Per diciassette anni ho protetto le persone per strada. Oggi, tuttavia, il browser di un cliente può dirti più di un’ora di sorveglianza. Spiego cosa rivela silenziosamente il tuo dispositivo su di te e come ridurre quella traccia.
L'uomo che non abbiamo mai seguito, ma di cui sapevamo tutto
Qualche anno fa stavamo tutelando un cliente che era convinto che qualcuno lo stesse seguendo. Abbiamo usato la procedura standard: abbiamo controllato la zona intorno a casa sua, i suoi percorsi, le auto dietro di noi. Niente. Nessuna macchina, nessun volto che appare due volte. Eppure l'altra parte sapeva sempre dove si muoveva il cliente. Ci è voluto un attimo per realizzare che la sorveglianza non avveniva per strada, ma nelle sue tasche. Il suo telefono e il suo laptop stavano rivelando più cose su di lui di quanto un intero team di persone avrebbe potuto scoprire in una settimana di lavoro sul campo.
Dopo diciassette anni in stretta protezione, mi sono abituato a leggere un ambiente. Chi guarda, chi si volta, quale finestra non è vuota per caso. Ma il mondo è andato avanti. Oggi puoi imparare di più su un personaggio pubblico dalla sua impronta digitale che dalla sorveglianza fisica. E quello che mi colpisce di più è questo: la maggior parte di queste informazioni trapelano automaticamente, senza che tu faccia clic su nulla. È sufficiente aprire una pagina web.
Questo è esattamente il motivo per cui abbiamo creato il nostro breve test di esposizione digitale. Controlla venti cose che il tuo dispositivo dice su di te in pochi secondi e ti dà un punteggio. Questo articolo è il suo compagno. Con calma e senza tattiche intimidatorie, spiegherò cosa significa ogni punto e cosa puoi realisticamente fare al riguardo.
Da dove vi connettete e quanto è protetta la connessione
Inizierò con il punto più basilare. Nel momento in cui apri un sito web, riveli il tuo indirizzo IP. Consideratelo come l'indirizzo del mittente su una lettera. Indica agli altri quale rete e provider stai utilizzando e approssimativamente dove ti trovi, fino al livello della città. Nella protezione personale, la posizione è un fattore sensibile. Se qualcuno può dedurre da dove si connette un cliente, spesso può dedurre dove vive o lavora quel cliente.
Il secondo problema è se la tua connessione è crittografata. Questo è l'HTTPS all'inizio dell'indirizzo; alcuni browser lo mostrano come un lucchetto, mentre Chrome ora mostra un'icona delle impostazioni accanto all'indirizzo. Senza crittografia, i dati viaggiano liberamente tra te e il sito web e chiunque lungo il percorso, ad esempio sulla rete Wi-Fi pubblica di un hotel, può leggerli. La vedo come la portiera di una macchina chiusa a chiave. Una precauzione basilare, ma che molte persone ancora trascurano.
Alcuni dispositivi e browser possono anche rivelare il tipo di connessione che stai utilizzando. Se utilizzi dati mobili o Wi-Fi e approssimativamente quanto è veloce. Sembra una cosa di poco conto, ma i dati mobili spesso suggeriscono che stai viaggiando, mentre il Wi-Fi domestico suggerisce fortemente che sei a casa o al lavoro. Si tratta di informazioni silenziose sui tuoi movimenti. Sui telefoni è possibile leggere anche il livello della batteria. Sembra innocuo, ma insieme ad altri dettagli, la percentuale è un altro piccolo indicatore grazie al quale puoi essere riconosciuto e seguito per un po' attraverso le pagine. Firefox e Safari hanno chiuso completamente questo canale; Chrome purtroppo lo espone ancora, il che è un motivo in più per cui la scelta del browser è importante e ritornerò su questo argomento più avanti.
La traccia che non puoi cancellare, nemmeno quando cancelli tutto
È qui che inizia la parte più interessante e meno compresa. Esiste una tecnica in grado di identificarti anche se elimini i cookie, disattivi gli accessi e ti nascondi dietro una VPN. Si chiama impronta digitale. Il principio è semplice: ogni dispositivo è leggermente diverso e decine di piccole differenze possono essere combinate in una firma quasi unica.
Ecco come funziona in pratica. Un sito Web chiede al tuo browser di disegnare un'immagine o un testo su un canvas nascosto. A seconda della scheda grafica, dei driver e dei caratteri, il risultato risulta leggermente diverso su ogni dispositivo. Questa si chiama canvas fingerprint. È possibile abusare del chip grafico in modo simile tramite WebGL, testando il modo in cui il dispositivo esegue il rendering di una scena tridimensionale. È possibile utilizzare anche il suono: il browser calcola un tono non udibile e sottili differenze di elaborazione creano un'impronta digitale audio tramite AudioContext.
