Privacy on Arpokrat

La geolocalizzazione permanente: come il telefono vi segue anche quando credete di averglielo impedito

Sun, 02 Aug 2026 00:00:00 +0000

Nel 2024 due ricercatori dell’Università del Maryland hanno interrogato ripetutamente il servizio di posizionamento Wi-Fi di Apple, senza privilegi particolari né hardware specializzato, ricostruendo in un anno la posizione precisa di oltre due miliardi di punti di accesso Wi-Fi nel mondo. Il loro articolo, Surveilling the Masses with Wi-Fi-Based Positioning Systems , mostra che cosa consente quella mappa: seguire materiale che entra ed esce dall’Ucraina, osservare lo spostamento delle popolazioni dopo gli incendi di Maui, pedinare una persona attraverso il suo router domestico.

Nessuno di quei dispositivi aveva il GPS attivo. La posizione arrivava da altrove.

È il punto cieco più diffuso in materia di privacy mobile: la convinzione che esista un interruttore della localizzazione e che, una volta spento, il telefono smetta di sapere dove si trova. Quella convinzione è falsa su sette livelli diversi.

La localizzazione non è una funzione che il telefono attiva. È una proprietà di ciò che il telefono è.

Il GPS, ovvero il vettore meno problematico

L’unico meccanismo che tutti sanno nominare è anche quello che dovrebbe preoccuparvi di meno.

Il GNSS, termine generico che raggruppa il GPS americano, Galileo, GLONASS e BeiDou, funziona per ascolto. I satelliti emettono di continuo segnali con marca temporale, il ricevitore ne capta diversi e calcola la propria posizione dalle differenze di tempo di propagazione. Precisione corrente all’aperto e senza ostacoli: tre-cinque metri, spesso diverse decine di metri in città, dove le facciate riflettono i segnali.

Il punto decisivo è che questo calcolo è passivo. Il telefono non emette nulla verso i satelliti, nessun operatore satellitare sa che esistete. Se in gioco ci fosse solo il GNSS, spegnere il GPS basterebbe.

Esiste però una sfumatura. Per accelerare il primo calcolo, i telefoni usano l’A-GPS: scaricano le effemeridi satellitari da un server, tramite il protocollo SUPL . Per ottenere i dati giusti, il telefono trasmette a quel server l’identificativo della cella di rete a cui è agganciato. Il GNSS puro non vi tradisce, ma l’acceleratore che gli è stato innestato sì.

La rete mobile: quello che l’operatore sa per costruzione

Perché una chiamata possa raggiungervi, la rete deve sapere in quale zona vi trovate. Non è un’opzione attivabile, è la condizione di esistenza del servizio. Il telefono si segnala in permanenza all’antenna più vicina, e questa registrazione lascia una traccia dal lato dell’operatore. Nessuna app installata, nessun permesso concesso: basta una SIM attiva.

La precisione dipende dal metodo:

Identificativo di cella da solo: da 200 metri in area urbana densa a oltre 30 chilometri in zona rurale, dove un’antenna copre un raggio molto ampio.
Cell ID arricchito, che aggiunge il settore dell’antenna (la maggior parte dei siti è divisa in tre settori da 120 gradi) e la potenza del segnale: da 100 metri a qualche chilometro.
Timing advance, che misura il ritardo di andata e ritorno tra telefono e antenna: nell’ordine dei 550 metri in GSM, circa 78 metri in LTE.
Multilaterazione su tre antenne o più: da 50 a 300 metri in LTE urbano.

Il 5G cambia la scala per due ragioni cumulative. Innanzitutto la densità: le celle 5G coprono raggi molto più corti, quindi il semplice aggancio è già un’informazione fine. Poi la normazione: dalla Release 16 il 3GPP integra segnali di posizionamento nativi. Gli obiettivi commerciali puntano a meno di 3 metri in interni e meno di 10 metri in esterni per l'80 % dei terminali, e la Release 18 scende al centimetro per certi usi industriali.

L’infrastruttura che vi connette diventa quindi un sistema di posizionamento di qualità paragonabile al GPS, senza che abbiate attivato nulla. Questi dati sono conservati secondo regole nazionali e resi accessibili alle autorità con procedure variabili. È lo stesso dibattito di fondo affrontato a proposito della giurisdizione applicabile ai dati ospitati : protezione tecnica e protezione giuridica non coincidono.

Il Wi-Fi: una mappa del mondo fatta di indirizzi hardware

Ogni punto di accesso Wi-Fi diffonde in permanenza un identificativo hardware unico, il BSSID. Questi identificativi sono fissi e geograficamente stabili: un router domestico resta anni nello stesso posto.

Apple, Google e alcuni attori specializzati mantengono basi di dati che associano ogni BSSID a delle coordinate, costruite dai telefoni dei loro stessi utenti, che riportano l’elenco degli access point visibili insieme a una posizione GNSS. L’operazione si inverte poi: un telefono che vede quattro access point noti non ha più bisogno di un solo satellite. In area urbana densa la precisione raggiunge correntemente qualche decina di metri, e scende sotto quella soglia in interni.

Due proprietà rendono questo meccanismo difficile da neutralizzare. Primo, il telefono effettua scansioni anche quando il Wi-Fi sembra disattivato: da Android 4.3 il sistema mantiene una scansione periodica destinata a migliorare la localizzazione, indipendentemente dall’interruttore del pannello rapido. Questo comportamento dipende da un’impostazione distinta, sepolta nei servizi di localizzazione, che la quasi totalità degli utenti non ha mai aperto.

Secondo, la base è interrogabile dall’esterno. È la falla sfruttata da Rye e Levin: le interfacce di posizionamento restituiscono non solo la posizione richiesta ma anche quella di access point vicini, il che permette di mietere la mappa senza mai avvicinarsi fisicamente ai luoghi.

Bluetooth e BLE: localizzati dai telefoni degli altri

Il Bluetooth Low Energy aggiunge uno strato di prossimità, con una portata da qualche metro a qualche decina di metri, quindi di granularità molto più fine della rete mobile. Coesistono due usi. I beacon commerciali, installati in negozi, aeroporti o centri commerciali, emettono un identificativo che le app presenti sul telefono riconoscono, il che rivela davanti a quale scaffale vi siete fermati e per quanto tempo. E le reti di localizzazione collaborative, di cui Find My di Apple è il modello, ripreso poi da Google e Samsung.

Questo secondo meccanismo ribalta un’ipotesi implicita. L’analisi di riferimento, Who Can Find My Devices? , pubblicata negli atti di PETS 2021 da ricercatori dell’Università tecnica di Darmstadt, ha ricostruito il protocollo di Apple tramite reverse engineering. Un dispositivo offline emette un segnale BLE, un qualsiasi dispositivo Apple nelle vicinanze lo capta, vi aggiunge la propria posizione e la trasmette cifrata ai server di Apple, all’insaputa sia del suo proprietario sia del proprietario del dispositivo localizzato.

La conseguenza è strutturale: un dispositivo senza SIM, senza Wi-Fi, senza connessione di rete di alcun tipo resta localizzabile, purché uno sconosciuto passi lì vicino con un telefono in tasca. Il vostro isolamento non dipende più dalle vostre impostazioni, ma da quelle dei passanti.

I sensori inerziali: localizzare senza permesso di localizzazione

Un telefono contiene un accelerometro, un giroscopio, un magnetometro e spesso un barometro. Questi sensori rientrano in una categoria di permessi distinta dalla localizzazione: un’app può leggerli senza aver mai chiesto dove siete.

