Crittografia end-to-end WhatsApp: come protegge le tue chat

WhatsApp è la piattaforma di messaggistica istantanea più utilizzata al mondo: ha superato i 3 miliardi di utenti attivi in oltre 180 Paesi e gestisce oltre 100 miliardi di messaggi al giorno. Numeri che rendono la domanda inevitabile: a tutta questa popolarità corrisponde una protezione dei dati altrettanto solida?

Ogni volta che apri una nuova chat, WhatsApp ti ricorda che le conversazioni sono protette da crittografia end-to-end.
Ma cosa significa davvero, e quanto ci si può fidare? In questa guida lo spieghiamo con parole semplici, concentrandoci su ciò che conta per te come utente: la privacy delle tue chat.

1. Cos’è la crittografia end-to-end
2. I tre modi in cui può viaggiare un messaggio
3. WhatsApp e la crittografia: un po’ di storia
4. Come funziona su WhatsApp
5. I vantaggi per la tua privacy
6. I limiti da conoscere
7. Non solo WhatsApp
8. Conclusioni

Cos’è la crittografia end-to-end

La crittografia end-to-end (spesso abbreviata in E2E) è un metodo che permette una conversazione cifrata senza alcun passaggio leggibile intermedio tra mittente e destinatario: uno scambio, cioè, direttamente “da un capo all’altro”. Tecnicamente si appoggia sui principi della crittografia a chiave pubblica e privata — se vuoi approfondire il funzionamento degli algoritmi, ne parliamo nella nostra guida completa alla crittografia — ma la vera differenza sta in un punto: nemmeno chi gestisce il servizio può leggere i messaggi.

I tre modi in cui può viaggiare un messaggio

Per capire il valore dell’end-to-end conviene confrontarla con le alternative. Un messaggio, mentre viaggia dal tuo telefono a quello del destinatario, può essere trattato in tre modi diversi.

Nel trasferimento in chiaro, il messaggio è leggibile da chiunque lo intercetti: è come spedire un biglietto senza busta. È un modello ormai quasi abbandonato, ma sopravvive negli SMS tradizionali, che viaggiano in chiaro e non offrono alcuna protezione dei contenuti.

Nella cifratura in transito, il messaggio è cifrato mentre viaggia, ma arrivato al server viene decifrato, ri-cifrato e poi consegnato. I dati sono protetti “in viaggio”, ma il proprietario del server può leggerli: è come spedire una lettera chiusa in una busta affidandosi a un postino che, se vuole, può aprirla.

Con la crittografia end-to-end, infine, il messaggio resta cifrato per tutto il percorso e solo il destinatario può aprirlo: è come imbucare la lettera direttamente nella sua cassetta. Nemmeno il gestore del servizio ha la chiave per leggerla.

WhatsApp e la crittografia: un po’ di storia

WhatsApp è stato lanciato nel 2009 da due ex dipendenti di Yahoo. All’inizio le chat erano protette solo da protocolli SSL/TLS — la stessa cifratura in transito dei siti web — con alcune debolezze di implementazione che, in certi casi, permettevano di intercettare e decifrare le conversazioni. Nel 2014 l’app ottenne un punteggio scadente nella classifica di sicurezza della EFF (Electronic Frontier Foundation): solo due punti su sette.

Per rimediare, WhatsApp collaborò con Open Whisper Systems, l’organizzazione dietro le app più sicure secondo la EFF, e nel 2016 introdusse la crittografia end-to-end di default per tutte le conversazioni. Un paio d’anni dopo, nella stessa classifica, il punteggio era salito a sei su sette.

Come funziona su WhatsApp

Il principio è quello comune a ogni forma di crittografia: rendere il messaggio incomprensibile a chiunque non possieda la chiave di decrittazione. L’end-to-end, però, aggiunge alcune garanzie che fanno la differenza per la privacy:

• le chiavi non sono controllate dal sistema che gestisce il canale di comunicazione;
• le chiavi private sono generate e conservate direttamente sui dispositivi degli utenti;
• il flusso di informazioni non coinvolge nessuno al di fuori dei due interlocutori;
• viene generata una nuova chiave a ogni messaggio, e la chiave viene eliminata dai dispositivi una volta completata cifratura e decifratura.

