Guida alla privacy per soggetti a rischio (extra)

Questo è un approfondimento speciale per scenari ad alto rischio, indipendente dal percorso in tre parti (Guida alla privacy essenziale (1/3), Guida alla privacy intermedia (2/3) e Guida alla privacy avanzata (3/3)).

Non si parla più di comodità o di evitare la pubblicità personalizzata: questa guida è pensata esclusivamente per chi ha un modello di minaccia alto o critico (professionisti che gestiscono dati ultra-sensibili, giornalisti, attivisti, whistleblower o persone sottoposte a sorveglianza).

Qui ogni decisione tecnica è orientata a ridurre la superficie d’attacco e impedire l’identificazione anche di fronte a risorse avanzate o avversari statali.

1. Threat modeling per esperti: Profilo A e Profilo B

A questo livello non ha senso parlare del “cittadino comune”: gli strumenti qui descritti comportano attriti reali nella vita quotidiana. Hanno senso solo se hai risposte chiare a queste domande: cosa stai proteggendo? da chi ti stai difendendo? quali sono le conseguenze se fallisci?

I due profili di riferimento:

• Profilo A: Professionista con dati ultra-sensibili (Avvocati, medici, analisti finanziari, investigatori, custodi di segreti industriali).

  • Minaccia principale: Spionaggio industriale, malware mirato, furto o sequestro di dispositivi, estorsione e violazione del segreto professionale.
  • Focus: Cifratura a riposo (LUKS/VeraCrypt), autenticazione hardware 2FA (YubiKey), VPN/Firewall proprietari (OPNsense) e pagamenti/comunicazioni tracciabili azzerati.

• Profilo B: Attivista, giornalista o whistleblower sotto sorveglianza

  • Minaccia principale: Sorveglianza statale, intercettazioni di rete (IMSI catcher), analisi dei metadati, sequestro fisico di dispositivi e tracciamento dell’identità reale.
  • Focus: Anonimato totale via Tor/Tails/Kodachi/Whonix, messaggistica senza ID (SimpleX/Session), transazioni in Monero senza KYC, compartmentalizzazione estrema (Qubes OS) e isolamento radio (Faraday Bag).

2. Crittografia completa del disco e negabilità plausibile

La crittografia del disco protegge i dati quando il dispositivo è spento o estratto dal suo alloggiamento.

Su Linux: LUKS con Argon2id

La maggior parte delle installazioni Linux usa LUKS. A livello esperto, occorre indurire la derivazione della chiave e proteggere l’header.

• ❌ Usare chiavi derivate da PBKDF2 standard: vulnerabili al cracking via GPU se la password non è lunghissima
• ✅ LUKS2 con Argon2id: la funzione di derivazione della chiave più resistente contro gli attacchi brute-force basati su schede grafiche
• ✅ LUKS Detached Header: l’header del disco cifrato viene salvato su una chiavetta USB separata. Senza la USB, il disco appare come casuale rumore di fondo e non è nemmeno identificabile come disco cifrato

Su Windows / Cross-Platform: VeraCrypt e volumi nascosti

Per chi deve usare Windows o trasportare dischi esterni cifrati:

• ❌ Affidarsi a BitLocker: closed source, con chiavi di ripristino potenzialmente sincronizzate sul cloud Microsoft
• ✅ VeraCrypt (Volumi nascosti / Plausible Deniability): permette di creare una “cassaforte dentro la cassaforte”. Se costretto a rivelare la password, fornisci quella del volume esterno (con file innocui); il volume nascosto interno rimane matematicamente invisibile e impossibile da dimostrare.

# Formattazione partizione con Argon2id (richiede memoria fisica per il cracking)
cryptsetup luksFormat --type luks2 --pbkdf argon2id --pbkdf-memory 1048576 /dev/sdX1

# Backup dell'header LUKS (da conservare offline)
cryptsetup luksHeaderBackup /dev/sdX1 --header-backup-file header_backup.img

3. Compartmentalizzazione estrema: Qubes OS e profili isolati

Non unire mai i contesti digitali. Se un ambiente viene infettato o identificato, gli altri devono rimanere totalmente isolati.

Qubes OS (Desktop per Profilo A e B)

Qubes OS utilizza l’hypervisor Xen a livello bare-metal per isolare ogni applicazione e contesto all’interno di Macchine Virtuali (AppVM) separate.

• dom0: il cuore del sistema operativo, isolato e privo di qualsiasi connessione di rete.
• work: ambiente dedicato a documenti e comunicazioni di lavoro.
• vault: ambiente senza rete per conservare chiavi PGP e password master.
• anon-whonix: ambiente dove tutto il traffico viene forzato attraverso la rete Tor.

