Poiché questo Registra articolo è stato pubblicato di recente, alcuni attivisti sono preoccupati riguardo alla possibilità o meno di fidarsi di ProtonMail.

Il CLDC ha espresso riserve sul fatto che ProtonMail potrebbe non essere la scelta migliore per gli attivisti. Nonostante le recenti notizie preoccupanti, ProtonMail è comunque una scelta ragionevole per le email crittografate. In quanto servizio che gestisce le tue chiavi di crittografia, ProtonMail non può offrire una sicurezza garantita così forte come le classiche email crittografate PGP/GPG. Ma se il tuo gruppo non ha il tempo, la capacità o la volontà che ogni membro dedichi circa 90 minuti al CLDC per una formazione sulla crittografia delle email e per fornire supporto continuo, ProtonMail potrebbe essere la scelta migliore per te. Tieni d'occhio gli aggiornamenti su https://cldc.org/protonmail nelle prossime settimane, dove potremmo un po' ammorbidire la nostra iniziale fredda opinione su ProtonMail.

Prima di analizzare i recenti resoconti dei media, chiariamo una cosa: l'email non è più la scelta migliore per le comunicazioni sicure.

Innanzitutto, a meno che *ogni* membro del tuo gruppo non utilizzi lo stesso provider di posta elettronica affidabile, non importa quanto forte sia la crittografia del messaggio, il tuo metadati (statistiche ricche di informazioni sui tuoi dati: con chi stai inviando email, esattamente quando e quanto spesso, oltre alla riga dell'oggetto non crittografata) sono sempre ampiamente visibili ad avversari capaci su Internet. Approfondiremo questo aspetto in un futuro articolo, ma le uniche app di comunicazione crittografata facili da usare che possono proteggere i tuoi metadati sono Signal[.org] (la migliore) o (la successiva migliore) Wire[.com] e Keybase[.io]. Se desideri garanzie sulla protezione dei metadati, dovrai addentrarti nei dettagli e utilizzare app meno intuitive in combinazione con Tor. Siamo felici di darti una mano, ma può essere molto impegnativo. Se ritieni fermamente che proteggere le identità delle persone sia importante, per favore contattare.

Quindi, qual è il putiferio attuale riguardo a ProtonMail? È *brutto*, ma non è nulla che non sapessimo già. L'articolo riporta suggerimenti che ProtonMail stia collaborando con le autorità per fornire registri degli indirizzi IP. Ciò significa che ProtonMail sembra stia lavorando con la polizia svizzera per raccogliere e condividere metadati delle e-mail. Come già detto, i metadati sono dati vitali sui tuoi dati: non cosa viene scritto, ma chi comunica con chi, quando e quanto spesso. Una ricca fonte di informazioni, certamente. Ma è molto difficile proteggere i metadati delle e-mail da un avversario capace (principalmente governi con capacità di sorveglianza globale e potere di citazione in giudizio, o società ben collegate).

La tua migliore opzione per le email è un provider di email amico del movimento con l'impegno a non divulgare alcuna informazione degli utenti, come riseup.net o mayfirst.org. L'uso di PGP/GPG in combinazione con un provider di email affidabile è la cultura di sicurezza ideale. Il tuo gruppo o la tua campagna hanno la massima protezione (dati e metadati). Anche il tuo provider di email amico del movimento è protetto, poiché sarebbe in grado di condividere solo rumore indecifrabile. In altre parole: non devono chiudere o andare in prigione per proteggere le tue comunicazioni.

Naturalmente ProtonMail non è un'organizzazione attivista – ed è vero che di default non hanno accesso ai contenuti dei tuoi messaggi email o allegati. Ma questo è vero solo se non ti attaccano attivamente. Dato che ProtonMail sembra collaborare con le forze dell'ordine svizzere per condividere metadati in determinati casi, è importante sapere che ProtonMail potrebbe anche fare di peggio, se costretto. Naturalmente questo è molto più invasivo e molto meno probabile, ma è tecnicamente possibile.

Il marketing di ProtonMail è gravemente fuorviante. Dicono cose come:

“Non abbiamo le capacità tecniche per decifrare i tuoi messaggi e, di conseguenza,", non siamo in grado di cedere i tuoi dati a terzi. Con ProtonMail, la privacy non è solo una promessa, è matematicamente garantita.”

Non è vero. Lo schema di crittografia di ProtonMail, sebbene infinitamente migliore di Gmail e altri, che possono semplicemente consegnare tutti i dati della tua organizzazione su richiesta, richiede comunque che tu non abbia altra scelta che fidarti che facciano la cosa giusta. Nello specifico, se fosse motivata, ProtonMail potrebbe:

• Consegna la tua chiave privata (che possiedi, protetta solo dalla forza della tua frase di passaggio) alle autorità, che potranno quindi utilizzare risorse formidabili per tentare di decifrare la tua frase di passaggio utilizzando metodi di forza bruta (significa: provare tutte le password finché non hanno fortuna);
• Serve a una versione dannosa del client webmail ProtonMail (JavaScript) per catturare la passphrase della chiave privata; oppure
• Cripta i tuoi messaggi email in modo che possano essere letti anche da una parte esterna (tecnicamente: cripta la tua email con una chiave pubblica controllata da un agente statale) – questo richiederebbe probabilmente anche un client di webmail dannoso.

Se stai usando ProtonMail, ecco tre passaggi per difenderti in modo efficace:

• Usa una passphrase sicura per proteggere la tua chiave privata.
• Utilizza il client ProtonMail (app mobile o ProtonMail Bridge per desktop) e non accedere mai per leggere/inviare email utilizzando il sito web di ProtonMail.
• Per proteggere i metadati, usa Tor Browser o una VPN attendibile (Tor è migliore, non richiede fiducia esplicita) per creare e accedere sempre al tuo account ProtonMail.

Se si compiono tutti e tre i passaggi, si riesce effettivamente a raggiungere una ragionevole sicurezza delle email.

Quindi, alla fine, il Registra l'articolo non dice nulla di tecnico che non sapessimo già: ProtonMail è molto comodo e offre una situazione di sicurezza molto migliore di Gmail ecc. Tuttavia, i movimenti di sinistra e liberatori dovrebbero essere consapevoli che ci sono scelte che offrono garanzie di sicurezza molto migliori.

Al momento amiamo Keybase.io (ma devi fidarti di loro con i tuoi metadati). Signal.org offre la migliore protezione possibile dei metadati (con un'interfaccia molto user-friendly), ma devi comunque fidarti di loro affinché non registrino e non consegnino i tuoi metadati, se costretti. Wire.com ti protegge da fascisti o stalker poco sofisticati (non devi fornire il tuo numero di cellulare nelle riunioni pubbliche) e offre in modo unico chiamate in conferenza criptate per piccoli gruppi.

Contattaci con domande e richieste di formazione all'indirizzo https://cldc.org/contact. Possiamo aiutarti a mantenerti al sicuro, quindi contattaci prima di rendere pubblica la tua prossima campagna!