Alcuni ricercatori di Princeton lo hanno dimostrato con PinMe . La loro app parte dall’indirizzo IP e dal fuso orario per una posizione grossolana, poi legge i sensori: l’accelerometro dà il profilo di accelerazione e frenata, il giroscopio la sequenza delle curve, il magnetometro la direzione, il barometro le variazioni di quota. Una rete neurale identifica il modo di trasporto, a piedi, auto, treno o aereo, e il tragitto viene riallineato su dati pubblici di cartografia, altimetria e meteo. Risultato: una traiettoria di precisione paragonabile al GPS, senza permesso di localizzazione. Il metodo ha dei limiti, che gli autori documentano, poiché fallisce nelle zone senza strade e si degrada sugli impianti a scacchiera uniforme, dove molti percorsi producono la stessa firma. Resta la dimostrazione che un permesso negato non è una porta chiusa.

Il barometro fornisce inoltre la dimensione che il GNSS gestisce male, la verticale. I requisiti statunitensi per le chiamate di emergenza impongono una precisione di piano di più o meno 3 metri per l'80 % delle chiamate effettuate in interni. Sapere a quale piano si trova qualcuno è di altra natura rispetto a sapere in quale isolato si trova.

Il mercato del dato: il vettore più banale

I meccanismi precedenti descrivono come viene calcolata una posizione. Resta da sapere dove va a finire, ed è lì che si gioca l’essenziale del rischio quotidiano.

Migliaia di app integrano SDK pubblicitari, componenti software forniti da terzi che uno sviluppatore aggiunge per monetizzare il proprio lavoro o misurare la propria audience. Questi componenti ereditano i permessi dell’app ospite: un’app meteo che ha legittimamente bisogno della vostra posizione la trasmette ad attori di cui non avete mai letto il nome. Vi si aggiungono i flussi d’asta pubblicitaria, dove la vostra posizione approssimativa viene diffusa a decine di potenziali acquirenti a ogni visualizzazione di un banner, compresi quelli che non comprano nulla e si limitano ad ascoltare.

Questa materia prima alimenta un’industria. La Electronic Frontier Foundation ha documentato il caso di Fog Data Science , che rivendicava miliardi di punti dati su oltre 250 milioni di dispositivi, venduti a polizie locali statunitensi. Brian Krebs ha descritto Locate X , un prodotto che permette di tracciare un poligono su una mappa e visualizzare lo storico dei dispositivi entrati e usciti da quell’area.

Questo vettore non richiede alcuna prodezza tecnica, soltanto che qualcuno accetti di pagare. Il prezzo è modesto.

Gli IMSI catcher: la localizzazione attiva

I meccanismi visti finora sfruttano un funzionamento normale. Esiste anche una localizzazione attiva, condotta da un terzo che interviene sulla rete.

Un IMSI catcher, o simulatore di cella, è un apparato che si spaccia per un’antenna legittima. I telefoni a portata vi si agganciano, rivelando il proprio identificativo di abbonato e la propria presenza in un perimetro ristretto.

Il 5G avrebbe dovuto chiudere quella porta sostituendo l’identificativo permanente in chiaro con uno cifrato, il SUCI. La chiusura è parziale. I lavori presentati sotto il titolo 5G SUCI-catchers: still catching them all? documentano attacchi di collegamento che consentono di ricorrelare le sessioni malgrado la cifratura. Soprattutto, la protezione cade del tutto se l’attaccante costringe il terminale a ripiegare su una generazione precedente, il 2G in particolare, la cui autenticazione è unilaterale. Un telefono 5G resta vulnerabile a un attacco concepito per una rete degli anni Novanta, perché accetta ancora di scendervi.

Le contromisure e la loro efficacia reale

Ognuna delle misure che seguono fa qualcosa. Nessuna fa tutto, e lo scarto tra ciò che fanno e ciò che si attribuisce loro produce le decisioni sbagliate.

La modalità aereo

La modalità aereo interrompe l’emissione del modem cellulare, del Wi-Fi e del Bluetooth. È un effetto reale, ed è il miglior risultato ottenibile con uno sforzo tanto ridotto.

Ciò che non fa: non ferma i sensori inerziali, non cancella le posizioni già in cache, che partiranno alla riconnessione, e sulla maggior parte dei dispositivi consente di riattivare Wi-Fi o Bluetooth separatamente senza uscirne. È infine uno stato software, non un’interruzione di alimentazione: la sua affidabilità dipende dall’integrità del sistema che la applica.

Un dettaglio sottovalutato: il distacco e il successivo riaggancio alla rete sono essi stessi eventi con marca temporale dal lato dell’operatore. Un telefono che sparisce alle 21 in una cella e riappare alle 23 in un’altra ha prodotto un’informazione, non un silenzio.

La randomizzazione dell’indirizzo MAC

I sistemi mobili emettono oggi indirizzi MAC casuali durante le scansioni, per impedire il tracciamento da un luogo all’altro. L’intenzione è buona, il risultato incompleto. I lavori di riferimento, tra cui Why MAC Address Randomization is not Enough , mostrano che il contenuto delle trame di scoperta basta spesso a reidentificare il dispositivo: il numero di elementi informativi, i loro valori e il loro ordine formano un’impronta. Vi si aggiungono i numeri di sequenza, incrementali e quindi concatenabili, e la firma temporale propria di ogni modello. Alcuni studi riportano un tracciamento corretto di metà dei dispositivi per almeno venti minuti.

Infine un limite concettuale: la randomizzazione riguarda solo la fase di scoperta. Non appena vi connettete a una rete, l’indirizzo usato è stabile per quella rete, per progettazione, affinché la connessione funzioni. Il bar dove andate ogni mattina vi riconosce.

Spegnere davvero le scansioni

È l’impostazione più redditizia e la più ignorata. Su Android la ricerca Wi-Fi e la ricerca Bluetooth sono due opzioni distinte, collocate nei servizi di localizzazione, indipendenti dagli interruttori del pannello rapido. Finché sono attive, spegnere il Wi-Fi dal pannello non basta: la scansione continua.

Disattivarle elimina un intero strato di raccolta, senza altro costo che un primo calcolo di posizione un po’ più lento. Per la maggior parte dei lettori è il miglior rapporto tra lo sforzo speso e il risultato ottenuto.

I permessi delle app

Revocare il permesso di localizzazione alle app che manifestamente non ne hanno bisogno resta utile, e i sistemi recenti offrono tre gradazioni: l’autorizzazione una tantum, quella limitata all’uso attivo e la posizione approssimativa, che trasmette solo un’area dell’ordine del chilometro.

Questo però non protegge né dagli SDK ospitati in un’app che ha una ragione legittima di accedere alla vostra posizione, né dai sensori inerziali, né dagli strati di rete, che non passano da alcun permesso.

Ciò che la VPN non protegge

Punto da chiarire, perché la convinzione opposta è molto diffusa: una VPN non nasconde la vostra posizione. Nasconde il vostro indirizzo IP pubblico, quindi falsa la geolocalizzazione basata su IP, che è comunque il meccanismo più grossolano dell’elenco.

Una VPN non tocca né il ricevitore GNSS, né la scansione Wi-Fi, né il Bluetooth, né i sensori. Non cambia nulla di ciò che sa il vostro operatore, poiché il tunnel cifrato transita dalle sue antenne e l’aggancio cellulare gli resta visibile. Non impedisce a un’app dotata del permesso di localizzazione di trasmettere coordinate esatte dentro il tunnel. La VPN protegge il contenuto e la destinazione delle vostre comunicazioni su una rete non affidabile, e non è poco. La localizzazione non rientra nel suo perimetro.

I limiti fisici

Una custodia di Faraday funziona in senso letterale: blocca emissioni e ricezioni. Anche la rimozione della batteria, quando è ancora possibile. Il dispositivo dedicato, o il fatto di lasciare il telefono altrove, resta la misura più robusta.

Queste soluzioni condividono un difetto da guardare in faccia: producono un’anomalia. Un telefono che tace due ore ogni martedì sera dice qualcosa. Contro un avversario che analizza schemi anziché posizioni istantanee, l’assenza è un dato.

Tre avversari, tre strategie

È la distinzione più importante di questo articolo, e quella che si legge meno spesso.

