Edward Snowden spiega come difendere la vostra privacy

Micah Lee

12 novembre 2015

Avvertenza: nel seguito, quanto è in corsivo tra parentesi quadre, è di Micah Lee; quanto è in tondo corpo 8 tra parentesi quadre precedute da asterisco, è del traduttore.

Il mese scorso ho incontrato Edward Snowden in un hotel nel centro di Mosca, a pochi isolati dalla Piazza Rossa. Era la prima volta che ci incontravamo di persona. Mi aveva scritto un paio di anni fa, poi avevamo creato un canale di comunicazione criptato per i giornalisti Laura Poitras e Glenn Greenwald, ai quali Snowden voleva rivelare la dilagante e frenetica sorveglianza di massa messa in atto dalla National Security Agency (NSA) e dal suo equivalente britannico GCHQ (Government Communications Headquarters).

Oramai Snowden non era più nascosto nell’anonimato. Tutti sapevano chi era, molte delle informazioni che aveva rivelato erano di dominio pubblico ed era noto che viveva in esilio a Mosca, dove era rimasto bloccato quando il Dipartimento di Stato USA gli aveva annullato il passaporto mentre stava recandosi in America Latina. La sua situazione adesso era più stabile e le minacce contro di lui un po’ più facili da prevedere. Quindi ho incontrato Snowden con meno paranoia di quella che era invece giustificata nel 2013, ma con più precauzioni per la nostra sicurezza personale, visto che questa volta le nostre comunicazioni non sarebbero state telematiche ma di persona.

Il primo incontro è avvenuto nella hall dell’hotel. Mi ero portato dietro tutto il mio armamentario elettronico. Avevo spento il mio smartphone e l’avevo messo in una gabbia di Faraday, uno strumento progettato per bloccare tutte le emissioni radio. La gabbia era nello zaino assieme al mio computer portatile (che avevo configurato e reso più sicuro appositamente per questo viaggio in Russia). Sia il computer che lo smartphone erano spenti. Entrambi erano configurati in modo da stoccare le informazioni in forma criptata, ma il sistema di criptazione non è inattaccabile e lasciarli in camera sarebbe stato un invito alla manomissione.

La maggior parte dei divani della hall erano occupati da russi ben vestiti che sorseggiavano cocktail. Mi sono installato su un divano vuoto, appartato e fuori dal campo di sorveglianza dell’unica telecamera di sicurezza che sono riuscito a individuare. Snowden mi aveva detto che avrei dovuto aspettare un po’ prima di incontrarlo e per un attimo mi sono chiesto se fossi sorvegliato. Un uomo con la barba, occhiali e impermeabile, stava in piedi a pochi passi da me, senza far altro che fissare una vetrata colorata. Dopo un po’ ha fatto un giro attorno al divano dove ero seduto e, quando i nostri sguardi si sono incrociati, se n’è andato.

Finalmente è comparso Snowden. Ci siamo sorrisi e ci siamo detti quanto ci facesse piacere incontrarci. Prima di incominciare a parlare sul serio, siamo saliti per una scala a chiocciola accanto a un ascensore fino alla camera dove avrei fatto l’intervista.

Poi è risultato che avrei potuto prendere meno precauzioni a proposito della sicurezza. Snowden mi ha detto che potevo servirmi del mio telefono, così ho potuto combinare un appuntamento con alcuni amici comuni che erano in città. La sicurezza operativa *[operational security, opsec] è stato uno dei temi ricorrenti delle diverse conversazioni che abbiamo avuto a Mosca.

Nella maggior parte delle sue precedenti dichiarazioni, Snowden ha parlato dell’importanza della privacy, del bisogno che ci sia una riforma dei sistemi di sorveglianza e della criptazione. Ma raramente ha avuto l’occasione di entrare nei dettagli e aiutare anche persone prive di una grande formazione tecnica a capire i metodi della sicurezza operativa e quindi a rafforzare la propria sicurezza e la propria privacy.

Ci siamo trovati d’accordo sul fatto che la nostra intervista si dovesse incentrare più sulle questioni da nerd *[fanatici dell’informatica] che su quelle politiche, perché siamo entrambi dei nerd e non c’erano altre interviste su questo tono. Credo che Snowden abbia voluto usare il nostro incontro per promuovere progetti all’avanguardia nella sicurezza e per spingere la gente a usarli.

Ad esempio, Snowden mi ha detto che prima del nostro incontro aveva scritto su Twitter a proposito di TOR, il sistema per usare Internet mantenendo l’anonimato e che era rimasto sorpreso di quante persone pensano che TOR è un complotto del governo. Voleva dissipare questo genere di fraintendimenti.

