Mega vs HexaTransfer: privacy e crittografia a confronto

Mega e HexaTransfer usano entrambi la cifratura lato client, ma puntano a workflow diversi e si trovano in giurisdizioni diverse. Mega è una piattaforma di cloud storage con sede in Nuova Zelanda, 20 GB gratuiti, cifratura AES-128 GCM con scambio di chiavi RSA-2048 e account persistenti. HexaTransfer è un servizio di trasferimento effimero ospitato in Francia, con 10 GB per trasferimento, cifratura AES-256-GCM, scadenza a 7 giorni e nessun requisito di account. Per lo storage cifrato a lungo termine, Mega ha il set di funzionalità più ricco. Per i trasferimenti cifrati one-off senza overhead di account, HexaTransfer è più semplice e rimane nella giurisdizione UE.

Dettagli di cifratura: AES-128 vs AES-256

La cifratura lato client di Mega usa AES-128 in modalità CCM per la cifratura dei file e RSA-2048 per lo scambio di chiavi. La scelta AES-128 è stata difesa da Mega come sufficiente (AES-128 rimane computazionalmente impossibile da violare con la forza bruta). I critici notano che AES-256 è lo standard attuale del settore. Il client web Mega esegue la cifratura in JavaScript; le app desktop e mobile usano implementazioni native.

HexaTransfer usa AES-256-GCM con PBKDF2 a 600.000 iterazioni per le chiavi derivate da password. La chiave a 256 bit corrisponde alle best practice attuali (NIST SP 800-131A). La cifratura avviene nel browser tramite l'API Web Crypto (SubtleCrypto.encrypt), che usa implementazioni native della piattaforma piuttosto che JavaScript puro. Questo è più veloce e meno vulnerabile agli attacchi di temporizzazione.

Differenze nel modello di fiducia

Mega si basa sugli account utente con chiavi di recupero. Se perdi la tua password e la chiave di recupero, i tuoi dati sono irrecuperabili — che è il comportamento corretto per il zero-knowledge ma crea reali oneri di supporto. In passato Mega è stata accusata di detenere capacità di recupero del testo in chiaro tramite i flussi di cambio password, con ricercatori di sicurezza che hanno pubblicato preoccupazioni su dettagli specifici del protocollo.

HexaTransfer non ha account, quindi non c'è meccanismo di reset della password da potenzialmente sfruttare. La chiave di decifratura è nel frammento URL o avvolta da una password fornita dall'utente tramite PBKDF2. Se perdi entrambi, il file è irrecuperabile — il che corrisponde al caso d'uso del trasferimento effimero, dove una scadenza a 7 giorni eliminerà comunque il file.

Giurisdizione e residenza dei dati

Mega ha sede ad Auckland, Nuova Zelanda, con data center in Nuova Zelanda, Paesi Bassi, Canada e altre località. La Nuova Zelanda è membro della condivisione di intelligence dei Five Eyes, il che preoccupa alcuni fautori della privacy. Tuttavia, il Privacy Act 2020 della Nuova Zelanda fornisce protezioni equivalenti al GDPR, e l'hosting distribuito significa che i file degli utenti UE possono essere instradati verso i server olandesi.

HexaTransfer ospita esclusivamente in Francia. Nessuna presenza globale distribuita, nessun coinvolgimento Five Eyes. Il GDPR si applica direttamente. Per gli utenti UE con requisiti di sovranità dei dati rigidi, il modello a singola giurisdizione è più semplice da valutare legalmente.

Dimensione file, storage e conservazione

Il tier gratuito di Mega offre 20 GB di storage persistente con file conservati a tempo indeterminato finché si effettua l'accesso periodicamente (sospensione dopo 30 giorni di inattività). I tier a pagamento offrono fino a 16 TB. La dimensione del file per upload è limitata effettivamente solo dalla quota.

HexaTransfer consente 10 GB per trasferimento con scadenza automatica a 7 giorni. Nessuno storage persistente — il servizio è puramente per inviare, non conservare. Per una consegna settimanale di design da 8 GB ai clienti, HexaTransfer funziona. Per un archivio di foto personali, Mega funziona e HexaTransfer no.

