Per verificare una chat cifrata, controlla lo stato della crittografia nell’app, conferma di avere il contatto giusto e usa la procedura di verifica delle chiavi supportata. Confrontare un numero di sicurezza o un codice QR attraverso un canale indipendente e fidato è un’opzione pratica; alcune app offrono anche una verifica automatica basata sulla trasparenza delle chiavi. Né un nome familiare né un lucchetto, da soli, dimostrano l’identità di una persona.
Perché una chat cifrata non è automaticamente verificata
La crittografia end-to-end è progettata affinché soltanto i dispositivi partecipanti a una conversazione possano leggerne i messaggi. Ogni partecipante possiede chiavi crittografiche e il mittente usa informazioni sulle chiavi associate al destinatario per proteggere i messaggi destinati a quello specifico dispositivo.
Questo risponde a una domanda importante: la conversazione è cifrata tra i dispositivi? Non risponde, da solo, a un’altra: la chiave mostrata per questo contatto appartiene davvero alla persona che intendo raggiungere?
Se qualcuno presenta una chiave fingendosi il tuo contatto, la crittografia può funzionare anche se quella chiave appartiene a un impostore. Il messaggio è cifrato, ma per il dispositivo sbagliato.
La verifica del contatto collega un’identità crittografica a un’identità umana. È un passaggio essenziale prima di inviare password, informazioni finanziarie, documenti privati o contenuti multimediali sensibili.
Che cosa può dimostrare la verifica delle chiavi e che cosa no
Un’impronta corrispondente stabilisce che le informazioni sulle chiavi confrontate coincidono. Collegare quella chiave a una persona dipende da come hai effettuato il confronto. Se la confronti con un impostore, puoi verificare correttamente il dispositivo dell’impostore. La verifica non dimostra neppure che il dispositivo sia privo di malware o che il proprietario manterrà riservato il messaggio.
La verifica automatica delle chiavi di Signal usa la trasparenza delle chiavi per controllare la coerenza tra identificatori degli account e chiavi pubbliche. Affianca i controlli manuali dei numeri di sicurezza, ma la disponibilità dipende dal contatto e dal supporto attuale dell’app. Segui la schermata di verifica invece di presumere che ogni chat offra questa funzione. La coerenza dei registri delle chiavi e la conferma dell’identità reale di una persona sono obiettivi distinti.
L’accordo di chiavi post-quantistico non elimina questa distinzione. Uno scambio di chiavi più resistente deve comunque stabilire le chiavi con il dispositivo previsto. La documentazione sulla sicurezza di Livara descrive i suoi protocolli e confini di fiducia; queste dichiarazioni non sostituiscono il controllo della conversazione effettiva o una valutazione indipendente.
Come funziona la verifica del numero di sicurezza
Molte app di messaggistica cifrata trasformano informazioni crittografiche complesse in un’impronta leggibile: un lungo numero di sicurezza, una sequenza di parole o un codice QR. Entrambi i partecipanti dovrebbero vedere rappresentazioni corrispondenti per la stessa identica conversazione.
Verificare il numero di sicurezza significa confrontare queste rappresentazioni con il contatto. Una corrispondenza fornisce evidenza che entrambe le parti stanno confrontando le stesse informazioni sulle chiavi, purché il canale di confronto e i dispositivi siano affidabili. Una mancata corrispondenza richiede di fermarsi e indagare immediatamente.
L’interfaccia varia da un’app all’altra, ma il procedimento essenziale per verificare le chiavi di cifratura è simile:
- Apri i dettagli della conversazione con il contatto.
- Cerca l’opzione chiamata crittografia, sicurezza, verifica contatto o numero di sicurezza.
- Visualizza l’impronta numerica o il codice QR.
- Confrontala con la versione mostrata sul dispositivo del contatto.
- Contrassegna il contatto come verificato se l’app offre questa opzione.
Un’impronta è utile soltanto se la confronti attraverso un canale affidabile. Copiare un numero di sicurezza nella stessa chat non verificata non dimostra l’identità: un attaccante che controlla quel canale potrebbe intercettarlo e fornire informazioni corrispondenti.