La nostra intervista, realizzata mentre mangiavamo hamburger serviti in camera, è iniziata discutendo di alcune nozioni di base.

Micah Lee: Quali sono le pratiche di sicurezza operativa che tutti dovrebbero adottare? Diciamo quelle utili per un utente medio.

Edward Snowden: La sicurezza operativa è una cosa importante, anche se non ci si sente preoccupati per lo spionaggio della NSA. Perché quando si parla di vittime di sorveglianza abusiva, si deve pensare a persone che hanno relazioni extra-coniugali, a vittime di stalking, a giovani preoccupati dell’invadente controllo dei genitori. Si tratta innanzitutto di pretendere un certo grado di privacy.

- Un primo passo che chiunque può fare è quello di criptare le telefonate e i messaggi di testo (sms). Si può farlo usando l’app *[l’application, il programma specifico] per smartphone Signal, messa a punto dalla Open Whisper Systems. È gratuita, basta scaricarla. Anche se le vostre conversazioni sono intercettate, non possono essere comprese da un eventuale spione. [Signal è disponibile per iOS e Android e, a differenza di molti altri strumenti per la sicurezza, è molto facile da usare]

- Si dovrebbe anche criptare il disco rigido in modo che, se il computer viene rubato, le informazioni registrate su di esso non sono leggibili - foto, indirizzo di casa, indirizzo del posto di lavoro, i luoghi che frequentano i vostri figli, dove si trova la vostra università, ecc. [Ho scritto una guida per la criptazione del disco per Windows, Mac e Linux reperibile in https://theintercept.com/2015/04/27/encrypting-laptop-like-mean/]

- Utilizzare un gestore di password. Una delle cose che rende le informazioni personali più esposte, anche agli spioni meno dotati, sono i

data dump *[ad esempio i flussi di dati trasferiti da un computer all’altro, i dati che i computer registrano quando vanno in tilt e creano copie della memoria sul disco]. Le vostre credenziali (come username e password) possono essere ottenute anche da qualcuno che hackera un sito che voi avete smesso di usare, poniamo, nel 2007, ma ad esempio la password a suo tempo utilizzata per quel sito Internet è la stessa che state ancora usando per la vostra casella Gmail. Un gestore di password consente di creare password sicure, ognuna dedicata a un solo sito Internet, ma senza il problema di doverle memorizzare. [Il gestore di password KeePassX è gratuito, open source, funziona su Windows, Linux e Apple e non memorizza nulla su Internet]

- Un’altra misura da adottare è l’identificazione a due fattori. Il punto di forza di questo metodo è che se qualcuno si appropria della vostra password, oppure se avete lasciato la password in bella mostra … l’identificazione a due fattori consente al provider *[al fornitore di servizi Internet] di fornirvi un mezzo alternativo di identificazione - per esempio un sms o qualcosa di simile. [Se attivate l’identificazione a due fattori, un hacker avrà bisogno sia della password (primo fattore), sia di un dispositivo fisico, come il vostro telefono, come secondo fattore. Gmail, Facebook, Twitter, Dropbox, GitHub, Battle.net e una miriade di altri servizi permettono l’utilizzo dell’identificazione a due fattori (una lista di questi servizi la trovate sul sito: https://twofactorauth.org/)]

Non dobbiamo vivere come se fossimo elettronicamente nudi. Dobbiamo corazzarci con sistemi su cui possiamo contare nella vita di tutti i giorni. Questo non deve comportare un enorme cambiamento nello stile di vita. Non deve essere qualcosa che sconvolge le nostre abitudini. Deve essere invisibile, far parte della quotidianità, deve essere qualcosa che si attua in maniera indolore, senza sforzo. Questo è il motivo per cui mi piacciono i programmi per smartphone come Signal, perché sono facili. Non vi chiedono di cambiare le vostre abitudini. Non richiedono un cambiamento nella vostra maniera di comunicare. Li potete usare già da subito per comunicare con gli amici.

Lee: Cosa pensi di TOR? Pensi che tutti dovrebbero avere familiarità con esso o che lo deve usare solo chi ne ha assoluto bisogno?

Snowden: Penso che TOR sia il progetto più importante che oggi abbiamo a disposizione per quanto concerne la tutela della privacy. Io uso sempre TOR. Sappiamo che funziona, lo abbiamo verificato almeno in un caso esemplare che ora molti ben conoscono *[Snowden si riferisce all’operazione con cui ha reso pubbliche le informazioni che ha sottratto ai servizi segreti USA]. Questo non vuol dire che TOR sia a prova di bomba. TOR è solo una misura di sicurezza che consente di dissociare la vostra posizione geografica dalla vostra attività su Internet.