Esperienza del workflow

L'interfaccia web, la sincronizzazione desktop e le app mobile di Mega forniscono un'esperienza simile a Dropbox con cartelle, versioni e condivisione. Puoi avere cartelle condivise persistenti con collaboratori, impostare permessi per cartella e mantenere la struttura del progetto nel tempo.

HexaTransfer è deliberatamente a singolo scopo. Apri il sito, trascina un file, ottieni un link, invia. Nessuna cartella, nessuna sincronizzazione, nessuna versione. Il minimalismo è il punto — zero overhead cognitivo, zero gestione degli account.

Matrice comparativa

| Funzionalità | Mega | HexaTransfer | |-------------|------|--------------| | Tipo | Storage cloud persistente | Trasferimento effimero | | Cifratura | AES-128-CCM + RSA-2048 | AES-256-GCM + PBKDF2 | | Cifratura lato client | Sì | Sì | | Tier gratuito | 20 GB storage | 10 GB per trasferimento | | Dimensione max file | Limitata dalla quota | 10 GB | | Conservazione | Indefinita (inattività 30gg) | 7 giorni | | Account richiesto | Sì | No | | Localizzazione dati | NZ, NL, CA, altri | Francia | | Postura GDPR | Conforme | Residente UE | | Esposizione Five Eyes | Sì (NZ) | No | | App desktop | Sì | No | | App mobile | Sì | No (solo browser) | | Condivisione cartelle | Sì | No |

Audit di sicurezza e trasparenza

Mega ha pubblicato un client web con sorgente disponibile e ha commissionato audit di sicurezza di terze parti. Il paper accademico del 2022 "MEGA: Malleable Encryption Goes Awry" dei ricercatori dell'ETH Zürich ha identificato cinque vulnerabilità nel protocollo crittografico di Mega, tutte successivamente corrette. La risposta pubblica e le correzioni sono state tempestive, che è il comportamento giusto per un servizio crypto sotto scrutinio.

L'architettura di HexaTransfer è più semplice (meno protocolli, nessun recupero dell'account, nessuna sessione di lunga durata), il che riduce la superficie di attacco. Il codice client è ispezionabile nel browser. Come servizio più recente e più ristretto, non ha subito lo stesso livello di scrutinio accademico di Mega.

Modello di business e longevità

Il modello di business di Mega è freemium con tier di storage, che genera entrate proporzionali agli utenti paganti. Il servizio esiste dal 2013 (originariamente come MEGA Limited, il successore di Megaupload di Kim Dotcom). La longevità è ragionevole.

HexaTransfer è un servizio gratuito senza tier a pagamento attualmente. Le preoccupazioni sul modello di business per i servizi gratuiti sono legittime — se il servizio non è monetizzato, assicurati che sia sostenibile prima di affidarti a esso per flussi business-critical. Per i trasferimenti one-off, la sostenibilità conta meno che per lo storage archivistico.

Quando scegliere quale

Scegli Mega per lo storage cloud cifrato persistente, la condivisione di cartelle di team, gli archivi di progetto continui, la sincronizzazione cross-device e quando vuoi un prodotto cloud zero-knowledge completo. Accetta il compromesso della giurisdizione Five Eyes per la ricchezza di funzionalità.

Scegli HexaTransfer per i trasferimenti cifrati one-off, i requisiti di giurisdizione UE, gli scenari in cui gli account aggiungono attrito (consegne esterne, destinatari occasionali) e quando 10 GB sono sufficienti. Accetta la mancanza di storage persistente e funzionalità collaborative per la semplicità e il focus giurisdizionale.

Usarli insieme

Sono complementari piuttosto che concorrenti. Un individuo attento alla privacy potrebbe usare Mega per lo storage cloud personale continuo (foto, backup, documenti da conservare) e HexaTransfer per gli invii cifrati occasionali a destinatari non-Mega. I workflow non si sovrappongono abbastanza da creare ridondanza.

Per una piccola azienda, Mega potrebbe servire come vault di collaborazione interno mentre HexaTransfer gestisce le consegne esterne ai clienti. I clienti non hanno bisogno di account Mega per ricevere link HexaTransfer, il che riduce l'attrito di onboarding per i contratti occasionali.

Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.