Contro un inserzionista o un broker di dati, la partita è vincibile. Disciplina dei permessi, disattivazione delle scansioni, sistema privo di servizi di localizzazione proprietari, reimpostazione dell’identificativo pubblicitario: l’insieme riduce moltissimo il volume raccolto. Questo avversario cerca volume a basso costo, non il vostro caso particolare.

Contro il vostro operatore, nessuna configurazione basta. La localizzazione cellulare è la condizione del servizio. Le uniche variabili reali sono giuridiche, ossia ciò che la legge autorizza a conservare e a trasmettere, e materiali: quale dispositivo, quale SIM, intestata a chi, acceso dove.

Contro un avversario statale mirato, il ragionamento cambia ancora, poiché combina l’accesso legale ai dati dell’operatore, la localizzazione attiva tramite simulatore di cella, la richiesta alle piattaforme e, se del caso, la compromissione del terminale. Le contromisure software riducono la superficie, ma l’obiettivo realistico non è la sparizione: è sapere con precisione che cosa resta esposto.

L’approccio di ArpokratOS

ArpokratOS risponde a questo panorama con una scelta che discende dalla distinzione appena fatta: ciò che deve essere neutralizzato lo è a livello di sistema, non in un menu.

Sul GNSS, il driver hardware viene rimosso. Il dispositivo si comporta come se il chip non esistesse, tanto per le applicazioni quanto per il sistema stesso. La differenza rispetto a un interruttore nelle impostazioni non è cosmetica. Un interruttore è una politica: viene applicato da uno strato che può essere aggirato da un componente sufficientemente privilegiato, riattivato da un aggiornamento o ignorato da un sistema compromesso. Rimuovere il percorso di codice elimina la questione, perché non c’è più nulla da attivare.

Il Bluetooth è trattato a livello Core, con la stessa logica. Un Bluetooth disattivato nelle impostazioni lascia in pratica lo stack software vivo su molti dispositivi, per alimentare i servizi di prossimità e le reti di localizzazione collaborative. Assente a livello di sistema, non può né dialogare con un beacon di negozio, né partecipare a una rete di tipo Find My, né fare da superficie d’attacco senza interazione.

Bisogna dire chiaramente che cosa questo non fa. ArpokratOS non rende un telefono non rilevabile. Finché una SIM è attiva, l’operatore conosce la cella di aggancio, e nessun sistema operativo cambia questo, nemmeno instradando l’intero traffico attraverso Tor. Il routing protegge il contenuto e la destinazione, non la geometria radio. Chi promette l’invisibilità vende una storia.

Ciò che un’architettura simile porta è più modesto: la soppressione degli strati applicativi e di prossimità, attraverso i quali passa la grandissima maggioranza della raccolta reale, e un modello di minaccia esplicito su ciò che resta. È il ragionamento applicato alla scelta di un sistema desktop, illustrato nel nostro confronto tra sistemi operativi : la domanda utile non è se uno strumento protegge, ma da che cosa protegge e a quale prezzo.

Conclusione

Questo articolo non fornisce un metodo per sparire. Quel metodo non esiste, e i testi che pretendono il contrario producono soprattutto falsa fiducia, più pericolosa dell’assenza di protezione perché fa correre rischi.

L’obiettivo era sostituire una domanda binaria, sono localizzabile o no, con una domanda utile: da chi, con quale precisione, a quale costo per loro, e mi importa? La risposta è diversa per un giornalista che protegge una fonte, un dirigente in trasferta in una giurisdizione sensibile, un avvocato i cui appuntamenti rivelano una strategia, o un privato infastidito dal fatto che un inserzionista conosca le sue abitudini.

Ciò che dovrebbe attirare l’attenzione non è del resto la prestazione di ciascuno di questi meccanismi preso isolatamente, ma il fatto che si sovrappongano. Una posizione con cinquanta metri di margine non è molto interessante. Una posizione con cinquanta metri di margine, ogni quarto d’ora, per due anni, disegna un domicilio, un luogo di lavoro, una confessione religiosa, uno stato di salute, una relazione, una fonte. Il dato di localizzazione è il metadato che rende leggibili tutti gli altri, ed è per questo che vale caro.

Fonti

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Quale sistema operativo per la sicurezza e la privacy? Windows, macOS, Linux, Tails, Whonix e Qubes OS a confronto

Mon, 22 Jun 2026 00:00:00 +0000

La scelta di un sistema operativo non è solo una questione di preferenza d’interfaccia o di compatibilità software. È anche, e sempre più, una decisione che riguarda la sicurezza e la privacy. Ogni OS raccoglie dati in modo diverso, espone superfici d’attacco differenti e offre all’utente un livello di controllo molto variabile. Questo confronto analizza i principali sistemi sul mercato esclusivamente da questa prospettiva, dai più diffusi ai più specializzati.

Il criterio centrale: chi controlla il vostro sistema?

Prima di entrare nel dettaglio di ciascun OS, un principio strutturante: la sicurezza di un sistema operativo dipende fondamentalmente da chi detiene il codice e da quali decisioni architetturali sono state prese in fase di progettazione. Un OS proprietario a codice chiuso (Windows, macOS) delega questa fiducia al proprio editore. Un OS open source delega questa fiducia alla comunità che ne verifica il codice. Un OS progettato per la sicurezza compartimentata (Qubes OS) parte dal presupposto che nessun componente del sistema debba essere considerato completamente affidabile.

Windows 11

Raccolta dati e telemetria

Windows 11 è il sistema operativo desktop più utilizzato al mondo, e anche uno di quelli che raccoglie più dati per impostazione predefinita. Microsoft suddivide la propria telemetria in due categorie ufficiali:

Dati obbligatori (non disattivabili nelle edizioni Home e Pro): configurazione hardware, identificatori del dispositivo, report di errori e stabilità, dati di aggiornamento e driver. Questi dati vengono trasmessi a Microsoft indipendentemente dalle preferenze dell’utente.

Dati facoltativi: comportamento d’uso, interazioni con le applicazioni, dati di personalizzazione. Disattivabili nelle impostazioni, ma riattivati automaticamente durante alcuni aggiornamenti principali.

Windows 11 24H2 ha introdotto diversi nuovi livelli di raccolta legati all’intelligenza artificiale:

Windows Recall: scatta uno screenshot ogni cinque secondi per creare una cronologia consultabile di tutto ciò che è stato fatto sulla macchina. Disattivabile, ma attivato per impostazione predefinita e collegato a diritti di accesso estendibili da altre applicazioni
Copilot: ogni richiesta viene trasmessa ai server Microsoft, inclusi screenshot, testo selezionato e contesto delle applicazioni aperte
Defender Cloud Protection: invia hash di file sospetti e dati comportamentali al cloud Microsoft per l’analisi

La conclusione documentata da numerose fonti tecniche indipendenti è inequivocabile: è impossibile disattivare completamente la telemetria di Windows 11 nelle edizioni Home e Pro. L’unico modo per farlo è utilizzare un’edizione Enterprise o Education, applicare policy di gruppo specifiche, oppure ricorrere a strumenti di terze parti come O&O ShutUp10++ o WPD, con i rischi di instabilità che ciò può comportare.

Superficie d’attacco e sicurezza

Windows 11 è il bersaglio della stragrande maggioranza dei malware, ransomware ed exploit disponibili nel mondo, in proporzione alla sua quota di mercato. Microsoft ha introdotto meccanismi di sicurezza significativi (TPM 2.0 obbligatorio, Secure Boot, VBS, Credential Guard), ma questi operano in un modello monolitico: una compromissione del kernel o di un servizio di sistema privilegiato colpisce l’intero ambiente.