Anche il tuo schermo è paziente. Senza una parola riporta la sua risoluzione e la profondità del colore, in altre parole quanti pixel ha e quanti colori può visualizzare. La combinazione di “questo esatto monitor, con queste impostazioni, abbinato a questa scheda grafica e questo chip audio” è sorprendentemente rara. Persino io non avrei creduto con quanta facilità potesse tirarti fuori dalla folla. È come riconoscere qualcuno non dal nome, ma dalla camminata, dalla postura e dal modo in cui si siede. Niente di tutto ciò cambia solo perché indossi un cappotto diverso.
Ciò che resta visibile anche dietro una VPN
Molte persone acquistano una VPN e pensano che il lavoro sia finito. Una VPN è un buon strumento e la consiglio anch’io, ma non è un mantello dell’invisibilità. Nonostante ciò, ci sono diversi canali attraverso i quali la tua vera identità può trapelare.
Il primo è WebRTC. È la tecnologia che alimenta le videochiamate direttamente in un browser e ha una caratteristica spiacevole: può rivelare il tuo vero indirizzo IP anche quando utilizzi una VPN. Dipende dal browser, dalle sue impostazioni e da quanto bene la VPN stessa gestisce la fuga di dati. Ho visto un cliente con la VPN attiva mentre l’indirizzo IP della sua connessione di casa restava esposto, semplicemente perché nessuno era a conoscenza di questa fuga di dati. Il secondo canale è il fuso orario. Una VPN può riscrivere la tua posizione in un altro Paese, ma l’orologio del tuo computer mostra ancora l’ora dell’Europa centrale e questo rivela la regione. Il terzo è l'elenco delle lingue impostate nel browser. Se il ceco è il primo, non è difficile indovinare la tua nazionalità, indipendentemente da dove sembri connetterti.
Infine, il dispositivo riporta anche le proprie prestazioni: quanti core del processore ha e quanta RAM ha all'incirca. Di per sé ciò non metterà in pericolo nessuno, ma è un altro tassello nel mosaico delle impronte digitali. Più questi piccoli dettagli si allineano, più con sicurezza potranno dire che dietro la nuova connessione ci sei di nuovo tu.
Tracker, cookie e un segnale spesso ignorato
Quando apri un normale sito di notizie, raramente comunichi solo con esso. In background vengono caricati elementi di tracciamento di terze parti. Le società pubblicitarie e di analisi li utilizzano per monitorare quali pagine visiti e creare un tuo profilo. Un tracking blocker è quindi uno degli strumenti più efficaci che puoi avere. Taglia fuori la maggior parte di quegli osservatori silenziosi prima ancora che abbiano la possibilità di caricarsi.
Esiste anche un modo decente per dire “non voglio essere tracciato”: il segnale Global Privacy Control, o GPC. Il tuo browser lo invia ai siti Web come una cortese richiesta di non vendere i tuoi dati o condividerli ulteriormente. Il suo predecessore più vecchio, DNT, viene abbandonato dai browser perché i siti web lo consideravano un desiderio non vincolante e per lo più lo ignoravano. GPC fa un ulteriore passo avanti. In alcuni stati americani, ad esempio in California, ha già valore legale, quindi le aziende locali non possono semplicemente ignorarlo. Ecco perché ha senso abilitarlo nel tuo browser.
I siti web memorizzano inoltre i dati su di te direttamente nel browser, nella cosiddetta memorizzazione persistente o localStorage. A differenza di una visita ordinaria, questi dati sopravvivono dopo aver chiuso la finestra e possono rimanere lì in attesa del tuo ritorno. È come una tasca che si riempie gradualmente di appunti di altre persone. Di tanto in tanto ha senso svuotarlo, ovvero cancellare i dati memorizzati per i singoli siti web; nelle impostazioni del tuo browser lo troverai solitamente sotto i dati del sito web, perché altrimenti la traccia che lasci continua a crescere. Lo stesso vale per i cookie. I cookie stessi non sono malvagi; ti mantengono connesso. Il problema è il tracciamento dei cookie che ti seguono attraverso i siti web. Ecco perché esistono quelle irritanti richieste di consenso ai cookie. Il consiglio è semplice: rifiutare tutto ciò che non è necessario. E se il tuo browser offre una protezione anti-impronta digitale, abilitala. Arrotonda volutamente e stravolge leggermente i piccoli valori tecnici di cui ho parlato sopra, così ti distingui meno dalla massa.
