Protezione file per informatori: trasferimenti anonimi sicuri

L'obiettivo tecnico di un informatore è recapitare documenti senza lasciare tracce che lo colleghino alla fuga di notizie. Questo richiede Tor Browser o Tails OS per l'anonimato dell'IP, SecureDrop o OnionShare come canale, metadati rimossi da ogni file (EXIF, campi autore nei PDF, proprietà dei documenti Office), e un dispositivo dedicato usato solo per la divulgazione. Aggiungi la crittografia lato client — AES-256-GCM con la chiave nel frammento URL — in modo che nemmeno il servizio di trasferimento possa identificarti. Le rivelazioni di Snowden del 2013, i Panama Papers del 2016 e decine di casi successivi sono stati resi possibili da SecureDrop. Gli strumenti sono maturi; è la disciplina operativa a fare la differenza.

Il modello di minaccia asimmetrico degli informatori

Gli informatori affrontano un calcolo diverso da quello degli utenti comuni. Una persona qualunque valuta la comodità rispetto a un piccolo guadagno in termini di privacy. Un informatore valuta ogni singolo errore rispetto ad anni di carcere o peggio. Ogni scelta si accumula:

L'identità della fonte deve rimanere sconosciuta al destinatario inizialmente, spesso in modo permanente.
I metadati dell'infrastruttura — log degli IP, timestamp, hash dei file — possono ricostruire la catena della fuga di notizie molto tempo dopo.
I documenti stessi contengono spesso impronte digitali identificative (formulazioni specifiche, filigrane, punti di tracciamento, log di accesso).
L'esposizione retroattiva legale significa che le prove conservate ora possono essere richieste in tribunale anni dopo.

Reality Winner fu identificata entro pochi giorni dalla pubblicazione della fuga di notizie dell'NSA del 2017, perché i microdot di tracciamento della stampante nella scansione pubblicata rivelarono l'esatta stampante usata. Gli strumenti tecnici funzionavano; la preparazione del documento no.

SecureDrop: il riferimento del settore

SecureDrop, gestito dalla Freedom of the Press Foundation, è costruito appositamente per le segnalazioni degli informatori. È distribuito in oltre 80 redazioni tra cui The Guardian, The New York Times, ProPublica e The Intercept.

L'architettura in parole semplici:

Le fonti accedono all'indirizzo .onion di una redazione solo tramite Tor Browser.
Ricevono un nome in codice casuale per le comunicazioni continuative, senza necessità di creare un account.
Le segnalazioni vengono crittografate sul server con la chiave GPG della redazione.
I giornalisti recuperano le segnalazioni tramite una stazione di visualizzazione separata con air-gap che esegue Tails.
L'infrastruttura connessa alla rete non vede mai il testo in chiaro.

Perché funziona: Tor nasconde l'IP della fonte, l'air gap impedisce ai malware di comunicare verso l'esterno, GPG garantisce che solo il giornalista destinatario decifri i file, e audit fisici periodici individuano eventuali manomissioni hardware.

Limiti: richiede una distribuzione dedicata da parte della redazione, quindi le divulgazioni individuali dipendono dall'utilizzo di un'istanza SecureDrop esistente presso una pubblicazione disposta a coprire la storia.

OnionShare per i trasferimenti diretti

Quando una fonte e un giornalista sono già in contatto e vogliono condividere file direttamente, OnionShare offre la condivisione peer-to-peer su Tor.

Il giornalista avvia OnionShare, che crea un servizio nascosto Tor temporaneo sul suo laptop e genera un URL .onion. La fonte accede a quell'URL da Tor Browser, carica il file e il servizio si spegne.

Vantaggi:

Nessun server di terze parti detiene il file, neppure brevemente.
Entrambi gli IP sono nascosti da Tor.
L'URL include un token di autenticazione casuale per prevenire la scoperta.
Monouso per impostazione predefinita; il servizio si chiude al completamento del trasferimento.

Viene preinstallato con Tails. Per le fonti senza Tails, installa Tor Browser e OnionShare separatamente su una macchina dedicata.

Tails OS: non lasciare tracce

Tails (The Amnesic Incognito Live System) è una distribuzione Linux progettata per essere eseguita da una chiavetta USB senza lasciare nulla sul computer host. Ogni avvio è nuovo; ogni spegnimento cancella la memoria.

Caratteristiche principali:

Tutto il traffico di rete viene instradato automaticamente attraverso Tor.
Nessuna memorizzazione persistente, a meno che non sia esplicitamente abilitata su un volume crittografato separato.
Preinstallato: Tor Browser, workstation SecureDrop, OnionShare, GPG, KeePassXC, Metadata Cleaner, LibreOffice.
La verifica della firma digitale ad ogni avvio garantisce che l'immagine Tails non sia stata manomessa.

Le fonti che hanno accesso a un laptop in prestito o a un internet café possono avviare Tails, completare una divulgazione e spegnere il sistema, lasciando nessuna traccia locale. Le regole XKeyscore dell'NSA del 2014 avrebbero apparentemente segnalato i download di Tails come indicatore di interesse, quindi scaricare Tails stesso è un atto visibile. Rimedio: scaricalo da una rete diversa da quella da cui effettuerai la divulgazione.