Verdetto sicurezza/privacy: sistema più esposto del confronto, telemetria non completamente disattivabile, modello di fiducia interamente delegato a Microsoft e alla giurisdizione statunitense.

macOS

Raccolta dati e telemetria

Apple ha costruito parte della propria immagine di marketing sulla riservatezza. La realtà tecnica è più sfumata.

macOS raccoglie molti meno dati di Windows per impostazione predefinita, ma la raccolta rimane reale e parzialmente non disattivabile:

Gatekeeper e verifica OCSP: a ogni apertura di un’applicazione, macOS esegue una verifica online sui server Apple per confermare che l’applicazione non sia stata revocata. Questa richiesta trasmette informazioni sull’applicazione aperta e l’indirizzo IP del dispositivo. Nessuna impostazione nativa consente di disattivare queste verifiche senza interrompere la catena di sicurezza
Analytics macOS: raccolta di dati sull’utilizzo del sistema, disattivabile in Preferenze di Sistema > Privacy > Analisi
Telemetria delle applicazioni Apple: Maps, Siri, App Store e le altre applicazioni Apple integrate mantengono ciascuna la propria raccolta, con identificatori rotativi, indipendentemente dall’impostazione di analisi del sistema

Per approfondire, gli esperti di sicurezza raccomandano l’utilizzo di un firewall applicativo (Little Snitch o LuLu, open source e gratuito) per monitorare e bloccare le connessioni in uscita applicazione per applicazione.

Superficie d’attacco e sicurezza

macOS beneficia di diversi solidi meccanismi di sicurezza: System Integrity Protection (SIP) che protegge i file di sistema in sola lettura, Kernel Integrity Protection a livello hardware sui chip Apple Silicon, sandboxing delle applicazioni dell’App Store e Secure Enclave sulle macchine recenti. Il collegamento con un Apple ID è il principale vettore di raccolta dei dati personali.

Verdetto sicurezza/privacy: migliore di Windows sulla telemetria predefinita, ma ancora soggetto alle verifiche OCSP non disattivabili, alla giurisdizione statunitense e al modello chiuso di Apple. Difficile da verificare in modo indipendente.

Linux (distribuzioni generaliste)

Linux non è un unico sistema operativo, ma un kernel su cui vengono costruite distribuzioni molto diverse tra loro. Dal punto di vista della sicurezza e della privacy, condividono una base comune ma divergono su diversi punti.

Ubuntu è la distribuzione più popolare per i principianti. Nel 2012 ha scatenato una controversia inviando le ricerche locali ai server Amazon, comportamento successivamente rimosso. Ubuntu mantiene una propria raccolta di dati d’uso (whoopsie, ubuntu-report), disattivabile, e integra strettamente i propri repository Snap controllati da Canonical Ltd.

Debian è la base su cui è costruito Ubuntu, senza i livelli aggiuntivi di Canonical. Governata da un progetto comunitario senza scopo di lucro, con un impegno rigoroso verso il software libero, non raccoglie alcuna telemetria per impostazione predefinita. La sua politica di aggiornamenti conservativa è generalmente preferibile in termini di superficie d’attacco.

Fedora, sponsorizzata da Red Hat (filiale di IBM), è tecnicamente moderna con un ciclo di aggiornamenti rapido. Nessuna telemetria per impostazione predefinita, ma il rapporto con Red Hat/IBM introduce una dipendenza aziendale da tenere in considerazione.

Linux Mint, derivata da Ubuntu, è progettata per gli utenti provenienti da Windows. Ha rimosso i componenti più controversi di Ubuntu (Snap è assente per impostazione predefinita) e non introduce telemetria propria.

Arch Linux si rivolge agli utenti avanzati con una filosofia minimalista: l’utente installa solo ciò di cui ha bisogno. Nessuna telemetria, aggiornamenti continui (rolling release), totale libertà di personalizzazione.

Ciò che Linux apporta fondamentalmente

Codice sorgente aperto e verificabile: qualsiasi ricercatore di sicurezza può ispezionare il codice del kernel e dei componenti principali
Assenza di telemetria imposta: nessuna distribuzione principale forza una raccolta di dati non disattivabile
Modello di permessi più rigoroso per impostazione predefinita: utilizzo di un account root separato dalle attività quotidiane
Superficie d’attacco ridotta: Linux è meno preso di mira dai malware di massa

Verdetto sicurezza/privacy: nettamente superiore a Windows e macOS sulla raccolta dati. Nessuna distribuzione generalista protegge dalla compromissione di un’applicazione che si estende all’intero sistema.

Tails OS

Filosofia: l’amnesia come protezione

Tails, acronimo di The Amnesic Incognito Live System, è un sistema operativo basato su Debian che nel 2024 si è fuso con il Tor Project. La sua filosofia è radicalmente diversa da tutti gli altri OS: piuttosto che tentare di proteggere un ambiente persistente, elimina qualsiasi persistenza per impostazione predefinita. Tails esiste solo per la durata di una sessione.

Architettura tecnica

Tails si esegue interamente da una chiavetta USB (minimo 8 GB) e gira completamente in RAM. Quando lo si spegne, non rimane alcuna traccia sulla macchina host: né file temporanei, né cronologia, né credenziali, né artefatti forensici sul disco rigido del PC utilizzato. Non importa se quel PC è compromesso a livello software: Tails non scrive mai sul suo disco.

Tor per impostazione predefinita e senza eccezioni

Tutto il traffico di rete di Tails viene sistematicamente instradato attraverso la rete Tor. Se un’applicazione tenta di stabilire una connessione diretta aggirando Tor, Tails la blocca. Non è possibile utilizzare Tails per navigare senza Tor, nemmeno per errore.

Lo storage persistente cifrato (opzionale)

Per impostazione predefinita, Tails dimentica tutto a ogni spegnimento. Per gli utenti che necessitano di conservare alcuni dati tra le sessioni, Tails offre uno Persistent Storage: un volume cifrato (LUKS) creato sulla chiavetta USB stessa, protetto da una passphrase. L’utente sceglie con precisione cosa vi viene memorizzato: alcuni file, configurazioni di applicazioni, chiavi PGP, ecc. Questo storage persistente non modifica la natura amnesica di Tails nei confronti della macchina host; riguarda solo ciò che viene conservato sulla chiavetta USB tra due sessioni.

Strumenti preinstallati

Tails viene fornito con un insieme di strumenti preconfigurati: Tor Browser, client di messaggistica cifrata, strumento di cifratura dei file (Kleopatra/GnuPG), client di messaggistica sicura e LibreOffice per la produttività. Non è necessario installare software aggiuntivo per un utilizzo quotidiano ad alta sicurezza.

Nota tecnica 2026: Tails 7.7 ha aggiunto una notifica per i certificati Secure Boot obsoleti, poiché le chiavi Microsoft del 2011 iniziano a scadere a giugno 2026. Gli utenti il cui firmware UEFI non è aggiornato rischiano di non poter più avviare Tails su alcune macchine.

Cosa Tails protegge e cosa no

Minaccia	Protezione Tails
Analisi forense del disco host dopo sequestro	Totale: il disco host non viene mai toccato
Sorveglianza di rete (IP, siti visitati)	Forte tramite Tor, ma dipende dalla robustezza di Tor
Malware persistente sulla macchina host	Aggirata: Tails non utilizza il sistema installato
Malware BIOS/UEFI (firmware compromesso)	Nulla: Tails non può proteggere contro il firmware della macchina utilizzata
Errore umano (accesso a un account personale)	Nulla: se ci si connette a Gmail sotto Tails, si de-anonimizza la sessione
Compromissione di un software nella sessione	Limitata alla sessione corrente, distrutta allo spegnimento

Limiti onesti

Tails non è adatto a un uso quotidiano: l’assenza di persistenza implica di riconfigurare l’ambiente a ogni avvio
Un malware di tipo BIOS o firmware (come un impianto a livello UEFI) può potenzialmente compromettere una sessione Tails, poiché Tails non controlla il livello firmware della macchina su cui gira
Accedere a un account personale (email, social network) annulla l’anonimato della sessione, indipendentemente da Tor

Per chi?

Giornalisti che lavorano con fonti tramite SecureDrop, attivisti sotto sorveglianza in regimi repressivi, chiunque abbia bisogno di una sessione occasionale ad alta sensibilità su hardware non controllato. Utilizzato da Glenn Greenwald e Laura Poitras per trattare i documenti Snowden, raccomandato dall’EFF, dalla Freedom of the Press Foundation e dal Tor Project.