Una vecchia versione è una porta sbloccata, così come lo è l'accesso all'hardware
Ci sono due cose che ancora sottovalutiamo. Il primo è quanto sono aggiornati il tuo browser e il tuo sistema operativo. Ogni aggiornamento chiude buchi attraverso i quali qualcuno può entrare. Un browser obsoleto è come una serratura per la quale circola già una chiave maestra. Nel nostro lavoro la regola è semplice: ciò che non è aggiornato è un punto debole. Quando viene visualizzata la richiesta di aggiornamento, non è un fastidio, si tratta di una sostituzione preventiva della serratura. E che tu utilizzi Windows, macOS, Android o iPhone, il sistema stesso rivela da quale tipo di dispositivo provieni, ovvero un'altra riga nel tuo profilo.
Il secondo è l'accesso all'hardware. I browser basati su Chromium possono raggiungere attraverso il Web Bluetooth, USB, i cosiddetti dispositivi HID come tastiere o controller di gioco e persino la porta seriale. Firefox e Safari non lo consentono intenzionalmente per motivi di sicurezza. Esistono usi legittimi, come il collegamento di un terminale di pagamento. Ma è un permesso potente e non tutti i siti web che lo richiedono dovrebbero riceverlo. Le porte migliori sono quelle chiuse. Le tratto come le chiavi della macchina: non le consegno semplicemente perché qualcuno me lo ha chiesto gentilmente.
Ciò porta a una regola generale che ripeto costantemente ai clienti. Distribuisci le autorizzazioni con la massima cautela, come se le pagassi di tasca tua. Quando un sito Web o un'app richiedono la tua posizione, il microfono, la fotocamera o il Bluetooth, chiedi perché. Nella maggior parte dei casi non ne ha bisogno per nulla e sta semplicemente aggiungendo un altro pezzo all'immagine che sta costruendo di te.
Cosa potete fare oggi, senza paranoia
Non voglio che butti via il telefono dopo aver letto questo e ti trasferisci nel bosco. Una traccia digitale non può essere cancellata completamente, e questo non è l’obiettivo. L’obiettivo non è quello di essere la persona più facile da leggere nella stanza. Funziona esattamente allo stesso modo nella protezione fisica: il punto non è scomparire, ma non essere inutilmente visibile e facile da prendere di mira. Mimetizzarsi tra la folla è solitamente la migliore protezione.
Ci sono sei passaggi che hanno più senso con il minimo sforzo e puoi gestirli in un solo pomeriggio. Innanzitutto, utilizza un browser che prende sul serio la privacy per impostazione predefinita, ad esempio Brave o uno configurato correttamente Firefox. Secondo, aggiungi uBlock Origin, che interrompe la maggior parte dei tracker e degli annunci pubblicitari. In Chrome la versione completa non funziona più, motivo per cui consiglio Firefox o Brave come primo passo. Terzo, procurati una VPN affidabile; Personalmente lo consiglio Proton VPN o Mullvad e trattalo come uno strato di protezione, non come una panacea. In quarto luogo, aggiorna il tuo browser e il tuo sistema il prima possibile. In quinto luogo, rifiuta i cookie non essenziali e attiva la protezione anti-impronta digitale se il tuo browser la offre. E sesto, sii avaro con le autorizzazioni.
Ciò fornisce la maggior parte del risultato con una frazione dello sforzo. Il resto è abitudine e consapevolezza, esattamente come per strada. Una volta che inizi a notare quanto il tuo dispositivo dice di te, smetterà di coglierti di sorpresa.
Come verificare il proprio livello di esposizione
Il nostro test di esposizione digitale ti mostrerà come si trova il tuo dispositivo specifico in questo momento e ti darà un punteggio su tutti i venti punti che ho descritto qui. È un buon punto di partenza se vuoi sapere a che punto sei.
E se prendi la protezione più seriamente, che si tratti della sicurezza personale, del trasporto discreto o della traccia digitale che lasci dietro, contattaci per una consulenza senza impegno. In diciassette anni abbiamo imparato che la protezione fisica e la protezione digitale ormai vanno di pari passo. Sarò lieto di illustrarti, con calma e senza pressioni, ciò che la tua situazione richiede veramente e ciò che è semplicemente un inutile allarmismo. Nessuna pressione, nessun obbligo.
"La protezione ha smesso da tempo di riguardare solo chi ti sta accanto. Riguarda anche ciò che il tuo dispositivo comunica silenziosamente a chiunque sappia guardare."— Robert Václavík