Ma l’idea di base, il concetto che fa di TOR uno strumento così prezioso, è che la rete TOR è gestita da volontari. Chiunque può attivare un nuovo nodo della rete TOR, che si tratti di un nodo d’ingresso, intermedio o di uscita, basta che accetti di correre un certo rischio. La natura volontaria di questa rete significa che è capace di far fronte a ogni colpo, è resistente, è flessibile.

[TOR Browser è un ottima via per l’uso di TOR per accedere a un dato su Internet senza lasciare traccia. Può anche aiutare ad aggirare la censura quando siete in una rete in cui alcuni siti sono bloccati. Se desiderate coinvolgervi di più, si può volontariamente avviare il proprio nodo TOR, come faccio io: questo aumenta le capacità di comunicazione e la sicurezza della rete TOR]

Lee: Quello che dici sono cose che tutti dovrebbero fare. Ma che dire di persone che sono sottoposte a minacce eccezionali, come i futuri “lanciatori di allerta” *[i “lanciatori di allerta”, nel mondo anglosassone whistleblowers: quelli che lavorano in una struttura e rendono pubbliche le informazioni a cui hanno accesso grazie al lavoro che fanno e che i loro padroni abusivamente vorrebbero restassero segrete, tipo Snowden stesso, Assange, Manning, ecc.] che svelano le manovre dei servizi segreti e altre persone che hanno tra i loro avversari lo Stato? Cioè i giornalisti, gli attivisti e le persone impegnate nella denuncia politica?

Snowden: La prima risposta è che non si può imparare da un solo articolo tutto quello che occorre sapere. Le esigenze d’individui che si trovano in una situazione ad alto rischio sono diverse da caso a caso. Le capacità degli spioni sono in costante miglioramento e cambiano di continuo anche gli strumenti di cui disponiamo per difenderci.

Quello che conta davvero è essere consapevoli della necessità di un compromesso. In generale, bisogna porsi alcune questioni: come può il nemico avere accesso ai vostri dati sensibili? Quali sono le informazioni da proteggere? Perché, naturalmente, non c’è bisogno di nascondere tutto all’avversario. Non è necessario vivere in stato di paranoia, isolarsi e nascondersi nei boschi del Montana.

Quello che cerchiamo di proteggere sono le informazioni sulle nostre attività, le nostre convinzioni e le nostre vite, che potrebbero essere utilizzate contro di noi, contro i nostri interessi. Pensiamo ad esempio ai whistleblowers: se avete assistito a un qualche tipo di azione illecita, avete deciso di rivelare queste informazioni e credete che ci siano persone che vogliono impedirvi di farlo, allora è necessario pensare a come frazionare tutto ciò in compartimenti separati.

Non parlate con nessuno che non ha bisogno di sapere. [Lindsay Mills, per anni la ragazza di Snowden, non era a conoscenza del fatto che lui stava raccogliendo documenti da rivelare ai giornalisti, fino a che non venne a saperlo dai mass-media, come tutti gli altri]

Quando si parla di whistleblowers e di come agire, si deve pensare a strumenti per proteggere la propria identità, per proteggere l’esistenza di una relazione tra voi e le vostre informazioni da e in qualsiasi tipo di sistema di comunicazione tradizionale. Si deve utilizzare per esempio un sistema come SecureDrop *[sistema che associazioni e quotidiani utilizzano per permettere ai cittadini di trasmettere loro informazioni in modo riservato] attraverso la rete TOR. In questo maniera non risulta alcun collegamento tra il computer che in quel momento state usando e le informazioni che inviate attraverso Internet. Possibilmente utilizzando un sistema operativo live come Tails *[Sistema Linux su chiavetta USB già predisposto per l’uso di TOR], così da non lasciare alcuna traccia utile alla polizia e alla magistratura sul computer che state usando. Che, per di più, potrebbe essere un computer o telefono di cui vi potete sbarazzare in seguito, che non può essere trovato durante una perquisizione, che non può essere analizzato. In tal modo, l’unica traccia delle vostre attività saranno gli articoli dei giornalisti a cui avrete inviato le vostre informazioni. [SecureDrop è un sistema di contatto per whistleblowers. Ecco una guida all’utilizzo del server SecureDrop del sito Intercept nel modo più sicuro possibile]

Tutto questo anche per essere sicuri che chi è coinvolto nell’affare illecito che rivelate, non è in grado di distrarre l’attenzione dalla questione in gioco