Verdetto: strumento di prima scelta per le sessioni occasionali ad alta sensibilità. Non un OS principale per uso quotidiano.

Whonix

Filosofia: l’anonimato strutturale tramite isolamento di rete

Whonix risponde a una domanda diversa rispetto a Tails: piuttosto che eliminare ogni traccia dopo la sessione, si assicura che un malware in esecuzione nell’ambiente di lavoro non possa strutturalmente conoscere il vero indirizzo IP dell’utente, anche se dispone dei diritti root sulla macchina virtuale di lavoro.

Whonix è basato su Debian (tramite KickSecure, una versione rafforzata di Debian sviluppata dallo stesso team) e funziona all’interno di un hypervisor di tipo 2 (VirtualBox, KVM) su qualsiasi OS host, oppure nativamente in Qubes OS come tipo 1.

L’architettura a due VM

Il principio centrale di Whonix è una separazione rigorosa tra il livello di rete e il livello applicativo, implementata tramite due macchine virtuali distinte:

Whonix-Gateway è la prima VM. Esegue il demone Tor e funge esclusivamente da gateway di rete. È l’unica VM ad avere accesso a Internet. Non contiene alcuna applicazione utente. Il suo unico ruolo è intercettare tutto il traffico di rete in entrata e in uscita e forzarlo a transitare attraverso Tor.

Whonix-Workstation è la seconda VM. È l’ambiente di lavoro: browser, messaggistica, elaborazione di file, sviluppo. È connessa a Internet solo tramite la rete virtuale interna che punta verso Whonix-Gateway. Non ha alcun accesso diretto a Internet, nessuna capacità di connessione che aggiri il Gateway.

Ecco cosa accade durante una richiesta di rete dalla Workstation:

L’applicazione emette una richiesta di rete
La Workstation la trasmette tramite la propria interfaccia di rete interna verso il Gateway
Il Gateway intercetta la richiesta e la reindirizza attraverso Tor (tre relay successivi)
La risposta ritorna attraverso lo stesso percorso in senso inverso
La Workstation riceve la risposta senza aver mai avuto conoscenza del vero indirizzo IP di uscita

La garanzia fondamentale: anche se un malware compromette la Workstation con diritti root, non può conoscere il vero indirizzo IP dell’utente, perché la Workstation stessa non vi ha mai accesso. La Workstation vede solo l’indirizzo IP interno del Gateway.

I meccanismi di sicurezza aggiuntivi

Stream isolation: Whonix utilizza circuiti Tor distinti per diverse applicazioni (il browser non utilizza lo stesso circuito del client email, ecc.), il che impedisce la correlazione del traffico tra diverse attività.

Boot clock randomization: l’orologio di sistema della Workstation viene leggermente sfasato in modo casuale a ogni avvio per prevenire attacchi di timing basati sull’ora esatta del sistema.

sdwdate: Whonix utilizza il proprio demone di sincronizzazione dell’ora (sdwdate) che recupera l’ora tramite Tor da server onion, invece del classico NTP che potrebbe far trapelare l’indirizzo IP.

AppArmor: profili AppArmor rafforzano il sandboxing delle applicazioni critiche come Tor Browser a livello di sistema.

VM usa e getta: Whonix supporta Workstation usa e getta (Whonix-Workstation DispVM in Qubes-Whonix) per compiti occasionali senza persistenza, simili all’approccio Tails ma in un ambiente altrimenti persistente.

Le tre modalità di distribuzione

Whonix su VirtualBox o KVM (Tipo 2): la modalità più accessibile. Le due VM girano su un OS host esistente (Windows, Linux, macOS). Pratico, ma introduce un ulteriore livello di fiducia nell’OS host: se l’host è compromesso, la protezione di Whonix può essere aggirata.

Qubes-Whonix (Tipo 1, raccomandato): Whonix è integrato nativamente in Qubes OS come template. Il Gateway diventa un ProxyVM (sys-whonix) e la Workstation un AppQube (anon-whonix). È la configurazione più robusta perché l’isolamento si basa sull’hypervisor Xen bare-metal piuttosto che su un hypervisor di tipo 2 in esecuzione su un OS host potenzialmente vulnerabile. È la combinazione raccomandata da entrambi i progetti.

Isolamento fisico (modalità avanzata): il Gateway e la Workstation girano su due macchine fisiche distinte, collegate da un cavo Ethernet. La Workstation non ha alcuna scheda di rete tranne quella collegata al Gateway. Questa modalità riduce drasticamente la base di fiducia, ma richiede due macchine dedicate.

Cosa Whonix protegge e cosa no

Minaccia	Protezione Whonix
Perdita dell’indirizzo IP dalla Workstation	Strutturalmente impossibile per architettura
DNS leak	Impossibile: tutto il DNS passa per Tor tramite il Gateway
Malware root sulla Workstation che cerca l’IP reale	Nulla: non lo troverà
Compromissione del Gateway stesso	Parziale: se il Gateway è compromesso, l’IP può trapelare
Compromissione dell’OS host (in modalità Tipo 2)	Nulla: un host compromesso può osservare entrambe le VM
De-anonimizzazione per comportamento dell’utente	Nulla: Whonix non protegge dagli errori umani
Analisi forense del disco dopo sequestro	Parziale: Whonix è persistente per impostazione predefinita, tranne le VM usa e getta

Limiti onesti

Whonix non elimina le tracce sul disco: è persistente per impostazione predefinita (a differenza di Tails). Se la macchina viene sequestrata e la cifratura del disco host è assente o debole, i dati delle VM sono recuperabili
In modalità Tipo 2 (VirtualBox/KVM su un OS host), la sicurezza di Whonix è limitata dalla sicurezza dell’OS host. Un host compromesso può potenzialmente osservare il traffico tra le due VM
Le prestazioni sono influenzate dalla doppia virtualizzazione e dall’instradamento tramite Tor: le connessioni sono lente, i download voluminosi difficili nel quotidiano

Per chi?

Chiunque abbia bisogno di un ambiente di lavoro persistente con anonimato di rete strutturale: sviluppo di software sensibile, ricerca sotto pseudonimo prolungato, gestione di più identità digitali distinte, server onion. La combinazione Qubes-Whonix è considerata da molti esperti di sicurezza come l’ambiente di lavoro anonimo più robusto attualmente disponibile per un uso quotidiano.

Verdetto: l’OS di riferimento per l’anonimato di rete strutturale in un ambiente persistente. Complementare a Tails (che gestisce le sessioni occasionali), non concorrente.

Qubes OS

Filosofia: la sicurezza attraverso la compartimentazione

Qubes OS rappresenta un approccio fondamentalmente diverso da tutti i sistemi precedenti. Mentre gli altri OS tentano di prevenire le compromissioni, Qubes parte da un postulato radicalmente diverso: la compromissione di alcuni componenti è inevitabile. L’obiettivo è garantire che non possa propagarsi.

Creato nel 2012 dalla ricercatrice di sicurezza Joanna Rutkowska, Qubes OS è raccomandato pubblicamente da Edward Snowden, tra gli altri professionisti della sicurezza.

L’architettura tecnica

L’hypervisor Xen come livello di base

Qubes non è una distribuzione Linux nel senso classico. Utilizza l’hypervisor Xen, un software di virtualizzazione bare-metal che viene eseguito direttamente sull’hardware, senza OS host intermedio, per creare macchine virtuali leggere chiamate qubes. L’isolamento tra i qubes è applicato a livello hardware, tramite le tecnologie Intel VT-x/VT-d e AMD-Vi (IOMMU), che impediscono alle VM di accedere alla memoria o ai dispositivi delle altre VM senza esplicita autorizzazione.

dom0: il dominio di massima fiducia

Al vertice della gerarchia si trova dom0, un dominio privilegiato da cui viene eseguito il gestore del desktop. dom0 gestisce la visualizzazione di tutte le finestre degli altri qubes. Per sicurezza, dom0 non ha alcuna connessione di rete e non esegue alcuna applicazione utente. Serve solo per orchestrare la visualizzazione e la gestione dei domini.

