SecureDrop: come inviare documenti anonimi a un giornalista (e gli errori da non fare)
Hai documenti su un illecito, uno spreco di denaro pubblico o un pericolo per la salute e vorresti farli arrivare a un giornalista, ma senza rischiare che si risalga a te? Esiste uno strumento pensato apposta: SecureDrop. In questa guida ti spiego cos'è, come funziona e come usarlo senza commettere gli errori che possono tradire la tua identità.
Cos'è SecureDrop
SecureDrop è un sistema open source per inviare documenti e messaggi in modo anonimo alle redazioni. È stato ideato da Aaron Swartz ed è oggi gestito dalla Freedom of the Press Foundation, che pubblica sul sito securedrop.org l'elenco ufficiale delle testate che lo usano.
Le sue caratteristiche principali, spiegate semplici:
- Il server è della redazione: ogni SecureDrop è installato e gestito direttamente dalla testata, senza intermediari.
- Non registra chi sei: il sistema non salva il tuo indirizzo IP, né informazioni sul browser, sul computer o sul sistema operativo, e non usa cookie persistenti.
- Tutto è cifrato: i file vengono cifrati appena li carichi sul server.
- Niente nome utente: non scegli tu un nome (che potrebbe rivelare qualcosa di te). È SecureDrop a generare un nome in codice casuale, che ti serve per tornare a leggere le risposte del giornalista.
Cosa serve: il Tor Browser
Ogni SecureDrop si raggiunge solo con il Tor Browser. Gli indirizzi sono speciali, finiscono con .onion e Chrome, Safari o Firefox normali non li aprono. Tor è una rete che fa passare la connessione attraverso più server nel mondo, rendendo molto difficile collegare il tuo indirizzo IP a quello che fai.
Tor si scarica gratis dal sito ufficiale del Tor Project. Navigare con Tor in Italia è legale: illegale è solo usarlo per commettere reati.
Come inviare documenti a un giornalista, passo dopo passo
- Installa il Tor Browser scaricandolo dal sito ufficiale torproject.org.
- Apri securedrop.org con il Tor Browser e vai alla Directory, cioè l'elenco delle testate (il pulsante "See all SecureDrop instances in the directory").
- Filtra per lingua: nel menu Language Accepted scegli Italian. C'è anche il filtro per Paese e per argomento.
- Scegli la redazione e copia il suo indirizzo .onion. Il sito ufficiale consiglia di confrontarlo con quello pubblicato dalla testata stessa: se i due indirizzi non coincidono, non inviare nulla.
- Incolla l'indirizzo nel Tor Browser, carica i documenti e scrivi il tuo messaggio.
- Annota il nome in codice che ti viene assegnato, su carta e in un posto sicuro: senza quello non potrai leggere le risposte.
Gli errori da evitare (sono quelli che fanno scoprire le fonti)
SecureDrop protegge molto bene il percorso dei dati, ma non può proteggerti dai tuoi comportamenti. Ecco i consigli che danno gli stessi sviluppatori e i giornalisti che lo usano:
- Non usare il computer o la rete del lavoro. Il datore di lavoro può vedere che usi Tor, anche senza sapere cosa fai. Meglio evitare anche la rete di casa.
- Collegati da una rete pubblica che non frequenti di solito, per esempio un bar. La documentazione ufficiale suggerisce di pagare in contanti anche le consumazioni e il viaggio.
- Non cercare l'indirizzo .onion su Google e non incollarlo in un browser normale: lascerebbe una traccia.
- Fai tutte le ricerche dentro Tor. Anche visitare spesso il sito o i social della testata a cui scrivi può attirare l'attenzione.
- Per il massimo della sicurezza usa Tails, un sistema operativo che si avvia da chiavetta USB, passa tutto attraverso Tor e non lascia tracce sul disco del computer.
- Pensa ai metadati: foto, PDF e documenti Office contengono informazioni nascoste (autore, data, a volte il luogo). Inoltre, se il documento lo hanno visto in pochi, il contenuto stesso può far capire chi l'ha inviato.
Quando usarlo (e quando no)
SecureDrop è pensato per informazioni di interesse pubblico da far arrivare a un giornalista: illeciti, corruzione, rischi per la salute o per l'ambiente. Non è un servizio per segnalazioni urgenti alle forze dell'ordine né un modo per diffondere dati personali di altri. Se lavori in un'azienda o in un ente pubblico, ricorda che in Italia esistono anche i canali di segnalazione interni ed esterni previsti dalla normativa sul whistleblowing, con le loro tutele.
Spunto da un reel di Cose di Computer: abbiamo verificato i passaggi sulla documentazione ufficiale di SecureDrop e li abbiamo arricchiti con i consigli di sicurezza.
