Signal è americana quindi è come WhatsApp

Signal: perché "americana" non è un problema 🌍

Signal è sviluppata dalla Signal Technology Foundation, un'organizzazione no-profit, con sede a Mountain View.

La sicurezza non dipende dalla nazionalità, ma dal modello di governance: la fondazione è stata creata apposta così che non pervenisse nessuna pressione da acquisizioni o investitori che avrebbero potuto spingere l'app verso pubblicità o monetizzazione dei dati.

Il fatto che sia americana conta poco perché:

• Il codice è open source (client e protocollo), quindi verificabile da chiunque, indipendentemente da dove ha sede l'azienda.
• Signal applica la crittografia end-to-end di default su tutto, e non conserva metadati utili a un ordine giudiziario (le "trasparency reports" pubblicate mostrano quanto poco possono effettivamente consegnare alle autorità).
• Essere no-profit toglie l'incentivo strutturale a "vendere" i dati per generare ricavi.

Finanziamento e sostenibilità 💸

Signal è finanziata da donazioni di singoli utenti e da grandi contributi di sostenitori, incluso un prestito fondativo del co-fondatore di WhatsApp Brian Acton. 

Nel 2024 la fondazione ha riportato circa 29,4 milioni di dollari di entrate contro circa 38 milioni di spese — un disavanzo coperto dalla riserva iniziale e dalle donazioni correnti.

Questo è il punto debole strutturale di Signal: non è ancora finanziariamente autosufficiente nel lungo periodo, e dipende dalla generosità di donatori e dal capitale iniziale di Acton. 

È un modello "no ads, no data-selling" volontariamente scelto, ma la sua sostenibilità futura è meno garantita di quella di un colosso commerciale.

WhatsApp: la differenza 🔍

WhatsApp è di proprietà di Meta Platforms, un'azienda quotata in borsa il cui modello di business si basa su pubblicità e raccolta dati (anche se WhatsApp stesso non mostra annunci diretti nei messaggi). Anche se il protocollo di cifratura usato da WhatsApp è tecnicamente simile al Signal Protocol, la differenza sta nell'azienda dietro:

• Meta ha un incentivo economico strutturale a raccogliere metadati (con chi parli, quando, con che frequenza, la tua rubrica) per il proprio ecosistema pubblicitario, anche se il contenuto dei messaggi resta cifrato.
• WhatsApp è profittevole e finanziariamente solidissima in quanto parte di un gigante da centinaia di miliardi di capitalizzazione.
• Ma è un'azienda che risponde ad azionisti, non a una missione dichiarata di privacy; le policy possono cambiare (com'è già successo con la condivisione dati con Facebook nel 2016).

Certificazioni

Né Signal né WhatsApp hanno certificazioni formali "di sicurezza" rivolte al pubblico come selling point principale, la fiducia si basa soprattutto su:

• Audit indipendenti del codice e del protocollo crittografico (Signal Protocol è stato analizzato accademicamente più volte, essendo pubblico).
• Per Signal, la totale apertura del codice sorgente (server incluso, in gran parte) permette verifica continua da parte della comunità di sicurezza.
• WhatsApp è closed-source, quindi ci si deve fidare (spoiler, io non mi fido) della dichiarazione di Meta di usare lo stesso protocollo, senza poter verificare direttamente l'implementazione.

In sintesi: Fidarsi di un codice sorgente pubblico è fattibile, ma quando parliamo delle implementazioni interne all'applicazione WhatsApp ci si deve fidare, un po' come succedeva da piccoli con Babbo Natale.

La vera domanda, che vi pongo a voi oggi è, voi credete ancora a Babbo Natale? 🧐