I qubes: compartimenti stagni

L’utente definisce quanti qubes ritiene necessari, ciascuno corrispondente a un contesto di fiducia:

Un qube “lavoro” per le applicazioni professionali
Un qube “personale” per email e social network
Un qube “banca” dedicato esclusivamente alle transazioni finanziarie
Un qube “non fidato” per aprire allegati sospetti
Qubes usa e getta che scompaiono integralmente alla chiusura

Ogni qube dispone del proprio stack di rete, del proprio spazio di memoria e dei propri processi. Un malware che compromette il qube “non fidato” è confinato a quel qube. Non può accedere ai file del qube “lavoro”, né attraversare verso altri domini.

Il codice colore visivo

Ogni finestra mostra un bordo colorato corrispondente al dominio di fiducia del proprio qube: rosso per i domini non fidati, verde per i domini isolati ad alta sicurezza, giallo per i domini semi-fidati. Questo semplice sistema visivo consente di sapere in qualsiasi momento in quale contesto si sta operando.

I template e la gestione centralizzata

I qubes non contengono la propria installazione completa di OS: condividono dei template (Fedora, Debian e Whonix per impostazione predefinita). Gli aggiornamenti di sicurezza vengono applicati al template, e tutti i qubes basati su quel template ne beneficiano automaticamente.

PCI passthrough e isolamento hardware

Mentre gli OS classici fanno funzionare i driver hardware nello stesso spazio delle applicazioni utente, Qubes assegna ogni dispositivo fisico (scheda di rete, controller USB) a un qube dedicato tramite PCI passthrough. Un driver di rete compromesso non può accedere ai dati degli altri qubes.

Integrazione Whonix

Qubes integra nativamente Whonix come template, consentendo di instradare il traffico di qualsiasi qube attraverso Tor in modo trasparente. È la configurazione Qubes-Whonix descritta nella sezione precedente.

Cosa Qubes protegge realmente

Scenario d’attacco	OS classico	Qubes OS
Malware in un allegato PDF	Accesso potenziale all’intero sistema	Confinato al qube “non fidato”, distrutto alla chiusura
Sfruttamento di un browser web	Accesso al profilo utente, ai file	Confinato al qube browser
Compromissione di un driver di rete	Accesso alla memoria di sistema	Confinato al qube di rete tramite PCI passthrough
Chiave PGP rubata	Se il software di firma è compromesso, sì	No, se la chiave è in un qube dedicato senza rete
Perdita tra applicazioni	Possibile tramite IPC, memoria condivisa	Impossibile tra qubes distinti

Limiti onesti

Qubes non protegge contro una compromissione di dom0: se l’hypervisor Xen stesso viene compromesso, l’isolamento può essere violato (bollettino QSB-115 del 9 giugno 2026, relativo a una vulnerabilità XSA-491)
Nessun isolamento all’interno dello stesso qube: due applicazioni nello stesso qube non sono isolate l’una dall’altra
Requisiti hardware significativi: processore con supporto VT-x/VT-d, minimo 16 GB di RAM (32 GB raccomandati), 32 GB di storage. Le macchine Apple Silicon non sono supportate
Curva di apprendimento reale: il copia-incolla tra qubes richiede un’azione consapevole, l’installazione di software passa attraverso i template

Per chi?

Qubes OS è progettato per profili il cui modello di minaccia include avversari seri: giornalisti che lavorano con fonti sensibili, avvocati che gestiscono fascicoli riservati, ricercatori di sicurezza, professionisti che trattano segreti industriali o diplomatici.

Verdetto: lo standard di riferimento per la sicurezza di una postazione di lavoro personale contro avversari capaci. La combinazione Qubes + Whonix è considerata come l’ambiente più robusto attualmente disponibile.

Come questi sistemi si combinano

È importante capire che questi OS non sono esclusivamente alternativi: rispondono a esigenze diverse e spesso si combinano.

Qubes + Whonix: la combinazione più robusta per un uso quotidiano ad alta sicurezza. Qubes gestisce la compartimentazione, Whonix gestisce l’anonimato di rete all’interno di alcuni qubes
Qubes + Tails: alcuni utenti avanzati utilizzano Qubes come OS principale e avviano Tails da un qube dedicato per sessioni occasionali particolarmente sensibili
Linux + Whonix in VM: un punto d’ingresso accessibile all’anonimato di rete strutturale senza la complessità completa di Qubes

Tabella riepilogativa

Criterio	Windows 11	macOS	Linux (Debian)	Tails	Whonix	Qubes OS
Telemetria predefinita	Importante, non completamente disattivabile	Moderata, parzialmente non disattivabile	Nulla	Nulla	Nulla	Nulla
Codice sorgente verificabile	No	No	Sì	Sì	Sì	Sì
Persistenza dei dati	Permanente	Permanente	Permanente	Nulla per impostazione predefinita	Permanente (VM)	Permanente per qube
Anonimato di rete	Nessuno	Nessuno	Nessuno	Forte (Tor forzato)	Strutturale (Tor forzato)	Tramite integrazione Whonix
Isolamento tra applicazioni	Debole	Moderato	Debole	Moderato	Moderato	Forte (hypervisor)
Resistenza alla compromissione	Debole	Moderata	Moderata	Elevata (amnesica)	Elevata (isolamento di rete)	Elevata (compartimentazione)
Facilità d’uso	Elevata	Elevata	Media	Media	Da bassa a media	Bassa
Hardware richiesto	Standard	Solo Mac	Standard	Standard + USB	Standard + RAM	x86-64 con VT-d, 16+ GB RAM
Profilo adatto	Uso generale	Uso generale	Profilo intermedio	Sessioni occasionali sensibili	Anonimato di rete persistente	Alta sicurezza quotidiana

La scelta di un OS in funzione della sicurezza non è una decisione binaria. È un allineamento tra un modello di minaccia reale e i compromessi accettabili in termini di compatibilità e comodità d’uso. Per la grande maggioranza degli utenti, una distribuzione Linux ben configurata offre già un livello di protezione radicalmente superiore a Windows 11 o macOS. Per i profili ad alta sensibilità

Arpokrat Swap: scambia le tue criptovalute senza lasciare tracce

Tue, 16 Jun 2026 00:00:00 +0000

Siamo convinti che l’atto di scambiare valore non dovrebbe lasciare tracce. Oggi concretizziamo questa convinzione con il lancio di Arpokrat Swap : una piattaforma di scambio di criptovalute progettata fin dall’inizio per la riservatezza assoluta.

Un’infrastruttura che non vi conosce

La grande maggioranza delle piattaforme di scambio, anche quelle che si definiscono «private», raccoglie dati per impostazione predefinita: indirizzo IP, cookie di sessione, impronte del browser (fingerprinting), log delle transazioni. Questi metadati, spesso sottovalutati, costituiscono un profilo comportamentale sfruttabile — da terze parti, da autorità di regolamentazione, o da soggetti malintenzionati in caso di violazione.

Arpokrat Swap è costruito su un principio opposto: non possiamo identificarvi perché non cerchiamo di farlo.

Nessun cookie — né di sessione, né di tracciamento, né analitici
Nessun log IP — il vostro indirizzo di rete non viene né registrato né trasmesso
Nessuna registrazione — nessun account, nessun indirizzo e-mail, nessun KYC
Nessun fingerprinting — nessun JavaScript di terze parti, nessuno script di raccolta dati

Accessibile tramite Tor

Per gli utenti che desiderano un ulteriore livello di protezione a livello di rete, Arpokrat Swap è interamente disponibile tramite il nostro indirizzo .onion:

arpokrat4asurnhw7v3s6rinjqgcwo2fx54fq7zlacawc2xuq7wppsad.onion

Accessibile dal browser Tor o tramite Orbot, questa interfaccia è funzionalmente identica alla versione clearnet — senza compromessi sulle funzionalità, senza degradazione dell’esperienza.

