il giorno in cui qualcuno trapela una conversazione: si è rotto molto prima, al momento di accettare il caricamento.

La differenza tra crittografare e non raccogliere

Crittografare significa proteggere il contenuto. Essere privati significa non raccogliere ciò che non serve. Sono cose diverse e la differenza è operativamente critica. Un servizio può crittografare tutti i messaggi alla perfezione e, allo stesso tempo, sapere quasi tutto sui suoi utenti attraverso i metadati. Le due cose sono perfettamente compatibili. Infatti, è il modello di business dominante nel settore.

La domanda corretta per valutare la reale privacy di un servizio non è "crittografa il contenuto?". A questa domanda è stata data risposta anni fa. La domanda corretta è: "quali metadati genera e dove vengono archiviati?". E, soprattutto: "quali metadati non ha bisogno di generare?".

Un'architettura che riduce al minimo i metadati per progettazione — non per promessa, non per politica interna — è strutturalmente più privata di un'architettura che li raccoglie e li crittografa. Perché i dati che non esistono non possono essere trapelati, né venduti, né consegnati a un ordine del tribunale, né persi in una violazione.

Il lucchetto e la mappa

Il lucchetto più sofisticato sul mercato non dice nulla della mappa che ne resta fuori. Un servizio può cifrare ogni messaggio alla perfezione e, allo stesso tempo, sapere con chi parli, quando, quante volte e da dove —senza aver letto una sola tua parola. Per chi gestisce il segreto professionale, la domanda che conta davvero non è se il messaggio viaggi cifrato: è cosa sia stato lasciato fuori dalla cifratura senza che nessuno lo chiedesse.

La risposta onesta, nella maggior parte dei servizi pubblicizzati come privati, è: quasi tutto.

---

Questo articolo è il primo di una serie sul reale funzionamento degli strumenti di comunicazione professionale. Le prossime uscite riguarderanno la conformità al GDPR nella messaggistica e il concetto di segreto professionale nell'era digitale.