Verificare il contatto di persona con un codice QR
La verifica del contatto tramite codice QR è un modo comodo per confrontare tutti i dati di verifica quando le due persone sono fisicamente nello stesso luogo. Apri la schermata di verifica su entrambi i dispositivi, poi usane uno per scansionare il codice QR mostrato dall’altro. Segui la procedura di conferma dell’app e assicurati che segnali una corrispondenza riuscita.
Usa questa lista di controllo operativa:
- Conferma di stare guardando l’esatta conversazione del contatto previsto.
- Lascia che il contatto sblocchi e usi il proprio dispositivo.
- Scansiona il codice direttamente dal suo schermo attivo, non da uno screenshot inoltrato.
- Leggi attentamente il risultato prima di contrassegnare il contatto come verificato.
- Se la scansione fallisce o segnala una mancata corrispondenza, non scambiare informazioni sensibili.
Un codice QR non è intrinsecamente più robusto dal punto di vista matematico di un’impronta numerica: è semplicemente una rappresentazione dei dati di verifica meno soggetta a errori. Il suo valore dipende dall’autenticità del canale di confronto, dall’implementazione dell’app e dalla sicurezza di entrambi i dispositivi.
Verificare a distanza attraverso un canale separato
Quando incontrarsi non è pratico, la verifica fuori banda, cioè attraverso un altro canale, offre un’alternativa manuale. Significa confrontare l’impronta usando un percorso di comunicazione completamente separato dalla chat che stai controllando.
Per esempio, chiama il contatto a un numero telefonico tradizionale che conosci già e chiedigli di leggere ad alta voce il numero di sicurezza dal suo dispositivo. Confrontalo attentamente con quello mostrato sul tuo. Riconoscere una voce o un’immagine video, da solo, non è conclusivo: gli account possono essere compromessi e audio o video possono essere imitati. Per richieste ad alto rischio, combina un canale di contatto indipendente già noto con informazioni contestuali di cui ti fidi, e non usare un numero sostitutivo fornito soltanto dall’account non verificato.
La regola fondamentale è che il secondo canale non deve dipendere dall’identità dichiarata all’interno della chat che stai esaminando.
Evita queste trappole di sicurezza:
- Non chiedere al contatto di incollare il numero nella stessa conversazione non verificata.
- Non fidarti di uno screenshot soltanto perché sembra l’interfaccia autentica dell’app.
- Non accettare «è cambiato perché ho un telefono nuovo» senza confermare la spiegazione in modo indipendente.
- Non confrontare soltanto le prime e le ultime quattro cifre di un’impronta lunga, a meno che l’app non abbia progettato espressamente così la propria procedura di verifica.
Che cosa significa un cambiamento inatteso della chiave
Le chiavi di cifratura cambiano regolarmente per ragioni legittime. Un contatto può sostituire il telefono, reinstallare l’app o reimpostare l’account; le azioni esatte che cambiano le chiavi d’identità dipendono dal servizio. Una chiave cambiata, quindi, non è una prova certa di un attacco con interposizione di un intermediario.
Considera un cambiamento inatteso come un motivo per verificare prima di inviare materiale sensibile. La nuova chiave può essere legittima, ma il precedente confronto manuale non la rende automaticamente attendibile. Se l’app segnala un cambiamento del codice di sicurezza:
- Interrompi l’invio di informazioni sensibili.
- Contatta la persona attraverso un canale noto e indipendente, esterno alla chat.
- Chiedi se ha cambiato dispositivo o reinstallato l’app di recente.
- Apri la schermata di verifica attuale su entrambi i dispositivi.
- Verifica nuovamente il numero di sicurezza.
- Riprendi le comunicazioni sensibili soltanto quando i valori coincidono perfettamente.
Diffida soprattutto se il contatto insiste perché tu ignori l’avviso, richiede trasferimenti di denaro urgenti o rifiuta una verifica attraverso un altro canale.
Una routine pratica di fiducia per le chat cifrate
Applica le procedure di verifica in proporzione al tuo modello di minaccia. Per le conversazioni ordinarie, presta attenzione agli avvisi di cambiamento delle chiavi. Per attività molto riservate, esegui sempre una verifica completa prima di inviare il primo contenuto sensibile.
La verifica riduce il rischio di cifrare per una chiave inattesa. Non sostituisce la sicurezza del dispositivo, la scelta accurata del destinatario o il giudizio su che cosa inviare. Mantieni la verifica proporzionata alle conseguenze di un invio alla persona sbagliata.