Se apri un file PDF malevolo nel dominio “work”, l’infezione rimane confinata in quella specifica macchina virtuale temporanea e sparisce al riavvio, senza poter toccare le tue chiavi in “vault” o la tua identità reale.

Profili mobili isolati su GrapheneOS

Su smartphone, GrapheneOS consente di creare profili utente separati con crittografia indipendente. Spegnendo il telefono, tutte le chiavi di decrittazione della RAM vengono cancellate (cold boot defense). Alla riaccensione, accedi al profilo primario “pulito”; i profili secondari rimangono cifrati a riposo finché non viene inserito il relativo PIN.

4. Hardening avanzato del Browser: Arkenfox e Mullvad Browser

I browser di base inviano impronte digitali (fingerprinting) uniche basate sulla risoluzione dello schermo, font installati, schede audio e hardware GPU.

• ❌ Navigare con estensioni multiple installate: la combinazione unica di estensioni crea un’impronta digitale altamente tracciabile
• ✅ user.js di Arkenfox (su Firefox): script di configurazione avanzato che applica oltre 200 modifiche di sicurezza a Firefox, attivando la modalità anti-fingerprinting (resistFingerprinting) e isolando i cookie per dominio (First Party Isolation)
• ✅ Mullvad Browser: browser sviluppato in collaborazione con il Tor Project: offre gli stessi livelli di protezione anti-fingerprinting di Tor Browser, ma per la normale navigazione web tramite VPN

5. Anonimato vero di rete ed amnesic OS: Tor, Tails, Kodachi e Heads

Una VPN nasconde il tuo indirizzo IP dai siti che visiti, ma il provider VPN vede comunque sia chi sei che dove navighi. Per l’anonimato matematico serve l’onion routing della rete Tor ed un sistema operativo amnesico avviabile da chiavetta USB.

Tor Browser

Instrada il traffico attraverso 3 nodi cifrati casuali (Guard, Middle, Exit). Nessun singolo nodo conosce contemporaneamente il tuo IP e la tua destinazione.

Tails OS (The Amnesic Incognito Live System)

Il sistema operativo amnesico per eccellenza avviabile da chiavetta USB:

• 100% amnesico: Non scrive mai sul disco fisso del computer. Allo spegnimento sovrascrive completamente la memoria RAM con zeri per cancellare ogni traccia residua.
• Tutto su Tor: Qualsiasi connessione di rete viene forzata attraverso la rete Tor.
• Persistent Storage cifrato: Se ti serve, puoi creare una partizione cifrata con LUKS sulla stessa chiavetta USB per conservare chiavi PGP e documenti riservati.

Kodachi Linux

Un’alternativa Live da chiavetta USB orientata alla privacy attiva:

• Incatena automaticamente VPN + Tor + DNS cifrati (DNScrypt) ad ogni avvio.
• Include funzionalità avanzate di spoofing del MAC Address del PC ad ogni riavvio.
• Integra un Pulsante Antipanico (Panic Button) in grado di cancellare istantaneamente la memoria RAM o distruggere il contenuto cifrato con un solo click in caso di emergenza fisica.

Heads / PureBoot (Firmware sicuro contro Evil Maid Attack)

Per chi lavora in ambienti ad alto rischio dove il PC potrebbe essere fisicamente manomesso quando lasciato in albergo o in ufficio (Evil Maid attack). Heads sostituisce il BIOS/UEFI proprietario con un firmware open source (coreboot) che controlla la firma crittografica di ogni singolo file di avvio usando una YubiKey. Se qualcuno ha modificato il sistema operativo a computer spento, Heads ti avvisa prima di inserire qualsiasi password.

6. Messaggistica a zero metadati: SimpleX Chat e Session

Signal è l’eccellenza per la messaggistica quotidiana, ma richiede comunque un numero di telefono. Per il Profilo A e B servono protocolli a zero metadati.

• ❌ WhatsApp / Telegram: raccolgono o conservano metadati, grafi sociali e numeri di telefono
• ✅ SimpleX Chat: il primo protocollo di messaggistica che non utilizza alcun ID utente univoco (nessun numero di telefono, nessuna chiave pubblica fissa, nessun indirizzo). Utilizza code di messaggi unidirezionali isolate e cifrate
• ✅ Session: app di messaggistica cifrata basata su una rete onion decentralizzata (Loki Network). Non richiede numero di telefono né email: si usa tramite un ID alfabetico a 66 caratteri
• ✅ Briar: messaggistica peer-to-peer pensata per attivisti che funziona sia via Tor sia in assenza di internet (tramite Bluetooth e Wi-Fi Direct locale durante blackout o blocchi di rete)

7. Pagamenti anonimi e non tracciabili: Monero (XMR)

Tutti i pagamenti digitali tradizionali (carte di credito, bonifici, carte virtuali Revolut) sono nominali e tracciabili. Persino Bitcoin è completamente pubblico e tracciabile (la blockchain è un registro permanente).

