Telegram, la popolare app di messaggistica, ha un problema: viene vista come
un’app “russa”, e quindi molti la considerano particolarmente a rischio, perché
il suo creatore e fondatore, Pavel Durov, è nato in Russia. La questione è
particolarmente delicata in Ucraina, dove Telegram è da tempo l’app più diffusa nella sua categoria. Se i russi fossero in grado di spiare la messaggistica del paese che hanno invaso, il rischio sarebbe altissimo.

Ma Pavel Durov non è in buoni rapporti con la Russia. Nel 2012, durante le proteste contro Putin, si rifiutò di chiudere i gruppi Telegram che organizzavano le marce di protesta su VKontakte, il popolarissimo social network da lui creato [Nota: nel podcast e nelle versioni precedenti di questo articolo ho detto e scritto che i gruppi erano su Telegram; ho sbagliato, scusatemi]. Il paese bandì Telegram nel 2018, quando Durov si rifiutò di fornire alle autorità i dati degli utenti. Questo blocco si rivelò inutile e facilmente aggirabile e quindi la Russia si arrese, togliendo il divieto nel 2020. Durov ora vive a Dubai e il ramo materno della sua famiglia proviene da Kyiv.

Il vero problema della sicurezza di Telegram, in realtà, è un altro ed è slegato dall’attuale crisi russa: moltissimi utenti dell’app credono che tutti i messaggi e contenuti che scambiano attraverso Telegram siano criptati end-to-end, quindi impossibili da leggere per Durov e la sua azienda, così come lo sono i messaggi di WhatsApp o Signal, che sono criptati in modo che i rispettivi gestori non possano leggerli. Ma non è così.

Infatti soltanto le cosiddette chat segrete di Telegram sono realmente cifrate end-to-end; tutti gli altri messaggi sono salvati in copia sui server di Telegram, dove sono protetti tramite cifratura ma in teoria sono accessibili all’azienda. Le chat di gruppo su Telegram non sono cifrate, nemmeno se il gruppo è privato.

Le chat segrete di Telegram, per chi non le conoscesse, sono quelle che si attivano toccando il nome della persona con la quale si vuole chattare e poi toccando i tre puntini in alto a destra per scegliere la voce Inizia chat segreta. Il contenuto di queste chat viene cancellato automaticamente dopo un periodo di tempo che si può impostare a piacimento.

Moxie Marlinspike, creatore dell’app alternativa Signal, ha pubblicato su Twitter un’analisi impietosa, nella quale ha messo bene in chiaro i limiti di Telegram, soprattutto per gli utenti in Ucraina: “Telegram ha molte funzioni estremamente desiderabili, ma in termini di privacy e di raccolta dati non esiste scelta peggiore… Telegram conserva tutti i vostri contatti, gruppi, media e ogni messaggio che avete mai mandato, e li conserva in chiaro sui suoi server… Praticamente tutto quello che vedete nell’app è visibile anche a Telegram.”

La sua obiezione principale è che Telegram viene presentata spesso come un’app di messaggistica cifrata, quando in realtà è cifrata soltanto in minima parte. Anche se non vi trovate in zone di guerra, è importante conoscere questa differenza e agire di conseguenza.

Da parte sua, Pavel Durov ha scritto su Twitter pochi giorni fa che “nove anni fa ho difeso i dati privati degli ucraini dal governo russo e per questo ho perso la mia azienda e la mia casa. Lo rifarei senza esitazioni”.

Parole forti e vicende personali che ispirano fiducia. Ma uno dei princìpi basilari in informatica è che un sistema sicuro non deve basarsi sulla fiducia negli intermediari, ma sul fatto che gli intermediari non possano leggere i dati degli utenti, neanche volendo.

Fonti aggiuntive: Forbes, Mashable, The Guardian, BBC.