Le criptovalute privacy come priorità

Arpokrat Swap supporta oltre 350 asset digitali su tutte le principali blockchain. Prestiamo particolare attenzione alle criptovalute con riservatezza rafforzata, che costituiscono il cuore della nostra filosofia:

Monero (XMR) — transazioni opache per impostazione predefinita, lo standard di riferimento in materia di riservatezza on-chain
Zcash (ZEC) — pagamenti schermati tramite il protocollo zk-SNARKs
Bitcoin (BTC) — sulle reti principali e Lightning
Ethereum (ETH) — nonché l’insieme dei token ERC-20
Litecoin (LTC), Dogecoin (DOGE), Cardano (ADA), Solana (SOL)
Avalanche (AVAX), Polkadot (DOT), Chainlink (LINK), Uniswap (UNI)
Tether (USDT) e USD Coin (USDC) su Ethereum, Tron, BSC e Polygon
XRP, Stellar (XLM), Cosmos (ATOM), Algorand (ALGO)
Toncoin (TON), Near (NEAR), Aptos (APT), Sui (SUI)
Shiba Inu (SHIB), Pepe (PEPE) e i principali token memecoin
Dai (DAI), FRAX e gli stablecoin decentralizzati
E centinaia di altri token e coppie cross-chain

Consiglio OPSEC: Per gli scambi che coinvolgono asset tracciabili, raccomandiamo di utilizzare Monero come intermediario — ad esempio BTC → XMR → ETH anziché uno scambio diretto BTC → ETH. Questo interrompe il collegamento on-chain tra i due indirizzi.

xStocks: azioni tokenizzate, scambiabili senza intermediari

Arpokrat Swap integra anche gli xStocks — azioni ed ETF americani tokenizzati, supportati 1:1 dall’asset sottostante detenuto da un depositario regolamentato. Ogni token rappresenta esattamente una quota dell’azienda corrispondente, con regolamento immediato on-chain e disponibilità 24h/24, 7 giorni su 7, senza orari di borsa.

Tra gli xStocks disponibili:

Tecnologia AAPLx Apple · MSFTx Microsoft · NVDAx NVIDIA · GOOGLx Alphabet · METAx Meta · AMZNx Amazon · TSLAx Tesla · AMDx AMD · ADBEx Adobe · ACNx Accenture · APPx Applovin · AMATx Applied Materials · APLDx Applied Digital

Finanza & Crypto-adjacent COINx Coinbase · HOODx Robinhood · MSTRx MicroStrategy · CRCLx Circle · AMBRx Amber

Salute & Farmaceutica MRKx Merck · AZNx AstraZeneca · ABTx Abbott · ABBVx AbbVie

Consumo & Varie MCDx McDonald’s · NFLXx Netflix · GMEx GameStop

ETF & Indici SPYx S&P 500 · QQQx Nasdaq-100 · GLDx Oro · PALLx Palladio · PPLTx Platino

E molti altri — l’elenco completo supera i 131 asset (100 azioni, 27 ETF e 4 asset specializzati), disponibile direttamente sulla piattaforma.

Gli xStocks non conferiscono diritti di voto né dividendi diretti. I dividendi vengono automaticamente reinvestiti nel saldo dei token. Si applicano restrizioni geografiche — non disponibili per i residenti negli Stati Uniti, Canada, Regno Unito e Australia.

Un aggregatore di route, non un unico fornitore

Arpokrat Swap non è una piattaforma di scambio proprietaria: è un aggregatore. Quando avviate uno scambio, interroghiamo simultaneamente diversi fornitori partner e vi presentiamo le migliori opzioni disponibili secondo due criteri trasparenti:

1. Le commissioni più basse Il tasso visualizzato include già tutte le commissioni — commissioni di rete e commissione del fornitore. Non pagate nulla in più per utilizzare il nostro aggregatore: la nostra commissione è prelevata direttamente da quella del fornitore, senza alcun impatto sul vostro tasso.

2. Il punteggio KYC del fornitore Ogni route è associata a una valutazione della riservatezza che stabiliamo leggendo i termini e le condizioni e le politiche sulla privacy di ciascun partner, interrogandoli direttamente sulle loro pratiche e tenendo conto della loro storia:

Valutazione	Significato
✅ A	Non richiede mai la verifica dell’identità
🟡 B	Richiede raramente un KYC, rimborsa in caso di rifiuto
🟠 C	Richiede raramente un KYC, rimborso entro pochi giorni
🔴 D	Può richiedere un KYC e potenzialmente bloccare i fondi

Vi raccomandiamo di privilegiare le route con valutazione A o B, in particolare per volumi elevati o scambi che coinvolgono criptovalute con riservatezza rafforzata.

Perché questo fa la differenza

La maggior parte degli aggregatori vi reindirizza verso il tasso più vantaggioso senza informarvi dei rischi legati alla riservatezza del fornitore sottostante. Uno scambio può mostrare un ottimo tasso pur applicando una politica KYC aggressiva che bloccherà la vostra transazione a posteriori e tratterrà i vostri fondi.

Arpokrat Swap è l’unica piattaforma dove il costo e il rischio KYC sono presentati insieme, permettendovi di fare una scelta consapevole anziché un arbitraggio alla cieca.

Accedi ad Arpokrat Swap →

Arpokrat Swap è un servizio non-custodial. Non abbiamo mai accesso ai vostri fondi. Gli scambi vengono eseguiti direttamente tra il vostro portafoglio e il fornitore partner selezionato.

Il Silenzio che Urla: Cos'è un Warrant Canary e perché la sua scomparsa dovrebbe preoccuparti?

Mon, 01 Jun 2026 00:00:00 +0000

In fondo alle miniere di carbone del XIX secolo, i minatori portavano con sé canarini in gabbia. Questi piccoli uccelli, estremamente sensibili ai gas tossici come il monossido di carbonio, soccombevano molto prima che i minatori percepissero il pericolo. Fungevano così da sistema di allarme preventivo silenzioso, ma formidabilmente efficace.

Nel nostro mondo digitale moderno, questo uccellino ha ripreso vita sotto forma di « Warrant Canary ».

Cos’è un Warrant Canary?

Si tratta di una dichiarazione pubblica, pubblicata e aggiornata regolarmente da un fornitore di servizi (messaggistica, VPN, hosting), che afferma che, fino a quella data esatta, non ha ricevuto alcuna richiesta legale segreta che lo obblighi a compromettere i dati dei propri utenti — come una National Security Letter (NSL) americana o un’ordinanza emessa da un tribunale FISA.

L’intera sottigliezza — e gravità — del canarino risiede in ciò che accade quando scompare.

Se un servizio che esponeva ogni mese la dicitura “Non abbiamo ricevuto alcun ordine segreto” smette improvvisamente di aggiornarla, l’utente informato ne deduce l’ovvio: il canarino è morto.

L’azienda è stata bersaglio di una misura di sorveglianza accompagnata da un ordine di non divulgazione (gag order), che le vieta legalmente di rivelare l’esistenza di tale richiesta. Non potendo dire di essere stata compromessa, smette semplicemente di dire di non esserlo.

L’era della sorveglianza invisibile e l’elusione del silenzio

In un’epoca in cui legislazioni extraterritoriali come il CLOUD Act e il FISA permettono al governo americano di accedere ai dati ospitati dalle aziende senza mai informare i diretti interessati, il Warrant Canary costituisce uno dei rari meccanismi per aggirare questo silenzio forzato.

Con il CLOUD Act, la barriera geografica non esiste più: se i dati sono sotto il “controllo” di un’azienda americana, il governo degli Stati Uniti ne rivendica il diritto di accesso, anche se questi server sono fisicamente situati in Europa. Il canarino diventa allora l’ultimo segnale di allarme prima che la sovranità digitale di un utente venga silenziosamente sacrificata.