• ❌ Bitcoin / Carte tradizionali per transazioni riservate: la storia delle transazioni è pubblica e le analisi di catena (Chainalysis) collegano facilmente gli indirizzi alle tue identità reali
• ✅ Monero (XMR): l’unica criptovaluta incentrata nativamente sulla privacy. Utilizza Ring Signatures, Stealth Addresses e RingCT per nascondere automaticamente mittente, destinatario e importo transato a livello crittografico
• ✅ Acquisto senza KYC (Bisq / Haveno): exchange decentralizzati peer-to-peer per scambiare contanti o bonifici in Monero senza dover fornire documenti d’identità

8. Hardware di rete e Firewall avanzati: OPNsense

Sostituire il modem/router fornito dall’operatore con un firewall dedicato open source permette di controllare e filtrare la porta d’ingresso della tua abitazione o ufficio.

• ❌ Router dell’operatore: firmware proprietario, potenziali backdoor di teleassistenza e zero visibilità del traffico di rete
• ✅ OPNsense: sistema operativo firewall open source (basato su FreeBSD) da installare su hardware dedicato (mini-PC con porte Ethernet multiple).
  • Gestione di VLAN isolate (es. separare dispositivi fidati da IoT e rete ospiti).
  • Ispezione del traffico e prevenzione intrusioni (Suricata IPS).
  • Client e Server WireGuard / OpenVPN integrati con supporto a DNS cifrati (Unbound DoT).

9. Chiavi hardware avanzate: YubiKey, Nitrokey e PGP

Per utenti esperti, la chiave di sicurezza fisica (YubiKey 5 o Nitrokey 3) non serve solo per il login nei siti web, ma diventa una cassaforte di chiavi crittografiche hardware inestraibili.

• ✅ Autenticazione SSH tramite YubiKey: le chiavi SSH risiedono nella smart card della YubiKey. Impossibile rubare la chiave SSH dal computer via malware.
• ✅ Crittografia PGP su SmartCard: le chiavi private PGP vengono generate direttamente nella YubiKey: per firmare o decifrare un messaggio o file è necessario toccare fisicamente il sensore dorato sulla chiave.
• ✅ Nitrokey 3: alternativa open source tedesca con firmware e chip trasparenti ed uditabili.

# Generazione chiave SSH residente su YubiKey (FIDO2)
ssh-keygen -t ed25519-sk -O discoverable -C "chiave-sicurezza-ssh"

# Uso di YubiKey per connessioni SSH sicure
ssh -i ~/.ssh/id_ed25519_sk utente@server-sicuro.com

10. Privacy su rete mobile e protezione fisica (OPSEC)

Lo smartphone trasmette costantemente la propria posizione alle torri cellulari tramite l’ID hardware della SIM e del chip (IMSI/IMEI).

Contromisure per la rete mobile:

• Protezione da IMSI Catcher (Stingray): Gli IMSI Catcher sono torri cellulari fittizie usate da agenzie e malintenzionati per intercettare chiamate o tracciare la posizione. GrapheneOS blocca automaticamente il downgrade a reti 2G (le più vulnerabili a questi attacchi).
• SIM e eSIM anonime: Uso di e-SIM o SIM ricaricabili estere acquistate senza registrazione di documenti nominali, utilizzate esclusivamente per il traffico dati.
• Faraday Bag (Custodie isolanti): Custodie conduttive che schermano al 100% qualsiasi segnale radio (Cellulare, Wi-Fi, GPS, Bluetooth, NFC). Utilizzate dai profili B quando devono spostarsi senza registrare la propria posizione nelle torri cellulari della zona.

11. Principi di Operational Security (OPSEC)

Tutti gli strumenti tecnici descritti in questa guida diventano inutili senza disciplina operativa. L’OPSEC è la disciplina mentale di non commettere errori umani.

1. Separazione totale delle identità: L’identità usata in contesti riservati non deve MAI condividere lo stesso IP, lo stesso dispositivo, la stessa email di recovery o gli stessi orari di attività dell’identità reale.
2. Nessun riutilizzo di pseudonimi: Un nickname usato su un forum anonimo non deve mai essere stato usato in passato su piattaforme personali.
3. Analisi dei metadati temporali: Anche comunicando in modo cifrato, il semplice schema degli orari di invio delle tue comunicazioni (es. essere sempre attivo in determinate fasce orarie) può identificare la tua routine.
4. Regola del backup 3-2-1 cifrato: 3 copie dei dati sensibili, 2 supporti differenti (es. SSD e USB), 1 copia conservata offline in un luogo fisico protetto e cifrata con LUKS/VeraCrypt.