Chiudere una scheda, uscire dall’account e revocare un dispositivo collegato sono tre operazioni diverse.
Nella sicurezza dei messenger web non esiste un vincitore assoluto per ogni scenario. La cifratura è soltanto uno strato di sicurezza: per una vera chat privata nel browser occorre gestire anche la sicurezza del dispositivo, le sessioni attive e le estensioni del browser.
Messenger come WhatsApp Web ed Element funzionano sul web; Signal Desktop è un’applicazione desktop da installare, non un sito web; Telegram Web si basa sulle chat cloud. Le caratteristiche di ciascun prodotto vanno valutate separatamente.
I punti principali sulla sicurezza
- La cifratura end-to-end (E2EE) protegge i dati durante la trasmissione, ma non impedisce il furto di informazioni da parte di malware, compresi quelli che catturano lo schermo.
- Livara usa la cifratura end-to-end ibrida post-quantistica (Hybrid Post-Quantum E2EE) per i messaggi individuali, i gruppi privati compatibili con E2EE attiva e i contenuti multimediali coperti dalla stessa conversazione. I canali non sono cifrati end-to-end e sono leggibili dal server.
- Signal Desktop è un’applicazione installabile, non web; normalmente un’estensione del browser non ne legge direttamente la schermata di chat. Il malware sul dispositivo resta un problema distinto.
- Telegram Web non offre cifratura end-to-end nelle normali chat cloud.
- Uscire dalla sessione attiva del messenger sui computer condivisi è indispensabile per impedire successivi accessi non autorizzati.
Da cosa dipende la sicurezza di un messenger web?
La sicurezza delle applicazioni web poggia su quattro elementi: algoritmo di cifratura, gestione delle sessioni, affidabilità del dispositivo e modalità di distribuzione del codice. Sul web, la catena di distribuzione e aggiornamento del codice dipende dal servizio web; la cache del browser o un Service Worker può conservare risorse precedenti, quindi non è detto che a ogni visita venga scaricato tutto il codice aggiornato. I principali rischi specifici dell’ambiente web sono:
- Sessioni abbandonate: l’autorizzazione conservata nel browser per mantenere l’utente connesso.
- Estensioni dannose: estensioni che accedono al contenuto della pagina, inclusi i messaggi decifrati.
- Dati locali: file scaricati che rimangono sui computer condivisi.
Confronto tra messenger web cifrati
Questi cinque messenger hanno architetture diverse. Ecco una valutazione pratica delle loro caratteristiche di sicurezza.
| Messenger | Ambiente | Protezione e cifratura | Principali rischi sul web / su computer condivisi |
|---|---|---|---|
| Livara | Web e Android | Secondo la documentazione, E2EE per messaggi diretti e gruppi privati compatibili in modalità E2EE; i canali sono leggibili dal server. Proof Lab dimostra P-256/HKDF/AES-GCM e la verifica degli hash: non è un audit dell’architettura né un’implementazione completa dei protocolli. | Sessioni aperte o malware sul computer condiviso, come per tutti gli strumenti web. |
| WhatsApp Web | Browser | Secondo la documentazione, i messaggi in modalità multidispositivo sono cifrati end-to-end (E2EE). | Il dispositivo collegato rimane attivo dopo aver lasciato il computer. |
| Signal Desktop | Applicazione autonoma | Tutti i messaggi sono cifrati end-to-end per impostazione predefinita. | Accesso fisico se lo schermo non è bloccato o non si esce dalla sessione. |
| Telegram Web | Browser | Le normali chat cloud non hanno E2EE. | Una sessione aperta consente l’accesso immediato a tutte le chat cloud. |
| Element | Browser e desktop | E2EE nelle stanze in cui la cifratura è attivata; basato sul protocollo Matrix. | Complessità della verifica dei dispositivi e della conservazione sicura delle chiavi di recupero. |
Nota: leggi sempre la documentazione ufficiale di ciascun servizio prima di trasferire dati altamente riservati.
Come scegliere l’opzione adatta?
Definisci innanzitutto l’ambiente. Signal Desktop è un’applicazione collegata da installare: non dedurne l’esistenza di un «Signal Web» ufficiale. Anche l’architettura multidispositivo di WhatsApp spiega perché ogni dispositivo collegato è un endpoint importante.
In Telegram, non confondere le chat cloud con le chat segrete. Un gruppo con iscrizione privata non è per questo cifrato end-to-end. In Element, verifica separatamente l’attivazione della cifratura della stanza e l’affidabilità dei dispositivi; l’hosting autonomo, da solo, non garantisce la sicurezza del client o del destinatario.
Per Livara, parti dai confini dichiarati del prodotto. Questo articolo non sostiene una superiorità crittografica assoluta né l’esistenza di un’applicazione desktop nativa. La scelta deve rispecchiare l’esigenza di usare il browser, la gestione dei dispositivi e le evidenze di sicurezza della versione utilizzata.
Perché uscire dalla sessione attiva è fondamentale?
Uscire dalla sessione attiva del messenger è una misura importante per ridurre i rischi sui computer condivisi. Invalida le autorizzazioni memorizzate, ma non cancella i messaggi scaricati o copiati.
Per tutelare la sicurezza sui computer non personali, segui questi passaggi:
- Esci direttamente dall’account tramite l’interfaccia del messenger (Log Out).
- Sullo smartphone, revoca l’accesso del computer condiviso nella sezione Dispositivi collegati (Linked Devices).
- Elimina manualmente dal computer i file scaricati.
- Usa un profilo del browser separato o la modalità in incognito, in modo che i dati della sessione normalmente non siano conservati dopo la chiusura di tutte le finestre in incognito; questo, però, non blocca il malware.
Estensioni e rischi dei computer condivisi
Un’estensione autorizzata a leggere i dati della pagina può leggere i messaggi decifrati direttamente nel browser. A quel punto, anche i più forti algoritmi di rete sono inefficaci. Per creare un ambiente sicuro per una chat privata nel browser:
- Usa un profilo del browser separato, senza estensioni installate.
- Mantieni aggiornato il sistema operativo.
- Negli ambienti di lavoro, ricorda che i software di monitoraggio dell’organizzazione possono registrare il contenuto dello schermo.
Un breve test della sessione web
Con un messaggio non sensibile, verifica la differenza tra chiudere la scheda e uscire dall’account. Poi revoca la sessione dal dispositivo principale e osserva quali contenuti il browser mostra ancora. Controlla separatamente la cartella dei download. Questo test mostra il comportamento ordinario di quella versione, non garantisce la cancellazione di tutte le copie.
Per conversazioni ad alto rischio, un computer di cui non ti fidi non è una scelta adatta: la modalità in incognito o un protocollo robusto non lo rendono affidabile.
Domande frequenti (FAQ)
Un messenger web è intrinsecamente meno sicuro di un’applicazione desktop?
No. Entrambi gli ambienti presentano rischi specifici. Il web è esposto alle estensioni, mentre il desktop dipende dalla sicurezza della catena di distribuzione del pacchetto di installazione. In entrambi i casi, un dispositivo infetto espone le informazioni.
La modalità in incognito basta per una chat privata nel browser?
No. Limita la conservazione di alcuni dati di navigazione; download e segnalibri possono rimanere, e il malware sul dispositivo resta un rischio. Anche un profilo separato non costituisce una barriera di sicurezza contro l’amministratore del dispositivo o il malware.
Cosa fare se ho dimenticato di uscire dalla sessione sul computer condiviso?
Apri subito l’applicazione principale sul telefono, vai a Sessioni attive / Dispositivi collegati (Active Sessions / Linked Devices) e termina manualmente la sessione interessata (Terminate).