Ecco perché i principali attori della sfera Privacy hanno adottato questo strumento come standard di trasparenza:

Proton : Il servizio svizzero di posta e messaggistica pubblica un rapporto di trasparenza che include un rigoroso Warrant Canary.
Riseup : Il collettivo di comunicazione sicura per attivisti mantiene uno dei canarini più famosi e monitorati del web.
Arpokrat : Il nostro ecosistema mantiene un Warrant Canary pubblico, aggiornato crittograficamente, per garantire una trasparenza assoluta alla nostra community.

L’analisi giuridica: Il diritto di non mentire

L’esistenza stessa del Warrant Canary si basa su uno dei pilastri più affascinanti del diritto costituzionale: la dottrina del compelled speech (discorso costretto) e la sua collisione con il segreto istruttorio.

La base giuridica poggia su un principio semplice: se lo Stato ha il potere di imporvi il silenzio (tramite un ordine di non divulgazione), non ha il potere costituzionale di forzarvi a mentire.

In virtù del Primo Emendamento della Costituzione degli Stati Uniti (e di principi analoghi in Europa), il governo non può obbligare un’azienda a produrre una dichiarazione fattualmente falsa. Pertanto, quando un’azienda rimuove il suo canarino, non viola l’ordine di silenzio — poiché non annuncia esplicitamente di aver ricevuto un mandato. Esercita semplicemente il suo diritto fondamentale di smettere di fare una dichiarazione che non è più vera.

Il conflitto con il diritto europeo

La pertinenza del canarino è oggi rafforzata dall’articolo 32 del Data Act (Regolamento UE 2023/2854). Tale disposizione impone ai fornitori di mettere in atto misure tecniche e giuridiche per impedire l’accesso ai dati da parte di autorità di paesi terzi quando ciò è contrario al diritto europeo. La morte di un canarino segnala immediatamente questo conflitto di leggi: il fornitore è probabilmente costretto ad aggirare le garanzie europee per soddisfare un mandato straniero.

L’approccio di Arpokrat: Sovranità by design

Nell’ecosistema di Arpokrat, che opera sotto la giurisdizione della LPD svizzera (Legge federale sulla protezione dei dati - RS 235.1), il canarino assume una dimensione ancora più potente. Si inserisce in un approccio olistico alla sovranità digitale: il Zero-Knowledge.

L’architettura è progettata in modo tale che l’azienda crea un’impossibilità tecnica e matematica di obbedire a un mandato. Lo Stato o un’agenzia di intelligence può emettere tutti gli ordini che desidera, la risposta rimarrà la stessa: non ci sono chiavi private, né identità (Zero-ID), né metadati centralizzati da consegnare.

In questo contesto, il canarino non è più solo un avviso di compromissione; è la prova pubblica continua che l’infrastruttura è rimasta tecnicamente inviolabile e fedele ai propri principi.

Conclusione

In definitiva, il Warrant Canary è il tassello di agilità giuridica che va a completare l’agilità crittografica necessaria per affrontare l’orizzonte delle minacce moderne (come l’informatica post-quantistica). In un’infrastruttura in cui i dati sono sovrani fin dalla progettazione, il canarino non è un semplice uccellino in una miniera: è il guardiano silenzioso della vostra fortezza digitale.

Utiq: Il nuovo 'Super-Cookie' degli operatori di telecomunicazioni che minaccia la tua privacy

Mon, 01 Jun 2026 00:00:00 +0000

La fine programmata dei cookie di terze parti sui browser web ha scatenato una vera e propria corsa agli armamenti nell’industria della pubblicità mirata. Mentre Google cerca di imporre i propri standard (come la Privacy Sandbox), un altro attore inaspettato ha deciso di prendersi una fetta della torta: il tuo fornitore di servizi Internet (ISP).

Così è nato Utiq (precedentemente noto come progetto TrustPid), una joint venture fondata dai giganti europei delle telecomunicazioni. Venduto al grande pubblico come una soluzione “trasparente e rispettosa”, Utiq è in realtà ciò che gli esperti di sicurezza informatica temono di più: un “supercookie” che opera a livello di rete.

Cos’è Utiq e come funziona?

Tradizionalmente, il tracciamento pubblicitario (i cookie) è gestito dal tuo browser web (Chrome , Firefox , Safari ). Potevi bloccarlo utilizzando estensioni (come uBlock Origin ) o un browser orientato alla privacy (come Brave ).

Utiq sposta il problema un passo indietro: al livello della tua connessione di rete.

Ecco come scatta la trappola:

Intercettazione di rete: Quando navighi su Internet tramite la tua connessione mobile (4G/5G) o la tua linea fissa, Utiq utilizza il tuo indirizzo IP e i dati del tuo abbonamento per identificarti.
Il consenso (la falsa scelta): Arrivando su un sito partner, un popup ti chiede di accettare Utiq. A causa della fatica legata ai banner dei cookie (Consent Fatigue), milioni di utenti cliccano su “Accetta” senza leggere.
Il “Network Signal”: Una volta dato il consenso, Utiq contatta direttamente il tuo operatore telefonico. Quest’ultimo genera un token di identificazione unico e pseudonimizzato (il segnale di rete) che trasmette agli inserzionisti.

Ora sei tracciabile da un sito all’altro, non tramite un file memorizzato sul tuo computer, ma tramite la stessa infrastruttura che ti fornisce Internet.

Perché Utiq è un incubo per la privacy (OPSEC)

L’iniziativa solleva gravi problemi per la sovranità digitale e la riservatezza dei tuoi dati:

Tracciamento alla fonte: A differenza dei cookie classici, non puoi semplicemente “cancellare la cronologia” o “svuotare la cache” per sbarazzarti di Utiq. Il token di identificazione è generato dal tuo ISP.
La centralizzazione dei profili: Gli operatori di telecomunicazioni conoscono già il tuo nome, indirizzo fisico, coordinate bancarie e posizione in tempo reale. Collegando la tua cronologia di navigazione tramite Utiq, creano una profilazione comportamentale di spaventosa precisione.
La falla della pseudonimizzazione: Utiq si difende affermando di non condividere il tuo nome in chiaro, dichiarando di usare token “crittografati”. Tuttavia, nel mondo della sicurezza informatica, è dimostrato che la pseudonimizzazione è reversibile. L’incrocio di questi token con altri database consente di reidentificare facilmente gli individui.

Quali operatori usano Utiq?

Utiq è stato fondato da un’alleanza dei quattro più grandi operatori europei. Se sei cliente di uno di essi, la tua connessione è potenzialmente già “compatibile” con questo tracciamento.

Il consiglio OPSEC: Sebbene Utiq offra un portale centralizzato di gestione del consenso (consenthub.utiq.com ) per revocare l’accesso, la migliore difesa rimane quella tecnologica.

L’approccio Zero-Trust per contrastare Utiq

La filosofia della sovranità digitale, guidata da ecosistemi come Arpokrat, si basa su un principio semplice: non fidarsi mai dell’infrastruttura di rete.

Per neutralizzare tecnicamente sistemi come Utiq, la soluzione è nascondere il tuo traffico al tuo stesso provider Internet:

Utilizzo di una VPN sovrana: Crittografando il tuo traffico non appena lascia il tuo dispositivo, il tuo ISP vede solo un flusso di dati illeggibile diretto a un server VPN. Non può più iniettare o leggere i token Utiq.
La rete Tor (Orbot ): L’onion routing impedisce qualsiasi identificazione end-to-end.
Crittografia DNS (DoH/DoT): Impedisce al tuo operatore di sapere quali siti web richiedi di visitare.

In sintesi, Utiq è la prova che i fornitori di servizi Internet non si accontentano più di essere semplici “tubi”; vogliono diventare broker di dati. La crittografia del traffico non è più un’opzione di sicurezza, ma una necessità assoluta per preservare il tuo silenzio digitale.