Chiunque intercettasse il flusso otterrebbe solo una sequenza di caratteri privi di senso, impossibili da decifrare senza la chiave giusta.

Un’evoluzione importante riguarda i backup. Per anni il punto debole di WhatsApp è stato proprio questo: i messaggi erano cifrati end-to-end, ma le copie di backup salvate su Google Drive o iCloud no. Dalla fine del 2021 è possibile proteggere anche i backup con crittografia end-to-end, tramite una password personale o una chiave a 64 cifre nota solo all’utente: né WhatsApp né il fornitore del cloud possono più accedervi. È una funzione facoltativa, che vale la pena attivare.

I vantaggi per la tua privacy

Il primo vantaggio è che, anche se WhatsApp venisse violata, gli attaccanti non potrebbero leggere i messaggi gestiti dai server, perché nemmeno l’azienda conosce le chiavi di cifratura. Di conseguenza WhatsApp non può registrare né condividere con terzi il contenuto delle chat private, garantendo la riservatezza delle conversazioni.

Il secondo riguarda l’integrità: se qualcuno tentasse di manomettere un messaggio durante il tragitto, questo risulterebbe illeggibile una volta decifrato, rendendo l’alterazione immediatamente evidente. In altre parole, se ricevi un messaggio e ha senso compiuto, hai la ragionevole certezza che sia integro e che non sia stato letto o modificato da nessuno.

I limiti da conoscere

Come ogni tecnologia di sicurezza, l’end-to-end non è una soluzione assoluta. È importante conoscerne i confini reali:

• Non nasconde i metadati. Impedisce di leggere il contenuto, ma non il fatto che una conversazione sia avvenuta: il server può conservare traccia di quando e con chi hai scambiato messaggi.
• Non protegge il dispositivo fisico. Chi entra in possesso del tuo telefono sbloccato può leggere le chat. Per questo è essenziale impostare un codice di blocco del dispositivo e, dove possibile, delle singole app.
• Non ferma malware e spyware che registrano ciò che accade sullo schermo o sulla tastiera, aggirando la cifratura a monte.
• Dipende anche dall’altro capo. Puoi avere il tuo dispositivo perfettamente sotto controllo, ma non puoi essere certo della sicurezza del dispositivo del tuo interlocutore.

C’è infine un tema molto dibattuto: l’end-to-end complica le indagini delle forze dell’ordine. Da un lato c’è chi considera prioritaria la privacy, dall’altro chi vorrebbe un maggiore controllo per contrastare terrorismo e reati gravi. È un dibattito aperto, che in vari Paesi si traduce periodicamente in proposte di legge per limitare questo tipo di crittografia.

Non solo WhatsApp

Sempre più piattaforme adottano la crittografia end-to-end. La usa Signal (considerata il riferimento in fatto di privacy), la offrono Telegram nelle chat segrete e Messenger, e la impiegano anche strumenti di videochiamata come Teams e Zoom.

Perché allora non tutti la attivano di default? Perché il problema più urgente — proteggere le chat dagli attacchi esterni — è in buona parte risolto anche dalla cifratura in transito, e alcune piattaforme preferiscono privilegiare comodità e funzioni aggiuntive. La differenza, sul piano della privacy pura, resta però sostanziale.

Conclusioni

La crittografia end-to-end permette uno scambio di informazioni sicuro, in cui i contenuti non sono accessibili a nessuno al di fuori dei diretti interessati — nemmeno al gestore del servizio. Garantisce riservatezza e integrità dei messaggi, ma non protegge dai rischi legati a malware, furto o smarrimento del dispositivo, che restano responsabilità dell’utente.

Se fai parte dei miliardi di utenti di WhatsApp, la buona notizia è che le tue conversazioni godono oggi di uno degli standard di protezione più solidi disponibili sul mercato consumer. Per un’azienda, però, la messaggistica personale non basta: proteggere le comunicazioni di lavoro richiede strumenti e policy dedicati.