Elimina i metadati da ogni documento

I metadati compromettono l'anonimato più velocemente dei log degli IP. Ogni formato di file contiene dati identificativi:

PDF: autore, applicazione creatore, data di creazione, cronologia delle modifiche. exiftool -all= doc.pdf rimuove la maggior parte. qpdf --linearize pulisce la struttura interna.
Microsoft Office: autore, azienda, cronologia delle modifiche, ultima modifica. Apri il file, vai su File → Informazioni → Controlla documento → Rimuovi tutto.
Immagini: dati EXIF tra cui GPS, numero di serie della fotocamera, timestamp. exiftool -all= image.jpg o strumenti dedicati come ExifCleaner.
Documenti scansionati: controlla la presenza di punti di tracciamento della stampante sotto luce blu. Usa stampanti laser in bianco e nero quando possibile; la guida dell'EFF identifica quali stampanti a colori incorporano punti di tracciamento.
Audio/video: metadati del dispositivo di registrazione, a volte la posizione. Rielabora con ffmpeg -map_metadata -1 per rimuovere.

Tails include Metadata Cleaner, un'interfaccia grafica che si appoggia a questi strumenti. Per il lavoro in batch dalla riga di comando, mat2 (Metadata Anonymisation Toolkit) gestisce la maggior parte dei formati.

Filigrane e impronte digitali

Le organizzazioni preoccupate per le fughe di notizie filigranano attivamente i documenti. Le tecniche includono:

Filigrane visibili: ovvie, rimovibili con la modifica delle immagini.
Filigrane invisibili: codifica a livello di pixel dell'ID del visualizzatore.
Microdot stampati: punti gialli su ogni pagina che codificano il numero seriale della stampante e il timestamp.
Variazioni di testo per utente: sottili differenze di formulazione o spaziatura per destinatario, che rendono ogni copia univocamente identificabile.
Correlazione dei log di accesso: confronto degli utenti che hanno visualizzato un documento intorno al momento della fuga di notizie.

Contromisure: ridigita o usa OCR-poi-ridigita i passaggi sensibili, parafrasa invece di citare quando possibile, usa più documenti per diluire le impronte digitali per utente, e considera che qualsiasi scansione o foto pubblicata rivela le filigrane della copia fisica.

Scegli con cura il destinatario della divulgazione

Non tutte le redazioni hanno lo stesso livello di sicurezza. Prima di inviare, verifica:

Hanno SecureDrop? (Controlla il loro sito web per un link .onion o una pagina dedicata ai contatti riservati.)
Hanno una policy pubblicata sulla protezione delle fonti?
Qual è la loro storia nella protezione legale delle fonti?
I giornalisti hanno esperienza con materiale sensibile?

La Freedom of the Press Foundation mantiene una directory delle organizzazioni giornalistiche che gestiscono SecureDrop. Le testate no-profit come ProPublica, The Intercept e Bureau of Investigative Journalism sono specificamente costruite attorno al giornalismo investigativo e spesso hanno operazioni di sicurezza più solide dei quotidiani tradizionali.

La disciplina operativa conta più degli strumenti

Gli strumenti funzionano solo se usati in modo coerente. Errori comuni che hanno smascherato informatori:

Usare un'email personale per il contatto iniziale, anche solo una volta.
Cercare su Google il materiale trapelato da un computer di lavoro prima della divulgazione.
Fotocopiare il documento sulla stampante dell'ufficio.
Accedere a SecureDrop da una rete domestica o di lavoro senza Tor.
Riutilizzare un nome in codice su più piattaforme.
Dirlo a qualcuno — coniuge, amico, terapeuta — prima che la divulgazione sia completata.

La pianificazione OPSEC di Edward Snowden richiese mesi e lasciò comunque tracce. La gestione da parte di The Intercept della segnalazione di Reality Winner la espose in parte perché la scansione stessa conteneva i punti di tracciamento identificativi. Ogni errore si accumula.

Crittografia E2EE basata su browser come canale secondario

Per le fonti che non possono eseguire Tails o Tor Browser — a causa di restrizioni sui dispositivi aziendali, monitoraggio, o mancanza di background tecnico — un servizio di trasferimento crittografato lato client basato su browser è un'alternativa imperfetta ma praticabile.

Requisiti indispensabili:

AES-256-GCM lato client con la chiave nel frammento URL.
Nessuna creazione di account richiesta.
Link in scadenza (24 ore o meno).
Protezione con password oltre al link.
Utilizzato da un Wi-Fi pubblico o da un punto di uscita VPN, mai da un IP domestico o aziendale.
Profilo browser nuovo, modalità incognito, cookie cancellati prima e dopo.

Servizi che soddisfano questi requisiti: HexaTransfer, livello E2EE di SwissTransfer, Tresorit Send. Questo non equivale a Tor — il servizio vede ancora l'IP della fonte — ma è un miglioramento significativo rispetto a Gmail o Dropbox.

Le protezioni legali variano

Le protezioni giurisdizionali differiscono nettamente. Lo US Whistleblower Protection Act (1989) e il Dodd-Frank coprono le divulgazioni finanziarie ma lasciano esposto il materiale classificato ai sensi dell'Espionage Act. La Direttiva UE 2019/1937 vincola gli stati membri dal dicembre 2021. Il Public Interest Disclosure Act 1998 del Regno Unito copre le divulgazioni in buona fede. La protezione legale aiuta dopo il fatto; la disciplina tecnica impedisce che il fatto accada.

Mettere tutto in pratica

Se stai considerando una divulgazione: inizia leggendo la guida Surveillance Self-Defense dell'EFF, scarica Tails su una chiavetta USB da una rete neutra, individua una redazione con SecureDrop che copre il tuo argomento, e rifletti attentamente sulle impronte digitali presenti nei documenti stessi.

Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.