Condivisione sicura per giornalisti: proteggi le tue fonti

Proteggere una fonte inizia prima che venga condiviso il primo documento. Il modello di minaccia del giornalista include la divulgazione forzata, le ingiunzioni, il sequestro del dispositivo alle frontiere, la sorveglianza statale e il semplice rischio che i metadati di una fonte — indirizzi IP, hash dei file, timestamp di accesso — sopravvivano a lungo dopo la pubblicazione della storia. Strumenti pratici: SecureDrop per l'acquisizione anonima, Signal con messaggi che scompaiono per le conversazioni in corso, un servizio di trasferimento zero-knowledge come HexaTransfer o OnionShare per i documenti, e Tails OS o Qubes per il dispositivo di gestione. Il Committee to Protect Journalists ha documentato 363 giornalisti incarcerati a livello globale nel 2023 — la protezione delle fonti non è astratta.

Il modello di minaccia di base

La maggior parte dei giornalisti non affronterà GCHQ o MSS, ma ognuno affronta qualcosa. Tre livelli da pianificare:

• Rischio di citazione in giudizio civile. Procuratori e litiganti civili che cercano registrazioni delle comunicazioni. Riguarda ogni giornalista nelle giurisdizioni democratiche. Le ingiunzioni del Dipartimento di Giustizia del 2021 al New York Times, Washington Post e CNN per i tabulati telefonici dei giornalisti hanno reso concreta la minaccia.
• Sorveglianza mirata. Un attore specifico che cerca attivamente di identificare la tua fonte. Richiede disciplina operativa: dispositivi separati, VPN o Tor, messaggistica cifrata, igiene attenta dei metadati.
• Sorveglianza statale. Rara ma reale per la sicurezza nazionale, i diritti umani e il giornalismo transfrontaliero. Lo spyware Pegasus è stato impiegato contro 45+ giornalisti confermati dal Citizen Lab.

Le decisioni sugli strumenti scalano con il livello. Un cronista di un tribunale locale ha bisogno di crittografia di base; un corrispondente estero che copre un regime autoritario ha bisogno di Tails, revisione air-gapped e dispositivi compartimentati.

SecureDrop per l'acquisizione anonima

SecureDrop, mantenuto dalla Freedom of the Press Foundation, è lo standard professionale per la ricezione di documenti da fonti anonime. Usato da The Guardian, New York Times, Washington Post, ProPublica, The Intercept e 80+ altre redazioni.

Come funziona:

1. Le fonti accedono all'indirizzo .onion della redazione tramite Tor Browser.
2. Generano un nome in codice casuale e inviano file o messaggi.
3. I giornalisti accedono alle comunicazioni da una stazione di visualizzazione air-gapped separata che esegue Tails.
4. I file vengono decifrati solo sulla stazione di visualizzazione, che non tocca mai internet.

Cosa lo rende robusto: Tor nasconde l'IP della fonte, l'air-gap previene l'esfiltrazione malware, la crittografia GPG significa nessun testo in chiaro lato server, e l'eliminazione automatica dopo il recupero limita la traccia forense.

L'installazione non è banale — richiede hardware dedicato e una settimana di configurazione attenta — ma per qualsiasi redazione che accetta documentazione sensibile, è l'unica opzione credibile.

OnionShare per drop peer-to-peer

Quando SecureDrop è eccessivo, OnionShare (sviluppato da Micah Lee) offre una condivisione file basata su Tor più semplice. Esegue un servizio nascosto one-shot sulla tua macchina, ti fornisce un URL .onion e si spegne dopo il download.

Proprietà che interessano ai giornalisti:

• Nessun server di terze parti detiene il file.
• Tor nasconde gli IP di entrambi gli endpoint.
• L'URL contiene un token di autenticazione casuale, quindi il file non è elencato pubblicamente.
• Funziona su macOS, Windows e Linux; incluso in Tails.

Ideale per scambi una tantum con una fonte che può installare Tor Browser. Non adatto quando la fonte è su un laptop aziendale con restrizioni software — in quel caso i servizi basati su browser diventano necessari.

E2EE basato su browser quando Tor non è un'opzione

Alcune fonti non possono eseguire Tails o Tor. Hanno un computer di lavoro, un laptop preso in prestito, o si trovano in una situazione in cui installare nuovo software sembra sospetto. Per loro, un servizio end-to-end cifrato basato su browser è la scelta pragmatica.

Cosa cercare:

• Cifratura AES-256-GCM lato client nel browser.
• Chiave nel frammento URL (dopo #), mai inviata al server.
• Link con scadenza e TTL configurabile (24 ore o meno).
• Protezione con password in aggiunta al link.
• Nessun account richiesto — la registrazione stessa genera metadati.

Servizi che si qualificano: HexaTransfer, il livello E2EE di SwissTransfer, Tresorit Send, i link condivisi di Proton Drive. Servizi che non si qualificano: WeTransfer standard, Google Drive, i link di condivisione Dropbox — questi danno al fornitore visibilità sui contenuti dei file.

Signal per la conversazione

I file arrivano raramente senza contesto. La conversazione su "cos'è questo" e "come lo verifico" ha bisogno del proprio canale.

Signal, mantenuto dalla nonprofit Signal Foundation, è il default dei giornalisti:

• E2EE di default con il Signal Protocol (Double Ratchet, X3DH).
• Messaggi che scompaiono con timer configurabili (5 secondi - 4 settimane).
• Nessun numero di telefono richiesto per inviare messaggi una volta che hai un nome utente (dall'inizio del 2024).
• Elimina i messaggi su entrambi i dispositivi quando scade il timer.
• Backup protetti da PIN, nessun backup cloud a meno che non sia esplicitamente configurato.

Evita iMessage per il lavoro con le fonti. Apple può vedere i metadati, e la sincronizzazione dei messaggi iCloud significa che i backup potrebbero esistere sui server Apple soggetti a procedimento legale.

I metadati sono l'assassino silenzioso

Il caso di Reality Winner del 2017 all'Intercept è l'esempio canonico: i puntini di tracciamento della stampante su un documento trapelato, combinati con la gestione della redazione, hanno portato all'identificazione della fonte in pochi giorni. Metadati da eliminare prima di pubblicare o condividere:

• EXIF sulle immagini — exiftool -all= foto.jpg rimuove GPS, numero seriale della fotocamera, timestamp.
• Metadati PDF — nome dell'autore, data di creazione, software di modifica. exiftool -all= doc.pdf più qpdf --linearize per maggiore sicurezza.
• Metadati Microsoft Office — File → Info → Ispeziona documento → Rimuovi tutto.
• Microdots della stampante — visibili sotto luce blu su molte stampanti laser a colori. Stampa con air-gap su laser B&N, o usa la guida di rilevamento dell'EFF.
• Timestamp dei file — cambia a un orario neutro prima di condividere se rilevante.

Per i documenti che devono preservare l'autenticità (prove legali), fai l'hash dell'originale, lavora da una copia e mantieni una catena di custodia. Le guide del Citizen Lab e di Forensic Architecture meritano lettura.

Igiene dei dispositivi per il giornalismo ad alto rischio

L'hardware dedicato per il lavoro sensibile si ripaga la prima volta che un laptop viene sequestrato. Stack consigliato:

• Dispositivo di lavoro: Mac o ThinkPad ben configurato con FileVault/LUKS, aggiornamenti del SO entro 7 giorni, nessun software personale, nessuna sincronizzazione con account personali.
• Dispositivo di revisione: USB Tails per la revisione air-gapped dei documenti. Si avvia da USB, non lascia tracce.
• Dispositivo personale: completamente separato, mai usato per il lavoro con le fonti, non si sincronizza con nulla sul dispositivo di lavoro.
• Telefoni usa e getta per i viaggi in giurisdizioni ad alto rischio, cancellati al ritorno.

Pegasus e spyware simili sfruttano le vulnerabilità zero-click in iMessage e WhatsApp. Mantieni iOS e Android aggiornati; attiva la Lockdown Mode su iPhone per i soggetti mirati.

Attraversamento delle frontiere

I giornalisti che attraversano le frontiere affrontano ispezioni dei dispositivi. Il CBP statunitense ha autorità legale per ispezionare i dispositivi all'ingresso. I funzionari doganali britannici possono obbligare alla divulgazione ai sensi del Schedule 7 del Terrorism Act. La risposta pratica:

• Viaggia con un dispositivo pulito — nessun materiale delle fonti, nessuna cronologia Signal, nessun cookie di accesso al browser.
• Invia i materiali necessari a un cloud sicuro (Proton Drive, Tresorit) cifrato con una password non nel portachiavi del dispositivo, recupera all'arrivo.
• Considera un secondo dispositivo spedito separatamente.
• Conosci le regole della tua giurisdizione — alcuni paesi trattano il rifiuto di sbloccare come un reato, altri no.

La Freedom of the Press Foundation pubblica guide aggiornate per l'attraversamento delle frontiere. Consultale prima di viaggiare.

Un flusso di lavoro giornalistico che regge

Una routine che funziona per la maggior parte delle storie sensibili:

1. Contatto iniziale tramite Signal da un numero di lavoro dedicato, o tramite SecureDrop.
2. Verifica l'identità fuori banda se possibile — documenti pubblici, contatto comune, lavoro precedente.
3. Passa a HexaTransfer, OnionShare o Tresorit per lo scambio di documenti con scadenza a 24 ore e password da un segreto condiviso.
4. Esamina i documenti su Tails o un Mac air-gapped. Mai su un dispositivo in rete per materiale ad alta sensibilità.
5. Rimuovi i metadati prima che qualsiasi copia lasci l'ambiente di revisione.
6. Elimina il thread Signal e le chiavi condivise dopo la pubblicazione, con una politica di conservazione concordata con i redattori.
7. Documenta il tuo processo per la legge sullo scudo giornalistico e la protezione editoriale.

Come iniziare concretamente

Se stai iniziando: installa Signal, configura un gestore di password, attiva FileVault o BitLocker, e scegli un servizio di trasferimento E2EE basato su browser per la condivisione di routine. Passa a SecureDrop e Tails man mano che le tue esigenze giornalistiche crescono. Il divario tra "abbastanza sicuro per la maggior parte delle storie" e "abbastanza sicuro per gli avversari statali" è ampio ma percorribile.

Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.